Löschfristen für Kundendaten im Immobilienvertrieb: Fristenkatalog

Welche Löschfristen für Kundendaten im Immobilienvertrieb gelten grundsätzlich?

Es gibt keine einzelne gesetzliche Löschfrist für Kundendaten im Immobilienvertrieb. Maßgeblich ist die Speicherbegrenzung nach Art. 5 Abs. 1 Buchst. e DSGVO: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist, oder bis gesetzliche Aufbewahrungspflichten ablaufen. Die konkrete Frist ergibt sich je Datenkategorie aus dem jeweils einschlägigen Regelwerk.

Für den Vertrieb bedeutet das: Kontaktdaten eines Interessenten, der nie gekauft hat, unterliegen anderen Regeln als die Vertrags- und Identifizierungsunterlagen eines Käufers. Ersteres richtet sich nach der Zweckbindung der Verarbeitung und einer etwaigen Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO. Letzteres richtet sich nach Aufbewahrungsfristen aus GwG, Abgabenordnung und Handelsgesetzbuch.

Die DSGVO selbst nennt keine festen Fristen, weil sie branchenübergreifend gilt. Der Verantwortliche muss die Fristen selbst festlegen und in einem Löschkonzept dokumentieren. Genau hier liegt die Praxislücke vieler Vertriebe: Das CRM wächst über Jahre, alte Interessentenkonten bleiben bestehen, und niemand kann sagen, warum ein Datensatz noch existiert.

Ein tragfähiges Löschkonzept ordnet deshalb jede Datenkategorie drei Fragen zu: Wofür wurden die Daten erhoben? Welche Pflicht verlangt eine Mindestspeicherfrist? Ab wann ist die Speicherung nicht mehr gerechtfertigt? Auf dieser Grundlage lassen sich Fristen definieren, die ein CRM dann automatisch überwacht.

Welche Aufbewahrungsfristen GwG Vertrieb betreffen Immobilientransaktionen?

Für Immobilientransaktionen gelten gegenüber Kunden die Pflichten des Geldwäschegesetzes. Immobilienmakler sind nach § 2 Abs. 1 Nr. 2 GwG Verpflichtete; sie müssen bei Transaktionen über einen Immobilienkaufpreis von mindestens 10.000 Euro die Identifizierung des Vertragspartners nach § 10 GwG durchführen und Aufzeichnungen führen.

Die Aufbewahrungsfristen GwG Vertrieb ergeben sich aus § 8 Abs. 1 GwG: Die Aufzeichnungen über die Sorgfaltspflichten sind fünf Jahre aufzubewahren, beginnend mit dem Ende des Kalenderjahres, in dem die Geschäftsbeziehung beendet oder die Transaktion abgeschlossen wurde. Die Aufzeichnungen sind auch während der Geschäftsbeziehung aktuell zu halten, sofern erforderlich (§ 8 Abs. 2 GwG).

Beispiel: Ein Kaufvertrag wird am 15. März 2025 notariell beurkundet. Die Fünf-Jahres-Frist endet daher am 31. Dezember 2030. Erst danach dürfen die Identifizierungsdaten, der Feststellung der wirtschaftlich Berechtigten und die Dokumentation der Herkunft der Mittel gelöscht werden, sofern keine weiteren Aufbewahrungspflichten entgegenstehen.

Praktisch relevant: Zu den Aufzeichnungen gehören auch Kopien von Ausweisdokumenten und Nachweise zur beneficial ownership, etwa bei Käufern über eine Gesellschaft oder ein Treuhandkonstrukt. Diese Unterlagen sind besonders schützenswert und sollten im CRM zugriffsbeschränkt und löschnachvollziehbar geführt werden. Die Fristen richten sich nach dem Beginn der Frist im Folgejahr, nicht nach dem Abschlussdatum selbst.

