DSGVO für Freelancer 2026: Wann du einen Auftragsverarbeitungsvertrag brauchst - und wann nicht

Ich erinnere mich noch genau an das Gespräch. Ein Kunde aus Frankfurt schickt mir seinen Standard-AVV, zehn Seiten dicht beschrieben, mit der Bitte, das "kurz zu unterschreiben, bevor wir anfangen". Ich war damals UX-Freelancer, hatte gerade mein erstes größeres Projekt an Land gezogen, und dachte: klar, kein Problem, das unterschreibt man eben.

Was ich damals nicht wusste: Ein AVV der falsch eingesetzt wird, ist nicht nur überflüssig - er kann aktiv schaden. Er begründet Pflichten, die du sonst gar nicht hättest. Und er schützt den Verantwortlichen, nicht dich.

Seit dem 2. August 2026 ist der EU AI Act vollständig in Kraft. Das hat das Thema Datenschutz für Freelancer auf eine neue Ebene gehoben. Viele Selbstständige googeln dieser Tage "DSGVO Freelancer AVV" - und landen auf Seiten, die entweder sagen "immer AVV unterschreiben" oder "eigentlich nie". Beide Aussagen sind falsch. Die Realität ist komplizierter, aber auch handhabbarer als du denkst.

Auftragsverarbeiter oder eigenverantwortlicher Verantwortlicher? Der entscheidende Unterschied

Das Kernproblem bei der DSGVO und Freelancern: Es gibt nicht eine Rolle, sondern mindestens vier.

Artikel 4 Nr. 8 DSGVO definiert den Auftragsverarbeiter als jemanden, "der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet". Das klingt nach fast jeder Freelancer-Tätigkeit. Ist es aber nicht.

Die vier Rollen, die ein Freelancer datenschutzrechtlich einnehmen kann:

1. Eigenverantwortlicher (Art. 24 DSGVO): Du entscheidest selbst, welche Daten du warum verarbeitest. Kein AVV nötig.
2. Gemeinsamer Verantwortlicher (Art. 26 DSGVO): Du und der Kunde entscheiden gemeinsam über Zwecke und Mittel. Hier braucht es eine Joint-Controller-Vereinbarung, aber keinen AVV.
3. Auftragsverarbeiter (Art. 28 DSGVO): Du verarbeitest Daten streng nach Weisung des Kunden. AVV-Pflicht.
4. Unterstellte Person (Art. 29 DSGVO): Du handelst wie ein interner Mitarbeiter unter Aufsicht des Verantwortlichen. Kein AVV nötig.

Der häufigste Fehler: Kunden schicken pauschal einen Art.-28-AVV, obwohl eigentlich eine Joint-Controller-Vereinbarung nach Art. 26 angebracht wäre. Oder gar nichts, weil der Freelancer gar keine personenbezogenen Daten verarbeitet.

Was "weisungsgebunden" im DSGVO-Sinne bedeutet

Weisungsgebundenheit ist das Schlüsselkriterium für die Auftragsverarbeitung nach Art. 28 DSGVO. Gemeint ist damit nicht, dass du Projektbriefings befolgst. Gemeint ist, dass der Kunde dir vorschreibt, wie du mit konkreten Personendaten umgehst.

Konkret: Wenn dein Kunde sagt "du bekommst Zugang zu unserem CRM mit 50.000 Kundenkontakten und sollst daraus einen Export für unser Newsletter-Tool erstellen" - dann bist du weisungsgebunden. Du verarbeitest Daten nach seiner Anweisung, auf seiner Datenbasis, für seinen Zweck. Das ist klassische Auftragsverarbeitung.

Wenn du hingegen eigenständig mit Daten arbeitest, die du selbst erhoben hast, oder wenn du Ergebnisse lieferst ohne direkten Zugang zu fremden Personendaten - dann bist du eigenverantwortlich tätig.

Die häufigste Verwechslung unter Freelancern

Die meisten Freelancer verwechseln "Arbeit für einen Kunden" mit "Auftragsverarbeitung im DSGVO-Sinne". Beides ist nicht dasselbe.

