Privacy by Design: Datenschutz von Anfang an einbauen

Privacy by Design, auf Deutsch „Datenschutz durch Technikgestaltung“, ist eine Anforderung aus Art. 25 Abs. 1 DSGVO. Sie verpflichtet Verantwortliche, bereits bei der Planung und Entwicklung von Systemen, Produkten und Verfahren geeignete technische und organisatorische Maßnahmen zu treffen, um Datenschutzgrundsätze wie Datenminimierung wirksam umzusetzen. Das bedeutet: Datenschutz wird nicht nachträglich ergänzt, sondern von Anfang an in die Systemarchitektur eingebaut. Die Maßnahmen müssen dem Stand der Technik entsprechen und die Implementierungskosten, die Art und den Umfang der Verarbeitung sowie die Risiken für die Betroffenen berücksichtigen.

Art. 25 DSGVO nennt als Beispiel die Pseudonymisierung, darüber hinaus kommen zahlreiche weitere Maßnahmen in Betracht: Verschlüsselung personenbezogener Daten bei Übertragung und Speicherung, Datenminimierung durch Erhebung nur der zwingend erforderlichen Daten, Zweckbindung durch technische Zugriffsbeschränkungen, automatische Löschung nach Ablauf der Aufbewahrungsfrist, Zugriffskontrollen nach dem Need-to-know-Prinzip sowie Anonymisierung wo immer möglich. Der Europäische Datenschutzausschuss (EDSA) empfiehlt in seinen Leitlinien 4/2019, diese Maßnahmen entlang des gesamten Datenverarbeitungszyklus zu implementieren.

Privacy by Design (Art. 25 Abs. 1 DSGVO) betrifft die grundlegende Systemgestaltung: Datenschutz wird von Anfang an in Architektur und Prozesse eingebaut. Privacy by Default (Art. 25 Abs. 2 DSGVO) betrifft die Voreinstellungen: Standardmäßig dürfen nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind. Das gilt für den Umfang der Erhebung, die Speicherdauer und die Zugänglichkeit. Ein Beispiel: Privacy by Design bedeutet, ein Kontaktformular so zu entwickeln, dass es technisch nur notwendige Felder zulässt. Privacy by Default bedeutet, dass optionale Felder standardmäßig nicht aktiviert sind.

Verstöße gegen Art. 25 DSGVO können gemäß Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. In der Praxis haben Aufsichtsbehörden bereits Bußgelder verhängt, wenn Unternehmen Datenschutz nicht von Beginn an in ihre Systeme integriert hatten. Neben den finanziellen Risiken drohen Reputationsschäden und das Vertrauen von Kunden und Geschäftspartnern kann nachhaltig beeinträchtigt werden. Eine frühzeitige Privacy-by-Design-Strategie ist daher nicht nur rechtlich geboten, sondern wirtschaftlich sinnvoll.

Die praktische Umsetzung von Privacy by Design erfolgt in mehreren Schritten: Zunächst wird eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt, um Risiken zu identifizieren. Dann werden technische Maßnahmen wie Pseudonymisierung, Verschlüsselung und Zugriffskontrollen ausgewählt und implementiert. Organisatorisch werden Datenschutzanforderungen in den Entwicklungsprozess integriert, etwa durch Datenschutz-Checklisten im Sprint-Planning oder verpflichtende DSFA vor der Einführung neuer Verarbeitungen. Die Wirksamkeit der Maßnahmen muss regelmäßig überprüft und an den Stand der Technik angepasst werden. ADVISORI begleitet Sie durch alle diese Schritte und stellt sicher, dass Ihre Dokumentation die Anforderungen der Aufsichtsbehörden erfüllt.