Das Wichtigste in Kürze
- Die DSGVO gilt für dich ab dem ersten Kundenkontakt. Umsatz oder Mitarbeiterzahl spielen keine Rolle.
- Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist Pflicht, sobald du regelmäßig personenbezogene Daten verarbeitest. Das trifft auf fast jede Solopreneurin zu.
- Einen Datenschutzbeauftragten brauchst du erst ab 20 Personen, die ständig automatisiert Daten verarbeiten. Als Solo bist du raus.
- Auftragsverarbeitungsverträge (AVV) sind mit jedem Dienstleister nötig, der Kundendaten für dich verarbeitet. Also Hosting, Mailanbieter, Cloud, CRM, Newsletter-Tool.
- Bußgelder starten bei formalen Verstößen im vierstelligen Bereich, materiell drohen bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes.
Du bist Solopreneurin und liest gerade zum dritten Mal einen Artikel über Datenschutz, weil du das Gefühl hast, irgendwas übersehen zu haben. Willkommen im Club. Die Datenschutz-Grundverordnung wurde nicht für dich geschrieben, sondern für Konzerne. Trotzdem gelten die gleichen Regeln, sobald du eine E-Mail-Adresse einer Kundin speicherst. Dieser Leitfaden zeigt dir Schritt für Schritt, was du wirklich brauchst, was du weglassen kannst und wo du am schnellsten Ärger einfängst.
Ab wann gilt die DSGVO für dich überhaupt?
Die DSGVO gilt für dich ab dem Moment, in dem du eine personenbezogene Information einer natürlichen Person verarbeitest. Das schließt Namen, E-Mail-Adressen, IP-Adressen, Telefonnummern und Fotos ein. Umsatz, Mitarbeiterzahl oder Rechtsform sind irrelevant. Sobald deine Website einen Aufruf hat, verarbeitest du bereits Daten, weil dein Webserver die IP-Adresse loggt.
Der weit verbreitete Mythos, dass die DSGVO erst ab einer bestimmten Umsatzgrenze greift, hält sich hartnäckig und ist falsch. Was tatsächlich variiert, sind einzelne Detailpflichten wie die Pflicht zur Bestellung einer Datenschutzbeauftragten. Die Grundpflichten Transparenz, Zweckbindung, Datenminimierung und Sicherheit gelten für jede Verarbeitung, unabhängig vom Umfang.
Praktisch bedeutet das: Wenn du ein Kontaktformular auf deiner Website hast, wenn du Rechnungen mit Kundendaten speicherst oder wenn du eine Newsletter-Liste pflegst, bist du voll in der Verantwortung. Die Aufsichtsbehörde deines Bundeslandes ist zuständig, wenn eine Beschwerde eingeht.
Welche vier Pflichten musst du zuerst umsetzen?
Es gibt vier Pflichten, mit denen du 90 Prozent des Themas abhaken kannst. Alles andere baut darauf auf.
1. Datenschutzerklärung auf der Website
Die Datenschutzerklärung informiert Besucherinnen deiner Website, welche Daten du wofür verarbeitest. Sie muss über jede Unterseite in maximal zwei Klicks erreichbar sein, verständlich formuliert und aktuell sein. Nutze einen Generator wie eRecht24, activeMind oder Datenschutz-Generator.de. Diese Tools kennen die aktuelle Rechtsprechung und aktualisieren automatisch, wenn sich etwas ändert.
Wichtig: Der Generator baut dir das Grundgerüst. Du musst trotzdem jede einzelne Klausel prüfen und die verwendeten Tools korrekt eintragen. Wenn du Google Analytics 4 nutzt, muss das drinstehen. Wenn du auf HubSpot umsteigst, musst du die Erklärung nachziehen. Ein Copy-Paste-Text aus fremder Website ist ein sicherer Weg in die Abmahnfalle.
2. Verzeichnis der Verarbeitungstätigkeiten (VVT)
Das VVT ist ein internes Dokument nach Art. 30 DSGVO. Du dokumentierst darin jede Verarbeitungstätigkeit mit Zweck, Rechtsgrundlage, Datenkategorien, Empfängern, Löschfristen und technisch-organisatorischen Maßnahmen. Auch wenn du unter zehn Mitarbeitende hast, entfällt die Pflicht nur bei ausschließlich gelegentlicher Verarbeitung ohne besondere Risiken. Regelmäßige Kundenverarbeitung erfüllt diesen Ausnahme-Tatbestand nicht.
