DSGVO für Selbstständige:Pflichten im Überblick
Datenschutz klingt nach Konzern, betrifft aber auch dich. Ich zeige dir die Pflichten, die für kleine Betriebe wirklich zählen.
- Nur ein kleiner Betrieb? Die DSGVO kennt kaum Ausnahmen für Kleine. Der Aufwand bleibt aber überschaubar.
- Angst vor Bußgeldern? Wer die Grundpflichten erfüllt und dokumentiert, steht deutlich besser da.
- Keine Zeit für Papierkram? Die Aufsichtsbehörden bieten Muster für kleine Betriebe. Damit geht es schneller.
Kostenlos · unverbindlich · 10 Minuten
Kurz gesagt
Die DSGVO gilt für Selbstständige genauso wie für große Unternehmen, sobald du personenbezogene Daten von Kunden, Interessenten oder Mitarbeitern verarbeitest. Für kleine Betriebe heißt das vor allem: Datenschutzerklärung, Verzeichnis der Verarbeitungstätigkeiten, Verträge mit Dienstleistern, passende Sicherheitsmaßnahmen und ein Plan für Auskunftsanfragen und Datenpannen. Einen Datenschutzbeauftragten brauchst du in der Regel erst ab 20 Personen.
Verzeichnis fast immer
Wer regelmäßig Kundendaten verarbeitet, braucht ein Verzeichnis nach Art. 30 DSGVO.
Verträge und Schutz
AV-Verträge mit Dienstleistern und technische und organisatorische Maßnahmen.
72 Stunden
So lange hast du Zeit, eine meldepflichtige Datenpanne der Aufsichtsbehörde zu melden.
DSB ab 20 Personen
Ein Datenschutzbeauftragter ist meist erst ab 20 Personen mit Datenverarbeitung Pflicht.
Gilt die DSGVO auch für Selbstständige und Kleinunternehmer?
Ja. Die DSGVO gilt für jede berufliche Verarbeitung personenbezogener Daten, unabhängig von Umsatz oder Rechtsform. Schon Kundenkartei, E-Mail-Postfach, Terminbuchung und Rechnungen fallen darunter. Ausgenommen ist nur rein Privates. Kleinunternehmer im Sinne des Umsatzsteuerrechts haben datenschutzrechtlich keine Sonderstellung. Erleichterungen gibt es nur bei einzelnen Pflichten.
| Pflicht | Grundlage | Gilt für dich, wenn |
|---|---|---|
| Rechtsgrundlage für jede Verarbeitung | Art. 6 DSGVO | immer, etwa Vertrag, gesetzliche Pflicht oder Einwilligung |
| Information der Betroffenen | Art. 13 und 14 DSGVO | immer; auf der Website als Datenschutzerklärung |
| Verzeichnis der Verarbeitungstätigkeiten | Art. 30 DSGVO | praktisch immer, sobald du regelmäßig Kundendaten verarbeitest |
| Vertrag zur Auftragsverarbeitung | Art. 28 DSGVO | du setzt Dienstleister ein, die Daten in deinem Auftrag verarbeiten |
| Technische und organisatorische Maßnahmen | Art. 32 DSGVO | immer, passend zum Risiko |
| Betroffenenrechte | Art. 15 bis 22 DSGVO | immer; Antwort in der Regel innerhalb eines Monats |
| Meldung von Datenpannen | Art. 33 und 34 DSGVO | innerhalb von 72 Stunden, außer es besteht voraussichtlich kein Risiko |
| Datenschutzbeauftragter | Art. 37 DSGVO, § 38 BDSG | in der Regel ab 20 Personen, die ständig mit der Verarbeitung beschäftigt sind |
| Einwilligung für Cookies und Tracking | § 25 TDDDG | deine Website nutzt nicht notwendige Cookies oder Tracking |
DSGVO, BDSG, TDDDG; DSK-Kurzpapier Nr. 1. Stand Oktober 2026.
Besondere Fragen stellen sich, wenn du Menschen beobachtest oder filmst. Mehr dazu unter Drohnenpilot selbstständig und Detektei gründen.
Brauchst du ein Verzeichnis der Verarbeitungstätigkeiten?
