Privacy by Design nach DSGVO umsetzen

Die DSGVO schreibt vor, dass Verantwortliche geeignete technische und organisatorische Maßnahmen ergreifen müssen, um die Datenschutzgrundsätze zu wahren – explizit als „Datenschutz durch Technikgestaltung“ und „datenschutzfreundliche Voreinstellungen“. Privacy by Design und Privacy by default sind damit nicht nur Best Practice, sondern rechtliche Pflicht. Unternehmen müssen nachvollziehbar darlegen können, wie sie diese Anforderungen erfüllen. Unsere Experten von intersoft consulting helfen dabei, konkrete Maßnahmen abzuleiten, in Konzepte zu überführen und so aufzubereiten, dass sie gegenüber Aufsichtsbehörden und internen Stakeholdern überzeugend kommuniziert werden können.

Sämtliche Anforderungen der DSGVO verursachen zunächst Aufwände, mithin Arbeit, die (nur) vermeintlich keinen unmittelbaren Vorteil für das Unternehmen bringt. Doch Privacy by Design ist keine unnötige Bürokratie und keine Erfindung der DSGVO. Die Grundsätze wurden schon in den frühen 1990er Jahren entwickelt. Die Vorgaben sind nicht nur gesetzlich zwingend und eine Missachtung ist bußgeldbewehrt – die Befolgung der Grundsätze ist durch die zunehmende Sensibilisierung der Betroffenen im Bereich Datenschutz mittlerweile zu einem harten Faktor bei der Entscheidung für oder gegen eine Software geworden. Aufsichtsbehörden und auch Betriebsräte erwarten, dass gekaufte Software den Anforderungen von Privacy by Design entsprechen. Auch externe Auditoren drängen zunehmend auf die Einhaltung und machen dies als Voraussetzung eines Testats. Verkaufsplattformen wie App Stores machen diverse Vorgaben als Vertriebsbedingung.

Dabei gilt, dass Kosten einer nachträglichen Anpassung von Prozessen oder einer Softwarearchitektur immer höher sind als die Ausrichtung nach Datenschutzgrundsätzen bereits zum Planungszeitpunkt. Auch ist das weniger fehleranfällig. Zudem ist es rein organisatorisch leichter, während der Konzeptionierung beratend auf Stakeholder einzuwirken als nachträglich, wenn bereits erbrachte Leistungen verworfen und von Grund auf neu geplant werden müssen. Damit wird ein datenschutzfreundlicher Einsatz technisch sichergestellt und ein rechtskonformer Einsatz erleichtert.

Durch die Implementierung von Datenschutz- und Datensicherheitstechniken in einem möglichst frühen Stadium können zudem Systeme von Anfang an sicherer ausgelegt werden. In Zeiten zunehmender Cyberattacken können Software / IT-Systeme nicht mehr ohne klare und dokumentierte Regelungen zur Datenminimierung und Datensicherheit gedacht werden.

Anfänglich können Investitionen in Analysen, Anpassungen und Schulungen von Mitarbeitenden anfallen. Langfristig führt Privacy by Design jedoch zu erheblichen Kosteneinsparungen, da teure Bußgelder, Reputationsschäden und aufwendige Nachbesserungen an fehlerhaften Systemen vermieden werden. Es ist eine Investition in die Nachhaltigkeit und Sicherheit Ihres Unternehmens.

Privacy by Design heißt, maßgeschneiderte Lösungen für eine konkrete Frage zu finden. Dazu müssen wir zunächst Ihre speziellen Anforderungen genau analysieren und herausarbeiten. Denn jedes Projekt ist anders und je nach Einsatzbereich unterscheiden sich die technischen und regulatorischen Anforderungen. Hierzu findet typischerweise ein Kick-off-Meeting statt, in dem wir Status-Quo bestimmen und einen ersten Fahrplan erarbeiten. Gemeinsam definieren wir Stakeholder, Verantwortlichkeiten und wenn möglich bereits Milestones. In ersten Treffen mit den einzelne Fachabteilungen (einzeln oder gemeinsam) versuchen wir schnell zu klären, welche Daten betroffen sind, welche konkreten Anforderungen bestehen und welche Hindernisse technischer oder anderer Art existieren, wie Lösungen aussehen können und wie diese von Anfang an in die Systemarchitektur einfließen können.

Geht es um die Entwicklung neuer Software oder die Anpassung bestehender Prozesse, erarbeiten wir gemeinsam mit Ihnen einen Anforderungskatalog, der dann Grundlage einer Entscheidung sein kann. Dabei greifen wir auf unseren großen Erfahrungsschatz und anerkannte Standards zurück, etwa speziellen Branchenstandards, ISO Normen, Vorgaben und Empfehlungen der Aufsichtsbehörden.

Zunächst ermitteln wir nach Ihren Anforderungen die individuellen Risiken in den Anwendungen. Wir erfassen und klassifizieren bestehende und geplante Datenverarbeitungssysteme, analysieren die einschlägigen datenschutzrechtlichen Vorschriften, prüfen Ihre speziellen Produktanforderungen und geben klare Empfehlungen zu geeigneten organisatorischen und technischen Maßnahmen.

Es gibt keine Einheitslösung. Die Auswahl der richtigen Tools hängt von Ihrer bestehenden IT-Infrastruktur, den eingesetzten Technologien und Ihren spezifischen Anforderungen ab. Geeignete Instrumente können von Anonymisierungs-Software über Zugriffsmanagement-Systeme bis hin zu spezialisierten Dokumentationsplattformen reichen. Wir beraten Sie herstellerunabhängig bei der Auswahl der passenden Lösungen.

Die Nachweisbarkeit ist entscheidend. Dies geschieht durch eine umfassende Dokumentation, einschließlich der Datenschutz-Folgenabschätzung (DSFA), der Beschreibung der technischen und organisatorischen Maßnahmen (TOMs), internen Richtlinien sowie Protokollen von Audits und Schulungen. Eine saubere Dokumentation ist Ihr wichtigstes Instrument bei Anfragen von Aufsichtsbehörden.

Ein externer Datenschutzbeauftragter ist dabei nicht zwingend vorgeschrieben, kann aber gerade bei komplexen oder stark wachsenden Unternehmen sinnvoll sein. Dieser bringt Erfahrung aus vielen Projekten ein, unterstützt bei der Priorisierung von Maßnahmen und sorgt für eine neutrale, unabhängige Sicht auf Datenschutzfragen. intersoft consulting stellt externen Datenschutzbeauftragten mit branchenübergreifender Expertise, die Privacy by Design als festen Bestandteil der Datenschutzstrategie verankern und Projekte kontinuierlich begleiten.