Praktisch reicht eine gut strukturierte Excel-Tabelle oder ein Tool wie Datenschutzcoach, Dr. Datenschutz oder Proliance. Typische Einträge für Solopreneurinnen sind Website-Betrieb, Kundenverwaltung, Rechnungsstellung, Newsletter, Social-Media-Auftritte und Bewerbermanagement, wenn du irgendwann Freelancerinnen einbindest.
3. Auftragsverarbeitungsverträge (AVV)
Sobald ein externer Dienstleister für dich Kundendaten verarbeitet, brauchst du einen AVV nach Art. 28 DSGVO. Jeder seriöse Anbieter stellt einen bereits vorformulierten Vertrag zur Verfügung, den du im Konto akzeptierst oder als PDF unterzeichnest. Ohne AVV ist die Nutzung ein eigenständiger Verstoß, unabhängig davon, ob überhaupt etwas passiert.
Die Klassiker, für die du einen AVV brauchst: dein Webhoster, Mailanbieter wie Mailchimp oder ActiveCampaign, Cloud-Speicher wie Google Workspace oder Dropbox, CRM-Systeme wie HubSpot oder Pipedrive, Buchhaltungssoftware wie sevDesk oder lexoffice, Terminbuchungs-Tools wie Calendly und alle Zahlungsdienstleister.
4. Cookie-Consent auf der Website
Alle Cookies, die nicht technisch zwingend erforderlich sind, dürfen erst nach aktiver Einwilligung deiner Besucherinnen geladen werden. Das gilt insbesondere für Google Analytics, Facebook-Pixel, YouTube-Embeds, HubSpot-Tracking und alle Marketing-Tools. Ein reines Banner mit einem Ok-Button reicht nicht. Es muss echte Wahlfreiheit geben, inklusive einer Ablehnen-Option auf der ersten Ebene.
Nutze ein Consent-Management-Tool wie Cookiebot, Usercentrics, Complianz oder Real Cookie Banner. Die Gratisversionen dieser Tools reichen für Solopreneurinnen aus. Investiere die halbe Stunde in die korrekte Konfiguration, sonst lädst du Skripte trotz Ablehnung und produzierst genau den Verstoß, den das Banner verhindern soll.
Expert Insight
In der Praxis kommen fast alle Abmahnungen gegen Solopreneurinnen aus zwei Quellen: fehlerhafte oder fehlende Datenschutzerklärung und Google Fonts, die live von Googles Servern statt lokal geladen werden. Beide Themen kannst du in zwei Stunden abhaken. Wenn du sonst nichts tust, tu wenigstens das.
Brauchst du als Solopreneurin einen Datenschutzbeauftragten?
In den allermeisten Fällen nicht. Nach § 38 BDSG musst du eine Datenschutzbeauftragte bestellen, wenn du in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigst. Als Solopreneurin ohne festes Team fällst du klar unter diese Grenze.
Die Pflicht kann aber auch anlassbezogen entstehen. Wenn du beispielsweise Gesundheitsdaten verarbeitest, umfangreiche Profilbildung betreibst oder Videoüberwachung durchführst, kann eine Datenschutzbeauftragte selbst dann notwendig sein, wenn du allein arbeitest. Für die typische Coaching-, Beratungs- oder Kreativ-Solopreneurin ist das aber die absolute Ausnahme.
Auch wenn du keine Datenschutzbeauftragte brauchst, bleibst du selbst für die Einhaltung der DSGVO verantwortlich. Das kann keine externe Beraterin abnehmen. Sie kann dich unterstützen, aber die Haftung liegt bei dir als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.
Wie hoch sind die Bußgelder wirklich?
Die Höchststrafen wirken einschüchternd: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem was höher ist. Für Solopreneurinnen sind das theoretische Werte. Realistisch bewegen sich Bußgelder gegen kleine Unternehmen im drei- bis fünfstelligen Bereich, oft auch nur mit einer Verwarnung ohne Zahlung.
Die tatsächlich teuren Fälle in Deutschland betreffen große Konzerne oder eklatante Verstöße. Für dich als Solopreneurin ist eher relevant, dass jede betroffene Person nach Art. 82 DSGVO auch Schadenersatz von dir verlangen kann. Diese Ansprüche liegen typisch bei 500 bis 5.000 Euro pro Fall, addieren sich aber schnell, wenn ein Datenleck viele Personen betrifft.
Der praktisch häufigste Kostenblock sind Abmahnungen durch Mitbewerberinnen oder Verbraucherverbände. Eine typische DSGVO-Abmahnung wegen Google Fonts oder fehlender Cookie-Einwilligung kostet zwischen 500 und 1.500 Euro und ist innerhalb weniger Wochen erledigt, wenn du direkt reagierst.
