DSGVO-konforme Softwareentwicklung: Ein Leitfaden für IT-Leiter

Für IT-Verantwortliche ist die DSGVO-konforme Softwareentwicklung eine zentrale Managementaufgabe. Wenn Unternehmen in neue Individualsoftware investieren, tauchen Datenschutzfragen oft erst kurz vor der Veröffentlichung auf. Das kann Zeitpläne verschieben und aus einem nützlichen Tool ein Compliance-Risiko machen. Die Datenschutz-Grundverordnung (DSGVO) gilt innerhalb der gesamten EU für jede Software, die personenbezogene Daten verarbeitet. Dazu zählen neben Namen und E-Mail-Adressen auch Standortdaten oder Kennnummern.

Damit Ihre Anwendung von Beginn an rechtlichen Vorgaben entspricht, müssen Datenschutz und Informationssicherheit fest in den Entwicklungsprozess integriert werden. Dieser Artikel beleuchtet die wichtigsten technischen und organisatorischen Maßnahmen (TOMs) und zeigt auf, wie Sie Risiken frühzeitig minimieren können.

Warum Privacy by Design im Mittelstand den Standard setzt

Die DSGVO verlangt in Artikel 25 den sogenannten Datenschutz durch Technikgestaltung. Für die Architektur einer Anwendung bedeutet Privacy by Design im Mittelstand, dass Schutzmechanismen nicht nachträglich angehängt, sondern tief im System verankert werden. Ein System, das Daten zunächst unbegrenzt erhebt und erst im Nachgang bereinigt, gilt konzeptionell als fehlerhaft.

Hinzu kommt das Prinzip Privacy by Default, welches datenschutzfreundliche Voreinstellungen vorschreibt. Für Nutzer bedeutet dies, dass standardmäßig nur jene Daten verarbeitet werden, die für die Basisfunktionalität der Anwendung zwingend erforderlich sind. Funktionen, die zusätzliche Daten benötigen, müssen vom Nutzer aktiv freigegeben werden.

Dieses Vorgehen ist besonders wichtig, wenn Sie interne Abläufe wie Freigabeprozesse digitalisieren. Wenn Workflows für Rechnungen oder Dokumente automatisiert werden, klären Fachbereich, IT und Projektleitung am besten im Vorfeld, welcher geschäftliche Zweck die Erhebung bestimmter Daten rechtfertigt. So lässt sich vermeiden, dass aus Vorsicht zu viele Informationen gespeichert werden, die später mühsam aus dem System entfernt werden müssen.

Softwareentwicklung: Sicherheit, Anforderungen und Architektur

Die Umsetzung datenschutzrechtlicher Vorgaben in der Praxis erfordert klare Sicherheitsanforderungen an die Softwareentwicklung. Artikel 32 der DSGVO fordert technische und organisatorische Maßnahmen, um ein angemessenes Schutzniveau zu gewährleisten. Folgende Kernaspekte der Architektur sind dabei entscheidend:

• Datenminimierung und Zweckbindung: Daten dürfen nur im notwendigen Maße und ausschließlich für den Zweck erhoben werden, dem die betroffene Person zugestimmt hat. Das Datenmodell der Software muss diesen Verarbeitungszweck exakt widerspiegeln.
• Rollenbasiertes Zugriffskonzept (RBAC): Mitarbeiter sollten nur auf die Datensätze zugreifen können, die sie für ihre konkrete Aufgabe benötigen. Dies ist essenziell, wenn Sie beispielsweise eine Mitarbeiter-App entwickeln lassen, bei der unterschiedliche Abteilungen auf das System zugreifen.
• Automatisierte Löschroutinen: Betroffene haben das Recht auf Löschung ihrer Daten (Artikel 17 DSGVO). Software sollte in der Lage sein, Datenbestände nach Ablauf konfigurierter Speicherfristen ohne manuellen Aufwand automatisiert zu bereinigen.
• Verschlüsselung: Personenbezogene Daten müssen verschlüsselt gespeichert (z. B. AES-256) und übertragen (z. B. TLS 1.3) werden.

Ein weiterer kritischer Punkt sind Audit-Logs. Sie dokumentieren sicherheitsrelevante Ereignisse und Zugriffe, ohne dabei selbst unnötige personenbezogene Daten anzuhäufen. Dies unterstützt die in der DSGVO geforderte Transparenz und Auskunftsfähigkeit.

Zusammenspiel von Datenschutz und ISO 27001 Software-Entwicklung

Während die DSGVO Schutzziele vorgibt, beschreibt sie selten detaillierte technische Lösungswege. Hier greift die ISO 27001 Software-Entwicklung. Diese internationale Norm liefert ein Managementsystem für Informationssicherheit, das Organisationen bei der Umsetzung von Datenschutzvorgaben strukturell unterstützt.

Im Zentrum der ISO 27001 steht das CIA-Prinzip, welches Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability) von Informationen fordert. Für die Entwicklungspraxis bedeutet dies die Etablierung eines Secure Software Development Lifecycles (S-SDLC). Dieser Prozess integriert Sicherheitsüberprüfungen und Risikoanalysen in jede Phase der Entwicklung.

Ein häufiger Fallstrick ist der Umgang mit Testdaten. Wer echte Produktionsdaten unkontrolliert in Testumgebungen kopiert, schafft ein erhebliches Sicherheitsrisiko. Eine strikte Trennung von Entwicklungs-, Test- und Produktionsumgebungen ist geboten. Idealerweise kommen ausschließlich maskierte oder synthetische Testdaten zum Einsatz, um Datenschutzrisiken während der Programmierung auszuschließen.

