In einem Satz. Immobilienmakler verarbeiten umfangreiche Personendaten von Interessenten, Mietern und Käufern unter den Pflichten der DSGVO, der MaBV (Makler- und Bauträgerverordnung), des GwG (Geldwäschegesetz mit Identifizierungspflicht ab erstem Kontakt im Immobilienkauf) und der vom BGH 2021 klar gezogenen Grenzen für Mieterselbstauskünfte — mit den Aufsichtsbehörden der Länder als Bußgeldinstanzen.
Wichtige Punkte
- Mieterselbstauskunft: BGH 2021 setzt klare Grenzen — nur erforderliche Daten.
- GwG-Identifizierungspflicht bei Immobilien-Kaufgeschäften (§ 11 GwG).
- Bonitätsabfrage (Schufa, Creditreform) nur mit Rechtsgrundlage.
- Exposé-Veröffentlichung mit Personenbezug: BGH 2019 strenge Anforderungen.
- DSB-Pflicht ab 20 Personen mit automatisierter Verarbeitung.
1. Rechtsgrundlagen
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Maklervertrag | Art. 6 Abs. 1 lit. b |
| Interessentenanfrage | Art. 6 Abs. 1 lit. b (Vertragsanbahnung) |
| Bonitätsprüfung Mieter | Art. 6 Abs. 1 lit. f + Vermieterinteresse |
| GwG-Identifizierung | Art. 6 Abs. 1 lit. c |
| Marketing/Newsletter | Einwilligung (Art. 6 Abs. 1 lit. a) |
2. Mieterselbstauskunft
BGH 2021 und ZIA-Verband haben klare Grenzen gezogen. Zulässig vor Vertragsschluss:
- Name, Anschrift, Telefon, E-Mail
- Anzahl Personen im Haushalt
- Beruf (allgemein)
- Einkommensbestätigung (Nettoeinkommen)
Unzulässig vor Vertragsschluss:
- Detaillierte Bonitätsdaten
- Schwangerschaft
- Religion, Ethnie
- Frühere Mietverhältnisse im Detail
- Strafregister
Bei Vertragsabschluss erweiterter Datensatz möglich.
Das tragende Prinzip heißt Stufenmodell: Je näher der Vertragsschluss, desto mehr Daten sind erforderlich — und damit zulässig. In der Besichtigungsphase genügen Name und Kontaktdaten. Erst wenn ein konkretes Mietangebot im Raum steht, werden Einkommensnachweise verhältnismäßig. Bonitätsauskünfte und Ausweiskopien gehören frühestens in die letzte Stufe, nach der grundsätzlichen Vergabeentscheidung. Wer diesen zeitlichen Aufbau einhält, argumentiert im Prüffall souverän; wer standardmäßig alles auf einmal abfragt, verstößt gegen die Datenminimierung — unabhängig davon, ob die Daten je genutzt werden.
Für die Weitergabe an den Vermieter gilt: Der Makler ist regelmäßig eigener Verantwortlicher gegenüber dem Interessenten und darf die Selbstauskunft nur mit Rechtsgrundlage weiterreichen. Zulässig ist die Übermittlung der erforderlichen Daten des tatsächlich ausgewählten Bewerbers zur Vertragsanbahnung; die Weitergabe ganzer Bewerberlisten mit sensiblen Angaben ist unzulässig.
3. Bonitätsprüfung
Schufa-/Creditreform-Anfrage:
- Vor Mietvertrag: nur mit Einwilligung des Interessenten
- Schufa BonitätsCheck (vom Interessenten selbst eingeholt) ist gängiger Weg
- Weitergabe an Vermieter: nur mit Einwilligung
Bei Kauf: Bonitätsprüfung über Bank — Makler ist nicht zuständig.
4. GwG-Identifizierung
§ 11 GwG verpflichtet zur Identifizierung von:
- Käufern und Verkäufern (ab erstem Kontakt im Immobilienkauf)
- Auch wirtschaftlich Berechtigte (Transparenzregister)
- Aufbewahrung: 5 Jahre nach Geschäftsabschluss
Datenarten: Ausweiskopie, Geburtsdatum, Geburtsort, Staatsangehörigkeit. Diese GwG-Pflichten kennen auch andere Verpflichtete — wie unser Leitfaden zum Mandantengeheimnis in Anwaltskanzleien und unsere DSGVO-Hinweise für Steuerberater zeigen, allerdings dort zusätzlich unter strafbewehrter Schweigepflicht.
