DSGVO für Immobilienmakler 2026: Die Pflicht-Checkliste

Warum DSGVO für Makler kritisch ist

Immobilienmakler sind aus DSGVO-Sicht Hochrisiko-Verarbeiter: Sie verarbeiten Finanzdaten, Schufa-Auskünfte, Einkommensnachweise, Grundbucheinträge, persönliche Lebenssituationen (Scheidung, Todesfälle, Insolvenz). Die Verwaltungen erhalten bei Verstößen deutlich weniger Nachsicht als bei gewöhnlichen B2C-Unternehmen.

Die tatsächlichen Bußgelder in Deutschland für Makler lagen 2023–2025 meist zwischen 2.000 € und 50.000 € — betreffen aber eine wachsende Zahl an Büros, insbesondere wegen fehlender oder fehlerhafter Einwilligungen und Art.-30-Verzeichnisse.

Die 20-Punkte-Checkliste

Rechtsgrundlagen und Einwilligungen

• 1. Rechtsgrundlage dokumentiert — Für jede Verarbeitung (Angebot, Werbung, Matching, Speicherung) ist die Rechtsgrundlage (Art. 6 DSGVO) festgehalten: Vertrag, berechtigtes Interesse, Einwilligung.
• 2. Einwilligungen aktiv eingeholt — Kein pauschales „Mit Speicherung einverstanden" auf dem Kontaktformular. Separate, informierte Zustimmung mit klarem Zweck.
• 3. Double-Opt-In für Newsletter — Newsletter oder Objekt-Alerts nur nach bestätigtem Double-Opt-In. Ohne Ausnahme.
• 4. Widerrufsmöglichkeit niederschwellig — In jeder Email ein funktionierender Abmelde-Link. Widerruf ohne Begründung, sofort wirksam.

Datensicherheit und technische Maßnahmen

• 5. Hosting in der EU / Deutschland — US-Clouds (AWS us-east, Google Cloud USA) sind seit Schrems II problematisch. DE-Hosting oder EU-Hosting mit ausdrücklichem Nachweis keiner Drittland-Übertragung.
• 6. Verschlüsselung im Transit und at rest — HTTPS/TLS für alle Web-Zugriffe. Datenbank-Verschlüsselung für sensible Felder (Einkommen, IBAN, Schufa-Score).
• 7. Zugriffskontrollen — Nicht alle Mitarbeiter brauchen Zugriff auf alle Daten. Rollenkonzept, Passwort-Richtlinien, 2FA für Admin-Accounts.
• 8. Backups mit Verschlüsselung — Backups sind Daten. Sie müssen verschlüsselt, zugriffsgesichert und bei Widerruf aktualisierbar sein.

Dokumentation und Transparenz

• 9. Datenschutzerklärung aktuell und vollständig — Alle verwendeten Tools (Google Analytics, Gmail, ImmoScout24-Integration, KI-Anbieter) müssen genannt sein.
• 10. Art. 30 DSGVO Verarbeitungsverzeichnis — Pflicht bei mehr als 10 Personen beschäftigt oder sobald sensible Daten verarbeitet werden. Das gilt für 99 % der Maklerbüros.
• 11. Auftragsverarbeitungsvertrag (AVV) mit allen Dienstleistern — CRM-Anbieter, Email-Hoster, Dokumenten-Scanner, KI-Anbieter. Ohne AVV ist die Übermittlung rechtswidrig.
• 12. TOMs (technische und organisatorische Maßnahmen) dokumentiert — Welche Sicherheitsmaßnahmen Sie ergreifen, schriftlich.

Betroffenenrechte

• 13. Auskunftsersuchen innerhalb eines Monats beantwortet — Art. 15 DSGVO. Bei komplexen Anfragen um 2 weitere Monate verlängerbar, aber muss kommuniziert werden.
• 14. Löschung bei Widerruf tatsächlich durchgeführt — Nicht nur im CRM, sondern in Backups, Email-Archiven, Marketing-Tools.
• 15. Datenübertragbarkeit (Art. 20) wird technisch ermöglicht — Kunde fragt nach seinen Daten als CSV oder JSON? Muss geliefert werden.
• 16. Recht auf Einschränkung umgesetzt — Daten „einfrieren" statt löschen, wenn Löschpflicht unklar ist.

Löschfristen

• 17. Lösch- und Aufbewahrungsfristen definiert — GwG: 5 Jahre für Identifizierungsdaten. Steuerlich: 10 Jahre für Rechnungsbelege. Interessenten ohne Abschluss: maximal 12 Monate (nicht länger als berechtigtes Interesse).
• 18. Automatische Löschung technisch implementiert — Nicht „wir versuchen, uns daran zu erinnern" — sondern automatisches Löschen durch das CRM.

KI und Drittanbieter

• 19. KI-Anbieter DSGVO-konform oder Anonymisierung implementiert — OpenAI-, Claude-, Gemini-API: Prüfen, ob AVV besteht und Daten nicht für Training genutzt werden. Bei Zweifel: Anonymisierung (Namen durch Pseudonyme ersetzen) vor API-Call.
• 20. Voice AI mit Transparenz-Ansage — Wenn KI ans Telefon geht, muss sich der Agent als Assistent zu erkennen geben. Verschleierung ist rechtlich problematisch.

Die häufigsten Makler-Fehler (und wie Sie sie vermeiden)

In Audits sehen wir immer wieder dieselben fünf Fehler:

1. Kein Art.-30-Verzeichnis — oft gar nicht existent oder veraltet.
2. Pauschale „Speicherung-OK"-Einwilligungen — nicht spezifisch genug.
3. Gmail-Konten für Geschäftliches ohne AVV — ein Google-Workspace-Konto mit Firmen-Domain ist OK; ein privates @gmail.com ist es nicht.
4. Unklare Löschung bei Widerruf — Kunde widerruft, die Email bleibt trotzdem 4 Jahre im Postfach, unverändert.
5. Portal-Anbindungen ohne Datenschutz-Check — ImmoScout24-Anfragen fließen in das CRM. Ist die Einwilligungskette dokumentiert?

Wie Relay IMMO die DSGVO-Pflichten abdeckt

Disclosure: Wir sind der Anbieter. Aber die Punkte sind objektiv nachprüfbar:

• Hosting ausschließlich in Deutschland, ISO-27001-Rechenzentrum
• Integriertes Einwilligungsmanagement mit Double-Opt-In
• Automatisches Art.-30-Verzeichnis, stets aktuell
• Fertig vorbereiteter AVV für alle Kunden
• Automatische Löschfristen konfigurierbar
• Jährliche externe Sicherheitsaudits
• Voice AI mit transparenter Assistent-Ansage
• KI-Anbieter-AVV, keine Nutzung von Kundendaten für Training

Mehr zu den Compliance-Features von Relay IMMO.

Fazit

DSGVO ist für Makler 2026 kein nettes Extra, sondern harte Pflicht mit realen Bußgeld-Risiken. Die 20 Punkte dieser Checkliste abzuarbeiten klingt viel — aber 80 % davon erledigt ein modernes, DSGVO-natives CRM automatisch. Wer mit Excel und Gmail arbeitet, erfüllt von diesen 20 Punkten realistisch 3–5. Der Wechsel zu einem compliance-fähigen System ist damit oft nicht nur Effizienz-Gewinn, sondern Risiko-Reduktion.