Maklerbestand kaufen: DSGVO-Checkliste für Datenübergabe und Kundeninformation

Am Freitag soll die Kundenakte eines übernommenen Maklerbestands auf einem verschlüsselten Datenträger übergeben werden. Enthalten sind Kontaktdaten, Verträge, Schadendaten, Beratungsprotokolle, Ausweiskopien und teils Gesundheitsangaben aus Versicherungsanträgen. Wenn Käufer und Verkäufer jetzt nur einen Export aus dem Maklerverwaltungsprogramm organisieren, entstehen schnell Datenschutzrisiken. Entscheidend ist nicht allein, ob die Daten technisch übertragen werden können, sondern ob Übertragung, spätere Nutzung und Kundeninformation rechtlich und organisatorisch sauber vorbereitet sind.

Dieser Beitrag ist ein praktischer Ratgeber und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Bei kniffligen Fragen ziehen Sie Ihren Datenschutzbeauftragten oder die zuständige Aufsichtsbehörde hinzu.

Beim Kauf oder der Übernahme eines Maklerbestands treffen zwei eigenständige Verantwortliche aufeinander. Der bisherige Makler entscheidet über die Datenverarbeitung in seinem Betrieb, der Käufer künftig über die Datenverarbeitung in seinem Betrieb. Die DSGVO betrachtet die Bestandsübergabe daher regelmäßig als Übermittlung personenbezogener Daten an einen Dritten. Ein Auftragsverarbeitungsvertrag ist dafür normalerweise nicht das passende Instrument. Wann ein solcher Vertrag tatsächlich erforderlich ist, erläutert unser Beitrag AV-Vertrag für Makler: Wer braucht wirklich einen?.

Erst klären: Was wird tatsächlich übernommen?

Ein Maklerbestand besteht nicht nur aus Kundennamen und Vertragsnummern. Vor dem Kaufvertrag sollten beide Seiten eine Dateninventur erstellen. Sie trennt Daten, die für die Fortführung der Betreuung notwendig sein können, von Daten ohne erkennbaren Übergabezweck.

Typische Datenkategorien sind:

• Stammdaten wie Name, Anschrift, Geburtsdatum, Kommunikationsdaten und Familienstand
• Vertrags- und Risikodaten zu Versicherungen, Finanzierungen oder Immobilien
• Korrespondenz, Gesprächsnotizen und Beratungsdokumentationen
• Angaben zu Schäden, Leistungsfällen und Beschwerden
• Bankverbindungsdaten und Zahlungsinformationen
• Ausweisdokumente, Vollmachten und Unterschriften
• Gesundheitsdaten, soweit sie etwa aus Anträgen zur Berufsunfähigkeits-, Kranken- oder Lebensversicherung hervorgehen
• Zugangsdaten, Portalanmeldungen oder Sicherheitsfragen

Besonders kritisch sind Gesundheitsdaten. Sie gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Für ihre Verarbeitung genügt nicht allein eine allgemeine Rechtsgrundlage nach Art. 6 DSGVO. Es muss zusätzlich geprüft werden, ob eine Ausnahme nach Art. 9 Abs. 2 DSGVO trägt. Das gilt auch dann, wenn die Daten in einer alten PDF-Beratung, einem E-Mail-Anhang oder einem eingescannten Antrag liegen.

Die Dateninventur sollte nicht nur als interne Liste existieren. Sie gehört in die Transaktionsakte. So lässt sich später nachvollziehen, welche Kategorien mit welchem Zweck übergeben wurden und welche ausdrücklich ausgeschlossen blieben.

Rechtsgrundlage nicht pauschal behaupten

Die oft verwendete Aussage, der Kaufvertrag erlaube automatisch jede Datenübertragung, ist zu kurz gegriffen. Der Kaufvertrag wird zwischen Käufer und Verkäufer geschlossen, nicht zwingend mit den betroffenen Kunden. Für die Datenverarbeitung ist deshalb je Verarbeitungszweck eine belastbare Grundlage zu bestimmen.

