Datenschutzprobleme sind einfach zu schaffen und teuer zu beseitigen. Fügen Sie ein Formular ohne Aufbewahrungsregel hinzu, kopieren Sie Produktionsdaten in die Testumgebung, installieren Sie ein praktisches Embed, und die Website erwirbt eine weitere unsichtbare Verpflichtung. Ein Policy-Update beim Start repariert die Architektur nicht.
Artikel 25 der DSGVO verlangt Datenschutz durch Technikgestaltung und durch Voreinstellung. Für einen Entwickler wird das zu einer konkreten Designfrage: Erfasst das Standard-System nur das, was der Dienst benötigt, sendet es nur dorthin, wo es beabsichtigt ist, behält es für einen vereinbarten Zeitraum und unterstützt es die Korrektur oder Löschung?
Diese Checkliste hilft einem technischen Team, diese Kontrollen zu implementieren. Sie wählt keine rechtlichen Grundlagen aus und ersetzt keine rechtliche Beratung.
Daten kartieren, bevor Komponenten ausgewählt werden
Kernpunkt: Kein Formular, Widget oder Integration sollte in den Backlog gelangen, ohne einen benannten Datenfluss.
Für jede Funktion dokumentieren Sie den Eingang, den Zweck, das Ziel, den Zugriff, die Aufbewahrung und den Löschweg. „Kontaktformular“ reicht nicht aus. Ein nützlicher Eintrag beschreibt, welche Felder erfasst werden, wo die Einreichung gespeichert wird, ob eine E-Mail eine Kopie erhält, welche Mitarbeiter sie sehen können und wann beide Kopien verschwinden.
| Frage | Technischer Nachweis |
|---|---|
| Was wird erfasst? | Feldschema und Anforderungs-Payload |
| Wohin geht es? | Netzwerkverlauf und Architekturdiagramm |
| Wer kann darauf zugreifen? | Rollen und Zugriffskontrollkonfiguration |
| Wie lange bleibt es? | Aufbewahrungsjob und Backup-Richtlinie |
| Wie wird es entfernt? | Getestetes Löschverfahren |
Dies wird die Brücke zwischen dem Datenschutzprotokoll und dem implementierten System.
Minimieren Sie die Standardanforderung
Kernpunkt: Erfassen Sie weniger Felder, bevor Sie versuchen, einen größeren Datensatz zu schützen.
Hinterfragen Sie jedes erforderliche Feld. Ein Newsletter benötigt normalerweise keine Telefonnummer. Eine erste Verkaufsanfrage benötigt möglicherweise kein genaues Geburtsdatum. Freitextfelder verdienen besondere Aufmerksamkeit, da Personen sensible Informationen einfügen können, die die Schnittstelle nie angefordert hat.
Verwenden Sie kurze Hinweise, die den Benutzern sagen, was sie nicht einreichen sollen. Wenden Sie serverseitige Validierung an, nicht nur die Validierung im Browser. Vermeiden Sie es, persönliche Daten in URLs, Analytik-Ereignisnamen und ausführlichen Fehlermeldungen zu platzieren. URLs gelangen leicht in Protokolle, den Browserverlauf und Referrer-Header.
Datenminimierung ist nicht nur visuelle Vereinfachung. Bestätigen Sie, dass das Backend keine Identifikatoren, Anreicherungsfelder oder Tracking-Parameter anfügt, die das Formular nie angezeigt hat.
Halten Sie optionale Dienste standardmäßig deaktiviert
Kernpunkt: Der anfängliche Seitenzustand sollte der privateste Zustand sein, der dennoch die angeforderte Seite liefert.
Initialisieren Sie keine optionalen Analysen, Werbung, Chats oder Medien-Embeds und hoffen Sie, dass ein Einwilligungs-Tool sie umkehrt. Bauen Sie die Abhängigkeit so, dass sie nicht geladen werden kann, bis der relevante Zustand dies erlaubt. Eine blockierte Netzwerk-Anfrage ist ein stärkerer Nachweis als ein konfiguriertes Dashboard-Umschalten.
Der Widerruf der Einwilligung muss das zukünftige Verhalten beeinflussen und sollte so zugänglich sein wie die ursprüngliche Wahl. Testen Sie Ablehnung, selektive Annahme, vollständige Annahme und Widerruf als separate Zustände.
