Einführung neuer Software: Was beim Datenschutz zu beachten ist

Datenschutz bei der Einführung neuer Software: die wichtigsten Schritte

Welche Datenschutzanforderungen konkret gelten, hängt von der jeweiligen Anwendung und den verarbeiteten Daten ab. Einige Punkte sollten Unternehmen jedoch bei nahezu jeder Einführung neuer Software hinsichtlich des Datenschutzes überprüfen.
 

1. Daten und Verarbeitungszweck bestimmen

Zunächst sollte geklärt werden, welche personenbezogenen Daten mit der neuen Software verarbeitet werden. Gleichzeitig muss feststehen, zu welchem Zweck dies geschieht.

Dabei gilt der Grundsatz der Datenminimierung: Es sollten nur die personenbezogenen Daten erhoben und verarbeitet werden, die für den jeweiligen Zweck tatsächlich erforderlich sind.
 

2. Rechtsgrundlage der Verarbeitung prüfen

Für jede Verarbeitung personenbezogener Daten muss eine entsprechende Rechtsgrundlage bestehen. Welche infrage kommt, hängt vom jeweiligen Anwendungsfall ab.

Das kann beispielsweise die Erfüllung eines Vertrags, eine gesetzliche Verpflichtung, ein berechtigtes Interesse oder in bestimmten Fällen eine Einwilligung sein.
 

3. Anbieter und Hosting berücksichtigen

Bei externer Software sollten Unternehmen genau prüfen, wer die Anwendung betreibt und wo die Daten verarbeitet werden.

Relevant sind unter anderem:

• Standort der Server und der Datenverarbeitung
• eingesetzte Unterauftragnehmer
• technische und organisatorische Maßnahmen
• Möglichkeiten zur Verschlüsselung
• Zugriffs- und Berechtigungskonzepte
• Datenübermittlungen in Drittländer

Gerade bei Cloud-Lösungen reicht es daher nicht aus, ausschließlich den Funktionsumfang des Anbieters zu betrachten.
 

4. Auftragsverarbeitung klären

Verarbeitet ein externer Dienstleister personenbezogene Daten im Auftrag des Unternehmens, kann eine Auftragsverarbeitung gemäß Art. 28 DSGVO vorliegen. In diesem Fall ist grundsätzlich ein entsprechender Vertrag zur Auftragsverarbeitung erforderlich.

Darin werden unter anderem Gegenstand und Dauer der Verarbeitung, Art der Daten, betroffene Personengruppen sowie Pflichten und Rechte der Beteiligten geregelt.
 

5. Technische und organisatorische Maßnahmen prüfen

Personenbezogene Daten müssen angemessen vor Verlust, Manipulation und unberechtigten Zugriffen geschützt werden.

Dazu können je nach Anwendung beispielsweise Verschlüsselung, Mehr-Faktor-Authentifizierung, rollenbasierte Zugriffsrechte, Protokollierung, Backup-Konzepte oder regelmäßige Sicherheitsupdates gehören. Welche Maßnahmen angemessen sind, hängt insbesondere vom Risiko der jeweiligen Datenverarbeitung ab.
 

6. Berechtigungs- und Löschkonzept festlegen

Nicht jeder Nutzer einer Software benötigt Zugriff auf sämtliche Informationen. Ein Rollen- und Berechtigungskonzept sollte deshalb definieren, welche Personen oder Personengruppen auf bestimmte Daten und Funktionen zugreifen dürfen.

Gleichzeitig müssen Unternehmen berücksichtigen, wie lange personenbezogene Daten gespeichert werden dürfen. Löschfristen und entsprechende Prozesse sollten möglichst bereits bei der Einführung der Software definiert werden.
 

7. Datenschutz-Folgenabschätzung prüfen

Ist eine Verarbeitung voraussichtlich mit einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen verbunden, kann nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung erforderlich sein.

Dabei werden die geplante Verarbeitung und ihre Risiken systematisch bewertet sowie geeignete Maßnahmen zur Begrenzung dieser Risiken festgelegt. Ob eine Datenschutz-Folgenabschätzung notwendig ist, sollte daher frühzeitig geprüft werden.
 

8. Datenschutzbeauftragten und gegebenenfalls Betriebsrat einbeziehen

Verfügt das Unternehmen über einen Datenschutzbeauftragten, sollte dieser frühzeitig in die Einführung eingebunden werden. So können datenschutzrechtliche Anforderungen bereits während der Auswahl und Implementierung berücksichtigt werden.

Bei Software, die Beschäftigtendaten verarbeitet oder eine Überwachung des Verhaltens beziehungsweise der Leistung von Mitarbeitenden ermöglichen kann, können zudem Mitbestimmungsrechte des Betriebsrats relevant sein.
 

9. Dokumentation aktualisieren

Mit der Einführung einer neuen Software können sich bestehende Verarbeitungstätigkeiten verändern oder neue hinzukommen. Unternehmen sollten deshalb unter anderem prüfen, ob ihr Verzeichnis von Verarbeitungstätigkeiten angepasst werden muss.

Auch Datenschutzhinweise, interne Richtlinien oder weitere Dokumentationen können von der Einführung betroffen sein.

Datenschutz bei Cloud-Software: Datenstandort und Anbieter prüfen

Viele moderne Unternehmensanwendungen werden heute als Cloud-Lösung bereitgestellt. Dadurch übernimmt ein externer Anbieter wesentliche Teile der technischen Infrastruktur.

Für den Datenschutz bedeutet das: Unternehmen sollten nachvollziehen können, wo und durch wen personenbezogene Daten verarbeitet werden.

Besondere Aufmerksamkeit ist erforderlich, wenn Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übertragen werden. Eine solche Übermittlung ist nicht grundsätzlich ausgeschlossen, kann aber zusätzliche datenschutzrechtliche Anforderungen mit sich bringen.

Ein Hosting in Deutschland oder innerhalb der EU kann bestimmte Fragestellungen rund um internationale Datentransfers reduzieren. Es macht eine Software jedoch nicht automatisch DSGVO-konform. Entscheidend bleibt die gesamte Datenverarbeitung innerhalb der jeweiligen Lösung.

Individuelle Software datenschutzgerecht konzipieren

Datenschutz lässt sich sowohl bei Standardsoftware als auch bei individuell entwickelten Lösungen von Anfang an berücksichtigen. Entscheidend ist, dass die eingesetzte Software zu den Anforderungen des Unternehmens und den jeweiligen Verarbeitungsprozessen passt.

Bei einer individuellen Softwareentwicklung können Anforderungen an Datenverarbeitung, Rollen und Berechtigungen, Schnittstellen oder technische Sicherheitsmaßnahmen gezielt in die Konzeption einfließen. Funktionen und Prozesse lassen sich dadurch auf den konkreten Anwendungsfall abstimmen.

Gleichzeitig können DSGVO-konforme Softwareprodukte eine sinnvolle Wahl sein, wenn deren Funktionsumfang bereits zu den Anforderungen des Unternehmens passt. HEDGEHOG bietet deshalb sowohl eigene Softwarelösungen als auch individuelle Softwareentwicklung für spezifische Anforderungen an.

Auch die technische Infrastruktur spielt eine wichtige Rolle. Je nach Lösung können beispielsweise ein klar definierter Datenstandort und Hosting in Deutschland Bestandteile eines datenschutzgerechten Gesamtkonzepts sein. HEDGEHOG setzt dies beispielsweise mit Hilfe der Rechenzentren der BADEN CLOUD^® um.