DSGVO für Selbstständige: Datenschutzerklärung, Auftragsverarbeitungsvertrag und Verzeichnis der Verarbeitungstätigkeiten mit Checkliste

Die DSGVO gilt für Selbstständige, sobald Sie Namen, E-Mail-Adressen oder Rechnungsdaten von Kunden speichern, also praktisch ab dem ersten Auftrag. Zur Grundausstattung gehören drei Dokumente: eine Datenschutzerklärung für die Website, ein Auftragsverarbeitungsvertrag mit jedem Dienstleister, der Daten in Ihrem Auftrag verarbeitet, und ein Verzeichnis der Verarbeitungstätigkeiten. Einen Datenschutzbeauftragten brauchen die meisten Einzelunternehmer dagegen nicht. Die Angaben in diesem Artikel haben den Stand Januar 2026.

Wen die DSGVO als Selbstständige betrifft und wen nicht

Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018 für jede Verarbeitung personenbezogener Daten im beruflichen Kontext. Eine Mindestgröße gibt es nicht. Die Freelance-Grafikerin mit drei Stammkunden fällt ebenso darunter wie der Handwerksbetrieb mit fünf Mitarbeitern. Personenbezogen ist jede Information, die sich einer natürlichen Person zuordnen lässt: Name, Telefonnummer, IP-Adresse, Bankverbindung, auch die geschäftliche E-Mail-Adresse eines Ansprechpartners bei einer Firma.

Ausgenommen ist nur die rein private Nutzung, etwa Ihr privates Adressbuch. Im Nebenerwerb verschwimmt diese Grenze schnell. Stehen Kundenkontakte im selben Smartphone-Adressbuch wie Familie und Freunde und synchronisiert ein Messenger dieses Adressbuch, ist die Verarbeitung beruflich. Den vollständigen Verordnungstext finden Sie in der amtlichen deutschen Fassung der DSGVO bei EUR-Lex. Bei Fragen zur Auslegung lohnt außerdem ein Blick zu den Datenschutzaufsichtsbehörden der Länder. Sie sind für Unternehmen zuständig und beantworten Anfragen kostenlos.

Prüfschema: Diese DSGVO-Pflichten treffen Selbstständige

Gehen Sie die folgenden Fragen der Reihe nach durch. Jede Antwort mit „ja“ löst eine konkrete Pflicht aus.

Für fast alle Selbstständigen sind die ersten vier Zeilen zu beantworten. Bei den letzten beiden kommt es auf Größe und Branche an.

Zu diesen Dokumentenpflichten kommen zwei Pflichten, die erst im Ernstfall greifen: Auskunft an Betroffene und Meldung von Datenpannen. Beide haben feste Fristen, die weiter unten durchgerechnet sind.

Datenschutzerklärung: Pflichtangaben für die Website

Die Datenschutzerklärung erfüllt die Informationspflicht aus Art. 13 DSGVO. Sie muss von jeder Seite Ihrer Website aus mit einem Klick erreichbar sein, üblicherweise über einen Link im Footer neben dem Impressum. Für Profile auf LinkedIn, Instagram oder Xing gilt dieselbe Pflicht. Dort genügt ein Link auf die Datenschutzerklärung Ihrer Website, solange diese einen Abschnitt zum jeweiligen Profil enthält.

Folgende Angaben verlangt Art. 13 Abs. 1 und 2 DSGVO:

Name und Kontaktdaten des Verantwortlichen, also Ihre eigenen

Kontaktdaten eines Datenschutzbeauftragten, falls Sie einen benannt haben

Zwecke der Verarbeitung und die jeweilige Rechtsgrundlage, etwa Vertragserfüllung nach Art. 6 Abs. 1 lit. b oder Einwilligung nach lit. a

bei Verarbeitung aufgrund berechtigter Interessen: welche Interessen das sind

Empfänger der Daten, zum Beispiel Hoster oder Newsletter-Dienst

Übermittlung in Drittländer außerhalb der EU und die Grundlage dafür

Speicherdauer oder die Kriterien, nach denen sie sich richtet

Hinweis auf die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch

Hinweis auf das Recht, eine Einwilligung jederzeit zu widerrufen

Beschwerderecht bei einer Aufsichtsbehörde

ob eine automatisierte Entscheidungsfindung stattfindet

Generatoren liefern einen brauchbaren Rohbau. Sie kennen aber Ihre tatsächlich eingebundenen Dienste nicht. Prüfen Sie deshalb mit den Entwicklertools Ihres Browsers, welche externen Verbindungen Ihre Seite aufbaut: Schriftarten, eingebettete Videos, Kartendienste, Analyse-Skripte. Jeder dieser Dienste gehört in die Erklärung. Für Cookies und vergleichbare Technologien, die nicht technisch notwendig sind, brauchen Sie seit 2021 zusätzlich eine Einwilligung. Die Regel steht heute in § 25 TDDDG, dem früheren TTDSG.

