DSGVO für Immobilienmakler: wann Sie eine Einwilligung brauchen — und wann nicht

Eine Verarbeitung ist rechtmäßig, wenn mindestens eine Rechtsgrundlage greift (Art. 6 Abs. 1 DSGVO). Die Einwilligung ist nur eine davon. Die meisten Daten verarbeiten Sie, weil jemand etwas von Ihnen möchte — oder weil ein Gesetz es verlangt.

Auch ohne Einwilligung legen Sie offen, was mit den Daten geschieht — und zwar beim Erheben, nicht erst auf Nachfrage (Art. 13 DSGVO). Im Kontaktformular heißt das: ein Link zur Datenschutzerklärung direkt am Absende-Knopf. Am Telefon sagen Sie, wo die Erklärung steht, und schicken den Link mit der ersten Antwort.

Haben Sie die Daten nicht von der Person selbst — etwa durch den Hinweis eines Nachbarn, dass ein Eigentümer verkaufen möchte —, informieren Sie sie spätestens beim ersten Kontakt, in jedem Fall aber innerhalb eines Monats (Art. 14 Abs. 3 DSGVO).

Art. 13 DSGVO gibt die Gliederung vor. Für ein Maklerbüro heißt das:

• Wer Sie sind: Name und Kontaktdaten des Büros, gegebenenfalls Ihres Datenschutzbeauftragten.
• Wofür und auf welcher Grundlage: Anfragen und Besichtigungen, der Maklervertrag, die Pflichten nach GwG und MaBV, Werbung mit Einwilligung — jeweils mit Rechtsgrundlage. Stützen Sie sich auf berechtigte Interessen, nennen Sie sie.
• An wen Daten gehen: etwa an Verkäufer oder Vermieter, an den Notar, an Ihren Softwareanbieter.
• Ob Daten in ein Drittland gehen, also außerhalb von EU und EWR — und auf welcher Grundlage.
• Wie lange Sie speichern — oder nach welchen Kriterien Sie die Dauer festlegen.
• Welche Rechte bestehen: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Widerruf einer Einwilligung und Beschwerde bei der Aufsichtsbehörde.
• Ob jemand die Daten angeben muss — etwa für die Identifizierung nach dem GwG — und welche Folgen es hat, wenn sie fehlen.

Sobald Sie werben, gilt neben der DSGVO das Wettbewerbsrecht. Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung des Empfängers ist stets eine unzumutbare Belästigung — gleich, ob er Verbraucher ist oder Unternehmer (§ 7 Abs. 2 Nr. 2 UWG). Für Werbeanrufe bei Verbrauchern gilt dasselbe; bei Unternehmen genügt eine zumindest mutmaßliche Einwilligung (§ 7 Abs. 2 Nr. 1 UWG).

Für die Akquise heißt das: Wer einen Privatverkäufer auf sein Inserat hin anruft, um ihm seine Maklerdienste anzubieten, wirbt — und braucht dafür dessen vorherige ausdrückliche Einwilligung. Die Telefonnummer im Inserat ist keine. Die Bundesnetzagentur kann dafür ein Bußgeld von bis zu 300.000 Euro verhängen (§ 20 UWG).

Eine Ausnahme gilt für E-Mails an Kunden (§ 7 Abs. 3 UWG). Ohne Einwilligung dürfen Sie werben, wenn alle vier Bedingungen erfüllt sind:

1. Sie haben die Adresse im Zusammenhang mit einem Verkauf von Ihrem Kunden erhalten,
2. Sie werben für eigene ähnliche Leistungen,
3. der Kunde hat nicht widersprochen,
4. und Sie weisen ihn beim Erheben der Adresse und in jeder E-Mail klar darauf hin, dass er jederzeit widersprechen kann.

Die Einwilligung müssen Sie belegen können (Art. 7 Abs. 1 DSGVO) — die konkrete Erklärung jedes Einzelnen, vollständig dokumentiert; wer sie elektronisch erhält, speichert sie so, dass sie sich jederzeit ausdrucken lässt (BGH, Urteil vom 10. Februar 2011 – I ZR 164/09). Bewährt hat sich das Double-Opt-in: Wer sich einträgt, bestätigt über einen Link in einer E-Mail, dass die Adresse ihm gehört. Für E-Mail-Werbung ist die Einwilligung damit grundsätzlich hinreichend dokumentiert; bestreitet jemand sie später, muss er darlegen, dass die Bestätigung nicht von ihm stammt. Für Werbeanrufe belegt die Bestätigungsmail dagegen nichts. Bei Verbrauchern schreibt das Gesetz die Dokumentation der Einwilligung in Telefonwerbung ausdrücklich vor; aufbewahrt wird sie fünf Jahre ab Erteilung und nach jeder Verwendung (§ 7a UWG).

