KI in der Immobilienbewertung: Was die DSGVO wirklich verlangt

Merken

Die Kurzfassung vorweg: Sie dürfen Eigentümernamen, Anschriften, Grundbuch-, Baulasten- und Katasterdaten in ein KI-System eingeben — wenn drei Voraussetzungen erfüllt sind: eine Rechtsgrundlage für die Verarbeitung, ein Auftragsverarbeitungsvertrag mit dem Anbieter und ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten. Fehlt eine davon, ist die Verarbeitung rechtswidrig — unabhängig davon, wie sorgfältig Sie fachlich arbeiten.

Warum das Thema übersehen wird

Ein Verkehrswertgutachten ist eine der personenbezogensten Unterlagen, die ein Dritter über eine Immobilie erstellt. Es benennt Eigentümer, Auftraggeber, Mieter und dinglich Berechtigte, dokumentiert wirtschaftliche Verhältnisse und entsteht häufig in Situationen, die für die Betroffenen belastend sind: Erbfall, Trennung, Zwangsversteigerung, Betreuung.

Trotzdem fehlt zu diesem Thema fast jede brauchbare Orientierung für unseren Berufsstand. Wer sich einliest, findet Beiträge für Arztpraxen, Kanzleien und Personalabteilungen — Bereiche, in denen andere, strengere Regeln gelten. Deren Anforderungen werden dann als allgemeine KI-Regeln dargestellt. Das Ergebnis ist eine verbreitete Unsicherheit, die in zwei Richtungen ausschlägt: Die einen halten den Einsatz von KI mit Auftragsdaten für generell verboten, die anderen für unproblematisch. Beides trifft nicht zu.

Hinzu kommt, dass sich Versäumnisse in diesem Bereich im Tagesgeschäft nicht bemerkbar machen. Ein fehlendes Verarbeitungsverzeichnis stört keinen Arbeitsablauf. Ein fehlender Auftragsverarbeitungsvertrag fällt erst auf, wenn jemand danach fragt. Mit dem Einsatz von KI-Systemen ändert sich das: Jede Eingabe ist ein Übermittlungsvorgang an einen Dritten — nachvollziehbar, protokolliert und im Zweifel belegbar.

Welche Daten in einem Gutachten sind personenbezogen?

Fast alle. Wer hier zu großzügig sortiert, baut die gesamte weitere Bewertung auf einer falschen Annahme auf.

Die DSGVO gilt für Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Entscheidend ist das zweite Wort. Ein Baujahr für sich genommen ist keine personenbezogene Information. Dasselbe Baujahr, verbunden mit einer Objektanschrift, ist über das Grundbuch einem konkreten Eigentümer zuzuordnen — und damit personenbezogen.

Die naheliegende Faustregel „objektbezogene Daten sind unkritisch“ trägt deshalb nicht. Die Trennlinie verläuft anders:

	Beispiel	DSGVO
Isolierte Fachdaten ohne Identifikationsmerkmal	„Reihenmittelhaus, Baujahr 1968, 118 m², Alterswertminderung nach Ross“	nicht anwendbar
Dieselben Daten im Gutachtenkontext	„Musterstraße 12, Eigentümer Schmidt, Baujahr 1968 …“	anwendbar

Sobald Anschrift, Flurstück, Grundbuchblatt oder Name im Spiel sind, ist der gesamte Datensatz personenbezogen — einschließlich Baujahr, Fläche, Zustand, Mietertrag und Rechengang. Besonders sorgfältig zu behandeln sind Angaben, die für den Eigentümer nachteilig sind: Altlastenverdacht, Baulasten und Dienstbarkeiten, Grundpfandrechte und Zwangsversteigerungsvermerke.

Sind das besonders geschützte Daten nach Art. 9 DSGVO?

In aller Regel nein. Art. 9 DSGVO erfasst Gesundheitsdaten, biometrische und genetische Daten, ethnische Herkunft, religiöse oder weltanschauliche Überzeugung, Gewerkschaftszugehörigkeit, politische Meinung und Sexualleben. Eigentümernamen, Anschriften und Grundbuchdaten gehören nicht dazu.

