# KI, DSGVO und EU-KI-Verordnung: 10 Prüfpunkte für Immobilienmakler > Eine praktische Checkliste für Maklerbüros, die KI mit Kundendaten nutzen: DSGVO, Transparenz nach EU-KI-Verordnung, WhatsApp-Einwilligung, UK und Aufsichtsbehörden. URL: https://www.formule.io/de/blog/ki-dsgvo-immobilienmakler Language: de Publisher: Formule (Formule Labs Limited) Updated: 2026-10-20 Sources checked: 2026-10-20 Eine Agentur, die KI mit Kundendaten nutzt, muss zwei Regelwerke kennen: die DSGVO (Datenschutz-Grundverordnung, GDPR), die seit 2018 gilt, und die EU-KI-Verordnung (EU AI Act), deren Transparenzregeln seit dem 2. August 2026 gelten. Der größte Teil der Arbeit ist keine juristische Textarbeit. Es sind zehn Prüfpunkte, die Sie an einem Nachmittag durchgehen können, bevor Sie eine Anfrage in einen Chatbot einfügen, einen KI-Assistenten einschalten oder ein Tool Nachrichten an Käufer entwerfen lassen. Dieser Ratgeber ist eine DSGVO-Checkliste für KI bei Immobilienmaklern, mit durchgespielten Beispielen und einem kurzen Abschnitt zu jedem von sechs Märkten. Er ist allgemeine Information, keine Rechtsberatung. Bevor Sie sich auf einen Punkt verlassen, klären Sie ihn mit einem Datenschutzberater oder Ihrer Aufsichtsbehörde. Wenn Sie noch entscheiden, welche Aufgaben Sie überhaupt an KI geben, beginnen Sie mit [KI für Immobilienmakler](https://www.formule.io/de/blog/ki-fuer-immobilienmakler). Diese Seite setzt voraus, dass Sie eine Aufgabe im Kopf haben und sie sicher nutzen wollen. ## Die 10 Prüfpunkte, bevor Sie KI mit Kundendaten nutzen - **Aufgabe und Daten benennen.** Schreiben Sie eine Zeile: "Eine Antwort auf eine Käuferanfrage entwerfen, mit Name, Telefonnummer und dem Objekt, nach dem gefragt wurde." Wenn Sie nicht sagen können, welche personenbezogenen Daten hineingehen, können Sie nichts anderes prüfen. - **Eine Rechtsgrundlage wählen.** Nach Artikel 6 DSGVO brauchen Sie für jede Verwendung einen rechtlichen Grund. Die Beantwortung einer Anfrage, die jemand Ihnen geschickt hat, stützt sich meist auf Schritte auf Anfrage der Person oder auf Ihr berechtigtes Interesse an der Antwort. Werbung an alte Kontakte braucht eine gesonderte Betrachtung (Punkt 7). Notieren Sie die Grundlage neben der Aufgabe, damit die Wahl bewusst erfolgt. - **Die Datenschutzerklärung aktualisieren.** Die Artikel 13 und 14 DSGVO verlangen, dass Sie Menschen sagen, was Sie mit ihren Daten tun und wer sie erhält. Wenn KI-Tools Anfragen verarbeiten, sollte Ihre Erklärung das in einfachen Worten sagen, einschließlich der Arten von Anbietern, die die Daten erhalten. - **Einen Auftragsverarbeitungsvertrag mit dem KI-Anbieter schließen.** Verarbeitet ein Anbieter personenbezogene Daten für Sie, verlangt Artikel 28 DSGVO einen schriftlichen Vertrag, der festlegt, was er mit den Daten tun darf. Fordern Sie den Auftragsverarbeitungsvertrag an, bevor Sie etwas Echtes hochladen. Prüfen Sie, welche Unterauftragsverarbeiter er nutzt, etwa die Firmen, die die zugrunde liegenden KI-Modelle liefern. Ein privates Chatbot-Login ist kein Ersatz, denn kein Vertrag deckt Kundendaten ab. - **Prüfen, wohin die Daten wandern.** Viele KI-Dienste laufen auf Servern außerhalb der EU oder des Vereinigten Königreichs. Kapitel V der DSGVO erlaubt solche Übermittlungen nur mit einem gültigen Mechanismus, zum Beispiel einem Angemessenheitsbeschluss oder Standardvertragsklauseln. Fragen Sie den Anbieter, welche Länder die Daten verarbeiten und welcher Mechanismus sie abdeckt. - **Weniger Daten senden.** Datenminimierung (Artikel 5 Absatz 1 Buchstabe c) bedeutet, dass das Tool nur erhält, was die Aufgabe braucht. Für eine Besichtigungsbestätigung braucht die KI einen Vornamen, die Adresse und eine Uhrzeit. Sie braucht weder das Einkommen des Käufers noch seine Ausweisnummer oder Gesundheitshinweise aus Ihren Notizen. Entfernen Sie diese vor dem Einfügen oder halten Sie sie in einem Feld, das das Tool nicht lesen kann. - **Werbeeinwilligung getrennt halten.