KI im Maklerbüro: Datenschutz bei ChatGPT, Claude und Gemini

Kurz gesagt

• Was du in einen Chatbot eingibst, geht an den Anbieter, oft in die USA.
• Kundendaten nur in Werkzeuge mit Vertrag zur Auftragsverarbeitung und Rechtsgrundlage, nie in private Konten.
• Namen zu entfernen reicht oft nicht; auch Hausnummer und Lebensumstände machen Personen erkennbar.
• Training mit deinen Eingaben abschalten, dienstliche Konten nutzen, Ergebnisse prüfen.
• Die KI-Verordnung verlangt Maßnahmen, die die KI-Kompetenz im Team fördern; so gilt Art. 4 seit dem 27. Juli 2026.

Was beim Prompt mit den Daten passiert

Ein Prompt verlässt dein Büro. Der Anbieter verarbeitet ihn auf seinen Servern, speichert oft den Verlauf und nutzt Eingaben je nach Vertrag und Einstellung auch, um seine Modelle zu verbessern. Die Datenschutzbehörden unterscheiden deshalb zwischen geschlossenen Systemen, bei denen die Daten im eigenen Bereich bleiben, und offenen Systemen in der Cloud; technisch geschlossene Systeme seien aus datenschutzrechtlicher Sicht vorzugswürdig (DSK-Orientierungshilfe KI, Rn. 15 bis 20).

Auch die Antwort kann personenbezogen sein, selbst wenn die Frage es nicht war. Zielt eine Anfrage auf eine Person oder verwendest du die Antwort weiter, musst du prüfen, ob du die Betroffenen informieren musst (Rn. 52). Und Sprachmodelle irren: Ergebnisse mit Personenbezug musst du vor der Weiterverwendung prüfen (Rn. 64 und 65).

Welche Daten in KI-Tools dürfen und welche nicht

Die Grundregel steht in der DSGVO: nur die Daten, die für den Zweck nötig sind (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Für einen Exposé-Text braucht ein Modell die Fläche, nicht den Namen der Eigentümerin. Die Tabelle ist eine Orientierung für typische Daten im Maklerbüro.

Vorsicht mit dem Gefühl, anonym zu arbeiten: Es reicht regelmäßig nicht, Namen und Anschriften zu entfernen, weil sich der Personenbezug aus dem Zusammenhang ergeben kann (DSK-Orientierungshilfe KI, Rn. 49). „Die Witwe im Eckhaus Lindenweg, die ins Pflegeheim zieht“ ist ohne Namen erkennbar, und es ist zugleich ein Gesundheitsdatum.

Konto und Einstellungen: dienstlich, ohne Training

• Dienstliche Konten: Beschäftigte sollten nicht mit privaten Konten und Geräten arbeiten, und die Konten sollten möglichst keine Namen einzelner Beschäftigter enthalten (DSK Rn. 41 und 42; HmbBfDI-Checkliste, Nr. 3).
• Training aus: Wo der Anbieter Eingaben zum Training nutzt, schalte das ab, notfalls über ein anderes Vertragsmodell (DSK Rn. 24 und 43; HmbBfDI Nr. 8).
• Verlauf bewusst: Ein gespeicherter Verlauf ist bequem, aber eine Sammlung deiner Eingaben. Bei gemeinsam genutzten Konten sehen ihn alle (DSK Rn. 25; HmbBfDI Nr. 9).
• Sichere Anmeldung: starke Passwörter und ein zweiter Faktor, denn wer ins Konto kommt, sieht alle Verläufe (HmbBfDI Nr. 4).

Auftragsverarbeitung: wann du einen AVV brauchst

Setzt du ein KI-Werkzeug eines externen Anbieters für eigene Zwecke ein, handelt der Anbieter oft als verlängerter Arm in deinem Auftrag. Dann ist eine Vereinbarung nach Art. 28 Abs. 3 DSGVO abzuschließen (DSK-Orientierungshilfe KI, Rn. 32), der Vertrag zur Auftragsverarbeitung (AVV). Achte darauf:

• Gibt es für das Angebot, das du nutzt, überhaupt einen AVV? Kostenlose und private Konten haben oft keinen.
• Welche Unterauftragsverarbeiter setzt der Anbieter ein, und in welchen Ländern?
• Nutzt der Anbieter deine Eingaben für eigene Zwecke, etwa zum Training? Wer selbst über Zwecke entscheidet, gilt insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO).
• Wie lange speichert er Eingaben, und wie löschst du sie?

