Zum Inhalt springen Zur Navigation springen
Privacy by Design: Wie wird die Plattform datenschutzkonform?

Privacy by Design: Wie wird die Plattform datenschutzkonform?

Eine Vielzahl privater und beruflicher Lebensprozesse lassen sich durch die Nutzung von Plattformen oft erheblich effizienter und einfacher gestalten. Dieser Beitrag beleuchtet, wie bei der Entwicklung einer Plattform der Grundsatz Privacy by Design eingehalten werden kann.

Was kennzeichnet eine Plattform?

Bei Plattformen denken viele zuerst an Social-Media-, Chat-, oder Video-Plattformen. Kein Wunder: laut Statista.com zählen Facebook, YouTube und Twitter immer noch zu den beliebtesten und am häufigsten genutzten Plattformen. Vermutlich, weil sie das soziale Bedürfnis des Menschen bedienen mit anderen in Kontakt zu treten. Gepaart mit Algorithmen, damit immer genau das präsentiert wird, was der Nutzer gerade sehen will. Im Kern geht es bei plattformbasierter Software auch genau darum: Menschen und Daten miteinander zu verbinden.

Auch im beruflichen Umfeld arbeiten wir immer mehr mit plattformbasierten Software-Dienstleistungen. Bei näherer Betrachtung gibt es kaum noch einen Bereich, in dem nicht auf eine funktionale Plattform zurückgegriffen werden kann: Zeiterfassung, Gebäudemanagement, Gehaltsabrechnungen, Social-Enterprise-Networking, Steuerberatung, Wissensmanagement. Die Liste ist lang und die Angebote sind vielseitig.

Der Grundsatz Privacy by Design

Um eine Plattform datenschutzkonform am Markt zu halten, gilt es zunächst den Grundsatz „Privacy by Design“ einzuhalten. Das heißt, den Datenschutz durch Technikgestaltung schon im Entwicklungsprozess umzusetzen.

Dieser Grundsatz ist in Art. 25 Abs. 1 DSGVO normiert. Dort heißt es:

„[…] trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.“

Mehr Klarheit verschafft der hierzu passende und ungewohnt eindeutige Erwägungsgrund Nr. 78 DSGVO:

„Um die Einhaltung dieser Verordnung nachweisen zu können, sollte der Verantwortliche interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun.“

Nicht mehr und nicht weniger als Datenschutzgrundsätze

Mit seiner herrlich unkonkreten Definition in Art. 25 DSGVO stellt der europäische Gesetzgeber die Entwickler vor die Herausforderung, genau die passende technische Maßnahme zu treffen, die es nach eigener Auslegung des Betreibers für die Wahrung des Datenschutzes auf der Plattform bedarf.

Privacy by Design meint daher wohl bei wörtlicher Auslegung nicht mehr und nicht weniger als die Plattform so zu konstruieren, dass zu jedem Zeitpunkt der Verarbeitung von personenbezogenen Daten die Anforderungen des Datenschutzes eingehalten werden können.

Strenggenommen hätte es hierfür wohl keines eigenen Artikels bedurft. Die Datenschutz-Grundverordnung legt dem Verantwortlichen die Einhaltung dieser Pflicht in Art. 32 DSGVO ohnehin auf. Vielmehr scheint hinter Art. 25 DSGVO ein deklaratorisch erhobener Finger zu stehen: erst denken, dann entwickeln!

Wohin eine Missachtung dieses Grundsatzes bei Softwareanwendungen führen kann, hat die Deutsche Wohnen SE im vergangenen Jahr eindrücklich demonstriert und für nicht löschbare Mieterdaten in ihrer Datenbank ein saftiges Bußgeld kassiert. Der erste Merkposten für Entwickler ist daher, frühzeitig Maßnahmen zu implementieren, die die Gewährleistungsziele des Datenschutzes sicherstellen. Das Beispiel der Deutsche Wohnen lehrt uns: Löschen muss möglich sein.

