Bevor eine Software im Produktivbetrieb eingesetzt wird, muss sie verschiedene Testphasen durchlaufen. Dafür werden typkonforme Daten benötigt, die den späteren Echtzeitbetrieb simulieren. Bei vielen Unternehmen ist es daher gang und gäbe, den Datenbestand aus dem produktiven System einfach ins Testsystem zu kopieren und als Testdaten zu verwenden. Doch spätestens, wenn es sich bei den Daten um personenbezogene Daten handelt, bekommen die Unternehmen ein Problem mit dem Datenschutz.

Die Europäische Datenschutzgrundverordnung (EU-DSGVO) besagt, dass Daten ausschließlich für den Zweck verwendet werden dürfen, zu dem sie erhoben wurden und zu dem der Betroffene auch seine Einwilligung gegeben hat (DSGVO - Art. 6 Absatz 4 Buchstabe e). Außerdem sind die Anforderungen an Testdaten besonders hoch, wenn sie für fach- und branchenspezifische Software – zum Beispiel für Finanzdienstleister – eingesetzt werden. Diese unterliegen nicht nur einer speziellen Form, sondern auch strengen Datenschutzbestimmungen wie der PCI DSS (Payment Card Industry Data Security Standard). Die Anforderungen an Testdaten sind in diesen Branchen extrem hoch.

Andererseits müssen die Testszenarien natürlich möglichst realitätsnah sein. Viele Unternehmen führen deshalb oft Test-Datenbanken mit Pseudo-Einträgen: Das ist allerdings eine mühsame Arbeit, die viel Zeit benötigt und häufig nicht den flexiblen Anforderungen der Tester entspricht. E-Mail-Adressen müssen beispielsweise noch als E-Mail-Adressen erkennbar sein, Geburtsdaten müssen formal immer noch Geburtsdaten entsprechen, damit die Fachanwendung damit arbeiten kann und keinen Fehler anzeigt.

Bereiche, in denen auch zu Testzwecken häufig personenbezogene Daten eingesetzt werden, sind vor allem CRM-Anwendungen oder Buchhaltungs- und Recruiting-Software. Aber auch bei der Entwicklung von eigenen Programmen ist Vorsicht geboten. Werden externe Entwickler eingesetzt, müssen bereits hier strenge Datenschutzregeln eingehalten werden, da diese bei der Entwicklung bereits Zugriff auf die Originaldaten haben. Im Klartext bedeutet dies seit Einführung der EU-DSGVO: Nur korrekt pseudonymisierte oder anonymisierte Daten dürfen zu Testzwecken verwendet werden.

Auch interessant:

Datasheet: Generierung von Testdaten unter Einhaltung von Datenschutzbestimmungen