Einige Speicher- oder Zugriffsarten können unbedingt erforderlich sein. Diese Klassifizierung benötigt eine rechtliche Überprüfung. Die Implementierung muss dennoch genau damit übereinstimmen.
Trennen Sie Produktion, Staging und Supportzugriff
Kernpunkt: Testumgebungen sollten keine Produktionsdaten aus Bequemlichkeit erhalten.
Verwenden Sie synthetische Daten in der Entwicklung und Staging. Wenn ein außergewöhnlicher Debugging-Fall Produktionsdaten benötigt, erstellen Sie einen kontrollierten, zeitlich begrenzten Prozess mit einem Verantwortlichen und einem Prüfpfad. Lassen Sie keine Datenbank-Exporte in gemeinsamen Ordnern oder auf Entwickler-Laptops zurück.
Der Produktionszugriff sollte individuelle Konten, das Prinzip der minimalen Berechtigung und starke Authentifizierung verwenden. Protokollieren Sie den administrativen Zugriff, aber lassen Sie nicht zu, dass Prüfprotokolle zu einer unkontrollierten zweiten Kopie der zugrunde liegenden persönlichen Daten werden.
Machen Sie die Aufbewahrung ausführbar
Kernpunkt: Ein Aufbewahrungsbefehl ist keine Kontrolle, bis Software oder eine benannte Operation ihn durchsetzt.
Identifizieren Sie jede Kopie: primäre Datenbank, CRM, Postfach, Objektspeicher, Analytik-Plattform, Unterstützungssystem, Protokolle und Backups. Definieren Sie, welches System maßgeblich ist und was passiert, wenn ein Datensatz abläuft.
Automatisieren Sie die Löschung, wo Volumen und Risiko es rechtfertigen. Fügen Sie Monitoring hinzu, damit ein fehlgeschlagener Bereinigungsjob sichtbar wird. Für manuelle Prozesse mit geringem Volumen erstellen Sie einen Verantwortlichen, einen Rhythmus und einen Nachweis. „Wir löschen, wenn nicht mehr benötigt“ ist nicht testbar.
Backups benötigen eine eigene Behandlung. Sofortige selektive Löschung kann in unveränderlichen Backups unpraktisch sein, aber Wiederherstellungsverfahren sollten verhindern, dass abgelaufene Datensätze stillschweigend in aktive Systeme zurückkehren. Die rechtliche Beratung sollte überprüfen, ob der vorgeschlagene Zeitplan und Ausnahmen dem Verarbeitungszweck entsprechen.
Für Zugriff, Korrektur und Löschung gestalten
Kernpunkt: Verwenden Sie einen stabilen internen Referenzwert, damit die Daten einer Person in verschiedenen Systemen ohne umfassende Suche gefunden werden können.
Dokumentieren Sie, wo eine Anfrage eingeht, wie die Identität verifiziert wird, welche Systeme durchsucht werden und wer das Ergebnis genehmigt. Erstellen Sie Exporte, die eine Person verstehen kann, anstatt rohe Tabellen zu dumpen. Testen Sie die Löschung von Anhängen, abgeleiteten Feldern, Warteschlangen und nachgelagerten Integrationen.
Versprechen Sie keine Ein-Klick-Löschfunktion, wenn Mitarbeiter dennoch manuell Kopien entfernen müssen. Beschreiben Sie den tatsächlichen Prozess und verbessern Sie ihn im Laufe der Zeit.
Kontrollieren Sie Abhängigkeiten von Dritten
Kernpunkt: Jeder externe Dienst benötigt einen technischen Verantwortlichen und einen Ausstiegsweg.
Für jeden Verarbeiter oder unabhängigen Empfänger dokumentieren Sie den Zweck, die Datenkategorien, Regionen, Informationen zu Unterverarbeitern, Konfiguration und Vertragsstandorte. Vermeiden Sie es, vollständige Payloads zu senden, wenn ein pseudonymer Identifikator ausreicht. Rotieren Sie Anmeldeinformationen und beschränken Sie API-Bereiche.
Bevorzugen Sie lokale Assets für Schriftarten und Vorschauen, wenn möglich. Verzögern Sie optionale Embeds bis zur Interaktion. Überprüfen Sie internationale Übertragungsvereinbarungen mit qualifizierter Beratung, wenn Daten die EWR verlassen oder aus einem anderen Land zugänglich sind.
Sichtbare Datenschutzkontrollen aufbauen
Kernpunkt: Datenschutzverhalten sollte in CI und Produktion testbar sein, ohne unnötige persönliche Daten zu erfassen.