Orientierungshilfe für Einzelmaßnahmen

Um den Umsetzungsprozess nicht im Nebel der allgemeinen Grundsätze von Rechtmäßigkeit, Datensparsamkeit, Transparenz und Datensicherheit verschwimmen zu lassen, kann bei der Entwicklung von Plattformfunktionalitäten mit Kontrollfragen gearbeitet werden. Im Wesentlichen geht es darum, durch technische Maßnahme die Gewährleistung von Datenschutzgrundsätzen sicherzustellen.

Die in Art. 25 DSGVO konkret benannte Maßnahme zur datenschutzkonformen Technikgestaltung ist die Pseudonymisierung von personenbezogenen Daten immer dort, wo es möglich erscheint.

Darüber hinaus gilt es sich an der Nomenklatur der DSGVO abzuarbeiten und stets die Frage zu stellen: welche Gewährleistungsziele des Datenschutzes müssen wir beachten und wie können wir diese Ziele durch technischen Maßnahmen erreichen?

Typische Maßnahmen zur datenschutzkonformen Technikgestaltung für Plattform-Entwickler

Nicht überraschend, dass bei der Entwicklung einer Plattform natürlich immer und in erster Linie an die Gewährleistung der Datensicherheit und den Grundsatz der Datensparsamkeit zu denken ist.

Eine plattformtypische Maßnahme ist das Nutzerprofil-Management. Dazu gehört die Umsetzung von Authentifizierungsmechanismen und die Trennung von personenbezogenen Daten. Hiermit kann die Vertraulichkeit ebenso wie die Rechte Betroffener durch vollständige und getrennte Auskünfte bzw. Löschungen gewährleistet werden.

Bei der Frage, welche personenbezogenen Daten zu welchem Zweck an welchem Ort gespeichert werden, ist immer zunächst an die Gewährleistung der Rechtmäßigkeit der Verarbeitung zu denken und die Rechtsgrundlagen für die verschiedenen Verarbeitungen zu definieren und zu dokumentieren. Wenn die Rechtsgrundlage z.B. die Einwilligung ist, sollte technisch sichergestellt sein, dass eine Verarbeitung auch erst nach dokumentierter Einwilligung der betroffenen Person einsetzt. Hieran knüpft denklogisch die Implementierung eines Löschkonzepts an.

Schon frühzeitig sollte sich ein Plattform-Entwickler auch Gedanken darüber machen, ob er oder ein anderer die personenbezogenen Daten auf der Plattform als Verantwortlicher verarbeitet. Verarbeitet er personenbezogene Daten im Auftrag seiner Kunden, dann wird er regelmäßig Auftragsverarbeiter i.S.d. Art. 28 DSGVO sein und einen entsprechenden Vertrag abschließen müssen. In einem solchen Fall sollte auch sichergestellt werden, dass die Plattform mandantenfähig ist. Das heißt, dass die Plattform für verschiedene Kunden voneinander getrennt bereitgestellt werden kann.

Nicht zuletzt sollte eine Plattform über ein Berechtigungskonzept verfügen und die nötigen Voraussetzungen geschaffen werden, um ggf. dem Wunsch auf Datenübertragung nachkommen zu können.

Informieren Sie sich über unsere praxisnahen Webinare
  • »Microsoft 365 sicher gestalten«
  • »Informationspflichten nach DSGVO«
  • »Auftragsverarbeitung in der Praxis«
  • »DSGVO-konformes Löschen«
  • »IT-Notfall Ransomware«
  • »Bewerber- und Beschäftigtendatenschutz«
Webinare entdecken
Mit dem Code „Webinar2024B“ erhalten Sie 10% Rabatt, gültig bis zum 30.06.2024.
Beitrag kommentieren
Fehler entdeckt oder Themenvorschlag? Kontaktieren Sie uns anonym hier.
Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.