Seit dem Inkrafttreten der DSGVO im Mai 2018 hat sich in der Softwareentwicklung grundlegend etwas verändert: Datenschutz ist keine nachträgliche Überlegung mehr, sondern muss von Anfang an Teil der Architektur sein. „Privacy by Design" und „Privacy by Default" - zwei Prinzipien, die in der Verordnung verankert sind - klingen abstrakt, haben aber sehr konkrete Auswirkungen auf die Art und Weise, wie Software entwickelt wird.

In meiner Praxis erlebe ich regelmäßig, dass Unternehmen entweder die DSGVO als bürokratisches Hindernis behandeln oder sich mit rechtlich fragwürdigen Lösungen behelfen. Beides ist vermeidbar.

Was Privacy by Design in der Praxis bedeutet

Der Grundsatz ist einfach: Datenschutz muss in die Systemarchitektur eingebaut werden, nicht im Nachhinein aufgesetzt. Konkret bedeutet das: Es werden nur die Daten erhoben, die tatsächlich für den jeweiligen Zweck benötigt werden (Datensparsamkeit). Personenbezogene Daten werden so früh wie möglich anonymisiert oder pseudonymisiert. Zugriffsrechte werden nach dem Least-Privilege-Prinzip vergeben - jeder Nutzer und jede Komponente erhält nur die Rechte, die für seine Funktion notwendig sind. Daten werden nur so lange gespeichert, wie es der Zweck erfordert.

Besonders kritisch: Medizinische und persönliche Daten

In meiner Arbeit für Facharztpraxen und Unternehmen im Sozialbereich habe ich gelernt, wie hoch die Anforderungen in bestimmten Branchen sind. Medizinische Daten gehören zur besonderen Kategorie nach Art. 9 DSGVO und erfordern ein erhöhtes Schutzniveau. Das betrifft nicht nur die Datenbank, sondern den gesamten Verarbeitungsprozess: Übertragung, Speicherung, Zugriffsverwaltung, Löschkonzepte.

Eine Arztpraxis, die Patientendaten in einer schlecht gesicherten Datenbank speichert oder ohne Verschlüsselung über das Netzwerk überträgt, riskiert nicht nur Bußgelder - sie riskiert das Vertrauen ihrer Patienten.

Technische Maßnahmen, die den Unterschied machen

Verschlüsselung aller gespeicherten personenbezogenen Daten (at rest). TLS-Verschlüsselung für alle Datenübertragungen (in transit). Vollständige Protokollierung von Datenzugriffen für Audit-Zwecke. Automatisierte Löschroutinen auf Basis definierter Aufbewahrungsfristen. Zwei-Faktor-Authentifizierung für Systeme mit Zugriff auf sensible Daten. Regelmäßige Datensicherungen mit definierten Wiederherstellungszeiten.

Was oft vergessen wird: der Auftragsverarbeitungsvertrag

Wer als Softwareentwickler im Auftrag eines Unternehmens auf personenbezogene Daten zugreift oder verarbeitet, ist nach DSGVO Auftragsverarbeiter. Das erfordert einen schriftlichen Auftragsverarbeitungsvertrag (AVV) zwischen Auftraggeber und Entwickler - ein Dokument, das in der Praxis leider noch immer häufig fehlt.

Ich weise meine Kunden proaktiv auf diese Anforderung hin und stelle entsprechende Vertragsunterlagen zur Verfügung. Das ist keine bürokratische Pflicht - es ist ein Zeichen professioneller Arbeitsweise.

Mein Fazit

DSGVO-konforme Softwareentwicklung ist kein Mehraufwand - sie ist gute Softwareentwicklung. Wer Datenschutz von Anfang an in seine Architektur einbaut, spart sich teure Nachbesserungen und schützt gleichzeitig seine Kunden und sein Unternehmen.