Datenschutzhinweise Selbstauskunft: Inhalt und Nachweis

Wer muss Kaufinteressenten über die Verarbeitung ihrer Selbstauskunft informieren?

Die verantwortliche Stelle muss die Informationspflichten erfüllen; entscheidend ist, wer über Zwecke und Mittel der jeweiligen Verarbeitung entscheidet. Mit Selbstauskunft sind hier die Angaben eines Kaufinteressenten im Immobilienvertrieb gemeint. Davon zu unterscheiden ist sein datenschutzrechtliches Auskunftsersuchen über bereits verarbeitete Daten. Die Berliner Datenschutzaufsicht trennt diese Information auf Initiative des Verantwortlichen von der Auskunft auf Anfrage. Dieser Beitrag behandelt Inhalt, Bereitstellung und Dokumentation der Hinweise beim Erfassen von Interessentendaten.

Klären Sie deshalb zuerst den konkreten Verarbeitungsschritt. Der Markenname auf der Eingabeseite bestimmt die Verantwortlichkeit ebenso wenig allein wie der Zugang zum CRM. Nach Art. 4 Nr. 7 DSGVO zählt die tatsächliche Entscheidung über Zwecke und Mittel. Ein Softwareanbieter oder Vertriebspartner kann je nach Aufgabe eine andere Rolle haben.

Unsere organisatorische Empfehlung: Ordnen Sie jeden Erhebungsschritt einer verantwortlichen Stelle und einer internen Ansprechperson zu. Die interne Zuständigkeit ersetzt nicht die im Datenschutzhinweis zu benennende Stelle. Der übergreifende Vertriebsablauf ist im Überblick zum Immobilien-CRM eingeordnet. Hier geht es ausschließlich darum, welche Information den Kaufinteressenten für diesen Ablauf erreicht.

Welche Angaben gehören in die Datenschutzhinweise zur Selbstauskunft?

Der Hinweis muss die einschlägigen Angaben zu Verantwortlichem, Zwecken, Rechtsgrundlagen, Datenflüssen, Speicherung und Rechten für den tatsächlichen Prozess enthalten. Art. 13 DSGVO betrifft die Erhebung bei der betroffenen Person. Art. 14 betrifft Daten, die nicht bei ihr erhoben wurden. Beide Vorschriften verlangen unter anderem Identität und Kontaktdaten des Verantwortlichen sowie Zwecke und Rechtsgrundlagen. Angaben zu Vertretung, Datenschutzbeauftragtem, Empfängern und Drittlandübermittlungen kommen hinzu, soweit sie einschlägig sind.

Erklären Sie auch die Speicherdauer oder, wenn deren Angabe nicht möglich ist, die Kriterien ihrer Festlegung. Der Hinweis muss die gesetzlichen Betroffenenrechte und das Beschwerderecht erläutern. Diese Rechte haben Voraussetzungen: Versprechen Sie weder die sofortige Löschung jeder Unterlage noch die Übertragbarkeit sämtlicher Dokumente. Bei einwilligungsbasierter Verarbeitung gehört die Information über den Widerruf dazu.

Die Unterschiede der Erhebungswege sind wesentlich. Bei direkter Erhebung verlangt Art. 13 Abs. 2 Buchst. e Angaben zu Bereitstellungspflicht, Erforderlichkeit für den Vertragsabschluss und möglichen Folgen fehlender Angaben. Art. 14 enthält diesen Punkt nicht identisch, verlangt dafür Datenkategorien und Herkunft. Automatisierte Entscheidungen sind nur nach den einschlägigen Voraussetzungen der jeweiligen Norm zu beschreiben.

Leiten Sie daraus keine neue Liste zulässiger Fragen ab. Welche Angaben wann abgefragt werden, behandelt bereits der Beitrag zur Selbstauskunft im Immobilienvertrieb. Ein vollständiger Hinweis erlaubt keine unnötige Erhebung: Zweckbindung und Datenminimierung gelten nach Art. 5 DSGVO zusätzlich.

