Privacy by Design und Privacy by Default sind zentrale Anforderungen der DSGVO an die technische Gestaltung und Voreinstellungen von Systemen, die personenbezogene Daten verarbeiten. Dieser Beitrag erläutert die Definitionen und Hintergründe beider Grundsätze, zeigt praxisnahe Beispiele für die Umsetzung und beleuchtet, welche Konsequenzen bei Verstößen drohen.
Woher kommt der Begriff Privacy by Design?
Technikbasierter Datenschutz bzw. datenschutzfreundliche Technikgestaltung ist keine neue Idee. Das Konzept wird auf internationaler Ebene seit den 1970er Jahren diskutiert. Ab 1995 prägten die Datenschutzbeauftragten der Niederlande und Kanadas mit der Veröffentlichung „The Path to Anonymity“ den Begriff der „Privacy-Enhancing Technologies“. Sie forderten, dass die Rechte und Freiheiten der späteren Nutzer bei der Technikgestaltung verstärkt Beachtung finden. So gewann das Thema in Datenschutzkreisen an Relevanz und auf internationaler Ebene setzte sich mit der Zeit der Begriff Privacy by Design durch.
Trotz internationaler Bestrebungen tauchte ein starker technischer Datenschutz in den darauffolgenden Jahren kaum in Gesetzen auf. In einigen Ländern gab es zwar rechtlich verbindliche Regelungen, allerdings mangelte es oft an Sanktionsmöglichkeiten bei Nichteinhaltung der gesetzlichen Vorgaben. Mit der DSGVO änderte sich das europaweit. Unternehmen sollten das Thema unbedingt ernst nehmen, denn an Sanktionen mangelt es mittlerweile nicht mehr. Die Aufsichtsbehörden verhängten bei Verstößen bereits hohe Bußgelder.
Was bedeutet Privacy by Design nach der DSGVO?
Der Begriff Privacy by Design wird heute noch oft synonym für die Vorgaben des Art. 25 DSGVO verwendet. Dieser ist allerdings mit „Data Protection by Design“ überschrieben, also „Datenschutz durch Technikgestaltung“. Während man in früheren Entwurfsfassungen der DSGVO noch beide Begriffe findet, scheint man in der finalen Fassung bewusst auf die Begriffe Privacy oder Privatsphäre verzichtet zu haben, um die Regelungen der DSGVO von dem internationalen Konzept abzugrenzen.
Bei der Entwicklung einer Software oder Hardware, die personenbezogene Daten verarbeitet, muss auch der Datenschutz beachtet werden. Technische und organisatorische Maßnahmen (TOM) spielen dabei schon im Entwicklungsstadium eine maßgebliche Rolle. Privacy by Design verfolgt vor allem das Ziel, Nutzer vor Risiken für ihre Rechte und Freiheiten zu schützen, ohne dass diese selbst aktiv werden müssen. Bei der Programmierung von Programmen und Anwendungen gelten also ebenso Datenschutzstandards wie bei der späteren Nutzung.
Privacy by Design bietet jedoch nicht nur für Nutzer Vorteile, sondern auch Chancen für Unternehmen. Wenn es gelingt, die Vorgaben aus Art. 25 Abs. 1 DSGVO umfassend umzusetzen, sollten Unternehmen das auch durch eine Zertifizierung z. B. mit der ISO 27001 nach außen tragen.
Welche Beispiele gibt es für Privacy by Design?
Der Grundsatz Privacy by Design beschränkt sich nicht nur auf die Softwareentwicklung, sondern kann beispielsweise auch bei der Gestaltung von Webseiten relevant sein. Die Datenschutzerklärung muss transparent sein. Dafür sollte die Erklärung Links zu weitergehenden Informationen enthalten und besonders wichtige Informationen hervorheben. Die Datenschutzerklärung darf für die betroffenen Personen nicht schwer zugänglich sein, weshalb man sie auch auf Unterseiten aufrufen können sollte.
Beim Thema Cookies müssen Webseitenbetreiber Privacy by Design ebenfalls beachten. Im Sinne der Datenminimierung sollte man möglichst wenige nicht technisch notwendige Cookies auf der Website einsetzen.
Der Grundsatz der Datenminimierung spielt auch bei der Gestaltung von Bestellvorgängen in Onlineshops eine Rolle. Shopbetreiber sollten Daten, die nicht für den Bestellvorgang erforderlich sind, nur mit einer vorherigen Einwilligung des Kunden verarbeiten. Die Daten sollten zudem für den Nutzer als optional gekennzeichnet sein.
Was bedeutet Privacy by Default nach der DSGVO?
Das Prinzip Privacy by Default oder Data Protection by Default beschreibt datenschutzfreundliche Voreinstellungen, die dem Schutz der Privatsphäre von Nutzern dienen. Nach dem Grundgedanken sollen insbesondere die Nutzer geschützt werden, die weniger technikaffin sind und dadurch nicht geneigt sind, die datenschutzrechtlichen Einstellungen ihren Wünschen entsprechend anzupassen. Die Möglichkeit, dass Nutzer die Einstellungen individuell anpassen, ist durch Privacy by Default nicht ausgeschlossen. Der Grundsatz ist in Art. 25 Abs. 2 DSGVO geregelt:
„Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. (…)“
Privacy by Default stellt somit sicher, dass der Schutz personenbezogener Daten nicht von der technischen Kompetenz einzelner Nutzer abhängt, sondern systemseitig durch entsprechende Voreinstellungen gewährleistet wird.
Welche Beispiele gibt es für Privacy by Default?
