Das Datenschutz eine entscheidende Rolle in Unternehmen spielt, wissen wir bereits. Doch wie wichtig der Datenschutz und die DSGVO auch im Bereich der Softwareentwicklung ist, ist vielen leider noch nicht bekannt. Doch gerade durch die DSGVO sind viele Bereiche in der Softwareentwicklung betroffen und die Herausforderungen entstehen, direkt bei der Entwicklung neuer Apps, Portalen, Plattformen, Diensten etc. datenschutzkonform zu agieren, um bei der Produkteinführung nicht über vorhersehbare Stolpersteine zu fallen.
Die Lösung dafür ist Privacy by Design. Was dies bedeutet, welchen Stellenwert es für Softwareentwickler, Auftraggeber und Nutzer hat, erklären wir Ihnen in diesem Artikel.
Privacy by Design – von Anfang an datenschutzkonform entwickeln
Heutzutage nimmt der Datenschutz, zum Glück, einen sehr hohen Stellenwert im Unternehmen ein. Viele Auftraggeber für Softwareprogramme prüfen schon im Vorhinein, ob die beauftragte Firma auch datenschutzkonform arbeitet. (Worauf hierbei geachtet werden soll lesen Sie auch in diesem Artikel: SaaS- Auswahl der richtigen cloudbasierten Anwendung) Manchen Auftraggeber haben auch einen ganzen Katalog mit eigenen Vorgaben entwickelt.
Wie funktioniert Privacy by Design? Welche Schritte sind zu beachten?
Erstellung und Evaluierung der Verträge
Im ersten Schritt werden das Vertragswerk inklusive des AVVs (Auftragsverarbeitungsvertrag) zwischen dem Softwareunternehmen und dem Auftraggeber erstellt und abgestimmt. Da die meisten Softwareunternehmen Wartungsverträge eingehen, um auch langfristig ihre Kunden betreuen zu können, Wartungen vorzunehmen oder den Kundensupport zu übernehmen und die Unternehmen somit Zugriff auf die Nutzerdaten besitzen, sind sie somit Auftragsverarbeiter. Aus diesem Grund wird auch ein AVV benötigt. In diesem AVV müssen bereits vor der eigentlichen Programmierung ALLE Datenkategorien bestimmt und festgehalten werden. (Vergleich Art. 4 DSGVO) Der Auftraggeber und -nehmer müssen somit im Vorfeld bestimmen, welche Daten benötigt werden, ob diese direkt (beispielsweise der Name, Alter, Wohnort – alle Daten, die direkt auf die Person zuordenbar sind) oder indirekt (z. B. Standortdaten, die nur zur Profilerstellung genutzt werden) zuordenbar sind. Gerade wenn es um besondere Daten (z.B. Gesundheitsdaten) geht, steht auch schon an dieser Stelle fest, dass der Auftraggeber für den Einsatz der neunen Software eine Datenschutzfolgeabschätzung (DSFA) durchführen muss.
Des Weiteren ist bei dem Regelwerk zu beachten, dass mehrere Grundprinzipien der Datenerhebung auch bei der Softwareentwicklung gelten. Hierbei seien mit der „Rechtmäßigkeit der Verarbeitung“ und der „Zweckbindung“ nur einige aus dem Artikel 5 DSGVO genannt. Prinzipiell ist bei der Entwicklung auf Datensparsamkeit bzw. -minimierung zu achten, denn Daten, die nicht erhoben werden, können im Nachgang auch keine Schwierigkeiten machen.
Anforderungsevaluierung
Auf Basis der erstellten Verträge und des AVVs wird nun eine Anforderungsevaluierung erstellt. Im besten Fall liegen ebenfalls Programmierstandards des Auftraggebers vor, die leider selten vorhanden sind. In diesem Schritt wird bestimmt, was genau mit der Software bewirkt werden soll, wie die Datenbanken aufgebaut und geschützt werden und welche Daten an welchen Stellen abgefragt und gespeichert werden. Die Anforderungsevaluierung beinhaltet auch den Zweck der Datenverarbeitung, der laut Art. 5 Abs. 1 lit. b DSGVO verpflichtend ist. Nach der Anforderungsevaluierung richtet sich am Ende auch das Schutzniveau der Software. Beispielsweise benötigen Gesundheitsdaten einen höheren Schutz als einfache Auskunftsdaten.