Ein Texter, der Blogartikel auf Basis eines Briefings schreibt, verarbeitet keine personenbezogenen Daten im DSGVO-Sinne. Er bekommt ein Thema, liefert einen Text. Kein AVV.

Ein UX-Designer, der Wireframes entwirft, ohne Zugang zu echten Nutzerdaten zu haben, ist eigenverantwortlich tätig. Kein AVV.

Das Problem entsteht erst, wenn Kundendaten ins Spiel kommen.

Wann brauchst du als Freelancer einen AVV? (Checkliste)

Szenarien, wo ein AVV Pflicht ist

Lass uns konkret werden. Du brauchst einen AVV, wenn:

• Du direkten Zugang zu einer Datenbank mit Personendaten bekommst (CRM, Newsletter-System, HR-Tool, Kundenlisten)
• Du personenbezogene Daten im Kunden-System verarbeitest, speicherst oder abrufst - auch lesend
• Du Analyse-Auswertungen auf echten Nutzerdaten machst (Analytics, A/B-Testing mit echten Nutzerprofilen)
• Du im Namen des Kunden E-Mails versendest oder automatisierte Nachrichten an Kundenempfänger auslöst
• Du Daten aus einem System in ein anderes migrierst und dabei Personendaten siehst oder anfasst

Entscheidendes Merkmal: Du könntest die Aufgabe nicht erledigen, ohne auf die personenbezogenen Daten zuzugreifen. Und der Kunde gibt dir vor, was du damit machst.

Szenarien, wo kein AVV nötig ist

Du brauchst keinen AVV, wenn:

• Du Konzepte, Designs oder Texte lieferst, ohne Zugang zu echten Personendaten zu haben
• Du technische Systeme entwickelst, die noch keine echten Nutzerdaten enthalten (Staging-Umgebung, Mockups mit Testdaten)
• Du Beratungsleistungen erbringst und dabei allenfalls aggregierte, nicht personenbezogene Zahlen siehst
• Du eigene Tools oder Methoden einsetzt, bei denen du selbst Verantwortlicher bist

Typisches Beispiel: Ich designe Nutzeroberflächen. Solange ich mit Testdaten oder Figma-Mockups arbeite, kein AVV. Sobald ich Zugang zum Live-System mit echten Nutzerprofilen bekomme - AVV.

Die Grauzone: wann du einen Anwalt brauchst

Schwierig wird es bei:

• Social-Media-Management: Du postest im Namen des Kunden und hast Zugang zu Follower-Daten, DMs und Analytics. Hier ist nicht immer klar, ob das Auftragsverarbeitung oder gemeinsame Verantwortlichkeit ist. Die Datenschutzbehörden tendieren bei Facebook/Instagram zur gemeinsamen Verantwortlichkeit nach Art. 26 - was bedeutet, ein simpler AVV reicht nicht.
• Subunternehmer-Ketten: Du arbeitest für eine Agentur, die ihrerseits AVV mit dem Endkunden hat. Dann brauchst du mit der Agentur einen Sub-AVV (Artikel 28 Abs. 4 DSGVO).
• Gemischte Tätigkeiten: Du entwickelst eine App und pflegst gleichzeitig die Nutzerdatenbank.

Bei echten Grauzonenfällen lohnt sich eine kurze Beratung bei einem Datenschutzanwalt. Eine Stunde kostet 150-300 Euro und spart im Zweifel ein Vielfaches an Bußgeldern.

Was muss ein AVV laut Art. 28 DSGVO enthalten?