Das ist der zentrale Unterschied zu den Branchen, für die die meisten Ratgeber geschrieben sind — und der Grund, warum deren verschärfte Anforderungen auf die Bewertungspraxis nicht übertragbar sind.

Ausnahmen bestehen im Einzelfall: Wenn der Gutachtenanlass Rückschlüsse auf die Gesundheit einer benannten Person zulässt, etwa bei Bewertungen im Betreuungsverfahren, kann ein Art.-9-Bezug entstehen.

Die drei Voraussetzungen

1. Eine Rechtsgrundlage

Für Auftraggeber und Eigentümer ist das regelmäßig der Gutachtenauftrag selbst: Die Verarbeitung ist zur Erfüllung eines Vertrages erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Für Dritte ohne Vertragsverhältnis — Mieter, Nießbrauchberechtigte, Miteigentümer — kommt das berechtigte Interesse in Betracht (Art. 6 Abs. 1 lit. f DSGVO), denn ohne deren Daten lässt sich ein rechtlich zutreffender Verkehrswert nicht ermitteln.

Zwei Abgrenzungen, die in der Praxis häufig durcheinandergeraten:

• Die Vollmacht, mit der Sie behördliche Auskünfte einholen, berechtigt Sie zur Erhebung. Sie ist keine datenschutzrechtliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und ersetzt diese nicht.
• Die Datenschutzinformation erfüllt die Informationspflicht nach Art. 13 und 14 DSGVO. Sie ist ihrerseits keine Rechtsgrundlage.

Drei Dokumente, drei Funktionen. Wer eines davon für die anderen mitzählt, hat eine Lücke.

Übersehen wird zudem fast durchgängig die Informationspflicht gegenüber Dritten nach Art. 14 DSGVO — also gegenüber Personen, deren Daten Sie verarbeiten, ohne mit ihnen in einem Vertragsverhältnis zu stehen. Sie kann bei unverhältnismäßigem Aufwand entfallen; das ist zu prüfen und zu dokumentieren, nicht stillschweigend anzunehmen.

2. Ein Auftragsverarbeitungsvertrag

Verarbeitet ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag. Das gilt für KI-Anbieter genauso wie für Webhoster, Cloud-Speicher oder Bürosoftware im Rechenzentrum. Eine gesonderte „KI-Hürde“ gibt es nicht — aber auch keine Ausnahme.

Die Reihenfolge ist verbindlich: erst der Vertrag, dann die ersten echten Daten. Nachträglich lässt sich eine rechtswidrige Verarbeitung nicht heilen.

Prüfen Sie dabei nicht nur, ob ein AVV angeboten wird, sondern auch, welche Unterauftragnehmer eingebunden sind und in welchen Regionen die Modelle betrieben werden. Die Werbeaussage „DSGVO-konform“ auf einer Anbieterseite hat für sich genommen keinen rechtlichen Gehalt.

3. Ein Verzeichnis von Verarbeitungstätigkeiten

Art. 30 DSGVO verlangt eine Dokumentation. Die Erleichterung für Unternehmen unter 250 Beschäftigten greift in einem Bewertungsbüro üblicherweise nicht, weil sie nur für gelegentliche Verarbeitungen gilt — die Verarbeitung von Auftraggeberdaten ist im laufenden Betrieb regelmäßig.

Das Verzeichnis ist eine interne Bestandsaufnahme, kein Antrag und keine Genehmigung. Es wird nicht vorab geprüft, sondern der Aufsichtsbehörde auf Verlangen vorgelegt (Art. 31 DSGVO). Wer es nicht führt, kann dieser Aufforderung nicht nachkommen.

Was gehört in ein Verarbeitungsverzeichnis?

Gegliedert wird nach Tätigkeiten, nicht nach Kunden oder Aufträgen. Ein Büro mit Wertgutachten, Aufmaßen und Datenaufnahmen für Energieausweise hat typischerweise drei Einträge — nicht vierzig für vierzig Gutachten.