Privacy by Default kann in der Praxis in unterschiedlichen Zusammenhängen auftauchen. Im Rahmen von einem Opt-in können Nutzer selbst entscheiden, ob sie einer nicht notwendigen Datenverarbeitung zustimmen wollen. Nutzer sollten die Möglichkeit haben, die Verarbeitungszwecke individuell zu bestätigen oder abzulehnen.
Wenn Social-Media-Plattformen sich an Privacy by Default halten, sollte sich der User nach der Registrierung keine Gedanken um seinen Datenschutz machen müssen. Der Zugriff auf Beiträge und Profile sollte in den Voreinstellungen stark eingeschränkt sein. Plattformen sollten den Zugriff von Apps auf das Nutzerkonto bzw. Nutzerprofil ebenfalls automatisch beschränken.
Welche Konzepte stecken hinter Privacy by Design und Privacy by Default?
Die Umsetzung von Privacy by Design und Privacy by Default fällt leichter, wenn man einige grundlegende Prinzipien beachtet. Die folgenden sieben Konzepte bilden das Fundament beider Grundsätze:
- Proaktiv
Unternehmen sollten Datenschutz vorausschauend angehen und potenzielle Risiken vorhersehen, bevor es zu spät ist. Abwarten ist keine Option. Das Konzept gilt nicht nur für die Gestaltung von Websites und Systemen, sondern kann auch bei der Gestaltung einer entsprechenden Unternehmenskultur herangezogen werden. - Datenschutz als Voreinstellung
Jedes System, jede Dienstleistung und jede Geschäftspraxis sollte automatisch den Schutz von personenbezogenen Daten sicherstellen. - Datenschutz im Design
Unternehmen sollten den Datenschutz in die Gestaltung aller Systeme, Dienste, Produkte und Geschäftspraktiken integrieren. Man ist am Ziel angelangt, wenn der Schutz von personenbezogenen Daten ein fester und wesentlicher Bestandteil der Systeme und Dienste ist. - Datenschutz und Sicherheit gehen Hand in Hand
Datenschutz und IT-Sicherheit schließen sich nicht aus, sondern komplementieren einander. Ein voll umfänglicher Schutz der Privatsphäre ist nur möglich, wenn man Maßnahmen aus beiden Bereichen kombiniert. - Nutzer zentriert arbeiten
Bei der Umsetzung von Privacy by Design and Default sollte die Nutzerperspektive im Mittelpunkt stehen. - Datenschutz von Anfang bis Ende
Unternehmen sollten die hohen Sicherheitsstandards Stück für Stück auf den gesamten Lebenszyklus von Daten ausweiten. Personenbezogene Daten sollten Verantwortliche nicht nur datenschutzkonform erheben und speichern, sondern auch löschen bzw. anonymisieren, wenn sie ihren Zweck erfüllt haben. - Sichtbarkeit und Transparenz
Die ergriffenen Maßnahmen sollten für die Nutzer nachvollziehbar und überprüfbar sein.
Diese Prinzipien bieten eine praxisnahe Orientierung und helfen dabei, Privacy by Design und Privacy by Default systematisch in alle Unternehmensprozesse zu integrieren.
Wie lassen sich Privacy by Design und Privacy by Default umsetzen?
Einen einheitlichen Lösungsweg für die Umsetzung von Privacy by Design und Privacy by Default gibt es nicht. Das hat aber auch Vorteile: Unternehmen können die Implementierung von technischen und organisatorischen Maßnahmen flexibel auf ihre individuelle Situation anpassen. Optimalerweise wird der Prozess durch Datenschutzbeauftragte begleitet, die gezielt unterstützen können.
Welche TOMs konkret zu ergreifen sind, lässt sich nicht pauschal sagen. Als Beispiel nennt Art. 25 Abs. 1 DSGVO die Pseudonymisierung. Erwägungsgrund 78 konkretisiert dies:
„(…) Solche Maßnahmen könnten unter anderem darin bestehen, dass die Verarbeitung personenbezogener Daten minimiert wird, personenbezogene Daten so schnell wie möglich pseudonymisiert werden, Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird, der betroffenen Person ermöglicht wird, die Verarbeitung personenbezogener Daten zu überwachen, und der Verantwortliche in die Lage versetzt wird, Sicherheitsfunktionen zu schaffen und zu verbessern. (…)“
Für die Praxis ist zudem ein Rückgriff auf Art. 32 DSGVO hilfreich, der neben der Pseudonymisierung auch die Verschlüsselung als Beispiel nennt. Bei der Wahl der Maßnahmen ist zu beachten, dass diese unter Berücksichtigung des Stands der Technik und der Implementierungskosten auszuwählen sind. Auch Art, Umfang, Umstände und Zweck der Verarbeitung sind heranzuziehen und dem Risiko der Verarbeitung gegenüberzustellen.
Durch die Verwendung von „Maßnahmen“ im Plural stellt der Gesetzgeber klar, dass mehrere parallel zu ergreifen sind. Für die konkrete Umsetzung bietet der Europäische Datenschutzausschuss (EDSA) mit seinen Guidelines zu Art. 25 DSGVO eine hilfreiche Handreichung.
Privacy by Design and Default als Kernbestandteile einer guten Datenschutzstrategie
Mit Privacy by Design und Privacy by Default wird man beim Thema Datenschutz zwangsläufig konfrontiert. Beide Grundsätze erfordern, dass die datenschutzkonforme technische Gestaltung und die entsprechenden Voreinstellungen fest in der Unternehmenskultur verankert sind und nicht erst nachträglich ergänzt werden.
Wer Privacy by Design und Privacy by Default von Anfang an in Entwicklungsprozesse und Geschäftsabläufe integriert, schafft eine solide Grundlage für datenschutzkonformes Handeln und kann potenzielle Risiken frühzeitig erkennen und adressieren.