Die 10 Pflichtinhalte - kurz und verständlich

Art. 28 Abs. 3 DSGVO schreibt vor, was in jeden AVV rein muss. Ohne diese Punkte ist der Vertrag unvollständig:

1. Gegenstand und Dauer der Verarbeitung
2. Art und Zweck der Verarbeitung (was passiert mit den Daten, warum)
3. Art der personenbezogenen Daten (E-Mail-Adressen? Gesundheitsdaten? Finanzdaten?)
4. Kategorien betroffener Personen (Kunden? Mitarbeiter? Websitebesucher?)
5. Pflichten und Rechte des Verantwortlichen (wer ist der Auftraggeber, welche Rechte hat er)
6. Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung hin
7. Vertraulichkeit: Alle Personen, die Zugang haben, müssen zur Vertraulichkeit verpflichtet sein
8. Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO
9. Regelungen zu Unterauftragsverarbeitern (darfst du Tools von Dritten einsetzen?)
10. Rechte des Verantwortlichen auf Kontrolle und Audit

Wichtig: Punkt 9 wird oft ignoriert. Wenn du als Freelancer KI-Tools, Cloud-Speicher oder externe Dienste nutzt, die Kundendaten berühren, sind das Unterauftragsverarbeiter. Der Kunde muss dem zustimmen - idealerweise schon im AVV geregelt.

Typische Fehler in heruntergeladenen Vorlagen

Ich habe mir einige der gratis AVV-Vorlagen im Netz angeschaut. Die häufigsten Probleme:

• Fehlende TOMs: Die Anlage mit technischen und organisatorischen Maßnahmen fehlt oder ist ein Copy-paste ohne Bezug zur tatsächlichen Situation
• Unterauftragsverarbeiter nicht geregelt: Du darfst laut Vorlage keine Subunternehmer einsetzen - aber nutzt Google Drive, ChatGPT oder Figma mit Kundendaten
• Falsche Datenkategorien: Die Vorlage beschreibt andere Datentypen als die, die tatsächlich verarbeitet werden
• Keine Lösch- und Rückgabepflicht: Artikel 28 Abs. 3 lit. g verlangt, dass nach Auftragsende Daten zurückgegeben oder gelöscht werden

Kurz: Eine AVV-Vorlage ist ein Startpunkt, kein Endprodukt. Füll die konkreten Felder tatsächlich aus.

Vier typische Freelancer-Profile im DSGVO-Check

UX Designer mit Zugang zum Kunden-CRM (meistens AVV-Pflicht)

Ich kenne das aus eigener Erfahrung. Manchmal bekommt man als UX-Designer Zugang zum Live-System, weil man "echte Nutzerflows" analysieren soll. HubSpot-Zugang, Mixpanel mit echten Nutzerdaten, Hotjar-Recordings mit erkennbaren Gesichtern.

Hier: AVV-Pflicht. Du greifst direkt auf personenbezogene Daten zu, weisungsgebunden gemäß dem Projektauftrag. Ohne AVV ist die gesamte Zusammenarbeit DSGVO-widrig - und zwar auf beiden Seiten.

Lösung: Bestehe auf einem AVV, bevor du den Login bekommst. Oder fordere anonymisierte Testdaten.

Webentwickler mit Datenbankzugriff (AVV-Pflicht)

Datenbankzugang bedeutet fast immer AVV. Selbst wenn du "nur die Struktur optimierst" und dabei zwangsläufig Nutzernamen, E-Mail-Adressen oder Bestelldaten siehst.

Nicht vergessen: Auch Staging-Umgebungen mit echten (kopierten) Produktionsdaten erfordern einen AVV. Das wird häufig übersehen.

Texter der fertige Texte liefert (kein AVV nötig)

Du bekommst ein Briefing, schreibst Texte, lieferst eine Word-Datei. Kein Zugang zu Kundendatenbanken, kein Login in Systeme. Du verarbeitest keine personenbezogenen Daten im DSGVO-Sinne.

Kein AVV nötig. Auch kein Joint-Controller-Agreement.

Ausnahme: Wenn du Zugang zu Kunden-E-Mails oder internen Kommunikationssystemen bekommst, um den Ton der Marke zu verstehen - dann kommt es auf den Einzelfall an.

Social-Media-Manager der im Kunden-Account postet (Grauzone)

Das ist der komplizierteste Fall. Du hast Zugang zum Facebook-Business-Manager, Instagram-Account, LinkedIn. Du siehst Follower-Daten, DM-Anfragen, Analytics.

