DSGVO-konforme Softwareentwicklung: ein praktischer Leitfaden

Kurz gefasst: DSGVO-konforme Softwareentwicklung beginnt bei der Architektur, nicht beim Cookie-Banner. Artikel 25 DSGVO verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. In der Praxis heißt das: nur die Daten erheben, die wirklich gebraucht werden, Zugriffe begrenzen, Löschfristen technisch umsetzen, Betroffenenrechte per Funktion bedienen und Dienstleister vertraglich sauber einbinden. Wer das früh plant, spart sich teure Umbauten.

Was die DSGVO von Software konkret verlangt

Die DSGVO ist technologieneutral formuliert. Sie schreibt keine bestimmten Werkzeuge vor, sondern Grundsätze: Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit. Für Entwicklungsteams sind vor allem drei Stellen relevant. Artikel 25 fordert Privacy by Design und Privacy by Default. Artikel 32 verlangt Sicherheit der Verarbeitung nach dem Stand der Technik. Und die Betroffenenrechte aus den Artikeln 15 bis 21 müssen sich in der Software tatsächlich ausüben lassen.

Wichtig vorab: Dieser Beitrag beschreibt die technische Umsetzung. Die rechtliche Bewertung im Einzelfall gehört zu Ihrer oder Ihrem Datenschutzbeauftragten.

Privacy by Design in der Architektur

Datenminimierung im Datenmodell

Jedes Feld im Datenmodell sollte einen klaren Zweck haben. Brauchen Sie das Geburtsdatum oder reicht die Bestätigung der Volljährigkeit? Braucht das Kundenkonto eine Telefonnummer? Daten, die Sie nicht speichern, können weder verloren gehen noch beauskunftet werden müssen.

Pseudonymisierung und Trennung

Personenbezogene Daten lassen sich oft von Nutzungs- oder Analysedaten trennen. Auswertungen laufen dann auf pseudonymen IDs, die Zuordnung zur Person liegt in einer separaten, enger geschützten Tabelle. Für Test- und Entwicklungsumgebungen sollten Sie anonymisierte oder synthetische Daten verwenden statt Kopien der Produktivdatenbank.

Zugriffskontrolle nach dem Need-to-know-Prinzip

Rollen und Berechtigungen gehören von Anfang an ins Konzept. Wer im Support arbeitet, braucht keinen Zugriff auf Zahlungsdaten. Zugriffe auf sensible Daten sollten protokolliert werden, damit sich später nachvollziehen lässt, wer was gesehen hat. Grundlagen zu sicherer Anmeldung und Sitzungsverwaltung finden Sie in unserem Beitrag zu Authentifizierung mit OAuth, JWT und Sessions.

Verschlüsselung

Verschlüsselte Übertragung per TLS ist Standard. Dazu kommen verschlüsselte Datenträger und Backups sowie für besonders sensible Felder eine Verschlüsselung auf Anwendungsebene. Passwörter werden nie verschlüsselt gespeichert, sondern mit einem dafür gebauten Verfahren wie Argon2 oder bcrypt gehasht.

Einwilligung, Tracking und Cookies

Für Cookies und vergleichbare Technologien, die nicht unbedingt erforderlich sind, verlangt in Deutschland § 25 TDDDG eine vorherige Einwilligung. Das betrifft typischerweise Analyse- und Marketing-Tools. Technisch heißt das: Solche Skripte dürfen erst laden, nachdem die Einwilligung vorliegt. Ablehnen muss so einfach sein wie Zustimmen, und die Entscheidung muss sich später ändern lassen.

Eine Alternative sind Analyse-Werkzeuge, die ohne Cookies und ohne Personenbezug arbeiten und auf eigenen oder EU-Servern laufen. Damit entfällt in vielen Fällen der Einwilligungsdialog für die Reichweitenmessung. Prüfen Sie das im Einzelfall mit Ihrer Datenschutzberatung.

