Datenschutz und Sicherheit für Selbstständige

Die Beiträge in diesem Bereich

Wonach suchst du?

Vier häufige Fragen und die Seite, auf der die Antwort tatsächlich steht – statt einer eigenen Unterseite pro Stichwort, die dasselbe noch einmal erzählt.

Was die DSGVO verlangt – und was dir nur verkauft wird

Die Reihenfolge ist wichtiger als die Werkzeugauswahl. Drei Dinge verlangt die Verordnung ausdrücklich von dir, und keines davon kaufst du als Abo:

1. Eine Datenschutzerklärung auf deiner Website, erreichbar von jeder Seite – Art. 13 und 14 DSGVO.
2. Auftragsverarbeitungsverträge mit jedem Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet – Art. 28 DSGVO. Hoster, Buchhaltung, Cloud, Newsletter.
3. Ein Verzeichnis von Verarbeitungstätigkeiten. Dass es das erst ab 250 Mitarbeitern brauche, stimmt für dich fast sicher nicht – warum, steht in unserem Beitrag zur DSGVO für Selbstständige.

Erst danach kommen die Werkzeuge. Ein VPN und ein Passwortmanager sind technische Maßnahmen im Sinne von Art. 32 DSGVO – sinnvoll, dokumentierbar, aber sie ersetzen keinen einzigen der drei Punkte oben. Wer mit einem VPN-Abo anfängt und ohne AV-Verträge bleibt, hat Geld ausgegeben und nichts erfüllt.

Überblick: die Werkzeuge im Vergleich

VPN: wann es sich lohnt – und wann nicht

Ein VPN ist kein Allheilmittel, und die ehrliche Frage steht vor dem Abo: Brauchst du es überhaupt?

Sinnvoll ist es, wenn du regelmäßig aus Netzwerken arbeitest, die dir nicht gehören – Café, Coworking, Hotel, Konferenz. In offenen WLANs ist eine verschlüsselte Verbindung keine Paranoia, sondern Grundhygiene, und wenn du dabei auf Kundendaten zugreifst, ist sie eine technische Maßnahme im Sinne von Art. 32 DSGVO. Dasselbe gilt, wenn du vertraglich zu erhöhter Sorgfalt verpflichtet bist, etwa bei Gesundheits-, Rechts- oder Finanzdaten.

Überflüssig ist es, wenn du ausschließlich zu Hause über deinen eigenen Anschluss arbeitest. HTTPS verschlüsselt den Großteil des Webverkehrs ohnehin; ein VPN erhöht dann vor allem die Latenz und die Kosten. In diesem Szenario löst das Abo ein Problem, das du nicht hast.

Die Frage mit rechtlicher Folge ist die nach der Gerichtsbarkeit. Proton sitzt in der Schweiz, für die seit dem 26. Juli 2000 ein EU-Angemessenheitsbeschluss gilt – die EU-Kommission hat ihn am 15. Januar 2024 bestätigt. Mullvad sitzt in Schweden, also in der EU. NordVPN wird nach eigener Angabe von Panama aus betrieben; Vertragspartner ist die nordvpn S.A. in Panama-Stadt, und für Panama gibt es keinen Angemessenheitsbeschluss. Für den Normalfall – du sicherst deine eigene Verbindung – ist das folgenlos, weil du dem Anbieter gar keine Kundendaten übermittelst. Relevant wird es erst, wenn ein VPN fester Bestandteil deiner Arbeitsumgebung wird.

Den vollständigen Vergleich der beiden meistgesuchten Anbieter, mit den Verlängerungspreisen im Kleingedruckten, findest du unter NordVPN vs Proton VPN. Den Außenseiter mit dem einen Preis haben wir uns in der Mullvad-Analyse eigens vorgenommen.

Proton VPN und Mullvad im direkten Vergleich

Zwei Punkte daraus gehören in jede Entscheidung und stehen in kaum einem Vergleich: Mullvad schützt nur fünf Geräte statt zehn und gibt dir 14 statt 30 Tage Rückgaberecht. Dafür ist es der einzige der drei, der seinen Preis mit „inklusive MwSt.“ ausweist, und der einzige, bei dem du keine E-Mail-Adresse hinterlassen musst.

Eine Korrektur in eigener Sache: Wir hatten Mullvad hier als „No-Log-Audit 2023″ geführt. Mullvad veröffentlicht externe Prüfberichte bis Juni 2026 – zuletzt zur Android-App durch Leviathan Security Group, davor zu Konto- und Zahlungsdiensten durch X41 D-Sec und zur Infrastruktur durch Cure53. Das sind Sicherheitsaudits, keine Prüfungen der No-Logs-Zusage; die belegt Mullvad nur mit der eigenen Aussage. Diesen Unterschied hatten wir eingeebnet.

