Kurzdefinition: Privacy by Design — im Gesetz „Datenschutz durch Technikgestaltung“ — verlangt, den Datenschutz schon bei der Gestaltung einer Verarbeitung mitzudenken, nicht erst nachträglich. Art. 25 DSGVO verpflichtet den Verantwortlichen zu geeigneten technischen und organisatorischen Maßnahmen und zu datenschutzfreundlichen Voreinstellungen. [N-DSGVO-25]
Der Normwortlaut
Art. 25 Abs. 1 DSGVO verlangt, dass der Verantwortliche „sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen — wie z. B. Pseudonymisierung —“ trifft, die dafür ausgelegt sind, die Datenschutzgrundsätze wirksam umzusetzen. Die Bewertung erfolgt risikobasiert, unter Berücksichtigung von Stand der Technik, Implementierungskosten und den Risiken der Verarbeitung. [N-DSGVO-25]
Was bedeutet Datenschutz durch Technikgestaltung?
Dass der Datenschutz in die Technik und die Prozesse eingebaut wird, bevor die Verarbeitung startet — durch Datenminimierung, Pseudonymisierung, Zugriffskonzepte und Voreinstellungen, die die Verarbeitung von vornherein begrenzen. Der entscheidende Zeitpunkt ist die Festlegung der Mittel: Wer Datenschutz erst nach dem Produktivstart nachrüstet, erfüllt Art. 25 DSGVO nicht in seinem Kern. [N-DSGVO-25]
Wie unterscheidet sich das von Art. 32 DSGVO?
Beide verlangen risikobasierte technische und organisatorische Maßnahmen und beginnen mit demselben Chapeau — das ist eine bekannte Verwechslungsfalle. Der Unterschied liegt im Ziel: Art. 32 DSGVO zielt auf die Sicherheit der Verarbeitung (Verfügbarkeit, Integrität, Vertraulichkeit). Art. 25 DSGVO zielt auf die wirksame Umsetzung der Datenschutzgrundsätze (etwa Datenminimierung) durch die Gestaltung selbst. Die Normen ergänzen sich, sind aber nicht deckungsgleich. [N-DSGVO-25]
Was verlangen die datenschutzfreundlichen Voreinstellungen?
Art. 25 Abs. 2 DSGVO — „Privacy by Default“ — verlangt, dass durch Voreinstellung grundsätzlich nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind. Das betrifft Umfang der Erhebung, Umfang der Verarbeitung, Speicherfrist und Zugänglichkeit. Die datenschutzfreundliche Voreinstellung ist der Standard, nicht die Option. [N-DSGVO-25]
Ab wann müssen die Maßnahmen greifen?
Schon bei der Planung. Art. 25 Abs. 1 DSGVO verlangt geeignete technische und organisatorische Maßnahmen sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung. Datenschutz ist damit bereits in die Systemgestaltung einzubauen, nicht erst nachträglich. [N-DSGVO-25]
Wovon hängt der Umfang der Maßnahmen ab?
Vom Risiko. Die Bewertung erfolgt risikobasiert unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und der Risiken für die Rechte und Freiheiten natürlicher Personen. [N-DSGVO-25]
Häufige Fehlannahmen
- „Datenschutz kann man nachträglich einbauen.“ Nicht im Sinne des Art. 25 DSGVO. Er verlangt die Berücksichtigung schon bei der Festlegung der Mittel. [N-DSGVO-25]
- „Art. 25 und Art. 32 DSGVO sind dasselbe.“ Nein. Art. 32 zielt auf Sicherheit, Art. 25 auf die Umsetzung der Datenschutzgrundsätze durch Gestaltung. [N-DSGVO-25]
- „Voreinstellungen sind frei wählbar.“ Nein. Art. 25 Abs. 2 DSGVO verlangt datenschutzfreundliche Voreinstellungen als Standard. [N-DSGVO-25]
- „Privacy by Design und Privacy by Default sind dasselbe.“ Nein. Absatz 1 (durch Technikgestaltung) betrifft die datenschutzfreundliche Gestaltung von Anfang an, Absatz 2 (durch Voreinstellungen) die datensparsamen Standardeinstellungen. [N-DSGVO-25]
- „Datenschutz durch Technikgestaltung verlangt einen festen Maßnahmenkatalog.“ Nein. Verlangt werden geeignete technische und organisatorische Maßnahmen, deren Auswahl sich unter anderem nach Stand der Technik, Implementierungskosten und den Risiken richtet. [N-DSGVO-25]
Was die Geschäftsleitung tun sollte
- Früh ansetzen. Datenschutz bei der Auswahl von Systemen und der Festlegung der Mittel mitdenken.
- Voreinstellungen prüfen. Standardmäßig nur die erforderlichen Daten verarbeiten.
- Art. 25 und Art. 32 trennen. Gestaltung der Grundsätze und Sicherheit der Verarbeitung getrennt bewerten.
- Dokumentieren. Die Gestaltungsentscheidungen nachvollziehbar festhalten.
Für die Geschäftsleitung
Privacy by Design verlegt den Datenschutz an den Anfang: in die Auswahl der Systeme und die Festlegung der Mittel, nicht in die Nachbesserung. Weil Art. 25 DSGVO denselben Einstieg hat wie die Sicherheitsnorm Art. 32, wird beides oft verwechselt — dabei zielt das eine auf die Gestaltung der Datenschutzgrundsätze, das andere auf die Sicherheit. Und die datenschutzfreundliche Voreinstellung ist der Standard, den man aktiv setzen muss.
Quellen
- [N-DSGVO-25] Art. 25 DSGVO (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen), Abs. 1 und 2. Konsolidierte Fassung (CELEX 02016R0679-20160504, Berichtigung ►C2). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
