Datenschutz (Data Privacy)
Kernphilosophie
Datenschutz-Compliance (GDPR in Europa, CCPA/CPRA in Kalifornien, LGPD in Brasilien) ist kein statischer Rechtshinweis, der in den Footer einer Website kopiert wird. Datenschutz ist eine Engineering-Architektur. Moderne Vorschriften erzwingen strenge Prinzipien: Privacy by Design, Datenminimierung, Rechtfertigung der Rechtsgrundlage, automatisierte Erfüllung von Betroffenenanfragen (DSAR) innerhalb von 30 Tagen und obligatorische Meldepflicht bei Verstößen innerhalb von 72 Stunden. Verstöße gegen den Datenschutz können mit gesetzlichen Geldbußen von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen US-Dollar nach GDPR geahndet werden.
4-Schritte-Architektur für technischen Datenschutz
Schritt 1: Dateninventar & Verarbeitungsverzeichnis (ROPA / Art. 30)
- Die umfassende Datenflusskarte:
- Verfolgen Sie jedes personenbezogene Datenelement durch seinen Lebenszyklus (Erhebung -> Speicherung -> Verarbeitung -> Weitergabe -> Löschung).
- Dokumentieren Sie: Datenkategorien (PII, IP-Adresse, Finanzdaten, sensible Daten), Betroffene (Kunden, Mitarbeiter), Speicherort (AWS us-east-1), Aufbewahrungsfrist, Auftragsverarbeiter (Stripe, PostHog, AWS).
- Rechtsgrundlage für die Verarbeitung (GDPR Art. 6):
- Identifizieren Sie für jeden Verarbeitungsvorgang die Rechtsgrundlage: Vertragliche Notwendigkeit, Rechtliche Verpflichtung, Berechtigtes Interesse (mit dokumentierter Berechtigtes-Interesse-Prüfung – LIA) oder Ausdrückliche Einwilligung.
Schritt 2: Einwilligungsmanagement & Cookie-Governance (ePrivacy)
- Vorherige Einwilligungspflicht in der EU:
- Tracking-, Analyse- und Marketing-Cookies dürfen niemals vor einer ausdrücklichen, aktiven Opt-in-Einwilligung des Nutzers gesetzt werden.
- Vorab angekreuzte Kästchen und Cookie-Walls (Zugangssperre ohne Einwilligung) sind gemäß EDPB-Richtlinien rechtlich ungültig.
- Granulare Einwilligungskategorien:
- Unbedingt erforderlich (immer aktiv).
- Analyse / Leistung (Opt-in erforderlich).
- Werbung / Marketing (Opt-in erforderlich).
Schritt 3: Automatisierte Pipeline für Betroffenenanfragen (DSAR)
- Erfüllung gesetzlicher Rechte (innerhalb von 30 Kalendertagen):
- Recht auf Auskunft / Datenübertragbarkeit: Stellen Sie dem Nutzer alle gespeicherten personenbezogenen Daten in einem strukturierten, maschinenlesbaren Format (JSON/CSV) zur Verfügung.
- Recht auf Löschung („Recht auf Vergessenwerden"): Löschen Sie die PII des Nutzers aus primären Datenbanken, Protokollen, Backups und Systemen von Auftragsverarbeitern.
- Das „Hard Delete"-Engineering-Protokoll:
- Führen Sie eine kryptografische Löschung oder Anonymisierung von relationalen Datenbankeinträgen durch (
user_id -> hash). - Behalten Sie streng das gesetzlich für Finanz-/Steuerprüfungen Erforderliche (z. B. 7-jährige Rechnungsaufzeichnungen) mit geschwärzter PII.
- Führen Sie eine kryptografische Löschung oder Anonymisierung von relationalen Datenbankeinträgen durch (
Schritt 4: Auftragsverarbeiter-Management & 72-Stunden-Verstoßmeldung
- Auftragsverarbeitungsverträge (AVV) & grenzüberschreitende Übermittlungen:
- Schließen Sie mit allen Drittanbietern unterzeichnete AVVs ab, die EU-Standardvertragsklauseln (SCCs) und UK-Addenda enthalten.
- Das 72-Stunden-Protokoll für Sicherheitsvorfälle:
- Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigen Sie die zuständige Aufsichtsbehörde (DPA) innerhalb von 72 Stunden, nachdem Sie von der Verletzung Kenntnis erlangt haben, gemäß GDPR Art. 33.
- Bei hohem Risiko für Einzelpersonen: Benachrichtigen Sie die betroffenen Personen unverzüglich.