Spalte	Inhalt
Zweck	z. B. Erstellung von Verkehrswertgutachten
Rechtsgrundlage	Art. 6 Abs. 1 lit. b, ergänzend lit. f
Betroffenenkategorien	Auftraggeber, Eigentümer, Mieter, dinglich Berechtigte
Datenkategorien	Stammdaten, Grundbuch-, Vertrags- und Objektdaten
Empfänger	eingesetzte Dienstleister, Gericht oder Auftraggeber als Empfänger des Gutachtens
Drittlandtransfer	ja/nein, mit Grundlage
Löschfristen	nach eigener Aufbewahrungspraxis
TOM	Zugriffsschutz, Verschlüsselung, Protokollierung

Eingesetzte KI-Werkzeuge stehen in der Zeile „Empfänger“ innerhalb der jeweiligen Tätigkeit; sie bilden keine eigene Kategorie. Kommt ein Werkzeug hinzu, ergänzen Sie eine Zeile. Ein Ablaufdatum hat das Verzeichnis nicht — es gilt, solange sich nichts ändert, und ist bei jeder Änderung fortzuschreiben.

Warum ist der Serverstandort trotz AVV wichtig?

Weil AVV und Serverstandort zwei verschiedene Vorschriften betreffen. Diese Verwechslung ist die häufigste im gesamten Themenfeld.

• Art. 28 beantwortet: Darf der Anbieter in meinem Auftrag verarbeiten? Antwort über den AVV.
• Art. 44 ff. beantwortet: Dürfen die Daten die EU verlassen? Antwort über eine eigene Übermittlungsgrundlage.

Der AVV beantwortet die zweite Frage nicht, sondern setzt sie voraus. Läuft ein Modell außerhalb der EU, benötigen Sie zusätzlich eine Grundlage für den Drittlandtransfer — in der Regel einen Angemessenheitsbeschluss oder Standardvertragsklauseln nebst Risikobewertung. Dokumentationspflichtig sind Sie als Verantwortlicher, nicht der Anbieter.

Praktische Konsequenz: Wenn eine Plattform für einen Teil ihrer Modelle eine EU-Region ausweist und für andere nicht, schalten Sie in den Einstellungen nur die EU-regionalen Modelle frei. Damit entfällt die gesamte zweite Ebene — keine Transfer-Folgenabschätzung, keine Zusatzdokumentation und keine Nachbesserung, falls sich die Rechtslage zu Drittlandtransfers ändert.

Der Verzicht fällt meist gering aus: Neue Modelle starten typischerweise global, EU-Regionen folgen später. Betroffen sind daher überwiegend Vorschauversionen.

Was gilt für anonymisierte Daten?

Für sie gilt die DSGVO nicht. Sind Daten so verändert, dass sich eine Person nicht mehr identifizieren lässt, liegt kein personenbezogenes Datum mehr vor (Erwägungsgrund 26). Damit entfallen Rechtsgrundlage, AVV und Übermittlungsproblematik gleichermaßen.

Für die fachliche Arbeit ist das der unterschätzte Weg. Wer die Herleitung einer Restnutzungsdauer, eine Marktanpassung oder eine Plausibilitätsprüfung ohne Anschrift und Namen bespricht, verliert inhaltlich nichts und bewegt sich vollständig außerhalb des Anwendungsbereichs.

Voraussetzung ist, dass die Anonymisierung trägt. Bei sehr kleinräumigen oder außergewöhnlichen Objekten kann bereits die Beschreibung zur Identifizierung ausreichen — ein denkmalgeschütztes Einzelobjekt in einer 800-Einwohner-Gemeinde ist nicht anonym, auch ohne Adressangabe.

Und der CLOUD Act?

Der US CLOUD Act verpflichtet US-Unternehmen, Behörden auf Anforderung Zugriff auf Daten zu gewähren, die ihrer Kontrolle unterliegen — unabhängig vom Speicherort. Durch einen europäischen Serverstandort lässt er sich nicht vollständig ausschließen, solange der Anbieter oder der darunterliegende Infrastrukturbetreiber US-amerikanischer Kontrolle unterliegt.

Diese Debatte ist richtig einzuordnen: Sie ist der Grund, warum bei besonders sensiblen Datenbeständen strengere Anforderungen gestellt werden. Sie ist kein Grund, aus dem die Verarbeitung gewöhnlicher Gutachtendaten unzulässig wäre. Die DSGVO verlangt kein Nullrisiko, sondern angemessene Maßnahmen und eine nachvollziehbare Abwägung.

