Das Thema Datenschutz spielt in der Softwareentwicklung eine zentrale Rolle. Dennoch werden datenschutzrechtliche Aspekte von vielen Softwareentwicklern als eher unliebsames Thema betrachtet. Das Zusammenspiel von Datenschutz und Softwareentwicklung ist aber sehr wichtig und benötigt deshalb eine enge Zusammenarbeit zwischen technisch versierten Softwareentwicklern und Datenschutzbeauftragten. Dieser Artikel bietet Ihnen als IT-Leiter, Entwicklungsleiter, Softwareentwickler, Datenschutzbeauftragter oder Datenschutzverantwortlicher einen umfassenden Überblick über die wesentlichen Anforderungen und die Gestaltung des Datenschutzes in der Softwareentwicklung.
Inhaltsverzeichnis
- Software datenschutzkonform zu entwickeln: Diese Gesetze müssen Sie beachten
- Bestimmte Anforderungen im Datenschutz für Softwareentwickler: Welche Daten müssen geschützt werden?
- Vorgaben für die datenschutzrechtlichen Grundsätze in der Softwareentwicklung
- Privacy by Design: “Datenschutz und Datensicherheit von Anfang an”
- Privacy by Default: Datenschutzfreundliche Voreinstellungen
- Datenschutz bei Softwareentwicklung – 10 DSGVO Praxistipps
- Softwareentwickler sollten Datenschutzbeauftragte frühzeitig einbeziehen
- Datenschutzkonforme Authentifizierung der Nutzer sicherstellen
- Datenschutzbeauftragte und Softwareentwickler sollten Rechte- und Rollenkonzept erarbeiten
- Datenschutzfreundliche Standardkonfiguration in Software berücksichtigen
- Datenschutzerklärung und rechtliche Texte in Software einbinden
- Datenschutzkonforme Datenübertragung sicherstellen:
- Analyse des Nutzerverhaltens zur Produktverbesserung vermeiden
- Einwilligungen einholen und verwalten
- Datenschutzbeauftragte und Softwareentwickler sollten Löschkonzept planen und umsetzen
- Subunternehmen und Software-Tools aus Drittstaaten prüfen
Software datenschutzkonform zu entwickeln: Diese Gesetze müssen Sie beachten
Datenschutz ist eine grundlegende Verpflichtung bei der Entwicklung von Software und Anwendungen. Datenschutzbeauftragte und Softwareentwickler von kleinen und mittelständischen Unternehmen müssen wissen, welche rechtlichen Vorgaben einzuhalten sind, um die Vertraulichkeit und Sicherheit bei der Verarbeitung personenbezogener Daten zu gewährleisten. Besonders relevant sind dabei folgende Gesetze:
- Datenschutz-Grundverordnung (DSGVO): Regelt den Schutz personenbezogener Daten für Unternehmen in der EU.
- Bundesdatenschutzgesetz (BDSG): Nationale Datenschutzgesetz in Deutschland als Ergänzung zur DSGVO.
- Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG): Regelt Datenschutz in der Telekommunikation und bei digitalen Diensten.
- NIS-2-Umsetzungsgesetz: Definiert Anforderungen zur Informationssicherheit für bestimmte Anbieter digitaler Dienste.
- Cyber Resilience Act (CRA): Enthält Vorschriften zur Cybersicherheit für Produkte mit digitalen Elementen.
Bestimmte Anforderungen im Datenschutz für Softwareentwickler: Welche Daten müssen geschützt werden?
Bei der Nutzung von Software werden zahlreiche personenbezogene Daten verarbeitet, darunter
- Allgemeine Nutzerdaten: Name, E-Mail-Adresse, Telefonnummer
- Geräteinformationen: IP-Adresse, Gerätekennungen, MAC-Adressen
- Besonders schützenswerte Daten: Fingerabdrücke, Gesundheitsdaten, biometrische Daten
- Standortdaten: GPS-Standorte, Bewegungsprofile
- Kommunikationsdaten: Telefonnummern, Nachrichteninhalte
- Medien: Fotos, Videos, Audiodateien
Diese Kategorien sind nicht abschließend, sondern sollen einen ersten Überblick geben.
Vorgaben für die datenschutzrechtlichen Grundsätze in der Softwareentwicklung
Die DSGVO definiert in Artikel 5 Absatz 1 wesentliche Datenschutzgrundsätze, die auch in der Softwareentwicklung beachtet werden müssen:
Datenminimierung: Es dürfen nur die unbedingt erforderlichen Daten verarbeitet werden.
Datenrichtigkeit: Nutzerinformationen müssen sachlich korrekt und aktuell sein.
Speicherbegrenzung: Personenbezogene Daten sind zu löschen, sobald der Verarbeitungszweck entfällt.
Zweckbindung: Daten dürfen nur für festgelegte, legitime Zwecke erhoben und verarbeitet werden.
