Was ist Datenschutz durch Technikgestaltung
Privacy by Design (PbD) ist ein Rahmen, der von Dr. Ann Cavoukian in den 1990er Jahren entwickelt und als rechtliche Pflicht gemäß Artikel 25 der DSGVO kodifiziert wurde. Er verlangt von Verantwortlichen die Umsetzung angemessener technischer und organisatorischer Maßnahmen – wie Datensparsamkeit und Pseudonymisierung – sowohl bei der Festlegung der Mittel zur Verarbeitung als auch bei der Verarbeitung selbst.
Die sieben Grundprinzipien
- Proaktiv statt reaktiv: Datenschutzrisiken antizipieren und verhindern, bevor sie auftreten
- Datenschutz als Standardeinstellung: Ohne Benutzeraktion muss die datenschutzfreundlichste Konfiguration gelten
- In die Gestaltung eingebettet: Datenschutz ist ein integraler Bestandteil der Systemarchitektur, kein Zusatz
- Volle Funktionalität (Positiv-Summe): Datenschutz und Geschäftsziele sind kein Nullsummenspiel
- Ende-zu-Ende-Sicherheit: Datenschutz über den gesamten Datenlebenszyklus
- Transparenz und Sichtbarkeit: Prozesse müssen überprüfbar und prüfbar sein
- Respekt für die Privatsphäre der Nutzer: Nutzerinteressen haben Vorrang
Rechtliche Pflichten gemäß Artikel 25
Artikel 25 DSGVO schafft eine bindende Verpflichtung für Verantwortliche, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen anzuwenden. Dies umfasst die Umsetzung von Maßnahmen, die der Art, dem Umfang, dem Kontext und den Zwecken der Verarbeitung sowie den Risiken für Personen angemessen sind. Aufsichtsbehörden haben damit begonnen, dies durchzusetzen.
Praktische Umsetzung
Für Entwicklungsteams bedeutet PbD die Durchführung von DSFAs vor dem Launch neuer Funktionen, Anwendung von Datensparsamkeit in Formularen und Datenbanken, Implementierung automatischer Aufbewahrungsfristen, Nutzung von Pseudonymisierung und Verschlüsselung sowie Dokumentation datenschutzrelevanter Designentscheidungen. In agilen Umgebungen sollten Datenschutzprüfungen in jeden Sprint-Zyklus integriert werden.