Privacy by Design und by Default

Kennen Sie schon die zwei hippigsten Ausdrücke in der DSGVO? Privacy by Design und Privacy by Default - bei Privacy-Spezialisten schon seit mehreren Jahren in Verwendung - haben sie nun auch in der DSGVO Eingang gefunden und werden dadurch einem schnell wachsenden Publikum immer bekannter. Was bedeuten diese Konzepte und wie gehen Sie  mit ihnen in der Praxis am besten um? Dieser Artikel bereitet Sie auf eine Diskussion innerhalb Ihrer Organisation vor.

Machen Sie Bekanntschaft mit Privacy by Design, dem heiligen Gral des Datenschutzes. Kurz erklärt bedeutet es, dass Sie während der Vorbereitung von neuen Produkten oder Dienstleistungen den Schutz der Privatsphäre als eine der Anforderungen in der Entwicklungsphase behandeln. Wir beginnen mit einem Beispiel aus der Realität: Sie planen ein Büro, wobei das derzeit vorherrschende Interieurdesign große offene Räume und ein Maximum an Transparenz vorschreibt.

Aus der Privacy by Design-Perspektive werden Sie jedoch zu verhindern versuchen, dass man gegenseitig die Bildschirme betrachten, Gespräche mitverfolgen und Zugang zu Dokumenten hat, indem Sie Sichtblenden und abschließbare Schränke aufstellen oder, noch stärker, für jeden Mitarbeiter persönlich einen Raum erschaffen.

Dies lässt sich direkt in die digitale Welt übertragen. Die Fragen, die Sie sich stellen müssen bevor Sie ein Softwaresystem und die damit verbundenen Arbeitsvorgänge entwerfen sind: Können Sie diesen Job auch mit weniger oder sogar ohne personenbezogenen Daten machen? Und weiter: Ist es möglich, für den Benutzer datenschutzfreundliche Technologien einzusetzen (sogenannte Privacy-Enhancing Technologies: PET)?

Beide Fragen sollten mit Ja beantwortet werden. Wenn etwas Neues im Entstehen ist, dann werden normalerweise möglichst viele personenbezogene Daten für zukünftige Zwecke gesammelt, was jedoch nicht nur unzureichend, sondern unter der DSGVO auch nicht erlaubt ist, denn all diese Daten, die verarbeitet werden, müssen sich in der richtigen Proportion zum Zweck der vorgesehenen Verarbeitung befinden. 

 

Nehmen Sie als Vorbild ein HR-System: es wäre verlockend, dieses System mit einem elektronischen Zugriffssystem zu verbinden, um das Betreten und Verlassen des Gebäudes von Mitarbeitern registrieren und damit ihre Arbeitsstunden berechnen zu können. Nun, ein elektronisches Zugriffssystem wurde standardmäßig entwickelt, um bestimmen zu können, wer ein Gebäude oder einen bestimmten Raum betreten darf und wer nicht.

Bevor Sie diese Daten anderweitig verwenden, müssen Sie die Verhältnismäßigkeit der Mittel (Verbindung des HR-Systems und Zugriff auf das Kontrollsystem) zum Zweck ( Produktivität der Mitarbeiter prüfen) bewerten. Die Fragen, die sich daraus ergeben lauten: Arbeiten eigentlich diese Menschen in diesem Gebäude? Arbeiten sie zu Hause? Was hat das Berechnen der Stunden eigentlich mit der Produktivität der Mitarbeiter zu tun? Kann die Produktivität nicht auch auf weniger aufdringliche Weise gemessen werden?

Als Arbeitnehmer würde ich mich lieber durch meine Produktivität als durch meine Stundenanzahl bewerten lassen (obwohl ich bei der Auszahlung meiner Überstunden vielleicht anders darüber denke). Außerdem würde ich es vorziehen, selbst die Kontrolle über meine Arbeitsstunden zu übernehmen und lieber einen Arbeitsstundenzettel ausfüllen, als mich auf meine Zugangskarte zu verlassen (obwohl ich wiederum die automatisierte Weise etwas bequemer finden könnte). Ich müsste auf jeden Fall über die neue Art und Weise der Verarbeitung informiert werden.

Dann gibt es noch das Privacy by Default-Kriterium, was im Grunde genommen bedeutet, dass bei mehreren Möglichkeiten standardmäßig die datenschutzfreundlichste Option gewählt wird. Wenn mein Browser also die Möglichkeit hat, Cookies automatisch zu akzeptieren oder abzulehnen, dann sollte Letzteres passieren. Wenn die Möglichkeit geboten wird, einen Newsletter zu abonnieren oder nicht, dann eben nicht, und wenn meine Chipkarte für den öffentlichen Verkehr gezielte Angebote aufgrund meines Standortes billigt, dann sollte diese Option gleich von Beginn an ausgeschaltet werden.

Privacy by Design und Privacy by Default sind mehr als nur Methoden, sondern stellen vielmehr ein Mindset dar, eine Denkhaltung, eine Art, Dinge anders zu betrachten, um all die unnötige, täglich stattfindende Datensammlung und -verarbeitung zu erkennen, eine Weise, in der Menschen nicht zu Entscheidungen gedrängt werden, die sie nicht treffen würden, wenn sie die möglichen Konsequenzen davon voraussehen könnten.

Nun können Sie sich sicher vorstellen, dass kommerzielle oder praktische Überlegungen oft zu einer anderen Wahl der Implementierung führen, als es auf Basis der zwei erwähnten Kriterien geschehen würde. Es ist wichtig zu realisieren, dass Datenschutz auch eine Sache der Interessenabwägung darstellt. Wenn Sie die Zwecke und Mittel Ihrer Verarbeitungsvorgänge in vernünftiger Proportion zueinander halten, können Sie diesbezüglich noch immer Ihre Konformität mit der DSGVO sicherstellen.

 

Laurens Mommers
COO PrivacyPerfect