DSGVO für Solo-Selbstständige – was wirklich Pflicht ist

„Datenschutz betrifft doch nur große Unternehmen" — dieser Satz hält sich hartnäckig, und er ist falsch. Die DSGVO gilt auch für Einzelunternehmerinnen und Einzelunternehmer, und zwar ab dem Moment, in dem Sie personenbezogene Daten verarbeiten: Kundennamen in der Rechnungssoftware, E-Mail-Adressen im Newsletter-Verteiler, Besucherdaten auf der Website. Die gute Nachricht: Die Pflichtenliste für ein Ein-Personen-Unternehmen ist deutlich kürzer, als viele befürchten — und das meiste davon ist einmal ordentlich aufgesetzt, statt dauernd gepflegt. Dieser Beitrag sortiert, was für Solo-Selbstständige wirklich Pflicht ist, was nur selten greift und wo die typischen Missverständnisse liegen.

Stand: 9. August 2026. Wir aktualisieren diesen Beitrag, wenn sich die Rechtslage ändert.

Gilt die DSGVO überhaupt für mich?

Ja — sobald Sie personenbezogene Daten verarbeiten. Und das tun Sie praktisch zwangsläufig:

• Sie speichern Kundendaten (Name, Anschrift, E-Mail) für Angebote und Rechnungen.
• Sie betreiben eine Website, die IP-Adressen der Besucher verarbeitet.
• Sie versenden einen Newsletter an eine Empfängerliste.
• Sie nutzen Cloud-Dienste, in denen Kundendaten liegen.

Eine „Kleinunternehmer-Ausnahme" wie im Umsatzsteuerrecht gibt es im Datenschutzrecht nicht. Es gibt allerdings Erleichterungen bei einzelnen Pflichten — und genau da lohnt sich der genaue Blick.

Die Datenschutzerklärung auf der Website: Pflicht Nummer eins

Wer eine Website betreibt, muss die Besucher darüber informieren, was mit ihren Daten passiert. Diese Informationspflichten ergeben sich aus Art. 13 und Art. 14 DSGVO. Eine vollständige Datenschutzerklärung enthält insbesondere:

• Verantwortlicher: Wer betreibt die Website? (Ihr Name und Ihre Kontaktdaten)
• Zwecke der Verarbeitung: Wofür werden Daten verarbeitet — z. B. Kontaktformular, Newsletter, Reichweitenmessung?
• Rechtsgrundlagen: Auf welcher Grundlage geschieht das — Einwilligung, Vertrag, berechtigtes Interesse?
• Empfänger: An wen werden Daten weitergegeben — z. B. Hosting-Anbieter, Newsletter-Dienst?
• Drittlandtransfer: Werden Daten außerhalb der EU verarbeitet, etwa bei US-Anbietern?
• Speicherdauer: Wie lange bleiben die Daten gespeichert?
• Betroffenenrechte: Auskunft, Berichtigung, Löschung und die weiteren Rechte der Nutzer.
• Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.

Wichtig für die Praxis: Die Datenschutzerklärung muss von jeder Seite Ihrer Website aus erreichbar sein — der übliche Link im Footer neben dem Impressum erfüllt das.

Ein häufiger Fehler: Die Datenschutzerklärung wird einmal aus einem Generator erzeugt und dann nie wieder angefasst, obwohl längst ein neues Analyse-Tool oder ein anderer Newsletter-Dienst im Einsatz ist. Die Erklärung muss zu dem passen, was auf der Website tatsächlich passiert.

Das Verarbeitungsverzeichnis: die meist missverstandene Pflicht

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist der Punkt, bei dem sich die meisten Solo-Selbstständigen zu früh entspannen. Denn ja, es gibt eine Ausnahme: Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Mitarbeitern grundsätzlich von der Pflicht aus.

Aber — und dieses Aber ist entscheidend: Die Ausnahme greift nicht, wenn die Verarbeitung „nicht nur gelegentlich" erfolgt. Und genau das ist bei fast jedem Unternehmen der Fall: Kundenverwaltung und Buchhaltung sind keine gelegentlichen, sondern regelmäßige, laufende Verarbeitungen. Die Konsequenz: Praktisch brauchen auch Solo-Selbstständige ein Verarbeitungsverzeichnis.

Die gute Nachricht: Für ein kleines Unternehmen ist das kein Aktenordner, sondern oft ein Dokument mit wenigen Einträgen. Typische Verarbeitungstätigkeiten eines Solo-Betriebs:

1. Kundenverwaltung (Stammdaten, Kommunikation)
2. Rechnungsstellung und Buchhaltung
3. Newsletter-Versand
4. Website-Betrieb (Hosting, ggf. Kontaktformular)

Pro Eintrag halten Sie fest, welche Daten zu welchem Zweck verarbeitet werden, wer Empfänger ist und wann gelöscht wird. Das ist an einem Nachmittag erledigt — und Sie haben damit gleichzeitig die Grundlage für Ihre Datenschutzerklärung geschaffen, denn die Inhalte überschneiden sich stark.