** Das Senden werblicher Nachrichten per E-Mail, SMS oder Messaging-App unterliegt zusätzlich zur DSGVO den ePrivacy-Regeln (Richtlinie 2002/58/EG) in der jeweiligen nationalen Umsetzung. Im Vereinigten Königreich sind das die PECR-Regeln, und die Leitlinien des ICO sagen, dass die Regeln für elektronische Post-Werbung für Direktnachrichten in sozialen Medien oder jede ähnliche elektronisch gespeicherte Nachricht gelten. Sie sagen außerdem, dass Sie ohne ausdrückliche Einwilligung keine Werbe-E-Mails oder -SMS an Einzelpersonen senden dürfen und dass das "Soft Opt-in" für Bestandskunden weder neue Kontakte noch zugekaufte Listen abdeckt. Ein Käufer, der Ihnen auf WhatsApp zu einer Wohnung schreibt, hat nicht einem monatlichen Newsletter zugestimmt, egal ob ein Mensch oder eine KI ihn geschrieben hat. - **Eine Speicherdauer festlegen.** Speicherbegrenzung (Artikel 5 Absatz 1 Buchstabe e) bedeutet, dass Sie identifizierbare Daten nicht länger als nötig aufbewahren. Legen Sie fest, wie lange KI-Entwürfe, Chatverläufe und Anfragedaten bestehen, und löschen Sie sie planmäßig. Fragen Sie den Anbieter, wie lange er Ihre Eingaben speichert und ob er sie auf Verlangen löschen kann. - **Auf Betroffenenanfragen vorbereitet sein.** Menschen können Auskunft, Berichtigung, Löschung und Widerspruch verlangen. Liegen Kundendaten in einem KI-Tool, müssen Sie sie finden und handeln können. Testen Sie das einmal mit einem Dummy-Kontakt. Denken Sie auch an Artikel 22: Eine Entscheidung, die ausschließlich automatisiert getroffen wird und eine Person erheblich beeinträchtigt, etwa die automatische Ablehnung eines Mieters, unterliegt zusätzlichen Beschränkungen. Halten Sie einen Menschen in dieser Schleife. - **Einen Menschen verantwortlich machen und schulen.** Der Makler liest und gibt frei, was rausgeht, und eine benannte Person verantwortet die KI-Richtlinie und schult das Team. Die EU-KI-Verordnung fügt in Artikel 4 eine verwandte Pflicht zur KI-Kompetenz hinzu, die als Nächstes behandelt wird. ## Was die EU-KI-Verordnung von einer Agentur verlangt Die KI-Verordnung (Verordnung (EU) 2024/1689, AI Act) reguliert überwiegend die Unternehmen, die KI-Systeme bauen. Eine Maklerei, die ein Standard-Tool nutzt, ist "Betreiber" (Deployer), und die Pflichten sind leichter. Der Service Desk der Europäischen Kommission nennt die Termine: KI-Kompetenz und die Verbote galten ab dem 2. Februar 2025, die Transparenzregeln nach Artikel 50 gelten ab dem 2. August 2026, und für bestimmte Anbieter, deren Systeme zur Erzeugung synthetischer Inhalte schon am Markt waren, gibt es eine Übergangsfrist bis zum 2. Dezember 2026. Das Digital Omnibus on AI, laut Kommission seit dem 27. Juli 2026 in Kraft, hat die Regeln für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben. Den Beginn der Pflichten nach Artikel 50 am 2. August 2026 hat es nicht verschoben. Termine werden von Zeit zu Zeit geändert, bestätigen Sie sie also auf der AI-Act-Seite der Kommission, bevor Sie sich auf einen verlassen. - **Artikel 4, KI-Kompetenz.** Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag KI-Systeme nutzen, unter Berücksichtigung von deren Kenntnissen, Erfahrung und Kontext. Der geänderte Text ergänzt, dass dies keine Garantie eines bestimmten Kompetenzniveaus für einzelne Personen verlangt. In der Praxis: eine kurze schriftliche Regel, was Mitarbeitende in KI-Tools einfügen dürfen, plus ein Nachweis, dass Sie das Team damit vertraut gemacht haben. - **Artikel 50, Transparenz.