5. Exposé-Datenschutz
Bei Vermarktung von Immobilien:
- Eigentümerdaten nicht im öffentlichen Exposé
- Fotos: keine Persönlichkeiten erkennbar
- Adresse: oft nur “Lage” angeben, exakte Adresse erst bei seriösem Interesse
- Innenaufnahmen: keine privaten Gegenstände erkennbar (BGH 2019 zu Inneneinrichtung)
6. Online-Portale (ImmobilienScout, Immowelt)
Datenweitergabe an Portale:
- AVV nach Art. 28 DSGVO erforderlich
- Information an Interessenten (Art. 13 DSGVO)
- Datenstandort EU
- ScamShield-Tools: nicht über erforderliches Maß hinaus
7. CRM und Interessenten-Datenbank
Speicherung von Interessenten:
- Rechtsgrundlage Art. 6 Abs. 1 lit. f (berechtigtes Interesse)
- Löschung nach 12-24 Monaten ohne Aktivität (Empfehlung)
- Bei Kontaktwunsch durch Interessenten: Einwilligung
- Widerspruchsrecht (Art. 21) klar kommunizieren
8. Aufbewahrungsfristen
| Dokument | Frist | Grundlage |
|---|---|---|
| Maklervertrag, Provisionsbelege | 6 Jahre | § 147 AO |
| GwG-Identifizierungsunterlagen | 5 Jahre | § 8 GwG |
| Interessenten-Daten (ohne Vertrag) | max. 24 Monate | DSGVO Verhältnismäßigkeit |
| Geschäftskorrespondenz | 6 Jahre | § 257 HGB |
9. Datenpannen
Typische Vorfälle:
- Verlust von Notebooks/USB-Sticks mit Interessentendaten
- Falschadressierte Exposés
- Phishing mit Übernahme Maklerkonten in Portalen
- Übermäßige Datenerhebung als systematischer Verstoß
Meldepflicht 72h an LDA. Bei Übermäßiger Datenerhebung: Verwaltungsverfahren ohne konkrete Panne möglich.
10. Sanktionsbeispiele
| Fall | Sanktion | Behörde |
|---|---|---|
| Immobilienmakler (Mieterselbstauskunft) | €15.000 | LfDI BaWü |
| Wohnungsgesellschaft (übermäßige Daten) | €170.000 | LDI NRW |
| Großmakler (Interessenten-DB ohne Löschung) | €50.000 | BayLDA |
| Deutsche Wohnen | €14,5M | BlnBDI |
Der Deutsche-Wohnen-Fall (Speicherung über erforderlich hinaus) ist Lehrbuch-Beispiel.
11. Informationspflichten
Bei jedem Erstkontakt:
- Datenschutzerklärung auf Website
- Hinweis bei telefonischem Erstkontakt (kurz, mit Link)
- Vollständige Information bei Maklervertrag
12. Der Deutsche-Wohnen-Fall im Detail
Der wichtigste Präzedenzfall der Branche verdient eine genaue Betrachtung, weil er häufig verkürzt zitiert wird. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) verhängte 2019 gegen die Deutsche Wohnen SE ein Bußgeld von 14,5 Mio. Euro wegen eines Archivsystems, das Mieterdaten (Gehaltsnachweise, Kontoauszüge, Steuerdaten) ohne Löschmöglichkeit über Jahre speicherte — ein klarer Verstoß gegen die Speicherbegrenzung (Art. 5 Abs. 1 lit. e, Art. 25 DSGVO).
Entscheidend ist die Verfahrensgeschichte: Das LG Berlin stellte das Verfahren 2021 zunächst ein, weil nach deutschem Ordnungswidrigkeitenrecht eine konkrete Anknüpfungstat einer Leitungsperson fehle. Der EuGH stellte jedoch mit Urteil C-807/21 vom 5. Dezember 2023 klar, dass ein Unternehmen unmittelbar für DSGVO-Verstöße mit Bußgeld belegt werden kann — ohne dass die Tat einer identifizierten natürlichen Person zugerechnet werden muss, aber nur bei Verschulden. Die Kernlehre für Makler und Wohnungsunternehmen bleibt: Datenhalden ohne Löschkonzept sind das teuerste Risiko der Branche.
