Datenschutz in der Softwareentwicklung: Privacy by Design von Anfang an mitdenken

Datenschutz wird bei Softwareprojekten mitunter erst dann zum Thema, wenn eine Anwendung bereits weitgehend entwickelt ist und Datenschutzerklärung, Auftragsverarbeitungsvertrag oder andere rechtliche Dokumente erstellt werden sollen. Dieser Ansatz greift allerdings zu kurz. Datenschutzrechtliche Anforderungen können unmittelbar Einfluss darauf haben, wie eine Software technisch konzipiert und entwickelt werden muss.

Die Datenschutz-Grundverordnung (DSGVO) trägt diesem Umstand mit dem Grundsatz „Privacy by Design“, auf Deutsch „Datenschutz durch Technikgestaltung“, Rechnung. Nach Art. 25 DSGVO sind geeignete technische und organisatorische Maßnahmen nicht erst im laufenden Betrieb zu treffen. Datenschutz ist vielmehr bereits bei der Festlegung der Mittel einer Verarbeitung zu berücksichtigen. Die DSGVO nennt dabei ausdrücklich die Pseudonymisierung und die wirksame Umsetzung von Datenschutzgrundsätzen wie der Datenminimierung.

Für die Softwareentwicklung bedeutet dies vor allem eines: Datenschutz darf kein nachträglich hinzugefügtes Compliance-Modul sein. Er muss von Beginn an Teil der Produkt- und Systemarchitektur sein.

1. Privacy by Design beginnt bereits bei Konzeption und Architektur

Viele grundlegende datenschutzrechtliche Entscheidungen werden getroffen, bevor die erste Zeile des eigentlichen Produkts fertiggestellt ist. Bereits bei der Konzeption einer Software sollte daher geklärt werden, welche personenbezogenen Daten für welchen Zweck tatsächlich benötigt werden, wie lange sie benötigt werden und wer darauf zugreifen können soll.

Der Europäische Datenschutzausschuss versteht Privacy by Design dementsprechend als einen Grundsatz, der über den gesamten Lebenszyklus einer Verarbeitung hinweg zu berücksichtigen ist. Dazu gehören insbesondere Entwicklung, Erprobung, Speicherung, Wartung und letztlich auch die Löschung personenbezogener Daten. Dabei sind unter anderem Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertraulichkeit technisch und organisatorisch abzubilden.

Gerade die Datenminimierung sollte deshalb schon bei der Definition der Anforderungen berücksichtigt werden. Eine Software sollte nicht vorsorglich möglichst viele Daten erheben, weil diese irgendwann nützlich sein könnten. Entscheidend ist vielmehr, welche Daten für die konkret festgelegten Zwecke tatsächlich erforderlich sind.

Ähnliches gilt für die Speicherbegrenzung. Wenn personenbezogene Daten nach Ablauf bestimmter Fristen gelöscht werden müssen, sollte die technische Möglichkeit zur Löschung bereits Bestandteil des Systemdesigns sein. Eine Software, die personenbezogene Daten zwar speichern, später aber nicht zuverlässig löschen kann, schafft ein Datenschutzproblem, das nachträglich häufig nur mit erheblichem technischem Aufwand korrigiert werden kann.

2. Datenschutzanforderungen müssen zu technischen Anforderungen werden

Privacy by Design funktioniert nur, wenn rechtliche Anforderungen in konkrete technische Entscheidungen übersetzt werden. Datenschutz und Softwareentwicklung dürfen deshalb nicht unabhängig voneinander betrachtet werden.

Ein wichtiges Instrument kann etwa die Pseudonymisierung sein. Sie kann insbesondere zur Datenminimierung und Vertraulichkeit beitragen. Pseudonymisierte Daten bleiben allerdings personenbezogene Daten, wenn sie unter Heranziehung zusätzlicher Informationen wieder einer natürlichen Person zugeordnet werden können. Pseudonymisierung ersetzt daher nicht die übrigen Anforderungen der DSGVO, sondern ist eine mögliche Schutzmaßnahme innerhalb eines umfassenderen Datenschutzkonzepts.

