DSGVO und Lead-Generierung:
Was Makler wirklich brauchen.

Die Rollenverteilung: Wer ist was?

Zwei Begriffe musst du verstehen: Verantwortlicher und Auftragsverarbeiter.

• Du als Makler bist Datenverantwortlicher (Art. 4 Nr. 7 DSGVO). Du entscheidest, welche Daten du erhebst, wozu, wie lange. Die Eigentümer-Daten gehören dir.
• Der Widget-Anbieter ist Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Er verarbeitet die Daten in deinem Auftrag, hat selbst kein Verwertungsrecht, darf sie nicht weiterverkaufen.
• Dein CRM-Anbieter (onOffice, Propstack) ist auch Auftragsverarbeiter. Auch mit ihm brauchst du einen AVV.

Pflicht #1: AVV gemäß Art. 28 DSGVO

Mit jedem Auftragsverarbeiter (Widget, CRM, ggf. E-Mail-Provider, Analytics) musst du einen Auftragsverarbeitungs-Vertrag abschließen. Seriöse Anbieter stellen den AVV standardmäßig als Download/Beilage. Was drin steht: Zweck, Art der Daten, Schutzmaßnahmen, Subverarbeiter-Liste, Lösch-Verpflichtungen. Vor Bewertungs-Widget-Buchung: AVV prüfen. Fehlt er — Anbieter wechseln.

Pflicht #2: Server-Standort dokumentieren

Idealerweise Server in Deutschland. Mindestens innerhalb der EU. Anbieter mit US-Servern sind seit Schrems-II problematisch — du brauchst zusätzliche Standardvertragsklauseln plus Transfer-Folgenabschätzung. Klingt aufwändig, ist es auch. Vermeidbar, wenn dein Tool EU-only läuft. Casalead z.B. läuft auf Hetzner/Vercel-EU.

Pflicht #3: Datenschutzerklärung ergänzen

Deine Website-Datenschutzerklärung muss das Bewertungs-Widget und den Datenfluss abdecken. Pflicht-Bestandteile:

• Verantwortlicher (du), Kontakt
• Auftragsverarbeiter mit Name + Sitz (Widget-Anbieter, CRM)
• Zweck (Immobilienbewertung, Lead-Pflege)
• Rechtsgrundlage (Vertragsanbahnung Art. 6 Abs. 1 lit. b)
• Speicherdauer pro Datenkategorie
• Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
• Beschwerderecht bei Aufsichtsbehörde
• Hinweis auf automatisierte Entscheidungen (i.d.R. keine — die Bewertung gibst du persönlich ab)

Pflicht #4: Speicherdauer + Lösch-Mechanismus

Du darfst Daten nicht „auf Vorrat" speichern. Praxis-Regel: nicht-konvertierte Eigentümer-Leads 6 Monate aktiv im CRM, danach automatisch archivieren oder löschen. Konvertierte Leads (echte Aufträge) unterliegen der steuerrechtlichen Aufbewahrungspflicht (10 Jahre für Rechnungsdaten, 6 Jahre für Geschäftsbriefe). Wenn ein Eigentümer ausdrücklich Löschung verlangt, musst du binnen Monatsfrist umsetzen — beim Widget-Anbieter und im CRM.

Was du NICHT machen musst (Mythen)

• Mythos: „Ich brauche eine separate Einwilligung für die Bewertung."
  Nein — Vertragsanbahnung reicht, weil der Eigentümer die Bewertung selbst aktiv angefragt hat. Separate Einwilligung nur für danach-Newsletter o.ä.
• Mythos: „Ich brauche ein Cookie-Banner für das Widget."
  Nicht automatisch. Wenn das Widget keine Tracking-Cookies setzt (gut umgesetzte Tools tun das nicht), brauchst du keinen Banner — nur den Datenschutz-Hinweis im Funnel-Schritt selbst.
• Mythos: „Bei jedem Lead muss ich vor dem Anruf eine schriftliche Einwilligung einholen."
  Nein — der Eigentümer hat aktiv Kontaktdaten gegeben mit dem Zweck einer Bewertung. Du darfst anrufen.