Privacy by Design und Privacy by Default verständlich erklärt

• Privacy by Default und Privacy by Design sind Datenschutz-Prinzipien, die in Art. 25 DSGVO verankert sind.
• Privacy by Design bedeutet, dass Datenschutz bei der (Software-)Entwicklung von Beginn an ein Kernelement ist.
• Privacy by Default bedeutet, dass die Standardeinstellung (z.B. einer Software) maximalen Datenschutz bietet.
• Um diese Datenschutz-Prinzipien umzusetzen, sind Unternehmen verpflichtet, geeignete technische und organisatorische Maßnahmen (TOM) zu ergreifen.

Der Unterschied zwischen Privacy by Design und Privacy by Default

Privacy by Design bedeutet, eine Hardware- oder Softwarelösung von Grund auf technisch so zu entwickeln, dass die Privatsphäre bzw. der Datenschutz ein im Design verankerter Kernbestandteil ist.

Privacy by Default baut auf diese Grundidee auf und bedeutet, dass die Standardeinstellung einer Software automatisch größtmöglichen Datenschutz bietet.

Privacy by Design nach DSGVO - Datenschutz durch Technikgestaltung

Privacy by Design ist in der Datenschutz-Grundverordnung (DSGVO) verankert und bedeutet "Datenschutz durch Technikgestaltung", was in Art. 25 Abs. 1 DSGVO geregelt wird. Das heißt, dass der Schutz personenbezogener Daten bei der Entwicklung einer Hardware- oder Softwarelösung von Beginn an als Kernelement berücksichtigt wird. Um das zu ermöglichen, gibt es eine Reihe technische und organisatorische Maßnahmen (TOM), die für Unternehmen verpflichtend sind und ebenfalls in Art. 25 DSGVO geregelt werden.

Privacy by Design wird in Art. 25 Abs. 1 DSGVO folgendermaßen definiert

“Unter Berücksichtigung […] der unterschiedlichen Eintrittswahrscheinlichkeiten und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche [...] geeignete technische und organisatorische Maßnahmen […], die dafür ausgelegt sind, die Datenschutzgrundsätze […] wirksam umzusetzen […], um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.”

Die 7 Prinzipien hinter Privacy by Design und Privacy by Default

Hinter Privacy by Default (Datenschutzfreundliche Voreinstellungen) und Privacy by Design (Datenschutz durch Technikgestaltung) stehen 7 Grundprinzipien, die bereits vor der Existenz der DSGVO in einer Veröffentlichung von der ehemaligen Datenschutzbeauftragten (Information & Privacy Commissioner) von Ontario (Kanada) Dr. Ann Cavoukian in einer Veröffentlichung zusammengefasst wurden. Die 7 Privacy-Prinzipien lauten wie folgt:

1. Datenschutz als Kern-Designelement: Datenschutz ist bereits ein Kernbestandteil bei der Konzeption bzw. Entwicklung einer Lösung.
2. Datenschutzfreundliche Voreinstellungen: Die Standardeinstellung aller Dienste, Systeme und Geräte bietet automatisch den größtmöglichen Datenschutz.
3. Aktives Handeln: Datenschutz-Risiken werden frühzeitig erkannt und es wird ihnen bereits präventiv im Vorfeld und nicht erst reaktiv begegnet.
4. Nutzerzentriertes Handeln: Die Interessen der Nutzer und Nutzerinnen und dahin gehende Maßnahmen stehen immer im Vordergrund.
5. Voller Funktionsumfang: Es gibt keine Funktionen, die darauf beruhen, dass die IT-Sicherheit negativ beeinflusst oder nicht notwendige personenbezogene Daten erhoben bzw. verarbeitet werden.
6. Datenschutz über den gesamten Daten-Lebenszyklus: Datenschutz wird konsequent durch die gesamte Lebensdauer der Daten gewährleistet und datenschutzrechtlichen Verpflichtungen wird nachgekommen.
7. Sichtbarkeit und Transparenz: Die Privacy-Prinzipien und -Richtlinien werden so transparent umgesetzt, dass Sie jederzeit von Nutzerseite oder von einer externen Partei (z.B. Behörde) überprüft werden können.

Praktische Beispiele für Privacy by Design

Privacy by Design ist für uns nicht nur eine Vorgabe, sondern eine gelebte Philosophie, die sich auch in unserem Produkt wiederfindet. Wir zeigen Ihnen einige praktische Beispiele der Umsetzung des Privacy-by-Design-Prinzips aus unserer Enterprise-Cloud-Lösung DRACOON.

