Geldwäschegesetz (GwG) im Makler-CRM abbilden

Immobilienmakler gehören in Deutschland zu den Verpflichteten des Geldwäschegesetzes (GwG). Das ist keine Nebensache für die Rechtsabteilung großer Häuser: Auch ein kleines Büro muss Vertragsparteien identifizieren, Angaben aufzeichnen, aufbewahren und im Verdachtsfall melden. Ein CRM kann diese Pflichten nicht erfüllen, aber es kann der Ort sein, an dem sie nachvollziehbar dokumentiert werden. Dieser Text beschreibt die Grundzüge, wie Aufsichtsbehörden sie im November 2026 erläutern, und was Sie im CRM einrichten und prüfen. Er ist keine Rechtsberatung; maßgeblich sind das Gesetz, die Auslegungshinweise Ihrer Aufsichtsbehörde und gegebenenfalls fachkundiger Rat.

Zum Datenschutz im CRM allgemein: DSGVO und Kundendaten im Makler-CRM. Welche Unterlagen in die Akte gehören: Dokumente und Vorgänge im Makler-CRM.

Wer betroffen ist

Nach § 1 Abs. 11 GwG ist Immobilienmakler, wer gewerblich den Abschluss von Kauf-, Pacht- oder Mietverträgen über Grundstücke, grundstücksgleiche Rechte, gewerbliche Räume oder Wohnräume vermittelt. Das Regierungspräsidium Gießen fasst die Pflichten in drei Blöcke: Risikomanagement (§§ 4 ff. GwG), Sorgfaltspflichten gegenüber Kunden (§§ 10 ff. GwG) und Verdachtsmeldungen (§§ 43 ff. GwG). Hinzu kommen Aufzeichnungs- und Aufbewahrungspflichten (§ 8 GwG) und die Registrierung bei der Zentralstelle für Finanztransaktionsuntersuchungen (FIU).

Für die Vermietung gibt es eine Schwelle: Ein Risikomanagement müssen alle Makler einrichten, die Kaufverträge vermitteln. Bei Miet- oder Pachtverträgen gilt das nur, wenn die monatliche Nettokaltmiete oder Nettokaltpacht 10.000 Euro oder mehr beträgt (§ 4 Abs. 4 GwG). Die Pflicht zur Verdachtsmeldung gilt dagegen unabhängig von der Höhe des Geschäfts, also auch bei Mietvermittlungen unterhalb dieser Schwelle.

Identifizierung: wen und wann

Eine Besonderheit für Makler regelt § 11 Abs. 2 GwG: Bei der Vermittlung eines Kaufs oder einer Miete/Pacht ab 10.000 Euro monatlicher Nettokaltmiete sind nicht nur der eigene Auftraggeber, sondern die Vertragsparteien des vermittelten Rechtsgeschäfts zu identifizieren, gegebenenfalls auch für sie auftretende Personen und wirtschaftlich Berechtigte. Zeitpunkt ist, sobald ein ernsthaftes Interesse an der Durchführung besteht und die Vertragsparteien hinreichend bestimmt sind.

Für das CRM heißt das: Der Käufer, den Sie nicht als Auftraggeber haben, gehört trotzdem mit Identifizierungsdaten in den Vorgang. Ein CRM, das Identifizierung nur am „Kunden“ (dem Verkäufer) vorsieht, bildet diese Pflicht nur halb ab. Prüfen Sie in einer Demo, ob Sie Identifizierungen an jeder Partei eines Vorgangs hinterlegen können.

Was aufgezeichnet und wie lange aufbewahrt wird

§ 8 GwG beschreibt, was aufzuzeichnen ist. Dazu gehören unter anderem die im Rahmen der Sorgfaltspflichten erhobenen Angaben über Vertragspartner, Vertragsparteien des vermittelten Geschäfts, auftretende Personen und wirtschaftlich Berechtigte; Informationen über Durchführung und Ergebnis der Risikobewertung; sowie die Erwägungen und eine nachvollziehbare Begründung, wenn Sie einen Sachverhalt im Hinblick auf eine Meldepflicht bewertet haben. Bei Identifizierung anhand eines Ausweisdokuments sind Art, Nummer und ausstellende Behörde aufzuzeichnen; Verpflichtete haben das Recht und die Pflicht, Kopien anzufertigen oder digital zu erfassen.

