DSGVO-Compliance in der Softwareentwicklung: 6 technische Prüfungen für Entwicklerteams

Ein praxisorientierter Leitfaden zu Datenschutz, Datenflüssen und Compliance-Nachweisen im Entwicklungsprozess.

Datenschutz wird in vielen Softwareprojekten erst dann ausführlich behandelt, wenn ein Produkt kurz vor der Veröffentlichung steht oder eine Datenschutzprüfung ansteht. Zu diesem Zeitpunkt können grundlegende Entscheidungen bereits feststehen: Welche Daten werden gespeichert? Welche externen APIs erhalten Zugriff? Wie lange bleiben Protokolle erhalten? Und wer kann personenbezogene Informationen einsehen?

Für Entwicklerteams ist es deshalb sinnvoll, Datenschutzanforderungen frühzeitig in den Software Development Lifecycle (SDLC) einzubeziehen.
Die Datenschutz-Grundverordnung (DSGVO) betrifft nicht nur juristische Dokumente. Sie kann auch Architekturentscheidungen, Datenbankmodelle, Berechtigungskonzepte, Logging, Monitoring und den Betrieb von Anwendungen beeinflussen.

Die folgenden sechs Prüfungen helfen Ihnen, Datenschutzanforderungen in konkrete technische Aufgaben zu übersetzen.

1. Erfassen Sie personenbezogene Daten und ihre Datenflüsse

Bevor Sie Datenschutzmaßnahmen implementieren, sollten Sie nachvollziehen können, welche personenbezogenen Daten Ihr System verarbeitet.
Dazu gehören nicht nur offensichtliche Informationen wie Namen und E-Mail-Adressen. Je nach Kontext können auch IP-Adressen, Gerätekennungen, Nutzungsdaten oder Kennungen in Anwendungsprotokollen personenbezogen sein.

Erstellen Sie eine Übersicht mit folgenden Informationen:

• Welche Daten werden erfasst?
• Aus welcher Quelle stammen sie?
• Zu welchem Zweck werden sie verarbeitet?
• In welchen Datenbanken oder Diensten werden sie gespeichert?
• An welche externen Systeme werden sie übermittelt?
• Wie lange werden sie aufbewahrt?

Ein vereinfachtes Beispiel für eine Webanwendung könnte so aussehen:

Browser
|
v
Web Application
|
+----> User Database
|
+----> Analytics Service
|
+----> Application Logs
|
+----> External API
Diese Übersicht macht sichtbar, an welchen Stellen personenbezogene Daten verarbeitet oder weitergegeben werden könnten.

Praktischer Tipp: Dokumentieren Sie Datenflüsse gemeinsam mit Ihrer Systemarchitektur. Aktualisieren Sie die Dokumentation, wenn Sie neue Dienste integrieren oder bestehende Verarbeitungsvorgänge verändern.

2. Implementieren Sie Datenschutz durch Technikgestaltung

Art. 25 DSGVO behandelt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Für Entwicklerteams bedeutet das unter anderem, Datenschutz bereits bei Architektur und Implementierung zu berücksichtigen.

Ein häufiger Ansatz ist die Datensparsamkeit: Erheben und verarbeiten Sie nur die personenbezogenen Daten, die für den jeweiligen Zweck erforderlich sind.

Prüfen Sie beispielsweise:

• Werden unnötige Profilfelder erfasst?
• Sind sensible Informationen in API-Antworten enthalten, obwohl sie nicht benötigt werden?
• Haben Benutzer standardmäßig Zugriff auf zu viele Daten?
• Werden personenbezogene Daten länger gespeichert als erforderlich?
• Sind datenschutzfreundliche Einstellungen standardmäßig aktiviert?

Ein API-Endpunkt sollte beispielsweise nicht automatisch sämtliche Daten eines Benutzerkontos zurückgeben, wenn die jeweilige Funktion nur den Anzeigenamen benötigt.

Auch die Trennung von Test- und Produktionsdaten ist wichtig. Verwenden Sie für Entwicklung und Tests möglichst synthetische oder angemessen anonymisierte Daten, statt produktive personenbezogene Datensätze unkontrolliert zu kopieren.

3. Überprüfen Sie Berechtigungen und Datenzugriffe

Ein funktionierendes Authentifizierungssystem allein gewährleistet noch keine angemessene Zugriffskontrolle.

Ihre Anwendung sollte prüfen, ob ein Benutzer tatsächlich berechtigt ist, auf die angeforderten Daten zuzugreifen. Diese Prüfung muss serverseitig erfolgen und darf nicht ausschließlich von der Benutzeroberfläche abhängen.

Eine technische Überprüfung kann folgende Fragen umfassen:

• Werden Berechtigungen bei jedem relevanten API-Aufruf geprüft?
• Sind Rollen und Zugriffsrechte klar definiert?
• Können Benutzer fremde Datensätze durch manipulierte IDs abrufen?
• Sind administrative Funktionen ausreichend geschützt?
• Werden Zugriffe auf sensible Informationen angemessen protokolliert?

Ergänzen Sie Ihre automatisierten Tests um Fälle, in denen ein Benutzer versucht, auf Daten eines anderen Kontos zuzugreifen.

Beispielsweise sollte ein Test nicht nur bestätigen, dass ein berechtigter Benutzer seine Daten abrufen kann. Er sollte auch prüfen, dass ein nicht berechtigter Benutzer keinen Zugriff erhält.

Solche Tests unterstützen die technische Umsetzung geeigneter
Sicherheitsmaßnahmen. Die konkrete Ausgestaltung muss sich an den Risiken und Anforderungen des jeweiligen Systems orientieren.

