5.4 Datenschutz (DSGVO), SCHUFA und Zuständigkeit der Aufsicht

Grundprinzipien der DSGVO

Als Vermittler verarbeitest du Einkommensnachweise, Kontoauszüge, Ausweiskopien und Angaben zur Familie. Die Datenschutz-Grundverordnung (DSGVO) verlangt dafür Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit (Art. 5 DSGVO). Du musst die Einhaltung nachweisen können (Rechenschaftspflicht).

Rechtsgrundlagen (Art. 6 DSGVO)

Ohne Rechtsgrundlage keine Verarbeitung. Für die Baufinanzierung sind vor allem relevant:

• lit. a – Einwilligung, z. B. für Werbung oder die Weitergabe an zusätzliche Partner,
• lit. b – Vertrag/vorvertragliche Maßnahmen auf Anfrage des Kunden, z. B. Erstellung von Finanzierungsangeboten,
• lit. c – rechtliche Verpflichtung, z. B. Identifizierung nach GwG oder Aufbewahrungspflichten,
• lit. f – berechtigte Interessen, aber nur nach Abwägung mit den Interessen des Kunden.

Öffentlich zugängliche Daten (z. B. aus sozialen Netzwerken) dürfen nicht automatisch beliebig genutzt werden.

Die wirksame Einwilligung

Eine Einwilligung ist nach Art. 4 Nr. 11 und Art. 7 DSGVO nur wirksam, wenn sie

1. freiwillig,
2. für den bestimmten Fall,
3. in informierter Weise und
4. unmissverständlich (aktive Handlung, kein vorangekreuztes Kästchen) erteilt wird.

Sie ist jederzeit mit Wirkung für die Zukunft widerrufbar; darauf ist vorher hinzuweisen. Der Widerruf muss so einfach sein wie die Erteilung.

Informationspflichten und Betroffenenrechte

Bei der Erhebung informierst du den Kunden u. a. über Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger (z. B. Banken, Auskunfteien) und Speicherdauer (Art. 13 DSGVO). Der Kunde hat insbesondere folgende Rechte:

Datensicherheit und Datenpannen

Technische und organisatorische Maßnahmen (Verschlüsselung, Passwörter, Zugriffskonzepte, sichere Übermittlung statt unverschlüsselter E-Mail) schützen die Daten. Kommt es zu einer Datenschutzverletzung, ist sie unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO), außer es besteht voraussichtlich kein Risiko. Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34). Zur Verschwiegenheit gehört außerdem, keine Kundendaten an Unbefugte – etwa Verkäufer oder Makler – ohne Rechtsgrundlage weiterzugeben.

SCHUFA und andere Auskunfteien

Darlehensgeber holen im Rahmen der Kreditwürdigkeitsprüfung Auskünfte bei Auskunfteien ein. Diese liefern Angaben zu bestehenden Krediten und Zahlungsverhalten sowie einen Score. Der Kunde ist über die Übermittlung zu informieren und kann eine kostenlose Datenkopie verlangen. Die Kreditentscheidung trifft der Darlehensgeber; ausschließlich automatisierte Einzelentscheidungen sind nach Art. 22 DSGVO nur eingeschränkt zulässig.

Wer beaufsichtigt wen?

• 34i-Vermittler: Gewerbeaufsicht durch die nach Landesrecht zuständige Erlaubnisbehörde (IHK oder Gewerbeamt).
• Banken und Bausparkassen: BaFin (und bei bedeutenden Instituten die EZB) mit der Deutschen Bundesbank.
• Datenschutz: die Datenschutzaufsichtsbehörde des jeweiligen Bundeslandes.
• Register: DIHK als Registerbehörde nach § 11a GewO.

Praxis-Checkliste Datenschutz

• Datenschutzhinweise nach Art. 13 DSGVO beim Erstkontakt aushändigen.
• Nur die Unterlagen anfordern, die für die Finanzierung wirklich gebraucht werden (Datenminimierung).
• Unterlagen verschlüsselt übermitteln und im Büro verschlossen bzw. zugriffsgeschützt aufbewahren.
• Für Werbung oder Weitergabe an zusätzliche Partner eine gesonderte, dokumentierte Einwilligung einholen.
• Löschfristen festlegen und nach Ablauf der Aufbewahrungspflichten konsequent löschen.

Prüfungstipp: Wird nach der richtigen Ansprechstelle gefragt, trenne sauber zwischen Gewerbeaufsicht (Erlaubnis, Zuverlässigkeit), Finanzaufsicht (Banken) und Datenschutzaufsicht (Umgang mit personenbezogenen Daten). Verstöße gegen die DSGVO können mit erheblichen Bußgeldern geahndet werden; zusätzlich drohen Schadensersatzansprüche der Betroffenen nach Art. 82 DSGVO.