Softwareentwicklung DSGVO-konform: Datenschutz von Anfang an

(1) Rechtmäßigkeit: Die Verarbeitung muss eine Rechtsgrundlage haben (Einwilligung, Vertrag, rechtliche Verpflichtung, berechtigtes Interesse etc.). In der Software bedeutet das: ein klares Consent-Management, wo Einwilligungen erforderlich sind, inklusive Widerrufsmöglichkeit und Protokollierung, sowie eine klare Dokumentation der Verarbeitungszwecke im System und in der Datenschutzerklärung.

(2) Zweckbindung: Daten dürfen nur für den definierten Zweck genutzt werden. Die Architektur muss sicherstellen, dass Daten nicht für andere Zwecke abgefragt oder weitergegeben werden – z. B. durch getrennte Berechtigungen und keine Wiederverwendung von Daten für Marketing, wenn sie nur für die Vertragserfüllung erhoben wurden.

(3) Datenminimierung: Es werden nur die nötigsten Daten erhoben und gespeichert. Wir verzichten auf überflüssige Felder, vermeiden „Nice-to-have“-Abfragen und begrenzen die Speicherdauer von Anfang an. Beispiel: Für eine Bestellung reichen Adresse und Zahlungsdaten – nicht das Geburtsdatum, wenn es nicht rechtlich erforderlich ist.

(4) Richtigkeit: Betroffene müssen ihre Daten korrigieren können (Art. 16 DSGVO). Die Software braucht Funktionen zur Datenberichtigung und -ergänzung, klare Wege zur Meldung von Fehlern (z. B. Kontaktformular, Nutzerkonto) sowie dokumentierte Prozesse für die Bearbeitung von Anfragen innerhalb der Fristen.

(5) Speicherbegrenzung: Automatische Löschfristen oder Anonymisierung nach Ablauf der Aufbewahrungsfrist. Keine „ewige“ Speicherung personenbezogener Daten ohne Rechtsgrundlage. Wir implementieren technische Löschroutinen und dokumentieren Aufbewahrungsfristen pro Datenkategorie – so bleibt die Einhaltung nachvollziehbar.

(6) Integrität und Vertraulichkeit: Verschlüsselung (Transport z. B. TLS, Speicherung je nach Sensibilität), Zugriffskontrollen und Berechtigungskonzepte nach dem Need-to-know-Prinzip. Nur berechtigte Nutzer sehen die Daten, die sie für ihre Rolle brauchen; Änderungen werden protokolliert.

(7) Rechenschaftspflicht: Der Verantwortliche muss die Einhaltung nachweisen können. Dazu gehören Audit-Logs für Zugriffe und Änderungen, Verfahrensdokumentation (TOM), das Verzeichnis der Verarbeitungstätigkeiten und bei Bedarf eine Datenschutz-Folgenabschätzung. Wir bauen die technischen Grundlagen dafür in die Software ein.

Prüfen Sie mit diesen 10 Punkten, ob Ihre Software den Anforderungen der DSGVO gerecht wird:

• Verarbeitungsverzeichnis: Sind alle Verarbeitungstätigkeiten mit Zweck, Rechtsgrundlage, Empfängern und Speicherfristen dokumentiert?
• Verschlüsselung: Werden personenbezogene Daten mindestens bei Übertragung (TLS) und bei sensiblen Daten auch bei Speicherung verschlüsselt?
• Betroffenenrechte: Gibt es eine Löschfunktion, Auskunft und Datenübertragbarkeit (Export)? Werden Anfragen innerhalb von einem Monat bearbeitet?
• Auftragsverarbeitung: Sind mit allen Dienstleistern, die personenbezogene Daten verarbeiten, AV-Verträge geschlossen?
• Berechtigungskonzept: Können nur berechtigte Nutzer auf die Daten zugreifen, die sie für ihre Rolle brauchen?
• Audit-Log: Werden Zugriffe und kritische Änderungen protokolliert und sind die Logs gegen Manipulation geschützt?
• Datenschutzerklärung: Ist sie aktuell, vollständig und für Nutzer auffindbar (z. B. im Footer)?
• Cookies und Tracking: Werden Cookies und Tracking nur mit wirksamem Consent eingesetzt (Opt-in)?
• Datenschutzbeauftragter: Ist einer benannt, wo gesetzlich erforderlich (z. B. bei umfangreicher Verarbeitung sensibler Daten)?
• Regelmäßige Audits: Werden Verarbeitungen und technische Maßnahmen periodisch überprüft und angepasst?

