Datenschutz by Design & by Default im Produkt (Art. 25 DSGVO)

Kurz beantwortet: Datenschutz by Design und by Default verlangt, geeignete technische Maßnahmen bereits bei der Produktentwicklung vorzusehen und die datenschutzfreundlichste Einstellung zur Voreinstellung zu machen (Art. 25 DSGVO). Die Vorschrift verpflichtet den Verantwortlichen. Softwareanbieter trifft sie unmittelbar, soweit sie selbst Verantwortliche sind, und mittelbar, weil ihre Kunden datenschutzfreundliche Technik und Voreinstellungen verlangen müssen. Für Softwareunternehmen ist das damit weniger ein Rechts- als ein Entwicklungsthema, das Datenmodell und Voreinstellungen direkt betrifft.

Was verlangt Art. 25 DSGVO konkret?

Datenschutz lässt sich nicht nachträglich über ein fertiges Produkt stülpen, jedenfalls nicht ohne Reibung und Nacharbeit. Die DSGVO verlangt deshalb, ihn von Anfang an mitzudenken.

Art. 25 DSGVO kennt zwei Prinzipien. „Datenschutz durch Technikgestaltung“ (by Design, Abs. 1) bedeutet, schon bei der Festlegung der Mittel und während der Verarbeitung geeignete Maßnahmen vorzusehen, genannt werden etwa Pseudonymisierung und Datenminimierung, um die Datenschutzgrundsätze wirksam umzusetzen. „Datenschutz durch Voreinstellungen“ (by Default, Abs. 2) bedeutet, dass die datenschutzfreundlichste Einstellung die Voreinstellung ist: Von Haus aus werden nur die Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind.

Adressat beider Pflichten ist der Verantwortliche. Softwareanbieter trifft Art. 25 DSGVO unmittelbar, soweit sie selbst Verantwortliche sind, und mittelbar, weil ihre Kunden datenschutzfreundliche Technik und Voreinstellungen verlangen müssen. Erwägungsgrund 78 DSGVO ermutigt die Hersteller deshalb, den Datenschutz schon bei der Entwicklung ihrer Produkte zu berücksichtigen.

Warum wird gerade „by Default“ oft übersehen?

Es betrifft die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit. Praktisch bedeutet das keine standardmäßig aktivierten Tracking-Optionen, keine unnötig weiten Sichtbarkeiten und keine Datenfelder „für später“. Die Voreinstellung muss sicherstellen, dass Daten nicht ohne Zutun der Person einer unbestimmten Zahl von Menschen zugänglich werden.

Warum ist das ein Produktthema und kein reines Rechtsthema?

Diese Anforderungen richten sich an die Art, wie Ihr Produkt gebaut ist: an Datenmodell, Voreinstellungen, Berechtigungen, Lösch- und Export-Funktionen. Sie lassen sich am günstigsten erfüllen, wenn sie im Entwicklungsprozess mitlaufen, statt nachträglich als Feature ergänzt zu werden. Wer Datenschutz früh in die Architektur einbaut, spart teure Nacharbeit und besteht die Prüfung anspruchsvoller Kunden deutlich leichter. Welche technischen und organisatorischen Maßnahmen dabei zusätzlich nach Art. 32 DSGVO gefordert sind, zeigt der Beitrag zu TOMs für Softwareunternehmen.

Ist Privacy by Design ein Wettbewerbsvorteil?

Datenschutzfreundliche Voreinstellungen und sparsame Datenverarbeitung sind für viele Kunden längst ein Auswahlkriterium. Wer „privacy by design“ nicht als Pflicht, sondern als Produktqualität begreift, macht aus einer regulatorischen Anforderung ein Verkaufsargument, gerade gegenüber Enterprise- und öffentlichen Kunden.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter einer App für Kitas mit rund 30 Mitarbeitenden entwickelt eine Fotofunktion für Bilder aus dem Kita-Alltag. Im ersten Entwurf sind die Fotos für alle Eltern der Einrichtung sichtbar, die Bilder bleiben unbefristet gespeichert, und ein Freitextfeld für Gesundheitshinweise ist „für später“ angelegt. Mehrere Träger fragen nach den Voreinstellungen. Zu klären ist, was Art. 25 DSGVO für diese Funktion verlangt: geeignete Maßnahmen wie Datenminimierung schon bei der Gestaltung und Voreinstellungen, mit denen nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden. Verpflichtet sind dabei die Träger als Verantwortliche; der Anbieter, der die Fotos für sie verarbeitet, muss ihnen eine Technik liefern, mit der sie diese Pflicht erfüllen können.

Danach trennen sich die Wege. Was für den Zweck nötig ist, wird Standard: Fotos gehen nur an die Eltern der abgebildeten Kinder, und eine Speicherfrist ist voreingestellt. Eine Galerie für die ganze Gruppe ist ausgeschaltet, bis der Träger sie bewusst aktiviert. Ein Teilen über offene Links entfällt, weil Daten nicht ohne Zutun der Person einer unbestimmten Zahl von Menschen zugänglich werden dürfen. Das Freitextfeld entfällt. Am Ende stehen eine Checkliste für neue Funktionen und Antworten für die Träger. Wie solche Checklisten verankert werden, zeigt das Rechtssystem.

Häufige Fragen

Was bedeutet Datenschutz by Design?

Datenschutz durch Technikgestaltung nach Art. 25 Abs. 1 DSGVO bedeutet, schon bei der Festlegung der Mittel und während der Verarbeitung geeignete Maßnahmen vorzusehen, etwa Pseudonymisierung und Datenminimierung, um die Datenschutzgrundsätze wirksam umzusetzen.

Was bedeutet Datenschutz by Default?

Datenschutz durch Voreinstellungen nach Art. 25 Abs. 2 DSGVO bedeutet, dass die datenschutzfreundlichste Einstellung die Voreinstellung ist. Von Haus aus werden nur die Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind, und Daten werden nicht ohne Zutun der Person einer unbestimmten Zahl von Menschen zugänglich.

Warum ist Privacy by Design ein Produktthema?

Weil sich die Anforderungen an die Art richten, wie Ihr Produkt gebaut ist, an Datenmodell, Voreinstellungen, Berechtigungen sowie Lösch- und Exportfunktionen. Sie lassen sich am günstigsten erfüllen, wenn sie im Entwicklungsprozess mitlaufen, statt nachträglich als Feature ergänzt zu werden.

Ist Datenschutz by Design ein Wettbewerbsvorteil?

Ja. Datenschutzfreundliche Voreinstellungen und sparsame Datenverarbeitung sind für viele Kunden ein Auswahlkriterium. Wer sie als Produktqualität begreift, macht aus einer regulatorischen Anforderung ein Verkaufsargument, gerade gegenüber Enterprise- und öffentlichen Kunden.

Datenschutz im Produkt hängt oft am Wissen einzelner Entwickler, und die Geschäftsführung erfährt von Lücken erst durch Kundenfragen. Im Rechtssystem entstehen Datenschutzorganisation, Checklisten und Freigabewege, mit denen Ihr Team neue Funktionen vor dem Release einordnet. Rechtssystem: Datenschutz-Checklisten für Ihr Produktteam

Sie wollen Datenschutz früh in Ihr Produkt einbauen, statt später nachzurüsten? In einem 60-minütigen Strategiegespräch schauen wir, wo by Design und by Default bei Ihnen ansetzen. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen