Privacy by Design / Privacy by Default

Privacy by Design heißt maßgeschneiderte Lösungen für eine konkrete Frage zu finden. Dazu müssen wir zunächst Ihre speziellen Anforderungen genau analysieren und herausarbeiten. Denn jedes Projekt ist anders und je nach Einsatzbereich unterscheiden sich die technischen und regulatorischen Anforderungen. Hierzu findet typischerweise ein Kick-off-Meeting statt, in dem wir Status-Quo bestimmen und einen ersten Fahrplan erarbeiten. Gemeinsam definieren wir Stakeholder, Verantwortlichkeiten und wenn möglich bereits Milestones. In ersten Treffen mit den einzelne Fachabteilungen (einzeln oder gemeinsam) versuchen wir schnell zu klären, welche Daten betroffen sind, welche konkreten Anforderungen bestehen und welche Hindernisse technischer oder anderer Art existieren, wie Lösungen aussehen können und wie diese von Anfang an in die Systemarchitektur einfließen können.

Geht es um die Entwicklung neuer Software oder die Anpassung bestehender Prozesse, erarbeiten wir gemeinsam mit Ihnen einen Anforderungskatalog, der dann Grundlage einer Entscheidung sein kann. Dabei greifen wir auf unseren großen Erfahrungsschatz und anerkannte Standards zurück, etwa speziellen Branchenstandards, ISO Normen, Vorgaben und Empfehlungen der Aufsichtsbehörden.

Zunächst ermitteln wir nach Ihren Anforderungen die individuellen Risiken in den Anwendungen. Wir erfassen und klassifizieren bestehende und geplante Datenverarbeitungssysteme, analysieren die einschlägigen datenschutzrechtlichen Vorschriften, prüfen Ihre speziellen Produktanforderungen und geben klare Empfehlungen zu geeigneten organisatorischen und technischen Maßnahmen.

Sämtliche Anforderungen der DSGVO verursachen zunächst Aufwände, mithin Arbeit, die (nur) vermeintlich keinen unmittelbaren Vorteil für das Unternehmen bringt. Doch Privacy by Design ist keine unnötige Bürokratie und keine Erfindung der DSGVO. Die Grundsätze wurden schon in den frühen 1990er Jahren entwickelt. Die Vorgaben sind nicht nur gesetzlich zwingend und eine Missachtung ist bußgeldbewehrt – die Befolgung der Grundsätze ist durch die zunehmende Sensibilisierung der Betroffenen im Bereich Datenschutz mittlerweile zu einem harten Faktor bei der Entscheidung für oder gegen eine Software geworden. Aufsichtsbehörden und auch Betriebsräte erwarten, dass gekaufte Software den Anforderungen von Privacy by Design entsprechen. Auch externe Auditoren drängen zunehmend auf die Einhaltung und machen dies als Voraussetzung eines Testats. Verkaufsplattformen wie App Stores machen diverse Vorgaben als Vertriebsbedingung.

Dabei gilt, dass Kosten einer nachträglichen Anpassung von Prozessen oder einer Softwarearchitektur immer höher sind als die Ausrichtung nach Datenschutzgrundsätzen bereits zum Planungszeitpunkt. Auch ist das weniger fehleranfällig. Zudem ist es rein organisatorisch leichter, während der Konzeptionierung beratend auf Stakeholder einzuwirken als nachträglich, wenn bereits erbrachte Leistungen verworfen und von Grund auf neu geplant werden müssen. Damit wird ein datenschutzfreundlicher Einsatz technisch sichergestellt und ein rechtskonformer Einsatz erleichtert.

Durch die Implementierung von Datenschutz- und Datensicherheitstechniken in einem möglichst frühen Stadium können zudem Systeme von Anfang an sicherer ausgelegt werden. In Zeiten zunehmender Cyberattacken können Software / IT-Systeme nicht mehr ohne klare und dokumentierte Regelungen zur Datenminimierung und Datensicherheit gedacht werden.

Um Sie bei der Implementation von „Privacy by Design“-Lösungen optimal bedarfsgerecht zu unterstützen, beraten wir im gesamten Prozess der Entwicklung und Einführung einer Software oder punktuell zu unterschiedlichen Fragestellungen rund um Privacy by Design / Privacy by Default.

In Abstimmung mit Ihnen ermitteln wir die gesetzlichen Anforderungen und unterstützen Sie bei der Konzeption technischer Datenschutzmaßnahmen. Zu klärende Themen betreffen hier typischerweise Fragen wie Erfassung von personenbezogenen Daten(-verarbeitungen), Datenminimierung, Einsatz von Privacy Enhancing Technologies, der Anonymisierung und Pseudonymisierung von personenbezogenen Daten, die Erstellung eines Kryptokonzepts und der korrekte Einsatz von Kryptographie, das Berechtigungs- und Nutzerprofilmanagement, Schutz der Entwicklungsumgebung, Planung des Source Code, Sicherung von Webseiten, Anwendungen und Servern, Passwortrichtlinien und Authentifizierungspraxis, Kontrollen der Datenbanken und SDKs, Sicherung von Code und der damit verbundenen Dokumentation, Test der Software, Nutzerinformation, Vorsorge für Datenschutzanfragen von Betroffenen, Speicherdauer und Löschzyklen, Berücksichtigung der rechtlichen Grundlagen in der Softwareentwicklung, Tracking und Analysetools.

Zudem erstellen wir bei Bedarf die erforderliche Dokumentation zu den getroffenen Maßnahmen für den Nachweis gegenüber Kunden, Aufsichtsbehörden oder Auditoren. Zugleich unterstützen wir Sie bei Erstellung von internen Regelungen und Dokumenten, die für den datenschutzkonformen Einsatz der Software notwendig sind (etwa Verzeichnis der Verarbeitungstätigkeiten).