Freelancer DSGVO-konform beauftragen

Wie man einen Freelancer nach der DSGVO beauftragt: Eine Schritt-für-Schritt-Anleitung

Einen Freelancer zu beauftragen geht meist schnell. Die DSGVO nicht.

Wenn Ihr Projekt Namen, E-Mail-Adressen, Rechnungen, Ausweisdokumente, Login-Zugänge oder Zahlungsdaten umfasst, verarbeiten Sie bereits personenbezogene Daten. Das bedeutet: Sie brauchen einen klaren Prozess, nicht bloß ein Bauchgefühl. Die gute Nachricht ist, dass dieser Prozess auch für kleine Teams einfach sein kann — selbst dann, wenn Sie nur eine Designerin, einen Entwickler oder einen Übersetzer für einen zweiwöchigen Auftrag engagieren.

Dieser Leitfaden erklärt, wie man einen Freelancer DSGVO-konform beauftragt, und geht die Punkte durch, die in echten Projekten zählen, nicht in der Theorie. Ein sauberer Onboarding-Schritt heute kann später viel aufwendige Nacharbeit ersparen — besonders dann, wenn Kunde, Freelancer und Subunternehmer alle denselben Ordner berühren. Wer einen freelancer dsgvo beauftragen möchte, sollte deshalb die Grundlagen früh klären.

1. Verstehen, wann die DSGVO bei der Beauftragung von Freelancern greift

Die DSGVO gilt, wenn personenbezogene Daten im EU-Kontext erhoben, gespeichert, weitergegeben oder verarbeitet werden. Ein Freelancer-Projekt löst das schnell aus. Schon eine einfache Angebots-E-Mail enthält Namen und Kontaktdaten. Ein unterschriebener Vertrag bringt weitere Daten ins Spiel. Eine Banküberweisung ergänzt Zahlungsinformationen. Drei Dokumente, ein rechtliches Thema.

Wenn der Freelancer mit Kundendaten, Kundenlisten oder internen Dateien arbeitet, steigt das Risiko. Selbst eine kleine Marketingaufgabe kann Kundennamen und Kampagnenaufzeichnungen umfassen. Ein Ein-Personen-Unternehmen ist trotzdem ein Unternehmen, und das Gesetz wartet nicht auf mehr Personal.

Stellen Sie vor der Beauftragung eine direkte Frage: Wird der Freelancer personenbezogene Daten sehen, speichern oder verschieben? Wenn die Antwort ja lautet, behandeln Sie die Zusammenarbeit als DSGVO-relevant. Genau an diesem Punkt reicht eine lockere E-Mail-Kette nicht mehr aus.

Manche Teams übersehen das, weil die Aufgabe harmlos klingt. Ein Logo-Briefing wirkt harmlos. Ein bezahlter Testauftrag auch. Dann braucht der Freelancer Zugriff auf eine Kontaktliste mit 120 Personen — und die Regeln ändern sich schnell.

2. Die personenbezogenen Daten identifizieren, die Sie verarbeiten werden

Listen Sie alle Datenarten auf, die im Projekt auftauchen können. Beginnen Sie mit Kontaktdaten: Name, geschäftliche E-Mail, Telefonnummer, Berufsbezeichnung. Gehen Sie dann weiter zu Verträgen, Rechnungen, Steuerdaten, Zahlungsreferenzen, Ausweisdokumenten und Zugangsdaten. Jeder Datensatz hat einen Zweck. Und jedes Element birgt auch ein Risiko.

Rechnungen sind üblich. Verträge ebenfalls. Ausweisdokumente sind heikler. Wenn Sie einen Passscan verlangen, nur weil „die Finanzabteilung das gerne so hätte“, halten Sie kurz inne. Prüfen Sie, ob dieses Dokument für den Auftrag, die Zahlungsmethode oder eine rechtliche Prüfung wirklich nötig ist. Oft ist es das nicht.

Zu Freelancer-Daten können auch Arbeitsproben, Profil-Links, IP-Adressen aus Projekttools und Nachrichten in Chat-Apps gehören. Ein Projektmanager denkt vielleicht nur an den Vertrag, aber die tatsächliche Datenspur ist breiter. Ein einziger Slack-Thread kann fünf personenbezogene Details enthalten, ohne dass es jemand merkt. Ein sauberer freelancer datenschutz vertrag hilft dabei, solche Datenflüsse klar zu beschreiben.