Auftragsverarbeitungsvertrag: Mit welchen Anbietern Sie ihn brauchen

Verarbeitet ein externer Dienstleister personenbezogene Daten weisungsgebunden in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag. Typische Fälle bei Selbstständigen sind Webhosting, Cloud-Speicher, E-Mail-Hosting, Newsletter-Software, CRM-Systeme, Online-Buchhaltung und Terminbuchungstools. Auch ein IT-Dienstleister mit Fernzugriff auf Ihren Rechner zählt dazu. Der Vertrag muss nach Art. 28 Abs. 9 schriftlich vorliegen. Ein elektronisches Format genügt, eine Unterschrift auf Papier ist also entbehrlich.

Keinen Auftragsverarbeitungsvertrag brauchen Sie mit Dienstleistern, die eigenverantwortlich handeln. Dazu gehören Banken, Post- und Paketdienste sowie Steuerberater. Für Steuerberater stellt § 11 Abs. 4 StBerG seit 2019 klar, dass sie weisungsfrei und damit als eigene Verantwortliche tätig sind. Gleiches gilt für Rechtsanwälte im Mandat.

Große Anbieter stellen den Vertrag meist im Kundenkonto bereit, oft unter Begriffen wie „AVV“, „DPA“ oder „Data Processing Addendum“. Einige schließen ihn automatisch mit den AGB ab, andere verlangen einen Klick. Laden Sie das Dokument herunter und legen Sie es ab, denn im Zweifel müssen Sie den Abschluss nachweisen. Inhaltlich muss der Vertrag nach Art. 28 Abs. 3 unter anderem regeln:

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die betroffenen Datenarten und Personengruppen

Bindung an Ihre Weisungen und Vertraulichkeitspflicht der eingesetzten Mitarbeiter

technische und organisatorische Maßnahmen nach Art. 32

Bedingungen für Unterauftragnehmer

Löschung oder Rückgabe der Daten nach Vertragsende

Kontroll- und Nachweisrechte

Sitzt der Anbieter oder ein Unterauftragnehmer in den USA, kommt die Drittlandfrage hinzu. Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Übermittlungen an US-Unternehmen, die nach diesem Rahmen zertifiziert sind, sind damit ohne zusätzliche Standardvertragsklauseln zulässig. Ob ein Anbieter zertifiziert ist, steht in der öffentlichen Liste des US-Handelsministeriums.

Verzeichnis der Verarbeitungstätigkeiten: Muster für Einzelunternehmer

Art. 30 Abs. 5 DSGVO befreit Unternehmen mit weniger als 250 Beschäftigten vom Verzeichnis. Die Ausnahme gilt aber nicht, wenn die Verarbeitung „nicht nur gelegentlich“ erfolgt. Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Aufsichtsbehörden, sieht schon die laufende Kundenverwaltung und Rechnungsstellung als regelmäßig an. Praktisch braucht damit jeder Selbstständige mit wiederkehrenden Kunden ein Verzeichnis. Die DSK stellt dazu Hinweise und ein Muster in ihren Kurzpapieren und Anwendungshinweisen bereit.

Das Verzeichnis führen Sie für sich und legen es der Aufsichtsbehörde auf Anfrage vor. Veröffentlichen müssen Sie es nicht. Eine Tabelle genügt, mit einer Zeile pro Verarbeitungstätigkeit. Art. 30 Abs. 1 verlangt diese Spalten:

Die Löschfrist von acht Jahren für Rechnungen folgt aus § 147 AO in der seit 1. Januar 2025 geltenden Fassung. Buchungsbelege mussten vorher zehn Jahre aufbewahrt werden. Die sechs Monate beim Kontaktformular sind eine selbst gesetzte Frist und dienen nur als Beispiel. Eine gesetzliche Vorgabe gibt es hier nicht, Sie legen die Dauer selbst fest und begründen sie.

Füllen Sie die Spalten so konkret wie möglich aus. „Alle Kundendaten“ bei den Datenarten reicht nicht. Bei den Schutzmaßnahmen genügt eine kurze Beschreibung, solange sie stimmt. Behauptete Verschlüsselung, die es nicht gibt, ist schlimmer als eine ehrliche Lücke. Ändern sich Tools oder Abläufe, passen Sie das Verzeichnis an und notieren das Datum.