4. Gestalten Sie Logging und Monitoring datenschutzbewusst

Logs sind für Fehleranalyse, Sicherheitsüberwachung und Incident Response wichtig. Gleichzeitig können sie personenbezogene Informationen enthalten.
Ein häufiger Fehler besteht darin, vollständige API-Anfragen oder Antworten zu protokollieren. Dadurch können beispielsweise E-Mail-Adressen, Zugriffstoken oder andere vertrauliche Angaben in Logsysteme gelangen.

Prüfen Sie deshalb Ihre Logging-Konfiguration:

• Vermeiden Sie unnötige personenbezogene Informationen.
• Entfernen oder maskieren Sie sensible Felder, bevor Daten protokolliert werden.
• Speichern Sie keine Passwörter oder geheimen Zugriffstoken in Logs.
• Begrenzen Sie Zugriffsrechte auf zentrale Logsysteme.
• Definieren Sie Aufbewahrungs- und Löschfristen.
• Prüfen Sie, welche Daten externe Monitoring-Dienste erhalten.

Ein einfaches Beispiel für eine Lognachricht ohne unnötige Nutzerdaten:

logger.info("User profile updated", {
event: "profile_update",
requestId: request.id,
status: "success"
});

Die konkrete Implementierung hängt von Ihrem Logging-Framework ab. Entscheidend ist, dass Diagnoseinformationen verfügbar bleiben, ohne unnötig personenbezogene Daten zu sammeln.

5. Integrieren Sie Datenschutzprüfungen in CI/CD

Datenschutzanforderungen lassen sich nicht vollständig automatisieren. Bestimmte technische Kontrollen können jedoch in bestehende Entwicklungsprozesse integriert werden.

Eine CI/CD-Pipeline kann beispielsweise Tests und Prüfungen ausführen, bevor Änderungen bereitgestellt werden.

Ein einfaches Pipeline-Konzept könnte so aussehen:

Code Commit
|
v
Unit and Integration Tests
|
v
Security Checks
|
v
Privacy-Related Tests
|
v
Code Review
|
v
Deployment

Nicht jede Datenschutzanforderung lässt sich durch einen automatisierten Test abbilden. Ob beispielsweise eine Datenschutz-Folgenabschätzung erforderlich ist, hängt von der konkreten Verarbeitung und ihrer Risikosituation ab.

Die Pipeline sollte daher technische Kontrollen mit dokumentierten Prüf- und Freigabeprozessen verbinden.

6. Dokumentieren Sie Änderungen und Compliance-Nachweise

Software verändert sich kontinuierlich. Neue Funktionen, zusätzliche Datenfelder, externe Integrationen oder geänderte Speicherfristen können Auswirkungen auf bestehende Datenschutzprozesse haben.

Deshalb sollten Sie technische Änderungen mit den relevanten Dokumentationsaufgaben verbinden.

Eine praktische Checkliste für Code Reviews kann beispielsweise folgende Fragen enthalten:

• Verarbeitet die Änderung neue personenbezogene Daten?
• Ändert sich der Zweck einer bestehenden Verarbeitung?
• Werden zusätzliche externe Dienste eingebunden?
• Ändern sich Berechtigungen oder Speicherfristen?
• Muss die Dokumentation der Verarbeitungstätigkeiten aktualisiert werden?
• Ist eine zusätzliche Datenschutzprüfung erforderlich?

Nicht jede Codeänderung erfordert eine vollständige Datenschutzprüfung. Ein klar definierter Prozess hilft jedoch, relevante Änderungen frühzeitig zu erkennen.

Für Unternehmen mit umfangreichen Datenschutzprozessen kann eine zentrale Compliance-Lösung dabei helfen, Verantwortlichkeiten, Dokumente, Prüfungen und offene Maßnahmen zu verwalten. Die Software sollte dabei zu den tatsächlichen Arbeitsabläufen des Unternehmens passen.

Wie hängen technische Datenschutzmaßnahmen und Compliance-Software zusammen?
Technische Kontrollen und Compliance-Management erfüllen unterschiedliche Aufgaben.

Entwicklerteams implementieren beispielsweise Zugriffskontrollen, Datenminimierung, sichere Protokollierung und automatisierte Tests. Datenschutz- und Compliance-Verantwortliche beurteilen unter anderem die relevanten Verarbeitungsvorgänge, koordinieren erforderliche Bewertungen und organisieren Nachweise.

Eine gute Zusammenarbeit zwischen diesen Bereichen verhindert, dass technische Maßnahmen und Datenschutzdokumentation unabhängig voneinander gepflegt werden.

Wenn Sie unterschiedliche Lösungen für diese Aufgaben bewerten, können Sie sich anhand eines Vergleichs von fünf DSGVO-Compliance-Softwarelösungen für 2026 einen Überblick über mögliche Ansätze verschaffen.

Entscheidend ist nicht die Anzahl der Funktionen einer Plattform, sondern ob sie Ihre tatsächlichen Prozesse unterstützt und sich sinnvoll in bestehende Arbeitsabläufe integrieren lässt.

Fazit

Datenschutz sollte kein abschließender Kontrollschritt vor dem Produktstart sein. Er lässt sich besser in die Softwareentwicklung integrieren, wenn Datenflüsse dokumentiert, Berechtigungen getestet, Logs datenschutzbewusst gestaltet und relevante Änderungen nachvollziehbar verwaltet werden.

Die sechs Prüfungen bieten einen Ausgangspunkt für Entwicklerteams, die Datenschutzanforderungen systematischer in ihren Entwicklungsprozess einbeziehen möchten.

Beginnen Sie mit einer Übersicht der personenbezogenen Daten und ihrer Datenflüsse. Ergänzen Sie anschließend konkrete Tests und Prüfungen dort, wo sie in Ihre bestehende Architektur und CI/CD-Pipeline passen.