Datenminimierung als Standard, nur zweckgebundene Daten werden erhoben, ohne aktives Eingreifen der Nutzer

Privacy by Default nach Art. 25 Abs. 2 DSGVO: Datenschutzfreundliche Voreinstellungen umsetzen

Privacy by Default (Art.

  • 01Systematische Integration von Datenschutz in alle Entwicklungsprozesse
  • 02Kosteneffiziente Compliance durch frühzeitige Berücksichtigung
  • 03Minimierung von Datenschutzrisiken durch proaktive Maßnahmen
  • 04Wettbewerbsvorteile durch datenschutzfreundliche Innovation
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

Was verlangt Privacy by Default nach Art. 25 Abs. 2 DSGVO konkret?

Art. 25 Abs. 2 DSGVO fordert, dass personenbezogene Daten durch Voreinstellungen geschützt werden: Nur die für den konkreten Verarbeitungszweck notwendigen Daten dürfen standardmäßig erhoben werden. Diese Pflicht erstreckt sich auf die Menge der Daten, den Umfang der Verarbeitung, die Speicherdauer und die Zugänglichkeit. Insbesondere dürfen Daten nicht ohne Zutun der betroffenen Person einer unbestimmten Zahl von Personen zugänglich gemacht werden.

Die EDPB-Leitlinien 4/2019 konkretisieren sieben Designprinzipien als Orientierungsrahmen. Verstöße können mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes geahndet werden. ADVISORI begleitet Sie von der Analyse bestehender Systeme über die Implementierung datenschutzfreundlicher Standardkonfigurationen bis zur lückenlosen Dokumentation für Aufsichtsbehörden.

Wir unterstützen Sie dabei, Privacy by Design & Default von theoretischen Konzepten zu praktischen, integrierten Unternehmensprozessen zu entwickeln.

2 Leistungsbausteine

Leistungsumfang

01

Privacy by Design Strategieentwicklung

Entwicklung einer umfassenden Strategie zur Integration von Datenschutz in alle Unternehmensprozesse.

  • Analyse der aktuellen Entwicklungs- und Geschäftsprozesse
  • Entwicklung einer maßgeschneiderten Privacy by Design Roadmap
  • Definition von Privacy by Design Prinzipien und Standards
  • Aufbau von Governance-Strukturen und Verantwortlichkeiten
02

Privacy by Default Implementierung

Systematische Umsetzung datenschutzfreundlicher Standard-Konfigurationen in allen Systemen und Anwendungen.

  • Entwicklung datenschutzfreundlicher Default-Einstellungen
  • Integration in bestehende IT-Systeme und Anwendungen
  • Aufbau automatisierter Privacy-Compliance-Checks
  • Kontinuierliche Überwachung und Anpassung der Konfigurationen

5 Phasen

Unser Vorgehen

Wir verfolgen einen systematischen Ansatz zur Implementierung von Privacy by Design & Default, der sowohl technische als auch organisatorische Aspekte berücksichtigt.

  1. Analyse bestehender Entwicklungs- und Geschäftsprozesse

  2. Entwicklung einer maßgeschneiderten Privacy by Design Strategie

  3. Schrittweise Integration in alle relevanten Prozesse

  4. Schulung und Change Management für alle Beteiligten

  5. Kontinuierliche Überwachung und Optimierung der Umsetzung

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn

Unsere Expertise

  • 01Tiefgreifende Expertise in datenschutzfreundlicher Systemarchitektur
  • 02Bewährte Methoden zur Integration in bestehende Entwicklungsprozesse
  • 03Praktische Erfahrung in der Umsetzung bei verschiedenen Unternehmensgrößen
  • 04Kontinuierliche Begleitung bei der kulturellen Transformation

DSGVO-Verpflichtung

Privacy by Design & Default sind nicht optional, sondern verpflichtende DSGVO-Prinzipien. Unternehmen müssen nachweisen können, dass sie diese Prinzipien in ihre Entwicklungs- und Geschäftsprozesse integriert haben.