Datenschutzbeauftragter: Ab 20 Personen Pflicht

Nach § 38 Abs. 1 BDSG müssen Unternehmen einen Datenschutzbeauftragten benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Die Schwelle lag bis November 2019 bei zehn Personen. Den genauen Wortlaut finden Sie im Text des § 38 BDSG. Unabhängig von der Personenzahl gilt die Pflicht, wenn Sie eine Datenschutz-Folgenabschätzung durchführen müssen oder geschäftsmäßig Daten zur Übermittlung, etwa für Markt- und Meinungsforschung, verarbeiten. Art. 37 DSGVO ergänzt den Fall, dass die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten besteht.

Gezählt werden Köpfe, nach Auffassung der Aufsichtsbehörden unabhängig vom Stundenumfang. Teilzeitkräfte, Auszubildende und Werkstudenten zählen voll. Ein Rechenbeispiel zeigt, wie schnell die Grenze bei wachsenden Firmen erreicht ist.

Praxisbeispiel: Eine Online-Marketing-Agentur beschäftigt 6 Vollzeitkräfte, 8 Teilzeitkräfte mit 20 Wochenstunden, 4 Werkstudenten und 2 Auszubildende. Alle arbeiten täglich mit Kunden-E-Mails und CRM.

Rechnung nach Vollzeitäquivalenten: 6 + (8 × 0,5) + (4 × 0,5) + 2 = 14

Rechnung nach Köpfen: 6 + 8 + 4 + 2 = 20

Maßgeblich ist die zweite Rechnung. Mit 20 Personen ist die Pflicht ausgelöst, obwohl die Agentur rechnerisch nur 14 Vollzeitstellen hat. Wer als Einzelunternehmer ohne Personal arbeitet, liegt weit unter der Grenze. Die übrigen Pflichten bleiben trotzdem in vollem Umfang bestehen, denn der fehlende Beauftragte verschiebt die Verantwortung nur auf Sie selbst.

Bußgelder, Abmahnungen und Fristen im Ernstfall

Art. 83 DSGVO sieht zwei Bußgeldstufen vor. Verstöße gegen organisatorische Pflichten, darunter Auftragsverarbeitung, Verzeichnis und Datenschutzbeauftragter, können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Verstöße gegen die Grundsätze der Verarbeitung und gegen Betroffenenrechte, wozu die Informationspflichten aus Art. 13 gehören, kosten bis zu 20 Millionen Euro oder 4 Prozent. Maßgeblich ist jeweils der höhere Betrag. Bei kleinen Unternehmen greift deshalb praktisch immer der feste Höchstbetrag als Obergrenze. Tatsächlich verhängte Bußgelder gegen Kleinunternehmen liegen in aller Regel weit darunter, weil die Behörden Umsatz, Schwere und Kooperation berücksichtigen. Häufiger als ein Bußgeld ist eine Verwarnung mit Frist zur Nachbesserung.

Abmahnungen durch Wettbewerber haben an Schärfe verloren. Seit Dezember 2020 können Mitbewerber nach § 13 Abs. 4 Nr. 2 UWG bei Datenschutzverstößen von Unternehmen mit in der Regel weniger als 250 Beschäftigten keine Abmahnkosten mehr verlangen. Anders liegt es bei Ansprüchen Betroffener auf Schadensersatz nach Art. 82 DSGVO. Das Landgericht München I sprach 2022 einem Websitebesucher 100 Euro zu, weil eine Seite Google Fonts dynamisch vom Google-Server lud und dabei seine IP-Adresse übermittelte (Urteil vom 20. Januar 2022, Az. 3 O 17493/20). Danach folgte eine Welle von Forderungsschreiben. Binden Sie Schriftarten deshalb lokal von Ihrem eigenen Server ein.

Zwei Fristen sollten Sie auswendig kennen:

Auskunftsanfrage: Sie müssen innerhalb eines Monats antworten (Art. 12 Abs. 3 DSGVO). Geht eine Anfrage am 10. März ein, endet die Frist am 10. April. Bei komplexen Anfragen ist eine Verlängerung um zwei weitere Monate möglich, die Sie aber innerhalb des ersten Monats begründet mitteilen müssen.

