Privacy by Design – Eine Reise in das Unbekannte?

Willkommen an Bord und wir wünschen Ihnen eine angenehme (und sichere) Lese-Reise!

Es ist hervorzuheben, dass es sich in der Tat nicht um eine neue Idee handelt, es ist eher zu einer Anforderung geworden, die vor der Anwendung verstanden werden muss. Privacy by Design ist eine sehr wichtige Grundlage des Datenschutzes und der Einhaltung der Privatsphäre. Tatsächlich ist es entscheidend für die Schaffung eines guten Produkts, welches die Anforderungen der DSGVO erfüllt.

Stellen Sie sich ein schnelles Auto vor, das ohne Berücksichtigung von Komfort- und Sicherheitsanforderungen entwickelt wurde. Als es auf den Markt gebracht werden sollte, entschied sich plötzlich jemand: „Hey, lass uns etwas tun, um es komfortabler und sicherer zu machen.“ Möchten Sie einen Ausflug mit einem solchen Auto machen? Ich fürchte, Sie würden es nicht sicher oder ansprechend finden. Daher sollte man in der frühen Phase der Gestaltung der Verarbeitung personenbezogener Daten nicht nur an den Schutz der Privatsphäre denken (weil dies nicht ausreicht), sondern auch daran, ihn zu respektieren. Dies bedeutet, dass der von uns implementierte Prozess nicht zu tief in die Privatsphäre des Unternehmens eindringt und, dass Anwendungsbereich und Umfang der Verarbeitung personenbezogener Daten begrenzt werden.

Zum besseren Verständnis des Themas sollte auch betont werden, dass Privacy by Design kein "IT-Problem" ist. Es sollte auch von denen verstanden werden, die alle Prozesse der Verarbeitung personenbezogener Daten durchführen.

Wenn Sie von Anfang an einen Prozess zum Schutz der Privatsphäre erstellen, müssen Sie später keine „Prothesen“ mehr anbringen. Bitte denken Sie daran, dass diese „Prothesen“ immer unbequem und wenig funktionsfähig sind. Nach einiger Zeit können Sie damit rechnen, dass sie umgangen und aufgegeben werden. Infolgedessen erhöht es das Risiko und bringt das gegenteilige Ergebnis mit sich.

Und was ist, wenn Sie "nur" ein Kunde sind, der nach der besten IT-Lösung für Ihre Geschäftsprozesse sucht? Wissen Sie, welche Anforderungen Sie angeben müssen? Wissen Sie, was Sie benötigen, damit die von Ihnen verwalteten Daten angemessen behandelt werden? Auch hier hilft es sehr, Privacy by Design zu verstehen!

Lassen Sie mich zur besseren Erklärung von Privacy by Design versuchen, eine Analogie der Reisevorbereitungen anzuwenden. Das selbe Prinzip wie in den Urlaub fahren oder eine Reise organisieren - es gibt Tipps, die Sie beachten sollten, um Ihre Reise erfolgreich und sicher zu gestalten.

Privacy by Design ist wie ein Reiseplan oder Leitfaden für die Verarbeitung personenbezogener Daten. Auf die Plätze, fertig, los!

Wohin geht Ihre Reise?

Wohin geht Ihre Reise? Wer wird sich Ihnen anschließen? Es ist Zeit, über den Zweck Ihrer Verarbeitung personenbezogener Daten und deren Thema nachzudenken. Warum? Weil alles andere davon abhängt.

Ist es für Sie (und Ihre Vorbereitungen) wichtig (oder auch nicht), ob Sie Ihre Nachbarn besuchen oder planen, durch Australien zu wandern? Wenn Sie die Analogie beibehalten - es ist genau das Gleiche. Die Daten, die Sie für den Prozess benötigen, hängen vom Zweck der Verarbeitung ab. Folglich hängt es von Ihrem Ziel ab, wie Sie sich auf die Reise vorbereiten. Wird es schwierig, gefährlich und vielleicht eine sehr, sehr lange Reise? Ebenso wird ein spezifisches und klar definiertes Ziel für eine genau definierte betroffene Person zu einer klaren Rechtsgrundlage für die Verarbeitung personenbezogener Daten führen.

Bitte denken Sie daran, dass es wirklich wichtig oder sogar der wichtigste Schritt ist, die Rechtmäßigkeit der Datenverarbeitung sicherzustellen.

 

Was könnte also eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten sein?