** Systeme, die zur direkten Interaktion mit Menschen bestimmt sind, müssen so gestaltet sein, dass Menschen informiert werden, dass sie es mit einer KI zu tun haben, sofern das nicht offensichtlich ist. Diese Pflicht liegt überwiegend beim Anbieter, aber eine Agentur, die einen Chatbot auf ihrer Website oder WhatsApp-Nummer einsetzt, sollte prüfen, dass der Hinweis erscheint. Betreiber von Systemen, die Bild-, Audio- oder Videoinhalte erzeugen oder manipulieren, die einen Deepfake darstellen, müssen offenlegen, dass sie künstlich sind, und KI-generierter Text, der veröffentlicht wird, um die Öffentlichkeit zu informieren, braucht eine Offenlegung, es sei denn, ein Mensch hat ihn geprüft und trägt die redaktionelle Verantwortung. Ein virtuell möbliertes Bild oder ein synthetisches Video einer Immobilie ist der Fall, den man beobachten sollte. Ob ein bestimmtes Bild darunter fällt, ist eine Rechtsfrage, kennzeichnen Sie KI-Bilder also deutlich. Die Marktregeln für Immobilienbilder stehen in [unserem Ratgeber zu virtuellem Homestaging und KI-Immobilienvideo](https://www.formule.io/de/blog/ki-virtuelles-homestaging-immobilienvideo). - **Hochrisiko-Anwendungen.** Tools, die Menschen bewerten, etwa beim Mieterscreening, können in Hochrisiko-Kategorien fallen. Lassen Sie sich beraten, bevor Sie eines nutzen. Die KI-Verordnung ersetzt die DSGVO nicht. Beide gelten, und die Datenschutzaufsichtsbehörde bleibt Ihr erster Ansprechpartner für Fragen zu personenbezogenen Daten. ## Markt für Markt ### Deutschland: Landesbehörden und DSK Private Unternehmen wie Maklereien werden nach § 40 des Bundesdatenschutzgesetzes (BDSG) von der Datenschutzbehörde ihres Bundeslandes beaufsichtigt, nicht vom Bundesbeauftragten (BfDI). Die Behörden stimmen sich in der Datenschutzkonferenz (DSK) ab, die am 6. Mai 2024 eine "Orientierungshilfe" zu künstlicher Intelligenz und Datenschutz veröffentlicht hat. Sie ist Orientierung (eine Orientierungshilfe), kein verbindliches Recht. ### Vereinigtes Königreich: ICO Die EU-KI-Verordnung ist eine EU-Verordnung und gilt im Vereinigten Königreich selbst nicht. Dort gelten UK GDPR und der Data Protection Act 2018, beaufsichtigt vom Information Commissioner's Office (ICO). Die britischen Werberegeln stehen in den PECR, wie in Punkt 7. Der Leitfaden des ICO zu KI und Datenschutz wurde zuletzt im März 2023 aktualisiert und wird nach dem Data (Use and Access) Act überprüft. Sein Transparenzkapitel verweist auf ein eigenes ICO-Produkt zur Erklärung KI-gestützter Entscheidungen. Beginnen Sie dort, wenn ein Anbieter nicht erklären kann, wie sein Tool zu einer Ausgabe kommt. ### Frankreich: CNIL Die CNIL hat am 7. Februar 2025 zwei Empfehlungen zu KI und DSGVO (RGPD) veröffentlicht. Sie sagen, dass Menschen informiert werden müssen, wenn personenbezogene Daten zum Training eines Modells genutzt werden und gespeichert werden können, und dass eine allgemeine Information genügen kann, wenn ein direkter Kontakt unmöglich ist. Für eine Agentur lautet die praktische Lehre, Anbieter zu fragen, ob Ihre Kundendaten zum Training ihrer Modelle verwendet werden. ### Spanien: AEPD Die AEPD hat am 13. Februar 2020 einen Leitfaden zur Anpassung von Verarbeitungen mit KI an die DSGVO (RGPD) veröffentlicht. Er behandelt Rechtsgrundlage, Transparenz, Rechte, automatisierte Entscheidungen, Datenminimierung und die Frage, ob KI-Tools internationale Übermittlungen beinhalten. Er wurde vor dem AI Act geschrieben, nutzen Sie ihn daher nur für die DSGVO-Fragen. ### Italien: Garante Der Garante betreibt eine eigene KI-Seite, die seine Leitlinien und Entscheidungen bündelt, darunter seine Leitlinie zum Schutz personenbezogener Daten vor Web Scraping, neben dem Text des AI Act und Material des EDSA (EDPB). Die Stellungnahme 28/2024 des EDSA vom 18. Dezember 2024, auf Anfrage der irischen Behörde erstellt, behandelt Datenschutzaspekte von KI-Modellen und ist lesenswert, wenn Sie zwischen Anbietern wählen. ### Polen: UODO Die UODO hat am 6. August 2026 "Before you deploy an AI tool, check whether it complies with GDPR principles" veröffentlicht. Es bietet vier Fragensätze, der erste für kleine und mittlere Unternehmen, die fertige KI-Systeme nutzen. Die UODO sagt, die Fragen begründeten keine Konformität und müssten nicht bei der Behörde eingereicht werden. Sie ergeben eine gute Tagesordnung für ein Gespräch mit dem Anbieter. ## Beispiel: ein WhatsApp-Nachfassentwurf Ein Makler möchte, dass KI Antworten auf Portalanfragen entwirft und per WhatsApp sendet. Gehen Sie die zehn Prüfpunkte durch. Die