Datenpanne: Eine Verletzung des Schutzes personenbezogener Daten, etwa ein gestohlener Laptop ohne Verschlüsselung oder eine Rundmail mit offenem Verteiler, melden Sie binnen 72 Stunden der Aufsichtsbehörde (Art. 33 DSGVO). Die Frist läuft in Stunden, Wochenenden zählen mit. Bemerken Sie den Vorfall am Freitag um 16 Uhr, endet die Frist am Montag um 16 Uhr. Eine Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Diese Einschätzung dokumentieren Sie trotzdem schriftlich.

Checkliste und häufige Fehler bei der DSGVO-Umsetzung

Mit dieser Liste bringen Sie die Pflichten an ein bis zwei Nachmittagen in Ordnung:

[ ] Alle Tools und Dienste auflisten, die Kundendaten berühren, einschließlich Smartphone-Apps

[ ] Für jeden Auftragsverarbeiter den AV-Vertrag abschließen und als PDF ablegen

[ ] Prüfen, ob Anbieter außerhalb der EU sitzen, und die Übermittlungsgrundlage notieren

[ ] Website auf externe Verbindungen prüfen, Schriftarten lokal einbinden

[ ] Datenschutzerklärung erstellen oder an die tatsächlichen Dienste anpassen

[ ] Cookie-Einwilligung nur einsetzen, wenn nicht notwendige Cookies laufen, dann aber mit gleichwertiger Ablehnen-Option

[ ] Verzeichnis der Verarbeitungstätigkeiten mit Löschfristen anlegen

[ ] Newsletter-Anmeldung per Double-Opt-in einrichten und Einwilligungen protokollieren

[ ] Laptop und Smartphone verschlüsseln, Zwei-Faktor-Anmeldung aktivieren

[ ] Ablauf für Auskunftsanfragen und Datenpannen mit den Fristen notieren

[ ] Beschäftigte, falls vorhanden, auf Vertraulichkeit verpflichten

[ ] Einmal jährlich alles auf Aktualität prüfen

In der Praxis tauchen immer wieder dieselben Fehler auf. Der häufigste ist eine Datenschutzerklärung, die mit der Website nicht übereinstimmt: Sie nennt ein Analysetool, das längst entfernt ist, verschweigt aber das neu eingebettete Video. An zweiter Stelle stehen fehlende AV-Verträge für Dienste, die als Kleinigkeit gelten, etwa das Terminbuchungstool oder die Formular-Software. Ebenfalls verbreitet ist der Newsletter-Versand an alle Kontakte aus dem Postfach ohne nachweisbare Einwilligung.

Bei Gesundheitsdaten, umfangreichem Tracking, Videoüberwachung oder dem Aufbau eines Teams ab etwa zehn Personen lohnt eine Prüfung durch eine Fachanwältin für IT-Recht oder einen externen Datenschutzbeauftragten. Die IHK bietet für Mitglieder häufig eine kostenlose Erstberatung zum Datenschutz an.

FAQ: Häufige Fragen zur DSGVO für Selbstständige

Brauche ich eine Datenschutzerklärung, wenn ich keine Website habe?

Für die Website selbst nicht. Die Informationspflicht aus Art. 13 besteht trotzdem, sobald Sie Daten bei Kunden erheben. Ein kurzer Datenschutzhinweis im Angebot, im Auftragsformular oder in der E-Mail-Signatur mit Link auf ein Dokument erfüllt sie.

Reicht es, wenn ich die Datenschutzerklärung von einem Kollegen kopiere?

Nein. Neben dem Urheberrecht des Verfassers stimmt eine fremde Erklärung fast nie mit Ihren eingesetzten Diensten überein, und genau diese Abweichung ist ein Verstoß gegen Art. 13.

Muss ich das Verzeichnis der Verarbeitungstätigkeiten irgendwo einreichen?

Nein. Sie führen es intern und legen es nur vor, wenn die Aufsichtsbehörde danach fragt.

Darf ich Kundendaten in WhatsApp speichern?

Die Business-Version überträgt Kontaktdaten an Meta. Für den beruflichen Einsatz brauchen Sie eine Rechtsgrundlage für diese Übermittlung und müssen in der Datenschutzerklärung darauf hinweisen. Viele Aufsichtsbehörden raten Unternehmen zu Messengern, bei denen das Adressbuch nicht hochgeladen wird.

Was kostet ein externer Datenschutzbeauftragter?

Die Preise sind frei verhandelbar und hängen vom Umfang der Verarbeitung ab. Vergleichen Sie mehrere Angebote und achten Sie darauf, ob Schulungen und Audits im Pauschalpreis enthalten sind.