Privacy by Design ist ein Begriff, der häufig synonym mit Data Protection by Design (Datenschutz durch Technikgestaltung) verwendet wird, nach Darstellung des BfDI aber nicht gleichbedeutend damit ist.
Auf einen Blick
Verpflichtend ist Art. 25 DSGVO (Datenschutz durch Technikgestaltung) und nicht der Begriff selbst; Abs. 1 verlangt unter Berücksichtigung des Stands der Technik, der Implementierungskosten und weiterer in Art. 25 Abs. 1 genannter Umstände geeignete Maßnahmen bei der Festlegung der Mittel und bei der eigentlichen Verarbeitung.
Die Maßnahmen nach Art. 25 Abs. 1 DSGVO sind dafür ausgelegt, Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen.
Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO) und Datenschutz durch Technikgestaltung ergänzen sich nach den EDPB-Leitlinien und verstärken sich gegenseitig.
Was ist Privacy by Design?
Der BfDI unterscheidet Privacy by Design von Data Protection by Design: Privacy by Design meint vor allem den Schutz der Privatsphäre und zielt damit vor allem darauf, dass bestimmte Datenverarbeitungen überhaupt nicht stattfinden. Data Protection by Design, auf Deutsch Datenschutz durch Technikgestaltung, umfasst dagegen auch solche Datenverarbeitungen, die tatsächlich stattfinden und legitim sind. Die Pflicht ergibt sich nicht aus dem Begriff Privacy by Design, sondern aus Art. 25 DSGVO, der Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen regelt.
Als Beispiel für Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung): Plant ein Versicherer ein neues Kundenportal, trifft er unter Berücksichtigung des Stands der Technik und der Risiken schon bei der Festlegung der Mittel für die Verarbeitung Maßnahmen, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen. Zweck dieser Maßnahmen ist es, den Anforderungen der Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen. Zu den Faktoren nennt Art. 25 Abs. 1 DSGVO neben dem Stand der Technik auch die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen.
Privacy by Design und Art. 25 DSGVO: Wie funktioniert Datenschutz durch Technikgestaltung?
Die konkrete rechtliche Umsetzung datenschutzgerechter Technikgestaltung regelt Art. 25 Abs. 1 DSGVO unter der Bezeichnung „Datenschutz durch Technikgestaltung“ (Data Protection by Design): Danach trifft der Verantwortliche unter Berücksichtigung des Stands der Technik und weiterer in Art. 25 Abs. 1 genannter Umstände geeignete Maßnahmen zu zwei Zeitpunkten: bei der Festlegung der Mittel für die Verarbeitung und bei der eigentlichen Verarbeitung. Zu den Mitteln zählen nach den EDPB-Leitlinien allgemeine bis detaillierte Gestaltungselemente, etwa Architektur, Verfahren und Protokolle, Layout und Erscheinungsbild. Die Maßnahmen sind dafür ausgelegt, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen. Datenminimierung ist nach Art. 5 Abs. 1 Buchst. c DSGVO ein Grundsatz, nach dem personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen.
Nach den EDPB-Leitlinien ist die Wirksamkeit der Kern des Konzepts des Datenschutzes durch Technikgestaltung. Nach den Leitlinien erstreckt sich die Verpflichtung zur Wartung, Überprüfung und bei Bedarf Aktualisierung des Verarbeitungsvorgangs auch auf bereits bestehende Systeme. Der Kostenaspekt verpflichtet den Verantwortlichen laut den Leitlinien nicht zu einem unverhältnismäßig großen Ressourcenaufwand, wenn alternative, weniger ressourcenintensive, aber dennoch wirksame Maßnahmen bestehen.
