DSGVO Software Anforderungen: Die komplette Checkliste für 2026
Deine Software verarbeitet personenbezogene Daten? Dann muss sie DSGVO-konform sein — nicht optional, sondern Pflicht. Bußgelder bis 20 Mio. EUR oder 4 % des Jahresumsatzes machen Datenschutz in der Softwareentwicklung zur Chefsache. In diesem Ratgeber bekommst Du eine konkrete Checkliste mit allen DSGVO-Anforderungen an Webanwendungen und Software — von Privacy by Design bis zum Löschkonzept.
Die 12-Punkte-Checkliste: DSGVO-Anforderungen an Software
1. Datenminimierung (Art. 5 Abs. 1c DSGVO)
Nur die Daten erheben, die für den Zweck tatsächlich notwendig sind. Kein „sammeln auf Vorrat". Formulare prüfen: Braucht die Registrierung wirklich Geburtsdatum und Telefonnummer?
2. Zweckbindung (Art. 5 Abs. 1b DSGVO)
Daten dürfen nur für den angegebenen Zweck verwendet werden. E-Mail für Bestellbestätigung erhoben? Dann nicht für Newsletter verwenden — es sei denn, der Nutzer stimmt separat zu.
3. Einwilligungsmanagement (Art. 6, 7 DSGVO)
Consent-Banner für Cookies und Tracking. Opt-in für Newsletter. Einwilligungen dokumentieren, widerrufbar machen und versionieren. Keine vorangekreuzten Checkboxen.
4. Löschkonzept (Art. 17 DSGVO)
Automatische Löschung nach Aufbewahrungsfrist. Nutzer-Löschanfragen innerhalb von 30 Tagen umsetzen. Löschen heißt wirklich löschen — nicht nur ein Flag auf „inaktiv" setzen.
5. Auskunftsrecht (Art. 15 DSGVO)
Nutzer können jederzeit eine Kopie aller gespeicherten Daten anfordern. Die Software muss alle personenbezogenen Daten eines Nutzers in einem exportierbaren Format bereitstellen können.
6. Datenportabilität (Art. 20 DSGVO)
Nutzer haben das Recht, ihre Daten in einem maschinenlesbaren Format (JSON, CSV) mitzunehmen. Export-Funktion muss vorhanden sein.
7. Zugriffsrechte & Rollenkonzept
Nicht jeder Mitarbeiter darf alles sehen. Rollenbasierte Zugriffskontrolle (RBAC): Wer darf lesen, schreiben, löschen? Prinzip der geringsten Berechtigung (Least Privilege).
8. Verschlüsselung (Art. 32 DSGVO)
Daten verschlüsselt übertragen (TLS/HTTPS) und speichern (AES-256). Passwörter nur als Hash (bcrypt, Argon2). Backups ebenfalls verschlüsseln.
9. Protokollierung & Audit-Trail
Wer hat wann auf welche Daten zugegriffen? Änderungen nachvollziehbar loggen. Logs selbst datenschutzkonform speichern — keine unnötigen personenbezogenen Daten in Logs.
10. Auftragsverarbeitung (Art. 28 DSGVO)
Nutzt Deine Software externe Dienste (Cloud-Hosting, E-Mail-Versand, Analytics)? Dann brauchst Du AV-Verträge mit jedem Dienstleister. Serverstandort idealerweise EU/EWR.
11. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
Pflicht bei hohem Risiko für Betroffene — z.B. bei Profiling, Scoring, Verarbeitung sensibler Daten (Gesundheit, Finanzen). Dokumentiert Risiken und Gegenmaßnahmen.
12. Meldepflicht bei Datenpannen (Art. 33, 34 DSGVO)
Datenleck? Innerhalb von 72 Stunden an die Aufsichtsbehörde melden. Bei hohem Risiko auch die Betroffenen informieren. Die Software muss Breach Detection unterstützen.
Projekt im Kopf?
Erhalte in 2 Minuten eine erste Einschätzung — kostenlos.
Kostenlos · Unverbindlich · 2 Min.
Privacy by Design: Datenschutz von Anfang an
Art. 25 DSGVO verlangt Privacy by Design — Datenschutz wird in die Software-Architektur eingebaut, nicht nachträglich draufgesetzt. Konkret:
- Datenschutzfreundliche Voreinstellungen: Tracking aus, Newsletter-Opt-in aus, minimale Datenerhebung als Standard.
