Individualsoftware verarbeitet fast immer personenbezogene Daten. Ein Kundenportal kennt Ihre Kunden, ein Planungstool kennt Ihre Mitarbeiter, ein Antragsformular sammelt Namen, Adressen und manchmal viel Sensibleres. Und trotzdem kommt die DSGVO-Frage in der Praxis viel zu oft erst nach dem Bau auf, wenn sich jemand plötzlich fragt, wo all diese Daten eigentlich liegen. Dann ist es teuer und mühsam zu reparieren, während es vorab eine Frage der richtigen Fragen war.
Dieser Artikel hilft Ihnen, diese Fragen rechtzeitig zu stellen. Kein juristisches Kolleg, sondern eine praktische Checkliste für alle, die DSGVO-konforme Individualsoftware entwickeln lassen wollen und nicht möchten, dass die Einhaltung zu einer bösen Überraschung im Nachhinein wird. Gerade für den Mittelstand, wo selten eine eigene Rechtsabteilung mitliest, macht das den Unterschied.
Warum das bei KI-gebauter Software besonders zum Tragen kommt
Bei KI-gebauter Software kommt eine Ebene hinzu, die Sie bei einer traditionellen Agentur weniger schnell antreffen. Drei Fragen werden dann plötzlich sehr konkret.
Wo läuft das KI-Modell, das Ihre Software baut oder antreibt? Viele bekannte KI-Dienste laufen auf Servern außerhalb Europas, und wenn Ihre Daten dort hindurchlaufen, ist das eine Verarbeitung, zu der Sie eine Haltung brauchen.
Wo liegen Ihre Daten letztendlich? Die Software, die gebaut wird, muss irgendwo laufen. Wenn das standardmäßig auf amerikanischer Cloud-Infrastruktur geschieht, liegen Ihre personenbezogenen Daten außerhalb der EU, ohne dass Sie sich bewusst dafür entschieden haben.
Und trainiert jemand auf Ihren Kundendaten? Manche Werkzeuge nutzen die Daten, die hindurchgehen, um ihre eigenen Modelle zu verbessern. Für Ihre Kundendaten ist das fast immer unerwünscht und manchmal schlicht nicht zulässig.
Diese Fragen sind nicht beängstigend, sobald Sie sie stellen, aber sie müssen sehr wohl gestellt werden. Genau deshalb sollte ein methodischer KI-Entwicklungsansatz die DSGVO als explizite Entwurfsentscheidung behandeln, nicht als etwas, das Sie später schon regeln.
Die sechs Checkpunkte für DSGVO-konforme Software
Ob Sie nun bei einer Agentur, einem SaaS-Anbieter oder einem KI-Entwicklungsteam anklopfen: Das sind die sechs Dinge, die Sie vorab in Ordnung haben wollen.
Datenstandort und EU-Hosting
Wo liegen Ihre Server, Back-ups und Logdateien physisch? Für personenbezogene Daten ist Hosting innerhalb der EU der einfachste und sicherste Weg. Sobald Daten in Länder ohne angemessenes Schutzniveau gehen, brauchen Sie zusätzliche Garantien, und es wird unnötig kompliziert. Fragen Sie explizit, wo alles läuft, inklusive der Back-ups, denn die werden oft vergessen.
Auftragsverarbeitungsvertrag
Sobald ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, gehört ein Auftragsverarbeitungsvertrag (ein AVV) dazu. Darin steht, was der Anbieter mit den Daten tun darf, wie sie gesichert sind und was passiert, wenn etwas schiefgeht. Kein AVV bedeutet eine Lücke in Ihrer Rechenschaft, und das ist eine Lücke, für die Sie belangt werden.
Audit-Trail
Können Sie nachvollziehen, wer wann welche Daten eingesehen oder geändert hat? Ein Audit-Trail ist nicht nur bei Vorfällen praktisch, er ist oft eine harte Anforderung, um nachzuweisen, dass Sie sorgfältig mit Daten umgehen. Fragen Sie, ob das standardmäßig in der Software steckt oder ob Sie es separat regeln müssen.
Datenminimierung
Sammelt die Software nur, was wirklich nötig ist, oder wird "sicherheitshalber" alles Mögliche gespeichert? Die DSGVO verlangt Datenminimierung: weniger Daten bedeuten weniger Risiko, weniger Wartung und weniger, wofür Sie haften. Das beginnt schon beim Entwurf Ihrer Formulare und Ihres Datenmodells. Wer jetzt noch Daten in losen Dateien führt, sieht in von Excel zur Web-App, wie Sie dieses verstreute Chaos strukturiert und beherrschbar machen.
Export und Eigentum an Code und Daten
Wem gehört der Code, und wem gehören die Daten? Können Sie jederzeit Ihre Daten exportieren und mitnehmen? Hier geht es um Datensouveränität und um Lock-in. Wenn Ihre Daten im System eines Anbieters feststecken, sind Sie abhängig, und das kollidiert mit dem Grundsatz, dass Sie die Kontrolle über Ihre eigenen personenbezogenen Daten behalten.
