Ein Entwicklungszugriff aus Indien ist nicht allein deshalb zulässig oder unzulässig, weil er aus einem bestimmten Land erfolgt. Entscheidend sind der konkrete Datenfluss, die Art der Daten, die beteiligten Unternehmen, die vertragliche Grundlage und die tatsächlich eingerichteten Schutzmaßnahmen.
Dieser Beitrag ersetzt keine rechtliche Beratung. Er zeigt die technischen und organisatorischen Fragen, die vor Projektstart gemeinsam mit den zuständigen Datenschutzverantwortlichen geprüft werden sollten.
Welche Daten sind überhaupt erreichbar?
Zunächst muss geklärt werden, ob Engineers personenbezogene Daten benötigen. Viele Aufgaben lassen sich mit synthetischen, anonymisierten oder stark reduzierten Datensätzen erledigen. Entwicklungs-, Test- und Produktivumgebungen sollten getrennt sein; Produktivzugriff ist eine eigene Entscheidung und kein automatischer Bestandteil externer Entwicklung.
Zu dokumentieren sind Repository-Zugriffe, Logs, Tickets, Fehlerberichte, Datenbanken, Cloud-Konsolen und Kommunikationssysteme. Auch indirekte Einsicht – etwa personenbezogene Inhalte in Screenshots oder Logzeilen – zählt zum Datenfluss.
Vertragliche Grundlage prüfen
Je nach Rollenverteilung können Auftragsverarbeitung, Unterauftragnehmer, Standardvertragsklauseln, Transfer Impact Assessments und weitere Garantien relevant sein. Verantwortliche sollten die aktuelle Rechtslage und die konkrete Anbieterkette prüfen, bevor Zugriffe beginnen.
Marketingaussagen wie „DSGVO-konform“ ersetzen weder Vertrag noch technische Umsetzung.
Technische Kontrollen einsetzen
MFA, persönliche Accounts, Least Privilege, zeitlich begrenzte Berechtigungen und nachvollziehbares On- und Offboarding bilden die Basis. Wo angemessen, kommen kontrollierte Entwicklungsumgebungen, VPN oder Zero-Trust-Zugänge, Secret-Management und Audit-Logs hinzu.
Ebenso wichtig ist die tägliche Arbeitsweise: keine Produktivdaten in lokalen Dateien, keine Secrets in Tickets, definierte Wege für Exporte und ein klarer Incident-Kontakt.
Vor dem ersten Zugriff entscheiden
Datenschutzprüfung gehört in das Setup – nicht in die nachträgliche Dokumentation. Erst wenn Rollen, Daten, Länder, Systeme und Kontrollen zusammenpassen, sollte der Zugang freigeschaltet werden.