In aller Regel ja. Art. 30 Abs. 5 DSGVO befreit Unternehmen mit weniger als 250 Beschäftigten nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Daten wie Gesundheitsdaten betrifft. Wer regelmäßig Kunden- oder Beschäftigtendaten verarbeitet, erfüllt diese Ausnahme nach Auffassung der Datenschutzkonferenz nicht. Ein Verzeichnis ist also fast immer nötig.
| Angabe im Verzeichnis | Beispiel für eine Kundenverwaltung |
|---|---|
| Name und Kontaktdaten des Verantwortlichen | du als Inhaber mit Anschrift und E-Mail |
| Zwecke der Verarbeitung | Angebote, Auftragsabwicklung, Rechnungen |
| Kategorien betroffener Personen und Daten | Kunden; Name, Anschrift, Kontaktdaten, Auftragsdaten |
| Empfänger | Steuerberatung, Bank, Cloud-Anbieter |
| Übermittlung in Drittländer | etwa bei Tools mit Servern außerhalb der EU |
| Löschfristen | nach Ablauf der steuerlichen Aufbewahrungsfristen |
| Technische und organisatorische Maßnahmen | kurze Beschreibung, soweit möglich |
Pflichtangaben nach Art. 30 Abs. 1 DSGVO; DSK-Kurzpapier Nr. 1. Stand Oktober 2026.
Die Datenschutzkonferenz und Aufsichtsbehörden wie das Bayerische Landesamt für Datenschutzaufsicht stellen Muster und Beispiele für kleine Betriebe bereit. Ein paar Seiten genügen meist.
Erleichterungen in Beratung
Was muss in deine Datenschutzerklärung?
Nach Art. 13 DSGVO informierst du Menschen, wenn du ihre Daten erhebst: wer verantwortlich ist, wofür und auf welcher Rechtsgrundlage du die Daten nutzt, an wen sie gehen, wie lange du sie speicherst und welche Rechte sie haben. Auf der Website steht das in der Datenschutzerklärung. Für Kunden ohne Website-Kontakt eignet sich ein kurzes Informationsblatt.
- Name und Kontaktdaten des Verantwortlichen
- Zwecke und Rechtsgrundlagen jeder Verarbeitung, etwa Kontaktformular, Terminbuchung, Newsletter
- eingesetzte Dienstleister und Tools, bei Drittländern die Grundlage der Übermittlung
- Speicherdauer oder Kriterien dafür
- Rechte der Betroffenen einschließlich Beschwerderecht bei der Aufsichtsbehörde
- bei Einwilligungen der Hinweis, dass sie widerrufen werden können
Generatoren nur als Startpunkt
Die Datenschutzerklärung ist ein eigener Text und gehört nicht in deine Geschäftsbedingungen. Was in AGB steht und wann sie sich lohnen, erklärt AGB erstellen.
Was gilt für Website, Cookies und Tracking?
Für Cookies und ähnliche Techniken gilt § 25 TDDDG, früher TTDSG. Was für den Betrieb der Website nicht unbedingt nötig ist, etwa Analyse- oder Marketing-Tools, braucht vorher eine Einwilligung. Ein Banner, das nur informiert, reicht dafür nicht. Dazu kommen eine verschlüsselte Verbindung, Verträge mit Hosting- und Tool-Anbietern und ein vollständiges Impressum.
| Technik auf der Website | Einwilligung nötig? |
|---|---|
| technisch notwendige Cookies, etwa Warenkorb, Login oder Speicherung der Cookie-Auswahl | nein, aber Information in der Datenschutzerklärung |
| Reichweitenmessung und Webanalyse | in den meisten Fällen ja |
| Marketing- und Tracking-Pixel, Werbe-Cookies | ja |
| eingebettete Videos, Karten oder Social-Media-Inhalte von Drittanbietern | meist ja, alternativ Laden erst nach Klick |
| Kontaktformular | nein, aber Information über Zweck und Speicherdauer |
§ 25 TDDDG, Art. 6 DSGVO. Vereinfachte Übersicht, Stand Oktober 2026; die Bewertung hängt vom einzelnen Tool ab.
Worauf du bei der Erstellung der Website achtest, steht unter Website erstellen lassen. Die Pflichtangaben im Impressum erklärt Impressum für Gründer.
Welche Verträge und Sicherheitsmaßnahmen brauchst du?
Setzt du Dienstleister ein, die Daten in deinem Auftrag verarbeiten, etwa Cloud-Speicher, Newsletter-Tool, Terminbuchung oder Hosting, brauchst du einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Viele Anbieter stellen ihn online bereit. Außerdem schützt du Daten nach Art. 32 mit technischen und organisatorischen Maßnahmen, kurz TOM, passend zum Risiko.
| Bereich | Beispiele für Maßnahmen |
|---|---|
| Zugang | starke Passwörter, Passwortmanager, Zwei-Faktor-Anmeldung |
| Verschlüsselung | verschlüsselte Festplatte, Smartphone mit Sperrcode |
| Datensicherung | regelmäßige Backups, getrennt aufbewahrt und getestet |
| Aktualität | Updates für Betriebssystem, Programme und Website |
| Berechtigungen | Mitarbeiter sehen nur, was sie brauchen |
| Papier | Akten abschließbar, Entsorgung über Aktenvernichter |
| Löschung | feste Löschfristen und Routine, etwa einmal im Jahr |
Beispiele nach Art. 32 DSGVO, Stand Oktober 2026. Welche Maßnahmen angemessen sind, hängt von Art und Risiko der Daten ab.