 

• Bereitstellung einer Dienstleistung / eines Produkts im Rahmen des Vertrags?
• Einhaltung gesetzlicher Verpflichtungen?
• Dabei zu helfen die Gesundheit oder sogar Leben zu retten?
• Ein öffentliches Interesse?
• Oder ein anderer Zweck, der unser Interesse als Administrator beeinträchtigt (z. B. Beweissicherung)?

Ein definiertes Ziel wird schließlich ein wichtiger Auslöser für die nächsten Schritte sein. Nehmen wir als Beispiel die Notwendigkeit, die Zustimmung der betroffenen Person einzuholen. Hier brauchen wir eine kurze Abschweifung. Sie müssen KEINE Einwilligung einholen, wenn Sie aufgrund der gesetzlichen oder vertraglichen Leistungsbedingungen zur Erhebung und Verwendung personenbezogener Daten verpflichtet sind.

Beachten Sie außerdem, dass jeder Einzelne, wenn die Einwilligung die Rechtsgrundlage für Ihre Verarbeitung ist, diese Einwilligung jederzeit widerrufen kann und von Ihnen erwartet, dass Sie seine Daten löschen. Außerdem müssen Sie Ihren eigenen Prozess so gestalten, dass der Widerruf der Einwilligung für das Unternehmen "leicht, einfach und angenehm" ist.

Um das oben Gesagte zusammenzufassen: Bitte bestimmen Sie Ihr Ziel und Ihre Rechtsgrundlage - somit wissen Sie, ob Sie zusätzlich den Prozess der Einholung der Einwilligung der betroffenen Person planen müssen.

An dieser Stelle sollten Sie auch überlegen, wer an Ihrer Reise teilnehmen soll. Mit anderen Worten: Wer wird die betroffene Person sein? Sie müssen mit der Erfüllung einer Informationspflicht rechnen. Die Frage ist also, wie machen Sie das? Aufgrund eines bestimmten Zwecks können Sie ordnungsgemäß informieren, wenn die Bereitstellung von Daten freiwillig ist, für den Abschluss des Vertrags erforderlich ist oder möglicherweise eine gesetzliche Verpflichtung besteht.

Weiterhin wichtig ist, dass die oben genannten Annahmen bezüglich der Verarbeitung personenbezogener Daten in eine Informationspflicht aufgenommen werden müssen. Daher ist es besser, so schnell wie möglich mit der Planung zu beginnen, um sie später mit neuen Elementen zu erweitern.

Bei der Informationspflicht ist zu beachten:

• Es enthält alle notwendigen Informationen,
• Es ist klar, verständlich, "freundlich" für den Empfänger (je nachdem, wer der Teilnehmer der Reise ist),
• Es ist ein Mechanismus geplant, um über die Datenverarbeitung zu informieren.
• Es ist ein Mechanismus geplant, um über wesentliche Änderungen in der Datenverarbeitung zu informieren.

Sightseeing oder Sonnenbaden?

Es ist großartig, dass Sie endlich wissen, wo Sie Ihre Zeit verbringen werden. Jetzt kommt die nächste Frage – Wie werden Sie die Zeit dort verbringen? Sightseeing oder lieber Sonnenbaden? Warum? Nun, Sie müssen wissen, ob Sie ein Angelgerät, Trekkingschuhe oder ein schickes Outfit mitnehmen sollten. Und das gleiche gilt auch für die Datenverarbeitung - Sie müssen wissen, was Sie mit diesen Daten tun werden.

Sie kennen Ihr Ziel bereits und jetzt ist die Frage, was Sie tun werden, um es zu erreichen. Daher müssen Sie die Frage beantworten, welche der folgenden Aspekte in Ihrem Prozess zutreffen:

• Zugang
• Änderungen
• Löschungen
• Lagerung
• Übertragung

Die ordnungsgemäße Identifizierung der Verarbeitungsaktivitäten wirkt sich auf die nachfolgenden Planungsphasen aus, z. B. auf die Bearbeitung von Anforderungen. Ein Beispiel - wenn die Möglichkeit der Datenlöschung nicht vorgesehen war - wie sollte das „Recht auf Vergessenwerden“ bedient werden? Außerdem können unterschiedliche Aktivitäten auch unterschiedliche Rollen und Berechtigungen in Ihren Prozessen bedeuten. Möglicherweise möchten Sie nicht, dass jeder Benutzer Daten löschen oder ändern kann, oder?

