DSGVO, GoBD und der EU AI Act: was Software fürs Maklerbüro erfüllen muss

Software fürs Maklerbüro arbeitet mit sensiblen Daten: Eigentümer, Interessenten, Objekte, Preise. Deshalb ist Compliance hier keine Fußnote, sondern eine Architektur-Entscheidung, die man am Anfang trifft oder nie mehr sauber nachrüstet. Dieser Text ordnet ein, was gefordert ist, und ist dabei ehrlich, was bei uns schon steht und was noch im Aufbau ist.

DSGVO fängt beim Serverstandort an#

Der erste und banalste Punkt: Wo liegen die Daten. Bei uns in Frankfurt, in der EU. Die Datenbank läuft dort, das Hosting ebenfalls, der Dateispeicher in einer EU-Region. Das ist keine Zusatzoption, sondern die Grundlage.

Der zweite Punkt ist die Trennung zwischen Kunden, die Mandantentrennung. Technisch ist das bei uns Shared-Schema mit Row-Level-Security: Jede Datenzeile trägt die Workspace-Kennung, und die Datenbank selbst erzwingt, dass ein Workspace nur seine eigenen Zeilen sieht. Das ist nicht eine Filterregel in der Anwendung, die man vergessen kann, sondern eine Policy auf Datenbankebene, abgesichert durch Tests, die bei jeder neuen Tabelle Cross-Zugriffe aktiv zu provozieren versuchen und fehlschlagen müssen.

Ehrlich beim Rest: Der automatische Versand des Auftragsverarbeitungsvertrags im Onboarding, ein Self-Service-Portal für Auskunft und Löschung, die formale Prüfung aller KI-Dienstleister auf EU-Datenresidenz, das sind laufende und geplante Aufgaben, kein abgehakter Stand. Wer heute einen AVV braucht, bekommt ihn, aber der durchautomatisierte Weg kommt noch.

GoBD betrifft die Abrechnung, nicht Ihre Buchhaltung#

Ein häufiges Missverständnis: GoBD meint hier nicht die Buchhaltung des Maklerbüros, sondern die Anforderung an uns als Anbieter, Rechnungen und Zahlungsbelege revisionssicher und zehn Jahre lang unveränderbar aufzubewahren.

Das Muster dafür ist im System angelegt: Die relevanten Protokolle sind append-only, Datenbank-Trigger verbieten das Ändern oder Löschen bestehender Zeilen, Korrekturen laufen ausschließlich als neue Einträge. Ehrlich zum Stand: Der volle Ablauf, gespiegelte Rechnungen mit Objekt-Lock und Export für das Finanzamt, ist an die scharf geschaltete Zahlungsabwicklung gekoppelt, und die ist noch nicht live. Die Umsatzsteuer überlassen wir zu hundert Prozent dem Zahlungsdienstleister, inklusive Reverse-Charge für Geschäftskunden.

Der EU AI Act ist der neue Teil#

Seit die KI-Verordnung gilt, reicht "wir nutzen KI" nicht mehr. Der EU AI Act kennt vier Risikostufen: unannehmbar (verboten), hoch, begrenzt und minimal. Ein Homestaging-Bild oder ein Exposé-Text ist begrenztes Risiko mit Transparenzpflicht. Etwas, das kreditrelevant oder personenbezogen entscheidet, etwa eine Marktbewertung oder ein Lead-Scoring, fällt in hohes Risiko und braucht menschliche Aufsicht.

Das ist bei uns kein Papier, sondern im Code verankert: In der Agent-Laufzeit muss jeder KI-Agent bei seiner Konstruktion eine Risikostufe deklarieren. Das ist ein Pflichtfeld. Ein Agent mit der Stufe "unannehmbar" wird zur Laufzeit abgelehnt, der Konstruktor wirft einen Fehler. Und "hoch" ist klar definiert als alles, was Effekt auf Abrechnung, Credit-Guthaben oder den Lebenszyklus eines Workspace hat, mit erzwungener Freigabe durch einen Menschen.

Auch hier die ehrliche Grenze: Die durchgängige Kennzeichnung von KI-Inhalten in der Oberfläche, Wasserzeichen für generierte Bilder und die formalen Konformitätserklärungen für Hochrisiko-Tools sind größtenteils noch offene Aufgaben. Die harte Durchsetzung der Risikostufen in der Agent-Laufzeit ist dagegen real und heute im Code.

Warum wir das offen legen#

Man könnte all das als fertig verkaufen. Wir tun es nicht, weil die Zielgruppe zu erfahren ist, um darauf hereinzufallen, und weil Vertrauen die härteste Währung im Maklergeschäft ist. Was steht, steht. Was in Arbeit ist, nennen wir in Arbeit. Ein Prinzip zieht sich durch alle diese Entscheidungen: Bei jedem Abwägen zwischen Kosten sparen und Nutzer-Vertrauen gewinnt das Vertrauen. Deshalb wird bei jedem technischen Fehler voll erstattet, deshalb liegt die Datenhoheit bei Ihnen, und deshalb finden Sie hier keine Zahlen, die wir nicht belegen können.

Wenn Sie zu einem dieser Punkte tiefer einsteigen wollen, am besten im Gespräch, gern mit Ihren konkreten Datenschutz-Fragen zuerst.