In der Software

Selbstauskunft und Unterschrift ohne Papier

Der Interessent füllt die Selbstauskunft selbst aus, lädt seine Unterlagen hoch und unterschreibt digital; die Checkliste zeigt, was noch fehlt.

Selbstauskunft · E-Signatur

Wie nutzen Sie die Prüfmatrix für Ihren eigenen Selbstauskunftsprozess?

Füllen Sie die Matrix anhand Ihrer tatsächlichen Verarbeitung aus und trennen Sie offene Sachfragen vom späteren Informationstext. Eigene organisatorische Arbeitshilfe der Redaktion: Die folgende Matrix ist keine fertige Datenschutzerklärung und keine gesetzlich vorgeschriebene Form. Kopieren Sie sie für den zu prüfenden Erhebungsschritt. Die Ausfülllinien bleiben absichtlich leer; sie stehen nicht für vorgegebene Empfänger, Rechtsgrundlagen oder Speicherfristen. Konkrete betriebliche Angaben müssen Sie erst ermitteln.

Notieren Sie vorab den Verarbeitungsschritt und seinen Zweck sowie den Erhebungsweg. Ergänzen Sie dann zu jeder einschlägigen Zeile eine nachvollziehbare Angabe. Ist ein Punkt nicht einschlägig, halten Sie intern den Grund fest. Ist er ungeklärt, vergeben Sie eine Zuständigkeit für die Klärung. Übernehmen Sie offene Fragen nicht als vermeintlich fertigen Hinweis.

Die Normspalte unterscheidet direkte und indirekte Erhebung. Die rechte Spalte dient Ihrer Arbeitsorganisation. Weder eine bestimmte Versionskennung noch dieses Tabellenschema ist gesetzlich vorgegeben. Prüfen Sie die fertige Information anschließend als zusammenhängenden Text: Ist sie verständlich, widerspruchsfrei und für den konkreten Kaufinteressenten brauchbar?

Wann und in welcher Form müssen die Hinweise beim Interessenten ankommen?

Bei direkter Erhebung stellen Sie die Information zum Erhebungszeitpunkt bereit und gestalten sie klar, verständlich und leicht zugänglich. Art. 12 Abs. 1 DSGVO lässt schriftliche und andere, gegebenenfalls elektronische Formen zu. Daraus folgt keine allgemeine Papierpflicht. Art. 12 Abs. 5 verlangt die unentgeltliche Bereitstellung der regulären Informationen. Eine nur schwer auffindbare allgemeine Datenschutzerklärung erfüllt die Anforderungen nicht automatisch, selbst wenn sie irgendwo auf Ihrer Website steht.

Unsere organisatorische Empfehlung für eine digitale Selbstauskunft: Machen Sie die passende Information dort erreichbar, wo die Eingabe beginnt. Prüfen Sie auch die Darstellung auf dem tatsächlich genutzten Gerät. Eine Information, die ausschließlich im Abschlussdokument nach dem Absenden auftaucht, kommt für die vorherige direkte Erhebung zu spät. Bei Papier oder einem persönlichen Gespräch braucht der Ablauf eine dazu passende Bereitstellung.

Die europäische Transparenzleitlinie empfiehlt für digitale Abläufe gestufte Hinweise. Eine erste Ebene hebt insbesondere verantwortliche Stelle, Zwecke, Rechte und besonders folgenreiche oder überraschende Verarbeitung hervor. Die vollständigen Angaben müssen zugleich leicht erreichbar bleiben. Ein Kurztext ersetzt diese vollständige Information also nicht.

Prüfen Sie den Zusammenhang statt nur den Link: Erkennt die Person, für welchen Erhebungsschritt die Hinweise gelten? Sind sie ohne Sucharbeit zugänglich? Kann sie den vollständigen Inhalt erhalten? Diese Prüffragen sind unsere Umsetzungsempfehlung. Sie bescheinigen keiner bestimmten Oberfläche bereits die Erfüllung der gesetzlichen Anforderungen.

Was ändert sich, wenn ein Vertriebspartner die Angaben übermittelt?