Passwortmanager: Pflicht nach Art. 32 – aber lies, in welcher Währung

„Pflicht“ ist hier keine Übertreibung. Nach Art. 32 DSGVO musst du geeignete technische Maßnahmen ergreifen, um die von dir verarbeiteten Daten zu schützen. Ein wiederverwendetes Passwort, das in einem fremden Datenleck auftaucht, kann eine meldepflichtige Datenpanne auslösen – mit 72 Stunden Frist nach Art. 33 DSGVO. Ein Passwortmanager ist die billigste Maßnahme, mit der du diese Sorgfaltspflicht dokumentierbar erfüllst.

Bitwarden ist quelloffen, extern geprüft – zuletzt 2025 durch die Applied Cryptography Group der ETH Zürich, durch Unit 42 von Palo Alto Networks und durch Fracture Labs – und hat einen dauerhaft kostenlosen Tarif für Einzelpersonen. Zwei Dinge, die hier bislang falsch standen: Bitwarden rechnet in US-Dollar ab und schreibt ausdrücklich „Steuern nicht inbegriffen“; und es gibt sehr wohl eine EU-Datenregion. Du wählst beim Anlegen des Kontos zwischen EU und USA, beide laufen auf Microsoft Azure, und die Regionen sind getrennt: Bitwarden kann ein Konto später nicht umziehen. Wer die EU will, muss sie beim ersten Klick wählen. Self-Hosting gibt es bei Premium, Familien und Enterprise – nicht bei Teams.

1Password hat keinen kostenlosen Tarif, nur 14 Tage Test. Dafür stimmt hier das Gegenteil dessen, was wir vorher geschrieben hatten: 1Password weist seine Preise für den deutschen Markt in Euro aus – Business 7,99 € je Nutzer und Monat bei jährlicher Zahlung, Individual 3,65 € als Listenpreis. Und es gibt drei Datenregionen, zwischen denen du dich bei der Anmeldung entscheidest: EU, USA oder Kanada. Die Währung hängt an der Region. Einen Auftragsverarbeitungsvertrag stellt 1Password als frei herunterladbares PDF bereit – bei Bitwarden haben wir keinen Selbstbedienungs-AVV gefunden, dort gibt es Standardvertragsklauseln und eine Subunternehmerliste.

Unsere Empfehlung für Einzelkämpfer bleibt Bitwarden – kostenlos, auditiert, EU-Region wählbar. Sobald du mit anderen zusammenarbeitest und geteilte Zugänge brauchst, ist 1Password die rundere Lösung, und der öffentlich verfügbare AVV spart dir eine E-Mail an den Vertrieb. Die vollständige Gegenüberstellung steht in Bitwarden vs 1Password. Wenn du Dashlane im Blick hast: Der Anbieter nennt als Standardort nur eine „EU-West-AWS-Region“ und kein Land. Dass die Server in Frankreich stünden, haben wir hier behauptet und können es nicht belegen.

Verschlüsselte E-Mail: zwei Länder, zwei Rechtslagen

Im deutschsprachigen Markt dominieren zwei Anbieter, und sie werden ständig in einen Topf geworfen. Das ist falsch: Proton Mail betreibt eigene Hardware in der Schweiz – einem Drittland, für das ein Angemessenheitsbeschluss gilt, also kein EU-Territorium. Tuta betreibt eigene Server in ISO-27001-zertifizierten Rechenzentren in Deutschland, also innerhalb der EU. Beide sind rechtlich gangbar, aber es sind zwei verschiedene Konstellationen, und wer einen Datenschutz-Fragebogen eines Kunden ausfüllt, trägt in die Zeile „Drittlandübermittlung“ bei Proton etwas ein und bei Tuta nichts. Wie sich Proton gegen den Marktführer schlägt, steht in Proton Mail vs Gmail.

Beide haben einen kostenlosen Tarif. Proton Free gibt dir 1 GB und 150 Nachrichten am Tag, Tuta Free 1 GB und einen Kalender. Bezahlt kostet Proton Mail Plus 4,99 € im Monat als Listenpreis, Tuta Revolutionary 3 € – und Tuta ist der einzige Anbieter auf dieser Seite, der „inklusive MwSt.“ dazuschreibt.

AV-Verträge: der Punkt, der still liegen bleibt

Nach Art. 28 DSGVO brauchst du mit jedem Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet, einen Vertrag. Das betrifft mehr Werkzeuge als die meisten annehmen: Hoster, E-Mail-Anbieter, Buchhaltungssoftware, Projekttool, Cloud-Speicher, Newsletter-Dienst.

Welcher Anbieter den Vertrag automatisch mitliefert, wer eine Unterschrift verlangt und bei wem es ihn trotz bezahltem Tarif gar nicht gibt, haben wir für zehn verbreitete Werkzeuge einzeln nachgesehen: AVV abschließen. Der häufigste Fehler ist die Annahme, der Vertrag bestehe automatisch, weil der Anbieter irgendwo „DSGVO-konform“ schreibt. Bei den meisten Diensten musst du ihn im Konto aktiv abschließen oder herunterladen und gegenzeichnen. Wer das nie getan hat, hat ihn nicht – und das ist der Punkt, den eine Aufsichtsbehörde mit einem Blick ins Konto feststellt. Ein praktisches Beispiel dafür, wie unterschiedlich gut Anbieter das machen, steht in unserer Analyse von sevdesk: öffentlich einsehbarer AVV, aber eine Subunternehmerliste, die älter ist als der Eigentümerwechsel.

