Datenschutz in der Immobilienvermarktung: Was Makler und Hausverwaltungen wirklich beachten müssen

Datenschutz in der Immobilienvermarktung ist kein optionales Extra — er ist gesetzliche Pflicht und gleichzeitig ein echter Wettbewerbsvorteil. Wer Kaufinteressenten anschreibt, Besichtigungstermine koordiniert, Exposés versendet und Mietbewerbungen verwaltet, verarbeitet täglich sensible personenbezogene Daten. Doch viele Makler und Hausverwaltungen unterschätzen die Anforderungen der DSGVO erheblich.

In diesem Leitfaden erfahren Sie konkret, welche Datenschutzpflichten für die Immobilienvermarktung gelten, wo die häufigsten Stolperfallen liegen — und wie Sie sich mit vertretbarem Aufwand rechtskonform aufstellen.

Warum Datenschutz in der Immobilienbranche besonders relevant ist

Kaum eine Branche verarbeitet so viele unterschiedliche personenbezogene Daten wie die Immobilienwirtschaft. Allein bei einer einzigen Objektvermarktung kommen typischerweise zusammen:

• Verkäufer- und Vermieterdaten (Name, Adresse, Bankverbindung, Grundbuchdaten)
• Interessenten- und Bewerberprofile (Kontaktdaten, Gehaltsnachweise, Selbstauskunft, SCHUFA)
• Besichtigungslisten mit Terminen und Personenangaben
• Kommunikationshistorien per E-Mail, WhatsApp oder Telefon
• Fotos und Videos von Objekten, die mitunter auch Personen zeigen

Die DSGVO (Datenschutz-Grundverordnung) gilt für all diese Daten — und zwar von dem Moment an, in dem Sie das erste Mal eine Interessentenanfrage entgegennehmen. Verstöße können Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen. Für ein kleines Maklerbüro kann bereits ein mittleres Bußgeld existenzbedrohend sein.

Die wichtigsten DSGVO-Grundprinzipien für Makler

Die DSGVO kennt sieben Grundsätze, von denen für die Immobilienvermarktung vor allem diese fünf praxisrelevant sind:

Rechtsgrundlagen: Wann dürfen Sie Daten verarbeiten?

Ohne Rechtsgrundlage ist jede Datenverarbeitung verboten. Für Makler kommen in der Praxis vor allem drei Grundlagen in Frage:

1. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Sobald ein Maklervertrag oder eine verbindliche Vereinbarung besteht, dürfen Sie die dafür notwendigen Daten verarbeiten.
2. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Für die Erstansprache von Kaufinteressenten oder die Durchführung von Besichtigungen kann ein berechtigtes Interesse greifen — allerdings nur nach einer sorgfältigen Interessenabwägung.
3. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Für Marketingmaßnahmen wie Newsletter oder das Weiterleiten von Daten an Dritte (z. B. Baufinanzierungspartner) ist in der Regel eine ausdrückliche Einwilligung notwendig.

Praxishinweis: Eine mündlich erteilte Einwilligung ist nach der DSGVO zwar grundsätzlich möglich, aber schwer nachweisbar. Setzen Sie auf schriftliche oder digitale Einwilligungen mit Zeitstempel.

Datenschutz in der Immobilienvermarktung: Die kritischsten Prozesse

1. Interessentenanfragen und -verwaltung

Wenn ein Interessent über ein Immobilienportal, Ihre Website oder per E-Mail Kontakt aufnimmt, beginnt die Datenverarbeitung sofort. Folgende Punkte sind dabei zwingend:

• Datenschutzhinweis bei der Kontaktaufnahme: Auf Ihrer Website, im Kontaktformular und in automatischen Antwort-E-Mails muss ein Link zur Datenschutzerklärung enthalten sein.
• Zweckangabe: Der Interessent muss verstehen, wofür seine Daten genutzt werden.
• Keine unregulierten Weiterleitungen: Interessentendaten dürfen nicht ohne weiteres an Dritte — etwa Bauträger oder Finanzierungsvermittler — weitergegeben werden.

2. Besichtigungstermine und Besucherlisten

Das Führen einer Besichtigungsliste ist für viele Makler Routine — datenschutzrechtlich aber ein heikles Thema:

• Besucherlisten dürfen nicht für alle Teilnehmer einsehbar ausgelegt werden (jeder Teilnehmer sieht sonst die Daten der anderen).
• Digitale Erfassung via Tablet oder App ist datenschutzrechtlich sicherer als eine Papierliste.
• Die erhobenen Daten (Name, Kontakt) dürfen nach Abschluss der Vermarktung nur so lange gespeichert werden, wie dies notwendig ist — in der Regel wenige Wochen bis Monate.

3. Mieterbewerbungen und Selbstauskunft

Hier lauert eine der größten Fallen: Vermieter und Makler fordern oft mehr Informationen, als sie benötigen und verlangen dürfen. Die SCHUFA-Auskunft, Gehaltsnachweise und der Personalausweis dürfen erst dann verlangt werden, wenn die Auswahl der Mietbewerber konkret bevorsteht — nicht pauschal von allen Interessenten beim ersten Kontakt.

