DSGVO Privacy by Design & Default

Art.

25 Abs.

2 DSGVO verpflichtet Verantwortliche, technische und organisatorische Maßnahmen zu treffen, damit standardmäßig nur personenbezogene Daten verarbeitet werden, die für den jeweiligen Verarbeitungszweck erforderlich sind. Diese Pflicht erstreckt sich auf die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherdauer und die Zugänglichkeit. Insbesondere dürfen Daten nicht ohne Zutun der betroffenen Person einer unbestimmten Zahl natürlicher Personen zugänglich gemacht werden.

Typische Maßnahmen umfassen: Opt-in statt Opt-out für Marketing-Einwilligungen, minimale Pflichtfelder in Formularen, kürzeste Speicherdauer als Voreinstellung, eingeschränkte Sichtbarkeit von Nutzerprofilen, deaktivierte Tracking-Cookies bei Erstnutzung, anonyme Nutzung als Standard sowie automatische Datenlöschung nach Zweckerfüllung. Die EDPB-Leitlinien 4/2019 beschreiben sieben Designprinzipien als verbindlichen Orientierungsrahmen.

Privacy by Design (Art.

25 Abs.

1 DSGVO) fordert, Datenschutz bereits bei der Entwicklung von Systemen einzubauen – etwa durch Pseudonymisierung oder Datenminimierung in der Architektur. Privacy by Default (Art.

25 Abs.

2 DSGVO) verlangt, dass Voreinstellungen so gesetzt werden, dass standardmäßig nur die für den jeweiligen Zweck nötigen Daten verarbeitet werden. Design sichert die Architektur, Default schützt Nutzer, die Einstellungen nicht aktiv ändern.

Datenminimierung (Art.

5 Abs.

1 lit. c DSGVO) ist der Grundsatz, der die Erhebung auf das Notwendige beschränkt. Privacy by Default ist das technische Werkzeug, um Datenminimierung in der Praxis umzusetzen: Voreinstellungen stellen sicher, dass nur zweckgebundene Daten erhoben werden, ohne dass Nutzer aktiv eingreifen müssen. Beide zusammen bilden das Fundament eines datenschutzfreundlichen Systems.

Art.

25 DSGVO gilt für alle Verarbeitungsvorgänge – auch für Bestandssysteme. Verantwortliche müssen prüfen, ob die Voreinstellungen bestehender Systeme dem Stand der Technik entsprechen, und gegebenenfalls nachrüsten. Aufsichtsbehörden erwarten eine kontinuierliche Anpassung an neue Risiken und technische Möglichkeiten. Ein einmaliges Einrichten reicht nicht aus.

Verstöße gegen Art.

25 DSGVO können gemäß Art.

83 Abs.

4 DSGVO mit Geldbußen von bis zu

10 Millionen Euro oder

2 % des weltweiten Jahresumsatzes geahndet werden. Aufsichtsbehörden haben bereits Bußgelder verhängt, wenn Softwarelösungen keine datenschutzfreundlichen Voreinstellungen enthielten oder personenbezogene Daten ohne Zweckbindung erhoben wurden.

Die sieben Prinzipien sind: (1) Proaktiv statt reaktiv, (2) Datenschutz als Standardeinstellung, (3) Datenschutz in das Design eingebettet, (4) Volle Funktionalität trotz Datenschutz, (5) Sicherheit über den gesamten Lebenszyklus, (6) Sichtbarkeit und Transparenz, (7) Respekt für die Privatsphäre der Nutzer. Diese von Ann Cavoukian entwickelten Prinzipien wurden in die EDPB-Leitlinien 4/2019 zu Art.

25 DSGVO übernommen.