Verschieben Sie Datenschutz-Compliance nicht auf die Launch-Woche
Entscheidungen über personenbezogene Daten sind Architekturentscheidungen. Wird Compliance Teil des Entwurfs, sinken ihre Kosten.
Das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten kommt in den meisten Teams in der letzten Projektwoche zur Sprache. Compliance wird dann zu einer Textschicht, die dem Produkt nachträglich aufgeklebt wird: Ein Datenschutzhinweis wird geschrieben, eine Checkbox ergänzt, und die Sache gilt als erledigt.
Was das Gesetz aber tatsächlich verlangt, sind keine Texte, sondern Entscheidungen. Welche Daten erheben Sie, auf welche Rechtsgrundlage stützen Sie sich, wie lange speichern Sie, mit wem teilen Sie? Die Antworten prägen unmittelbar Ihr Datenmodell und Ihre Architektur.
Fragen für die Entwurfsphase
- Müssen wir dieses Feld wirklich erheben? (Datenminimierung)
- Auf welcher Rechtsgrundlage verarbeiten wir es — ausdrückliche Einwilligung oder Vertragserfüllung?
- Wird der Datensatz nach Ablauf der Speicherfrist automatisch gelöscht?
- Wie beantworten wir eine Anfrage auf Export oder Löschung von Nutzerdaten?
- Gibt es eine Übermittlung ins Ausland, und wenn ja, über welchen Mechanismus?
Teams, die diese Fragen am Projektanfang beantworten, schreiben die Speicherfrist als Spalte in die Datenbank und übergeben das Löschen einem geplanten Job. Teams, die sie am Ende beantworten wollen, arbeiten mit manuell ausgeführten Skripten — das ist anfällig für Fehler und für Prüfungsrisiken.