Unterauftragsverarbeiter und KI-Training
Welche anderen Parteien (Unterauftragsverarbeiter) werden eingeschaltet, und was tun die mit den Daten? Und die Kernfrage bei KI: Werden Ihre Daten genutzt, um Modelle zu trainieren? Sie wollen ein klares Nein auf Letzteres, schwarz auf weiß. Ein Anbieter, der hier vage bleibt, ist ein Anbieter, dem Sie Ihre Kundendaten noch nicht anvertrauen.
Die richtigen Fragen an Ihren Anbieter
Diese Checkpunkte werden erst brauchbar, wenn Sie sie in konkrete Fragen umsetzen. So erkennen Sie eine gute Antwort von einer roten Flagge.
| Frage an Ihren Anbieter | Gute Antwort | Rote Flagge |
|---|---|---|
| Wo liegen meine Daten, inklusive Back-ups? | "Innerhalb der EU, und das können wir nachweisen." | "Irgendwo in der Cloud" oder keine klare Antwort |
| Bekomme ich einen Auftragsverarbeitungsvertrag? | "Ja, fester Bestandteil des Vertrags." | "Ist das wirklich nötig?" |
| Werden meine Daten genutzt, um KI zu trainieren? | "Nein, ausdrücklich nicht, steht im Vertrag." | "Nur um den Dienst zu verbessern" |
| Kann ich meine Daten und meinen Code exportieren? | "Ja, jederzeit, es gehört Ihnen." | Export kostet extra oder ist nicht möglich |
| Gibt es einen Audit-Trail? | "Ja, standardmäßig eingebaut." | "Das könnten wir gegebenenfalls bauen" |
| Welche Unterauftragsverarbeiter nutzen Sie? | Eine konkrete, aktuelle Liste | Kein Überblick oder keine Antwort |
Bekommen Sie bei mehreren Fragen eine vage Antwort, ist das an sich schon eine Information. DSGVO-Einhaltung ist nichts, worum ein seriöser Anbieter herumredet.
Häufige Fehler
Drei Fallstricke sehen Sie in der Praxis immer wieder, und sie sind alle vermeidbar.
Amerikanische Werkzeuge ohne AVV. Einen beliebten Dienst einsetzen, ohne zu prüfen, wo die Daten landen, und ohne Auftragsverarbeitungsvertrag. Es geht gut, bis es schiefgeht, und dann stehen Sie mit leeren Händen da.
"Wir regeln das später." Die DSGVO als Restposten behandeln, nach dem Bau. Später bedeutet in der Praxis: die Software neu einrichten, Daten migrieren und Verträge nachträglich regeln, zu weit höheren Kosten, als wenn Sie es vorab mitgenommen hätten.
Daten in Prototyp-Werkzeugen. Schnell etwas in einem Prompt-zu-App-Werkzeug bauen und darin echte Kundendaten ablegen. Prototyp-Werkzeuge sind selten auf DSGVO-Rechenschaft ausgelegt, und der Datenstandort ist dort oft ein blinder Fleck. In Ordnung, um eine Idee zu testen, nicht, um echte personenbezogene Daten darin unterzubringen.
Wie Turtleship das umsetzt
Bei Turtleship ist die DSGVO keine Nebensache, sondern ein Ausgangspunkt. Ihre Software und Ihre Daten laufen standardmäßig innerhalb Europas, sodass Sie nicht raten müssen, wo personenbezogene Daten landen. Der Code und die Daten gehören Ihnen, in Ihrem eigenen Repository, von Lock-in ist also keine Rede. Und ein Audit-Trail gehört zu den Bausteinen, sodass Sie nachvollziehen können, wer was getan hat.
Das wird konkret bei den Portalen, die Sie entwickeln lassen. Ein Kundenportal verarbeitet die Daten Ihrer Kunden, ein Lieferantenportal die Ihrer Zulieferer und ein Mitarbeiterportal nach Maß die Ihrer eigenen Leute. In allen drei Fällen ist die Frage "wo liegen diese Daten und wer kann darauf zugreifen" von Anfang an Teil des Entwurfs, nicht etwas, das Sie im Nachhinein aufkleben. Das gilt genauso für Kundenportale bei Dienstleistern, wo Vertraulichkeit oft der Kern der Beziehung ist.
Fazit
DSGVO-konforme Individualsoftware ist keine Frage von Glück oder einer Rechtsabteilung, die es im Nachhinein absegnet. Es ist eine Frage der richtigen Fragen zum richtigen Zeitpunkt: vorab, nicht nach dem Bau. Wo liegen meine Daten? Gibt es einen Auftragsverarbeitungsvertrag? Wird auf meinen Kundendaten trainiert? Kann ich alles exportieren und mitnehmen?
Ein Anbieter, der diese Fragen mit einem klaren Ja beantwortet, gibt Ihnen mehr als nur Einhaltung. Er gibt Ihnen die Gewissheit, dass Sie Ihrer Software mit ruhigem Gewissen personenbezogene Daten anvertrauen. Und dieses Vertrauen ist genau das, worum es bei Software für Ihre Kunden, Lieferanten und Mitarbeiter geht.
Wollen Sie Software entwickeln lassen, bei der EU-Hosting und Eigentum an den Daten der Ausgangspunkt sind? Starten Sie kostenlos und sehen Sie, wie Turtleship die DSGVO ab dem ersten Bauschritt mitnimmt.