Unzulässig sind generell:

• Fragen nach Familienplanung, Religionszugehörigkeit oder Herkunft
• Kopien des Personalausweises ohne konkreten Anlass
• Das Weiterleiten von Bewerbungsunterlagen an den Eigentümer ohne Einwilligung des Bewerbers

4. Exposés, Fotos und Drohnenaufnahmen

Exposés enthalten oft Informationen, die Rückschlüsse auf den Eigentümer erlauben. Fotos aus dem Inneren der Wohnung können persönliche Gegenstände und damit indirekt persönliche Daten zeigen. Für Drohnenaufnahmen gilt besonderes Augenmerk: Werden dabei Nachbargrundstücke oder Personen erfasst, kommt zusätzlich das Bundesdatenschutzgesetz und ggf. das KUG (Kunsturhebergesetz) ins Spiel.

Checkliste: Datenschutzkonforme Exposés

• Keine identifizierenden Merkmale der Bewohner in Fotos
• Keine persönlichen Gegenstände, Medikamente, Dokumente sichtbar
• Eigentümer hat Fotoaufnahmen und Veröffentlichung schriftlich genehmigt
• Drohnenaufnahmen: nur eigenes Grundstück, keine erkennbaren Personen
• Exposé-Versand nur an Interessenten mit Datenschutzhinweis

5. Immobilienportale und Drittplattformen

Wer Objekte auf Portalen wie ImmobilienScout24, Immowelt oder eBay Kleinanzeigen einstellt, schließt mit diesen eine Auftragsverarbeitungsvereinbarung (AVV) ab. Das ist Pflicht nach Art. 28 DSGVO. Prüfen Sie:

• Liegt für jedes von Ihnen genutzte Portal ein unterzeichneter AVV vor?
• Sind die Nutzungsbedingungen des Portals DSGVO-konform?
• Wie lange speichert das Portal die Interessentendaten — und haben Sie darauf Einfluss?

Technische und organisatorische Maßnahmen (TOMs)

Die DSGVO verlangt von jedem Verantwortlichen „geeignete technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten (Art. 32 DSGVO). Für Maklerunternehmen und Hausverwaltungen bedeutet das konkret:

Organisatorische Maßnahmen:

• Internes Datenschutzkonzept und Verzeichnis von Verarbeitungstätigkeiten (VVT) — ab mehr als 20 Mitarbeitern mit personenbezogener Datenverarbeitung faktisch Pflicht
• Mitarbeiterschulungen zum Datenschutz mindestens einmal jährlich
• Klare Regelungen, wer auf welche Daten zugreifen darf
• Löschkonzept mit definierten Aufbewahrungsfristen

Technische Maßnahmen:

• Verschlüsselte E-Mail-Kommunikation (TLS-Transportverschlüsselung als Minimum, besser Ende-zu-Ende)
• Passwortschutz und Zugriffsrechte im CRM-System
• Sichere Cloud-Ablage statt loser E-Mail-Anhänge
• Regelmäßige Datensicherung nach der 3-2-1-Regel
• Antivirensoftware und aktuelle Betriebssystemupdates

Wer noch kein strukturiertes IT-Fundament hat, sollte das frühzeitig angehen — etwa über Managed IT-Services für den Mittelstand, die viele dieser Anforderungen bereits standardmäßig abdecken.

Praxisbeispiel: So sieht ein datenschutzkonformer Vermarktungsprozess aus

Ausgangslage: Ein Makler aus dem Berliner Raum vermarktet eine Eigentumswohnung. Täglich gehen 15–25 Anfragen über das Portal und die eigene Website ein.

Frühere Praxis (nicht DSGVO-konform):

• Interessentendaten wurden in einer Excel-Tabelle ohne Zugriffsschutz gesammelt
• Beim Tag der offenen Tür lag eine Papierliste aus, die für alle lesbar war
• Bewerbungsunterlagen wurden unverschlüsselt per E-Mail an den Eigentümer weitergeleitet
• Daten wurden nach Abschluss des Verkaufs nie gelöscht

Neue, DSGVO-konforme Praxis:

1. Alle Anfragen laufen in ein CRM-System mit Rollen- und Zugriffsrechten ein
2. Auf dem Kontaktformular der Makler-Website ist eine aktuelle Datenschutzerklärung verlinkt
3. Beim Besichtigungstermin wird eine digitale Erfassung genutzt — nicht einsehbar für andere Teilnehmer
4. Bewerbungsunterlagen werden über ein gesichertes Dokumentenportal geteilt, nicht per E-Mail
5. 90 Tage nach Abschluss der Vermarktung werden alle nicht-vertragsrelevanten Interessentendaten automatisch gelöscht

Dieser Prozess erfordert eine initiale Einrichtungszeit von etwa zwei bis drei Tagen — schützt den Makler aber vor empfindlichen Bußgeldern und signalisiert Verkäufern wie Käufern professionelles Handeln.