Vollständig ausschließen lässt sich das Restrisiko nur durch Anonymisierung oder durch den Betrieb eines Modells auf eigener Infrastruktur in Europa.

Was passiert, wenn nichts davon vorliegt?

Die DSGVO sieht einen zweistufigen Bußgeldrahmen vor:

• Verstöße gegen Pflichten des Verantwortlichen und Auftragsverarbeiters — darunter der fehlende AVV (Art. 28), das fehlende Verzeichnis (Art. 30) und unzureichende technische Maßnahmen (Art. 32) — bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).
• Verstöße gegen die Grundsätze und Rechtsgrundlagen der Verarbeitung (Art. 5, 6) sowie gegen Informations- und Betroffenenrechte (Art. 12–22) bis zu 20 Mio. Euro oder 4 Prozent (Art. 83 Abs. 5 DSGVO).

Für ein Einzelbüro sind das theoretische Obergrenzen. Praktisch relevanter sind zwei andere Folgen: der Schadensersatzanspruch Betroffener, der auch immaterielle Schäden umfasst (Art. 82 DSGVO), und das Auskunftsverlangen nach Art. 15 — etwa des Ehepartners in einem Trennungsverfahren, der wissen möchte, welche Daten über ihn verarbeitet und an wen sie weitergegeben wurden. Diese Anfrage ist binnen eines Monats vollständig zu beantworten. Wer kein Verzeichnis führt, kann das nicht.

Häufige Fragen

Darf ich einen Eigentümernamen in ein KI-Tool eingeben?

Ja, wenn eine Rechtsgrundlage vorliegt, mit dem Anbieter ein AVV geschlossen wurde und die Verarbeitung im Verzeichnis dokumentiert ist. Ein generelles Verbot personenbezogener Daten in KI-Systemen existiert nicht.

Reicht es, wenn der Anbieter mit „DSGVO-konform“ wirbt?

Nein. Maßgeblich ist der abgeschlossene Vertrag, nicht die Aussage auf der Website. Prüfen Sie zusätzlich Unterauftragnehmer und Betriebsregionen der Modelle.

Brauche ich für jeden Auftrag einen eigenen Eintrag im Verzeichnis?

Nein. Das Verzeichnis beschreibt Tätigkeiten, nicht Einzelfälle. Ein Bewertungsbüro kommt meist mit wenigen Einträgen aus.

Was ist mit Daten aus Grundbuch oder Kataster?

Sie sind personenbezogen, soweit sie Personen benennen, aber keine besondere Kategorie nach Art. 9 DSGVO. Es gelten dieselben drei Voraussetzungen wie für alle übrigen Auftragsdaten.

Gilt für öffentlich bestellte und vereidigte Sachverständige etwas anderes?

Möglicherweise ja. § 203 StGB erfasst öffentlich bestellte Sachverständige als Berufsgeheimnisträger. Dann treten zur datenschutzrechtlichen Bewertung strafrechtliche Anforderungen hinzu, insbesondere bei der Einbindung externer Dienstleister. Wer eine öffentliche Bestellung innehat oder anstrebt, sollte diesen Punkt gesondert prüfen lassen.

Die Punkte im Überblick

• Rechtsgrundlage aus dem Gutachtenauftrag, ergänzend berechtigtes Interesse für Dritte
• Datenschutzinformation nach Art. 13 und 14, spätestens bei Auftragserteilung
• AVV mit jedem Dienstleister, der personenbezogene Daten verarbeitet — vor der ersten Nutzung
• Verzeichnis von Verarbeitungstätigkeiten, gegliedert nach Tätigkeiten
• Nur EU-regionale Modelle freischalten, wenn die Plattform beides anbietet
• Für die fachliche Arbeit ohne Personenbezug: anonymisiert arbeiten

Der Aufwand fällt im Wesentlichen einmalig an. Das eigentliche Hindernis ist selten die Rechtslage, sondern die Qualität der verfügbaren Information.

---

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick über die Rechtslage und stellt keine Rechtsberatung im Einzelfall dar. Die konkrete Ausgestaltung von Verträgen, Verzeichnissen und Informationspflichten sollte anwaltlich geprüft werden. Landesrechtliche Regelungen weichen voneinander ab. Rechtsstand: August 2026.