Für viele Teams reicht eine reine Ja/Nein-Prüfung nicht aus. Entscheidend ist, ob die Punkte im Alltag auch belastbar funktionieren. Deshalb empfehlen wir, die Checkliste mit konkreten Testfällen zu hinterlegen: Wer löst den Test aus, wie wird dokumentiert, welche Frist gilt, und wie wird das Ergebnis freigegeben? Erst dadurch wird aus einer formalen Liste ein wirksames Compliance-Instrument.

Konkrete Prüfpunkte mit Beispielen aus Projekten

• Rechtsgrundlage pro Datenfeld nachweisbar: Für jedes personenbezogene Feld muss klar sein, auf welcher Rechtsgrundlage es verarbeitet wird. Beispiel: Wenn in einem Kundenportal die Telefonnummer nur für Rückfragen benötigt wird, darf sie nicht automatisch für Newsletterzwecke genutzt werden.
• Auskunftsersuchen in Echtzeit testbar: Prüfen Sie regelmäßig, ob ein vollständiger Export aller personenbezogenen Daten innerhalb der Frist erzeugt werden kann. Beispiel: Testnutzer anlegen, Auskunft anfordern, Exportdatei auf Vollständigkeit und Lesbarkeit prüfen.
• Löschkonzept inklusive Backups: Datenlöschung muss nicht nur in der App, sondern auch in angebundenen Systemen und Backups geregelt sein. Beispiel: Gelöschte Kundendaten dürfen nach einem Restore nicht ungeprüft wieder aktiv im Produktivsystem erscheinen.
• Rollenmodell gegen Rechte-Drift absichern: Rollenrechte ändern sich über die Zeit oft unbemerkt. Beispiel: Quartalsweise Rechte-Review mit Fachbereich und IT-Sicherheit; alte Projektrollen werden automatisch entzogen, wenn Mitarbeitende den Bereich wechseln.
• Audit-Logs revisionssicher speichern: Logs müssen vollständig, manipulationsgeschützt und auswertbar sein. Beispiel: Bei Änderungen an Bankdaten wird protokolliert, wer wann welchen Wert geändert hat und über welchen Prozess die Freigabe lief.
• Drittlandtransfer technisch erzwingen: Prüfen Sie nicht nur Verträge, sondern auch die reale Datenroute. Beispiel: Ein SaaS-Tool mit EU-Hosting kann trotzdem Telemetrie in Drittländer senden, wenn Tracking-Module ungeprüft aktiviert sind.
• Consent-Lifecycle vollständig abbilden: Einwilligung, Widerruf und Historie müssen konsistent sein. Beispiel: Nach Widerruf darf kein Folgeversand mehr ausgelöst werden, auch nicht über zeitversetzte Kampagnenjobs.
• Datenschutzfolgeabschätzung (DSFA) operationalisieren: Besonders bei Profiling, Scoring oder sensiblen Daten sollte die DSFA nicht als PDF enden. Beispiel: Risiken aus der DSFA werden als konkrete Security- und Produkt-Tasks in den Sprint-Backlog übernommen.

In der Praxis hat sich ein halbjährlicher DSGVO-Readiness-Check bewährt: technische Stichproben, Prozessreview mit Fachbereich, Update der Dokumentation und ein Maßnahmenplan mit Verantwortlichen. So wird Compliance nicht nur „vor Audit“, sondern dauerhaft im Betrieb sichergestellt.

Wenn Sie unsicher sind, unterstützen wir Sie bei der Prüfung und Nachrüstung – siehe IT-Sicherheit, Softwareentwicklung, Öffentlicher Sektor.