• § 2 Abs. 1 Nr. 2 GwG: Immobilienmakler sind Verpflichtete.
• § 10 GwG: Identifizierungspflicht ab 10.000 Euro Immobilienkaufpreis.
• § 8 Abs. 1 GwG: Fünf Jahre Aufbewahrung ab Ende des Kalenderjahres der Beendigung.
• Umfasst: Identitätsnachweise, Angaben zum wirtschaftlich Berechtigten, Herkunftsnachweise.

In der Software

Jeder Vorgang steht an seiner Stufe

Board, Tabelle und Zeitstrahl zeigen dieselben Deals — wer wo hängt, sieht man ohne Rückfrage.

Deal-Pipeline

Wie verhalten sich steuerliche und handelsrechtliche Fristen zur DSGVO?

Steuerlich relevante Unterlagen mit Personenbezug, etwa Rechnungen, Buchungsbelege und Vertragsunterlagen, unterliegen der Aufbewahrung nach § 147 Abs. 1 und Abs. 2 AO. Buchungsbelege sind danach zehn Jahre aufzubewahren; empfangene und gesandte Handels- oder Geschäftsbriefe acht Jahre. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.

Handelsrechtlich sieht § 257 Abs. 2 HGB für Handelsbriefe eine Aufbewahrungsfrist von sechs Jahren vor, ebenfalls beginnend mit Ablauf des Kalenderjahres. Liegen sowohl § 147 AO als auch § 257 HGB an, gilt die längere Frist. Für einen Kaufvertrag mit Anschreiben und Rechnungen ist das in der Regel die zehnjährige Frist der Abgabenordnung.

Rechtsfolge für die DSGVO: Steht einer Löschung eine gesetzliche Aufbewahrungspflicht entgegen, entfällt das Recht auf Löschung nach Art. 17 Abs. 3 Buchst. b DSGVO. Der Verantwortlicher beschränkt die Verarbeitung dann nach Art. 18 Abs. 1 Buchst. b DSGVO auf die Speicherung; eine aktive Nutzung der Daten, etwa für Marketing, ist ausgeschlossen.

Die Konsequenz für die Systemarchitektur: Es reicht nicht, Datensätze pauschal zu löschen oder pauschal zu behalten. Stattdessen werden Datenkategorien getrennt bewertet. Die Vertrags- und Rechnungsdaten eines abgeschlossenen Kaufs bleiben zehn Jahre gespeichert, aber gesperrt; die Marketingdaten desselben Kunden können wesentlich früher gelöscht werden, sobald keine Einwilligung oder Interessenlage mehr trägt.

Was gilt bei einer Art. 17 DSGVO Löschanfrage durch einen Kunden?

Auf eine Art. 17 DSGVO Löschanfrage hin müssen Sie die betroffenen Daten unverzüglich löschen, sofern einer der Löschtatbestände des Art. 17 Abs. 1 DSGVO vorliegt und kein Ausnahmetatbestand des Art. 17 Abs. 3 DSGVO entgegensteht. Ein Ausnahmetatbestand ist insbesondere die gesetzliche Aufbewahrungspflicht nach Art. 17 Abs. 3 Buchst. b DSGVO.

Der Ablauf in der Praxis: Eingang dokumentieren, Identität der anfragenden Person prüfen, betroffene Datenbestände systematisch ermitteln, je Datenkategorie prüfen, ob Lösch- oder Aufbewahrungspflicht greift, und die Entscheidung der betroffenen Person mitteilen. Für die Mitteilung gilt die Frist des Art. 12 Abs. 3 DSGVO von einem Monat, verlängerbar um zwei weitere Monate bei komplexen Fällen.

Wichtig ist die Konsequenz aus Art. 18 DSGVO: Daten, die aufgrund einer Aufbewahrungspflicht nicht gelöscht werden dürfen, werden gesperrt. Das heißt im CRM: Keine Kampagnenanrede, kein Profil-Scoring, keine Vertriebsaktivierung, nur unveränderte Speicherung bis zum Fristablauf. Nach Ablauf der Aufbewahrungsfrist muss die Löschung dann automatisch erfolgen, ohne erneute Anfrage.