Wie meldest du eine Datenpanne?
Nach Art. 33 DSGVO musst du eine Datenpanne innerhalb von 72 Stunden nach Kenntnis an die zuständige Aufsichtsbehörde melden, sofern ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Betrifft die Panne besonders sensible Daten oder viele Personen, musst du zusätzlich die Betroffenen nach Art. 34 DSGVO informieren.
Als Solopreneurin sind die häufigsten Pannen: versehentliche Mail-Verteiler mit offenem CC statt BCC, verlorene oder gestohlene Laptops mit Kundendaten, gehackte E-Mail-Accounts und Phishing-Erfolge auf deine Kundschaft. Führe eine kurze interne Notiz mit Zeitpunkt, Umfang und Reaktion. Diese Dokumentation brauchst du, auch wenn du am Ende zum Schluss kommst, dass keine Meldung nötig ist.
Die Aufsichtsbehörden bieten inzwischen komfortable Online-Meldeformulare. Die Meldung an sich ist kein Schuldeingeständnis. Der Umgang mit einer Panne, die man selbst meldet, ist praktisch immer milder als die Aufdeckung durch die Behörde selbst.
Was tust du, wenn eine Betroffenenanfrage kommt?
Kundinnen haben nach Art. 15 bis 22 DSGVO umfassende Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Du musst innerhalb eines Monats nach Eingang der Anfrage reagieren, in komplexen Fällen um zwei Monate verlängerbar mit Zwischennachricht.
Praktisch bekommst du als Solopreneurin diese Anfragen selten. Wenn eine kommt, oft im Kontext einer Kündigung oder Beschwerde, reagiere ruhig und strukturiert. Prüfe die Identität der anfragenden Person, wenn Zweifel bestehen. Erstelle eine Zusammenstellung aller gespeicherten Daten und der Verarbeitungszwecke. Bei Löschanfragen prüfe gesetzliche Aufbewahrungspflichten, insbesondere aus dem Steuerrecht mit zehn Jahren.
Baue dir eine kleine Vorlage für die Antwort. Wenn die erste Anfrage eintrifft, hast du sonst unter Zeitdruck etwas Halbfertiges zusammengeschustert. Eine gute Vorlage bearbeitest du in 20 Minuten, eine spontane Antwort kostet dich einen halben Tag.
Welche Rolle spielt der Standort deiner Tools?
Nach dem EuGH-Urteil Schrems II und der aktualisierten Rechtslage durch den EU-U.S. Data Privacy Framework ist die Nutzung US-amerikanischer Tools wieder rechtssicherer möglich, sofern der Anbieter unter dem Framework zertifiziert ist. Prüfe für jeden US-Dienst die aktuelle Zertifizierung auf der offiziellen Liste des U.S. Department of Commerce.
Trotzdem gilt der Grundsatz der Datenminimierung. Wenn du einen europäischen Anbieter mit gleicher Funktionalität hast, ist das oft die entspanntere Wahl. Hosting bei Hetzner oder IONOS, Mail-Marketing über CleverReach oder rapidmail, Cloud-Speicher über pCloud oder OwnCloud: alles solide europäische Optionen ohne Framework-Diskussion.
Für Tools, auf die du nicht verzichten willst oder kannst, dokumentiere die Rechtsgrundlage sauber in deinem VVT und in deiner Datenschutzerklärung. Google Workspace, Microsoft 365, Slack, Zoom und Notion sind alle nutzbar, aber die Konfiguration entscheidet über die Rechtmäßigkeit.
Meine Einschätzung: Die meisten Solopreneurinnen unterschätzen den Aufwand für die Ersteinrichtung und überschätzen den laufenden Aufwand. Wenn du dir einmal einen Nachmittag Zeit nimmst und die vier Kernpflichten sauber aufsetzt, hast du danach zwei bis vier Stunden Datenschutz-Arbeit pro Jahr. Das ist völlig händelbar. Der Fehler ist, das Thema jahrelang vor sich herzuschieben und dann bei der ersten Abmahnung in Panik zu verfallen.
Wie hältst du dein Datenschutz-Setup aktuell?
Datenschutz ist kein Einmalprojekt. Setz dir zwei Termine pro Jahr in den Kalender, an denen du dein VVT durchgehst, deine Datenschutzerklärung überprüfst und alle AVVs auf Aktualität checkst. 30 Minuten reichen, wenn du dazwischen keine großen Änderungen an deinem Tool-Stack hattest.
