Datenschutz bei Softwareprojekten: die fünf Fragen vor dem Start#
27. Oktober 2026 · aktualisiert: 27. Oktober 2026
Von Dmytro Prylutskyi (Über mich), 27. Oktober 2026
Datenschutz wird in Softwareprojekten meist als Papier am Ende behandelt — „macht die Rechtsabteilung". Das ist genau die falsche Reihenfolge: Wo die Daten liegen und wer sie lesen kann, ist eine Architekturentscheidung, und die fällt in Woche 1 oder gar nicht. Fünf Fragen, die Sie vor dem ersten Commit beantwortet haben sollten — als Auftraggeber wie als Entwickler.
1. Wo liegen die Daten — und was heißt das?#
„Bei uns auf dem Server" ist keine Antwort, bis Sie sagen können: bei welchem Anbieter, in welchem Land, in welcher Rechtsform. Die Aufzählung klingt bürokratisch und ist der Kern der Sache: Der Datenort entscheidet über Zugriffswege, Auskunftspraxis und die Frage, was bei einer Kündigung des Anbieters passiert. Meine Regel: Der Datenort wird pro Projekt festgelegt — eine allgemeine Behauptung wie „deutsche Server" taugt nicht als Markenaussage, weil sie über das nächste Projekt schon nicht mehr stimmt.
2. Wer greift zu — und wie ist das begrenzt?#
Zugriffe haben die Angewohnheit, zu wachsen: erst die Entwickler, dann der Support, dann „mal schnell" der Praktikant. Seriös ist ein Zugangskonzept mit individuellen Konten und Mindestrechten — und die ehrliche Aussage, wer im Notfall trotzdem alles sehen kann. Fragen Sie konkret: „Wer kann Kundendaten in Klartext lesen?" Wenn die Antwort länger als ein Satz dauert, fehlt das Konzept.
3. Wie lange bleibt was — und wo ist die Löschung?#
Jeder Datensatz braucht eine Frist mit jemandem, der sie durchsetzt. Für meine Website gilt z. B.: Kontaktdaten aus Anfragen werden 12 Monate nach dem letzten Kontakt gelöscht. Im Projekt heißt die Frage für jedes Datenobjekt neu: Was passiert mit einem Konto nach dem Ende der Geschäftsbeziehung? Bleiben Sicherungskopien die Frist überstehen? Die Antwort gehört in den Scope, nicht in eine Fußnote.
4. Wird ein Auftragsverarbeitungsvertrag gebraucht — und liegt er vor?#
Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet, braucht es einen AVV (Art. 28 DSGVO). Das betrifft nicht nur den Entwickler, sondern jeden in der Kette: Hosting, Mailversand, Backup-Speicher, Analysis-Tools. Fragen Sie nicht „Ist Datenschutz bei euch wichtig?" — fragen Sie „Welche AVVs liegen vor, und für wen fehlen sie?" Eine ehrliche Antwort enthält mindestens einen offenen Punkt; eine perfekte Antwort ist meist die unehrliche.
5. Was passiert bei der Übergabe?#
Der häufigste Datenschutz-Leak bei Projektenden ist banal: Der Entwickler hat noch Zugänge, die niemand widerrufen hat. Zur Übergabe gehört deshalb ein wortlautartiger Punkt: Repository-Treiber wechseln, Zugangsdaten rotieren, Zugriffe entziehen. Meine Übergabe enthält das als Checkliste (Prozess) — der Code gehört Ihnen, und danach sollte ich so viel Zugriff haben wie jeder andere Externe: keinen.
Was das für Ihren Projektvertrag bedeutet#
Diese fünf Fragen sind keine Rechtsberatung, sondern Scoping-Inhalt: Sie gehören in das Dokument, das Umfang und Verantwortung festhält — bei mir heißt es Scope-Sheet. Ein Projekt, das sie in Woche 1 beantwortet, baut Datenschutz in die Architektur; ein Projekt, das sie in Woche 12 beantwortet, baut ihn in die Entschuldigungsschreiben.
Besonders sensibel ist das, wo die Daten ohnehin geschützt sind — Praxis-, Kanzlei- und Mandantendaten. Für diesen Bereich habe ich die Sonderseite Software für Praxen und Kanzleien geschrieben; dort steht zuerst, was ich zu Datenhaltung sage, und danach erst, was ich baue.
Soft-CTA: Wenn Sie vor einem Projekt stehen und unsicher sind, ob Ihre Fragen abgedeckt sind: 20 Minuten kostenloses Erstgespräch — ohne Verkaufsabsicht, mit konkreten Antworten.