Auch nach Art. 17 Abs. 2 DSGVO gilt eine Weitergabepflicht: Hat der Verantwortliche die Daten veröffentlicht, muss er andere Verantwortliche über die Löschanfrage informieren. Im Vertrieb betrifft das vor allem Daten, die an Bauträger, Finanzierungspartner oder Vertriebspartner weitergegeben wurden; über die Löschung hinaus muss geprüft werden, ob Empfänger informiert werden müssen, sofern dies technisch machbar und nicht unverhältnismäßig ist.

1. 1Löschanfrage eingehen lassen und Eingangsdatum dokumentieren.
2. 2Identität der betroffenen Person verifizieren.
3. 3Alle Systeme und Verarbeitungen zu dieser Person auflisten.
4. 4Je Datenkategorie Löschtatbestand und Ausnahme prüfen.
5. 5Löschung ausführen oder Speicherbeschränkung nach Art. 18 DSGVO anlegen.
6. 6Antwort an die betroffene Person innerhalb eines Monats nach Art. 12 Abs. 3 DSGVO senden.

Wie lange dürfen Daten von Interessenten ohne Kauf gespeichert werden?

Die kritischste Kategorie sind Interessenten, die nie einen Vertrag geschlossen haben. Für sie gibt es keine gesetzliche Aufbewahrungspflicht; im Gegenteil, die Speicherbegrenzung des Art. 5 Abs. 1 Buchst. e DSGVO verlangt, dass Sie eine Löschfrist definieren. Ohne dokumentierte Rechtsgrundlage und Zweckbindung wird die Speicherung irgendwann nicht mehr gerechtfertigt sein.

Rechtsgrundlagen kommen in Betracht: Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO, etwa für Newsletter, mit jederzeitiger Widerrufsmöglichkeit; oder berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO, etwa für die Pflege einer bestehenden Interessentenbeziehung. Beides ist zeitlich begrenzt: Nach mehreren Jahren ohne Kontakt lässt sich ein fortdauerndes berechtigtes Interesse kaum noch begründen.

Praxisgerecht ist ein gestuftes Modell. In der aktiven Phase, etwa während der Projektkommunikation, sind alle Kontaktdaten frei nutzbar. Danach folgt eine ruhende Phase mit eingeschränkter Nutzung, etwa nur noch Stücklisten-verträgliche Bestandsinformationen. Nach Ablauf der definierten Gesamtfrist wird gelöscht. Welche Fristen Sie konkret wählen, ist eine Zweckbestimmung Ihres Unternehmens, nicht eine Frage, die ein Gesetz beantwortet.

Empfehlenswert ist, die gewählten Fristen im Verarbeitungsverzeichnis und in der Datenschutzerklärung zu dokumentieren. Ein Interessent, der weiß, dass seine Daten nach 24 Monaten Inaktivität gelöscht werden, kann dieser Verarbeitung eher zustimmen; zugleich schafft die Dokumentation Nachvollziehbarkeit gegenüber der Aufsichtsbehörde.

Fristenkatalog: Welche Frist gilt für welche Datenkategorie?

Die folgende Tabelle ordnet die wichtigsten Datenkategorien im Immobilienvertrieb den einschlägigen Fristen zu. Beachten Sie, dass sich der Fristbeginn je Norm unterscheidet: Bei GwG, AO und HGB beginnt die Frist jeweils mit Ablauf des Kalenderjahres, in dem das Ereignis eintritt. Die genannten Fristen sind Mindestaufbewahrungs- und Höchstspeicherfristen zugleich.

Hintergrund der Rechtsgrundlagen: Das Geldwäschegesetz regelt die Sorgfaltsaufzeichnungen über § 8 Abs. 1 GwG, die Abgabenordnung die buchhalterischen Unterlagen über § 147 AO, das Handelsgesetzbuch die Handelsbriefe über § 257 HGB. Für Widerrufsbelehrungen bei Verbraucherverträgen ist ergänzend Art. 246a § 1 Abs. 2 Satz 2 EGBGB einschlägig; die Widerrufsfrist selbst beträgt nach § 355 Abs. 1 Satz 5 BGB vierzehn Tage.

