15.10.2026 – Löschfristen, Auftragsverarbeitungsverträge, Schulungen: In vielen Büros werden Datenschutz-Pflichten übers Jahr vor sich hergeschoben. Jetzt bietet es sich an, sich zu kümmern, bevor die Dezember-Hochphase beginnt.
Vermittler verarbeiten regelmäßig besonders sensible Daten wie etwa Gesundheitsdaten für Kranken-, Berufsunfähigkeits- oder Lebensversicherungen. Dafür gibt es nach der Datenschutz-Grundverordnung bestimmte Vorgaben, die einzuhalten sind.
Wer Datenschutzlücken bis zum Jahreswechsel schließen will, sollte jetzt anfangen. Im Oktober und November ist meist noch Luft, während ab Dezember Vertragsumstellungen, Kundenanrufe und Jahresgespräche meist wichtiger sind als jeder Aktenordner.
Löschfristen: Jetzt prüfen, zu Jahresbeginn löschen
Aufbewahrungsfristen beginnen in der Regel mit dem Ende des Kalenderjahres. Deshalb ist der Jahreswechsel der natürliche Termin für einen Löschlauf. Ein Beispiel: Ein Geschäftsbrief aus dem Jahr 2020 muss nach der sechsjährigen handelsrechtlichen Frist bis Ende 2026 aufbewahrt werden und kann danach gelöscht werden, sofern nichts anderes entgegensteht.
Buchungsbelege müssen acht Jahre aufbewahrt werden. Hinzu kommen branchenspezifische Pflichten, etwa zur Beratungsdokumentation. Im Zweifel sollten Makler Aufbewahrungsfristen mit einem Steuerberater oder Juristen abstimmen.
Wichtig ist auch die Gegenrichtung: Was nicht mehr gebraucht wird und keiner Aufbewahrungspflicht unterliegt, sollte gelöscht werden. Das kann etwa für abgelehnte Angebote oder Interessentendaten ohne Vertragsabschluss gelten. Nicht gelöscht wird, solange ein Rechtsstreit, eine Prüfung oder ein Haftungsfall läuft.
Auftragsverarbeitung: Wer hat Zugriff auf Kundendaten?
Sobald ein Dienstleister im Auftrag des Büros personenbezogene Daten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO. In Maklerbüros betrifft das typischerweise Anbieter von Maklerverwaltungssoftware, Cloud- und Hosting-Dienste, IT-Dienstleister mit Fernwartungszugriff, Newsletter- und Videoberatungstools sowie bestimmte Dienstleister für die Aktenvernichtung.
Nicht jede Beziehung ist eine Auftragsverarbeitung. Versicherer dagegen sind im Verhältnis zum Makler in der Regel eigenständig Verantwortliche, hier ist meist kein AVV nötig. Bei Maklerpools, Steuerberatern und ähnlichen Partnern kommt es auf die konkrete Ausgestaltung an. Das sollte im Einzelfall geklärt und festgehalten werden.
Am Jahresende lohnt eine Inventur: Welche Dienstleister gibt es und liegt für jeden ein aktueller Vertrag vor? Seit Jahren unveränderte Verträge sollten daraufhin geprüft werden, ob sie noch zu dem passen, was der Dienstleister heute tatsächlich tut. Das gilt besonders bei Anbietern, die ihre Leistungen ausgebaut haben oder Daten außerhalb der EU verarbeiten. Dann muss auch dafür eine tragfähige Rechtsgrundlage vorliegen und dokumentiert sein.
Schulungen: Was nicht dokumentiert ist, gilt als nicht gemacht
Mitarbeiter dürfen personenbezogene Daten nur auf Weisung des Büros verarbeiten. Dazu gehört, dass sie wissen, was erlaubt ist und was nicht. Die DSGVO schreibt zwar keine bestimmte Schulungsform vor, im Streitfall muss das Büro aber nachweisen können, dass es seine Leute angemessen unterwiesen hat.
Praktisch sinnvoll ist eine regelmäßige Unterweisung, zum Beispiel einmal im Jahr. Ein Protokoll mit Datum, Inhalt und Angaben zu den Teilnehmern hilft, die Maßnahmen später nachzuweisen. Dazu eine schriftliche Verpflichtung zur Vertraulichkeit für alle, die Zugriff auf Kundendaten haben. Neue Kollegen, Aushilfen und Praktikanten gehören dazu.
Für anlassbezogene Unterweisungen eignen sich Themen aus dem Alltag, zum Beispiel der Umgang mit sensiblen Kundendaten oder vertraulichen Papierakten.
Weitere Punkte für die Checkliste
- Verzeichnis der Verarbeitungstätigkeiten: Für Makler ist dieses Verzeichnis in aller Regel Pflicht. Die Ausnahme für kleine Betriebe greift nicht, wenn regelmäßig Daten verarbeitet werden oder besondere Kategorien wie Gesundheitsdaten betroffen sind. Neue Software oder Prozesse des aktuellen Jahres sollten nachgetragen werden, sofern noch nicht geschehen.
- Datenschutzbeauftragter: Die Benennungspflicht in Deutschland gilt grundsätzlich ab 20 Personen, die ständig mit automatisierter Datenverarbeitung beschäftigt sind (§ 38 BDSG).
- Webseite und Datenschutzerklärung: Stimmen Tools, Kontaktformulare und Einbindungen noch mit der Erklärung überein? Cookies und ähnliche Technologien brauchen eine wirksame Einwilligung, sofern sie nicht unbedingt notwendig sind, um einen ausdrücklich gewünschten Dienst bereitzustellen.
- Datenpannen: Wer weiß im Büro, was zu tun ist? Eine Datenpanne muss generell innerhalb von 72 Stunden gemeldet werden, wenn sie ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen kann. Ein Ablaufplan mit Ansprechpartner gehört in die Schublade. Jede Datenpanne sollte dokumentiert werden – auch, wenn sie nicht an die Aufsichtsbehörde gemeldet werden muss.
- Betroffenenanfragen: Wenn Personen wissen möchten, welche Daten über sie gespeichert sind, sind diese Auskunftsersuche innerhalb eines Monats zu beantworten. Wer kümmert sich darum und wo liegt die Vorlage?
- Zugriffsrechte und Technik: Haben ausgeschiedene Mitarbeiter noch Zugänge? Sind Back-ups, Updates und Passwortschutz aktuell?
Ein realistischer Zeitplan
Wer alles in einer Woche erledigen will, scheitert meist. Besser sind drei kleine Schritte: im Oktober die Dienstleister und Verträge sichten; im November, wenn notwendig, die Schulung ansetzen und das Löschkonzept prüfen; im Dezember nur noch Restpunkte schließen.
Der Löschlauf selbst folgt dann zu Jahresbeginn, wenn die Fristen abgelaufen sind. Wichtig ist, jeden Schritt kurz schriftlich festzuhalten. Denn im Ernstfall zählt, was belegt werden kann.