Widerruft jemand seine Einwilligung oder widerspricht er der Werbung, ist Schluss — ohne Abwägung (Art. 7 Abs. 3, Art. 21 Abs. 2 und 3 DSGVO). Der Widerruf muss so einfach sein wie die Erteilung; ein Abmeldelink in jeder E-Mail ist der einfachste Weg dorthin. Auf das Widerspruchsrecht weisen Sie spätestens bei der ersten Kontaktaufnahme hin, getrennt von anderen Informationen (Art. 21 Abs. 4 DSGVO).

Personenbezogene Daten dürfen Sie nur so lange speichern, wie der Zweck es erfordert (Art. 5 Abs. 1 lit. e DSGVO); danach löschen Sie sie (Art. 17 Abs. 1 lit. a DSGVO). Eine Frist in Monaten nennt die DSGVO nicht. Gesetzliche Aufbewahrungspflichten gehen vor, ebenso Unterlagen, die Sie für einen Rechtsstreit brauchen (Art. 17 Abs. 3 lit. b und e DSGVO).

Was genau in die GwG-Akte gehört, zeigt der Leitfaden Geldwäschegesetz für Immobilienmakler; wann überhaupt eine Provision entsteht, der Leitfaden Provisionsvereinbarung für Makler.

• Ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO). Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten entfällt, wenn die Verarbeitung nicht nur gelegentlich erfolgt — und die Daten Ihrer Kunden verarbeiten Sie jeden Tag.
• Verträge zur Auftragsverarbeitung mit allen, die Daten in Ihrem Auftrag verarbeiten — Softwareanbieter, Hosting, Newsletterdienst (Art. 28 Abs. 3 DSGVO).
• Einen Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG).
• Einen Plan für Datenpannen: Geht ein Laptop verloren oder landet eine Liste beim Falschen, melden Sie das unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde — es sei denn, für die Betroffenen entsteht voraussichtlich kein Risiko (Art. 33 Abs. 1 DSGVO). Dokumentiert wird jede Panne, auch die nicht gemeldete (Art. 33 Abs. 5 DSGVO).
• Einen Ablauf für Auskunftsanfragen: Antwort unverzüglich, spätestens nach einem Monat; in komplexen Fällen oder bei vielen Anträgen können Sie um zwei Monate verlängern, wenn Sie das innerhalb des ersten Monats mit Gründen mitteilen (Art. 12 Abs. 3, Art. 15 DSGVO).
• Eine Einwilligung für Cookies und ähnliche Techniken auf Ihrer Website, soweit sie nicht unbedingt erforderlich sind, damit Sie den Dienst bereitstellen können, den der Besucher ausdrücklich wünscht (§ 25 TDDDG).

Verstöße gegen die Grundsätze der Verarbeitung, die Bedingungen der Einwilligung oder die Rechte der Betroffenen können Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen — je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Für Werbeanrufe bei Verbrauchern ohne Einwilligung sieht das UWG bis zu 300.000 Euro vor, für eine fehlende oder nicht aufbewahrte Dokumentation der Einwilligung bis zu 50.000 Euro (§ 20 UWG).

1. Rechtsgrundlagen klären: Was läuft über Anfrage und Vertrag, was über gesetzliche Pflichten, wofür brauchen Sie eine Einwilligung?
2. Eine Datenschutzerklärung schreiben, die Ihre Abläufe beschreibt — und im Formular direkt am Absende-Knopf verlinken.
3. Werbung nur mit belegbarer Einwilligung: Double-Opt-in für E-Mails, dokumentierte Einwilligung für Anrufe.
4. Einen Abmeldelink in jede Werbe-E-Mail setzen; Widerrufe und Widersprüche sofort umsetzen.
5. Fristen festlegen: Interessenten, Provisionsunterlagen, GwG-Akte, MaBV-Aufzeichnungen.
6. Ein Verzeichnis der Verarbeitungstätigkeiten anlegen, Verträge zur Auftragsverarbeitung abschließen.
7. Ab 20 Personen, die ständig mit personenbezogenen Daten am Computer arbeiten, einen Datenschutzbeauftragten benennen.
8. Abläufe für Auskunft (ein Monat) und Datenpanne (72 Stunden) festlegen.