Personenbezogene Daten sind im digitalen Zeitalter Gold wert. Damit Bürger:innen nicht die Selbstbestimmung über ihre Daten verlieren, erhebt die DSGVO in Art. 25 die Prinzipien „Datenschutz durch Technikgestaltung“ und „datenschutzfreundliche Voreinstellungen“ zum Standard. In der Fachwelt sind sie überwiegend unter den englischen Bezeichnungen „Privacy by Design“ und „Privacy by Default“ bekannt.
Privacy by Design
Privacy by Design bedeutet, dass Datenschutz bereits in die Entwicklung und Konzeption von Technik einfließt und darin eingebettet ist – z. B. bei Software und Hardware. Da eine vollständige Umsetzung in Datenverarbeitungssystemen nicht praktikabel ist, fordert die DSGVO angemessene Vorkehrungen. Verantwortliche entscheiden nach eigenem Ermessen, welche Maßnahmen sie ergreifen wollen, beispielsweise Anonymisierung oder Pseudonymisierung sowie interne Regeln zum Speichern und Löschen von Daten.
Die DSGVO gibt vor, dass bei der Auswahl der Maßnahmen folgende Punkte zu bedenken sind:
Der Stand der Technik
Die Implementierungskosten
Art und Umfang der Datenverarbeitung
Die unterschiedliche Eintrittswahrscheinlichkeit und die Schwere der mit einer Datenverarbeitung verbundenen Risiken
Privacy by Default
Das Prinzip Privacy by Default bezieht sich auf datenschutzfreundliche Voreinstellungen. Verfügen beispielsweise Geräte, Anwendungen oder Webdienste über Einstellungsmöglichkeiten für den Datenschutz, dürfen diese bei der Auslieferung nur die minimal erforderlichen Daten der Betroffenen abfragen oder verarbeiten (etwa zu Werbezwecken). Dies dient besonders dem Schutz vonNutzer:innen, die sich mit Technik und Datenschutz weniger auskennen und nicht wissen, wie sie datenschutzrechtliche Einstellungen an ihre Wünsche anpassen können.
Abgesehen von einer kurzen Beschreibung der beiden Begriffe bietet die Datenschutz-Grundverordnung kaum Klarheit über die Bedeutung von Privacy by Design und Privacy by Default. Das hat zu einigen Missverständnissen geführt. So wird Privacy by Design häufig als Synonym für Privacy by Default verwendet. Das ist im Kern nicht richtig, vielmehr ist Privacy by Default ein Teilbereich von Privacy by Design.
Häufig werden die Prinzipien nur auf Software und Hardware bezogen. Tatsächlich lassen sich Privacy by Design und Privacy by Default auf alle Bereiche im Betrieb anwenden, also auf IT-Systeme, Produkte, Dienstleistungen, Veranstaltungen und Marketingaktivitäten ebenso wie auf interne Prozesse und das Personalmanagement.
Technische und organisatorische Maßnahmen (TOM)
Damit Verantwortliche bei der Verarbeitung personenbezogener Daten ein angemessenes Schutzniveau sicherstellen können, definiert die DSGVO in Art. 32 eine Reihe an technischen und organisatorischen Maßnahmen (TOM). Beispiele für technische Maßnahmen:
Beispiele für organisatorische Maßnahmen:
Rechtsgrundlagen beachten
Datenverarbeitung analysieren und kontinuierlich überwachen
Mitarbeitende zum Thema Datenschutz schulenZugangskontrolle und Registrierung von Besucher:innen professionalisierenVerhindern, dass Unbefugte Zutritt zu Datenverarbeitungsanlagen erhalten
Dokumente mit personenbezogenen Daten datenschutzkonform entsorgen
Insgesamt bleiben die in der DSGVO genannten Maßnahmen jedoch vage, sodass es hilfreich sein kann, externe Beratung in Anspruch zu nehmen. Auch wichtig: Privacy by Design und Privacy by Default sind keine einmaligen Maßnahmen, sondern erfordern ein regelmäßiges Überprüfen aller Prozesse, Systeme, Produkte und Dienstleistungen.
Dokumentieren Sie in jedem Fall alle Vorkehrungen sorgfältig, um sie bei Bedarf eindeutig nachweisen zu können und sich vor möglichen Bußgeldern oder einem Imageverlust zu schützen.