Wichtig ist die Trennung von Dokument und Datensatz: Der Kaufvertrag als PDF bleibt zehn Jahre gespeichert, aber das erweiterte Profil des Kunden im CRM, etwa Scoring, Notizen zu Beratungsgesprächen oder Kontaktverläufe, ist an der Zweckbindung zu messen und kann früher gelöscht werden. Ein Löschkonzept legt das je Feld fest.

Wie bildet ein CRM automatische Lösch- und Sperrprozesse ab?

Manuelle Löschprozesse scheitern an der Menge: Ein Vertrieb mit mehreren hundert aktiven und tausenden ruhenden Kontakten kann keine Fristen aus einem Druckwerkzeug heraus verfolgen. Ein CRM löst das über drei Mechanismen: Feldtypen mit definierten Aufbewahrungsregeln, Fristauslöser je Datensatz und einen Sperrmechanismus, der eingeschränkte Daten von aktiv nutzbaren Daten trennt.

Konkret arbeitet MyInvest Pro mit Fristauslösern am Datensatz: Vertragsabschluss, letzter Kontakt oder Transaktionsdatum starten eine hinterlegte Aufbewahrungsregel. Diese Regel kann je Datenkategorie konfiguriert werden, etwa Fünf-Jahres-Speicherung für GwG-Dokumente, Zehn-Jahres-Speicherung für Vertragsunterlagen oder eine eigene Inaktivitätsfrist für Interessenten. Kurz vor Fristablauf erzeugt das System eine Prüfaufgabe; nach Ablauf wird automatisch gelöscht oder gesperrt.

Der Sperrmodus ist zentral für die Umsetzung von Art. 18 DSGVO: Gesperrte Datensätze bleiben im System sichtbar, aber ohne Funktion. Sie erscheinen nicht in Segmentierungen, nicht in E-Mail-Kampagnen, nicht in Reporting-Auswertungen über aktive Kontakte und lassen sich nicht bearbeiten. Erst wenn die Aufbewahrungsfrist abläuft, wird der Datensatz endgültig entfernt. Diese Trennung verhindert die häufigste Praxislücke: dass gesperrte Daten unbemerkt weiter in Kampagnen landen.

Löschvorgänge selbst werden protokolliert: Wer hat wann welche Datenkategorie gelöscht, auf welcher Rechtsgrundlage und mit welcher Begründung? Dieses Protokoll ist Verteidigungslinie gegenüber der Aufsichtsbehörde und Grundlage für jährliche Review-Zyklen. Es zeigt auch, dass der Verantwortliche den Grundsatz der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ernst nimmt.

• Feldtypen mit konfigurierbaren Aufbewahrungsregeln je Datenkategorie.
• Fristauslöser am Datensatz: Vertragsabschluss, letzter Kontakt oder Transaktionsdatum.
• Sperrmodus für Daten unter Aufbewahrungspflicht nach Art. 18 DSGVO.
• Löschprotokoll als Rechenschaftsnachweis nach Art. 5 Abs. 2 DSGVO.

Wie lässt sich Datenminimierung im CRM strukturiert umsetzen?

Datenminimierung nach Art. 5 Abs. 1 Buchst. c DSGVO heißt im CRM: Erfassen Sie nur die Felder, die Sie für den jeweiligen Verarbeitungsprozess tatsächlich benötigen, und trennen Sie Pflichtfelder von optionalen Angaben. Das Grundsatzproblem des Vertriebs ist oft umgekehrt: Formulare sammeln maximal viele Daten im Erstkontakt, ohne dass ein klarer Zweck für jedes Feld besteht.