Die Reihenfolge, in der wir das angehen würden, und was in ein Verarbeitungsverzeichnis gehört, steht ausführlich in DSGVO für Selbstständige.

Häufige Fragen

Brauche ich als Freiberufler eine Datenschutzerklärung auf meiner Website?

Ja, ohne Ausnahme. Rechtsgrundlage sind Art. 13 und 14 DSGVO. Oft liest man dazu noch „§ 13 TMG“ – diese Vorschrift wurde Ende 2021 aufgehoben, und das Telemediengesetz selbst ist inzwischen abgelöst. Wer dir heute § 13 TMG als Begründung nennt, arbeitet mit einer veralteten Vorlage. Für Cookies und ähnliche Techniken gilt § 25 TDDDG.

Ist NordVPN DSGVO-konform?

Die Frage ist falsch gestellt. Kein VPN macht dich DSGVO-konform; es ist eine technische Maßnahme unter mehreren. Was stimmt: NordVPN wird nach eigener Angabe von Panama aus betrieben, und für Panama gibt es keinen Angemessenheitsbeschluss. Für die eigene Verbindung ist das folgenlos, weil du dem Anbieter keine Kundendaten übergibst. Wir hatten hier früher geschrieben, die Muttergesellschaft sitze in den Niederlanden – das lässt sich mit keiner Herstellerangabe belegen; die niederländische Gesellschaft wickelt ausschließlich PayPal-Zahlungen für EU-Kunden ab.

Welcher Passwortmanager speichert Daten in der EU?

Bitwarden und 1Password beide – aber nur, wenn du es beim Anlegen des Kontos auswählst. Bitwarden bietet eine EU- und eine US-Region, 1Password drei Regionen (EU, USA, Kanada). In beiden Fällen ist die Entscheidung endgültig: Ein späterer Umzug zwischen Regionen ist nicht vorgesehen. Dashlane nennt eine EU-West-AWS-Region ohne Land. Bitwarden lässt sich zusätzlich selbst hosten, bei Premium, Familien und Enterprise.

Muss ich einen Auftragsverarbeitungsvertrag abschließen?

Ja, immer dann, wenn ein Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet – Art. 28 DSGVO. Das betrifft praktisch jeden SaaS-Dienst in deiner Abo-Liste. Die meisten großen Anbieter haben ein Standardformular; abschließen musst du es selbst.

Was kostet ein DSGVO-Verstoß einen Kleinunternehmer?

Das sagen wir bewusst nicht. Eine frühere Fassung dieser Seite nannte eine Spanne von 1.000 bis 10.000 € und berief sich dabei auf den Bundesdatenschutzbeauftragten. Für Selbstständige sind aber die Landesdatenschutzbehörden zuständig, nicht der BfDI, und eine belastbare Quelle für diese Zahlen hatten wir nicht. Was sich belegen lässt: Der Bußgeldrahmen der DSGVO reicht bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, und die Behörden müssen verhältnismäßig entscheiden. Ein konkreter Erwartungswert für Einzelunternehmer lässt sich daraus nicht ableiten.

Reicht ein kostenloses VPN?

Für den gelegentlichen Fall – zwei Wochen Hotel-WLAN im Jahr – reicht Proton Free: ein Gerät, zehn zufällig zugewiesene Länder, kein Datenlimit, keine Kreditkarte. NordVPN hat gar keinen kostenlosen Tarif, nur eine 30-tägige Geld-zurück-Garantie, und Mullvad lehnt Gratis-Tarife ausdrücklich ab. Von kostenlosen VPNs anderer Anbieter raten wir ab: Wenn niemand für den Traffic bezahlt, bezahlt ihn jemand anderes mit deinen Daten.

Quellen, geprüft am 12. Oktober 2026 auf den deutschen Herstellerseiten: Preis- und Produktseiten von NordVPN, Proton VPN, Proton Mail, Proton Pass, Mullvad, Bitwarden, 1Password, Dashlane und Tuta; Bitwardens Dokumentation zu Serverregionen, Datenspeicherung und Audits; 1Passwords Dokumentation zu Regionen und sein öffentliches Data Processing Addendum; Mullvads Übersicht externer Audits; NordVPNs Angaben zu Gerichtsbarkeit und Nutzungsbedingungen. Rechtsgrundlagen: Art. 13, 14, 28, 32 und 33 DSGVO, § 25 TDDDG. Preise sind Listenpreise in der Währung des Herstellers, ohne Aktionsrabatte; Angaben ohne Gewähr, Preise ändern sich erfahrungsgemäß häufiger als die Funktionen. Dieser Beitrag ist keine Rechtsberatung. Wie wir arbeiten, steht in unserer Methodik.