Datenschutz für Selbstständige — DSGVO-Basics

Die DSGVO gilt für jeden Selbstständigen, der personenbezogene Daten verarbeitet — also für praktisch alle. Fünf Pflichten sind nicht verhandelbar: Datenschutzerklärung auf der Website, Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge mit Dienstleistern, Betroffenenrechte gewährleisten und technische Datensicherheit. Die gute Nachricht: für Solopreneurs ist der Aufwand überschaubar, wenn die Basics einmal eingerichtet sind.

Welche 5 DSGVO-Pflichten gelten für Selbstständige?

Datenschutzerklärung, Verarbeitungsverzeichnis, AVV mit Dienstleistern, Betroffenenrechte und technische Datensicherheit. Alle fünf sind Pflicht, unabhängig von Unternehmensgröße.

1. Datenschutzerklärung: Jede Website braucht eine. Sie muss informieren über: welche Daten erhoben werden, warum, Rechtsgrundlage, Speicherdauer, Betroffenenrechte. Generatoren (e-recht24.de, Datenschutz-Generator.de) erstellen brauchbare Grundversionen kostenlos.

2. Verarbeitungsverzeichnis (Art. 30): Dokumentiert alle Datenverarbeitungen — Kundendaten, Newsletter-Liste, Buchhaltung, CRM. Format: Tabelle mit Zweck, Rechtsgrundlage, Empfänger, Speicherdauer. Aufwand: 2–3 Stunden einmalig, danach nur bei Änderungen aktualisieren.

3. Auftragsverarbeitungsverträge: Pflicht mit jedem Dienstleister, der Zugriff auf personenbezogene Daten hat — Hosting-Anbieter, E-Mail-Dienst, Cloud-Speicher, Buchhaltungssoftware, Newsletter-Tool. Die meisten SaaS-Anbieter stellen AVVs bereit.

4. Betroffenenrechte: Kunden und Kontakte haben das Recht auf Auskunft (welche Daten?), Löschung (Recht auf Vergessenwerden), Berichtigung (falsche Daten korrigieren), Widerspruch (gegen Marketing-Nutzung). Solopreneurs müssen innerhalb von 30 Tagen antworten.

5. TOM (Technische und Organisatorische Maßnahmen): Sichere Passwörter (Passwort-Manager empfohlen), Verschlüsselung (HTTPS, E-Mail-Verschlüsselung bei sensiblen Daten), regelmäßige Backups, Bildschirmsperre, Zugangskontrollen. Keine Rocket Science, aber dokumentiert sein muss es.

Vertragsgrundlagen: Welche Verträge brauchen Selbstständige? — und im Detail: Freelancer-Vertrag Muster & Tipps

Was passiert bei DSGVO-Verstößen?

Bußgelder bis 20 Mio. € oder 4% Jahresumsatz. In der Praxis bei Solopreneurs eher Abmahnungen (500–5.000 €) und Beschwerden bei Landesdatenschutzbehörden. Die größten Risiken: fehlende Datenschutzerklärung und fehlende Cookie-Consent-Banner.

Abmahnungen sind das häufigste Risiko für Solopreneurs. Typische Gründe: Google Fonts über externe Server geladen (ohne Einwilligung), fehlender Cookie-Consent-Banner, unvollständige Datenschutzerklärung. Kosten: 500–3.000 € pro Abmahnung. Seit 2022 ist die Abmahn-Welle bei Google Fonts abgeebbt, aber neue Themen (Analytics ohne Consent, Facebook-Pixel) bleiben aktuell.

Datenschutz-Beschwerden: Kunden oder Konkurrenten können bei der Landesdatenschutzbehörde (LfDI) Beschwerde einreichen. Die Behörde prüft und kann Bußgelder verhängen oder Auflagen erteilen. Bei Solopreneurs endet das meist mit einer Aufforderung zur Nachbesserung, nicht mit einem Millionen-Bußgeld.

Brauche ich einen Datenschutzbeauftragten?

Nein — Solopreneurs brauchen keinen Datenschutzbeauftragten (DSB). Die DSB-Pflicht greift erst ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, oder bei besonders sensiblen Daten.

Die DSB-Pflicht nach § 38 BDSG gilt ab 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind. Solopreneurs und kleine Teams (unter 20 Personen) sind ausgenommen — es sei denn, sie verarbeiten besondere Kategorien personenbezogener Daten (Gesundheitsdaten, biometrische Daten, Daten zu politischen Überzeugungen).

Freiwilliger DSB: Einige Solopreneurs benennen sich selbst als DSB. Das ist erlaubt, aber nicht empfehlenswert — ein DSB hat Informationspflichten gegenüber der Aufsichtsbehörde, die den Aufwand für Einzelpersonen erhöhen.

Häufige Fragen zum Datenschutz

Praxis-Fragen rund um DSGVO für Solopreneurs.

Brauche ich ein Cookie-Consent-Banner?

Ja, wenn Cookies gesetzt werden, die nicht technisch notwendig sind — also bei Google Analytics, Facebook-Pixel, Marketing-Cookies. Rein technische Cookies (Session, Warenkorb) brauchen kein Consent. Tools: Borlabs Cookie, Complianz, CookieYes.

Darf ich Kundendaten in einer Excel-Tabelle speichern?

Ja, wenn die Tabelle passwortgeschützt und auf einem verschlüsselten Gerät gespeichert ist. Besser: CRM-Software oder Buchhaltungstool mit eingebauter Zugriffskontrolle. Wichtig: Löschfristen einhalten.

Muss ich alte E-Mails löschen?

Geschäftliche E-Mails unterliegen steuerlichen Aufbewahrungspflichten (6 oder 10 Jahre nach HGB/AO). DSGVO-Löschpflicht und steuerliche Aufbewahrungspflicht können kollidieren — im Zweifel steuerliche Pflicht vorrangig.

Was kostet ein Datenschutz-Generator?

Kostenlose Generatoren (e-recht24.de, Datenschutz-Generator.de) reichen für Standard-Websites. Anwaltlich geprüfte Datenschutzerklärungen kosten 200–500 €. Für Shops mit Zahlungsabwicklung und internationalen Kunden lohnt sich die anwaltliche Version.

Quellen und weiterführende Literatur

Offizielle DSGVO-Quellen.

• DSGVO — Verordnung (EU) 2016/679, insbesondere Art. 5, 6, 13, 14, 28, 30, 32.
• BDSG — Bundesdatenschutzgesetz, § 38 (Datenschutzbeauftragter).
• Landesdatenschutzbehörden — Muster-Verarbeitungsverzeichnisse und Praxis-Leitfäden.
• e-recht24.de — kostenloser Datenschutz-Generator für Standard-Websites.