Privacy by Design im Vergleich
| Kriterium | Privacy by Design | Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO) | Datenschutz durch Technikgestaltung (Data Protection by Design) |
|---|---|---|---|
| Norm | Begriff, den der BfDI von Data Protection by Design abgrenzt; die Pflichten regelt Art. 25 DSGVO (Datenschutz durch Technikgestaltung) | Art. 25 Abs. 2 DSGVO (durch Voreinstellung) | Art. 25 Abs. 1 DSGVO |
| Schwerpunkt | zielt nach dem BfDI vor allem darauf, dass bestimmte Datenverarbeitungen überhaupt nicht stattfinden | Maßnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist | umfasst nach dem BfDI auch Datenverarbeitungen, die tatsächlich stattfinden und legitim sind |
| Gegenstand | meint nach dem BfDI vor allem den Schutz der Privatsphäre | gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit | Maßnahmen zum Zeitpunkt der Festlegung der Mittel und der eigentlichen Verarbeitung, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Risiken und weiterer in Art. 25 Abs. 1 genannter Umstände |
| Verhältnis | nach dem BfDI nicht gleichbedeutend mit Data Protection by Design | ergänzt sich nach den EDPB-Leitlinien mit dem Datenschutz durch Technikgestaltung und verstärkt ihn gegenseitig | ergänzt sich nach den EDPB-Leitlinien mit den datenschutzfreundlichen Voreinstellungen und verstärkt sie gegenseitig |
Privacy by Design in der Praxis: Woran erkenne ich Datenschutz durch Technikgestaltung nach Art. 25 DSGVO?
| Merkmal | Worauf es ankommt |
|---|---|
| Berücksichtigte Faktoren | Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung) verlangt geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen. |
| Zwei Zeitpunkte | Art. 25 Abs. 1 DSGVO verlangt Maßnahmen zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung und zum Zeitpunkt der eigentlichen Verarbeitung; zu den Mitteln zählen nach den EDPB-Leitlinien etwa Architektur, Verfahren und Protokolle, Layout und Erscheinungsbild. |
| Ausrichtung auf die Grundsätze | Die Maßnahmen nach Art. 25 Abs. 1 DSGVO sind dafür ausgelegt, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen. |
| Beispiel Pseudonymisierung | Nach den EDPB-Leitlinien zu Art. 25 DSGVO sollten personenbezogene Daten pseudonymisiert werden, sobald keine Notwendigkeit mehr für direkt identifizierbare personenbezogene Daten besteht, und Identifizierungsschlüssel sollten separat gespeichert werden. |
| Wirksamkeit | Wirksamkeit ist nach den EDPB-Leitlinien der Kern des Konzepts des Datenschutzes durch Technikgestaltung. |
Schutz im Ernstfall
Vorbeugen
- Der Verantwortliche trifft nach Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung) unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Risiken und weiterer in Art. 25 Abs. 1 genannter Umstände geeignete technische und organisatorische Maßnahmen, sowohl bei der Festlegung der Mittel als auch bei der eigentlichen Verarbeitung.
- Nach dem Standard-Datenschutzmodell der Datenschutzkonferenz fordert Art. 25 DSGVO eine sehr frühzeitige Befassung mit den datenschutzrechtlichen Vorgaben bereits bei der Planung von Verarbeitungen; technische und organisatorische Maßnahmen sollen nicht erst nachträglich festgelegt und umgesetzt werden, um gegebenenfalls nicht rechtskonforme Funktionalitäten abzustellen.
- Nach dem Standard-Datenschutzmodell schließen die Grundsätze des Datenschutzes durch Technikgestaltung das Prinzip der Datenminimierung als Design-Strategie ein.
- Ein genehmigtes Zertifizierungsverfahren gemäß Art. 42 DSGVO kann nach Art. 25 Abs. 3 DSGVO als Faktor herangezogen werden, um die Erfüllung der Anforderungen nach Art. 25 Abs. 1 und 2 DSGVO nachzuweisen.
Beispiele aus der Praxis
- Ein Onlineshop für Bücher macht nur die Felder des Bestellformulars zu Pflichtangaben, die für Kauf und Lieferung notwendig sind; nach den EDPB-Leitlinien zu Art. 25 DSGVO können weitere Felder nicht als Pflichtangaben festgelegt werden, sofern der Verantwortliche nicht klar nachweisen kann, dass sie notwendig sind.
- Nach den EDPB-Leitlinien zu Art. 25 DSGVO (Datenschutz durch Technikgestaltung) pseudonymisiert ein Unternehmen personenbezogene Daten, sobald keine Notwendigkeit mehr für direkt identifizierbare Daten besteht, und bewahrt die Identifizierungsschlüssel getrennt auf.
- Nach den EDPB-Leitlinien zu Art. 25 DSGVO beschränkt ein Systemdesign den Zugang zu personenbezogenen Daten so, dass möglichst wenige Personen für ihre Aufgaben Zugang haben müssen.
- Als Beispiel für Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung) plant ein Versicherer ein neues Kundenportal und legt schon bei der Festlegung der Mittel für die Verarbeitung Maßnahmen fest, die darauf ausgelegt sind, Datenminimierung wirksam umzusetzen.
