Datenschutz im IT-Projekt

Datenschutz im IT-Projekt bedeutet, die Anforderungen der DSGVO von Beginn an in Konzeption, Auswahl und Betrieb einer Lösung einzubauen, statt sie am Ende zu prüfen.

Warum das Thema früh gehört

Datenschutz ist keine Abnahmeprüfung, sondern eine Gestaltungsanforderung. Ob personenbezogene Daten verschlüsselt abgelegt, wie lange sie gespeichert und wie fein Zugriffsrechte geschnitten werden, ist eine Architekturentscheidung. Wird sie erst kurz vor dem Go-Live gestellt, sind die günstigen Handlungsmöglichkeiten bereits vergeben.

Die zentralen Pflichten im Projektkontext

• Rechtsgrundlage: Für jede Verarbeitung muss eine Grundlage benannt sein, etwa Vertrag, rechtliche Verpflichtung oder Einwilligung.
• Datenminimierung: Erhoben wird nur, was für den Zweck erforderlich ist. Felder ohne Verwendungszweck gehören nicht ins Formular.
• Zweckbindung: Daten dürfen nicht ohne Weiteres für andere Zwecke ausgewertet werden.
• Löschkonzept: Für jede Datenart sind Aufbewahrungsfrist und Löschverfahren festzulegen.
• Betroffenenrechte: Auskunft, Berichtigung, Löschung und Datenübertragbarkeit müssen praktisch umsetzbar sein.
• Auftragsverarbeitung: Mit jedem Dienstleister, der Zugriff erhält, ist ein Vertrag zu schließen.

Privacy by Design und by Default

Die DSGVO verlangt datenschutzfreundliche Voreinstellungen. Praktisch heißt das: restriktive Standardrechte statt weitreichender Freigaben, Pseudonymisierung wo möglich, getrennte Test- und Produktivdaten und keine Übernahme echter Personendaten in Testumgebungen. Letzteres ist einer der häufigsten Verstöße in laufenden Projekten.

Wann eine Folgenabschätzung nötig wird

Bei voraussichtlich hohem Risiko für die Rechte betroffener Personen ist eine Datenschutz-Folgenabschätzung durchzuführen, etwa bei umfangreicher Verarbeitung besonderer Datenkategorien, systematischer Bewertung von Personen oder umfassender Überwachung. Sie sollte vor der Systementscheidung beginnen, weil ihr Ergebnis die Auswahl beeinflussen kann.

Praktisches Vorgehen

• Datenschutzbeauftragte früh und nicht nur formal beteiligen.
• Verarbeitungsverzeichnis parallel zum Fachkonzept aufbauen.
• Berechtigungskonzept gemeinsam mit dem Fachbereich entwerfen.
• Löschfristen als funktionale Anforderung erfassen, nicht als Nebensatz.
• Bei Cloud-Lösungen Speicherort, Zugriffe und Unterauftragnehmer dokumentieren.

Abgrenzung

Datenschutz schützt personenbezogene Daten und die Rechte der Betroffenen. Informationssicherheit schützt alle Informationen einer Organisation vor Verlust und unbefugtem Zugriff. Beide überschneiden sich bei technischen Maßnahmen, verfolgen aber unterschiedliche Zwecke.