Digitale Speicherung ist ausdrücklich erlaubt (§ 8 Abs. 3 GwG), wenn die Daten mit den festgestellten Angaben übereinstimmen, während der Aufbewahrungsfrist verfügbar sind und in angemessener Frist lesbar gemacht werden können. Die Aufbewahrungsfrist beträgt nach § 8 Abs. 4 GwG fünf Jahre, soweit andere Vorschriften keine längere Frist vorsehen; spätestens nach zehn Jahren sind die Aufzeichnungen zu vernichten. Die Frist beginnt je nach Fall mit dem Schluss des Kalenderjahres, in dem die Geschäftsbeziehung endet, oder in dem die Angabe festgestellt wurde.

Daraus folgen konkrete Anforderungen an Ihr CRM:

• Ein Fristbeginn pro Vorgang oder Partei, nicht nur ein Erstellungsdatum.
• Eine Löschroutine, die GwG-Fristen und DSGVO-Löschpflichten zusammenbringt — und andere, eventuell längere Fristen, etwa aus Steuer- oder Handelsrecht, berücksichtigt.
• Ein Export, mit dem Sie die Unterlagen auch nach einem Anbieterwechsel noch vorlegen können. Siehe CRM wechseln.

Risikoanalyse und Einzelfallbewertung

Wer ein Risikomanagement einrichten muss, braucht eine dokumentierte Risikoanalyse für das Büro und interne Sicherungsmaßnahmen. Im Einzelfall bewerten Sie das Risiko einer Geschäftsbeziehung oder Transaktion. Ein CRM kann dafür Felder oder Formulare bieten: Risikofaktoren, Ergebnis, Datum, verantwortliche Person. Wichtig ist, dass die Bewertung begründet ist und nicht nur ein Häkchen „Risiko: niedrig“. Viele Aufsichtsbehörden der Länder veröffentlichen Auslegungs- und Anwendungshinweise für Güterhändler und Immobilienmakler; nutzen Sie die Ihres Bundeslandes als Referenz für die Inhalte, nicht die Vorlage eines Softwareanbieters.

Barzahlungsverbot und Mittelherkunft

Seit 2023 ist beim Erwerb von Immobilien die Barzahlung des Kaufpreises untersagt (§ 16a GwG); der Nachweis unbarer Zahlung spielt vor allem bei Notaren eine Rolle. Für Makler bleibt relevant: Auffälligkeiten rund um Zahlungen, Mittelherkunft oder wirtschaftlich Berechtigte gehören in die Einzelfallbewertung und gegebenenfalls in eine Meldung. Halten Sie Ihre Beobachtungen sachlich und datiert im Vorgang fest.

Verdachtsmeldung: Vertraulichkeit im CRM

Bei Anhaltspunkten für Geldwäsche oder Terrorismusfinanzierung ist unverzüglich eine Meldung an die FIU abzugeben, in der Regel über das Portal goAML. Das GwG verbietet grundsätzlich, Betroffene oder Dritte über eine beabsichtigte oder erstattete Meldung zu informieren (§ 47 GwG). Für das CRM folgt daraus:

• Meldungen und ihre Begründung gehören nicht in Notizen, die das ganze Team, ein Partner-Portal oder gar der Kunde sieht.
• Richten Sie einen eingeschränkten Bereich oder ein getrenntes Verzeichnis ein, auf das nur die zuständigen Personen (etwa die Geschäftsleitung oder ein Geldwäschebeauftragter, falls bestellt) Zugriff haben.
• Prüfen Sie, ob Automatisierungen (E-Mail-Vorlagen, Statusmeldungen) einen vertraulichen Status versehentlich nach außen tragen können.

