Wer eigene Software mit personenbezogenen Daten baut, muss vier Punkte klären: eine Auftragsverarbeitungsvereinbarung mit dem Dienstleister, Datenschutz durch Technikgestaltung (Datensparsamkeit, Zugriffskontrolle, Verschlüsselung), ein Löschkonzept mit dokumentierten Aufbewahrungsfristen sowie ein Verzeichnis der Verarbeitungstätigkeiten. Diese Punkte sind keine Kür, sondern gesetzliche Pflicht — und im Bußgeldfall die ersten drei Fragen der Aufsichtsbehörde.
Wer ist verantwortlich?
Für die Daten Ihrer Kunden oder Mitarbeitenden sind Sie als Unternehmen verantwortlich — auch dann, wenn ein Dienstleister die Software für Sie baut oder betreibt. Dieser Dienstleister ist Auftragsverarbeiter und braucht eine schriftliche Vereinbarung (AVV) nach Artikel 28 DSGVO.
Diese Vereinbarung regelt Zwecke, Dauer, Datenkategorien, technische Schutzmaßnahmen und Unterauftragnehmer. Wir stellen sie standardmäßig zu Projektbeginn bereit — vor dem ersten Zugriff auf Produktivdaten.
Was heißt Datenschutz durch Technikgestaltung?
- Datensparsamkeit: Nur speichern, was für den Zweck nötig ist — keine „für alle Fälle“-Felder.
- Zugriffskontrolle: Rollen, Rechte und Protokollierung, wer wann welche Daten sieht.
- Verschlüsselung: Übertragung immer, Ablage bei sensiblen Feldern.
- Trennbarkeit: Produktions- und Testdaten getrennt halten, in Testumgebungen keine echten Datensätze.
- Voreinstellungen: Datenschutzfreundliche Standardeinstellungen bei Anlage neuer Nutzer oder Datensätze.
Was gehört in ein Löschkonzept?
Für jede Datenkategorie eine dokumentierte Aufbewahrungsfrist mit Rechtsgrundlage — plus einen Prozess, der Löschungen automatisch oder mindestens routiniert auslöst. Handelsrechtliche Aufbewahrungsfristen (meist zehn Jahre für Buchungsbelege) treten neben die DSGVO und müssen berücksichtigt werden.
In der Praxis heißt das: Wenn ein Kunde ausscheidet, werden Kontaktdaten sofort gelöscht, aber Rechnungen bleiben bis Ende der Aufbewahrungsfrist. Beides muss die Software abbilden können — nicht als Notlösung, sondern als eingebauter Prozess.
Welche Dokumentation ist Pflicht?
- Verzeichnis der Verarbeitungstätigkeiten mit Zweck, Rechtsgrundlage, Datenkategorien und Löschfristen.
- Datenschutz-Folgenabschätzung bei Anwendungen mit hohem Risiko (Profiling, große Bestände sensibler Daten).
- Technische und organisatorische Maßnahmen (TOM) — konkret, nicht als Textbaustein.
- Meldeprozess für Datenpannen mit klaren Rollen und der 72-Stunden-Frist.
Wann brauchen Sie einen Datenschutzbeauftragten?
In Deutschland spätestens ab 20 Personen, die regelmäßig personenbezogene Daten automatisiert verarbeiten — oder unabhängig davon, wenn die Verarbeitung eine Datenschutz-Folgenabschätzung erfordert. Externe Datenschutzbeauftragte sind für viele Mittelständler die pragmatische Wahl.
Was ist mit KI und Modellen aus den USA?
Seit dem Data Privacy Framework 2023 sind US-Anbieter unter bestimmten Bedingungen wieder nutzbar, aber die Anforderungen an Ihre eigene Dokumentation (Zwecke, Datenkategorien, TOM) bleiben. Für besonders sensible Daten prüfen Sie EU-gehostete Alternativen oder eigene Bereitstellung.
DSGVO ist kein Bremsklotz. Sie ist eine Anleitung, wie Software gebaut werden sollte.