Praktische Umsetzung: Beginnen Sie mit einer Feldinventur. Listen Sie alle Felder Ihres CRM auf, ordnen Sie jedem Feld einen Zweck und eine Rechtsgrundlage zu und markieren Sie Felder ohne dokumentierte Zweckbindung als Löschkandidaten. Annahme für ein Rechenbeispiel: Ein CRM mit 60 Kundenfeldern hat nach einer solchen Prüfung noch 38 Felder mit dokumentiertem Zweck, 22 Felder werden entfernt. Die Ermittlung ist nachvollziehbar und verbessert zugleich die Datenqualität.

Der zweite Hebel ist die Feldtypik. Ausweisdokumente und Finanzierungsdaten gehören in zugriffsbeschränkte Dokumentbereiche, nicht in freie CRM-Felder. So lassen sich sensible Kategorien getrennt aufbewahren und löschen, ohne dass der gesamte Kontakt betroffen ist. MyInvest Pro trennt über die Dokumenten- und CRM-Struktur sensiblie Kategorien von allgemeinen Vertriebsdaten.

Der dritte Hebel ist die Feldpflege: Dublettenkontrolle, Pflichtfeldvalidierung und periodische Datenqualitätsaudits verhindern, dass die Datenbasis über Jahre auffrischt, ohne dass sie sachlich aktuell bleibt. Wer ohnehin periodisch prüft, ob die Daten noch aktuell sind, kann dieselben Zyklen für die Zweckbindung und Löschreife nutzen.

Welche Besonderheiten gelten für Daten von Vertriebspartnern?

Vertriebspartner, Untervermittler und Teammitglieder sind eigene Datenpersonen im CRM. Ihre Daten, etwa Kontakt, Ausweis, Steuernummer, Bankverbindung für Provisionsauszahlung oder Nachweis der Gewerbeerlaubnis nach § 34c GewO, unterliegen anderen Fristen als Kundendaten. Die Gewerbeerlaubnis muss während der Partnerschaft vorliegen; nach deren Ende sind die Aufzeichnungen an der handels- und steuerrechtlichen Dokumentation zu messen.

Anders als bei Kunden gibt es für Vertriebspartner eine legitime Verarbeitung über den Abschluss einzelner Transaktionen hinaus: Provisionsabrechnung, Auszahlungsbelege, Teamvergütungen und Rückabwicklungsfälle erzeugen einen Nachweisbedarf, der in der Regel mindestens den zehnjährigen Fristen der Abgabenordnung folgt. Das heißt nicht, dass alles andere auch zehn Jahre gespeichert wird; die zweckgebundene Trennung zwischen Abrechnungsdaten und allgemeinen Profildaten bleibt bestehen.

Besonders sensibel sind Ausweiskopien und Kontodaten von Vertriebspartnern. Diese sollten wie GwG-Unterlagen behandelt werden: zugriffsbeschränkt, mit definiertem Löschtermin und nicht in freitextlichen Feldern. Empfehlenswert ist eine Struktur, bei der sensible Partnernachweise in einem eigenen Bereich liegen und nach Beendigung der Partnerschaft automatisch einer Löschregel unterliegen.

Für die Vertragsbeziehung selbst, etwa den Vertriebspartnervertrag, gelten die allgemeinen Aufbewahrungsregeln für Verträge und Geschäftsbriefe. Nach Ablauf können die aktenkundigen Vertragsdaten gelöscht werden; Ansprechpartner, die später als Kunden in Erscheinung treten, fallen dann unter die regulären Kundenregeln.

Was hat das Widerrufsrecht mit der Speicherdauer zu tun?

Das Widerrufsrecht nach § 355 Abs. 1 Satz 5 BGB beträgt bei Fernabsatzverträgen vierzehn Tage; die Belehrungspflichten ergeben sich aus Art. 246a § 1 Abs. 2 Satz 2 EGBGB. Für die Datenhaltung bedeutet das: Reservierungen und Kaufverträge, die im Widerrufszeitraum stehen, sind als offene Rechtsgeschäfte zu behandeln; die Daten sind in vollem Umfang aktiv nutzbar, weil das Geschäft rechtlich noch nicht abschließend ist.

