In einem Makler-CRM stehen typischerweise Namen, Kontaktdaten, Suchprofile, oft Ausweiskopien, Angebotsunterlagen und Nachrichten. Das sind personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO). Dieser Text beschreibt, worauf Sie als Büro achten. Es ist keine Rechtsberatung.
Wie Unterlagen im Vorgang liegen, steht in Dokumente und Vorgänge.
Wer verantwortlich ist
Als Maklerbüro sind Sie typischerweise Verantwortlicher für die Kundendaten. Der Softwareanbieter ist regelmäßig Auftragsverarbeiter. Dazu gehört ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) sowie Klarheit über Unterauftragsverarbeiter, Speicherort und technische sowie organisatorische Maßnahmen. Ein Werbesatz „wir sind DSGVO-konform“ ersetzt diesen Vertrag nicht.
Stehen Daten außerhalb des EWR, brauchen Sie die vorgesehenen Garantien. Lassen Sie den Ort und die Garantien schriftlich nennen, nicht nur in einer Broschüre.
Rechte, Löschung, Verzeichnis
Nicht jede Person im Büro muss Ausweise oder besondere Kategorien von Daten sehen. Richten Sie Rollen ein und prüfen Sie, wer Zugriff hatte. Speichern Sie nicht länger, als Ihr Zweck und die gesetzlichen Pflichten es tragen; „alles aufbewahren, falls es später nützt“ ist kein Löschkonzept.
Betroffene haben unter anderem Rechte auf Auskunft, Berichtigung und Löschung, soweit die Voraussetzungen vorliegen. Klären Sie, wie Sie ein solches Ersuchen im System erfüllen, ohne den Vorgang unlesbar zu machen, wo Sie ihn noch brauchen.
Was Sie in einer Demo und im Vertrag prüfen
- Ein Auftragsverarbeitungsvertrag liegt vor oder wird vor dem Start geschlossen.
- Speicherort, Unterauftragsverarbeiter und ein Weg für Auskunft und Export sind beschrieben.
- Rechte und Protokolle sind einstellbar.
- Ein Lösch- oder Sperrkonzept ist erklärbar, nicht nur ein Häkchen „unbegrenzt archivieren“.
Dasselbe gilt beim Systemwechsel: ein Export bleibt schutzbedürftig. Siehe CRM wechseln und die Checkliste.
Kurz gesagt
Das CRM ist ein Werkzeug; die Pflicht aus der DSGVO bleibt beim Büro. Schließen Sie die Auftragsverarbeitung schriftlich, richten Sie Rechte ein, und bewahren Sie nicht automatisch alles unbegrenzt auf.
Häufig gestellte Fragen
Ist der Softwareanbieter für meine Kundendaten verantwortlich?
Typischerweise bleiben Sie als Büro Verantwortlicher. Der Anbieter ist regelmäßig Auftragsverarbeiter; dazu gehört ein Vertrag nach Art. 28 DSGVO.
Dürfen alle Mitarbeiter alle Unterlagen sehen?
Das ist meist keine gute Idee. Richten Sie Rechte ein, besonders für Ausweise und besonders schutzbedürftige Daten.
Reicht der Satz, die Software sei „DSGVO-konform“?
Nein. Entscheidend sind Vertrag, Speicherort, Unterauftragsverarbeiter, Rechte und ein Löschkonzept.