Betroffenenrechte als Funktionen

Auskunft, Berichtigung, Löschung und Datenübertragbarkeit sind Rechte, die Nutzer jederzeit geltend machen können. Wenn jede Anfrage eine manuelle Datenbankabfrage durch die Entwicklung erfordert, wird das schnell teuer und fehleranfällig. Besser sind eingebaute Funktionen:

• ein Export aller Daten einer Person in einem maschinenlesbaren Format wie JSON oder CSV
• eine Löschfunktion, die alle verknüpften Datensätze erfasst, auch in Nebensystemen
• ein Löschkonzept mit automatischen Fristen, etwa für inaktive Konten oder alte Anfragen
• ein Umgang mit Backups, der dokumentiert, wann gelöschte Daten auch dort verschwinden

Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, gehen der Löschung vor. Die Software muss solche Daten dann sperren statt löschen können.

Dienstleister, Hosting und Drittländer

Jeder externe Dienst, der personenbezogene Daten in Ihrem Auftrag verarbeitet, braucht einen Auftragsverarbeitungsvertrag nach Artikel 28. Das gilt für Hosting, E-Mail-Versand, Fehler-Monitoring und KI-Schnittstellen gleichermaßen. Führen Sie eine Liste aller Dienste, sie fließt auch in Ihr Verzeichnis von Verarbeitungstätigkeiten ein.

Bei Anbietern außerhalb der EU ist zu prüfen, auf welcher Grundlage die Übermittlung erfolgt, etwa über das EU-US Data Privacy Framework oder Standardvertragsklauseln. Hosting in Deutschland oder der EU vereinfacht diese Fragen erheblich. Mehr dazu in Datenhosting in Deutschland. Wer KI-Funktionen einbaut, sollte zusätzlich die Anforderungen aus dem EU AI Act im Blick haben.

Für den Ernstfall braucht es einen Ablauf: Datenschutzverletzungen sind in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde zu melden. Gutes Logging und Monitoring sind die Voraussetzung, um das überhaupt bemerken und bewerten zu können.

Häufige Fragen (FAQ)

Reicht ein Cookie-Banner für eine DSGVO-konforme Website?

Nein. Das Banner regelt nur die Einwilligung für bestimmte Technologien. Datenminimierung, Sicherheit, Löschkonzept, Auftragsverarbeitung und Betroffenenrechte müssen unabhängig davon umgesetzt sein.

Darf ich US-Clouddienste nutzen?

Grundsätzlich ja, wenn eine gültige Übermittlungsgrundlage besteht und ein Auftragsverarbeitungsvertrag vorliegt. Viele große Anbieter bieten zudem EU-Rechenzentren an. Die Entscheidung sollte dokumentiert und mit Ihrer Datenschutzberatung abgestimmt werden.

Wann sollte der Datenschutz in ein Softwareprojekt einfließen?

Bei der Konzeption, bevor das Datenmodell steht. Nachträglich ein Löschkonzept oder eine Rollentrennung einzubauen, ist deutlich aufwendiger als es von Beginn an mitzudenken.

Brauche ich eine Datenschutz-Folgenabschätzung?

Wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, etwa bei umfangreicher Verarbeitung von Gesundheitsdaten oder systematischer Überwachung. Ob das zutrifft, klären Sie am besten früh mit Ihrer oder Ihrem Datenschutzbeauftragten.

Fazit

DSGVO-Konformität ist zu großen Teilen eine Frage guter Softwarearchitektur: wenige, gut geschützte Daten, klare Zuständigkeiten und Funktionen, die Rechte und Fristen automatisch umsetzen. Teams, die das als Anforderung von Anfang an behandeln, bauen dabei fast nebenbei sicherere und übersichtlichere Systeme.

Wenn Sie eine Anwendung planen, die personenbezogene Daten verarbeitet, sprechen Sie mit uns über Webentwicklung.