Nach Ablauf der Widerrufsfrist, verlängert bei unzureichender Belehrung um die Fristen nach Art. 246a § 3 EGBGB, wandelt sich der Status: Der Vertrag ist nicht mehr widerruflich, und die Daten gehen in die Aufbewahrungsphase über. Das CRM kann diesen Statuswechsel abbilden, indem ein Reservierungs- oder Kaufdatensatz nach Ablauf der Widerrufsfrist automatisch in den gesicherten Modus wechselt.

Relevant ist der Statuswechsel auch für die Vertriebspraxis: Ein datensatz, dessen Widerrufsfrist läuft, sollte nicht in Umsatzprognosen mit endgültiger Wertung einfließen. Stattdessen wird er als offener Deal mit Widerrufsrisiko geführt. Nach Fristablauf wechselt die Wertung; erst dann beginnt für die Vertragsunterlagen auch die zehnjährige Aufbewahrungsphase nach der Abgabenordnung sinnvoll zu laufen.

Für den Fall eines Widerrufs gilt: Die Vertragsdaten werden Teil der Rückabwicklungsdokumentation und unterliegen dann den allgemeinen Aufbewahrungsregeln für Rechnungen und Korrespondenz. Löschfristen für Kundendaten setzen also nie am Widerrufsereignis selbst an, sondern am Ende der sich anschließenden gesetzlichen Aufbewahrungsfristen.

1. 1Vertragsabschluss im CRM mit Widerrufsstatus erfassen.
2. 2Widerrufsfrist nach § 355 Abs. 1 Satz 5 BGB, also 14 Tage, überwachen.
3. 3Bei Widerruf: Rückabwicklungsdokumentation anlegen und reguläre Aufbewahrungsfristen starten.
4. 4Ohne Widerruf: Nach Fristablauf Datensatz in die zehnjährige Aufbewahrungsphase nach § 147 AO überführen und sperren.

Wie führen Sie ein Löschkonzept im Vertrieb schrittweise ein?

Ein Löschkonzept entsteht nicht in einem Nachmittag, aber auch nicht über Jahre. Realistisch ist eine strukturierte Einführung über mehrere Wochen, beginnend mit einer Bestandsaufnahme, gefolgt von der Definition von Datenkategorien und Fristen, dann der technischen Umsetzung im CRM und schließlich einem rollierenden Review-Zyklus.

Annahme für ein Rechenbeispiel: Ein Vertrieb mit 500 aktiven Kunden, 3.000 Interessenten und 1.200 Vertragsakten beginnt mit der Feldinventur. In Woche eins bis zwei werden Datenkategorien gebildet; in Woche drei bis vier werden Fristen festgelegt und mit dem Datenschutzbeauftragten abgestimmt; in Woche fünf bis sechs werden die Regeln im CRM konfiguriert und in einer Pilotstichprobe getestet. Danach läuft der Prozess automatisiert und wird jährlich geprüft.

Wichtig ist die Einbindung der Beteiligten: Vertriebsleitung definiert den wirtschaftlich erforderlichen Speicherzeitraum, Datenschutzbeauftragte prüfen die Rechtsgrundlagen, die IT konfiguriert das CRM, und das Vertriebsteam wird geschult, um zu verstehen, warum bestimmte Felder oder Datenbestände nicht mehr sichtbar sind. Ohne Schulung entstehen Schattenkopien in Excel-Listen, die das Konzept aushebeln.

Nach der Einführung genügt ein jährlicher Review-Termin: Sind die Fristen noch zweckmäßig? Haben sich Rechtsgrundlagen geändert? Gibt es Datenkategorien, die neu hinzugekommen sind? Das Protokoll dieses Reviews ist zugleich der Rechenschaftsnachweis nach Art. 5 Abs. 2 DSGVO.