Nützliche automatisierte Prüfungen umfassen:
- unerwartete Drittanbieter-Hosts vor der Einwilligung
- neue Cookies oder lokale Speicher-Schlüssel
- Formulare, die nicht genehmigte Felder hinzufügen
- Aufbewahrungsjobs, die nicht mehr laufen
- öffentliche Seiten, die persönliche Daten offenlegen
- Analytik-Ereignisse, die E-Mail-Adressen oder vollständige URLs mit Identifikatoren enthalten
Halten Sie den Testnachweis verhältnismäßig. Ein Screenshot, ein bereinigtes HAR und ein Testergebnis können das Verhalten nachweisen, ohne ein weiteres sensibles Archiv zu erstellen.
Halten Sie die Datenschutzerklärung an Releases gebunden
Kernpunkt: Eine Funktion, die den Datenfluss ändert, sollte sowohl eine technische als auch eine Dokumentationsüberprüfung auslösen.
Fügen Sie ein Datenschutz-Auswirkungsfeld zu Pull-Requests oder Release-Tickets hinzu: Ändert diese Änderung die Erfassung, den Versand, die Speicherung, die Offenlegung oder die Löschung von nutzerbezogenen Daten? Ein „Ja“ leitet die Änderung an den Funktionseigentümer und den Datenschutzprüfer vor der Veröffentlichung weiter.
Die Mitteilung sollte reale Zwecke und Empfängerkategorien in einer Sprache benennen, die die Benutzer verstehen können. Sie sollte keine Dienste auflisten, die vor Monaten entfernt wurden, oder ein neues CRM auslassen, weil niemand die Person informiert hat, die die rechtlichen Seiten pflegt.
Start-Checkliste
Kernpunkt: Versenden Sie nur, wenn jede Kontrolle einen Verantwortlichen und Nachweise hat.
| Bereich | Bereit, wenn |
|---|---|
| Inventar | Datenflüsse stimmen mit der bereitgestellten Version überein |
| Minimierung | Jedes erforderliche Feld hat einen Zweck |
| Voreinstellungen | Optionale Anfragen sind zunächst deaktiviert |
| Sicherheit | Umgebungen und Rollen sind getrennt |
| Aufbewahrung | Zeitpläne sind implementiert und überwacht |
| Rechte | Abruf und Löschung wurden getestet |
| Anbieter | Ziele und Konfigurationen sind dokumentiert |
| Mitteilung | Formulierung stimmt mit beobachtetem Verhalten überein |
Häufig gestellte Fragen
Ist Datenschutz durch Technikgestaltung nur für neue Systeme erforderlich?
Nein. Bestehende Systeme sollten überprüft werden, wenn sich Zwecke, Risiken und Technologien ändern. Neue Arbeiten bieten einfach den günstigsten Moment, um die richtige architektonische Wahl zu treffen.
Befriedigt Verschlüsselung den Datenschutz durch Technikgestaltung?
Verschlüsselung ist eine Schutzmaßnahme. Sie rechtfertigt nicht die unnötige Erfassung, löst übermäßige Aufbewahrung nicht oder hindert einen optionalen Dritten nicht daran, Daten zu erhalten.
Wer besitzt die Checkliste?
Das Produkt besitzt den Zweck, die Technik besitzt den Implementierungsnachweis, und qualifizierte Datenschutzberater überprüfen die rechtlichen Schlussfolgerungen. Eine einzelne „DSGVO-Person“ kann nicht genau alle drei isoliert durchführen.
Brauchen kleine Unternehmenswebsites so viele Prozesse?
Der Prozess kann leichtgewichtig sein. Eine kurze Datenfluss-Tabelle, einige Browser-Tests und benannte Löschschritte sind oft ausreichend, um eine einfache Website verständlich und wartbar zu machen.
Offizielle Referenzen
- DSGVO, einschließlich Artikel 5 und 25
- EDPB-Leitlinien zum Datenschutz durch Technikgestaltung und durch Voreinstellung
- Regeln der Europäischen Kommission zu internationalen Datenübertragungen
Für eine evidenzbasierte Grundlage prüfen Sie Ihre Website kostenlos vor und nach jedem Release und lesen Sie unseren Leitfaden zum technischen DSGVO-Website-Audit und dem Leitfaden zu versteckten Drittanbieter-Anfragen.
