KI und DSGVO in der Immobilienbranche: die Fragen vor der Automatisierung
Einen Teil der Kundenbeziehung zu automatisieren spart echte Zeit — sofern man nicht beim Lösen eines Organisationsproblems ein Compliance-Problem schafft. Die Daten, mit denen eine Immobilienagentur umgeht, gehören zu den sensibelsten im Alltagsgeschäft: Budget, Familiensituation, Finanzierung, mitunter Ausweisdokumente. Die DSGVO gilt uneingeschränkt, und in Luxemburg ist die Aufsichtsbehörde die CNPD.
Dieser Leitfaden ist keine Rechtsberatung: Er ist die Liste der Fragen, die eine Agentur jedem Anbieter von Konversations-KI — und sich selbst — stellen sollte, bevor sie loslegt.
Wo sind die Daten?
Die erste und am einfachsten zu prüfende Frage. Wo werden die Konversationen gehostet, wo verarbeitet, und von wem? Ein Hosting in der Europäischen Union vereinfacht die Sache erheblich: keine Übermittlungen in Drittländer, ein einheitlicher Rechtsrahmen.
Fragen Sie nach der Liste der Unterauftragsverarbeiter (der KI-Anbieter hat selbst Lieferanten) und prüfen Sie, ob der Vertrag einen Auftragsverarbeitungsvertrag enthält — den DPA/AVV —, der festlegt, wer was wo und unter welchen Garantien verarbeitet.
Weiß der Interessent, dass er mit einer KI spricht?
Transparenz ist eine Kernanforderung der DSGVO — und zugleich eine Frage des geschäftlichen Vertrauens. Der Interessent muss informiert sein, dass er mit einem automatisierten Assistenten schreibt, wissen, welches Unternehmen Verantwortlicher ist, und die Datenschutzerklärung leicht erreichen können.
In der Praxis: ein klarer Hinweis zu Gesprächsbeginn und eine aktuelle Datenschutzerklärung, die diese Verarbeitung beschreibt. Nicht mehr — aber auch nicht weniger.
Dienen die Daten dem Training von Modellen?
Diese Frage gehört ausdrücklich und schriftlich an den Anbieter. Die Konversationen Ihrer Kunden sollten weder zum Training von KI-Modellen dienen noch für andere Kunden des Tools wiederverwendet werden. Die Antwort gehört in den Vertrag, nicht nur in die Verkaufsargumentation.
Wie lange werden Konversationen aufbewahrt?
Die DSGVO verlangt, Daten nicht länger als nötig aufzubewahren. Für Akquisegespräche heißt das: eine Dauer festlegen — und einhalten, idealerweise durch automatische Löschung. Die für die kommerzielle Nachverfolgung nützlichen Informationen (Qualifizierung, Kontaktdaten) leben im CRM nach dessen eigenen Regeln; der Wortlaut der Konversationen muss nicht unbegrenzt aufbewahrt werden.
Dokumentieren Sie diese Entscheidung in Ihrem Verzeichnis der Verarbeitungstätigkeiten: Genau solche einfachen Maßnahmen erwartet eine Aufsichtsbehörde.
Was passiert, wenn jemand seine Rechte ausübt?
Auskunft, Berichtigung, Löschung, Widerspruch: Ein Interessent kann seine DSGVO-Rechte an den mit Ihrem Assistenten ausgetauschten Daten ausüben wie an allen anderen. Prüfen Sie, ob das Tool es erlaubt, die Daten einer Person ohne Verrenkungen zu finden und zu löschen, und ob Ihre Datenschutzerklärung sagt, an wen man sich wendet.
Kann ein Mensch übernehmen?
Über die Compliance hinaus ist das ein Gebot des gesunden Menschenverstands: Ein Gespräch, das den Rahmen verlässt — Verhandlung, Beschwerde, heikle persönliche Situation —, muss an einen menschlichen Makler übergehen können, mit Verlauf. Ein System ohne menschlichen Ausgang ist zuerst ein kommerzielles Problem und wird am Ende oft auch ein rechtliches.
Die Checkliste im Überblick
Vor der Unterschrift bei einem Anbieter von KI-Assistenten:
- Hosting und Verarbeitung in der EU, Unterauftragsverarbeiter gelistet, DPA unterschrieben.
- Klare Information des Interessenten (automatisierter Assistent, Verantwortlicher, Datenschutzerklärung).
- Schriftliche Zusage: kein Modelltraining mit Ihren Daten.
- Definierte Aufbewahrungsdauer, automatische Löschung, aktuelles Verarbeitungsverzeichnis.
- Einfaches Verfahren für Betroffenenrechte.
- Integrierte menschliche Übernahme, mit Verlauf.
Diese Anforderungen decken sich mit der guten WhatsApp-Praxis: In beiden Fällen lässt sich der Rahmen einhalten, sofern man europäische Tools wählt und seine Praxis dokumentiert.
Das Wesentliche
Die DSGVO verbietet die Automatisierung der Kundenbeziehung nicht — sie verlangt, es sauber zu tun. Für eine Agentur entscheidet sich die Compliance weniger an großen Prinzipien als an einer Reihe konkreter Prüfungen bei der Tool-Wahl. Eine Stunde Fragen an den Anbieter erspart Monate der Nachbesserung.