Immer wenn du ein neues Tool einführst oder ein bestehendes durch ein anderes ersetzt, aktualisierst du Datenschutzerklärung und VVT parallel. Am besten legst du dir diesen Prozess als Standard-Checkliste ab, damit du keinen Punkt vergisst. Newsletter zur DSGVO gibt es zahlreiche, beispielsweise von activeMind, Dr. Datenschutz oder dem Landesbeauftragten für den Datenschutz Baden-Württemberg.
Wenn du unsicher bist bei einer konkreten Frage, hol dir eine punktuelle Beratung. Eine Stunde bei einer spezialisierten Anwältin kostet zwischen 200 und 400 Euro und beantwortet dir oft mehr, als du in zehn Stunden Eigenrecherche schaffst. Das ist besonders bei komplexen Themen wie Tracking-Konfiguration oder internationalen Datentransfers gut investiertes Geld.
FAQ zu DSGVO für Solopreneurinnen
Muss ich als Kleinunternehmerin nach § 19 UStG die DSGVO einhalten?
Ja, ohne Einschränkung. Die DSGVO knüpft nicht an umsatzsteuerliche Regelungen an, sondern an die Verarbeitung personenbezogener Daten. Kleinunternehmerinnenstatus schützt dich nur vor der Umsatzsteuerpflicht, nicht vor Datenschutzpflichten.
Reicht ein Standard-Impressum für die DSGVO?
Nein. Impressum und Datenschutzerklärung sind zwei getrennte Pflichten. Das Impressum regelt die Anbieterkennzeichnung nach § 5 DDG. Die Datenschutzerklärung informiert über Datenverarbeitung nach Art. 13 und 14 DSGVO. Beide Dokumente müssen separat auf jeder Unterseite verlinkt sein.
Darf ich Kundennamen im Blog als Referenz nennen?
Nur mit expliziter, dokumentierter Einwilligung der Kundin. Auch positive Erwähnungen fallen unter die DSGVO. Hol dir die Zustimmung schriftlich per Mail ein und lege den Nachweis ab. Widerruft die Kundin später, musst du die Referenz entfernen.
Was tue ich mit alten Kundendaten, die ich nicht mehr brauche?
Löschen, sobald die gesetzliche Aufbewahrungsfrist abgelaufen ist. Für steuerlich relevante Unterlagen gelten zehn Jahre nach § 147 AO. Reine Kontaktdaten ohne Steuerrelevanz löschst du, sobald der ursprüngliche Zweck erfüllt ist. Baue dir dafür einen jährlichen Aufräum-Termin.
Muss ich meine Steuerberaterin in einen AVV mit einbeziehen?
Nein. Steuerberaterinnen, Rechtsanwältinnen und Wirtschaftsprüferinnen sind nach herrschender Meinung eigene Verantwortliche im Sinne der DSGVO und keine Auftragsverarbeiter. Ein AVV mit ihnen ist rechtlich problematisch, weil er den falschen Sachverhalt beschreibt. Sie unterliegen dafür strengen berufsrechtlichen Schweigepflichten.
Wo finde ich die Aufsichtsbehörde für mein Bundesland?
Jedes Bundesland hat eine eigene Landesdatenschutzbehörde. Die Übersicht mit Kontaktdaten pflegt die Datenschutzkonferenz (DSK) auf datenschutzkonferenz-online.de. Für private Verarbeiter ist immer die Behörde am Hauptsitz zuständig, nicht am Wohnsitz deiner Kundinnen.
Was ist der nächste konkrete Schritt?
Wenn du dieses Thema bisher aufgeschoben hast, blockiere einen Vormittag im Kalender. In dieser Zeit richtest du in dieser Reihenfolge ein: aktuelle Datenschutzerklärung mit einem Generator wie eRecht24, funktionierender Cookie-Consent mit Ablehnen-Button auf der ersten Ebene, VVT als Excel-Tabelle mit den fünf typischen Verarbeitungen, AVV-Übersicht mit allen aktiv genutzten Tools.
Danach richtest du dir zwei Termine pro Jahr für die Nachpflege ein. Wenn du weitere Fragen zum Aufbau eines rechtssicheren Business hast, hilft dir unser Guide zu AGB für Solopreneurinnen beim nächsten Baustein und die Übersicht zu Versicherungen für Selbstständige beim Absichern der Risiken, die auch der beste Datenschutz nicht abdeckt.
Quellen und weiterführende Informationen
- Vollständiger Text der DSGVO auf dsgvo-gesetz.de
- Datenschutzkonferenz: Beschlüsse und Orientierungshilfen
- Bundesbeauftragte für den Datenschutz
- LfDI Baden-Württemberg mit Praxisleitfaden für kleine Unternehmen
- Gesellschaft für Datenschutz und Datensicherheit