Nicht jeder Dienstleister ist Auftragsverarbeiter
Was tust du bei Auskunftsanfragen und Datenpannen?
Betroffene können Auskunft, Berichtigung, Löschung und weitere Rechte verlangen. Du antwortest in der Regel innerhalb eines Monats. Passiert eine Datenpanne, etwa ein gestohlener Laptop oder eine falsch adressierte E-Mail, meldest du sie innerhalb von 72 Stunden der Aufsichtsbehörde, außer es besteht voraussichtlich kein Risiko. Bei hohem Risiko informierst du auch die Betroffenen.
- 1
Eindämmen
Zugänge sperren, Passwörter ändern, falsch versandte Daten zurückfordern. - 2
Risiko bewerten
Welche Daten, wie viele Personen, wie sensibel, wie wahrscheinlich ist ein Schaden? - 3
Melden
Innerhalb von 72 Stunden ab Kenntnis an die Aufsichtsbehörde deines Bundeslandes, meist über ein Online-Formular. - 4
Betroffene informieren
Bei voraussichtlich hohem Risiko für die Betroffenen ohne unangemessene Verzögerung. - 5
Dokumentieren
Jede Datenpanne festhalten, auch wenn du sie nicht melden musst.
Ab wann brauchst du einen Datenschutzbeauftragten?
Nach § 38 BDSG brauchst du einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden Personen, also auch Teilzeitkräfte und Auszubildende. Unabhängig von der Zahl ist er Pflicht, wenn du eine Datenschutz-Folgenabschätzung durchführen musst oder Daten geschäftsmäßig übermittelst.
Abschaffung angekündigt, nicht in Kraft
Auch ohne Datenschutzbeauftragten bist du als Inhaber für den Datenschutz verantwortlich. Die Pflichten aus dieser Seite gelten unabhängig davon.
Was gilt für Gesundheitsdaten in Heilberufen?
Gesundheitsdaten gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Ärzte und andere Berufe mit gesetzlicher Schweigepflicht dürfen sie für die Behandlung meist ohne Einwilligung verarbeiten (Art. 9 Abs. 2 und 3 DSGVO, § 22 BDSG). Für Heilpraktiker greift das nach verbreiteter Ansicht nicht, empfohlen wird eine ausdrückliche Einwilligung. Ein Verzeichnis ist nach geltendem Recht Pflicht.
- Patientenakten und Befunde nur verschlüsselt speichern und versenden. Für E-Mail, Messenger und Online-Termine gelten wegen der sensiblen Daten höhere Anforderungen.
- Für unverschlüsselte E-Mails oder Messenger vorher klären, ob und wie Patienten das wünschen.
- Eine Einzelpraxis verarbeitet nach den Erwägungsgründen der DSGVO in der Regel nicht umfangreich. Ein Datenschutzbeauftragter ist deshalb nicht automatisch Pflicht.
- Coaches oder Ernährungsberater ohne Heilberuf brauchen für Gesundheitsangaben meist eine ausdrückliche Einwilligung.
Was bei der Gründung einer Naturheilpraxis sonst dazugehört, steht unter Heilpraktiker selbstständig machen.
Welche Förderung kommt für deine Gründung infrage?
Welche Förderung passt, hängt vor allem davon ab, ob du arbeitsuchend gemeldet bist, Arbeitslosengeld beziehst und was du investieren musst. Über jeden Antrag entscheidet die zuständige Stelle im Einzelfall.
AVGS-Gründungscoaching
Wenn du arbeitsuchend oder arbeitslos gemeldet bist, kann die Agentur für Arbeit oder das Jobcenter einen Aktivierungs- und Vermittlungsgutschein ausstellen. Mit bewilligtem Gutschein ist das Gründungscoaching für dich kostenfrei.
AVGS-GründercoachingGründungszuschuss
Beziehst du Arbeitslosengeld I und hast bei der Gründung noch mindestens 150 Tage Anspruch, kannst du den Gründungszuschuss beantragen. Er ist eine Ermessensleistung und setzt Businessplan und Tragfähigkeitsbescheinigung voraus.
GründungszuschussFörderkredite
Für Investitionen und Betriebsmittel gibt es zinsgünstige Kredite, etwa den ERP-Gründerkredit der KfW über deine Hausbank. Eine Bank erwartet dafür einen schlüssigen Businessplan mit Finanzplan.