Zusammenfassend ist es Zeit, über die „Must-See“-Orte nachzudenken. Für uns, im Privacy by Design, sind diese Orte die Rechte der Personen, denen Daten wir sammeln und verarbeiten. Je nach Verwendungszweck müssen Sie also die folgenden Fragen beantworten:

• Ist das Recht auf Vergessenwerden gewährleistet?
• Ist das Kopierrecht gewährleistet?
• Ist das Recht auf Berichtigung gewährleistet?
• Ist das Recht auf Rechenschaft gewährleistet?
• Ist das Recht auf Einschränkung gewährleistet?
• Ist das Widerspruchsrecht gewährleistet?
• Gibt es einen Überprüfungsmechanismus für Personen, die ihre Rechte geltend machen?

Die allgemeine Definition des Rechts auf Vergessenwerden besagt, dass eine Person den für die Verarbeitung Verantwortlichen auffordern kann, ihre persönlichen Daten zu löschen. Bitte denken Sie jedoch daran, dass dies kein absolutes und vorrangiges Gesetz ist. Man sollte die Anforderungen berücksichtigen, die sich aus dem zwischen einem Unternehmen und einem für die Verarbeitung Verantwortlichen geschlossenen Vertrag ergeben. Anforderungen an die Datenspeicherung und andere Anforderungen wie Dokumentation (aufgrund der Möglichkeit von Ansprüchen) oder Finanz- / Rechnungslegungsvorschriften sind nicht weniger wichtig.

 

Dauert Ihre Reise ein Wochenende oder ein halbes Jahr?

Es wäre wunderbar eine Reise zu unternehmen, ohne ein Rückflugticket zu buchen. Auf dieser Reise müssen Sie jedoch die Dauer klar definieren. Dies ergibt sich offensichtlich aus dem Zweck der Verarbeitung oder anderen Anforderungen, die an Sie gestellt werden. Lassen Sie es mich deshalb noch einmal sagen - ein Ziel zu haben ist der wichtigste Aspekt. Der Zweck der Verarbeitung personenbezogener Daten wirkt sich auf deren Speicherung aus.

Art. 5 verlangt, dass Daten für einen klar definierten und legitimen Zweck gesammelt und entsprechend verarbeitet werden. Als nächstes sollten am Ende der Verarbeitung (Ablauf des Zwecks) die Daten gelöscht oder anonymisiert werden. Als Administrator müssen Sie nach Festlegung des Verwendungszwecks die Verarbeitungszeit angeben.

Es ist wichtig zu wissen, welche gesetzlichen Anforderungen mit der Verarbeitung zusammenhängen (z. B. Rechnungslegungsvorschriften). Daher müssen Sie bei der Planung der Verarbeitung personenbezogener Daten die folgenden Fragen beantworten können:

• Wurde für jeden Zweck der Verarbeitung personenbezogener Daten eine Aufbewahrungsfrist festgelegt?
• Gibt es einen spezifischen Mechanismus zum Löschen von Daten nach einer Speicherperiode für jeden Verarbeitungszweck?
• Was ist der auslösende Faktor für den Datenlöschprozess - ist er definiert?
• Wird der Prozess automatisch stattfinden?

Niemand trägt gerne einen schweren Rucksack!

Das Packen ist wahrscheinlich die schwierigste Phase jeder Reisevorbereitung. Es wäre wunderbar, Ihre geliebte Kaffeemaschine, Badewanne und den gesamten Kleiderschrank mitnehmen zu können ... Sie wissen was ich meine – nur für alle Fälle. Die meisten von uns neigen dazu, "nur für den Fall" Sachen zu sammeln. Bevor Sie Ihren Rucksack packen, müssen Sie im Voraus über Ihre Reisedetails nachdenken. Bei der Datenverarbeitung sind die Anforderungen sehr klar und ... restriktiv.

Daher müssen Sie sich bei der Planung Ihrer Datenverarbeitung fragen, ob Sie die Regeln zur Minimierung und Begrenzung von Daten einhalten. In der Praxis müssen Sie folgende Fragen beantworten:

• Reichen die Daten für den beabsichtigten Zweck aus?
• Sind die Daten für den beabsichtigten Zweck angemessen?
• Sind die Daten auf den Zweck beschränkt?
• Ist sichergestellt, dass die zu diesem Zweck erhobenen Daten nicht für andere Zwecke verwendet werden?
• Ist es möglich, einen Antrag auf Rücktritt von der Verarbeitung zu Zwecken zu stellen, die nicht mit den ursprünglichen Zweck zusammenhängen?

