Datenschutz by Design & by Default im Produkt (Art. 25 DSGVO)

Kurz beantwortet: Datenschutz by Design und by Default verlangt, geeignete technische Maßnahmen bereits bei der Produktentwicklung vorzusehen und die datenschutzfreundlichste Einstellung zur Voreinstellung zu machen (Art. 25 DSGVO). Für Softwareunternehmen ist das damit weniger ein Rechts- als ein Entwicklungsthema, das Datenmodell und Voreinstellungen direkt betrifft.

Was verlangt Art. 25 DSGVO konkret?

Datenschutz lässt sich nicht nachträglich über ein fertiges Produkt stülpen, jedenfalls nicht ohne Reibung und Nacharbeit. Die DSGVO verlangt deshalb, ihn von Anfang an mitzudenken.

Art. 25 DSGVO kennt zwei Prinzipien. „Datenschutz durch Technikgestaltung“ (by Design, Abs. 1) bedeutet, schon bei der Festlegung der Mittel und während der Verarbeitung geeignete Maßnahmen vorzusehen, genannt werden etwa Pseudonymisierung und Datenminimierung, um die Datenschutzgrundsätze wirksam umzusetzen. „Datenschutz durch Voreinstellungen“ (by Default, Abs. 2) bedeutet, dass die datenschutzfreundlichste Einstellung die Voreinstellung ist: Von Haus aus werden nur die Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind.

Warum wird gerade „by Default“ oft übersehen?

Es betrifft die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit. Praktisch bedeutet das keine standardmäßig aktivierten Tracking-Optionen, keine unnötig weiten Sichtbarkeiten und keine Datenfelder „für später“. Die Voreinstellung muss sicherstellen, dass Daten nicht ohne Zutun der Person einer unbestimmten Zahl von Menschen zugänglich werden.

Warum ist das ein Produktthema und kein reines Rechtsthema?

Diese Anforderungen richten sich an die Art, wie Ihr Produkt gebaut ist: an Datenmodell, Voreinstellungen, Berechtigungen, Lösch- und Export-Funktionen. Sie lassen sich am günstigsten erfüllen, wenn sie im Entwicklungsprozess mitlaufen, statt nachträglich als Feature ergänzt zu werden. Wer Datenschutz früh in die Architektur einbaut, spart teure Nacharbeit und besteht die Prüfung anspruchsvoller Kunden deutlich leichter. Welche technischen und organisatorischen Maßnahmen dabei zusätzlich nach Art. 32 DSGVO gefordert sind, zeigt der Beitrag zu TOMs für Softwareunternehmen.

Ist Privacy by Design ein Wettbewerbsvorteil?

Datenschutzfreundliche Voreinstellungen und sparsame Datenverarbeitung sind für viele Kunden längst ein Auswahlkriterium. Wer „privacy by design“ nicht als Pflicht, sondern als Produktqualität begreift, macht aus einer regulatorischen Anforderung ein Verkaufsargument, gerade gegenüber Enterprise- und öffentlichen Kunden.

Häufige Fragen

Was bedeutet Datenschutz by Design?

Datenschutz durch Technikgestaltung nach Art. 25 Abs. 1 DSGVO bedeutet, schon bei der Festlegung der Mittel und während der Verarbeitung geeignete Maßnahmen vorzusehen, etwa Pseudonymisierung und Datenminimierung, um die Datenschutzgrundsätze wirksam umzusetzen.

Was bedeutet Datenschutz by Default?

Datenschutz durch Voreinstellungen nach Art. 25 Abs. 2 DSGVO bedeutet, dass die datenschutzfreundlichste Einstellung die Voreinstellung ist. Von Haus aus werden nur die Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind, und Daten werden nicht ohne Zutun der Person einer unbestimmten Zahl von Menschen zugänglich.

Warum ist Privacy by Design ein Produktthema?

Weil sich die Anforderungen an die Art richten, wie Ihr Produkt gebaut ist, an Datenmodell, Voreinstellungen, Berechtigungen sowie Lösch- und Exportfunktionen. Sie lassen sich am günstigsten erfüllen, wenn sie im Entwicklungsprozess mitlaufen, statt nachträglich als Feature ergänzt zu werden.

Ist Datenschutz by Design ein Wettbewerbsvorteil?

Ja. Datenschutzfreundliche Voreinstellungen und sparsame Datenverarbeitung sind für viele Kunden ein Auswahlkriterium. Wer sie als Produktqualität begreift, macht aus einer regulatorischen Anforderung ein Verkaufsargument, gerade gegenüber Enterprise- und öffentlichen Kunden.

Sie wollen Datenschutz früh in Ihr Produkt einbauen, statt später nachzurüsten? In einem 30-minütigen Erstgespräch schauen wir, wo by Design und by Default bei Ihnen ansetzen. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen