Was bedeuten Privacy by Design und Privacy by Default?
Privacy by Design heißt: Der Verantwortliche plant den Datenschutz in Technik und Organisation einer Verarbeitung ein, bevor sie läuft, und hält ihn während des Betriebs aufrecht. Privacy by Default heißt: Ein System verarbeitet ab Werk nur, was für den Zweck nötig ist; jede weitergehende Verarbeitung setzt eine bewusste Änderung voraus. Art. 25 DSGVO fasst beide Pflichten unter der Überschrift „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ zusammen.
| Absatz | Inhalt | Kurzform |
|---|---|---|
| Abs. 1 | geeignete technische und organisatorische Maßnahmen, die die Datenschutzgrundsätze wirksam umsetzen, bei der Festlegung der Mittel und während der Verarbeitung | Privacy by Design |
| Abs. 2 | Voreinstellungen, die grundsätzlich nur die für den jeweiligen Zweck erforderlichen Daten verarbeiten | Privacy by Default |
| Abs. 3 | ein genehmigtes Zertifizierungsverfahren nach Art. 42 als Faktor für den Nachweis | Nachweis |
Wie Art. 25 mit den übrigen Pflichten der Verordnung zusammenhängt, zeigt der DSGVO-Leitfaden.
Was verlangt Privacy by Design nach Art. 25 Abs. 1?
Privacy by Design verlangt Maßnahmen zu zwei Zeitpunkten: „sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung“. Die Pflicht beginnt also mit der Auswahl eines Systems, eines Dienstleisters oder einer Architektur und endet nicht mit der Inbetriebnahme.
Die Maßnahmen müssen die Datenschutzgrundsätze wirksam umsetzen; die Verordnung nennt die Pseudonymisierung als Beispiel einer Maßnahme und die Datenminimierung als Beispiel eines Grundsatzes. Welche Maßnahmen angemessen sind, wägen Sie nach dem Stand der Technik, den Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie nach Eintrittswahrscheinlichkeit und Schwere der Risiken für die betroffenen Personen ab.
Erwägungsgrund 78 nennt als mögliche Maßnahmen:
- die Verarbeitung minimieren;
- Daten so schnell wie möglich pseudonymisieren;
- Transparenz über Funktionen und Verarbeitung herstellen;
- der betroffenen Person die Überwachung der Verarbeitung ermöglichen;
- Sicherheitsfunktionen schaffen und verbessern.
Was verlangt Privacy by Default nach Art. 25 Abs. 2?
Privacy by Default verlangt, dass durch Voreinstellung grundsätzlich nur die Daten verarbeitet werden, die für den jeweiligen bestimmten Zweck erforderlich sind. Die Pflicht gilt für vier Bezugspunkte:
| Bezugspunkt in Abs. 2 | Prüffrage | Datenschutzfreundliche Voreinstellung |
|---|---|---|
| Menge der erhobenen Daten | Welche Felder sind für den Zweck nötig? | optionale Felder sind leer, Pflichtfelder auf das Nötige begrenzt |
| Umfang der Verarbeitung | Wofür werden die Daten genutzt? | Analyse, Profilbildung und Newsletter sind aus, bis die Person sie wählt |
| Speicherfrist | Wie lange werden sie gebraucht? | die Löschfrist ist im System eingestellt, nicht nur im Löschkonzept beschrieben |
| Zugänglichkeit | Wer kann sie sehen? | neue Profile, Dokumente und Freigaben sind nicht öffentlich, Berechtigungen beginnen eng |
Satz 3 hebt einen Fall hervor: Personenbezogene Daten dürfen durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden. Ein Profil, das ab Anlage öffentlich sichtbar ist, ist mit Satz 3 nicht vereinbar, auch wenn die Person die Sichtbarkeit später einschränken kann.
Design oder Default: wo der Unterschied liegt
Privacy by Design schafft die Möglichkeit, datensparsam zu arbeiten; Privacy by Default legt fest, dass das System dort beginnt. Ein Werkzeug mit einem Schalter „Nutzungsanalyse aus“ erfüllt Abs. 2 deshalb nicht, wenn der Schalter ab Werk auf „an“ steht.
| Merkmal | Privacy by Design | Privacy by Default |
|---|---|---|
| Fundstelle | Art. 25 Abs. 1 DSGVO | Art. 25 Abs. 2 DSGVO |
| Gegenstand | Gestaltung von Technik und Organisation | Vorgabewerte und Ausgangseinstellungen |
| Maßstab | Abwägung nach Stand der Technik, Kosten, Verarbeitung und Risiko | Erforderlichkeit für den bestimmten Zweck |
| Beispiele | Pseudonymisierung, Verschlüsselung, Mandantentrennung, Löschfunktion | abgewählte Einwilligungen, nicht öffentliche Profile, kurze Speicherfristen |
Voreinstellungen eines gekauften Systems prüfen: Beispiel (fiktiv)
Setzen Sie fremde oder Standardsoftware ein, sollten Sie nach den Leitlinien 4/2019 des Europäischen Datenschutzausschusses (Version 2.0, Rn. 44) das Produkt einer Risikobewertung unterziehen und sicherstellen, dass Funktionen, die keine Rechtsgrundlage haben oder nicht mit dem beabsichtigten Zweck vereinbar sind, abgeschaltet sind. Das folgende Beispiel zeigt eine solche Prüfung für ein neu beschafftes Bewerberportal; Produkt und Befunde sind frei gewählt.