Auftragsverarbeitung: der Vertrag, den viele vergessen

Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Das betrifft bei Solo-Selbstständigen typischerweise:

• den Hosting-Anbieter der Website,
• Cloud-Speicher, in denen Kundendaten liegen,
• das Newsletter-Tool,
• die Buchhaltungssoftware.

Die gute Nachricht auch hier: Sie müssen diese Verträge in aller Regel nicht selbst aufsetzen. Seriöse Anbieter stellen einen AVV bereit, den Sie online abschließen können — oft mit wenigen Klicks im Kundenkonto. Die Pflicht liegt aber bei Ihnen: Prüfen Sie für jeden Dienst, der Kundendaten anfasst, ob ein AVV geschlossen wurde, und bewahren Sie die Nachweise auf.

Was Pflicht ist — und was nicht: die Übersicht

| Pflicht | Gilt für Solo-Selbstständige? | |---|---| | Datenschutzerklärung auf der Website (Art. 13/14 DSGVO) | Ja, sobald eine Website betrieben wird | | Verarbeitungsverzeichnis (Art. 30 DSGVO) | Praktisch ja — Kundenverwaltung/Buchhaltung ist „nicht nur gelegentlich" | | AVV mit Dienstleistern (Art. 28 DSGVO) | Ja, mit jedem Auftragsverarbeiter (Hosting, Cloud, Newsletter, Buchhaltung) | | Technische und organisatorische Maßnahmen (Art. 32 DSGVO) | Ja, angemessen zum Risiko — und dokumentiert | | Cookie-Einwilligung (§ 25 TDDDG) | Ja, vor dem Setzen nicht notwendiger Cookies | | Prozesse für Betroffenenrechte | Ja — Auskunft, Berichtigung, Löschung müssen fristgerecht möglich sein | | Datenschutzbeauftragter (§ 38 BDSG) | Praktisch nein — erst ab i. d. R. 20 ständig mit automatisierter Verarbeitung beschäftigten Personen |

Der Datenschutzbeauftragte: für Solos praktisch nie Pflicht

Hier dürfen Sie durchatmen: Ein Datenschutzbeauftragter ist nach § 38 BDSG erst dann zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Bei einem Ein-Personen-Unternehmen ist das praktisch nie der Fall. Verantwortlich für den Datenschutz bleiben Sie natürlich trotzdem — nur die formale Benennung entfällt.

Cookies und Tracking: erst fragen, dann setzen

Für Cookies und ähnliche Technologien gilt § 25 TDDDG: Nicht notwendige Cookies — etwa für Analyse- oder Marketing-Zwecke — dürfen erst gesetzt werden, nachdem die Besucherin oder der Besucher eingewilligt hat. Ein Banner, das Cookies bereits beim Laden der Seite setzt und die Einwilligung nur nachträglich abfragt, erfüllt die Anforderung nicht.

Zweite Anforderung, die in der Praxis oft schiefgeht: Ablehnen muss so einfach sein wie Zustimmen. Ein prominenter „Alle akzeptieren"-Button neben einem versteckten „Einstellungen"-Link genügt dem nicht. Wenn Sie ganz ohne nicht notwendige Cookies auskommen — etwa mit einer schlanken Website ohne Tracking —, brauchen Sie gar kein Banner. Das ist für viele Solo-Websites die ehrlichste und einfachste Lösung.

Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO verlangt, dass Sie Ihre Daten angemessen schützen. Für einen Solo-Betrieb heißt das konkret:

• Verschlüsselung: Website über HTTPS, verschlüsselte Geräte und Datenträger.
• Backups: regelmäßig, damit Kundendaten bei einem Ausfall nicht verloren sind.
• Zugriffsschutz: starke, individuelle Passwörter; kein geteiltes „Firmenpasswort".
• Zwei-Faktor-Authentifizierung (2FA): überall dort, wo sie angeboten wird — insbesondere für E-Mail, Cloud und Buchhaltung.

Genauso wichtig wie die Maßnahmen selbst: Dokumentieren Sie sie. Eine einfache Liste, welche Schutzmaßnahmen Sie getroffen haben, gehört zu Ihrer Datenschutz-Dokumentation und zeigt im Zweifel, dass Sie Ihre Pflichten ernst nehmen.

Wenn etwas schiefgeht: die Datenpanne

Geht ein Laptop mit Kundendaten verloren oder wird ein E-Mail-Konto kompromittiert, kann eine meldepflichtige Datenpanne vorliegen. Dann gilt Art. 33 DSGVO: Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden. Für Selbstständige in Nordrhein-Westfalen ist das die LDI NRW (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen).

Wichtig: Auch wenn im Einzelfall keine Meldepflicht besteht, gilt eine Dokumentationspflicht — halten Sie jede Panne intern fest: Was ist passiert, welche Daten waren betroffen, was haben Sie unternommen. Legen Sie sich diesen Prozess vor dem Ernstfall zurecht; 72 Stunden sind kurz, wenn man erst dann anfängt zu recherchieren.

