Also ich baue als Entwickler an einer Webseite und würde die Seite gerne mit Nutzern füllen um eine Leistung zu erbringen (zz wäre das Einloggen und Punkte sammeln in einem Quiz, ggf. ein Ranking... nunja...). Jedenfalls bin ich über die DSVGO gestolpert und sehe dass das ja nicht grad ein Zuckerschlecken ist.
Was ich bis jetzt gesehen habe, waren Verträge mit verwendeten Dienstleistern zu schließen um DSVGO-Konformität zu gewährleisten, Verzeichnisse zu warten, um einen Überblick aller Persondaten-verarbeitenden Prozessen vorzeigen zu können um Transparenz zu erbringen. Dann gibt es noch Datenschutzerklärungsgeneratoren, die keine Rechtsberatung ersetzen.
Viel Zeug was mich als Entwickler und meine Ideen ausbremst. Ich sehe natürlich dass diese Regelungen wertvoll sind für die Verbraucher und ich habe mich gefragt ob man das Bewusstsein über Datenschutz womöglich als Entwickler besser verinnerlichen könnte wenn man in Konzepten des Datenschutzes programmiert.
Ich kenne mich nämlich aus wie man Programmiersprachen und sogennante domänspezifische Sprachen schreibt und Editoren dazu baut. Und da ich mich gerade mit der DSVGO beschäftige, schoss mir diese Idee ins Bewusstsein.
Stellt euch vor man würde alle Daten die man erhebt und verarbeitet formal auflisten. Man könnte als Programmierer diese Daten klassifizieren als zB personenbezogen. Dem gegenüber stehen die datenverarbeitenden Prozesse. Diese Prozesse könnten Eigenschaften haben, wie den Ort an dem sie ausgeführt werden.
Angenommen man hat eine Email des Nutzers und will diese Daten erheben mit einem Prozess der in den USA steht. Dann würde man schon während der Spezifkation durch den Editor eine Fehlermeldung bekommen: "Achtung, Datenschutzrichtlinie X in Zeile 23 verletzt: die Daten müssen in der EU bleiben.". Der Entwickler wüsste dann dass was nicht stimmt und könnte das System so konfigurieren dass es in Europa verarbeitet wird.
Die Spezifikation könnte wie folgt aussehen:
DATA userdata
email OF TEXT: PERSONENBEZOGEN
ENDDATA
PROCESS registration LOCATED AT us
IN user OF SESSION
OUT result OF userdata
ENDPROCESS
Ein weiterer Nutzen, den ich sehe, ist dass man die Datenschutzerklärung sowie die Verarbeitungslisten automatisch generieren könnte. Es geht sogar soweit dass man Teile der App generieren könnte. Ähnliche Ansätze gibt es für Testspezifikationen bei CucumberJS, wo Anforderungen in Sprechenden Text gelistet sind, aber die Ausführung generiert wird. Der Text ist lediglich eine Eingabemaske für die Testausführung.
Ich denke dass man somit nicht nur den Datenschutz ins Bewusstsein ruft. Entwickler könnten wenn man die Regeln des Datenschutzes in einer solchen Spezifikationssprache unterbringt, einfach wieder koden ohne einen Anwalt fragen zu müssen. Es ist ein Stück Freiheit. Nicht abhängig zu sein, nicht langsam zu sein.
Was denken die Experten hier? Ist das ein gangbarer Weg oder stell ich mir das zu einfach vor?
Ich bin gespannt auf Feedback.
Grüße
Markus Rudolph