• Keine externen Product-Analytics-Tools: Wir verzichten auf externe Analytics-Tools, wie Amplitude oder Google Analytics, um das Nutzerverhalten in unserer Software zu nachzuverfolgen und zu analysieren.
• Durchgängiger Einsatz von Verschlüsselung: Dateien in unserer Cloud werden Ende-zu-Ende-verschlüsselt. Bedeutet: Dateien werden vor dem Hochladen in die Cloud auf den Geräten der Nutzer und Nutzerinnen verschlüsselt und auch erst dort wieder entschlüsselt, wenn sie heruntergeladen werden. Wir als Cloud-Betreiber können diese Daten nicht entschlüsseln und sie somit auch nicht einsehen (Zero-Knowledge-Prinzip).
• Starke Authentifizierung: Um die Daten unserer Kunden bestmöglich zu schützen, ermöglichen wir das Erstellen strenger Passwortregeln und Optionen zur Multi-Faktor-Authentifizierung.
• Detailliertes Berechtigungsmanagement: Wir bieten unseren Kunden die Option, verschiedene Benutzerrollen mit individuellen Zugriffsberechtigungen zu erstellen. So erhalten einzelne Benutzer:innen nur Zugriff auf die Daten, die sie wirklich benötigen (Need-To-Know-Prinzip). Falls der Zugang eines Benutzerkontos gestohlen würde, hätten Angreifer nur beschränkte Berechtigungen und können somit weniger Schaden anrichten.
• Sicherheit über den gesamten Entwicklungsprozess: Sicherheit ist ein wichtiges Kernelement, das sich durch den gesamten Entwicklungsprozess unserer Software zieht - Begonnen bei der Programmierung mit dem Vier-Augen-Prinzip, über das Design neuer Features, bis hin zu automatisierten Scans nach Schwachstellen in der Qualitätssicherung.
  
  

Privacy by Default - Maximale Privatsphäre als Standardeinstellung

Privacy by Default bedeutet im Sinne der DSGVO "Datenschutz durch datenschutzfreundliche Voreinstellungen" und wird in Art. 25 Abs. 2 DSGVO geregelt. Das heißt, dass die unveränderten Standard- bzw. Werkseinstellungen, z.B. bei einer Software oder Hardware, bereits den größtmöglichen Datenschutz bieten.

Privacy by Default wird in Art. 25 Abs. 2 DSGVO folgendermaßen definiert

“Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden”

Praktische Beispiele für Privacy by Default

Privacy by Default ist ebenfalls als gelebte Philosophie in unserem Produkt verankert, wie schon Privacy by Design. Wir zeigen Ihnen einige praktische Beispiele für Privacy by Default aus unserer Enterprise-Cloud-Lösung DRACOON:

• Verschlüsselungsstandards auf Anschlag: Die Standardeinstellung für unsere Ende-zu-Ende-Verschlüsselung setzt auf eine hybride Verschlüsselung mit langen Schlüsseln (256 Bit bei AES, 4096 Bit bei RSA).
• Einsicht in neu angelegte Datenräume standardmäßig beschränkt:  Neu angelegte Datenräume werden standardmäßig als „intern“ klassifiziert (Vier Stufen verfügbar: „öffentlich“, „intern“, „vertraulich“, „streng vertraulich“), was auch neu hochgeladene Dateien betrifft. Es kann auch festgelegt werden, dass als "intern" klassifizierte Dateien nur mit Passwortschutz geteilt werden können.
• Externe Integrationen standardmäßig deaktiviert: Um zu verhindern, dass Daten ungewollt zu externen Diensten abfließen, deaktivieren wir die in unserem Produkt integrierten externen Dienste wie z.B. "Zapier" standardmäßig.
  
  

Privacy by Design & Default - Pflichten und Vorteile für Unternehmen

Wer ist verantwortlich und welche Pflichten entstehen für Unternehmen?

"Verantwortliche" bzw. Unternehmen im Geltungsbereich der DSGVO sind dazu verpflichtet, die Datenschutzprinzipien aus Art. 25 DSGVO mithilfe geeigneter technischer und organisatorischer Maßnahmen (TOM) umzusetzen. Hierfür hat der Europäische Datenschutzausschuss (EDSA) die Richtlinie "Guidelines 4/2019 on Article 25 Data Protection by Design and by Default“. Eine Zusammenfassung der Richtlinie finden Sie hier. 

