Wer Kunden- und Mitarbeiterdaten verarbeitet, trägt Verantwortung. Das wird spätestens dann spürbar, wenn eine Betroffenenanfrage nach Art. 15 DSGVO eintrifft oder etwas schiefgeht. Diese Anfragen kommen häufig mit Fristen und juristischem Ton und verlangen mehr als improvisierte Antworten. Ohne geregelte Abläufe entsteht Druck: Wer die Monatsfrist versäumt, oberflächlich antwortet oder zu viel weitergibt, riskiert rechtliche und reputationsbezogene Schäden.

Genauso kritisch wird es, wenn – meist ehemalige – Kunden oder Mitarbeiter Datenschutz gezielt als Druckmittel einsetzen, etwa weil sie mit einem Beratungsergebnis unzufrieden oder mit einer Kündigung nicht einverstanden sind. Ein Löschverlangen kann dann schnell zur Retourkutsche werden. Fehler passieren vor allem an drei Stellen: Es werden pauschal alle Daten herausgegeben (inklusive Informationen über Dritte), Unterlagen werden gelöscht, obwohl Aufbewahrungspflichten bestehen, oder die Antwort kommt viel zu spät.

Ein belastbares Datenschutzkonzept sorgt dafür, dass eine Maklerin oder ein Makler selbst in solchen Situationen strukturiert, zeitnah und rechtskonform reagieren kann. Wenn klar ist, wo Daten liegen, wie sie verarbeitet wurden und wer intern zuständig ist, bleibt man gelassen. Genau deshalb ist ein Konzept für mich das Rückgrat eines Maklerbetriebs: Es schafft Ruhe, Sicherheit und lässt den notwendigen Raum fürs Kerngeschäft.

Ordnung macht sicher

Ein vollständiges Datenschutzkonzept muss aus meiner Sicht zwei Kernbereiche abdecken: die Homepage und den internen Teil. 

Auf der Homepage fallen Fehler sofort auf: falsche Datenschutzerklärungen, fehlendes Cookie-Management oder nicht deklarierte Tools. Dabei sollte beachtet werden, dass jede Homepage technisch und inhaltlich anders aufgebaut ist und dementsprechend eine spezifische Datenschutzerklärung benötigt. Einfaches Kopieren der Datenschutzerklärung von einer anderen Homepage sollte man also tunlichst unterlassen.

Der interne Bereich ist wesentlich umfangreicher und umfasst Verarbeitungsverzeichnis, TOMs, Dienstleisterlisten, Dokumente für Interessenten, Kunden und Mitarbeiter sowie Prozesse und klare Zuständigkeiten.

Ein vollständiges Konzept ist in der Praxis also meist deutlich umfangreicher, als viele Maklerinnen und Makler erwarten würden. Als Orientierung habe ich daher hier ein Muster für ein Datenschutzkonzept eingefügt. Es zeigt beispielhaft, welche Elemente ein vollständiges Konzept enthalten sollte.

Dieses Konzept erhebt keinen Anspruch auf Vollständigkeit, kann aber als solide Grundlage für den eigenen Betrieb dienen. Vorlagen aus dem Internet sind regelmäßig irreführend und nur sehr selten auf Anhieb zum eigenen Betrieb passend. Wer einfach kopiert, schafft neue Risiken, statt welche zu lösen. Wer gar kein Konzept hat, scheitert im Ernstfall.

Kein Papiertiger

Ob ein Konzept lebt, erkenne ich schnell: 

• Wann war die letzte Schulung? 
• Wie reagiert man auf eine Betroffenenanfrage? 
• Was passiert bei einer Datenpanne? 
• Wie geht man mit Löschbegehren um? 

Wenn diese Fragen nicht sicher beantwortet werden können, existiert nur Papier und keine gelebte Struktur.

Gleiches zeigt sich bei Pannen: Ein falscher Klick, ein verlorener Laptop oder eine offene Cloud-Freigabe reichen. Die DSGVO verlangt eine klare und belastbare Bewertung binnen 72 Stunden. Ohne vorher festgelegte Abläufe endet das in Chaos. Trotzdem muss ein Notfallplan kein fünfzehnseitiger Ordner sein. Ein schlanker, klarer Plan reicht völlig, solange Zuständigkeiten, Entscheidungsschritte und Vorlagen feststehen.

