ChatGPT DSGVO-konform für Makler nutzen: So geht's

Kurz gesagt:

Free und Plus sind für Makler-Daten tabu: Deine Eingaben können ins Modelltraining fließen. Erst ChatGPT Team, Business, Enterprise oder die API sind laut OpenAI-Dokumentation standardmäßig vom Training ausgenommen (Anbieter-Selbstauskunft, Stand 09.07.2026).

Ohne Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist jede Eingabe personenbezogener Daten ein Verstoß. Den AVV gibt es nur für die Business-Pläne und die API.

Nutze die Datenkategorien-Ampel weiter unten: Marktzahlen sind grün, Klarnamen von Eigentümern, Bonitätsdaten und Besichtigungsfotos sind rot.

EU-Datenresidenz für ChatGPT Enterprise gibt es laut OpenAI seit Februar 2025. Damit bleiben deine Daten in europäischen Rechenzentren.

Ab dem 2. August 2026 greift die Kennzeichnungspflicht für KI-generierte Inhalte aus Artikel 50 des EU AI Act. Das betrifft auch KI-Texte in deinen Exposés.

Du willst Exposé-Texte schneller schreiben, Marktanalysen automatisieren und die halbe Verwaltungsarbeit an eine KI abgeben. ChatGPT DSGVO-konform für Makler nutzen ist genau deshalb kein Nice-to-have, sondern die Bedingung, unter der du das Tool überhaupt anfassen darfst. Denn in dem Moment, in dem du den Namen eines Eigentümers, eine Adresse oder eine Finanzierungssumme ins Prompt-Feld tippst, verarbeitest du personenbezogene Daten. Und die DSGVO kennt keine Ausnahme für "war ja nur schnell". Dieser Leitfaden zeigt dir, welche Version du brauchst, welche Daten nie ins Feld gehören und wie du in fünf Schritten rechtssicher wirst.

Warum "einfach ChatGPT öffnen" für Makler ein Datenschutz-Risiko ist

Ein Makler arbeitet den ganzen Tag mit dem, was die DSGVO am strengsten schützt: personenbezogene Daten. Der Name des verkaufswilligen Eigentümers. Seine Telefonnummer. Die Scheidung, die der Grund für den Verkauf ist. Die Bonitätsauskunft des Kaufinteressenten. Fotos aus dem bewohnten Objekt, auf denen Familienbilder an der Wand hängen. Nichts davon ist "Marktdaten". Alles davon fällt unter Art. 4 DSGVO.

Das eigentliche Problem sitzt tiefer, als die meisten denken. Ein großes Sprachmodell speichert nicht nur, es memoriert und schlussfolgert. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit beschreibt in ihrer Handreichung zu KI genau diese zwei Kernrisiken: Ein Modell kann personenbezogene Daten aus seinen Trainingsdaten reproduzieren, auch sinngemäß, und es kann aus harmlos wirkenden Eingaben Wohnort, Herkunft oder Geschlecht ableiten (BfDI, Handreichung "KI in Behörden", Dezember 2025). Wichtig zur Einordnung: Diese Handreichung richtet sich an Bundesbehörden, nicht an Makler. Die Grundsätze sind aber übertragbar, und sie machen deutlich, warum eine unbedachte Eingabe kein triviales Thema ist.

Kommt hinzu: ChatGPT halluziniert. Es erfindet Fakten, die überzeugend klingen. Für einen Makler, der eine Wertindikation oder eine rechtliche Einschätzung aus dem Chat übernimmt, ist das ein doppeltes Risiko, fachlich und datenschutzrechtlich. Wie ChatGPT im Makleralltag sinnvoll eingesetzt wird und wo seine sieben stärksten Anwendungsfälle liegen, haben wir im Überblicksartikel zu ChatGPT für Immobilienmakler beschrieben. Dieser Leitfaden hier kümmert sich um die andere Hälfte: wie du das Ganze rechtssicher aufsetzt, bevor der erste echte Kundendatensatz das Prompt-Feld sieht.

Die eine Frage, die alles entscheidet: Welche ChatGPT-Version nutzt du?

