DSGVO für Freelancer
Die vier Pflichten, die dich wirklich treffen — und die eine, die dein Kunde dir schickt, bevor du sie brauchst.
Um die DSGVO herrscht bei Selbstständigen ein Missverhältnis: enorme Sorge, und gleichzeitig fehlt fast immer das eine Dokument, nach dem Kunden tatsächlich fragen. Der Grund ist, dass die meisten Leitfäden für Unternehmen mit Kundendaten geschrieben sind — während ein Freelancer meist in einer anderen Rolle steckt: er verarbeitet fremde Daten im Auftrag.
Die Rollenfrage entscheidet alles
Zwei Rollen, und deine Pflichten unterscheiden sich fundamental:
| Rolle | Wann | Deine Hauptpflicht |
|---|---|---|
| Verantwortlicher | eigene Daten: deine Kunden, deine Website, deine Newsletter-Liste | Zwecke bestimmen, informieren, Verzeichnis führen |
| Auftragsverarbeiter | Daten deines Kunden, nach seiner Weisung — CRM, Support, Analyse | AV-Vertrag und Weisungsbindung |
Die meisten Freelancer sind beides gleichzeitig: Verantwortlicher für ihre eigene Buchhaltung und Website, Auftragsverarbeiter im Kundenprojekt. Das ist kein Widerspruch, sondern der Normalfall — und es erklärt, warum ein einziges Musterdokument nie passt.
Der Test, der die Rolle klärt. Frage nicht «wessen Daten sind das?», sondern: wer entscheidet, wozu sie verarbeitet werden? Entscheidet der Kunde und du führst aus, bist du Auftragsverarbeiter. Entscheidest du selbst mit — welche Zielgruppe, welche Auswertung, welche Aufbewahrung —, rutschst du in die Verantwortlichkeit, auch wenn im Vertrag etwas anderes steht. Die Rolle folgt der tatsächlichen Entscheidungsmacht, nicht der Bezeichnung.
Der AV-Vertrag: das Dokument, nach dem gefragt wird
Verarbeitest du Daten im Auftrag, verlangt Art. 28 DSGVO einen Vertrag über Auftragsverarbeitung. In der Praxis schickt ihn dir der Kunde — Konzerne haben ihn standardisiert, und er kommt oft erst in der Beschaffung, kurz vor Projektstart.
Zwei praktische Punkte, die Zeit und Geld kosten, wenn man sie übersieht:
- Prüfe die Unterauftragsverarbeiter. Deine Werkzeuge — Hosting, Cloud-Speicher, Support-Postfach, Code-Assistenten — sind aus Sicht des Kunden deine Subunternehmer. Sie müssen benannt und freigegeben sein. Ein AV-Vertrag, der sie verbietet, und ein Arbeitsablauf, der sie nutzt, ist ein Vertragsbruch, der niemandem auffällt, bis etwas passiert.
- Rechne die Auflagen in den Preis ein. Verpflichtungen zu Löschprotokollen, Audits, bestimmten Speicherorten oder Zertifizierungen sind Arbeit. Sie gehören in den Tagessatz, nicht in die Kulanz.
Ein eigenes Muster bereitzuhalten lohnt trotzdem — bei kleineren Kunden bist du sonst der, der bremst, und das ist die schlechteste Position für einen Projektstart.
Was du als Verantwortlicher wirklich brauchst
- Verzeichnis von Verarbeitungstätigkeiten. Die Ausnahme für Betriebe unter 250 Beschäftigten wird ständig falsch zitiert: sie gilt nicht, wenn die Verarbeitung nicht bloß gelegentlich erfolgt. Kundendaten laufend zu verarbeiten ist nicht gelegentlich — also brauchst du das Verzeichnis. Es ist eine Tabelle, kein Projekt: Zweck, Datenarten, Empfänger, Löschfrist.
- Datenschutzerklärung auf der Website. Sie muss beschreiben, was tatsächlich läuft. Ein Muster, das Dienste nennt, die du nicht nutzt — oder deine Schriftarten und Analysewerkzeuge verschweigt —, ist selbst der Verstoß.
- Löschfristen. Der häufigste Fehler ist, nie zu löschen. Sie kollidieren nicht mit der Steuer: Rechnungen bleiben nach Aufbewahrungsrecht liegen, ein zehn Jahre alter Bewerbungslebenslauf hat dafür keine Grundlage.
- Auskunft und Löschung beantworten können. Nicht perfekt, aber innerhalb eines Monats und nachvollziehbar.
Was du fast sicher nicht brauchst
Einen Datenschutzbeauftragten. In Deutschland greift die Pflicht erst, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind (§ 38 Abs. 1 BDSG). Ein Einzelunternehmer erreicht das nicht — auch nicht mit Freien im Netzwerk, solange sie nicht bei ihm beschäftigt sind.
Der Rest des Absatzes bleibt allerdings zu lesen: unabhängig von der Zahl kann die Pflicht bei Verarbeitungen entstehen, die eine Folgenabschätzung erfordern, oder bei geschäftsmäßiger Übermittlung. Wer mit Gesundheits-, Bewerber- oder Standortdaten in großem Umfang arbeitet, prüft das gesondert.
Wenn etwas passiert: die 72 Stunden
Eine Datenschutzverletzung ist der Aufsichtsbehörde binnen 72 Stunden zu melden, sobald sie bekannt wird — nicht, sobald sie geklärt ist. Das ist der Punkt, an dem die meisten scheitern: sie versuchen erst zu verstehen, und melden zu spät.
Verlorener Laptop, falsch adressierter Serienbrief, offener Cloud-Ordner: das sind die realistischen Fälle. Der Rahmen für Bußgelder reicht bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes — bei einem Einzelunternehmen ist der zweite Wert der bindende, und er zeigt, dass Bußgelder verhältnismäßig bemessen werden. Die reale Gefahr für einen Freelancer ist nicht das Millionenbußgeld, sondern der Kunde, der nach einem Vorfall nicht verlängert.
Häufige Fragen
Brauche ich als Freelancer einen Datenschutzbeauftragten?
Regelmäßig nicht: die Pflicht greift ab 20 ständig mit automatisierter Verarbeitung beschäftigten Personen (§ 38 Abs. 1 BDSG).
Bin ich Auftragsverarbeiter oder Verantwortlicher?
Beides, je Tätigkeit. Entscheidend ist, wer über den Zweck der Verarbeitung bestimmt — nicht, wem die Daten «gehören».
Muss ich ein Verarbeitungsverzeichnis führen?
In der Praxis ja. Die Ausnahme unter 250 Beschäftigten entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt.
Wie schnell muss ich einen Datenschutzvorfall melden?
Binnen 72 Stunden nach Bekanntwerden — auch wenn die Ursache noch nicht vollständig geklärt ist.
Stand: 17.08.2026. Quellen: DSGVO (Art. 28, 30, 33, 83), § 38 BDSG. Keine Rechtsberatung.