Ausgabeformat: Datenschutzarchitektur & ROPA-Spezifikation (PRIVACY-SPEC.md)
# Datenschutzarchitektur & ROPA-Register: [Produktname]
## 1. Verarbeitungsverzeichnis (ROPA - GDPR Art. 30)
| Verarbeitungstätigkeit | Kategorien personenbezogener Daten | Betroffene | Rechtsgrundlage | Speicherort | Aufbewahrungsfrist |
|---|---|---|---|---|---|
| Benutzerauthentifizierung | E-Mail, gehashtes Passwort, IP | Registrierte Benutzer | Vertragliche Notwendigkeit | Postgres (AWS Dublin) | Kontolaufzeit + 30 Tage |
| Zahlungsabwicklung | Rechnungsadresse, letzte 4 Kartenstellen | Zahlende Kunden | Rechtliche Verpflichtung / Vertrag | Stripe Inc. (USA) | 7 Jahre (Steuerrecht) |
| Produktanalyse | Anonymisierte Benutzer-ID, Klickereignisse | Web-Besucher | Einwilligung (Opt-in) | PostHog (EU-Cloud) | 12 Monate |
## 2. Auftragsverarbeiter-Liste & Übermittlungsmechanismen
- **Stripe, Inc.**: Zahlungsinfrastruktur | AVV + EU-Standardvertragsklauseln (SCCs)
- **Amazon Web Services (AWS EMEA)**: Cloud-Hosting | AVV + ISO 27001 zertifiziert
## 3. Automatisiertes DSAR-Löschprotokoll (`DELETE /api/v1/user/dsar`)
1. Aktive Benutzersitzung und Authentifizierungstoken ungültig machen.
2. PII in der `users`-Tabelle verschlüsseln: `email = anonymized_${uuid}@deleted.local`.
3. Webhook an Stripe und PostHog senden, um nachgelagerte Löschungen auszulösen.
4. 200 OK mit Bestätigungsbeleg an den Betroffenen zurückgeben.
## 4. 72-Stunden-Benachrichtigung bei Datenschutzverletzung
- Zuständige Aufsichtsbehörde: Irische Datenschutzkommission (DPC)
- Eskalationsteam: General Counsel, CISO, CTO
- Vorlage für Notfallbenachrichtigung: `legal/templates/breach-notification-dpa.md`
Praxisbeispiel: Automatisierte Pipeline für das Recht auf Vergessenwerden
- Herausforderung: Ein Benutzer rief das Löschrecht gemäß GDPR Art. 17 auf. Das Engineering-Team musste manuell in 8 Datenbanken und 4 SaaS-Tools von Drittanbietern löschen.
- Lösung: Entwicklung eines automatisierten asynchronen DSAR-Workers in AWS Lambda. Nach bestätigter Anfrage führte der Worker kaskadierende Soft-Deletes in harte kryptografische Anonymisierung durch und sendete automatisierte Lösch-Webhooks an Stripe und Segment.
- Ergebnis: Die DSAR-Bearbeitungszeit sank von 14 Tagen manueller Arbeit auf 90 Sekunden automatisiert; vollständiger Compliance-Prüfpfad erstellt.
Verifizierungs-Checkliste
- Das Verarbeitungsverzeichnis (ROPA) dokumentiert alle personenbezogenen Datenflüsse und Rechtsgrundlagen.
- Cookie-Consent-Banner erfordern in der EU eine aktive Opt-in-Einwilligung, bevor Analyse- oder Werbe-Tracker gesetzt werden.
- Automatisierte DSAR-Export- und Lösch-Endpunkte funktionieren und erfüllen Anfragen innerhalb von 30 Tagen.
- Unterzeichnete Auftragsverarbeitungsverträge (AVVs) mit SCCs wurden für alle externen Auftragsverarbeiter abgeschlossen.
- Die 72-stündige gesetzliche Meldeverfahren bei Datenschutzverstößen ist dokumentiert und mit der Führungsebene getestet.
Anti-Patterns
- Voreingestellte Cookie-Banner: Annahme einer stillschweigenden Einwilligung oder Verwendung irreführender Dark Patterns, die gegen EDPB-Entscheide verstoßen.
- Ignorieren der Löschung bei Auftragsverarbeitern: Löschen des Benutzers aus der lokalen Datenbank, während seine ungeschützten PII im CRM und in Analysetools verbleiben.
- Verstecken von Sicherheitsvorfällen: Drei Monate warten, bevor Aufsichtsbehörden über ein Datenleck informiert werden, was maximale gesetzliche Strafen auslöst.