Für einen praktischen Blick auf Datensätze auf Plattform-Seite sehen Sie sich alle Tags auf dem Freelance-Marktplatz an. Das kann helfen, in Kategorien zu denken statt in vagen „Projektdaten“.

Schreiben Sie die Datenarten in einer kurzen Liste auf. Für viele Aufträge genügen fünf Zeilen. Wenn Sie die Daten nicht benennen können, können Sie sie auch nicht schützen.

3. Die richtige DSGVO-Rolle für Ihre Zusammenarbeit bestimmen

Die erste Rolle, die Sie prüfen sollten, ist die des Verantwortlichen. Wenn Ihr Unternehmen entscheidet, warum und wie die personenbezogenen Daten des Freelancers verwendet werden, sind Sie wahrscheinlich der Verantwortliche. Das ist häufig der Fall, wenn Sie einen Freelancer über Ihre eigene Beschaffung oder HR-Prozesse beauftragen.

Eine Auftragsverarbeiter-Rolle liegt vor, wenn der Freelancer personenbezogene Daten auf Ihre Anweisung hin verarbeitet. Ein Website-Administrator, der Kundendaten für Ihr Unternehmen bearbeitet, kann in dieses Muster fallen. In diesem Fall braucht der Vertrag besondere Sorgfalt, denn der Freelancer ist nicht nur ein Dienstleister; er verarbeitet Daten für Ihre Zwecke. Genau hier ist dsGVO freelancer auftragsverarbeitung als Thema entscheidend.

Gemeinsame Verantwortlichkeit entsteht, wenn beide Seiten Zweck und Mittel gemeinsam festlegen. Das ist seltener, kann aber bei Co-Branding-Kampagnen, gemeinsamer Forschung oder Partnerprojekten mit geteilten Datenbanken vorkommen. Zwei Parteien, ein Entscheidungsrahmen, mehr Papierarbeit.

Raten Sie nicht. Zeichnen Sie den Entscheidungsprozess nach. Wer wählt die Tools aus? Wer legt die Aufbewahrung fest? Wer sagt dem Freelancer, auf wessen Daten zugegriffen werden darf? Die Antworten weisen auf die Rolle hin. Sind die Antworten geteilt, kann auch die Rolle geteilt sein.

Ein einfacher Test hilft: Wenn der Freelancer die Aufgabe wählen kann, aber nicht den Zweck, hat Ihr Unternehmen normalerweise das Sagen. Entscheiden beide Seiten über den Zweck, sollte der Vertrag das klar benennen. Unklarheit führt später zu Verwirrung — und Verwirrung führt zu Verzögerungen.

Wenn Sie eine breitere Checkliste für die Beauftragung möchten, ist wie man einen Freelancer sicher beauftragt eine nützliche Ergänzung. Die DSGVO ist nur ein Teil der Sicherheit, aber der Teil, der teuer wird, wenn man ihn ignoriert.

4. Die richtigen vertraglichen Regelungen festlegen

Ein Freelancer-Vertrag sollte mehr regeln als Preis und Frist. Er sollte auch die Pflichten im Umgang mit Daten festhalten. Ergänzen Sie Vertraulichkeitsklauseln, Sicherheitsanforderungen, Grenzen der Datennutzung sowie Rückgabe- und Löschpflichten. Wenn die Arbeit personenbezogene Daten umfasst, muss der Vertrag festlegen, was mit diesen Daten vom Anfang bis zum Ende passiert.

Vertraulichkeit ist nicht dasselbe wie Datenschutz, aber beides ist wichtig. Ein Freelancer, der verspricht, Kundendaten nicht mit Freunden zu teilen, braucht trotzdem Anweisungen zu Speicherung, Zugriff und Löschung. Das eine ist eine soziale Zusage. Das andere ist operativ.

Fügen Sie eine Klausel ein, die festhält, dass der Freelancer personenbezogene Daten nur für das Projekt verwenden darf. Ergänzen Sie eine Klausel zur Meldung von Vorfällen. Wenn ein Laptop verloren geht oder ein Konto kompromittiert wird, sollte der Freelancer Sie schnell informieren.

Rückgabe und Löschung von Daten sollten konkret beschrieben sein. Sagen Sie, was zurückgegeben werden muss, in welchem Format und bis wann. Sagen Sie dann, was gelöscht werden muss. Eine vage Zusage wie „wir löschen alles“ klingt gut, scheitert aber in der Praxis.

