Artikel 25: Technikgestaltung und Voreinstellungen
Artikel 25 verpflichtet den Verantwortlichen, nicht Sie. Er nennt aber zwei Zeitpunkte, und der erste ist die „Festlegung der Mittel für die Verarbeitung" — dort wirkt die IT mit.
Warum das wichtig ist
Diese Unterscheidung ist wichtig und wird oft verwischt. Der Artikel richtet sich an den Verantwortlichen. Wer über Systeme, Schnittstellen und Voreinstellungen mitentscheidet, wirkt mit — das ist etwas anderes als eine eigene Pflicht, und es ist ehrlicher so.
Der praktische Gehalt steht in Absatz 2: Durch Voreinstellung dürfen nur die Daten verarbeitet werden, die für den Zweck erforderlich sind. Satz 3 wird noch deutlicher: Voreinstellungen dürfen Daten nicht ohne Eingreifen „einer unbestimmten Zahl von natürlichen Personen zugänglich" machen. Das ist der Rechtssatz hinter „eine neue Ablage ist zu, nicht offen".
Und eine Klarstellung: Technikgestaltung heißt nicht Verschlüsselung. Absatz 1 nennt als Beispiel nur die Pseudonymisierung. Wer Artikel 25 mit Verschlüsselung gleichsetzt, zitiert etwas, das dort nicht steht.
Was das Gesetz sagt
Art. 25 Abs. 1 DSGVO
„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen."
Art. 25 Abs. 2 S. 1 DSGVO
„Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden."
Art. 25 Abs. 2 S. 3 DSGVO
„Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden."
So macht man es richtig
Bei der Auswahl von Systemen früh mitreden — dort ist der Hebel.
Neue Ablagen und Freigaben geschlossen voreinstellen.
Felder und Schnittstellen auf das Erforderliche begrenzen.
Artikel 25 nicht mit Verschlüsselung gleichsetzen.
Was bei Missachtung droht
Art. 25 liegt in Art. 83 Abs. 4 lit. a DSGVO („Artikel 25 bis 39") — Rahmen bis zu 10 Millionen Euro oder 2 Prozent. Adressat ist der Verantwortliche, nicht die Administration.
