Privacy by Design

Privacy by Design, im deutschen Wortlaut der DSGVO als "Datenschutz durch Technikgestaltung" bezeichnet, ist eine zentrale Pflicht des Verantwortlichen nach Art. 25 Abs. 1 DSGVO. Der Grundgedanke: Datenschutz darf nicht nachträglich aufgesetzt werden, sondern muss von Anfang an in Systeme, Prozesse und Produkte eingebaut sein. Der Verantwortliche hat deshalb bereits zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung sowie zum Zeitpunkt der Verarbeitung selbst geeignete technische und organisatorische Maßnahmen zu treffen, die die Datenschutzgrundsätze des Art. 5 DSGVO wie Datenminimierung wirksam umsetzen und die erforderlichen Garantien in die Verarbeitung aufnehmen.

Welche Maßnahmen "geeignet" sind, bestimmt Art. 25 Abs. 1 DSGVO anhand eines risikobasierten Maßstabs: Zu berücksichtigen sind der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen. Pseudonymisierung wird vom Verordnungsgeber ausdrücklich als Beispiel genannt. Privacy by Design ist damit kein starrer Maßnahmenkatalog, sondern eine fortlaufende Abwägung, die mit steigendem Risiko und fortschreitender Technik strenger ausfällt und über den gesamten Lebenszyklus einer Verarbeitung zu überprüfen ist.

Eng verbunden ist Privacy by Default (datenschutzfreundliche Voreinstellungen) nach Art. 25 Abs. 2 DSGVO: Voreinstellungen müssen so gewählt sein, dass grundsätzlich nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten verarbeitet werden. Beide Pflichten sind bußgeldbewehrt nach Art. 83 Abs. 4 DSGVO und Bestandteil der Rechenschaftspflicht: Der Verantwortliche muss nachweisen können, dass und wie er die Grundsätze umgesetzt hat. Der Europäische Datenschutzausschuss hat hierzu in seinen Leitlinien 4/2019 konkretisiert, dass die Maßnahmen wirksam, nachprüfbar und auf die jeweiligen Verarbeitungsgrundsätze bezogen sein müssen.