Die Datenschutzkonferenz (DSK) hat klargestellt: Wer eine Facebook-Fanpage betreibt, ist gemeinsamer Verantwortlicher mit Meta nach Art. 26 DSGVO. Das gilt auch für den Social-Media-Manager, der eigenständig über Zielgruppen und Targeting entscheidet.

Hier reicht ein Art.-28-AVV nicht. Du brauchst entweder eine Joint-Controller-Vereinbarung oder eine klare vertragliche Regelung, wer welche Verantwortung trägt. Das ist ein Fall für rechtliche Beratung.

KI-Tools und DSGVO: Was passiert wenn dein Projekt auf externe KI-Tools setzt

Seit 2026 ist die KI-Nutzung aus dem Freelancer-Alltag kaum mehr wegzudenken. Damit entsteht eine neue Kategorie von DSGVO-Fragen.

Die wichtigste Regel: Kundendaten gehören nicht in KI-Tools ohne AVV und ohne Einwilligung des Kunden.

ChatGPT Free, Plus, Pro: Kein AVV verfügbar. Keine Kundendaten eingeben. Punkt.

ChatGPT Team, Enterprise, API: OpenAI stellt einen AVV bereit. Training auf Inputs ist standardmäßig deaktiviert. Trotzdem: Datenübertragung in die USA bleibt datenschutzrechtlich heikel (Stichwort Schrems II und CLOUD Act).

Claude.ai (Anthropic): Ähnliche Situation wie ChatGPT. Kein AVV für Consumer-Versionen. API und Claude for Work haben Optionen.

EU-basierte Alternativen: Neuroflash hat Server in Deutschland. Für besonders sensible Daten empfehle ich lokale Modelle - ich habe darüber bereits in meinem Artikel zu lokalem KI-Betrieb mit Ollama geschrieben.

Die praktische Regel: Wenn du als Freelancer KI-Tools nutzt und dabei Zugang zu Kundendaten hast, muss dein AVV mit dem Kunden auch die KI-Tools als Unterauftragsverarbeiter erwähnen. Oder du nutzt die Tools nur mit anonymisierten/synthetischen Daten.

Und umgekehrt: Wenn du einen AVV mit deinem Kunden unterzeichnest, prüf, ob dieser dir erlaubt, Unterauftragsverarbeiter (sprich: externe KI-Tools) einzusetzen. Viele Standardvorlagen untersagen das pauschal.

EU AI Act August 2026: Was sich für DSGVO-Pflichten nun geändert hat

Seit dem 2. August 2026 sind die zentralen Bestimmungen des EU AI Acts vollständig anwendbar. Das ändert zwar nicht die Grundstruktur der DSGVO, erhöht aber die Anforderungen an Transparenz und Dokumentation beim Einsatz von KI-Systemen.

Was konkret gilt:

Artikel 50 AI Act - Transparenzpflichten: Wer KI-Systeme einsetzt, die mit Menschen interagieren (Chatbots, KI-Assistenten), muss die Nutzer darüber informieren. Wer KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht, muss diese kennzeichnen. Bußgelder bei Verstoß: bis zu 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes.

Was das für Freelancer bedeutet:

Wenn du im Auftrag eines Kunden KI-generierte Inhalte erstellst und veröffentlichst - zum Beispiel als Content-Freelancer oder Social-Media-Manager - triffst du als professioneller Nutzer auf Transparenzpflichten. Konkret: KI-generierte Deepfakes und synthetische Medien müssen als solche gekennzeichnet werden.

Für reine Textinhalte gilt eine eingeschränkte Pflicht: KI-generierte Texte zu Themen von öffentlichem Interesse (Politik, Wissenschaft, Wirtschaft) sollen als KI-generiert markiert werden. Die Wasserzeichen-Pflicht für generative KI-Anbieter wurde allerdings auf Dezember 2026 verschoben.