Prüfen Sie zunächst Rollen und Erhebungsquelle; eine technische Übermittlung durch einen Partner allein entscheidet noch nicht über die Anwendung von Art. 14 DSGVO. Der Begriff Vertriebspartner entscheidet die Einordnung nicht. Ein eigenständig Verantwortlicher ist anders zu beurteilen als ein Dienstleister, der im Auftrag verarbeitet. Entscheiden Beteiligte tatsächlich gemeinsam über Zwecke und Mittel, ist Art. 26 DSGVO zu beachten. Gemeinsam genutzte Software allein beweist keine gemeinsame Verantwortlichkeit. Die vertiefte Einordnung behandelt der Beitrag zu allgemeinen Datenschutzprozessen im Immobilienvertrieb. Entscheidend bleibt, ob die Daten für den Verantwortlichen bei der Person selbst oder aus einer anderen Quelle erhoben wurden.

Bei indirekter Erhebung gehören Datenkategorien und Quelle in die Information; gegebenenfalls auch die öffentlich zugängliche Herkunft. Nach Art. 14 Abs. 3 erfolgt die Information innerhalb einer angemessenen Frist nach Erlangung, längstens innerhalb eines Monats. Werden die Daten zur Kommunikation mit der betroffenen Person genutzt, gilt spätestens die erste Mitteilung als Grenze. Bei beabsichtigter Offenlegung an einen anderen Empfänger gilt spätestens die erste Offenlegung. Beachten Sie die jeweils frühere einschlägige Grenze.

Vergleichen Sie die Abläufe daher so: Direkte Eingabe durch den Interessenten bedeutet Information bei der Erhebung. Eingang aus anderer Quelle bedeutet zunächst Herkunft und Rollen prüfen, dann den frühesten maßgeblichen Informationsanlass bestimmen. Unsere Empfehlung ist, diesen Anlass bereits bei Eingang intern zuzuordnen, statt pauschal einen Monat abzuwarten.

Ein Partner kann Informationen bereits bereitgestellt haben. Die Ausnahme für vorhandene Information greift aber nur insoweit, wie der Person die erforderlichen Inhalte tatsächlich vorliegen. Ein übermittelter Datensatz oder eine Unterschrift beim Partner belegt das nicht automatisch. Die weiteren gesetzlichen Ausnahmen verlangen eine gesonderte fallbezogene Prüfung.

Sind Datenschutzhinweis, Einwilligung und Empfangsbestätigung dasselbe?

Nein, der Hinweis informiert, eine Einwilligung erlaubt unter ihren Voraussetzungen eine bestimmte Verarbeitung, und eine Empfangsbestätigung betrifft die Bereitstellung. Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine freiwillige, informierte, bestimmte und unmissverständliche Willensbekundung. Sie ist eine mögliche Rechtsgrundlage, aber keine pauschale Grundlage für die gesamte Selbstauskunft. Art. 6 nennt auch andere Grundlagen mit eigenen Voraussetzungen. Ein Hinweis kann deren fehlende Voraussetzungen nicht ersetzen.

Wird auf Einwilligung verarbeitet, muss der Verantwortliche deren Erteilung nach Art. 7 nachweisen können. Ein schriftliches Einwilligungsersuchen neben anderen Sachverhalten muss klar unterscheidbar sein. Die Person muss jederzeit widerrufen können; der Widerruf muss so einfach sein wie die Erteilung. Informieren Sie auch darüber, dass die Rechtmäßigkeit vorheriger Verarbeitung davon unberührt bleibt.

Für die bloße Bereitstellung eines Datenschutzhinweises gibt es dagegen keine allgemeine Unterschriftspflicht. Die sächsische Datenschutzaufsicht erläutert ausdrücklich, dass Zurverfügungstellen keine Unterschriftsleistung voraussetzt. Die Person muss die Information leicht und einfach erlangen können. Ein Nachweis tatsächlichen Lesens ist davon zu unterscheiden.