Betroffenenrechte: Prozesse bereithalten

Ihre Kundinnen und Kunden haben Rechte: Auskunft darüber, welche Daten Sie über sie gespeichert haben, Berichtigung falscher Daten und Löschung. Für die Beantwortung gilt nach Art. 12 Abs. 3 DSGVO: unverzüglich, spätestens innerhalb eines Monats.

Für einen Solo-Betrieb reicht ein einfacher, aber vorbereiteter Prozess: Sie wissen, wo überall Kundendaten liegen (das steht in Ihrem Verarbeitungsverzeichnis — noch ein Grund, es zu führen), und Sie können auf Anfrage zusammenstellen, korrigieren oder löschen. Wer erst bei der ersten Auskunftsanfrage anfängt, seine Tools zu durchsuchen, wird mit der Monatsfrist kämpfen.

Realistische Risiken: weniger Bußgeld, mehr Abmahnung

Die spektakulären DSGVO-Bußgelder aus den Schlagzeilen betreffen Konzerne. Bußgelder gegen Solo-Selbstständige existieren, sind aber nicht das realistischste Risiko. Wahrscheinlicher sind:

• Abmahnungen — etwa wegen einer fehlenden oder veralteten Datenschutzerklärung oder eines nicht konformen Cookie-Banners. Das sind sichtbare Mängel, die sich von außen prüfen lassen.
• Vertrauensverlust — Kundinnen und Kunden, gerade im B2B-Geschäft, achten zunehmend darauf, wie Dienstleister mit Daten umgehen.

Die Basics aus diesem Beitrag sind genau die Punkte, die von außen sichtbar sind. Wer sie sauber umsetzt, hat das größte Risiko bereits abgeräumt.

Der pragmatische Fahrplan

1. Verarbeitungsverzeichnis anlegen (wenige Einträge: Kunden, Rechnungen, Newsletter, Website).
2. Datenschutzerklärung erstellen bzw. aktualisieren — passend zu den tatsächlich eingesetzten Tools, von jeder Seite erreichbar.
3. AVV mit allen Dienstleistern schließen (Hosting, Cloud, Newsletter, Buchhaltung) und Nachweise ablegen.
4. TOMs umsetzen und dokumentieren: Verschlüsselung, Backups, Zugriffsschutz, 2FA.
5. Cookie-Banner prüfen — Einwilligung vor dem Setzen, Ablehnen so einfach wie Zustimmen — oder auf nicht notwendige Cookies ganz verzichten.
6. Prozesse für Betroffenenrechte und Datenpannen einmal durchdenken und notieren.

Vieles davon ist Einmalaufwand. Was danach bleibt, ist Ordnung im Tagesgeschäft: wissen, welche Daten wo liegen, und Fristen nicht aus dem Blick verlieren. Genau dabei kann ein digitaler Assistent wie Juno von Aptika unterstützen — als Werkzeug, das Fristen überwacht, Belege erfasst und Ihre Zahlen aufbereitet; geprüft und übermittelt wird von Ihnen selbst.

FAQ: Häufige Fragen

Brauche ich als Einzelunternehmer wirklich ein Verarbeitungsverzeichnis?

Praktisch ja. Die Ausnahme des Art. 30 Abs. 5 DSGVO für Unternehmen unter 250 Mitarbeitern greift nicht, wenn die Verarbeitung „nicht nur gelegentlich" erfolgt — und Kundenverwaltung sowie Buchhaltung sind regelmäßige Verarbeitungen. Der Aufwand ist überschaubar: Für einen Solo-Betrieb genügen oft wenige Einträge.

Muss ich einen Datenschutzbeauftragten benennen?

Praktisch nie. Die Benennungspflicht nach § 38 BDSG greift in der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für den Datenschutz verantwortlich bleiben Sie als Unternehmerin oder Unternehmer aber in jedem Fall.

Reicht ein Cookie-Banner, das nur einen „Akzeptieren"-Button hat?

Nein. Nach § 25 TDDDG braucht es die Einwilligung, bevor nicht notwendige Cookies gesetzt werden — und das Ablehnen muss so einfach möglich sein wie das Zustimmen. Wer auf Tracking verzichtet, kann sich das Banner ganz sparen.

Was mache ich bei einer Datenpanne?

Prüfen, dokumentieren, im Zweifel melden: Eine meldepflichtige Datenpanne ist der Aufsichtsbehörde binnen 72 Stunden zu melden (Art. 33 DSGVO) — in NRW der LDI NRW. Auch ohne Meldepflicht müssen Sie den Vorfall intern dokumentieren. Bei Unsicherheit, ob ein Fall meldepflichtig ist, holen Sie sich zeitnah fachlichen Rat.

Hinweis: Dieser Beitrag ist eine allgemeine Information, keine Steuer- oder Rechtsberatung. Für die Beurteilung Ihres Einzelfalls wenden Sie sich an Ihre Steuerberaterin oder Ihren Steuerberater.