Ohne AVV gilt die einfache Regel der Hamburger Datenschutzbehörde: Lässt sich der Anbieter eine Verwendung für eigene Zwecke einräumen, dürfen keine personenbezogenen Daten an die KI übermittelt werden (HmbBfDI-Checkliste, Nr. 5).

USA und Drittland: DPF und Standardvertragsklauseln

Viele KI-Anbieter sitzen in den USA. Eine Übermittlung dorthin ist nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig. Für die USA gibt es seit 2023 einen Angemessenheitsbeschluss der EU-Kommission für zertifizierte Unternehmen, das EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Ob ein Anbieter zertifiziert ist, zeigt die offizielle Liste. Fehlt die Zertifizierung, braucht es andere Garantien, meist die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914).

Für deine Unterlagen heißt das: Halte je KI-Anbieter fest, auf welcher Grundlage Daten in die USA gehen, und nenne die Übermittlung in deiner Datenschutzinformation.

Informieren, prüfen, nicht allein entscheiden

Informieren

Verarbeitest du Kundendaten mit KI-Werkzeugen, gehört das in deine Datenschutzinformation: Zweck, Empfänger, Drittlandübermittlung (Art. 13 und 14 DSGVO). Die Anbieter müssen dir dafür ausreichend Informationen liefern (DSK Rn. 21).

Prüfen

KI-Ergebnisse haben keinen Anspruch auf Richtigkeit. Unrichtige Ergebnisse mit Personenbezug können zu unzulässigen Verarbeitungen führen, deshalb prüfst du vor der Weiterverarbeitung (DSK Rn. 64 und 65; HmbBfDI Nr. 10).

Nicht allein entscheiden

Entscheidungen mit Rechtswirkung dürfen grundsätzlich nicht ausschließlich automatisiert fallen (Art. 22 DSGVO). Im Maklerbüro betrifft das vor allem die Auswahl von Mietinteressenten. Dort gelten zusätzlich die Benachteiligungsverbote des Allgemeinen Gleichbehandlungsgesetzes (§ 19 AGG, mit Ausnahmen für kleine Vermieter in Abs. 5). Ergebnisse von KI können diskriminierend wirken, auch ohne dass man es ihnen ansieht (DSK Rn. 66 bis 69).

Folgenabschätzung und Verzeichnis

Hat eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene, ist eine Datenschutz-Folgenabschätzung nötig (Art. 35 DSGVO); beim Einsatz von KI werde das „vielfach der Fall sein“ (DSK Rn. 39). Jedes Werkzeug gehört zudem in dein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO).

Was die KI-Verordnung von Maklerbüros verlangt

Wer KI beruflich nutzt, ist Betreiber im Sinne der KI-Verordnung. Für den üblichen Einsatz im Maklerbüro zählen zwei Pflichten:

• KI-Kompetenz (Art. 4): Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag KI-Systeme betreiben und nutzen, unter Berücksichtigung von Kenntnissen, Erfahrung, Ausbildung und Einsatzkontext. So gilt es in der Fassung der Verordnung (EU) 2026/1744 seit dem 27. Juli 2026 (Lesefassung); ein bestimmtes Niveau ist nicht vorgeschrieben. Praktisch: eine kurze Schulung und eine Richtlinie wie unten.
• Deepfakes offenlegen (Art. 50 Abs. 4 KI-VO): KI-Bilder, die als echt erscheinen würden, etwa virtuell möblierte Fotos, musst du als künstlich erzeugt oder manipuliert offenlegen. Einzelheiten stehen im Ratgeber KI-Bilder im Exposé kennzeichnen.