Ablauf und Prozesse bestimmen und durchlaufen – die eigentliche Programmierung beginnt
Nachdem die Anforderungen und der Aufbau der Software geregelt ist und somit feststeht, was detailliert benötigt wird, geht die Softwareprogrammierung in die Bestimmung des Ablaufes und der einzelnen Prozesse über. Hierbei wird bestimmt, was wann gemacht wird und welche Dokumente benötigt werden. Die Arbeitsweise ist sehr individuell und kann beispielsweise in unterschiedlichen Sprints entstehen oder als Wasserfallmethode im klassischen Projektmanagement. Wichtig ist es an dieser Stelle die passenden Fragen zu stellen, zu beantworten und zu dokumentieren. Während des Prozesses müssen beispielsweise die Schrittfolgen geklärt und dokumentiert werden, wie die Daten wieder gelöscht werden können, also aus dem System entfernt werden. Parallel zu der eigentlich Softwareentwicklung findet bei Privacy by Design die Entwicklung des Datenschutzkonzeptes für die Software statt. Hierbei werden die Schutzstruktur der Daten dokumentiert und die Frage nach der benötigten Datenbankstruktur beantwortet. Zusätzlich werden in diesem Schritt die Workflows abgebildet, die im Nachgang, bei Unklarheiten, von enormer Bedeutung sein können. Laut Art. 28 DSGVO sind für die Verarbeitung personenbezogener Daten nicht nur der Kunde (also das Unternehmen, welches die Software bestellt), sondern auch das Software-Unternehmen mitverantwortlich. Das Softwareunternehmen ist somit bei Auskunftsverlangen zur Mithilfe verpflichtet und sollte bereits in dem Entstehungsprozess die zweckgebundenen Workflows bedenken, um seinen Kunden eine schnelle und präzise Auskunft geben zu können. An dieser Stelle ist es auch wichtig eine Validierung des Testsystems durchzuführen, um eventuelle Fehler im Workflow nicht erst im nach hinein festzustellen. Gerade im Pharmabereich ist das ein k.o.-Kriterium.
Übergabe der Software an den Kunden
Der letzte Schritt ist die Übergabe der Software an den Kunden, sodass die Anwendung gelauncht werden kann. Hierbei sollte nicht nur die Übergabe der eigentlichen Anwendung geschehen, sondern gleichzeitig die komplette Übergabe der Datenschutzdokumentation/Datenschutzkonzepte. Die Dokumente sind hierbei ähnlich anzusehen, wie bei einem Datenschutzprozess im Unternehmen: Während ein Unternehmen in der Dokumentation u.a. ein Löschkonzept, ein Sicherheitskonzept und den Auditbereich niederschreibt, ist dies auch für jedes einzelne Softwareprodukt empfehlenswert. So kann die neue Software direkt bei der Einführung nicht nur vom unternehmensinternem (oder externem) Datenschutzbeauftragten mit den Unternehmensrichtlinien einfach abgeglichen werden, sondern das Konzept schafft Vertrauen bei dem Unternehmen und Endkunden.
Herausforderungen
Noch ist der Privacy by Design Bereich nicht umfassend im Datenschutz geregelt, allerdings müssen neue Technologien alle datenschutzkonform entwickelt werden. Während vorhandene Plattformen, die eventuell modular gewachsen sind, nun alle Bereiche detailliert prüfen und anpassen müssen, können neue Softwareanwendung auf den bestehenden Regularien der DSGVO bereits aufbauen und diese beachten. Wir sind sicher, dass es irgendwann Datenschutzstandards nicht nur für Unternehmen, sondern auch für einzelne Produkte geben wird. Ein Datenschutzberater kann allerdings die Unternehmensstandards bereits jetzt auf die einzelnen Produkte projizieren und einzelne Aufgaben und Möglichkeiten ableiten. Aus diesem Grund ist es vom Vorteil direkt zu Beginn die zwei Bereiche (Datenschutz und Entwicklung) zu verbinden und gemeinsam die Software zu erstellen. So kann die neue Software bereits bei der Erstellung der Verträge (inkl. AVV) mit dem Auftraggeber, über die Anforderungsevaluierung bis hin zur Programmierung auf datenschutzkonformen Beinen stehen. Ein Datenschutzberater fungiert hierbei ebenfalls als Schnittstelle zwischen Softwareentwickler und Auftraggeber, kann die Besonderheiten einzelner Branchen prüfen und zwischen den beiden Bereichen vermitteln.
Empfehlung von LITC
Es ist empfehlenswert in das Entwickelteam einen Datenschutzberater direkt zu Beginn zu integrieren. Dieser sollte den kompletten Prozess betreuen und die notwendigen Dokumente zur Übergabe an den Kunden parallel zur Entwicklung erstellen. Das erstellte Privacy by Design Konzept, welches dem Datenschutzkonzept eines Unternehmens ähnelt, schafft nicht nur Vertrauen auf Seiten des Auftraggebers, sondern bietet alle Unterlagen zur Überprüfung direkt an. Dies ist für Auskunftsverlangen oder Überprüfungen einzelner Software eine enorme Hilfestellung und spart somit Kosten und Zeit auf beiden Seiten.
Weiterführende Quellen:
– Artikel: Die EU-DSGVO in der Softwareentwicklung von Christian Rentrop / Stephan Augsten
Sie haben noch Fragen zu dem Bereich Privacy by Design? Sie möchten einen Datenschutzberater in Ihre Programmierung integrieren und die nötige Dokumentation erstellen lassen? Ich berate Sie gerne und gehe mit Ihnen gemeinsam die einzelnen Schritte durch, sodass Sie Ihre Anwendung von Beginn an datenschutzkonform aufbauen. Schreiben Sie mir eine Email: info@litc.de