Auch Berechtigungskonzepte gehören zur technischen Umsetzung des Datenschutzes. Nicht jeder Benutzer oder Administrator benötigt Zugriff auf sämtliche gespeicherten Informationen. Ebenso sollten Entwicklungs-, Test- und Produktivsysteme angemessen getrennt und personenbezogene Daten oder Zugangsdaten nicht unnötig in Source-Code-Verwaltungen abgelegt werden. Das Bayerische Landesamt für Datenschutzaufsicht nennt im Zusammenhang mit der Softwareentwicklung darüber hinaus unter anderem Code-Scans, Penetrationstests, ausreichende Testzyklen und die fortlaufende Überwachung von Softwarekomponenten als relevante Sicherheitsmaßnahmen.

Hinzu kommt Privacy by Default, also Datenschutz durch datenschutzfreundliche Voreinstellungen. Art. 25 Abs. 2 DSGVO verlangt grundsätzlich, dass standardmäßig nur jene personenbezogenen Daten verarbeitet werden, die für den jeweiligen bestimmten Verarbeitungszweck erforderlich sind. Das betrifft insbesondere Datenmenge, Umfang der Verarbeitung, Speicherdauer und Zugänglichkeit.

Eine datenschutzfreundliche Software sollte daher nicht darauf angewiesen sein, dass Nutzer oder Administratoren zuerst zahlreiche Einstellungen verändern müssen, um ein angemessenes Datenschutzniveau herzustellen. Datenschutz sollte möglichst bereits die Ausgangseinstellung des Systems prägen.

3. Privacy by Design ist kein einmaliger Entwicklungsschritt

Mit dem Release einer Software endet Privacy by Design nicht. Anwendungen verändern sich, neue Funktionen werden integriert, Schnittstellen kommen hinzu und technische Komponenten werden ausgetauscht. Gleichzeitig entwickelt sich auch der Stand der Technik weiter.

Der Europäische Datenschutzausschuss betont ausdrücklich, dass der „Stand der Technik“ dynamisch zu verstehen ist. Eine Maßnahme, die heute ein angemessenes Schutzniveau gewährleistet, kann dieses durch technischen Fortschritt oder neue Risiken künftig verlieren. Verantwortliche müssen technische Entwicklungen daher beobachten und ihre Maßnahmen bei Bedarf aktualisieren.

Datenschutz sollte deshalb Bestandteil des gesamten Software-Lifecycles sein. Neue Features sollten auch darauf geprüft werden, ob damit neue personenbezogene Daten verarbeitet, bestehende Verarbeitungszwecke erweitert oder zusätzliche Empfänger und Dienstleister eingebunden werden. Ebenso sollten Löschkonzepte, Berechtigungen und Sicherheitsmaßnahmen bei wesentlichen Änderungen erneut geprüft werden.

Privacy by Design ist damit weniger eine einzelne technische Maßnahme als vielmehr ein Entwicklungsprinzip: Datenschutzrechtliche Anforderungen werden bereits bei Planung, Architektur und Entwicklung berücksichtigt und anschließend während des Betriebs kontinuierlich mitgedacht.

Für Softwareanbieter hat dieser Ansatz einen wesentlichen praktischen Vorteil. Datenschutzrechtliche Anforderungen müssen nicht mit hohem Aufwand nachträglich in eine bereits fertig entwickelte Architektur eingefügt werden. Vielmehr entsteht eine Software, deren technische Gestaltung die datenschutzkonforme Nutzung von Anfang an unterstützt.

Fazit: Wer personenbezogene Daten verarbeitet, sollte Datenschutz nicht erst kurz vor dem Go-live prüfen. Privacy by Design bedeutet, bereits bei der ersten Konzeption einer Software zu überlegen, welche Daten benötigt werden, wie sie geschützt werden, wer darauf zugreifen darf und wann sie wieder gelöscht werden. Datenschutz wird damit zu einer Anforderung an die Softwarearchitektur selbst.

‍