Hier trennt sich Compliance von Bauchgefühl. Die kostenlose Version und ChatGPT Plus sind Consumer-Produkte. Laut OpenAI können Eingaben aus diesen Plänen zum Training der Modelle verwendet werden, sofern du das nicht aktiv über die Einstellungen deaktivierst (OpenAI-Dokumentation, Anbieter-Selbstauskunft, Stand 09.07.2026). Für die Business-Ebene gilt das Gegenteil. OpenAI formuliert das so: "By default, we do not train on any inputs or outputs from our products for business users, including ChatGPT Team, ChatGPT Enterprise, and the API." Standardmäßig also kein Training, ohne dass du etwas umstellen musst.

Der zweite harte Faktor ist der Auftragsverarbeitungsvertrag. Sobald du personenbezogene Daten von einem Dienstleister verarbeiten lässt, verlangt Art. 28 DSGVO einen AVV. Den bietet OpenAI nur für ChatGPT Business, ChatGPT Enterprise und die API an, nicht für Free, Plus oder Pro (OpenAI Data Processing Addendum, Anbieter-Selbstauskunft, Stand 09.07.2026). Ohne AVV heißt konkret: Jede Eingabe eines Eigentümernamens in die kostenlose Version ist ein Verarbeitungsvorgang ohne Rechtsgrundlage.

Kriterium	ChatGPT Free / Plus / Pro	ChatGPT Team / Business / Enterprise / API
Training mit deinen Daten	Standardmäßig ja, Opt-out nötig	Standardmäßig nein
AVV nach Art. 28 DSGVO	Nicht abschließbar	Abschließbar
EU-Datenresidenz	Nein	Enterprise/Edu seit Feb. 2025, API per EU-Region
Zero Data Retention	Nein	Nur API, per Antrag bei OpenAI Sales
Für echte Kundendaten geeignet	Nein	Ja, mit korrektem Setup

Alle Angaben in dieser Tabelle stammen aus OpenAIs eigener Dokumentation (Anbieter-Selbstauskunft, Snapshot 09.07.2026). Ein Detail, das gern falsch dargestellt wird: Zero Data Retention, also die vollständige Nicht-Speicherung deiner Anfragen, ist kein Schalter, den du selbst umlegst. Sie gilt nur für die API, betrifft nur bestimmte Endpunkte und muss über das Sales-Team von OpenAI beantragt und freigeschaltet werden.

Kurzfazit: Wer mit echten Eigentümer- oder Interessentendaten arbeitet, braucht mindestens ChatGPT Business oder Team plus abgeschlossenen AVV. Free und Plus sind für alles jenseits anonymer Marktrecherche schlicht ungeeignet. Welche fünf Schritte konkret daraus folgen, zeigt die Checkliste im nächsten Abschnitt.

Die 5 Pflicht-Schritte zur rechtssicheren Nutzung

Compliance ist hier keine Doktorarbeit, sondern eine Handvoll konkreter Schritte. Wenn du die abarbeitest, bist du weiter als die meisten Büros, die ChatGPT längst heimlich in der Free-Version nutzen.

Checkliste: In 5 Schritten DSGVO-konform mit ChatGPT

Business-Plan wählen. Kein Kundendatensatz gehört in Free oder Plus. Buche ChatGPT Team (ab kleinem Büro sinnvoll), Business oder Enterprise. Das ist die Grundvoraussetzung, alles andere baut darauf auf.
AVV abschließen. Schließe das Data Processing Addendum mit OpenAI ab, bevor der erste echte Datensatz reingeht. Ohne AVV fehlt die Rechtsgrundlage nach Art. 28, egal wie gut der Rest sitzt.
EU-Datenresidenz aktivieren. Für ChatGPT Enterprise und Edu bietet OpenAI laut eigener Aussage seit Februar 2025 die Speicherung in europäischen Rechenzentren. Damit liegen deine Daten at rest in der EU, statt den Umweg über US-Server zu nehmen.
Training-Opt-out prüfen. Bei den Business-Plänen ist Training standardmäßig aus. Kontrolliere trotzdem die Workspace-Einstellungen und dokumentiere den Status. Vertrauen ist gut, ein Screenshot fürs Verzeichnis der Verarbeitungstätigkeiten ist besser.
Datenschutz-Folgenabschätzung erwägen. Bei umfangreicher Verarbeitung sensibler Daten kann eine DSFA nach Art. 35 DSGVO nötig werden. Im Zweifel mit deinem Datenschutzbeauftragten klären, nicht raten.