7 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu DSGVO Privacy by Design & Default

Was genau verlangt Art. 25 Abs. 2 DSGVO zu Privacy by Default?

Art. 25 Abs. 2 DSGVO verpflichtet Verantwortliche, technische und organisatorische Maßnahmen zu treffen, damit standardmäßig nur personenbezogene Daten verarbeitet werden, die für den jeweiligen Verarbeitungszweck erforderlich sind. Diese Pflicht erstreckt sich auf die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherdauer und die Zugänglichkeit. Insbesondere dürfen Daten nicht ohne Zutun der betroffenen Person einer unbestimmten Zahl natürlicher Personen zugänglich gemacht werden.

Welche konkreten Maßnahmen erfüllen die Anforderungen von Privacy by Default?

Typische Maßnahmen umfassen: Opt-in statt Opt-out für Marketing-Einwilligungen, minimale Pflichtfelder in Formularen, kürzeste Speicherdauer als Voreinstellung, eingeschränkte Sichtbarkeit von Nutzerprofilen, deaktivierte Tracking-Cookies bei Erstnutzung, anonyme Nutzung als Standard sowie automatische Datenlöschung nach Zweckerfüllung. Die EDPB-Leitlinien 4/2019 beschreiben sieben Designprinzipien als verbindlichen Orientierungsrahmen.

Wie unterscheiden sich Privacy by Design und Privacy by Default?

Privacy by Design (Art. 25 Abs. 1 DSGVO) fordert, Datenschutz bereits bei der Entwicklung von Systemen einzubauen, etwa durch Pseudonymisierung oder Datenminimierung in der Architektur. Privacy by Default (Art. 25 Abs. 2 DSGVO) verlangt, dass Voreinstellungen so gesetzt werden, dass standardmäßig nur die für den jeweiligen Zweck nötigen Daten verarbeitet werden. Design sichert die Architektur, Default schützt Nutzer, die Einstellungen nicht aktiv ändern.

Wie hängen Datenminimierung und Privacy by Default zusammen?

Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) ist der Grundsatz, der die Erhebung auf das Notwendige beschränkt. Privacy by Default ist das technische Werkzeug, um Datenminimierung in der Praxis umzusetzen: Voreinstellungen stellen sicher, dass nur zweckgebundene Daten erhoben werden, ohne dass Nutzer aktiv eingreifen müssen. Beide zusammen bilden das Fundament eines datenschutzfreundlichen Systems.

Gilt Privacy by Default auch für bestehende Systeme oder nur für Neuentwicklungen?

Art. 25 DSGVO gilt für alle Verarbeitungsvorgänge, auch für Bestandssysteme. Verantwortliche müssen prüfen, ob die Voreinstellungen bestehender Systeme dem Stand der Technik entsprechen, und gegebenenfalls nachrüsten. Aufsichtsbehörden erwarten eine kontinuierliche Anpassung an neue Risiken und technische Möglichkeiten. Ein einmaliges Einrichten reicht nicht aus.

Welche Bußgelder drohen bei Verstößen gegen Privacy by Default?

Verstöße gegen Art. 25 DSGVO können gemäß Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Aufsichtsbehörden haben bereits Bußgelder verhängt, wenn Softwarelösungen keine datenschutzfreundlichen Voreinstellungen enthielten oder personenbezogene Daten ohne Zweckbindung erhoben wurden.

Was sind die sieben Grundprinzipien der EDPB-Leitlinien zu Art. 25 DSGVO?

Die sieben Prinzipien sind: (1) Proaktiv statt reaktiv, (2) Datenschutz als Standardeinstellung, (3) Datenschutz in das Design eingebettet, (4) Volle Funktionalität trotz Datenschutz, (5) Sicherheit über den gesamten Lebenszyklus, (6) Sichtbarkeit und Transparenz, (7) Respekt für die Privatsphäre der Nutzer. Diese von Ann Cavoukian entwickelten Prinzipien wurden in die EDPB-Leitlinien 4/2019 zu Art. 25 DSGVO übernommen.