KfW-GründerkreditWie läuft das Gründungscoaching mit mir ab?
- 1
Kostenloser Gründungscheck
In 10 Minuten klären wir, wo du stehst und welcher nächste Schritt für dich sinnvoll ist.
- 2
Förderung klären
Ich sage dir, ob ein AVGS infrage kommt und wie du ihn bei Agentur für Arbeit oder Jobcenter ansprichst.
- 3
Gemeinsam ausarbeiten
Geschäftsmodell, Businessplan und Finanzplan, online oder vor Ort, in deinem Tempo.
- 4
Sicher starten
Du hast vollständige Unterlagen für Bank und Agentur für Arbeit und einen klaren Plan für die ersten Monate.
Kostenlos · unverbindlich · 10 Minuten
Häufige Fragen: DSGVO für Selbstständige
Wie hoch sind DSGVO-Bußgelder für kleine Unternehmen?
Die DSGVO erlaubt Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Die Behörden berücksichtigen Art, Schwere und Dauer des Verstoßes, die Größe des Unternehmens und ob du kooperierst. Dazu können Schadensersatzforderungen Betroffener kommen.
Brauche ich für meinen Newsletter eine Einwilligung?
In der Regel ja. Für Werbe-E-Mails brauchst du eine ausdrückliche Einwilligung, üblich ist das Double-Opt-in-Verfahren. Eine Ausnahme gilt unter engen Voraussetzungen für Werbung für eigene ähnliche Angebote an Bestandskunden (§ 7 Abs. 3 UWG). Mit dem Newsletter-Anbieter schließt du einen Vertrag zur Auftragsverarbeitung.
Wie lange darf ich Kundendaten speichern?
So lange du sie für den Zweck brauchst oder gesetzliche Aufbewahrungsfristen gelten. Rechnungen und Buchungsbelege bewahrst du steuerlich seit 2025 in der Regel acht Jahre auf, Geschäftsbriefe sechs Jahre. Danach löschst du die Daten oder schränkst die Nutzung ein.
Muss ich Mitarbeiter auf den Datenschutz verpflichten?
Ein eigenes Formular schreibt die DSGVO nicht vor, sinnvoll ist es trotzdem. Nach Art. 32 Abs. 4 DSGVO musst du sicherstellen, dass Beschäftigte Daten nur nach deinen Anweisungen verarbeiten. Wer für dich mit personenbezogenen Daten arbeitet, auch Minijobber und Aushilfen, sollte deshalb schriftlich auf die Vertraulichkeit verpflichtet und kurz eingewiesen werden.
Was gilt bei Videocalls mit Kunden?
Nutze einen Anbieter, mit dem du einen Vertrag zur Auftragsverarbeitung schließen kannst, und informiere deine Kunden in der Datenschutzerklärung. Sitzt der Anbieter außerhalb der EU, prüfst du zusätzlich die Grundlage für die Übermittlung, etwa eine Zertifizierung nach dem EU-US Data Privacy Framework.
Welche Aufsichtsbehörde ist für mich zuständig?
Für Unternehmen und Selbstständige ist die Datenschutzaufsicht deines Bundeslandes zuständig, in Bayern das Bayerische Landesamt für Datenschutzaufsicht in Ansbach. Die Bundesbeauftragte für den Datenschutz ist vor allem für Bundesbehörden sowie Telekommunikations- und Postunternehmen zuständig.
Über den Autor
IHK-zertifizierter Gründungsberater · B.Sc. Wirtschaftspsychologie
Hauptberuflich selbstständig bin ich seit 2019, in der Gründungsberatung seit 2021. Ich kenne Gründung mit ihren Höhen und Rückschlägen aus eigener Erfahrung, und genau das fließt in jede Beratung ein.
Inhalt geprüft am 3.10.2026
Du willst deinen Start ohne Lücken bei den Pflichten planen?
In 10 Minuten klären wir, wo du stehst und was bei Businessplan, Finanzierung und Förderung als Nächstes sinnvoll ist. Danach weißt du, ob und wie ich dich begleiten kann.
Kostenlos · unverbindlich · 10 Minuten
Hinweis: Dieser Artikel dient ausschließlich der allgemeinen Information und ersetzt keine individuelle Rechts‑, Steuer‑ oder Finanzberatung. FoundingFits bietet keine Rechtsberatung oder Steuerberatung an. Für verbindliche Auskünfte wende dich bitte an eine Steuerberatung, eine Anwaltskanzlei oder eine andere zuständige Beratungsstelle. Alle Angaben ohne Gewähr.