In Betracht kommen insbesondere:

• Art. 6 Abs. 1 Buchstabe b DSGVO, soweit Datenverarbeitung für ein bestehendes Vertragsverhältnis mit dem Kunden erforderlich ist
• Art. 6 Abs. 1 Buchstabe f DSGVO, wenn berechtigte Interessen des Verkäufers oder Käufers überwiegen und eine dokumentierte Interessenabwägung dies trägt
• Art. 6 Abs. 1 Buchstabe c DSGVO, soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen
• Art. 9 Abs. 2 DSGVO für besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten

Eine Einwilligung kann in Einzelfällen sinnvoll oder erforderlich sein, ist beim laufenden Bestandsübergang aber kein Ersatz für eine sorgfältige Rechtsgrundlagenprüfung. Sie muss freiwillig, informiert, nachweisbar und jederzeit widerrufbar sein. Insbesondere darf eine ältere, allgemein formulierte Einwilligung nicht ungeprüft auf den neuen Makler übertragen werden.

Hilfreich ist eine schriftliche Interessenabwägung. Sie sollte den legitimen Zweck, die Erwartungen der Kunden, die Datenarten, mögliche Risiken und Schutzmaßnahmen festhalten. Je älter, sensibler oder umfangreicher die Akten sind, desto sorgfältiger muss diese Prüfung ausfallen. Die Grundlagen zur Auswahl der Rechtsgrundlage finden Sie auch im Beitrag Einwilligung oder berechtigtes Interesse für Makler.

Kundeninformation frühzeitig planen

Der Käufer erhält die Daten regelmäßig nicht direkt von den Kunden. Damit greifen für ihn grundsätzlich die Informationspflichten nach Art. 14 DSGVO. Der Kunde muss unter anderem erfahren:

• wer künftig Verantwortlicher ist und wie der Datenschutzkontakt erreichbar ist
• welche Datenkategorien verarbeitet werden
• aus welcher Quelle die Daten stammen
• für welche Zwecke und auf welcher Rechtsgrundlage die Verarbeitung erfolgt
• welche Empfänger oder Empfängerkategorien vorgesehen sind
• wie lange die Daten gespeichert werden
• welche Betroffenenrechte bestehen

Die Information muss nach Art. 14 DSGVO innerhalb einer angemessenen Frist erfolgen, spätestens innerhalb eines Monats nach Erhebung. Soll der Käufer den Kunden vorher kontaktieren oder die Daten vorher an weitere Empfänger weitergeben, muss die Information spätestens zu diesem Zeitpunkt erfolgen.

Praktisch empfiehlt sich eine abgestimmte Kommunikation von Verkäufer und Käufer rund um den Übergabestichtag. Der Verkäufer kann seine Kunden vorab transparent über die geplante Bestandsübertragung informieren. Der Käufer sollte anschließend eine eigene Datenschutzinformation und einen klaren Ansprechpartner bereitstellen. Eine bloße Mitteilung wie „Ihr Bestand wurde verkauft“ reicht nicht aus.

Bei der Kommunikation sollten Sie keine sensiblen Vertrags- oder Gesundheitsinformationen in unverschlüsselten E-Mails nennen. Nutzen Sie neutrale Betreffzeilen und verweisen Sie bei Bedarf auf ein geschütztes Kundenportal oder einen sicheren postalischen Weg. Für digitale Kommunikation gelten dieselben Anforderungen an Zweckbindung und Datenminimierung wie für die Datenübernahme selbst. Eine praxistaugliche Grundlage bietet unser Beitrag WhatsApp Business für Makler DSGVO-konform nutzen: Checkliste für Kundenkommunikation.

Sichere Übergabe: Nicht per offenem E-Mail-Anhang

Der Datenexport ist ein sicherheitskritischer Prozess. Besonders problematisch sind unverschlüsselte E-Mails, frei zugängliche Cloud-Ordner, USB-Sticks ohne Verschlüsselung und gemeinsam genutzte Zugangsdaten. Auch ein vollständiger Systemzugang des Käufers vor dem Stichtag kann zu früh und zu weit gehen.

Vereinbaren Sie für die Übergabe ein technisches Übergabeprotokoll. Darin halten Sie mindestens fest:

• Datum, Uhrzeit und verantwortliche Personen
• Datenquellen und exportierte Datenbestände
• Umfang der übergebenen Dateien und Akten
• Verschlüsselungsverfahren und getrennten Übermittlungsweg für Passwörter
• Prüfsumme oder vergleichbaren Integritätsnachweis bei größeren Datenmengen
• bestätigten Empfang durch den Käufer
• Lösch- oder Sperrmaßnahmen beim Verkäufer nach Ablauf erforderlicher Aufbewahrungsfristen
• bekannte Datenqualitätsprobleme, Dubletten und offene Betroffenenanfragen

Der Käufer sollte Daten zunächst in einen abgeschotteten Übernahmebereich importieren. Erst nach Prüfung von Vollständigkeit, Berechtigungen und Datenqualität erfolgt die Übernahme in das Produktivsystem. Nicht jede Mitarbeitende benötigt sofort Zugriff auf alle Altakten. Rollen, Berechtigungen und Protokollierung sind zentrale technische und organisatorische Maßnahmen. Eine umfassende Prüfliste dazu finden Sie unter TOM im Maklerbüro: die Datenschutz-Checkliste.

