DSGVO-konforme Softwareentwicklung mit Privacy-by-Design und Nachweisen

• Rechtmäßigkeit: Jede Verarbeitung braucht eine Rechtsgrundlage – Einwilligung, Vertrag oder berechtigtes Interesse. In der Software bedeutet das klares Consent-Management mit Widerrufsmöglichkeit und Protokollierung sowie dokumentierte Verarbeitungszwecke.
• Zweckbindung: Daten dürfen nur für den definierten Zweck genutzt werden. Die Architektur trennt Berechtigungen so, dass Daten nicht für andere Zwecke – etwa Marketing – zweckentfremdet werden.
• Datenminimierung: Nur nötige Daten werden erhoben und gespeichert. Überflüssige Felder und optionale Abfragen vermeiden wir; Speicherdauer wird von Anfang an begrenzt.
• Richtigkeit: Betroffene müssen Daten korrigieren können (Art. 16 DSGVO). Die Software braucht Berichtigungsfunktionen, Meldekanäle und dokumentierte Prozesse mit klaren Bearbeitungsfristen.
• Speicherbegrenzung: Automatische Löschfristen oder Anonymisierung nach Ablauf der Aufbewahrungsfrist. Wir implementieren Löschroutinen und dokumentieren Fristen pro Datenkategorie.
• Integrität und Vertraulichkeit: Verschlüsselung (TLS im Transport, bei sensiblen Daten auch at rest), Zugriffskontrolle nach Need-to-know und Protokollierung aller Änderungen.
• Rechenschaftspflicht: Der Verantwortliche muss Einhaltung nachweisen können. Dazu gehören Audit-Logs, TOM-Dokumentation, Verzeichnis der Verarbeitungstätigkeiten und bei Bedarf eine DSFA – technisch in der Software verankert.

Prüfen Sie mit diesen 10 Punkten, ob Ihre Software den Anforderungen der DSGVO gerecht wird:

• Verarbeitungsverzeichnis: Sind alle Verarbeitungstätigkeiten mit Zweck, Rechtsgrundlage, Empfängern und Speicherfristen dokumentiert?
• Verschlüsselung: Werden personenbezogene Daten mindestens bei Übertragung (TLS) und bei sensiblen Daten auch bei Speicherung verschlüsselt?
• Betroffenenrechte: Gibt es eine Löschfunktion, Auskunft und Datenübertragbarkeit (Export)? Werden Anfragen innerhalb von einem Monat bearbeitet?
• Auftragsverarbeitung: Sind mit allen Dienstleistern, die personenbezogene Daten verarbeiten, AV-Verträge geschlossen?
• Berechtigungskonzept: Können nur berechtigte Nutzer auf die Daten zugreifen, die sie für ihre Rolle brauchen?
• Audit-Log: Werden Zugriffe und kritische Änderungen protokolliert und sind die Logs gegen Manipulation geschützt?
• Datenschutzerklärung: Ist sie aktuell, vollständig und für Nutzer auffindbar (z. B. im Footer)?
• Cookies und Tracking: Werden Cookies und Tracking nur mit wirksamem Consent eingesetzt (Opt-in)?
• Datenschutzbeauftragter: Ist einer benannt, wo gesetzlich erforderlich (z. B. bei umfangreicher Verarbeitung sensibler Daten)?
• Regelmäßige Audits: Werden Verarbeitungen und technische Maßnahmen periodisch überprüft und angepasst?

Für viele Teams reicht eine reine Ja/Nein-Prüfung nicht aus. Entscheidend ist, ob die Punkte im Alltag auch belastbar funktionieren. Deshalb empfehlen wir, die Checkliste mit konkreten Testfällen zu hinterlegen: Wer löst den Test aus, wie wird dokumentiert, welche Frist gilt, und wie wird das Ergebnis freigegeben? Erst dadurch wird aus einer formalen Liste ein wirksames Compliance-Instrument.

Konkrete Prüfpunkte mit Beispielen aus Projekten

• Rechtsgrundlage pro Datenfeld nachweisbar: Für jedes personenbezogene Feld muss klar sein, auf welcher Rechtsgrundlage es verarbeitet wird. Beispiel: Wenn in einem Kundenportal die Telefonnummer nur für Rückfragen benötigt wird, darf sie nicht automatisch für Newsletterzwecke genutzt werden.
• Auskunftsersuchen in Echtzeit testbar: Prüfen Sie regelmäßig, ob ein vollständiger Export aller personenbezogenen Daten innerhalb der Frist erzeugt werden kann. Beispiel: Testnutzer anlegen, Auskunft anfordern, Exportdatei auf Vollständigkeit und Lesbarkeit prüfen.
• Löschkonzept inklusive Backups: Datenlöschung muss nicht nur in der App, sondern auch in angebundenen Systemen und Backups geregelt sein. Beispiel: Gelöschte Kundendaten dürfen nach einem Restore nicht ungeprüft wieder aktiv im Produktivsystem erscheinen.
• Rollenmodell gegen Rechte-Drift absichern: Rollenrechte ändern sich über die Zeit oft unbemerkt. Beispiel: Quartalsweise Rechte-Review mit Fachbereich und IT-Sicherheit; alte Projektrollen werden automatisch entzogen, wenn Mitarbeitende den Bereich wechseln.
• Audit-Logs revisionssicher speichern: Logs müssen vollständig, manipulationsgeschützt und auswertbar sein. Beispiel: Bei Änderungen an Bankdaten wird protokolliert, wer wann welchen Wert geändert hat und über welchen Prozess die Freigabe lief.
• Drittlandtransfer technisch erzwingen: Prüfen Sie nicht nur Verträge, sondern auch die reale Datenroute. Beispiel: Ein SaaS-Tool mit EU-Hosting kann trotzdem Telemetrie in Drittländer senden, wenn Tracking-Module ungeprüft aktiviert sind.
• Consent-Lifecycle vollständig abbilden: Einwilligung, Widerruf und Historie müssen konsistent sein. Beispiel: Nach Widerruf darf kein Folgeversand mehr ausgelöst werden, auch nicht über zeitversetzte Kampagnenjobs.
• Datenschutzfolgeabschätzung (DSFA) operationalisieren: Besonders bei Profiling, Scoring oder sensiblen Daten sollte die DSFA nicht als PDF enden. Beispiel: Risiken aus der DSFA werden als konkrete Security- und Produkt-Tasks in den Sprint-Backlog übernommen.

In der Praxis hat sich ein halbjährlicher DSGVO-Readiness-Check bewährt: technische Stichproben, Prozessreview mit Fachbereich, Update der Dokumentation und ein Maßnahmenplan mit Verantwortlichen. So wird Compliance nicht nur „vor Audit“, sondern dauerhaft im Betrieb sichergestellt.

Wenn Sie unsicher sind, unterstützen wir Sie bei der Prüfung und Nachrüstung – siehe IT-Sicherheit, Softwareentwicklung, Öffentlicher Sektor.