Was passiert bei Verstößen gegen diese Datenschutz-Prinzipien?

Bei Verstößen gegen die Datenschutz-Prinzipien Privacy by Design und Privacy by Default haftet der "Verantwortliche", d.h. es haftet das jeweilige Unternehmen. Aufsichtsbehörden verhängen in solchen Fällen Bußgelder in Höhe von bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes. Ein Beispiel eines Datenschutzverstoßes ist Meta (ehem. Facebook) - gegen das Unternehmen wurde am 22.05.2023 von der irischen Datenschutzbehörde ein Bußgeld in Höhe von 1,2 Milliarden EUR wegen unzulässiger Drittlandübermittlungen in die USA verhängt

Vorteile von Privacy by Design/Default für Unternehmen

• Vermeidung hoher Kosten durch Datenschutzprobleme: Potenzielle Probleme durch unzulässige Datenschutzpraktiken werden frühzeitig erkannt und gelöst, was hohen Kosten durch nachträglichen Änderungen vorbeugt.
• Starker Fokus auf Sicherheit und Nutzerbedürfnisse: Das Bewusstsein für Datenschutz wird im Unternehmen verankert, was die Sicherheit und den Fokus auf die Bedürfnisse der Nutzerinnen und Nutzer verstärkt.
• Stärkung des Vertrauens: Wenn Nutzerinnen bzw. Kunden erkennen, dass ein Unternehmen den Datenschutz konsequent priorisiert und hochhält, steigert es das Vertrauen, wovon das jeweilige Unternehmen wiederum profitiert.
  
  

Hintergrund: Woher stammt der Begriff Privacy by Design?

Privacy by Design bzw. datenschutzfreundliche Technikgestaltung ist kein neues Konzept - diskutiert wurde diese Idee bereits seit den 1970er Jahren. Geprägt wurde zuerst der Begriff der "Privacy-Enhancing Technologies" (Technologien zur Verbesserung der Privatsphäre) im Jahr 1995 durch die Veröffentlichung von "The Path to Anonymity" von den Datenschutzbeauftragten der Niederlande und Kanadas. Darin wurde gefordert, dass die Rechte und Freiheiten zukünftiger Nutzer bereits bei der Konzeption und Entwicklung neuer Technik beachtet wird.

International setzte sich später jedoch der Begriff "Privacy by Design" durch. Bevor die DSGVO 2018 in Kraft trat, fehlte es trotz internationaler Bestrebungen an verbindlichen Regelungen und Sanktionsmöglichkeiten, um dieses Datenschutzprinzip in Unternehmen durchzusetzen.

Privacy by Design und by Default - eine Win-win-Situation

Durch die DSGVO achten vor allem Konsumenten im europäischen Raum darauf, wie Dienste bzw. die Unternehmen dahinter mit ihren Daten umgehen. Verstecken Unternehmen datenschutzfreundliche Einstellungsmöglichkeiten oder machen bereits das Ablehnen nicht notwendiger Cookies zur Farce, trübt das Gesamtbild und Misstrauen breitet sich aus.

Auf der anderen Seite können sich Unternehmen durch sichtbare Datenschutz-Bemühungen einfach bei ihren Kundinnen und Kunden beliebt machen. Ein Beispiel dafür ist der deutsche Markt für Cloud-Storage: Bei Privatkunden ist die Entscheidung für Dienste mit hohem Datenschutz-Standard aus dem eigenen Land möglicherweise noch eine emotionale Entscheidung, um besser schlafen zu können. Für Unternehmen ist die Entscheidung für europäische Enterprise-Cloud-Anbieter wie DRACOON eher pragmatisch: Höhere Sicherheit, keine Compliance-Risiken und ein gestärktes Nutzervertrauen. Argumente, die vor allem nachhaltig agierende Unternehmen überzeugen. Privacy by Design und Privacy by Default ist eine Chance für eine Win-win-Situation.

Sie möchten wissen, wie Privacy by Design und Privacy by Default in der Praxis aussieht oder suchen konkret nach einer datenschutzkonformen Enterprise-Cloud-Storage-Lösung für Ihr Unternehmen? Dann erstellen Sie doch einfach ein kostenloses Konto bei DRACOON, das Sie 14 Tage mit allen Features und Einstellungsmöglichkeiten uneingeschränkt testen können. Sie werden überrascht sein, wie einfach Datenschutzeinstellungen vorzunehmen sind, wenn nur der Fokus darauf gelegt wird.