DSGVO für IT-Freelancer: Was im Projektalltag wirklich zählt

Die meisten IT-Freelancer brauchen den vollen DSGVO-Text nicht zu kennen. Sie müssen die sieben Situationen im Projektalltag kennen, in denen Fehler passieren — und in denen ein einziges Versäumnis Sie ins selbe Bußgeldverfahren wie Ihren Kunden zieht.

Das ist die praktische Version. Ohne "Bitte konsultieren Sie einen Anwalt"-Floskeln. Die Muster, die wir 2026 in realen DACH-Projekten sehen — und was Sie tatsächlich tun sollten.

1. Sie sind fast immer "Auftragsverarbeiter", nicht "Verantwortlicher"

Wenn Sie Systeme bauen, betreiben oder analysieren, die personenbezogene Daten im Auftrag eines Kunden verarbeiten, sind Sie DSGVO-rechtlich Auftragsverarbeiter. Das heißt: Sie brauchen einen Auftragsverarbeitungsvertrag (AVV) — unterzeichnet, bevor das erste personenbezogene Datum Ihren Rechner berührt.

Was 2026 in der Praxis alles als "personenbezogenes Datum" zählt:

• Kunden-E-Mail-Adressen in Test-Fixtures (ja, auch Seed-Daten).
• Produktiv-Datenbank-Dumps auf Ihrem Laptop.
• Screenshots aus einer Staging-Umgebung mit echten Namen.
• "Anonymisierte" Log-Dateien, in denen IP-Adressen noch lesbar sind.

Kein AVV? Sie sind rechtlich exponiert und nicht versicherbar. Viele deutsche Kunden weigern sich heute, Verträge zu unterschreiben, bevor der AVV auf dem Tisch liegt.

2. Das "Testdaten auf meinem Laptop"-Problem

Der häufigste Fehler, den wir in Freelancer-Audits sehen: Entwickler kopieren Produktivdaten "nur kurz zum Prüfen" auf ihre lokale Maschine. Das ist fast immer ein DSGVO-Verstoß — und der Audit-Trail macht es leicht nachweisbar.

Die Lösung ist langweilig, funktioniert aber: synthetische Daten, maskierte Daten oder eine dedizierte Staging-Umgebung mit anonymisierten Datensätzen. Tools wie Mockaroo, Synthesized oder eine eigene Faker-Pipeline amortisieren sich beim ersten verhinderten Incident.

3. Sub-Auftragsverarbeiter — Ihre Tools zählen

Die meisten Freelancer führen sich selbst als Auftragsverarbeiter — und vergessen, dass jedes verwendete Tool potenziell ein Sub-Auftragsverarbeiter ist. Dazu zählen:

• OpenAI, Anthropic oder jede LLM-API, die Prompts mit personenbezogenen Daten erhält.
• GitHub Copilot, der Ihren Code mit echten Datensätzen liest.
• Slack oder Notion, in die Sie Kundeninformationen einfügen.
• Sentry oder LogRocket, die User-Sessions mit personenbezogenen Daten erfassen.

Jeder dieser Dienste muss dem Kunden gegenüber offengelegt und im AVV abgedeckt sein. Die Vollzugswelle 2025 in Deutschland und Österreich zielte gezielt auf nicht offengelegte Sub-Auftragsverarbeiter ab.

4. Drittlandübermittlungen bleiben ein Minenfeld

Schrems II ist sechs Jahre alt und legt Freelancer monatlich aufs Kreuz. Wenn Sie personenbezogene Daten über einen US-Dienst verarbeiten (und die meisten Cloud-LLMs zählen dazu), brauchen Sie:

• Einen Angemessenheitsbeschluss (das EU-US Data Privacy Framework, soweit anwendbar).
• Oder Standardvertragsklauseln plus dokumentiertes Transfer Impact Assessment.
• Oder technische Maßnahmen wie Ende-zu-Ende-Verschlüsselung, bei der der US-Anbieter keinen Schlüsselzugriff hat.

"Der Kunde hat gesagt, das passt schon" ist keine Verteidigung. Die Datenschutzaufsicht hält Sie für Ihre eigene Verarbeitung verantwortlich.

5. Die 72-Stunden-Uhr bei Incidents

Wenn etwas schiefläuft — geleakte Zugangsdaten, falsch konfigurierter S3-Bucket, kompromittierte Dependency — müssen Sie den Kunden unverzüglich informieren, damit er seine 72-Stunden-Meldepflicht gegenüber der Aufsicht einhalten kann. Best Practice 2026:

• Den Kunden binnen 24 Stunden nach Entdeckung schriftlich informieren.
• Binnen 48 Stunden eine schriftliche Vorfalls-Timeline liefern.
• Ein eigenes internes Log führen; danach werden Sie in jedem Audit gefragt.

6. Auskunftsrecht — gilt auch für Ihre Arbeit

Wenn ein Endnutzer ein DSGVO-Auskunftsrecht geltend macht, fragt der Kunde Sie nach allem, was Sie gespeichert haben. Dazu gehören:

• Backups auf Ihrem Laptop und externen Festplatten.
• Code-Repositories mit Fixtures, die den Nutzer referenzieren.
• E-Mails und Chat-Nachrichten, die den Nutzer erwähnen.

Halten Sie eine saubere Struktur. Ein unaufgeräumtes Dateisystem wird in Woche drei eines Auskunftsstreits sehr teuer.

7. Projektende ist ein DSGVO-Ereignis

In dem Moment, in dem Ihr Vertrag endet, müssen Sie alle personenbezogenen Daten, die Sie für den Kunden verarbeitet haben, entweder zurückgeben oder sicher löschen. Die Löschung muss dokumentiert sein — ein unterzeichneter Löschnachweis oder eine schriftliche Bestätigung ist heute in DACH-Enterprise-Verträgen Standard.

Praktische Checkliste für die letzte Projektwoche:

• Löschfristen mit dem Kunden schriftlich bestätigen.
• Lokale Kopien von Produktivdaten, Backups und Notizen sicher löschen.
• Zugangs-Tokens, SSH-Keys, API-Keys widerrufen.
• Schriftliche Bestätigung über vollzogene Löschung versenden.

Fazit

DSGVO-Compliance für Freelancer heißt nicht, die Verordnung von vorne bis hinten zu lesen. Es heißt, sieben langweilige Dinge systematisch richtig zu machen — jedes Projekt, jedes Mal. Freelancer, die Compliance als Teil ihres Handwerks behandeln (nicht als Reibung), sind die, die DACH-Enterprise-Kunden auf Kurzwahl haben. Wer Compliance als Papierkram behandelt, fliegt schon beim ersten Lieferanten-Review raus.

Wenn Sie Ihr professionelles Profil aufsetzen und signalisieren wollen, dass Compliance Teil Ihres Angebots ist, listen Sie sie explizit als Skill auf frelani — Enterprise-Kunden filtern aktiv danach.