Datenschutz für Softwareentwicklung und IT

Eine praxisorientierte Einführung

verfasst von: Prof. Dr. Ralf Kneuper

Verlag: Springer Berlin Heidelberg

Enthalten in: Springer Professional "Wirtschaft+Technik" , Springer Professional "Technik" , Springer Professional "Wirtschaft"

Einloggen, um Zugang zu erhalten

Über dieses Buch

Dieses Buch beschreibt das Thema Datenschutz aus der Sicht von Softwareentwicklung und IT. Die Verantwortlichen in diesen Bereichen gestalten die praktische Umsetzung des Datenschutzes zu erheblichen Teilen mit, benötigen dafür aber entsprechende Kenntnisse über die rechtlichen Rahmenbedingungen und Möglichkeiten zu deren Umsetzung. Der Fokus dieses Buchs liegt daher auf den Aspekten des Datenschutzes, die durch Softwareentwicklung stark beeinflusst werden, wie z.B. Privacy by Design, Privacy by Default, Datenminimierung, Umsetzung von Auskunftsrechten sowie Datenlöschung.

Inhaltsverzeichnis

Frontmatter

Kapitel 1. Einführung

Zusammenfassung

Datenschutz dient – anders als die Bezeichnung nahelegt – nicht dem Schutz von Daten, sondern dem Schutz von Individuen vor Missbrauch ihrer Daten. Trotzdem wird der Datenschutz oft als bürokratisches Hindernis betrachtet, das es zu umgehen gilt, wenn man es schon nicht ignorieren kann. Angestoßen durch die europäische Datenschutz-Grundverordnung hat der Datenschutz in der EU und darüber hinaus aber 2018 einen wesentlich höheren Stellenwert bekommen. Das hat auch Auswirkungen auf Softwareentwicklung und IT, einerseits in ihrer Rolle als Gestalter des Datenschutzes, andererseits als selbst vom Datenschutz Betroffene. Das vorliegende Kapitel gibt daher eine Einführung in die Grundideen des Datenschutzes, und die Rolle sowie die Verantwortung von Softwareentwicklung und IT in diesem Kontext. Ergänzt wird diese Einführung durch einen ersten Überblick über die relevanten rechtlichen Grundlagen, insbesondere die Datenschutz-Grundverordnung und andere Referenzmodelle für den Datenschutz.

Ralf Kneuper

Kapitel 2. Allgemeine Grundlagen des Datenschutzes nach DSGVO

Zusammenfassung

Die wichtigste, wenn auch nicht die einzige Grundlage für Datenschutz in Europa ist die DSGVO. Das vorliegende Kapitel gibt eine Einführung in dieses Gesetz und seine Anforderungen, mit Schwerpunkt auf den für die Softwareentwicklung und IT relevanten Inhalten als Basis für deren in den folgenden Kapiteln beschriebene Umsetzung. Nach einem Überblick über die grundlegenden in der DSGVO verwendeten Begrifflichkeiten werden die in der DSGVO formulierten Grundsätze des Datenschutzes wie Rechtmäßigkeit, Datenminimierung und Speicherbegrenzung eingeführt. Ein weiterer zentraler Bestandteil der DSGVO sind die dort definierten Rechte der Betroffenen, beispielsweise das Recht auf Auskunft. Anschließend werden die grundlegenden Konzepte der Identifizierbarkeit, der Pseudonymisierung und der Anonymisierung betrachtet. Das Kapitel schließt ab mit einer Einführung in einige weitere für die Softwareentwicklung und IT relevante Regelungen der DSGVO, beispielsweise die Datenschutzfolgenabschätzung.

Ralf Kneuper

Kapitel 3. Grundsätze des Datenschutzes und deren Umsetzung

Zusammenfassung

Die DSGVO definiert in Artikel 5 eine Reihe von Grundsätzen des Datenschutzes, beispielsweise die Rechtmäßigkeit oder die Datenminimierung wie im vorigen Kapitel eingeführt. Aus diesen Grundsätzen folgen Anforderungen an die Softwareentwicklung, und insbesondere an die zu entwickelnde Software. Das aktuelle Kapitel gibt einen Überblick über die Interpretation der Grundsätze des Datenschutzes im Kontext der Softwareentwicklung und der IT, sowie über die daraus folgenden Anforderungen an Software und ihre Entwicklung. Um beispielsweise den Grundsatz der Speicherbegrenzung umzusetzen, wird ein Löschkonzept und die passende Löschfunktionalität benötigt, sowohl für strukturierte als auch unstrukturierte Daten.

Ralf Kneuper

Kapitel 4. Rechte der Betroffenen und deren Umsetzung

Zusammenfassung

Neben den bereits betrachteten Grundsätzen des Datenschutzes definiert die DSGVO eine Reihe von Rechten der Betroffenen, also der Personen, deren Daten verarbeitet werden. Diese Rechte umfassen beispielsweise das Recht auf Auskunft und die Rechte auf Berichtigung oder Löschung der Daten. Um diese Rechte umzusetzen, muss ein Softwaresystem bestimmte Funktionalitäten zur Verfügung stellen. Beispielsweise müssen Daten über eine bestimmte Person auch in unstrukturierten Datensammlungen auffindbar sein, um darüber Auskunft zu geben, sie zu berichtigen oder zu löschen. Das vorliegende Kapitel beschreibt die Bedeutung der Betroffenenrechte für Softwareentwicklung und IT, einschließlich der aus diesen Rechten folgenden Anforderungen an zu entwickelnde Software, wobei diese sich teilweise mit den aus den Grundsätzen folgenden Anforderungen überschneiden.

