Checkliste: Datenschutz bei Arbeitswerkzeugen für Freiberufler prüfen

Das Wichtigste auf einen Blick

Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO gehört zu jedem Werkzeug, das Kundendaten verarbeitet.
Der Serverstandort muss dokumentiert sein, weil Übermittlungen in Drittländer zusätzliche Garantien verlangen.
Löschfristen legen Sie schriftlich fest und prüfen sie einmal im Jahr.
Export und Kündigung testen Sie vor dem Vertragsschluss.
Datenschutzkonforme Werkzeuge kosten zwischen 0 Euro und 80 Euro pro Monat inklusive MwSt.

Rechtsgrundlagen und zuständige Aufsichtsbehörden

Wer als Freiberufler Rechnungen, Verträge oder Kontaktdaten in einer Software speichert, verarbeitet personenbezogene Daten. Die Datenschutz-Grundverordnung setzt dafür den Rahmen. Den vollständigen Wortlaut führt die Verordnung 2016/679 auf EUR-Lex.

Ergänzende Regeln für den nicht öffentlichen Bereich enthält das Bundesdatenschutzgesetz. Eine Inhaltsübersicht stellt das Bundesdatenschutzgesetz beim Bundesministerium der Justiz bereit.

Bei Beschwerden ist in der Regel die Landesdatenschutzbehörde des Bundeslandes zuständig, in dem Ihr Betrieb sitzt. Übergreifende Hinweise und Beschlüsse bündelt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.

Für Auftragsverarbeitung gilt Artikel 28 DSGVO. Er verlangt eine schriftliche Vereinbarung, Weisungsbindung und Regelungen zu Subunternehmern.

Viele Freiberufler müssen zusätzlich ein Verzeichnis der Verarbeitungstätigkeiten führen. Datenschutzverstöße melden Sie der Aufsichtsbehörde binnen 72 Stunden, wenn ein Risiko für Betroffene droht.

Checkliste für Vertrag, Serverstandort und Betrieb

Arbeiten Sie die folgenden fünf Punkte vor jeder Neuanschaffung ab und dokumentieren Sie das Ergebnis mit Datum.

Verarbeitung erfassen: Welche personenbezogenen Daten liest das Werkzeug, welche speichert es, welche gibt es weiter?
Auftragsverarbeitungsvertrag anfordern und prüfen, ob Weisungsbindung, Subunternehmerliste und Löschpflichten enthalten sind.
Serverstandort und Supportzugriffe schriftlich bestätigen lassen, einschließlich Fernzugriffen aus Drittländern.
Löschfristen je Datenkategorie festlegen und die automatische Löschung oder Sperrung im Werkzeug einstellen.
Export testen: Lassen sich alle Daten vollständig in einem gängigen Format ausleiten, und was passiert bei Kündigung?

Serverstandort und Drittlandtransfer

Ein Server in der Europäischen Union ist kein Freibrief. Entscheidend ist, wer auf die Daten zugreifen kann und von wo aus dieser Zugriff erfolgt.

Für Übermittlungen in Drittländer brauchen Sie eine Rechtsgrundlage, etwa einen Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln.

Viele kleinere Anbieter betreiben keine eigenen Rechenzentren, sondern mieten Kapazität bei großen Cloud-Diensten. Fragen Sie deshalb nach dem Mutterunternehmen und nach der Vertragskette.

Bei Anbietern wie Lexware, sevdesk und DATEV finden sich die Informationen zu Auftragsverarbeitung und Serverstandort in den Vertragsunterlagen. Lesen Sie die Anlagen, nicht nur die Leistungsbeschreibung.

Prüfen Sie außerdem, ob der Anbieter Ihre Daten für eigene Zwecke nutzt, etwa für Produktanalysen. Eine Nutzung zu eigenen Zwecken des Anbieters wäre keine Auftragsverarbeitung mehr.

Löschfristen und Datenexport

Steuerrechtliche Aufbewahrungspflichten und Datenschutz laufen auseinander. Rechnungen und Buchungsbelege bewahren Sie nach den Fristen der Abgabenordnung auf, nicht benötigte Kontaktdaten löschen Sie früher.

Prüfen Sie, ob das Werkzeug eine Sperrung statt einer Löschung erlaubt. Eine Sperrung hält die Aufbewahrungspflicht ein und verhindert den Zugriff im Tagesgeschäft.

Welche Rechte Betroffene bei Auskunft und Löschung haben, erläutert die Verbraucherzentrale zum Datenschutz.

Testen Sie den Export einmal jährlich mit einem vollständigen Datenbestand. Nur ein Auszug sagt nichts über die Portabilität. Dokumentieren Sie jede Löschung mit Zeitstempel, damit Sie sie im Streitfall belegen können.

Kosten datenschutzkonformer Werkzeuge

Die Preisspanne hängt vom Funktionsumfang und der Zahl der Nutzer ab. Die folgende Beispielrechnung gilt für einen Einzelplatz und nennt Monatsbeträge inklusive MwSt.

Kostenlose Tarife decken häufig nur Rechnungen und Belege ab. Vollständige Pakete mit Bankanbindung, Belegarchiv und Exportfunktion liegen darüber, bleiben aber meist unter der genannten Obergrenze. Lassen Sie sich den Auftragsverarbeitungsvertrag vor dem Abschluss zusenden.

Beispielrechnung: Ein Buchhaltungstarif für 12 Euro monatlich inklusive MwSt. und ein zusätzliches Belegarchiv für 8 Euro ergeben 20 Euro pro Monat, also 240 Euro im Jahr.

Häufige Fragen

Brauche ich als Freiberufler einen Auftragsverarbeitungsvertrag?

Ja, sobald ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Ohne Vereinbarung verstoßen Sie gegen Artikel 28 DSGVO.

Reicht ein Serverstandort in der Europäischen Union?

Nicht automatisch. Entscheidend sind Zugriffsmöglichkeiten, Subunternehmer und eine dokumentierte Grundlage für jeden Drittlandzugriff.

Wie lange darf ich Kundendaten speichern?

Steuerlich relevante Belege nach den Fristen der Abgabenordnung, alle übrigen Daten nur so lange, wie der Zweck es erfordert.

Was kostet ein datenschutzkonformes Arbeitswerkzeug?

Je nach Umfang zwischen 0 Euro und 80 Euro pro Monat inklusive MwSt.; einfache Tarife sind günstig, Kanzleipakete teurer.

An wen wende ich mich bei Fragen?

An die Landesdatenschutzbehörde Ihres Bundeslandes. Allgemeine Hinweise finden Sie beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.