Datenschutz beginnt im Code
Warum Compliance nicht beim Anwalt, sondern in der Entwicklung beginnt
Bei Compliance handelt es sich nicht um einen nachträglichen Kontrollprozess, sondern um einen integralen Bestandteil der technischen Umsetzung
Ganz klar eine juristische Aufgabe – nein, das ist Datenschutz schon längst nicht mehr. Während Unternehmen weiter in Compliance, Governance und Risk Management investieren, geschieht der entscheidende Fehler oft ganz am Anfang – beim Entwickeln von Software. Wer Datenschutz erst am Ende eines Projekts prüft, handelt nicht nur riskant, sondern auch ineffizient. Eine neue Perspektive setzt sich immer mehr durch. Das weiß Dr. Johann Sell, Software Development Team Lead bei der mip Consult GmbH: "Datenschutz muss direkt in den Code, und zwar von Anfang an. Bei Compliance handelt es sich nicht um einen nachträglichen Kontrollprozess, sondern um einen integralen Bestandteil der technischen Umsetzung. Beispielsweise gibt es die gesetzliche Vorgabe von ‚Privacy by Design‘ in Artikel 25 DSGVO." Aber was bedeutet das in der Praxis? "Aktuell sind die wenigsten Entwicklerteams dafür strukturell oder methodisch aufgestellt", so der Experte. Hier klafft eine gefährliche Lücke zwischen juristischer Theorie und technischer Realität.
Von der Rechtsnorm zur Codezeile
Nicht durch bewusste Nachlässigkeit, sondern durch technische Komplexität und unklare Zuständigkeiten: So entstehen die meisten Datenschutzverletzungen. Besonders in agilen Entwicklungsteams fehlt oft das Bewusstsein, wie tiefgreifend sich Designentscheidungen auf Datenschutz und Informationssicherheit auswirken. "Ein Beispiel: Eine scheinbar harmlose Logging-Funktion speichert unverschlüsselt IP-Adressen – und wird übersehen. Erst ein Audit oder im ungünstigeren Fall ein Datenschutzvorfall deckt den Verstoß auf. Neben hohem Reputationsschaden kommt es zu möglichen Bußgeldern oder Schadenersatzansprüchen", skizziert Dr. Sell. "Hätte das Entwicklerteam von Beginn an datenschutzkonforme Prinzipien berücksichtigt – etwa Datenminimierung, Verschlüsselung oder Pseudonymisierung –, wäre dieser Fehler vermeidbar gewesen." Was in der Praxis als Feature-Request beginnt, endet schnell in einer Architektur, die personenbezogene Daten unnötig sammelt, schlecht schützt oder unkontrolliert weiterverarbeitet. Dabei sind es häufig kleine Entscheidungen im Code, die große rechtliche Auswirkungen haben.
Entwicklung als moderner Datenschutz
Heute steht jeder, der Software baut, automatisch auch in der Verantwortung für Datenschutz und IT-Sicherheit. Ein Paradigmenwechsel hat stattgefunden. Das erfordert zum einen neue Kompetenzen, zum anderen aber auch neue Rollenbilder in IT-Teams. Schulungen, Guidelines und Security-by-Design-Konzepte leisten ihren Beitrag – reichen aber oft nicht aus. "Es braucht technische Partner, die sowohl rechtliche Anforderungen verstehen als auch tief in der Softwarearchitektur zu Hause sind. Hier bieten sich interdisziplinäre Teams aus Softwareentwicklern, IT-Security-Experten und zertifizierten Datenschutzbeauftragten an", zeigt der Experte auf. Gemeinsam analysieren sie bestehende Systeme, beraten bei neuen Projekten oder begleiten die Einführung datenschutzsensibler Anwendungen in verschiedenen Bereichen wie Cloud-Infrastruktur, KI, E-Commerce oder Medizinprodukte.
Wandel notwendig
Mit Blick auf Regulierungen wie den EU Data Act, strengere Anforderungen an internationale Datentransfers und steigende Cyberrisiken nimmt die Relevanz stetig zu. Datenschutz ist keine lästige Pflicht, sondern Voraussetzung für digitale Wettbewerbsfähigkeit. "Unternehmen, die frühzeitig in sichere und datenschutzkonforme Software investieren, reduzieren nicht nur rechtliche Risiken, sondern stärken auch Kundenvertrauen und Innovationskraft", erklärt Dr. Sell. "Wer Datenschutz ernst nimmt, muss ihn dort denken, wo die Daten entstehen, verarbeitet und gespeichert werden, nämlich im Code. Compliance beginnt nicht erst in der Rechtsabteilung, sondern bereits beim Entwickeln, Testen und Ausrollen digitaler Produkte." Als zentrale Pfeiler der digitalen Wertschöpfung verkörpern Datenschutz und Informationssicherheit keine separaten Compliance-Themen mehr. "Unternehmen müssen weg von isolierten Datenschutzprüfungen hin zu einer integrierten Compliance-Strategie, die rechtliche und sicherheitsrelevante Anforderungen direkt in technische Prozesse, Designentscheidungen und Entwicklungsmethoden übersetzt", schließt er ab. (mip Consult: ra)
eingetragen: 06.08.25
