Doch es ist nicht nur aus Kundensicht notwendig, den Datenschutz bereits in der Lösung zu verankern. Es ist auch eine Compliance-Forderung: Die europäische Datenschutz-Grundverordnung (DSGVO/GDPR) besagt in Artikel 25 (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen):

• Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.

• Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.

Rechtlich richtet sich dies zwar an die Geschäftsleitung des Anwenderunternehmens (den Verantwortlichen), aber möglich wird dies nur, wenn die Hersteller der digitalen Lösungen und damit insbesondere die IT-Entwicklungsabteilungen dies berücksichtigen.

Was Privacy by Design konkret bedeutet

Die Forderung nach Privacy by Design wurde in der DSGVO nicht erstmals aufgestellt. Die frühere Datenschutzbeauftragte der kanadischen Provinz Ontario, Dr. Ann Cavoukian, veröffentlichte bereits 2009 den Aufsatz „Privacy by Design: The 7 Foundational Principles“.

Die dort genannten Prinzipien für Privacy by Design legen noch heute die Grundlage für eine Software-Entwicklung, die den Datenschutz in sich integriert. Deshalb betrachten wir diese Prinzipien zum Abschluss noch einmal genauer:

• 1. Proaktiv nicht reaktiv, vorbeugend statt Abhilfe: Der Privacy by Design-Ansatz zeichnet sich eher durch proaktive als durch reaktive Maßnahmen aus. Er antizipiert und verhindert invasive Datenschutzereignisse, bevor sie eintreten. Privacy by Design wartet nicht auf das Eintreten von Datenschutzrisiken und bietet auch keine Abhilfemaßnahmen zur Behebung von Datenschutzverletzungen an, sobald diese aufgetreten sind. Ziel ist es, deren Auftreten zu verhindern. Kurz gesagt, Privacy by Design kommt vorher und nicht danach.

• 2. Datenschutz als Standard: Wir können uns alle einer Sache sicher sein – der Standardregeln! Privacy by Design versucht, ein Höchstmaß an Datenschutz zu gewährleisten, indem sichergestellt wird, dass personenbezogene Daten in einem bestimmten IT-System oder einer bestimmten Geschäftspraxis automatisch geschützt werden. Wenn eine Person nichts tut, bleibt ihre Privatsphäre intakt. Es sind keine Maßnahmen seitens der Person erforderlich, um ihre Privatsphäre zu schützen – sie ist standardmäßig in das System integriert.

• 3. In Design eingebetteter Datenschutz: Privacy by Design ist in das Design und die Architektur von IT-Systemen und Geschäftspraktiken eingebettet. Es wird nachträglich nicht als Add-On angefügt. Das Ergebnis ist, dass Datenschutz ein wesentlicher Bestandteil der Kernfunktionalität ist, die bereitgestellt wird. Datenschutz ist ein wesentlicher Bestandteil des Systems, ohne die Funktionalität zu beeinträchtigen.

• 4. Volle Funktionalität: Privacy by Design versucht, alle legitimen Interessen und Ziele in einer positiven „Win-Win“-Methode zu berücksichtigen, nicht durch einen „Nullsummenansatz“, bei dem unnötige Kompromisse eingegangen werden. Privacy by Design vermeidet den Vorwand falscher Gegensätze, wie Datenschutz und Sicherheit, und zeigt, dass es möglich und weitaus wünschenswerter ist, beides zu haben.

• 5. End-to-End-Lebenszyklusschutz: Privacy by Design, das vor der Erfassung der ersten Informationen in das System eingebettet wurde, erstreckt sich sicher über den gesamten Lebenszyklus der betreffenden Daten von Anfang bis Ende. Dies stellt sicher, dass am Ende des Prozesses alle Daten rechtzeitig und sicher zerstört werden. Auf diese Weise gewährleistet Privacy by Design die End-to-End-Verwaltung des Lebenszyklus von Informationen.

• 6. Sichtbarkeit und Transparenz: Privacy by Design möchte allen Beteiligten versichern, dass unabhängig von der Geschäftspraxis oder der Technologie die festgelegten Versprechen und Ziele eingehalten werden und einer unabhängigen Überprüfung unterzogen werden. Die Bestandteile und Vorgänge bleiben sowohl für Benutzer als auch für Anbieter sichtbar und transparent. Denken Sie daran, vertrauen Sie, aber überprüfen Sie!

• 7. Respekt für die Privatsphäre der Benutzer: Vor allem erfordert Privacy by Design, dass Architekten und Betreiber eines Systems die Interessen des Einzelnen in den Vordergrund stellen, indem sie Maßnahmen wie strenge Datenschutzstandards, angemessene Hinweise und die Ermöglichung benutzerfreundlicher Optionen anbieten. Halten Sie es benutzerzentriert!

Dieser Beitrag ist ein Auszug aus unserem eBook „Datenschutz-konforme Entwicklung“. Dieses empfiehlt unter anderem Datenschutz-Funktionen, die eine Software beinhalten sollte, und gibt Tipps für eine Datenschutz-konforme Entwicklung.

eBook „Datenschutz-konforme Entwicklung“

Nicht nur aus Compliance-Gründen müssen digitale Produkte und Services die Vorgaben des Datenschutzes einhalten, auch Anwender haben einen hohen Anspruch an den Schutz ihrer Daten. Lesen Sie im eBook über eine Vielzahl an Leitlinien und Werkzeugen, die bei der Umsetzung von Privacy by Design helfen können. (PDF | ET 17.04.2020)


eBook herunterladen »

(ID:47009937)