13. Löschkonzept als zentrale Pflicht
Aus den Aufsichtsverfahren lässt sich ein klarer Handlungsauftrag ableiten. Ein Makler braucht ein dokumentiertes Löschkonzept, das für jede Datenkategorie Fristen definiert:
| Datenkategorie | Auslöser | Frist |
|---|---|---|
| Interessent ohne Abschluss | letzter Kontakt | 6–12 Monate |
| Nicht berücksichtigte Mietbewerber | Vergabeentscheidung | unverzüglich nach Abschluss |
| Selbstauskünfte abgelehnter Bewerber | Absage | sofort zurückgeben/löschen |
| Vertragsunterlagen | Vertragsende | handels-/steuerrechtliche Fristen |
| GwG-Unterlagen | Geschäftsabschluss | 5 Jahre |
Besonders heikel: die Selbstauskünfte nicht ausgewählter Mietbewerber. Sie müssen unmittelbar nach der Vergabe vernichtet oder zurückgegeben werden — ihre Aufbewahrung “für den Fall der Fälle” ist ein klassischer Verstoß.
14. Tool-Unterstützung
Fazit
Immobilienmakler bewegen sich in einem datenintensiven Geschäft, das von Aufsichtsbehörden zunehmend kritisch beobachtet wird. Wer die BGH-Grenzen für Mieterselbstauskünfte ignoriert oder Interessentendaten unbegrenzt hortet, ist erstes Ziel der nächsten Bußgeldwelle. Die wichtigsten Pflichten fasst unser kompakter DSGVO-Leitfaden für Immobilienmakler zusammen.
FAQ
Welche Daten darf ich im Mieterfragebogen abfragen?
Vor Vertragsabschluss nur erforderliche (Name, Kontakt, Personenzahl, Einkommen). Detaillierte Bonitätsdaten erst bei Vertragsabschluss.
Brauche ich Einwilligung für Schufa-Anfrage?
Ja, vor Vertragsabschluss. Üblich: Mieter bringt selbst Schufa-BonitätsCheck mit (kein Datenschutzproblem).
GwG-Pflicht: Wann beginnt sie?
Ab erstem Kontakt im Immobilien-Kaufgeschäft (§ 11 GwG), nicht erst bei Vertragsabschluss. Bei Vermietung keine GwG-Pflicht.
Wie lange darf ich Interessentendaten speichern?
Faustregel 12-24 Monate ohne Aktivität, danach Löschung oder Anonymisierung. Bei Einwilligung des Interessenten länger zulässig.
Brauche ich einen Datenschutzbeauftragten?
Ab 20 Personen mit automatisierter Verarbeitung (DSB-Pflicht nach § 38 BDSG). Bei großen Vermarktungsdatenbanken ggf. früher.
Darf ich Selbstauskünfte abgelehnter Bewerber aufbewahren?
Nein. Sobald die Vergabeentscheidung gefallen ist, sind die Unterlagen der nicht berücksichtigten Bewerber unverzüglich zu vernichten oder zurückzugeben. Eine Aufbewahrung “für den Fall der Fälle” verstößt gegen die Speicherbegrenzung und ist ein häufiger Bußgeldgrund.
Muss ich Interessenten beim Erstkontakt informieren?
Ja. Nach Art. 13 DSGVO besteht eine Informationspflicht bereits bei Erhebung. In der Praxis genügt beim Telefonkontakt ein kurzer Hinweis mit Verweis auf die vollständige Datenschutzerklärung; bei schriftlichem Kontakt wird die Erklärung mitgeliefert oder verlinkt.
Ist die Weitergabe an ImmobilienScout & Co. ein Auftragsverarbeitungsverhältnis?
Soweit das Portal Daten weisungsgebunden im Auftrag des Maklers verarbeitet, ja — dann ist ein AVV nach Art. 28 DSGVO nötig. Nutzt das Portal die Daten für eigene Zwecke, liegt eine eigenständige Verantwortlichkeit oder Übermittlung vor, die einer eigenen Rechtsgrundlage bedarf.