Ratgeber · Von Inscalia Redaktion · 2026-09-20 · 7 Min. Lesezeit

Datenschutz im Immobilienvertrieb: DSGVO bei Leads, Anrufaufzeichnung und WhatsApp

Ein Vertrieb verarbeitet Einkommen, Vermögen und Familienstand seiner Interessenten, bevor ein Vertrag existiert. Welche Rechtsgrundlage für Leads gilt, was bei Gesprächsaufzeichnungen zwingend ist und unter welchen Bedingungen WhatsApp im Kundenkontakt zulässig bleibt.

Kaum eine Branche verarbeitet so viele sensible Daten so früh im Prozess wie der Kapitalanlagevertrieb. Schon im Erstgespräch geht es um Einkommen, Eigenkapital, Steuersatz und Familienstand, bevor irgendein Vertrag geschlossen ist. Dazu kommen Aufzeichnungen von Telefonaten, WhatsApp-Verläufe und Daten, die von Partnern und Portalen weitergereicht werden. Die Datenschutz-Grundverordnung (DSGVO) verbietet nichts davon, aber sie verlangt für jeden Schritt eine Rechtsgrundlage, eine Information und eine Frist.

Dieser Artikel behandelt die drei Bereiche, in denen im Vertrieb am häufigsten etwas schiefgeht: der Umgang mit Leads, die Aufzeichnung von Gesprächen und die Nutzung von WhatsApp.

Leads: Rechtsgrundlage und Information

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für Leads kommen drei in Betracht. Die Einwilligung (lit. a) ist die Grundlage, wenn der Interessent ein Formular ausfüllt und dabei ausdrücklich der Kontaktaufnahme zustimmt. Die Vertragsanbahnung (lit. b) trägt die Verarbeitung, die zur Durchführung vorvertraglicher Maßnahmen auf Anfrage des Betroffenen nötig ist, also die Bearbeitung einer Objektanfrage. Das berechtigte Interesse (lit. f) kann Grundlage für die Speicherung nach Abschluss oder Absage sein, verlangt aber eine dokumentierte Abwägung.

Unabhängig von der Grundlage gilt die Informationspflicht nach Art. 13 DSGVO: Bei der Erhebung muss der Interessent erfahren, wer verantwortlich ist, wozu die Daten verarbeitet werden, auf welcher Grundlage, wie lange, an wen sie weitergegeben werden und welche Rechte er hat. Bei Formularen ist das ein Link auf die Datenschutzerklärung; bei telefonischer Erhebung genügt der Hinweis mit Verweis auf die Erklärung. Werden Daten nicht beim Betroffenen selbst erhoben, etwa über einen Tippgeber oder Datenkauf, greift Art. 14 DSGVO mit einer Informationspflicht innerhalb eines Monats.

Zwei Einwilligungen, nicht eine: Die datenschutzrechtliche Einwilligung zur Verarbeitung und die wettbewerbsrechtliche Einwilligung zur Werbung nach § 7 UWG sind zwei verschiedene Dinge. Ein Interessent, der eine Objektanfrage stellt, hat die Verarbeitung dafür erlaubt, aber nicht automatisch den Anruf zu einem anderen Objekt in sechs Monaten. Nach § 7a UWG ist die Werbeeinwilligung zu dokumentieren und fünf Jahre aufzubewahren.

Löschen: die Frist, die niemand setzt

Nach Art. 5 Abs. 1 lit. e DSGVO dürfen Daten nur so lange gespeichert werden, wie es der Zweck erfordert. Ein Lead, der vor drei Jahren abgesagt hat und seither nicht kontaktiert wurde, hat keinen Zweck mehr. Im Vertrieb fehlt fast immer ein Löschkonzept, weil niemand einen Lead löschen will, der vielleicht noch einmal kauft. Die DSGVO lässt das nicht zu, wenn kein berechtigtes Interesse mehr dokumentierbar ist.

Anrufaufzeichnung: Strafrecht vor Datenschutz

Wer ein Telefonat aufzeichnet, ohne dass der Gesprächspartner es weiß und zustimmt, macht sich nach § 201 StGB strafbar. Das ist keine Datenschutzfrage mit Bußgeld, sondern ein Straftatbestand. Die Einwilligung muss vor Beginn der Aufzeichnung eingeholt werden, von beiden Seiten, und sie muss ausdrücklich sein. Ein Hinweis in der Datenschutzerklärung reicht nicht; ein Satz am Anfang des Gesprächs mit der Frage, ob die Aufzeichnung in Ordnung ist, und die bestätigende Antwort des Kunden genügen, wenn sie dokumentiert werden.