Bausteine einer KI-Richtlinie für das Team

Ohne klare Regeln nutzen Beschäftigte KI eigenmächtig, und die Datenschutzbehörden empfehlen dokumentierte interne Weisungen mit Beispielen für erlaubte und untersagte Nutzung (DSK Rn. 36 und 37; HmbBfDI Nr. 1). Diese zehn Punkte sollte deine Richtlinie regeln:

1. Zugelassene Werkzeuge: welche, für welche Aufgaben, mit Beispielen für erlaubte und verbotene Nutzung.
2. Konten: nur dienstliche Konten mit Funktions-E-Mail, keine privaten; starke Anmeldung mit zweitem Faktor, wo möglich.
3. Einstellungen: Training mit Eingaben aus, Verlauf nur, wo er gebraucht wird.
4. Daten: keine Kontaktdaten, Lebensumstände oder besonderen Kategorien in Werkzeugen ohne AVV; Objektdaten ohne Anschrift.
5. Prüfung: Jedes Ergebnis prüft ein Mensch, bevor es Kunden erreicht oder veröffentlicht wird.
6. Entscheidungen: keine Auswahl von Mietern oder Käufern durch KI allein; Kriterien schriftlich und ohne Benachteiligung.
7. Kennzeichnung: KI-bearbeitete Bilder nach den Regeln des Büros kennzeichnen.
8. Schulung: einmal im Jahr und bei neuen Werkzeugen, mit Beispielen aus dem eigenen Büro.
9. Ansprechpartner: wer Fragen beantwortet und neue Werkzeuge freigibt.
10. Dokumentation: Werkzeuge im Verzeichnis der Verarbeitungstätigkeiten, AVV abgelegt, Datenschutzinformation aktuell.

Praktische Vorlagen für Prompts ohne Kundendaten findest du im Ratgeber ChatGPT-Prompts für Immobilienmakler.

So geht Maklerdeck mit KI-Daten um

Damit du die Punkte oben für Maklerdeck prüfen kannst, hier die Angaben aus unserer Datenschutzerklärung und dem AVV. Maklerdeck verarbeitet die Daten deines Büros als Auftragsverarbeiter; den Vertrag findest du unter Auftragsverarbeitungsvertrag.

Die vollständige Liste steht in der Datenschutzerklärung, Abschnitt 9.

• Anwendung, Datenbank und Dateien liegen auf einem Server bei Hetzner in Nürnberg.
• Übermittlungen in die USA laufen nach unserem AVV auf Grundlage des Data Privacy Framework oder der Standardvertragsklauseln; auf Anfrage nennen wir die Grundlage je Empfänger.
• Anthropic und OpenAI verwenden die über ihre Programmierschnittstellen übermittelten Inhalte nach ihren Bedingungen nicht zum Training ihrer Modelle.
• Chats sind an dein Konto gebunden und für Kolleginnen und Kollegen im Büro nicht sichtbar.
• Das Chat-Gedächtnis siehst und löschst du unter Einstellungen → KI-Chat und kannst es abschalten; im temporären Chat speichern wir weder Verlauf noch Gedächtnis.
• Hochgeladene Dateien in der Zwischenablage der Werkzeuge löschen wir nach einem Tag, spätestens nach zwei.
• Chat-Verläufe und Ergebnisse bleiben gespeichert, bis das Büro oder das Konto gelöscht wird. Einzeln löschen lassen sie sich in der App noch nicht; auf Anfrage an legal@maklerdeck.de löschen wir sie.

Eine Datenschutzaussage, die dir die eigene Prüfung abnimmt, ist das nicht: Welche Daten du in den Chat gibst, entscheidest du. Die Regeln oben gelten bei Maklerdeck genauso. Mehr zu Server, Rollen und Sicherungen steht unter Datenschutz & Sicherheit.

Häufige Fragen

Quellen

1. EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 5, 6, 9, 13, 14, 22, 28, 30, 35 und 44 ff.
2. Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0 vom 06.05.2024
3. Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit: Checkliste zum Einsatz LLM-basierter Chatbots (13.11.2023)
4. EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4 und 50
5. EUR-Lex: Verordnung (EU) 2026/1744 („Digital Omnibus on AI“), Art. 1 Nr. 5 (neuer Art. 4 KI-VO)
6. buzer.de: Lesefassung Art. 1 der Verordnung (EU) 2026/1744
7. EUR-Lex: Durchführungsbeschluss (EU) 2023/1795 (EU-US Data Privacy Framework)
8. U.S. Department of Commerce: Data Privacy Framework List
9. EUR-Lex: Durchführungsbeschluss (EU) 2021/914 (Standardvertragsklauseln)
10. Gesetze im Internet: § 19 AGG – Zivilrechtliches Benachteiligungsverbot

Fehler gefunden oder eine Angabe veraltet? Schreib uns an hello@maklerdeck.de.