Für Seiten mit öffentlichen Regeln und Onboarding-Erwartungen ist die Seite Regeln der Website 24freelance.pro. Freelance eine gute Erinnerung daran, dass schriftliche Bedingungen zählen. Dasselbe gilt für Ihre eigenen Verträge, besonders wenn Sie einen freelancer datenschutz vertrag sauber aufsetzen.

Bewahren Sie Unterschriften, Versionen und Daten auf. Ein Vertrag ohne Versionsnummer kann nach einer Überarbeitung schnell zum Ratespiel werden. Das klingt nach einem kleinen Verwaltungsdetail, hat aber große Folgen.

5. Nur die wirklich notwendigen Daten erheben und weitergeben

Datenminimierung ist leicht gesagt und leicht übersehen. Geben Sie nur die Daten weiter, die der Freelancer für den Auftrag braucht. Wenn eine Designerin ein Logo-Briefing benötigt, braucht sie keine Gehaltsunterlagen. Wenn ein Übersetzer den Ausgangstext benötigt, braucht er keinen vollständigen CRM-Export. Eine Aufgabe, ein Datensatz.

Fragen Sie sich vor dem Versand, ob jedes Element wirklich nötig ist. Erheben Sie kein Ausweisdokument, wenn eine Handelsregisternummer ausreicht. Teilen Sie keine vollständige Kundendatenbank, wenn 20 Datensätze als Testprobe genügen. Schon kleine Reduzierungen machen einen Unterschied.

Auch die Zugriffsbeschränkung gehört dazu. Geben Sie dem Freelancer nur Zugriff auf die Ordner, Tickets oder Systeme, die er braucht. Entfernen Sie den Zugriff am Ende des Auftrags. Das klingt banal, weil es banal ist.

Teilen Sie die kleinstmögliche Menge sensibler Informationen. Wenn der Freelancer nur Nachnamen braucht, senden Sie keine Vornamen mit. Wenn er nur maskierte Kartenreferenzen braucht, schicken Sie nicht den vollständigen Zahlungsverlauf. Details verbreiten sich schnell, sobald sie Ihren Posteingang verlassen.

Manche Teams erheben zu viele Daten, weil sie fürchten, später etwas zu vermissen. Genau das verursacht dann meist das spätere Problem. Ein schlanker Dateisatz ist leichter zu erklären, leichter zu schützen und leichter zu löschen.

6. Sichere Arbeits- und Kommunikationspraktiken festlegen

Sichere Kommunikation braucht keine zehn Tools. Sie braucht klare Gewohnheiten. Nutzen Sie nach Möglichkeit die Firmen-E-Mail für Projektnachrichten. Vermeiden Sie sensible Anhänge über beliebige private Konten. Wenn die Datei wichtig ist, ist der Übertragungskanal es auch.

Für Dateifreigaben sollten Sie kontrollierte Links mit Ablaufdatum verwenden, wenn Ihr System das unterstützt. Schützen Sie sensible Archive bei Bedarf mit einem Passwort und senden Sie das Passwort über einen separaten Kanal. Diese kleine Trennung senkt das Risiko. Außerdem verhindert sie, dass eine weitergeleitete E-Mail gleich die komplette Datenübergabe wird.

Geräteschutz ist wichtig, wenn der Freelancer mit Kundendaten oder internen Dateien arbeitet. Verlangen Sie Bildschirmsperren, aktuelle Software und einen grundlegenden Malware-Schutz. Wenn das Projekt risikoreich ist, sollten Sie ausschließlich Arbeit von einem gesicherten Gerät erlauben. Ein verlorener Laptop kann viele Menschen betreffen.

Seien Sie vorsichtig mit öffentlichem WLAN, gemeinsam genutzten Computern und offenen Co-Working-Spaces. Ein Freelancer im Café kann trotzdem hervorragende Arbeit leisten. Eine auf einem geteilten Gerät offen gelassene Login-Sitzung kann ein Projekt jedoch in Minuten offenlegen. Das ist nicht dramatisch. Es ist alltäglich.

Wenn das Projekt Cloud-Systeme nutzt, vergleichen Sie Ihre Zugriffskonfiguration mit den Grundlagen aus Cloud-Computing-Technologie. Zugriffsrechte, Kontoinhaberschaft und Speicherort wirken sich alle auf die DSGVO-Behandlung aus.

Senden Sie sensible Daten nicht in langen Chatverläufen, wenn ein sicheres Portal verfügbar ist. Chat ist gut für Erinnerungen. Chat ist schwach für Nachweise. Bewahren Sie die Unterlagen dort auf, wo Sie sie später wiederfinden, und halten Sie das Risiko dort, wo Sie es kontrollieren können.