Aufgabe: Anfragen mit Name, Nummer und Objekt beantworten. Grundlage: Schritte auf Wunsch des Käufers. Erklärung: um KI-Tools ergänzt. Anbieter: Auftragsverarbeitungsvertrag unterschrieben, Unterauftragsverarbeiter und Länder geprüft. Minimierung: Das Notizfeld mit den Finanzierungsangaben eines Käufers ist ausgeschlossen. Werbung: Antworten auf die Anfrage gehen raus, Newsletter nicht, es sei denn, der Käufer hat eingewilligt. Speicherdauer: Entwürfe nach 90 Tagen gelöscht. Rechte: ein Dummy-Kontakt wurde aufgespürt und gelöscht. Mensch: Der Makler gibt jede Nachricht frei. Zum Nachfass-Ablauf selbst siehe [KI-Nachfassen per WhatsApp](https://www.formule.io/de/blog/ki-nachfassen-immobilien-whatsapp). Wenn Sie einen Assistenten mit Ihrem CRM verbinden, gelten dieselben Prüfpunkte für das, was er lesen kann, wie in [ChatGPT und Claude für Immobilienmakler](https://www.formule.io/de/blog/chatgpt-claude-immobilienmakler) behandelt. ## Was Formule tut und was es nicht behauptet Anbieter des Self-Serve-Dienstes von Formule ist die Formule Labs Limited, eine in Irland registrierte Gesellschaft (CRO 815470), wie am 10. Oktober 2026 entschieden. Ihre [Datenschutzerklärung](https://app.formule.io/privacy) nennt sie als Verantwortliche und gibt privacy@formule.io für Fragen und Datenanfragen an. Die Erklärung nennt auch die Dienste hinter den KI-Funktionen, sodass Sie die beteiligten Anbieter sehen können. Really, der KI-Agent von Formule, entwirft, und der Makler gibt frei. Laut der Dokumentation von Formule wird von WhatsApp nichts gesendet, bis der Makler es freigibt, und Änderungen von Really an Ihren Daten warten auf die Freigabe des Maklers. Für die Verbindung mit WhatsApp ist ein Einwilligungsschritt nötig, in dem der Makler zustimmt, dass der Assistent Anfragegespräche liest. Chats mit Really in der App sind nur für den Nutzer sichtbar, nicht für den Manager. Dieser Artikel macht keine Aussage zu Zertifizierungen, Hosting-Regionen oder Auftragsverarbeitungsverträgen. Soweit wir das prüfen können, nennen die öffentliche Datenschutzerklärung und die Dokumentation von Formule sie nicht, fragen Sie also bei privacy@formule.io nach dem Auftragsverarbeitungsvertrag und dem Datenstandort, bevor Sie Kundendaten einspielen, wie bei jedem Anbieter. Wie Formule in Ihrem Markt funktioniert, sehen Sie auf der [Formule-Seite](https://www.formule.io/de), oder [starten Sie kostenlos](https://app.formule.io/signup?lang=de). ## Führen Sie eine Ein-Seiten-Dokumentation Schreiben Sie die zehn Antworten für jede KI-Aufgabe auf eine datierte Seite und prüfen Sie sie, sobald sich das Tool oder die Rechtslage ändert. Sie ist das, was Sie einem Kunden oder einer Behörde zeigen, die fragt, wie Sie KI einsetzen. ## Sources - https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50 - https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4 - https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai - https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act - https://app.formule.io/privacy - https://docs.formule.io/llms-full.txt - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/artificial-intelligence/guidance-on-ai-and-data-protection/ - https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guide-to-pecr/electronic-and-telephone-marketing/electronic-mail-marketing/ - https://www.gesetze-im-internet.de/englisch_bdsg/englisch_bdsg.html - https://www.datenschutzkonferenz-online.de/orientierungshilfen.html - https://www.bfdi.bund.de/EN/Home/home_node.html - https://www.cnil.fr/en/ai-and-gdpr-cnil-publishes-new-recommendations-support-responsible-innovation - https://www.aepd.es/es/prensa-y-comunicacion/notas-de-prensa/la-aepd-publica-una-guia-para-adaptar-al-rgpd-los-productos-y - https://www.garanteprivacy.it/temi/intelligenza-artificiale - https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en - https://uodo.gov.pl/pl/138/4533 - https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679 - Knowledge-Base/12_comms/decisions.md