Ralf Kneuper

Kapitel 5. Austausch von Daten zwischen Beteiligten

Zusammenfassung

Aus der ausgeprägten Arbeitsteilung in der Wirtschaft ergibt sich in vielen Fällen der Bedarf, auch die Verarbeitung von personenbezogenen Daten zwischen verschiedenen Beteiligten aufzuteilen. IT-Unternehmen agieren beispielsweise häufig als Auftragsverarbeiter, die im Auftrag eines Kunden bestimmte Daten verarbeiten, und auch als Teilaufgabe der Softwareentwicklung ist dies häufig der Fall. Manchmal schwierig abzugrenzen, rechtlich gesehen aber eine deutlich andere Situation ist die gemeinsame Verantwortung der Beteiligten für die Verarbeitung der Daten. Besonders komplex wird diese Situation, wenn die Daten, beispielsweise im Rahmen der Cloud-Nutzung, in sogenannte Drittländer, also außerhalb des Geltungsbereiches der DSGVO, übertragen und dort verarbeitet oder gespeichert werden. Dieses Kapitel beschreibt daher die durch die DSGVO definierten Regelungen, unter denen ein solcher Austausch von Daten erlaubt ist, und welche Auswirkungen dies auf die Architektur von ITK-Systemen wie auch ihre Entwicklung hat. Da solche Systeme oft auch grenzüberschreitend eingesetzt werden, enthält das Kapitel zum Abschluss noch einen kurzen Überblick über die verschiedenen Regelungen des Datenschutzes weltweit.

Ralf Kneuper

Kapitel 6. Technische und organisatorische Gestaltung des Datenschutzes

Zusammenfassung

Zur Umsetzung der in den vorigen Kapiteln behandelten Anforderungen des Datenschutzes gibt es eine Reihe von Konzepten und Rahmenwerken, allen voran der Datenschutz durch Technikgestaltung (Data Protection by Design), das auch durch die DSGVO gefordert wird. Eine der Kernideen von Datenschutz durch Technikgestaltung ist zu wesentlichen Teilen im Rahmen der Entwicklung von Softwaresystemen umzusetzen: Hierbei geht es darum, den Datenschutz als ein von Beginn an in die Gestaltung eines Systems zu integrierendes Thema zu betrachten, nicht als ein Thema, das am Ende durch eine Datenschutz-Überprüfung und anschließende Anpassung des Systems umgesetzt wird. Mehr auf der Ebene der Einzelmaßnahmen und Technologien gibt es die Privacy-Enhancing Technologies (PET) und die technischen und organisatorischen Maßnahmen (TOM) zur Umsetzung des Datenschutzes. Eine wichtige Maßnahme zum Schutz personenbezogener Daten ist deren Anonymisierung. Zum Abschluss gibt dieses Kapitel einen Überblick über die Einbettung des Datenschutzes in den Software-Entwicklungszyklus.

Ralf Kneuper

Kapitel 7. Grundbegriffe der IT-Sicherheit

Zusammenfassung

Eine wichtige Grundlage für den Datenschutz ist die IT-Sicherheit, auch wenn der Blickwinkel ein deutlich anderer ist: IT-Sicherheit fokussiert auf den Schutz der eigenen Daten und Interessen, während der Datenschutz auf den Schutz der Betroffenen und deren Daten und Interessen fokussiert, was manchmal zu Interessenkonflikten zwischen Datenschutz und IT-Sicherheit führen kann. Die in beiden Fällen anzuwendenden Techniken und Maßnahmen überschneiden sich aber in vielen Fällen, und dieses Kapitel gibt daher eine Einführung in die relevanten Aspekte der IT-Sicherheit. Ein wichtiger Teil der IT-Sicherheit ist die Kryptologie, also die Lehre von der Ver- und Entschlüsselung, die auch für den Datenschutz eine wichtige Rolle spielt, indem beispielsweise zu schützende Daten verschlüsselt werden.

Ralf Kneuper

Kapitel 8. Datenschutz innerhalb einer IT-Organisation

Zusammenfassung

Neben der Rolle als Gestalter des Datenschutzes sind Softwareentwickler und IT-Mitarbeiter auch selbst Betroffene, deren Daten beispielsweise in Entwicklungswerkzeugen erfasst und verarbeitet werden. Dabei haben Cloud-basierte Werkzeuge und Communities eine wachsende Bedeutung, die dann ggf. unter die Vorgaben zur Auftragsverarbeitung fallen. Dieses Kapitel gibt daher einen Überblick über die wichtigsten Systeme, bei denen Daten der Entwickler und IT-Mitarbeiter erfasst werden, und wie man damit umgehen sollte. Ergänzt wird diese Beschreibung durch eine Zusammenfassung der Vorgehensweise und Erläuterung der wichtigsten Maßnahmen zur Umsetzung des Datenschutzes innerhalb einer Entwicklungs- oder IT-Organisation.

Ralf Kneuper

Backmatter

Titel: Datenschutz für Softwareentwicklung und IT
verfasst von: Prof. Dr. Ralf Kneuper
Verlag: Springer Berlin Heidelberg
Electronic ISBN: 978-3-662-63087-7
Print ISBN: 978-3-662-63086-0
DOI: https://doi.org/10.1007/978-3-662-63087-7