Was bedeuten Privacy by Design und Privacy by Default?
Hinter den englischen Begriffen steht Art. 25 DSGVO – Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Der Gedanke ist bestechend einfach: Datenschutz lässt sich nicht zuverlässig nachträglich aufschrauben. Er muss von Anfang an mitgedacht werden, in der Architektur von Software, Produkten und Prozessen.
Privacy by Design verlangt, geeignete technische und organisatorische Maßnahmen bereits bei der Planung einer Verarbeitung umzusetzen – etwa Pseudonymisierung oder konsequente Datenminimierung. Privacy by Default ergänzt: Durch Voreinstellungen muss sichergestellt sein, dass standardmäßig nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden. Der Nutzer soll datenschutzfreundlich starten, nicht erst mühsam Häkchen entfernen müssen.
Privacy by Default in der Praxis
Gerade Privacy by Default wird im Alltag oft verfehlt, weil viele Systeme im Auslieferungszustand auf maximale Datenerhebung getrimmt sind. Datenschutzfreundliche Voreinstellungen erkennt man an Mustern wie diesen:
- Einwilligungs-Checkboxen sind standardmäßig nicht vorausgewählt;
- ein Cookie-Banner setzt ohne aktive Zustimmung nur technisch notwendige Cookies;
- Profile sind anfangs auf die engste, nicht die offenste Sichtbarkeit gestellt;
- optionale Datenfelder sind optional und nicht als Pflichtfeld getarnt;
- Aufbewahrungsfristen sind standardmäßig knapp und an ein Löschkonzept gekoppelt.
Der Maßstab ist die Voreinstellung, die der Nutzer vorfindet, bevor er irgendetwas verändert. Genau dort entscheidet sich, ob ein System Art. 25 ernst nimmt.
Warum sich der frühe Blick lohnt
Privacy by Design spart auf Dauer Geld und Nerven. Datenschutz, der erst kurz vor dem Launch oder nach einer Beschwerde nachgerüstet wird, ist teuer, fehleranfällig und bremst Projekte aus. Wird er früh mitgedacht, entstehen oft schlankere Lösungen, weil unnötige Datenflüsse gar nicht erst gebaut werden. Der Grundsatz ist außerdem eng mit der Datenschutz-Folgenabschätzung verzahnt: Beide setzen vor der Verarbeitung an.
In meiner Beratung bringe ich diesen Blick früh ein – bei der Auswahl neuer Software, bei der Entwicklung eigener Anwendungen und bei KI-Projekten. Im Rahmen der Datenschutzberatung prüfe ich, ob Voreinstellungen und Architektur datenschutzfreundlich sind, statt erst hinterher Lücken zu stopfen. Gerade bei datenintensiven Vorhaben ist das der wirtschaftlichere Weg.