Die Datenschutzerklärung nebenbei aktuell halten - 'Continuous Integration' für DSGVO
Ich baue gerade eine Web-App für ein europäisches Publikum. Die DSGVO verlangt von solchen Apps Transparenz darüber, auf welche Weise personenbezogene Daten verarbeitet werden.
Schon die Weitergabe personenbezogener Daten an DSGVO-konforme Dritte - einen Newsletter-Anbieter, einen Analytics-Anbieter oder auch nur ein Backup-Rechenzentrum - muss in die Datenschutzerklärung.
Die Weitergabe an Dritte außerhalb der EU braucht die ausdrückliche Einwilligung des Nutzers, weshalb man das gern vermeidet
Diese Vorgaben wirklich ernst zu nehmen führt schnell zu einer unglaublichen Komplexität.
Für dieses Projekt habe ich mir trotzdem genau das vorgenommen - und die KI dabei helfen lassen. Entstanden ist ein experimenteller KI-getriebener Entwicklungsworkflow, der einen neuen Schritt enthält:
- Das Feature planen
- Den neuen Code generieren lassen und prüfen
- Den neuen Code auf Sicherheit testen
- Tests für den neuen Code bauen
... und jetzt zusätzlich die Datenschutzerklärung aktualisieren, wenn die Änderung es erfordert, automatisch und anhand sorgfältig formulierter Richtlinien.
Das Ziel: Wenn ein Feature live geht, kommt die aktualisierte Datenschutzerklärung gleich mit, statt zu einem To-Do für später zu werden ... denn wir alle wissen, was mit denen oft passiert.
Nennen wir es Continuous Integration für DSGVO. 😅
Claudes Frontier-Modelle Opus und Fable machen das hervorragend und haben mir geholfen, Details in neuem wie in bestehendem Code zu finden, die menschlicher Aufmerksamkeit leicht entgangen wären. Nicht unähnlich einem Security-Review, nur eben für den Datenschutz.
Ein Beispiel: Wer einen externen Fehler-Monitoring-Dienst wie Sentry einsetzt, überträgt (das war mir nicht klar) mit jedem Fehlerbericht standardmäßig den kompletten Request-Body der Seite, auf der der Fehler auftrat ... samt Nutzereingaben ... und das können selbstverständlich personenbezogene Daten sein. Dieses Verhalten lässt sich abschalten, oder man muss es sauber dokumentieren - aber das muss man erstmal finden!
Wie immer braucht der KI-Output strenge menschliche Kontrolle. Angesichts der empfindlichen Bußgelder, die Datenschutzbehörden verhängen können, ist Nonsens, der es in die Datenschutzerklärung schafft, potenziell gefährlicher als die meisten Bugs.
Und man muss die Leitplanken und Regeln, nach denen die KI arbeitet, ständig nachjustieren. Ihr fehlt jedes menschliche Gefühl dafür, was zu detailliert ist - man muss ihr immer wieder klarmachen, wo sie sich zurückhalten soll und statt mehrere Dutzend Prozesse in epischer Breite auszuwalzen lieber das beschreiben, was im Datenschutzkontext für einen normalen Leser *wirklich* zählt. 🙄
Aber insgesamt sind die Ergebnisse ... richtig gut.
Und, würde ich behaupten, von deutlich besserer Qualität, als ein Solo-Selbständiger oder ein kleines Team in diesem Bereich üblicherweise zustande bringt, ist Datenschutz doch oft noch ein Stiefkind.