Kurzdefinition: Datenschutz durch Voreinstellungen (data protection by default) verlangt, dass die Standardeinstellungen datenschutzfreundlich sind — es werden nur die für den Zweck nötigen Daten verarbeitet. Art. 25 DSGVO regelt dies. [N-DSGVO-25]
Der Normwortlaut
Art. 25 Abs. 2 DSGVO bestimmt: „Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden.“ [N-DSGVO-25]
Was heißt Datenschutz durch Voreinstellungen?
Datenschutzfreundliche Standardeinstellungen. Der Grundgedanke: Ohne aktives Zutun der betroffenen Person soll die Voreinstellung so gewählt sein, dass möglichst wenig verarbeitet wird. Nicht die Person muss den Datenschutz erst einschalten, sondern der datensparsame Zustand ist der Ausgangspunkt. Art. 25 Abs. 2 DSGVO macht das zur Pflicht des Verantwortlichen. [N-DSGVO-25]
Was muss durch Voreinstellung sichergestellt sein?
Menge, Umfang, Speicherfrist und Zugänglichkeit der Daten. Nach Art. 25 Abs. 2 DSGVO gilt die Pflicht für die Menge der erhobenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Insbesondere müssen die Maßnahmen sicherstellen, dass Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von Personen zugänglich gemacht werden. [N-DSGVO-25]
Wie unterscheidet es sich von Privacy by Design?
By Design betrifft die Gestaltung, by Default die Einstellung. Datenschutz durch Technikgestaltung (Art. 25 Abs. 1 DSGVO) verlangt, den Datenschutz schon bei der Entwicklung und Gestaltung von Systemen zu berücksichtigen. Datenschutz durch Voreinstellungen (Absatz 2) betrifft die konkrete Standardkonfiguration im Betrieb. Beide gehören zusammen, setzen aber an verschiedenen Punkten an. [N-DSGVO-25]
Was heißt das praktisch für Systeme und Apps?
Standardmäßig datensparsam konfigurieren. In der Praxis bedeutet das etwa: keine vorausgewählten Einwilligungen, restriktive Sichtbarkeitseinstellungen, kurze Speicherfristen als Voreinstellung und minimale Datenerhebung als Ausgangspunkt. Ein genehmigtes Zertifizierungsverfahren kann nach Art. 25 Abs. 3 DSGVO als Nachweisfaktor herangezogen werden. [N-DSGVO-25]
Welche Aspekte muss die Voreinstellung begrenzen?
Mehr als nur die Datenmenge. Art. 25 Abs. 2 DSGVO bezieht die Verpflichtung auf die Menge der erhobenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Durch Voreinstellung dürfen personenbezogene Daten ohne Eingreifen der Person nicht einer unbestimmten Zahl von Personen zugänglich gemacht werden. [N-DSGVO-25]
Gilt die Pflicht auch bei zugekaufter Software?
Ja. Die Pflicht aus Art. 25 Abs. 2 DSGVO trifft den Verantwortlichen. Datenschutzfeindliche Standardkonfigurationen einer eingekauften Anwendung können ihm zugerechnet werden; er muss die Voreinstellungen datenschutzfreundlich setzen. [N-DSGVO-25]
Häufige Fehlannahmen
- „Der Nutzer muss den Datenschutz selbst aktivieren.“ Nein. Die datenschutzfreundliche Voreinstellung ist der Ausgangspunkt. [N-DSGVO-25]
- „Voreinstellungen dürfen Daten breit zugänglich machen.“ Nein. Ohne Eingreifen der Person nicht einer unbestimmten Zahl von Personen. [N-DSGVO-25]
- „Datenschutz durch Voreinstellung betrifft nur die Datenmenge.“ Nein. Die Voreinstellung muss Menge, Umfang der Verarbeitung, Speicherfrist und Zugänglichkeit gleichermaßen auf das Erforderliche begrenzen. [N-DSGVO-25]
- „Wer die Software nur einkauft, ist für die Voreinstellungen nicht verantwortlich.“ Nein. Die Pflicht trifft den Verantwortlichen; datenschutzfeindliche Standardkonfigurationen können ihm zugerechnet werden. [N-DSGVO-25]
- „Privacy by Design und by Default sind dasselbe.“ Nein. Das eine betrifft die Gestaltung, das andere die Voreinstellung. [N-DSGVO-25]
Was die Geschäftsleitung tun sollte
- Standard datensparsam. Voreinstellungen auf Datenminimierung auslegen.
- Keine Vorauswahl. Einwilligungen und Freigaben nicht vorab ankreuzen.
- Fristen und Zugriff begrenzen. Speicherdauer und Sichtbarkeit restriktiv voreinstellen.
- Nachweise sichern. Datenschutzfreundliche Konfiguration dokumentieren.
Für die Geschäftsleitung
Art. 25 DSGVO verlangt, dass die datenschutzfreundliche Voreinstellung der Normalzustand ist — nicht die Ausnahme, die der Nutzer erst einschalten muss. Für Systeme, Apps und Prozesse heißt das: standardmäßig datensparsam konfigurieren und das nachweisen können.
Quellen
- [N-DSGVO-25] Art. 25 DSGVO (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen), Abs. 1 bis 3. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