Typische Lücken im Büroalltag

In vielen Büros sind die Pflichten bekannt, aber die Dokumentation ist verstreut. Häufige Muster:

• Ausweiskopien im Postfach. Ein Kaufinteressent schickt ein Foto seines Ausweises per E-Mail, es bleibt im persönlichen Postfach einer Mitarbeiterin. Damit ist weder der Zugriff begrenzt noch die Frist steuerbar. Legen Sie fest, dass solche Unterlagen sofort im Vorgang abgelegt und aus dem Postfach entfernt werden.
• Identifizierung zu spät. Das ernsthafte Interesse zeigt sich oft schon vor dem Notartermin. Wer erst kurz vor der Beurkundung identifiziert, hat im Ernstfall eine Lücke. Eine Aufgabe im CRM beim Statuswechsel „Reservierung“ oder „Kaufabsicht“ kann helfen.
• Wirtschaftlich Berechtigte bei Gesellschaften. Kauft eine GmbH, ist die handelnde Person nicht automatisch der wirtschaftlich Berechtigte. Das CRM sollte Felder für die Eigentums- und Kontrollstruktur haben, inklusive Hinweis auf einen Transparenzregisterauszug, wenn Sie einen einholen.
• Fehlende Schulung. Software zeigt Felder, aber nicht, wann ein Sachverhalt auffällig ist. Interne Schulungen gehören zu den Sicherungsmaßnahmen; dokumentieren Sie Termin und Teilnehmer.

Was sich ändert: EU-Geldwäscheverordnung

Auf EU-Ebene ist die Geldwäscheverordnung (EU) 2024/1624 verabschiedet; sie gilt im Wesentlichen ab dem 10. Juli 2027 und wird nationale Regeln teilweise ersetzen. Für die Praxis im Büro heißt das: Die Grundpflichten (Identifizieren, Bewerten, Aufzeichnen, Melden) bleiben, Details können sich verschieben. Fragen Sie Ihren CRM-Anbieter, wie er Formulare und Fristen anpasst, und verlassen Sie sich für den Inhalt auf Ihre Aufsichtsbehörde.

Fragen für die Demo

• Kann ich Identifizierungen an allen Parteien eines Vorgangs hinterlegen, auch an der Gegenpartei, die nicht mein Auftraggeber ist?
• Gibt es Felder für Ausweisart, Nummer und ausstellende Behörde sowie eine sichere Ablage der Kopie mit eingeschränkten Rechten?
• Kann ich Risikobewertungen mit Begründung, Datum und verantwortlicher Person dokumentieren?
• Gibt es einen vertraulichen Bereich für Meldeerwägungen, der in keiner Kundenkommunikation auftaucht?
• Kann ich Aufbewahrungsfristen ab Ende der Geschäftsbeziehung steuern und Löschungen protokollieren?
• Wo werden die Daten gespeichert, und gibt es einen Auftragsverarbeitungsvertrag? Siehe DSGVO im Makler-CRM.

Nutzen Sie diese Fragen zusammen mit der allgemeinen Checkliste für die CRM-Wahl.

Kurz gesagt

Makler sind GwG-Verpflichtete. Sie identifizieren bei Kaufvermittlungen und Mieten ab 10.000 Euro Nettokaltmiete die Vertragsparteien des vermittelten Geschäfts, bewerten Risiken, zeichnen auf, bewahren grundsätzlich fünf Jahre auf und melden Verdachtsfälle an die FIU — Letzteres unabhängig vom Betrag. Ein CRM nimmt Ihnen diese Pflichten nicht ab, kann sie aber sauber dokumentieren: mit Identifizierung an jeder Partei, begründeter Risikobewertung, Fristen ab Geschäftsende und einem streng vertraulichen Bereich für Meldungen.