Was mit den Daten beim Verkäufer geschieht

Mit der Übergabe endet die Verantwortung des Verkäufers nicht vollständig. Er muss weiterhin prüfen, welche Unterlagen er aus gesetzlichen Gründen aufbewahren muss, welche Daten gesperrt werden und was zu löschen ist. Eine Aufbewahrung allein „für alle Fälle“ ist keine tragfähige Begründung.

Besonders wichtig sind getrennte Regelungen für:

• gesetzlich oder vertraglich aufzubewahrende Geschäftsunterlagen
• Unterlagen zur Abwehr oder Durchsetzung konkreter Rechtsansprüche
• Daten, die der Käufer vollständig übernommen hat und die beim Verkäufer nicht mehr benötigt werden
• Sicherungen und Archive, in denen Daten technisch noch vorhanden sind
• Papierakten, Notizen und lokale Kopien auf Arbeitsgeräten

Löschung bedeutet nicht zwangsläufig, dass jede Information sofort aus jeder Datensicherung entfernt werden muss. Backups benötigen aber ein dokumentiertes Löschkonzept, feste Wiederherstellungsprozesse und Zugriffsschutz. Maßgeblich ist, dass Daten aus Sicherungen nicht wieder unkontrolliert produktiv genutzt werden. Mehr zur strukturierten Löschplanung lesen Sie in Aufbewahrungsfristen für Makler: aufbewahren & löschen.

Checkliste für Käufer und Verkäufer

Vor dem Übergabestichtag

• Dateninventur mit Kategorien, Quellen, Umfang und Sensibilität erstellen.
• Kaufgegenstand und ausgeschlossene Daten im Vertrag eindeutig beschreiben.
• Rollen beider Parteien als eigenständige Verantwortliche festhalten.
• Rechtsgrundlagen und Interessenabwägungen dokumentieren.
• Gesundheitsdaten und andere besonders sensible Inhalte gesondert bewerten.
• Kundeninformation, Zuständigkeiten und Versandzeitpunkt abstimmen.
• Technischen Übergabeweg, Verschlüsselung und Empfangsbestätigung festlegen.
• Zugriffsrechte im Zielsystem vorab nach dem Need-to-know-Prinzip einrichten.

Am Übergabestichtag

• Exportumfang gegen die freigegebene Datenliste prüfen.
• Daten verschlüsselt übertragen und Passwort getrennt übermitteln.
• Übergabeprotokoll von beiden Seiten bestätigen lassen.
• Alte Benutzerkonten, Freigaben und Fernzugriffe kontrollieren.
• Unberechtigte Weiterleitungen und offene Cloud-Freigaben schließen.

Nach der Übergabe

• Käufer informiert Kunden fristgerecht nach Art. 14 DSGVO.
• Käufer aktualisiert Verzeichnis der Verarbeitungstätigkeiten, Datenschutzhinweise und Löschkonzept.
• Verkäufer dokumentiert Sperrung, Löschung oder weitere Aufbewahrung.
• Beide Seiten bearbeiten Auskunfts-, Lösch- oder Widerspruchsanfragen eindeutig nach Zuständigkeit.
• Sicherheitsvorfälle und Fehlübertragungen in den eigenen Meldeprozess aufnehmen.

Wer die datenschutzrechtlichen Grundlagen und die praktische Umsetzung systematisch vertiefen will, findet passende Seminare bei cmt.de.

Ein sauber geplanter Bestandskauf schützt nicht nur vor Datenschutzverstößen. Er verhindert auch operative Probleme nach dem Stichtag, etwa fehlende Beratungsdokumente, unklare Zuständigkeiten oder unberechtigte Zugriffe auf sensible Kundenakten. Die entscheidende Regel lautet: Erst Datenbestand, Rechtsgrundlage und Informationsprozess klären, dann exportieren.