Kurzfazit: Diese fünf Schritte sind kein Hexenwerk, aber sie sind Pflicht. Wer sie einmal sauber aufsetzt und dokumentiert, hat für den Rest des Jahres Ruhe.

Wenn du KI nicht nur intern nutzen, sondern auch auf deiner Website einen Assistenten einsetzen willst, gelten dieselben Grundprinzipien plus ein paar Extras für die Einbindung. Wie das DSGVO-konform läuft, zeigt unser Leitfaden zum KI-Chatbot auf der Makler-Website.

Datenkategorien-Ampel: Was darf ins Prompt-Feld, und was nie

Die meisten Datenschutz-Ratgeber bleiben hier abstrakt. Für dich als Makler ist die entscheidende Frage aber ganz praktisch: Was kann ich konkret eingeben, ohne ins Risiko zu laufen? Diese Ampel gibt dir die Antwort. Sie ersetzt keine Rechtsberatung, aber sie verhindert die häufigsten Fehler.

Ampel	Datenart	Beispiele	Regel
Grün	Anonyme Markt- und Fachdaten	Quadratmeterpreise, Stadtteil-Trends, allgemeine Rechtsfragen, Textbausteine ohne Personenbezug	Frei nutzbar, auch für Recherche und Formulierungshilfe
Gelb	Objektdaten ohne klaren Personenbezug	Grundriss ohne Adresse, Baujahr, Ausstattung, anonymisierte Exposé-Entwürfe	Nur im Business-Plan mit AVV, vorher konsequent anonymisieren
Rot	Personenbezogene und sensible Daten	Klarnamen von Eigentümern, Adressen bewohnter Objekte, Bonität, Finanzierungssummen, Scheidungs- oder Erbfall-Details, Fotos aus bewohnten Wohnungen	Nie in die Free/Plus-Version. Im Business-Plan nur, wenn zwingend nötig und mit AVV plus EU-Residenz

Die praktische Faustregel, die in jedem Büro funktioniert: Bevor du etwas eingibst, frag dich, ob du diesen Satz auch einem fremden Dienstleister per unverschlüsselter Mail schicken würdest. Wenn die Antwort Nein lautet, gehört er nicht ungeprüft ins Prompt-Feld. Für Exposé-Texte heißt das: Formuliere die Vorlage neutral, "Dreizimmerwohnung, 78 Quadratmeter, Baujahr 1998, ruhige Seitenstraße", und setz die konkreten Namen und Adressen erst danach von Hand ein.

Kurzfazit: Grün geht immer, Gelb nur anonymisiert im Business-Plan, Rot bleibt draußen. Diese drei Farben nehmen den meisten Datenschutz-Diskussionen im Team von vornherein die Grundlage. Was passiert, wenn man die Ampel ignoriert, zeigt der nächste Abschnitt an echten Fällen.

Was passiert, wenn's schiefgeht

Die Beispiele, wie KI-Nutzung schieflaufen kann, sind in den letzten zwei Jahren deutlich konkreter geworden. Drei davon solltest du kennen, bevor du den ersten Datensatz eingibst:

Garante gegen OpenAI: ein 15-Millionen-Euro-Bußgeld, das später aus Zuständigkeitsgründen wieder kassiert wurde, materiell aber ungeklärt bleibt.
EDPB-Taskforce: Die Beweislast für rechtmäßige Verarbeitung liegt beim Verantwortlichen, nicht beim Betroffenen.
Mata v. Avianca: Ein Gericht bestrafte Anwälte, weil ChatGPT sechs Urteile frei erfunden hatte.

Der Reihe nach. Ein Fall, den fast alle Ratgeber falsch zitieren, ist die italienische Datenschutzbehörde gegen OpenAI. Der Garante verhängte im Dezember 2024 ein Bußgeld von 15 Millionen Euro gegen OpenAI, unter anderem wegen fehlender Rechtsgrundlage für das Training und Transparenzmängeln. Was viele Artikel verschweigen: Das Tribunale di Roma hat diese Sanktion im März 2026 wieder annulliert, allerdings aus Zuständigkeitsgründen, weil nach dem One-Stop-Shop-Prinzip die irische Datenschutzbehörde federführend ist. Die Datenschutzverstöße selbst wurden dabei nicht materiell geprüft, das Verfahren läuft in Irland weiter (Garante-Pressemitteilung 20.12.2024; Annullierung berichtet von ANSA und Il Sole 24 Ore, Urteilsbegründung noch nicht veröffentlicht, Stand 07/2026). Für dich heißt das nicht "Entwarnung", sondern: Die Rechtslage ist in Bewegung, und wer sich auf eine einzelne Schlagzeile verlässt, argumentiert auf Sand.

