DSGVO für Makler-Websites: Was Sie wirklich brauchen (und was nicht)

Kaum ein Unternehmen verarbeitet online so viele personenbezogene Daten wie ein Maklerbüro: Kontaktanfragen, Finanzierungsangaben, Besichtigungstermine, manchmal sogar Gehaltsnachweise über ein Kontaktformular. Trotzdem behandeln viele Makler-Websites die DSGVO wie eine lästige Pflichtübung — ein Cookie-Banner drüber, ein Textbaustein als Datenschutzerklärung, fertig. Das reicht in der Praxis oft nicht, und die Lücken sind meistens genau dort, wo man sie nicht vermutet: nicht bei der Website selbst, sondern an den Schnittstellen zur Maklersoftware und zu Google.

Warum Makler-Websites ein besonderes DSGVO-Risiko haben

Eine normale Unternehmenswebsite sammelt selten mehr als Name, E-Mail und eine Nachricht. Eine Makler-Website sammelt strukturell mehr: Anfragen zu konkreten Objekten, oft mit Angaben zu Budget, Eigenkapital oder gewünschtem Einzugstermin — Daten, die schnell in Richtung Bonitäts- und Finanzinformationen gehen. Dazu kommt die Anbindung an die Maklersoftware (onOffice, FlowFact, PROPSTACK und Co.), über die diese Daten meist automatisch weiterfließen, und die Objektfotos selbst, auf denen mitunter Personen oder private Innenräume zu erkennen sind. Jede dieser drei Stellen braucht eine eigene, saubere Antwort.

Die Grundausstattung: Was jede Website ohnehin braucht

Impressum — Pflicht für jede geschäftsmäßige Website nach § 5 DDG (vormals TMG), unabhängig von der DSGVO. Vollständiger Name, ladungsfähige Anschrift, Kontaktmöglichkeit, bei Maklern zusätzlich Angaben zur Erlaubnis nach § 34c GewO und zur zuständigen Aufsichtsbehörde.

Datenschutzerklärung — muss konkret benennen, welche Daten zu welchem Zweck verarbeitet werden: Kontaktformular, Server-Logs, eingebundene Drittdienste (Google Maps, Google Fonts, Google Analytics), und im Maklerkontext explizit die Weitergabe von Anfragedaten an die eingesetzte CRM-Software. Ein generischer Textbaustein von der Stange deckt diesen letzten Punkt fast nie ab.

Cookie-Consent — ein Consent-Banner, das vor der Einwilligung technisch nicht notwendige Cookies setzt (Analytics, Marketing-Pixel), verstößt gegen § 25 TTDSG und die DSGVO gleichermaßen. Entscheidend ist nicht, dass ein Banner da ist, sondern dass es technisch blockiert, bevor eine aktive Auswahl getroffen wurde.

Die drei Stellen, die bei Makler-Websites oft übersehen werden

1. Kontaktformulare mit Finanzierungsangaben

Ein Formular, das nach Eigenkapital oder gewünschtem Kreditrahmen fragt, verarbeitet potenziell sensible Angaben. Notwendig sind hier: eine explizite Einwilligung statt einer stillschweigend vorausgesetzten, eine verschlüsselte Übertragung (TLS, heute Standard, aber prüfenswert), eine klare Zweckbindung — die Daten dürfen nur für die konkrete Anfrage genutzt werden, nicht automatisch im Newsletter-Verteiler landen — und eine Löschfrist, die im Datenschutzhinweis am Formular selbst steht, nicht nur irgendwo in der allgemeinen Erklärung.

2. Die CRM-Schnittstelle

Sobald Anfragedaten von der Website automatisch an onOffice, FlowFact, PROPSTACK oder ein anderes System übergeben werden, braucht es dafür eine Rechtsgrundlage und in der Regel einen Auftragsverarbeitungsvertrag (AVV) mit dem Softwareanbieter — die meisten großen Anbieter stellen diesen standardmäßig zur Verfügung, er muss aber tatsächlich abgeschlossen sein, nicht nur theoretisch verfügbar. Wer Objektdaten zusätzlich über eine OpenImmo-Schnittstelle mit echten, indexierbaren Exposé-Seiten statt iFrame einbindet (siehe unser Vergleich der drei Systeme), sollte hier besonders genau hinschauen: Jede zusätzliche automatisierte Datenübertragung ist ein zusätzlicher Verarbeitungsschritt, der dokumentiert gehört.

3. Objektfotos und Personenbilder

Innenaufnahmen einer bewohnten Immobilie zeigen mitunter private Gegenstände, manchmal auch Personen im Bild. Vor der Veröffentlichung braucht es die Einwilligung der Bewohner beziehungsweise Eigentümer — im Maklervertrag idealerweise gleich mit geregelt, nicht als nachträgliche Frage. Bei Teamfotos oder Kundenreferenzen auf der eigenen Website gilt dasselbe: schriftliche Einwilligung, dokumentiert, mit der Möglichkeit, sie zu widerrufen.

Checkliste: DSGVO-Selbsttest für Ihre Website in 15 Minuten

Was DSGVO-Konformität nicht ist

Ein Cookie-Banner allein macht eine Website nicht konform, genauso wenig wie eine 15 Seiten lange, aus dem Internet kopierte Datenschutzerklärung. Beides sind Bausteine, keine Lösung. Umgekehrt bedeutet DSGVO-Konformität auch nicht, dass Sie auf CRM-Integration, Analytics oder Objektfotos verzichten müssen — es bedeutet, dass jeder dieser Bausteine eine dokumentierte, technisch sauber umgesetzte Rechtsgrundlage braucht. Das ist am Ende weniger Aufwand als eine Abmahnung oder eine Beschwerde bei der Aufsichtsbehörde, und es schafft nebenbei genau das Vertrauen, das eine Anfrage über ein Kontaktformular mit Finanzierungsangaben überhaupt erst wahrscheinlich macht.

Dieser Artikel ersetzt keine Rechtsberatung. Für die konkrete Formulierung von Datenschutzerklärung und AVV empfiehlt sich bei Unsicherheit die Abstimmung mit einem auf Datenschutzrecht spezialisierten Anwalt oder Datenschutzbeauftragten.