Die Rolle von externen Dienstleistern und Auftragsverarbeitung

Sobald Sie Software von einer externen Agentur entwickeln oder betreiben lassen und dabei personenbezogene Daten verarbeitet werden, greift in der Regel Artikel 28 der DSGVO. Sie bleiben als Unternehmen der rechtlich Verantwortliche, während der Dienstleister als Auftragsverarbeiter fungiert.

In diesen Fällen muss zwingend ein Auftragsverarbeitungsvertrag (AV-Vertrag) geschlossen werden. Dieser Vertrag regelt unter anderem den Zweck der Verarbeitung, die technischen und organisatorischen Maßnahmen des Dienstleisters sowie den Umgang mit Unterauftragnehmern (etwa für das Hosting).

Möchten Sie beispielsweise eine alte Access-Datenbank ablösen und durch eine moderne Webanwendung ersetzen, empfiehlt es sich, Hosting-Standorte und Support-Zugriffe frühzeitig mit dem neuen Dienstleister zu klären. Transparenz über den Verbleib der Daten und geregelte Zugriffskonzepte für Administratoren sind für den späteren Betrieb unerlässlich.

Kostenkontrolle durch frühe Compliance-Planung

Viele Entscheider fragen sich, wie sich Compliance-Vorgaben auf das Projektbudget auswirken. Die Kosten für Individualsoftware steigen erfahrungsgemäß deutlich an, wenn fundamentale Datenschutzanforderungen erst kurz vor Abschluss des Projekts implementiert werden. Müssen Datenmodelle, Workflows oder bestehende Schnittstellen im Nachhinein zurückgebaut werden, verschlingt dies wertvolle Entwicklungszeit.

Wenn Sie stattdessen den Datenschutz bereits in einer frühen Phase – etwa bei der MVP-Entwicklung (Minimum Viable Product) – berücksichtigen, lassen sich Architekturentscheidungen kosteneffizient planen. Das Führen eines Verzeichnisses von Verarbeitungstätigkeiten (falls gesetzlich gefordert) oder die Festlegung von Speicherfristen sind Aufgaben, die im frühen Projektstadium für Klarheit sorgen und das Budget stabilisieren.

Praxis-Checkliste für IT-Verantwortliche

Um Individualsoftware datenschutzkonform entwickeln zu lassen, sollten IT-Leiter die folgenden Aspekte im Projektverlauf strukturiert abarbeiten:

• Zweck definieren: Klären Sie exakt, für welchen geschäftlichen Zweck welche Daten verarbeitet werden.
• AV-Vertrag prüfen: Schließen Sie Verträge zur Auftragsverarbeitung ab, bevor externe Dienstleister Zugang zu personenbezogenen Daten erhalten.
• Datenminimierung anwenden: Überprüfen Sie Formulare und Schnittstellen daraufhin, ob wirklich nur zwingend benötigte Informationen erfasst werden.
• Trennung der Umgebungen: Stellen Sie sicher, dass für Tests keine ungeschützten Echt-Daten verwendet werden.
• Betrieb und Hosting klären: Definieren Sie klare Verantwortlichkeiten für Backups, Incident-Prozesse und das Patch-Management nach dem Release.

Häufig gestellte Fragen (FAQ)

Was bedeutet Privacy by Default in der Praxis?

Privacy by Default verlangt, dass die datenschutzfreundlichste Konfiguration die Standardeinstellung einer Software ist. Nutzer müssen beispielsweise keine vorausgewählten Checkboxen für weitreichendes Tracking abwählen, sondern einer weitergehenden Datenfreigabe aktiv zustimmen.

Welche Strafen drohen bei Verstößen gegen die DSGVO?

Bei schweren Verstößen gegen die Datenschutz-Grundverordnung können Aufsichtsbehörden Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweit erzielten Jahresumsatzes verhängen. Strafmildernd kann sich auswirken, wenn ein Unternehmen Maßnahmen ergriffen hat, um den Schaden der Betroffenen zu minimieren.

Warum ist die Trennung von Test- und Produktionsdaten so wichtig?

Die Verwendung von unstrukturierten und unmaskierten Produktionsdaten in Testumgebungen stellt ein hohes Risiko für die Informationssicherheit dar. Durch Anonymisierung oder die Nutzung synthetischer Daten in Testsystemen lassen sich diese Gefahren reduzieren und gesetzliche Löschpflichten verlässlich einhalten.

Ersetzt eine ISO 27001-Zertifizierung die DSGVO-Compliance?

Nein. Die ISO 27001 liefert ein standardisiertes Managementsystem zur Identifikation von Risiken und zur Umsetzung von Sicherheitsmaßnahmen. Damit schafft sie wichtige Grundlagen und Nachweise für technische und organisatorische Maßnahmen, deckt aber juristische Datenschutzpflichten (wie Betroffenenrechte oder Informationspflichten) nicht vollständig ab.

Was muss ein AV-Vertrag bei der Softwareentwicklung beinhalten?

Ein Vertrag zur Auftragsverarbeitung regelt den Zweck und die Dauer der Verarbeitung, die Art der personenbezogenen Daten, Weisungsbindungen, technische und organisatorische Maßnahmen sowie den Einsatz von Unterauftragnehmern.

Haben Sie in Ihrem Unternehmen bereits klare Richtlinien für die Maskierung von Testdaten bei der Entwicklung neuer Software-Projekte etabliert?