Datenschutzerklärung und Impressum auf der Makler-Website

Eine eigene Website ist für Makler heute Standard. Dabei werden in der Regel Cookies gesetzt, Google-Dienste eingebunden und Kontaktformulare verwendet — all das erfordert eine rechtssichere Datenschutzerklärung. Wichtige Pflichtinhalte:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (sofern vorhanden oder pflichtgemäß bestellt)
• Zweck und Rechtsgrundlage jeder Datenverarbeitung auf der Website
• Einsatz von Cookies, Tracking-Tools und eingebundenen Diensten
• Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Widerspruch)
• Hinweis auf das Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde

Wer unsicher ist, ob die eigene Website datenschutzrechtlich auf dem aktuellen Stand ist, sollte das professionell prüfen lassen. Einen ersten Überblick gibt auch unser Artikel zu DSGVO im Alltag: Was kleine Unternehmen wirklich wissen müssen.

Besondere Herausforderung: WhatsApp & Co. in der Kundenkommunikation

Viele Makler kommunizieren mit Interessenten über WhatsApp — praktisch, aber problematisch. WhatsApp liest Adressbücher aus und überträgt Metadaten auf US-Server. Das ist nach der DSGVO in einer beruflichen Nutzung ohne ausdrückliche Einwilligung und entsprechende technische Absicherung kaum rechtssicher zu gestalten. Alternativen:

• Signal (Ende-zu-Ende-verschlüsselt, kein Adressbuch-Upload)
• Threema Work (Ende-zu-Ende-verschlüsselt, DSGVO-konform, ohne Telefonnummer)
• E-Mail mit TLS als Standard für alle formellen Kommunikationsschritte

Datenschutzbeauftragter: Wann ist er Pflicht?

Nach § 38 BDSG müssen Unternehmen, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, einen Datenschutzbeauftragten (DSB) bestellen. Für die meisten kleinen Maklerbüros ist das keine gesetzliche Pflicht — aber auch kleine Unternehmen können freiwillig einen externen DSB bestellen, was angesichts der Komplexität der DSGVO oft sinnvoll ist.

Wann ein externer DSB sinnvoll ist:

• Ab mehr als 5 Mitarbeitern mit regelmäßigem Datenzugriff
• Bei intensiver Nutzung von Portalen, CRM-Systemen und Cloud-Diensten
• Wenn Sie regelmäßig besonders sensible Daten (z. B. Bonitätsauskünfte) verarbeiten

Datenschutz und digitale Transformation: Chancen statt Last

Datenschutz wird in vielen Maklerbüros als bürokratische Belastung wahrgenommen. Dabei bietet die strukturierte Auseinandersetzung damit echte strategische Vorteile:

• Vertrauen bei Eigentümern: Wer nachweislich datenschutzkonform arbeitet, gewinnt Alleinaufträge leichter.
• Effizienz durch Struktur: Ein strukturiertes CRM-System, klare Prozesse und definierte Löschfristen machen die gesamte Vermarktung professioneller.
• Schutz vor Abmahnungen: Datenschutzverstöße können auch von Mitbewerbern abgemahnt werden.

Die Digitalisierung von Maklerprozessen — von der Interessentenverwaltung über digitale Besichtigungsbuchungen bis hin zu sicheren Dokumentenportalen — ist ohnehin der Weg, den moderne Immobilienunternehmen gehen. Wer dabei Datenschutz von Anfang an mitdenkt, spart spätere Nachbesserungen.

Für Makler und Hausverwaltungen, die ihre digitalen Prozesse neu aufstellen wollen, bietet unsere Branchenlösung für Immobilienmakler einen guten Ausgangspunkt.

Häufige Datenschutz-Fehler in der Immobilienvermarktung — und wie Sie sie vermeiden

Fazit: Datenschutz in der Immobilienvermarktung ist machbar

Datenschutz in der Immobilienvermarktung ist komplex, aber keineswegs unlösbar. Die wichtigsten Schritte sind:

1. Bestandsaufnahme: Welche personenbezogenen Daten verarbeiten Sie wo und wie?
2. Rechtsgrundlagen klären: Für jeden Verarbeitungszweck eine klare Grundlage definieren
3. Prozesse anpassen: Besichtigungsmanagement, Exposéversand, Bewerbungsunterlagen datenschutzkonform gestalten
4. Technik nachrüsten: CRM mit Zugriffsrechten, verschlüsselte Kommunikation, sichere Cloud-Ablage
5. Dokumentation führen: Verarbeitungsverzeichnis, Einwilligungsnachweise, AVVs mit Portalen

Wer diese fünf Schritte konsequent umsetzt, ist gut aufgestellt — und kann gegenüber Eigentümern, Mietern und Käufern professionellen Datenschutz als echtes Qualitätsmerkmal kommunizieren.

Haben Sie Fragen, wo bei Ihrem Maklerbüro oder Ihrer Hausverwaltung der größte Handlungsbedarf besteht? Sprechen Sie uns unverbindlich an — wir unterstützen Sie bei der DSGVO-konformen Gestaltung Ihrer digitalen Prozesse.