Unsere Gestaltungsempfehlung: Verwenden Sie keine gemeinsame Erklärung, die Kenntnisnahme und zusätzliche Verarbeitung sprachlich vermischt. Legen Sie zunächst fest, welche Handlung überhaupt dokumentiert werden soll. Eine Empfangsbestätigung belegt nicht automatisch eine wirksame Einwilligung. Umgekehrt ersetzt eine Einwilligungserklärung nicht die vollständigen Informationspflichten. Eine pauschale Pflichtcheckbox folgt aus diesen Regeln nicht.

Wie konkret müssen Empfänger und Speicherangaben beschrieben sein?

Nennen Sie die tatsächlich einschlägigen Empfänger oder Kategorien und eine passende Speicherdauer beziehungsweise nachvollziehbare Kriterien ihrer Festlegung. Ermitteln Sie zuerst, wer die Daten im betrachteten Ablauf tatsächlich erhält. Art. 13 Abs. 1 Buchst. e und Art. 14 Abs. 1 Buchst. e sehen Empfänger oder Empfängerkategorien vor. Auch Auftragsverarbeiter können Empfänger sein. Eine pauschal aus einem fremden Muster übernommene Liste kann deshalb sowohl falsche Beteiligte enthalten als auch tatsächlich Beteiligte auslassen.

Ist eine Übermittlung in ein Drittland oder an eine internationale Organisation beabsichtigt, sind die dafür vorgesehenen Informationen erforderlich. Dazu gehören nach der einschlägigen Norm der Status eines Angemessenheitsbeschlusses beziehungsweise die maßgeblichen Garantien und deren Bezugsmöglichkeit. Die Beschreibung der Übermittlung macht diese nicht von selbst zulässig.

Bei der Speicherung gibt es aus Art. 13 und Art. 14 keine einheitliche Frist für sämtliche Selbstauskünfte. Unsere Empfehlung: Prüfen Sie je Zweck und Unterlagenart, wodurch das Ende der Speicherung bestimmt wird. Wenn keine Dauer angegeben werden kann, müssen die genannten Kriterien deren Festlegung erklären. Bloße Leerformeln helfen dem Interessenten dabei nicht.

Gesetzliche Aufbewahrungspflichten sind für den konkreten Fall gesondert zu prüfen. Erfinden Sie weder eine pauschale Dauer noch eine angeblich immer notwendige Weitergabe. Fragen Sie bei der internen Abnahme, ob Hinweis und tatsächlicher Datenfluss zusammenpassen. Eine ausführliche Empfängerliste oder ein langer Speicherabschnitt ersetzt diese Sachprüfung nicht.

Wie dokumentieren Sie die bereitgestellte Fassung nachvollziehbar?

Unsere organisatorische Empfehlung ist, Fassung, Erhebungsschritt, Zeitpunkt, Kanal und zuständige Rolle miteinander nachvollziehbar zu verknüpfen. Die niedersächsische Datenschutzaufsicht betont die Dokumentation erledigter Informationspflichten im Rahmen der Rechenschaft. Art. 5 Abs. 2 DSGVO enthält den allgemeinen Nachweisgrundsatz. Daraus folgt jedoch kein gesetzlich festgelegtes Protokollschema. Die konkreten Felder der Matrix sind eine eigene Organisationsentscheidung der Redaktion.

Bewahren Sie nach unserer Empfehlung eine eindeutig zuordenbare Fassung der bereitgestellten Information auf. Erfassen Sie, wann und auf welchem Weg sie dem zugehörigen Vorgang bereitgestellt wurde. Benennen Sie außerdem, wer intern die Bereitstellung prüft und offene Fragen klärt. Beschränken Sie zusätzliche Protokolldaten auf das für diesen Nachweis Erforderliche.

Trennen Sie dabei die Fragen: Welche Information war verfügbar? Wie wurde sie zugänglich gemacht? Welche zusätzliche Erklärung hat die Person gegebenenfalls abgegeben? Nur die letzte Frage betrifft etwa einen eigenen Einwilligungsnachweis. Eine allgemeine Signatur unter einer Selbstauskunft beantwortet die anderen Fragen nicht ohne Prüfung ihres konkreten Inhalts.

