Testdaten aus der echten Datenbank

Die Kopie der Produktionsdatenbank ins Testsystem ist bequem — und eine Verarbeitung zu einem neuen Zweck, für die es meist keine Erlaubnis gibt.

Warum das wichtig ist

Fast jeder hat das schon gemacht, und es fühlt sich harmlos an: Es sind ja dieselben Daten. Genau das ist der Punkt — es sind echte personenbezogene Daten, und „Test" ist kein Zweck, für den sie erhoben wurden.

Testsysteme sind außerdem typischerweise schwächer geschützt: weniger Berechtigungen, mehr Zugänge, längere Lebensdauer. Das erhöht das Risiko, während der Zweck fehlt.

Einen Weg nennt Artikel 25 Abs. 1 selbst: Pseudonymisierung steht dort als Beispiel für eine geeignete Maßnahme. Erzeugte Testdaten vermeiden das Problem von vorn herein, und für die meisten Tests genügen sie. Dass pseudonymisierte Daten damit aus dem Anwendungsbereich der Verordnung fielen, sagt dieser Kurs ausdrücklich nicht.

Was das Gesetz sagt

Art. 25 Abs. 1 DSGVO: „Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen."

So macht man es richtig

Keine Kopie der Produktionsdaten ins Testsystem ohne Grundlage.
Erzeugte Testdaten verwenden — für die meisten Tests genügen sie.
Wo eine Kopie unvermeidlich ist, pseudonymisieren und befristen.
Testsysteme nicht schwächer schützen als die Produktion.

Was bei Missachtung droht

Eine Verarbeitung zu einem neuen Zweck ohne Rechtsgrundlage verletzt Art. 6 — Art. 83 Abs. 5 lit. a DSGVO, bis zu 20 Millionen Euro oder 4 Prozent. Unzureichender Schutz des Testsystems verletzt Art. 32 — Abs. 4 lit. a, bis zu 10 Millionen Euro oder 2 Prozent.

Im Video: Dieser Lernblock dauert 2:27 und ist Teil des Kurses Datenschutz und IT-Sicherheit für IT-Mitarbeitende. Das erste Kapitel können Sie kostenlos ansehen.

Stand: 25.10.2026