Auf europäischer Ebene arbeitet der Europäische Datenschutzausschuss seit 2024 an einer koordinierten Bewertung. Die ChatGPT-Taskforce hält in ihrem Bericht fest, dass OpenAI das Training auf das berechtigte Interesse stützt und dass die Beweislast für die Rechtmäßigkeit beim Verantwortlichen liegt, nicht beim Betroffenen (EDPB, Report of the ChatGPT Taskforce, 23.05.2024). Wichtig: Diese Einschätzungen sind ausdrücklich vorläufig, die Untersuchungen laufen noch.

Und dann ist da das Halluzinationsrisiko, das im Rechtskontext teuer wird. Im US-Fall Mata v. Avianca reichten zwei Anwälte eine Klageschrift ein, in der ChatGPT sechs Gerichtsurteile komplett erfunden hatte, mit Aktenzeichen und Zitaten. Das Gericht verhängte 5.000 US-Dollar Strafe, gesamtschuldnerisch gegen die Anwälte und ihre Kanzlei (U.S. District Court SDNY, Sanction Order 22.06.2023). Übertrag das gedanklich auf eine Wertindikation oder eine Auskunft zum Erbrecht, die du ungeprüft aus dem Chat übernimmst. Ab dem 2. August 2026 kommt zusätzlich die Kennzeichnungspflicht aus Artikel 50 des EU AI Act, nach der KI-generierte Inhalte als solche erkennbar sein müssen (VO (EU) 2024/1689; eine für Alt-Systeme diskutierte Verschiebung bis 2. Dezember 2026 ist Stand 07/2026 nur vorläufig und noch nicht beschlossen). Praktisch heißt das für dich: Wenn ein Exposé-Text oder ein Social-Post im Kern von ChatGPT stammt, gehört ein sichtbarer Hinweis dran, etwa "mit KI-Unterstützung erstellt". Was das im Detail für deine Marketing- und Exposé-Texte bedeutet, haben wir im Artikel zu den Transparenzpflichten des EU AI Act aufgeschlüsselt.

Kurzfazit: Kein KI-Output ohne menschliche Kontrolle, keine sensible Eingabe ohne den richtigen Plan. Die Bußgeld-Schlagzeilen sind volatil, die Sorgfaltspflicht ist es nicht.

Fallstudie: Wie ein Sachverständiger sensible Daten schützt und trotzdem KI nutzt

Patrick Beier führt ein Sachverständigenbüro, IHK öffentlich bestellt und vereidigt. Sein Alltag ist ein Datenschutz-Minenfeld: Gutachten, Restnutzungsdauer-Analysen, Objektbewertungen, alles randvoll mit personenbezogenen und wirtschaftlich sensiblen Daten. Genau die Art von Büro, in der ein unbedachter Copy-Paste-Vorgang in die Free-Version teuer werden könnte.

Die Ausgangslage war die, die fast jeder kennt: viel Website-Traffic, aber kaum qualifizierte Anfragen, eine Konversionsrate von rund 5 Prozent über simple Kontaktformulare, und ein Team, das mit Standardfragen und Erstberatung ausgelastet war. Statt seine sensiblen Daten in ein Consumer-Tool zu kippen, hat Beier mit uns auf eine kontrollierte, DSGVO-konforme Lösung gesetzt: einen KI-Assistenten, der auf europäischer Infrastruktur läuft, die Schönwetter-Gucker von echten Interessenten trennt und nur mit den Daten arbeitet, die für die Vorqualifizierung nötig sind, statt mit allem, was ein offenes Prompt-Feld verschlucken würde.