Es ist auch wichtig zu bestimmen, wie Sie Ihren Rucksack verpacken - werden Ihre Daten strukturiert sein oder nicht? Warum? Denn wie bei einem Rucksack ist das Packen sowohl für das Gewicht als auch für den einfachen Zugang entscheidend für Ihren Komfort. Die Art der Datenbestellung wirkt sich direkt auf deren Verwaltung und in Zukunft auf die Umsetzung Ihrer Verpflichtungen aus. Wie Sie sie organisieren, wirkt sich später darauf aus, wie Sie Ihre Verantwortung gegenüber der betroffenen Person behalten.

Und noch etwas… Sie werden wahrscheinlich besonders vorsichtig sein, wenn Sie Ihre Kamera und Brieftasche einpacken, oder? Gleiches gilt für Daten. Sie müssen wissen, ob Sie nur normale oder auch sensible Daten verarbeiten. Und wenn Sie mit sensiblen Daten umgehen, müssen Sie vorsichtiger sein. Unser Rucksack sollte separate Taschen haben und eine davon (die für sensible Daten) sollte sehr gut versteckt sein.

Erste Hilfe, Versicherung ... - Sicherheit geht vor!

Niemand kann leugnen, dass Sicherheit der wichtigste Aspekt ist. Wie Sie sich vorbereiten, hängt von Ihrem Ziel ab. Wenn Sie in die Tropen gehen, werden Sie über Impfungen nachdenken. Eine Karte, ein Kompass und ein GPS sind erforderlich, um einsam durch die Berge und Wälder zu reisen. Ihre Erfahrung, Ihr Ziel und andere Faktoren bestimmen, wie Sie Ihre Reise vorbereiten. Gleiches gilt für die DSGVO - ein risikobasierter Ansatz wird angewendet. Es ist Sache des Administrators und des Verarbeiters, technische und organisatorische Maßnahmen zu wählen, die dem identifizierten Risiko angemessen sind. Die DSGVO sagt Ihnen nicht, ob ein Erste-Hilfe-Kasten ausreicht oder ob eine Lebensversicherung erforderlich ist.

Sie können nach verfügbaren Lösungen greifen, z.B.:

• Pseudonymisierung - es ist die billigste und sehr effektive Form der Sicherheit,
• Verschlüsselung oder
• Zugangskontrolle.

Da es sich um Datensicherheit handelt, müssen Sie auch darüber nachdenken, wie Sie die Rechenschaftspflicht sicherstellen. Sie müssen sich an Ihre Verpflichtung erinnern, nachzuweisen, dass Sie personenbezogene Daten korrekt verarbeiten - und diese Demonstration erfolgt durch das Sammeln von Beweisen. Wenn Sie Einwilligungen einholen möchten, haben Sie einen Mechanismus zur Dokumentation ihrer Einwilligung geplant? Sammeln Sie Protokolle, anhand derer Sie zeigen können, wer, wann und auf welcher Grundlage die Daten eingeführt / geändert / gelöscht wurden?

Schließlich müssen Sie über die Sicherung (Back-up) der verarbeiteten Daten nachdenken.

• Wie oft sichern Sie oder Ihr Dienstanbieter Ihre Daten?
• Gibt die geplante Frequenz Live-Daten wieder?
• Werden die geplanten Lösungen regelmäßig getestet?
• Wie ist die Sicherungshäufigkeit für Ihre Verpflichtung, Daten zu speichern oder dem Einzelnen das Recht zu geben „vergessen zu werden“?
• Und wenn Ihnen jemand beim Sicherungsdienst hilft, haben Sie entsprechende DPA-Vereinbarungen mit Datensicherheitsgarantien?

Zusammenfassung

Die Planung der Datenverarbeitung besteht aus einer Abfolge von aufeinander folgenden und folgerichtigen Schritten. Das Wichtigste ist jedoch immer, den Zweck der Verarbeitung personenbezogener Daten zu verstehen. Es liegt an einem genau definierten Ziel, festzustellen, ob wir den Verarbeitungsprozess gut gestalten können. Privacy by Design ist eine sehr wichtige Grundlage, ohne die es unmöglich ist, ein gutes Produkt zu schaffen oder die DSGVO-Anforderungen zu erfüllen. Und schließlich sollte man bei der Planung der Verarbeitung personenbezogener Daten nicht nur an den Schutz der Privatsphäre denken (weil dies nicht ausreicht), sondern vor allem daran, diese zu respektieren.

Jetzt ist es Zeit, Ihnen eine erfolgreiche Reise zu wünschen :)