7. Speicherung, Aufbewahrung und Löschung richtig handhaben

Bei der Aufbewahrung geraten viele Freelancer-Projekte ins Schleudern. Jemand behält den Vertrag „für den Fall der Fälle“. Jemand anderes speichert die Rechnung für immer. Jemand kopiert Dateien in drei Ordner und vergisst den ältesten. Das ist keine Strategie.

Definieren Sie für jede Dokumentenart konkrete Aufbewahrungsfristen. Verträge müssen möglicherweise länger gespeichert werden als Arbeitsdateien. Rechnungen müssen aus Steuer- oder Buchhaltungsgründen aufbewahrt werden. Entwürfe, temporäre Exporte und Testdateien haben nach Projektende meist keinen Grund mehr zu bleiben.

Archivieren Sie, was Sie brauchen, und löschen Sie, was Sie nicht brauchen. Durch Archivierung bleiben rechtliche und buchhalterische Unterlagen verfügbar, ohne dass aktive Projektdaten im Umlauf bleiben. Löschen sollte echtes Löschen sein, nicht „ich glaube, ich habe es vom Desktop entfernt“. Prüfen Sie nach Möglichkeit Cloud-Ordner, synchronisierte Geräte, Backups und lokale Kopien.

Bitten Sie den Freelancer am Ende des Auftrags um eine Löschbestätigung. Halten Sie diese Bestätigung schriftlich fest. Wenn Subunternehmer oder geteilte Tools beteiligt waren, sollte der Löschschritt auch diese Wege abdecken. Eine vergessene Kopie kann die gesamte Bereinigung zunichtemachen.

Wenn Sie intern Freelancer-Feedback dokumentieren, gilt dieselbe Disziplin auch für Ihre Ablage. Mehr dazu finden Sie unter Bewertungen von Freelancern als Teil eines größeren Dokumentationssystems. Notizen sollten nützlich, kurz und nur so lange aufbewahrt werden, wie sie einem klaren Zweck dienen.

Bewahren Sie Projektdaten niemals versehentlich auf. Ein Versehen ist kein rechtlicher Grund. Es ist nur ein Aufräumproblem mit Ablaufdatum.

8. Eine einfache DSGVO-Checkliste für künftige Freelancer-Beauftragungen erstellen

Eine Checkliste verwandelt einen guten Prozess in zehn wiederholbare. Beginnen Sie beim Onboarding: Braucht dieser Freelancer personenbezogene Daten, ja oder nein? Prüfen Sie dann die Rolle, den Vertrag, den minimalen Datensatz, die Zugriffsmethode und den Löschplan. Sechs Schritte decken die meisten kleinen Projekte ab.

Halten Sie die Checkliste so kurz, dass sie tatsächlich benutzt wird. Ein zweiseitiges Formular kann funktionieren. Eine 20-seitige Richtlinie meist nicht. Das Ziel sind nicht Formulare um der Formulare willen. Das Ziel sind weniger Fehler.

Nutzen Sie dieselbe Checkliste für Designer, Entwickler, Texter und Assistenzen und ergänzen Sie dann ein oder zwei rollenspezifische Punkte. Ein Entwickler braucht möglicherweise Zugriff auf ein Repository. Eine Texterin braucht vielleicht Interviews als Quelle. Eine Buchhalterin benötigt Rechnungen und Zahlungshistorien. Unterschiedliche Jobs, gleiche Kernfragen.

Speichern Sie die Checkliste zusammen mit dem Vertrag und dem Projektbriefing. So kann die nächste verantwortliche Person sehen, was freigegeben, was weitergegeben und was gelöscht wurde. Fehlende Dokumentation führt später zu zusätzlicher Arbeit — besonders dann, wenn ein Kunde fragt, warum ein bestimmtes Dokument überhaupt erhoben wurde.

Wenn Sie einen wiederholbaren Prozess für verschiedene Freelancer-Typen aufbauen möchten, ist Freelance für Designer ein gutes Beispiel dafür, wie sich das Projekt-Setup je nach Rolle ändert, während die DSGVO-Grundlagen gleich bleiben.

Eine letzte praktische Gewohnheit: Prüfen Sie die Checkliste nach jedem Projekt mit einer Frage: „Was haben wir erhoben, das wir nicht gebraucht hätten?“ Dieser eine Satz entdeckt mehr Probleme als ein ganzer Ordner mit Richtlinienentwürfen.