Was den Ausschlag gab, war die Kombination aus richtiger Datenarchitektur und echter Entlastung. Die Konversionsrate stieg von 5 auf über 30 Prozent, eine Versechsfachung. Der Assistent generierte 5 bis 10 neue qualifizierte Gutachten-Anfragen pro Monat. Beiers eigenes Fazit nach über zwei Jahren Zusammenarbeit: "Mittlerweile ersetzt die KI-Assistenz fast eine gesamte Vollzeitressource im Vertrieb."

"Was ursprünglich mit dem Ziel startete, unsere Mitarbeitenden bei eingehenden Anfragen zu entlasten, hat sich zu einem vollwertigen, rund um die Uhr aktiven Vertriebskanal entwickelt."
— Patrick Beier, Geschäftsführer Beier & Partner Immobilienbewertung

Der Punkt ist nicht, dass ChatGPT böse und eine andere Lösung heilig wäre. Der Punkt ist die Kontrolle: Wer entscheidet, welche Daten wohin fließen, und auf welcher Infrastruktur sie liegen. Wenn dir EU-Hosting und Datenkontrolle besonders wichtig sind, lohnt auch ein Blick auf Claude als DSGVO-freundlichere Alternative mit europäischem Hosting-Setup.

Kurzfazit: DSGVO-Konformität und Produktivität sind kein Widerspruch. Wer die Datenflüsse kontrolliert, statt sie dem Zufall zu überlassen, bekommt beides, Rechtssicherheit und eine Vollzeitressource im Vertrieb. Mehr Zeit, bessere Anfragen, ohne Datenschutz-Bauchschmerz.

Was kostet DSGVO-konforme KI-Nutzung?

DSGVO-konforme KI-Nutzung beginnt bei ChatGPT Team mit rund 25 bis 30 US-Dollar pro Sitz und Monat, ChatGPT Business liegt ähnlich, Enterprise startet höher und ab einer Mindestzahl an Sitzen (OpenAI-Preisangaben, Anbieter-Selbstauskunft, Stand 09.07.2026, prüfe die aktuelle Preisseite vor der Buchung). Dazu kommt einmaliger Aufwand für AVV, Einstellungen und interne Richtlinie. Die eigentlichen Kosten entstehen aber woanders: bei einem Datenschutzvorfall durch die Gratis-Version.

Rechne es einmal durch, alles auf Monatsbasis. Ein Sitz kostet dich rund 30 US-Dollar im Monat. Bei Beier waren es 5 bis 10 qualifizierte Gutachten-Anfragen im Monat. Rechne mit einer vorsichtigen Abschlussquote von 20 Prozent, dann sind das ein bis zwei zusätzliche Aufträge pro Monat. Bei 15.000 Euro Provision je Abschluss stehen deinen rund 30 US-Dollar Lizenzkosten im Monat also 15.000 bis 30.000 Euro Zusatzumsatz im selben Monat gegenüber. Über diese Relation muss man nicht lange diskutieren.

Und die Risiko-Seite? Bei unseren KI-Lösungen liegt sie über die Cashback-Garantie bei uns, nicht bei dir. Gemessen am Bußgeld-Risiko und am Vertrauensverhältnis zu deinen Eigentümern ist der richtige Plan damit die günstigste Absicherung, die du buchen kannst.

Zwei Wege im Vergleich: ChatGPT selbst absichern oder betreute Lösung

Aspekt	ChatGPT Business selbst aufsetzen	Betreute KI-Lösung (z.B. Sunside)
Setup-Aufwand	AVV, Einstellungen, Richtlinie selbst verantworten	Wird eingerichtet und dokumentiert
Datenkontrolle	Abhängig von korrekter Konfiguration	EU-Infrastruktur, definierte Datenflüsse
Makler-Kontext	Generisches Tool, du baust die Prozesse	Auf Eigentümeranfragen zugeschnitten
Laufende Pflege	Selbst im Blick behalten	Betreuung inklusive
Ideal für	Interne Texterstellung, digitalaffine Büros	Kundenkontakt, Lead-Qualifizierung, sensible Daten

Kurzfazit: Für reine interne Texterstellung reicht ein sauber konfigurierter Business-Plan. Sobald echter Kundenkontakt und Lead-Qualifizierung ins Spiel kommen, ist eine betreute Lösung auf EU-Infrastruktur der ruhigere Weg.

Häufige Fragen (PAA)

Ist ChatGPT DSGVO-konform?