Für eine interne Kontrolle können Sie einen Vorgang vom Erhebungsbeginn bis zum gespeicherten Nachweis durchgehen. Vergleichen Sie den tatsächlich erreichbaren Text mit der archivierten Fassung. Diese Kontrolle ist unsere Empfehlung; sie behauptet weder einen gesetzlich vorgeschriebenen Prüfrhythmus noch eine bereits vorhandene Automatik Ihrer Software.

Wann müssen Sie bei Änderungen erneut informieren?

Vor einer Weiterverarbeitung für einen anderen Zweck informieren Sie über diesen Zweck und die maßgeblichen Zusatzinformationen; andere wesentliche Änderungen sind gesondert zu bewerten.

Für den neuen Zweck bestimmen Art. 13 Abs. 3 und Art. 14 Abs. 4 den Zeitpunkt vor der Weiterverarbeitung. Die Information ist nur ein Teil der Prüfung. Ob die neue Nutzung auf einer tragfähigen Rechtsgrundlage beruht und mit dem bisherigen Zweck vereinbar ist, bleibt gesondert zu klären. Ein ergänzter Hinweis ist keine pauschale Freigabe.

Die Transparenzleitlinie verlangt eine aktive und wirksame Mitteilung wesentlicher Änderungen. Die Aufforderung, die Website regelmäßig selbst auf Änderungen zu prüfen, genügt danach nicht. Nicht jede Rechtschreibkorrektur ist wesentlich. Eine allgemeine feste Tagesfrist für alle Änderungen lässt sich daraus nicht ableiten.

Unsere Empfehlung für die Matrix: Halten Sie Anlass, betroffene Inhalte, betroffene Vorgänge und den vorgesehenen Informationsweg fest. Prüfen Sie bei geänderten Empfängern, neuen Verwendungen oder veränderten Speicherangaben die Auswirkungen auf den konkreten Ablauf. So bleibt die Entscheidung über eine erneute Information sichtbar, ohne jede redaktionelle Korrektur mit einer Zweckänderung gleichzusetzen.

Was sollten Sie bei einer digitalen Selbstauskunft praktisch prüfen?

Prüfen Sie den Informationsablauf unabhängig davon, ob die Software Eingabe, Dokumenten-Upload und Unterschrift bereits digital unterstützt. MyInvest Pro beschreibt auf der Produktseite die digitale Selbstauskunft für Immobilienkäufer mit digitalem Ausfüllen, Upload und Unterschrift. Die Funktionsseite zur dokumentierten Signaturstrecke beschreibt Versions- und Zeitnachweise sowie PDF-Export für den Signaturvorgang. Das sind öffentliche Produktangaben, kein eigener Anwendungstest dieses Beitrags.

Daraus folgt nicht, dass gerade Ihre Datenschutzhinweise automatisch bereitgestellt oder ihre Fassungen automatisch nachgewiesen werden. Ebenso wenig belegen diese Angaben bestimmte Empfänger, Speicherfristen oder eine automatisierte Entscheidung über Interessenten. Prüfen Sie den konkreten Einsatz anhand der Matrix und eines vollständig durchgespielten Ablaufs.

Unsere Empfehlung für die Abnahme: Beginnen Sie beim Einstieg des Interessenten. Öffnen Sie den vollständigen Hinweis und kontrollieren Sie seinen Bezug zum richtigen Verantwortlichen. Prüfen Sie anschließend, ob Ihre interne Dokumentation die tatsächlich bereitgestellte Fassung wiederfindbar macht. Wiederholen Sie diese Kontrolle für den gesonderten Eingang über einen Partner, falls dieser Erhebungsweg vorkommt.

Lassen Sie ungeklärte Rechtsgrundlagen, Rollen und Speicherangaben fachlich prüfen, bevor Sie sie als feststehenden Prozess beschreiben. Dieser Beitrag erläutert allgemeine Anforderungen und ersetzt keine Rechtsberatung. Die Arbeitsmatrix unterstützt Ihre Vorbereitung; sie ist keine universell verwendbare Datenschutzerklärung.