Datenschutz durch Technikgestaltung

Datenschutz durch Technikgestaltung ist in Art. 25 Abs 1 DSGVO verankert. Verantwortliche müssen bereits bei der Festlegung der Mittel für eine Verarbeitung und während der Verarbeitung geeignete technische und organisatorische Maßnahmen treffen. Diese Maßnahmen sollen die Datenschutzgrundsätze wirksam umsetzen und die Rechte und Freiheiten betroffener Personen schützen.

Welche Maßnahmen angemessen sind, hängt unter anderem vom Stand der Technik, den Kosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie vom Risiko für betroffene Personen ab. In Betracht kommen beispielsweise Datenminimierung, Pseudonymisierung, getrennte Zugriffsrechte, Verschlüsselung und eine datenschutzgerechte Löschlogik. Entscheidend ist nicht eine einzelne Technik, sondern die passende Gestaltung des gesamten Verarbeitungsvorgangs.

Datenschutz durch Technikgestaltung ist keine einmalige Prüfung und kein Zertifikat. Die getroffenen Entscheidungen sollten zur konkreten Verarbeitung, zu den Datenflüssen und zu den Schutzmaßnahmen passen und bei Änderungen überprüft werden. Davon zu unterscheiden ist der Datenschutz durch datenschutzfreundliche Voreinstellungen nach Art. 25 Abs 2 DSGVO: Standardmäßig sollen nur jene personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind und zwar nur in dem dafür nötigen Umfang und Zeitraum.

Für die praktische Umsetzung bietet die Seite Compliance und Datenschutz-Governance den passenden Rahmen. Der Rollen-Check hilft bei der Einordnung der Verantwortlichkeiten; mit der Checkliste für Auftragsverarbeiter lassen sich technische und organisatorische Anforderungen bei Dienstleistern strukturiert vorbereiten.