Integrität und Vertraulichkeit: Schutz der Daten vor unbefugtem Zugriff durch technische und organisatorische Maßnahmen.
Softwareentwickler müssen diese Datenschutzgrundsätze durch geeignete technische und organisatorische Maßnahmen (TOMs) umsetzen, um einen angemessenen Schutz der personenbezogenen Daten zu erreichen.
Privacy by Design: “Datenschutz und Datensicherheit von Anfang an”
Das Konzept „Privacy by Design“ bedeutet, dass effizienter Datenschutz bereits in der Entwicklungsphase von Software berücksichtigt wird. Statt Datenschutz erst nachträglich in ein bestehendes System zu integrieren, sollte dieser von Beginn an mitgedacht und technisch umgesetzt werden. Die Datenschutzgrundsätze gemäß Art. 25 DSGVO müssen bereits im Design berücksichtigt werden. Beispielsweise können Anonymisierung oder Pseudonymisierung als Methoden zur Risikominimierung integriert werden. Bereits in der Planungsphase sollte eine enge Abstimmung zwischen Entwicklern und Datenschutzexperten erfolgen. Zudem sollte der externe Datenschutzbeauftragte aktiv in den gesamten Entwicklungsprozess eingebunden werden. Dies stellt sicher, dass Datenschutzanforderungen eingehalten und dokumentiert werden.
Privacy by Default: Datenschutzfreundliche Voreinstellungen
Das Prinzip „Privacy by Default“ verlangt, dass die Voreinstellungen von Software so gestaltet sein müssen, dass nur die für den jeweiligen Verarbeitungszweck unbedingt erforderlichen personenbezogenen Daten verarbeitet werden. Software sollte standardmäßig so konfiguriert sein, dass keine unnötigen Daten erfasst oder verarbeitet werden. Dies schützt insbesondere unerfahrene oder unvorsichtige Nutzer, die oft voreingestellte Optionen nicht ändern.
Datenschutz bei Softwareentwicklung – 10 DSGVO Praxistipps
Softwareentwickler sollten Datenschutzbeauftragte frühzeitig einbeziehen
Softwareentwickler, die einen Datenschutzbeauftragten benannt haben, sollten diesen bereits während der Anforderungsplanung in das Projekt einbinden. Eine frühzeitige Einbeziehung in die Planungsphase gewährleistet, dass datenschutzrechtliche Anforderungen direkt in die Softwareentwicklung integriert werden. Dies reduziert das Risiko späterer Nachbesserungen und erleichtert die Umsetzung von Datenschutz durch Technikgestaltung (Privacy by Design) sowie datenschutzfreundliche Voreinstellungen (Privacy by Default).
Es empfiehlt sich, die datenschutzrechtlichen Anforderungen im regulären Anforderungsmanagement zu berücksichtigen, um spätere Korrekturen aufgrund fehlender oder mangelhafter Vorgaben zu vermeiden. Neben den gesetzlichen Anforderungen sollten externe Datenschutzbeauftragte auch branchenspezifische Vorgaben zu Datenschutz und IT-Sicherheit prüfen und in die Planung einfließen lassen.
Datenschutzkonforme Authentifizierung der Nutzer sicherstellen
Bei der Authentifizierung innerhalb der Software ist darauf zu achten, dass ausreichend komplexe Passwörter entweder erzwungen oder durch eine explizite Anzeige der Passwortstärke empfohlen werden. Zudem sollte geprüft werden, ob eine Anmeldung mit Benutzername und Passwort ausreicht oder ob ein höheres Schutzniveau, etwa durch eine Zwei-Faktor-Authentifizierung, erforderlich ist. Passwörter dürfen niemals im Klartext übertragen oder gespeichert werden, sondern sollten nach dem Stand der Technik kryptographisch verschlüsselt sein.
Fragen für Softwareentwickler und Datenschutzbeauftragte:
- Wird ein für die Passwortspeicherung geeignetes kryptographisches Verfahren genutzt?
- Sind in der Software lokale Session-Timeouts geplant, die ein erneutes Einloggen nach einer gewissen inaktiven Zeit erzwingen?
- Werden Passwörter bei einer „Passwort vergessen“-Funktion über einen zeitlich begrenzten Weblink zurückgesetzt?
Datenschutzbeauftragte und Softwareentwickler sollten Rechte- und Rollenkonzept erarbeiten
Ein durchdachtes Berechtigungskonzept trägt maßgeblich zur IT-Sicherheit und zum Datenschutz bei. Es definiert, welche Nutzergruppen Zugriff auf welche Daten und Funktionen haben. Dies vermeidet unbefugten Zugriff auf die Software und stellt sicher, dass Nutzer nur die Daten sehen und bearbeiten können, die für ihre Arbeit erforderlich sind.
Fragen für Softwareentwickler und externe Datenschutzbeauftragte:
- Welche Nutzer oder Nutzergruppen benötigen Zugriff?
- Können ähnliche digitale Identitäten zu Rollen zusammengefasst werden??
- Wer übernimmt die Nutzerverwaltung?
Datenschutzfreundliche Standardkonfiguration in Software berücksichtigen
Nach dem Grundsatz der Datensparsamkeit sollten standardmäßig die Menge der erhobenen Daten, der Umfang der Datenverarbeitung, die Speicherfrist und die Anzahl der Personen mit Zugriffsmöglichkeiten begrenzt sein
Fragen für Softwareentwickler und Datenschutzbeauftragte:
- Begrenzt die Voreinstellung die Menge der erhobenen Daten?
- Wird der Umfang der Verarbeitung standardmäßig minimiert??
- Ist die Speicherdauer der Daten auf das notwendige Maß reduziert?
- Sind standardmäßig nur die unbedingt erforderlichen Zugriffsrechte vergeben?
Datenschutzerklärung und rechtliche Texte in Software einbinden
Eine Software-spezifische Datenschutzerklärung ist erforderlich, um Nutzer transparent über die mit der Software verbundenen Datenverarbeitungen zu informieren. Besonders bei mobilen Anwendungen mit begrenzten Bildschirmgrößen sollten Datenschutzhinweise so gestaltet sein, dass Nutzer die Informationen leicht abrufen können, beispielsweise durch eine kapitelweise Struktur mit aufklappbaren Kapiteln.
Fragen für Softwareentwickler und externe Datenschutzbeauftragte:
- Sind die Datenschutzbestimmungen bei erstmaliger Softwarenutzung sofort einsehbar?
- Wo werden Nutzer mittels Datenschutzerklärung für Software informiert?
- Erfüllt die Datenschutzerklärung alle Anforderungen aus Art. 13 DSGVO?
- Ist das Impressum für den Nutzer der Software über maximal 2 Klicks erreichbar?
- Werden Nutzungsbedingungen oder AGBs benötigt?
Datenschutzkonforme Datenübertragung sicherstellen:
Da Software regelmäßig personenbezogene Daten von Servern abruft, muss während des Transports eine sichere Verbindung gewährleistet sein. Software und Backend sollten so konfiguriert sein, dass eine verschlüsselte Übertragung unter Nutzung aktueller Sicherheitsstandards, etwa nach Vorgaben des BSI oder des BSI-Grundschutz-Kompendiums, gewährleistet ist
Fragen für Softwareentwickler und Datenschutzbeauftragte bzw. Informationssicherheitsbeauftragte:
- Erfolgt die Datenübertragung verschlüsselt (z. B. mit HTTPS)?
- Wird TLS 1.3 für die sichere Kommunikation eingesetzt?
- Werden vertrauenswürdige SSL-Zertifikate verwendet?
- Ist das Backend ausreichend gegen Angriffe gemäß OWASP Top 10 geschützt?
Analyse des Nutzerverhaltens zur Produktverbesserung vermeiden
Softwareentwicklungsunternehmen sind an der Analyse des Nutzerverhaltens interessiert, um ihre Produkte zu optimieren. Dabei gelten die gleichen Anforderungen wie im Web: Wird das Nutzerverhalten nicht nur durch Logfile-Analysen erfasst, sondern direkt vom Endgerät des Nutzers abgeleitet, ist eine vorherige Einwilligung gemäß § 25 TDDDG erforderlich.
Fragen für Softwareentwickler und externe Datenschutzbeauftragte:
- Werden Trackingverfahren in der App eingesetzt?
- Welche Tracking-Cookies werden eingesetzt?
- Wird eine Einwilligung des Nutzers eingeholt?
- Wird die IP-Adresse vor der systematischen Verarbeitung ausreichend anonymisiert?
Einwilligungen einholen und verwalten
In bestimmten Fällen, insbesondere bei der Verarbeitung sensibler Daten wie Gesundheitsdaten, ist eine ausdrückliche Einwilligung erforderlich. Die Rechtsgrundlage sollte rechtlich geprüft und revisionssicher dokumentiert werden.
Fragen für Softwareentwickler und Datenschutzbeauftragte:
- Wo kann der Nutzer seine Einwilligung abgeben?
- Hat der externe Datenschutzbeauftragte oder ein Rechtsanwalt den Einwilligungstext geprüft?
- Wird die Abgabe der Einwilligung im System ausreichend protokolliert?
- Wie können die Nutzer ihre Einwilligung in die Datenverarbeitung widerrufen?
Datenschutzbeauftragte und Softwareentwickler sollten Löschkonzept planen und umsetzen
Gemäß dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO sollte ein geeignetes Löschkonzept implementiert sein. Eine konsequente Umsetzung spart langfristig Kosten und reduziert regulatorische Risiken, z.B. Bußgelder, wie im Falle von Deutsche Wohnen.
Fragen für Softwareentwickler und Datenschutzbeauftragte:
- Werden die personenbezogenen Daten nur gespeichert, soweit und solange sie für den Betrieb der Software notwendig sind?
- Werden die gespeicherten Daten nach Ende des Lizenzvertrages gelöscht
Subunternehmen und Software-Tools aus Drittstaaten prüfen
Viele Softwareentwicklungsunternehmen setzen externe Dienstleister oder Tools aus Drittstaaten ein. Dabei muss sichergestellt werden, dass vertragliche Datenschutzvereinbarungen bestehen und technische Schutzmaßnahmen implementiert sind.
Fragen für Softwareentwickler und Datenschutzbeauftragte:
- Sind alle eingesetzten Drittanbieter vertraglich gebunden?
- Agieren Drittanbieter als Auftragsverarbeiter?
- Haben wir mit allen Auftragsverarbeitern einen Auftragsverarbeitungsvertrag nach Art 28 DSGVO abgeschlossen?
- Werden Software-Tools aus Nicht-EU-Ländern genutzt?
- Wurden mit allen Anbietern aus Drittstaaten Standarddatenschutzklauseln abgeschlossen und die Drittstaatenübermittlung durch zusätzliche Schutzmaßnahmen abgesichert?
FAQ: Externer Datenschutzbeauftragter Softwareentwickler
„Privacy by Design“ bedeutet, dass Datenschutz bereits bei der Entwicklung einer Software technisch integriert wird, um den Anforderungen der DSGVO zu entsprechen. „Privacy by Default“ hingegen stellt sicher, dass die datenschutzfreundlichsten Einstellungen standardmäßig aktiviert sind, wenn eine Software an Nutzerinnen und Nutzer ausgeliefert wird.
Die DSGVO verfolgt einen risikobasierten Ansatz. Maßnahmen müssen unter Berücksichtigung folgender Faktoren getroffen werden: Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung, Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten natürlicher Personen. Diese Anforderungen ergeben sich aus Art. 32 DSGVO.
Ein risikobasierter Ansatz erlaubt es, bei geringem Risiko weniger aufwändige Schutzmaßnahmen zu ergreifen. Gleichzeitig müssen Unternehmen und Entwickler eine fundierte Risikoanalyse durchführen und dokumentieren, um ihre Entscheidungen nachvollziehbar zu begründen.
Die Bewertung des Risikos erfolgt im Hinblick auf mögliche physische, materielle oder immaterielle Schäden für betroffene Personen (Art. 25 Abs. 1 DSGVO). Falls eine Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, ist vorab eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich.
Ja, laut DSGVO müssen wirtschaftliche Aspekte, insbesondere Implementierungskosten, bei der Wahl geeigneter Maßnahmen einbezogen werden. Die Maßnahmen sollten verhältnismäßig sein und sowohl den Schutzbedarf als auch die finanzielle Machbarkeit berücksichtigen.
Laut Art. 25 Abs. 1 DSGVO müssen Schutzmaßnahmen dem aktuellen Stand der Technik entsprechen. Das bedeutet, dass verfügbare Technologien genutzt werden sollten, um ein möglichst hohes Datenschutzniveau zu gewährleisten. Beispielsweise sollte das sicherste verfügbare Verschlüsselungsverfahren angewandt werden. Allerdings muss dies immer unter Berücksichtigung der Verhältnismäßigkeit geschehen – übermäßig aufwendige Maßnahmen sind nicht zwingend erforderlich, wenn sie den Schutz nicht erheblich verbessern.
•BSI IT-Grundschutz: Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelter Standard für IT-Sicherheit.
• ISO/IEC 27001: Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS).
• C5 (Cloud Computing Compliance Criteria Catalogue): IT-Sicherheitsstandard des BSI für Cloud-Anbieter.
• ISO/IEC 25010: Qualitätsmodell für Softwareprodukte.
• Digitale Gesundheitsanwendungen (DiGA): Zertifizierung durch das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) nach DiGA-Verordnung
• Medizinproduktegesetz (MPG) / MDR (Medical Device Regulation): Software, die als Medizinprodukt gilt, muss nach EN ISO 13485 (Qualitätsmanagement für Medizinprodukte) zertifiziert werden
• HL7, DICOM, FHIR: Standards für den Datenaustausch im Gesundheitswesen
• BaFin-Regulierungen (z. B. MaRisk & BAIT): Vorgaben der Bundesanstalt für Finanzdienstleistungsaufsicht zur IT-Sicherheit und Compliance.
• ISO 20022: Standard für den elektronischen Zahlungsverkehr.
• PCI DSS (Payment Card Industry Data Security Standard): Vorschriften für die Verarbeitung von Kreditkartendaten
