Datenschutz durch Technikgestaltung nach Art. 25 DSGVO

Kurz und direkt: Was verlangt Art. 25 DSGVO?

Art. 25 DSGVO verpflichtet den Verantwortlichen, den Datenschutz nicht nachträglich „aufzusetzen", sondern von Anfang an in die Technik und in die Voreinstellungen einer Verarbeitung einzubauen. Die Vorschrift hat zwei Absätze mit zwei getrennten Pflichten:

Beide Pflichten treffen ausschließlich den Verantwortlichen — das ist der wichtigste Unterschied zu Art. 32 DSGVO, der Verantwortliche und Auftragsverarbeiter bindet. Verstöße gegen Art. 25 werden nach der niedrigeren Bußgeldstufe des Art. 83 Abs. 4 DSGVO geahndet (bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes).

Art. 25 Abs. 1 DSGVO: Datenschutz durch Technikgestaltung (Privacy by Design)

Abs. 1 verlangt vom Verantwortlichen geeignete technische und organisatorische Maßnahmen, die dafür ausgelegt sind, die Datenschutzgrundsätze — der Wortlaut nennt beispielhaft die Datenminimierung — wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen. Als konkretes Maßnahmenbeispiel nennt das Gesetz selbst die Pseudonymisierung.

Maßgeblich sind dabei dieselben vier Abwägungskriterien, die auch Art. 32 Abs. 1 seiner Sicherheitspflicht voranstellt:

Prüfungsentscheidend ist der Zeitpunkt: Art. 25 Abs. 1 verlangt die Maßnahmen ausdrücklich sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung. Datenschutz durch Technikgestaltung ist damit keine einmalige Planungsaufgabe, sondern begleitet die Verarbeitung über ihren gesamten Lebenszyklus — von der Systemauswahl bis in den laufenden Betrieb.

Art. 25 Abs. 2 DSGVO: datenschutzfreundliche Voreinstellungen (Privacy by Default)

Abs. 2 verlangt geeignete Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Das Gesetz benennt vier Bezugspunkte, für die diese Verpflichtung ausdrücklich gilt:

Besonders hervorgehoben wird im Wortlaut die Zugänglichkeit: Die Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden. Das klassische Beispiel ist ein soziales Netzwerk, dessen Profileinstellungen voreingestellt auf „privat" (nicht „öffentlich") stehen — wer weiter teilen will, muss aktiv eingreifen, nicht umgekehrt.

Art. 25 vs. Art. 32 DSGVO: die prüfungsrelevante Abgrenzung

Art. 25 und Art. 32 sprechen beide von „technischen und organisatorischen Maßnahmen" und teilen dieselben vier Abwägungskriterien — trotzdem regeln sie Verschiedenes. Diese Verwechslung ist ein Prüfungsklassiker:

Kurz gefasst: Art. 25 ist die breitere Norm — sie will alle Grundsätze des Datenschutzes in die Verarbeitung „hineinkonstruieren". Art. 32 konzentriert sich auf die Datensicherheit; da Sicherheit einer dieser Grundsätze ist (Integrität und Vertraulichkeit, Art. 5 Abs. 1 lit. f DSGVO), überschneiden sich beide Normen inhaltlich — sie bleiben aber eigenständige, nebeneinander bestehende Pflichten. Und nur Art. 32 verpflichtet den Auftragsverarbeiter unmittelbar — Art. 25 richtet sich allein an den Verantwortlichen.

Wer ist Adressat — und welche Rolle spielen Hersteller?

Der Normadressat des Art. 25 DSGVO ist ausschließlich der Verantwortliche. Das ist praktisch heikel: Wer Software oder Cloud-Dienste einkauft, kann Datenschutz durch Technikgestaltung oft nur so weit umsetzen, wie das Produkt es zulässt. Genau hier setzt Erwägungsgrund 78 an: Hersteller von Produkten, Diensten und Anwendungen sollen ermutigt werden, das Recht auf Datenschutz bereits bei Entwicklung und Gestaltung zu berücksichtigen und dafür zu sorgen, dass Verantwortliche und Auftragsverarbeiter ihre Datenschutzpflichten erfüllen können. Das ist eine Ermutigung, keine unmittelbare Rechtspflicht der Hersteller aus Art. 25.

Für die Praxis heißt das: Der Verantwortliche bleibt verantwortlich, muss die Umsetzbarkeit von Privacy by Design/Default aber bei der Auswahl von Dienstleistern berücksichtigen und über den Auftragsverarbeitungsvertrag (Art. 28 DSGVO) absichern. Erwägungsgrund 78 nennt auch das öffentliche Auftragswesen ausdrücklich: Bei öffentlichen Ausschreibungen soll Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen berücksichtigt werden.

Nachweis, Zertifizierung und Verbindung zur DSFA

Art. 25 Abs. 3 DSGVO bestimmt, dass ein genehmigtes Zertifizierungsverfahren nach Art. 42 DSGVO als Faktor herangezogen werden kann, um die Erfüllung der Anforderungen aus Abs. 1 und 2 nachzuweisen. „Faktor" heißt: Eine Zertifizierung ist ein Indiz, kein vollständiger Freibrief — die grundsätzliche Rechenschaftspflicht des Verantwortlichen (Art. 5 Abs. 2 DSGVO) bleibt bestehen.

Praktisch verknüpft sich Art. 25 eng mit der Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Ergibt die DSFA bei voraussichtlich hohem Risiko, dass bestimmte Garantien erforderlich sind, werden diese typischerweise genau über Datenschutz durch Technikgestaltung umgesetzt. Der Europäische Datenschutzausschuss (EDSA/EDPB) hat die Anforderungen in seinen Leitlinien 4/2019 zu Art. 25 – Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Version 2.0, angenommen am 20. Oktober 2020) konkretisiert. Zentrales Kriterium dort ist die Wirksamkeit: Maßnahmen genügen nur, wenn sie den beabsichtigten Datenschutzeffekt tatsächlich erreichen — nicht schon, wenn sie formal vorhanden sind.

Beispiele: Privacy by Design und Privacy by Default in der Praxis

Der rote Faden: Bei Privacy by Design geht es um die Konstruktion der Verarbeitung, bei Privacy by Default um den datenschutzfreundlichsten Auslieferungszustand. Ein nicht vorangekreuztes Tracking-Häkchen ist der datenschutzfreundliche Ausgangszustand, den Privacy by Default verlangt — und zugleich die Voraussetzung dafür, dass eine Einwilligung (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO) überhaupt wirksam werden kann. Wirksam wird sie aber erst durch das aktive Setzen des Häkchens, also durch eine eindeutige bestätigende Handlung (Art. 4 Nr. 11 DSGVO); ein bereits vorangekreuztes Kästchen ist dagegen keine gültige Einwilligung (EuGH, Planet49, C-673/17).

Häufige Fragen