Also die DSGVO greift dann ein, wenn du als natürliche Person pesonenbezogene Daten (Also biometrische Daten wie Bilder/Videos auf den Freunde zu erkennen sind,Dokumente mit Adressen,Namen,Telefonummern, etc) zu einer beruflichen oder wirtschaftlichen Tätigkeit verarbeitest. Ich würde in deinem Fall sagen so lange du kein Geld verlangst, deine Freunde dir schriftlich ein Haftungsauschluss unterschreiben, du dafür sorge trägst das die Daten sicher sind(Vpn,Backup, Diebstahlschutz), solltest du keine Bedenken haben das dich irgendwelche strafen treffen.
Ich bin jetzt kein Rechtsanwalt, aber das ist meine Deutung der aktuellen Gesetzes. Wie so oft muss es irgendeinen mal treffen, auf den das Gesetz angewand wird und man weiß, wie die Standards sind.