- Pseudonymisierung: Wo möglich, personenbezogene Daten durch Pseudonyme ersetzen.
- Datenminimierung in der Architektur: Microservices so designen, dass nur der Service auf Daten zugreift, der sie braucht.
- Löschbarkeit einbauen: Datenbankschema so planen, dass einzelne Nutzer vollständig löschbar sind.
DSGVO-konforme Cloud-Infrastruktur: DSGVO-konforme Cloud.
Typische DSGVO-Fehler in der Softwareentwicklung
| Fehler | Risiko | Lösung |
|---|---|---|
| Google Analytics ohne Consent | Bußgeld + Abmahnung | Consent Management, erst nach Zustimmung laden |
| Passwörter im Klartext | Datenleck mit Meldepflicht | bcrypt oder Argon2 Hashing |
| Kein Löschkonzept | Verstoß gegen Art. 17 | Automatische Löschung + Lösch-Endpoint |
| Personenbezogene Daten in Logs | Unkontrollierte Verarbeitung | Logs anonymisieren, Aufbewahrungsfrist |
| US-Cloud ohne AV-Vertrag | Drittlandtransfer-Verstoß | EU-Server oder Standardvertragsklauseln |
| Keine Datenexport-Funktion | Verstoß gegen Art. 20 | JSON/CSV-Export einbauen |
Du brauchst DSGVO-konforme Software?
Wir entwickeln Software mit Privacy by Design — von Anfang an DSGVO-konform.
Jetzt Projekt kalkulierenBereit für den nächsten Schritt?
Finde heraus, was Dein Projekt kosten wird.
Kostenlos · Unverbindlich · 2 Min.
DSGVO-Anforderungen an Webanwendungen
Webanwendungen haben zusätzliche Anforderungen:
- Cookie-Banner: Technisch notwendige Cookies ohne Consent erlaubt. Tracking, Marketing, Analytics nur nach Zustimmung.
- SSL/TLS-Verschlüsselung: HTTPS ist Pflicht für jede Webanwendung mit personenbezogenen Daten.
- Datenschutzerklärung: Vollständig, aktuell und leicht auffindbar. Muss alle Verarbeitungstätigkeiten beschreiben.
- Session-Management: Sessions zeitlich begrenzen, sichere Session-IDs, Logout-Funktion.
- Externe Ressourcen: Google Fonts, CDNs, Social-Media-Plugins — jeder externe Aufruf ist ein potenzieller Datentransfer.
Kosten für DSGVO-konforme Entwicklung: Softwareentwicklung Kostenratgeber. Vertragliches: Vertragsratgeber.
Häufig gestellte Fragen
Welche DSGVO-Anforderungen gelten für Software?
Datenminimierung, Zweckbindung, Löschkonzept, Einwilligungsmanagement, Zugriffsrechte, Verschlüsselung, Protokollierung, Privacy by Design und Auftragsverarbeitungsverträge. Die 12-Punkte-Checkliste oben deckt alle Pflichtanforderungen ab.
Was ist Privacy by Design?
Datenschutz wird von Anfang an in die Software-Architektur eingebaut — nicht nachträglich. Das umfasst Datenminimierung, Pseudonymisierung, datenschutzfreundliche Voreinstellungen und löschbare Datenstrukturen.
Was passiert bei DSGVO-Verstößen?
Bußgelder bis 20 Mio. EUR oder 4 % des Jahresumsatzes, Abmahnungen durch Wettbewerber, Schadensersatzansprüche Betroffener und erhebliche Reputationsschäden.
Brauche ich einen Datenschutzbeauftragten?
Ab 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten, ist ein DSB Pflicht. Bei sensiblen Daten (Gesundheit, Finanzen) auch darunter.
Wie teste ich DSGVO-Compliance?
Datenschutz-Folgenabschätzung (DSFA), Penetrationstests, Code-Reviews auf Datenschutz, Prüfung der Löschfunktionen und Auskunftsfähigkeit. Regelmäßig wiederholen — nicht einmalig.
Brauchst Du Unterstützung? Kalkuliere jetzt Dein Projekt — kostenlos und unverbindlich.
Über den Autor: Dieser Artikel wurde vom Team der IT Studio Rech GmbH verfasst. Wir entwickeln DSGVO-konforme Software für den deutschen Mittelstand — Privacy by Design von Anfang an. Standort: Würzburg, Deutschland.