ChatGPT ist nicht pauschal DSGVO-konform oder nicht. Es kommt auf die Version und das Setup an. Die kostenlose Version und Plus sind für personenbezogene Daten ungeeignet, weil Eingaben ins Training fließen können und kein AVV abschließbar ist. ChatGPT Team, Business, Enterprise und die API lassen sich mit AVV, Training-Opt-out und EU-Datenresidenz weitgehend DSGVO-konform betreiben.

Muss ich einen AVV mit OpenAI abschließen?

Ja. Sobald du personenbezogene Daten in ChatGPT verarbeitest, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. OpenAI bietet ein Data Processing Addendum für ChatGPT Business, Enterprise und die API an. Für Free, Plus und Pro gibt es keinen AVV, weshalb diese Pläne für Kundendaten ausscheiden (OpenAI-Dokumentation, Anbieter-Selbstauskunft, Stand 09.07.2026).

Welche ChatGPT-Version ist für Makler datenschutzkonform?

ChatGPT Team ist für kleinere Büros meist der günstigste Einstieg mit Training-Opt-out und AVV. Business und Enterprise bieten zusätzlich Funktionen wie EU-Datenresidenz und erweiterte Administration. Free, Plus und Pro sind Consumer-Produkte ohne AVV und daher für echte Eigentümer- oder Interessentendaten nicht geeignet.

Dürfen Makler Kundendaten in ChatGPT eingeben?

Nur unter strengen Bedingungen. Klarnamen, Adressen bewohnter Objekte, Bonitätsdaten oder Finanzierungssummen gehören nie in die Free- oder Plus-Version. Im Business-Plan mit AVV und EU-Residenz ist die Verarbeitung möglich, sollte aber auf das Nötige beschränkt und im Zweifel anonymisiert werden. Nutze die Datenkategorien-Ampel weiter oben als Richtschnur.

Werden meine ChatGPT-Daten in den USA verarbeitet?

Standardmäßig kann eine Verarbeitung außerhalb der EU stattfinden, was Drittlandtransfers nach Kapitel V DSGVO auslöst. Für ChatGPT Enterprise und Edu bietet OpenAI laut eigener Aussage seit Februar 2025 EU-Datenresidenz, sodass Daten in europäischen Rechenzentren gespeichert werden. Für die API lässt sich über ein neues Projekt eine EU-Region wählen (OpenAI-Dokumentation, Anbieter-Selbstauskunft, Stand 09.07.2026).

Brauche ich eine Datenschutz-Folgenabschätzung für ChatGPT?

Das hängt vom Umfang und der Sensibilität der Verarbeitung ab. Wenn du regelmäßig umfangreiche oder besonders schützenswerte Daten durch KI verarbeitest, kann eine DSFA nach Art. 35 DSGVO erforderlich sein. Kläre das mit deinem Datenschutzbeauftragten, statt es zu überspringen. Eine dokumentierte DSFA ist im Ernstfall dein bester Nachweis, dass du sorgfältig gehandelt hast.

Nächster Schritt

DSGVO-konforme KI ist machbar, aber sie ist Handarbeit, wenn du sie allein aufsetzt: den richtigen Plan wählen, den AVV abschließen, die EU-Residenz aktivieren, die Datenflüsse sauber halten und das Ganze dokumentieren. Wenn du diesen Aufwand lieber an einen Partner abgibst, der weiß, welche Daten im Maklergeschäft anfallen und wie man sie schützt, dann lass uns reden. Im kostenlosen Erstgespräch schauen wir uns deinen konkreten Fall an: welche KI-Nutzung für dein Büro rechtssicher und sinnvoll ist, ohne dass du zum Datenschutzjuristen werden musst.

Du willst zuerst erleben, wie sich eine betreute KI-Lösung im Kundenkontakt anfühlt? Ruf unsere KI-Assistentin Sophia unter +49 531 38763392 an und stell ihr deine Fragen, so wie es ein Interessent auf deiner Website tun würde. Kein verpasster Eigentümer, kein Datenschutz-Bauchschmerz.

Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Er fasst den Stand vom 09.07.2026 zusammen. Für die verbindliche Bewertung deines konkreten Falls ziehe deinen Datenschutzbeauftragten oder einen Fachanwalt hinzu.