Datenschutzrechtlich ist die Aufzeichnung dann eine Verarbeitung auf Grundlage der Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 7 DSGVO. Sie ist jederzeit widerrufbar; widerruft der Kunde während des Gesprächs, wird die Aufzeichnung beendet. Wird das Gespräch anschließend transkribiert oder durch eine KI ausgewertet, ist das ein weiterer Zweck, der bei der Einwilligung genannt sein muss. Auch die Mitarbeiter, deren Stimme aufgezeichnet wird, sind Betroffene; ihre Grundlage ergibt sich aus dem Beschäftigungsverhältnis und muss mit dem Betriebsrat abgestimmt sein, wo einer besteht.

Praxisregel: Die Aufzeichnung startet erst nach dem gesprochenen Ja des Kunden, und dieses Ja ist Teil der Aufzeichnung. Ein Skript für den Einstiegssatz gehört in jeden Leitfaden.

WhatsApp: welche Variante und mit welchem Vertrag

WhatsApp ist im Kundenkontakt üblich geworden, aber nicht jede Nutzungsform ist zulässig. Die Verbraucher-App und die einfache WhatsApp Business App greifen auf das Adressbuch des Geräts zu und übermitteln die Telefonnummern aller Kontakte, auch derer, die keine Kunden sind, an den Anbieter. Für diese Übermittlung gibt es keine Rechtsgrundlage. Aufsichtsbehörden haben das mehrfach beanstandet.

Anders liegt es bei der WhatsApp Business Platform, also der Anbindung über die Schnittstelle des Anbieters. Hier findet kein Adressbuchabgleich statt, und der Anbieter stellt einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zur Verfügung. Die Kommunikation läuft dann über eine Geschäftsnummer, wird im CRM gespeichert und unterliegt den dort geltenden Rollen und Löschfristen. Voraussetzungen für den zulässigen Einsatz:

Weitergabe an Partner und Finanzierer

Sobald Leads an Vertriebspartner, Finanzierer oder Bauträger weitergegeben werden, braucht jede Übermittlung eine eigene Grundlage. Die Weitergabe der Selbstauskunft an einen Finanzierer ist durch die Vertragsanbahnung gedeckt, wenn der Kunde die Finanzierung angefragt hat. Die Weitergabe eines Leads an einen anderen Vertrieb ist es nicht; sie braucht eine Einwilligung oder eine Vereinbarung, die die Rollen klärt, gegebenenfalls eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Jeder Dienstleister, der Daten in deinem Auftrag verarbeitet, vom CRM-Anbieter bis zur Telefonieplattform, braucht einen Vertrag nach Art. 28 DSGVO. Das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO listet all das auf; bei einer Prüfung ist es das erste Dokument, nach dem gefragt wird.

Datenpanne: 72 Stunden

Ein verlorenes Notebook mit Selbstauskünften, eine E-Mail mit dem falschen Anhang an den falschen Kunden, ein Partner, der Zugriff auf mehr Objekte hatte als freigegeben: Das sind Verletzungen des Schutzes personenbezogener Daten. Nach Art. 33 DSGVO müssen sie der Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden, sofern nicht unwahrscheinlich ist, dass ein Risiko für die Betroffenen besteht. Bei hohem Risiko sind nach Art. 34 DSGVO auch die Betroffenen zu informieren. Jede Verletzung ist intern zu dokumentieren, auch wenn sie nicht meldepflichtig ist. Ein Vertrieb braucht dafür einen festen Ablauf: Wer wird informiert, wer bewertet, wer meldet. In der Hektik des Vorfalls ist es zu spät, das zu klären.

Rollen und Rechte im CRM

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Für ein Vertriebs-CRM heißt das vor allem: Ein Caller sieht nur seine Anrufliste, nicht die Selbstauskünfte aller Kunden; ein Partner sieht nur die Objekte, die für ihn freigegeben sind; ein Finanzierer sieht nur die Akten, die ihm zugewiesen wurden. Entscheidend ist, dass diese Rechte in der Datenbank durchgesetzt werden und nicht nur in der Oberfläche ausgeblendet sind.

In Inscalia sind Rollen und Rechte für Admin, Berater, Caller, Partner, Finanzierer und Kunde je Funktion definiert und in der Datenbank durchgesetzt. Das Anrufer-Portal gibt Callern einen eigenen Arbeitsplatz ohne Zugriff auf den Rest, die Gesprächsanalyse arbeitet mit Aufzeichnung und Transkript auf Grundlage der eingeholten Einwilligung, und WhatsApp Business läuft über die eigene Geschäftsnummer im Kundenkontext.

Erstelle eine Tabelle mit drei Spalten: Datenkategorie, Rechtsgrundlage, Löschfrist. Wenn eine Zeile leer bleibt, hast du das nächste Problem gefunden.

Hinweis: Keine Rechts- oder Steuerberatung. Stand September 2026; Änderungen möglich.

← Alle Artikel · Inscalia Startseite · Preise