muss ich als Freiberufler auch ein Verarbeitungsverzeichnis führen

Normalerweise ja, auch ohne Personal

Ein Einzelunternehmen oder Freiberufler fällt unter die DSGVO, sobald Personendaten verarbeitet werden, und das ist bei nahezu jedem Unternehmen der Fall — ein Kundenstamm, eine Mailingliste, Rechnungen mit Namen und Adressen, das zählt bereits dazu. Die DSGVO macht keine Ausnahme für kleine Unternehmen oder Einzelunternehmen als solche; die Verpflichtung zur Führung eines Verarbeitungsverzeichnisses hängt nicht von der Rechtsform ab, sondern davon, was verarbeitet wird und wie oft.

In der Praxis gilt die Ausnahme vom Verarbeitungsverzeichnis nur für Organisationen mit weniger als 250 Mitarbeitern, und auch dann nur, wenn die Verarbeitung gelegentlich erfolgt, kein Risiko für die betroffenen Personen birgt und keine besonderen Daten wie Gesundheit oder strafrechtliche Informationen betrifft. Ein Freiberufler, der Kundendaten regelmäßig erfasst, einen Newsletter versendet oder mit einem Buchhaltungspaket arbeitet, führt in der Regel keine gelegentliche Verarbeitung durch — damit entfällt die Ausnahme und es gilt die Hauptregel: ein Verarbeitungsverzeichnis führen. Was genau darin stehen muss, ist beschrieben auf der Seite über was in ein Verarbeitungsverzeichnis gehört.

Worauf sich das stützt: Artikel 2 und Artikel 30 der DSGVO

Artikel 2 der DSGVO bestimmt den sachlichen Anwendungsbereich: die Verordnung gilt für die Verarbeitung von Personendaten, unabhängig von Größe oder Form der Organis, die verarbeitet. Artikel 30 der DSGVO regelt die Verpflichtung zur Führung eines Verarbeitungsverzeichnisses sowohl für den Verantwortlichen als auch für den Auftragsverarbeiter und enthält im selben Artikel die Ausnahme für kleine Organisationen mit gelegentlicher Verarbeitung mit niedrigem Risiko. Diese beiden Artikel arbeiten zusammen: das eine bestimmt, ob die DSGVO anwendbar ist, das andere, ob die Verarbeitungsverzeichnispflicht darin tatsächlich gilt. Für diejenigen, die unsicher sind, ob ihre Rolle die eines Auftragsverarbeiters oder eines Verantwortlichen ist — relevant, weil dies auch bestimmt, was registriert werden muss — bietet die Seite über Auftragsverarbeiter oder Verantwortlicher mehr Anhaltspunkte. Die Überwachung der Einhaltung von Artikel 30 liegt bei der Aufsichtsbehörde des Mitgliedstaates, in dem das Unternehmen ansässig ist — in den Niederlanden ist das die Autoriteit Persoonsgegevens; in anderen EU-Ländern ist das die Aufsichtsbehörde des betreffenden Landes. Die Verpflichtung selbst und die Ausnahme davon stehen in der Verordnung und gelten daher in der gesamten EU auf die gleiche Weise.