Legen Sie in einer Testumgebung eine neue Bewerbung und eine neue Stellenanzeige an, ohne Einstellungen zu ändern, und halten Sie fest, was das System von sich aus tut:
| Bezugspunkt | Prüfschritt | Erwartet | Befund (fiktiv) | Folge |
|---|---|---|---|---|
| Menge | Pflichtfelder im Bewerbungsformular ansehen | nur für die Auswahl nötige Angaben | Geburtsdatum und Foto sind Pflichtfelder | beide als optional einstellen oder entfernen |
| Umfang | Einstellungen zu Analyse und Talentpool öffnen | aus, bis die Person zustimmt | Aufnahme in den Talentpool ist vorausgewählt | Vorauswahl entfernen |
| Speicherfrist | Löschregel für abgelehnte Bewerbungen suchen | Frist im System eingestellt | keine Löschregel aktiv | Frist aus dem Löschkonzept einstellen |
| Zugänglichkeit | Freigabe einer Bewerbung an die Fachabteilung testen | Freigabe an benannte Personen | Freigabelink gilt für jeden, der ihn kennt | auf benannte Konten umstellen (Satz 3) |
Halten Sie für jede Zeile Datum, Prüfer, Bildschirmfoto und die geänderte Einstellung fest und wiederholen Sie die Prüfung nach jedem größeren Update des Herstellers. Lässt sich eine Voreinstellung nicht ändern, brauchen Sie eine andere technische oder organisatorische Maßnahme, die dasselbe sicherstellt, oder ein anderes Produkt; dokumentieren Sie die Entscheidung.
Wer ist nach Art. 25 DSGVO verpflichtet?
Verpflichtet ist der Verantwortliche, also die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet. Hersteller von Software und Geräten sind nicht unmittelbar Adressaten; nach Erwägungsgrund 78 „sollten“ sie „ermutigt werden“, den Datenschutz bei Entwicklung und Gestaltung zu berücksichtigen.
Mittelbar erreicht die Pflicht die Hersteller trotzdem, weil die Auswahl der Mittel selbst unter Abs. 1 fällt: Wer ein Produkt einkauft, prüft dessen Gestaltung und Voreinstellungen. Nach Erwägungsgrund 78 sollen die Grundsätze auch bei öffentlichen Ausschreibungen berücksichtigt werden.
Was gilt als Nachweis, und welches Bußgeld droht?
Ein genehmigtes Zertifizierungsverfahren nach Art. 42 kann nach Art. 25 Abs. 3 als Faktor herangezogen werden, um die Erfüllung der Absätze 1 und 2 nachzuweisen; es ersetzt die eigene Prüfung nicht. Ein Managementsystemzertifikat wie ISO 27701 ist für sich genommen kein Verfahren nach Art. 42.
Verstöße gegen Art. 25 fallen unter Art. 83 Abs. 4 Buchst. a DSGVO: bis zu 10 Mio. Euro oder bis zu 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Wer Daten ohne Erforderlichkeit erhebt oder offen zugänglich macht, kann zugleich die Grundsätze des Art. 5 verletzen; dafür sieht Art. 83 Abs. 5 bis zu 20 Mio. Euro oder 4 % vor.
Woher stammen die sieben Prinzipien von Privacy by Design?
Die sieben Grundprinzipien hat Ann Cavoukian als Information and Privacy Commissioner der kanadischen Provinz Ontario formuliert:
- vorbeugen statt reagieren
- Datenschutz als Voreinstellung
- Datenschutz in die Gestaltung eingebettet
- volle Funktionalität als Positivsumme statt Nullsumme
- Schutz über den gesamten Lebenszyklus
- Sichtbarkeit und Transparenz
- Achtung der Privatsphäre der Nutzer
Rechtlich verbindlich ist in der EU nur der Wortlaut des Art. 25, der diese Prinzipien nicht übernimmt.
Ein neues System im Asset-Register von Rizzqo
Rizzqo führt ein neu beschafftes System wie das Bewerberportal als unterstützendes Asset unter den primären Assets, die es tragen soll, etwa dem Bewerbungsprozess. Von ihnen erbt es die Vertraulichkeitseinstufung und das Merkmal für personenbezogene Daten; damit zeigt der Eintrag schon bei der Auswahl, dass das System personenbezogene Daten verarbeitet. Die Anforderungen hängen über Asset-Kategorie und Unterkategorie am System, und ein zugewiesener Eigentümer finalisiert jede Antwort mit Name und Zeitstempel; das Protokoll der Voreinstellungsprüfung kann als Nachweis angehängt werden. Die DSGVO ist in Rizzqo als Taxonomiemodul abgebildet.