Schwachstellen, die immer wieder auftreten

In der Praxis stoße ich regelmäßig auf drei große Schwächen: fehlende Sensibilisierung der Mitarbeitenden, unvollständige Dokumentationen (kein Verarbeitungsverzeichnis, keine TOMs, keine Auftragsverarbeiterliste) und fehlende Prozesse für Anfragen und Pannen. Diese Punkte brechen einem Betrieb im Ernstfall das Genick – nicht die Technik.

Das Problem ist selten böser Wille, sondern fehlende Routine. Ohne klare Abläufe weiß keiner, wer wann was tun muss. Und je kleiner der Betrieb, desto stärker wirken sich solche Lücken aus.

Tools, Budget und sinnvolle Unterstützung

Es gibt zahlreiche Tools auf dem Markt – vom DIY-Baukasten bis zur vollständigen Betreuung durch einen externen Datenschutzbeauftragten. DIY-Lösungen sind aus meiner Sicht besser als nichts, vermitteln aber oft eine trügerische Sicherheit: Maklerinnen und Makler wiegen sich in Sicherheit, in Wahrheit besitzen sie aber eher eine To-Do-Liste, was alles noch zu tun wäre. Deshalb empfehle ich, etwas Geld in die Hand zu nehmen und sich einen Profi zu suchen, der die Branche versteht und individuell berät.

Für kleinere Betriebe können 2.000 – 3.000 Euro Einmalinvestition und etwa 100 Euro monatlich vielleicht viel wirken. Doch angesichts eines potenziellen Bußgelds von 7.500 Euro allein für ein fehlendes Verarbeitungsverzeichnis relativiert sich das schnell. 

Wer sich für externe Unterstützung entscheidet, sollte genau hinschauen: Branchenerfahrung, individuelle Beratung statt Standardformulare und ein persönliches Gespräch vor Vertragsabschluss sind für mich Pflicht. Datenschutz ist Vertrauenssache, kein Abo-Produkt. Und nur wenn die Empfehlungen auch tatsächlich umgesetzt werden, entsteht die Entlastung, für die man bezahlt.

Dokumentation, die den Alltag trägt

Die Dokumentation ist nicht nur „wichtig“, sie ist in Artikel 5 Absatz 2 DSGVO als Rechenschaftspflicht festgeschrieben. Maklerinnen und Makler müssen jederzeit nachweisen können, dass sie die Vorgaben der DSGVO einhalten. Fehlende oder unvollständige Verarbeitungsverzeichnisse, TOMs, Verträge mit Auftragsverarbeitern sowie schlechte oder oftmals gar keine Dokumentation von Anfragen und Pannen gehören zu den häufigsten Fehlern. Ohne saubere Nachweise ist ein Betrieb im Ernstfall nicht handlungsfähig.

Damit Datenschutz im Alltag nicht versandet, braucht es feste Prozesse und Routinen: dokumentierte Abläufe für Betroffenenanfragen und Pannen, klares Vorgehen beim On- und Offboarding von Kunden und Mitarbeitern sowie regelmäßige Schulungen, Phishing-Tests und Recovery-Tests. Diese Maßnahmen sorgen dafür, dass Datenschutz nicht zur Pflichtübung wird, sondern gelebte Praxis bleibt.

Vorbereitung schafft Stabilität

Ob eine Betroffenenanfrage kommt oder eine technische Störung auftritt – entscheidend ist nicht, ob etwas passiert, sondern wie und wie schnell man reagiert. Ein funktionierendes Datenschutzkonzept mit klaren Prozessen, definierten Zuständigkeiten und zuverlässiger Dokumentation macht den Unterschied. 

So wird Datenschutz nicht zur Last, sondern zu einem System, das Sicherheit schafft, Vertrauen stärkt und den Betrieb insgesamt stabiler macht.

Zum vorherigen Beitrag dieser Reihe: Mehr als DSVGO

Titelbild: © NewFinance