Die Verbindung zur DSGVO: Der AI Act ergänzt die DSGVO. Er erhöht die Anforderungen an Datenqualität, Transparenz und Dokumentation - ändert aber die Grundpflichten aus Art. 28 DSGVO nicht. Wer jetzt seinen DSGVO-Hausaufgaben nicht gemacht hat, hat ein doppeltes Compliance-Problem.

Mehr dazu in meinem Artikel zur EU AI Act Checkliste für Freelancer August 2026.

Wo du DSGVO-konforme AVV-Vorlagen findest

Kostenlose Optionen

Datenschutzbehörden der Länder (LfDI): Mehrere Landesdatenschutzbeauftragte stellen kostenlose Musterverträge bereit. Die Qualität ist hoch, weil sie von den Behörden selbst erarbeitet werden.

Legiscope AVV-Muster: legiscope.com bietet ein gut dokumentiertes, kostenloses AVV-Muster mit allen acht Pflichtinhalten nach Art. 28 Abs. 3 DSGVO. Gut als Startpunkt für Standardfälle.

Externer Datenschutzbeauftragter Dresden: Ebenfalls kostenlose Muster inklusive TOM-Checkliste.

Kostenpflichtige Optionen

e-recht24.de Premium: Bietet DSGVO-Generatoren und Vorlagen für Selbstständige, inklusive AVV. Kosten ab rund 10 Euro monatlich. Vorteil: Die Vorlagen werden aktuell gehalten und berücksichtigen aktuelle Rechtsprechung.

Proliance (proliance.ai): DSGVO-Pakete speziell für Selbstständige und KMU, inklusive AVV-Generator und Datenschutzgenerator. Eher für komplexere Szenarien geeignet.

Datenschutzanwalt einmalig: Für manche Freelancer ist eine einmalige Beratung plus individueller AVV-Entwurf die beste Lösung. Einmalige Kosten von 300-600 Euro, dafür Rechtssicherheit.

Was du in keinem Fall tun solltest

Einen AVV aus einer unbekannten Quelle kopieren und ungeprüft unterschreiben. Die Fehler, die ich oben beschrieben habe (fehlende TOMs, falsche Datenkategorien, keine Unterauftragsverarbeiter-Regelung), finden sich in den meisten kostenlosen Blogpost-Vorlagen.

Ähnliches gilt übrigens für deinen Freelancer-Auftragsvertrag: Auch hier lohnt eine einmalige Prüfung durch jemanden mit rechtlichem Fachverstand.

Fazit: Drei Fragen die du dir stellen solltest

Bevor du den nächsten AVV unterzeichnest oder verschickst, prüfe:

1. Verarbeite ich überhaupt personenbezogene Daten meines Kunden? Wenn nein - kein AVV nötig.

2. Handle ich weisungsgebunden nach den Vorgaben des Kunden? Wenn ja - AVV nach Art. 28. Wenn du eigene Entscheidungen über Zwecke und Mittel triffst - gemeinsame Verantwortlichkeit nach Art. 26.

3. Nutze ich externe Tools (KI, Cloud-Dienste) mit Kundendaten? Dann muss dein AVV das abdecken - oder du nutzt die Tools mit anonymisierten Daten.

Und wenn du mit internationalen Kunden arbeitest oder aus dem Ausland heraus tätig bist: Die DSGVO gilt für alle Freelancer, die Daten von EU-Bürgern verarbeiten - unabhängig davon, wo du selbst sitzt. In internationalen Communities wie der Network School arbeiten viele Residents grenzübergreifend, und genau da stellen sich diese Fragen noch häufiger als im klassischen DE-DE-Auftragsverhältnis.

Wenn du grundlegende Datenschutzpflichten als Selbstständiger verstehen willst, empfehle ich außerdem einen Blick in meinen Artikel zur Scheinselbstständigkeit 2026 - viele der Abgrenzungskriterien zwischen weisungsgebundener und eigenständiger Tätigkeit überschneiden sich dort.

Einige Links sind Affiliate-Links. Dir entstehen keine Mehrkosten.