Datenschutz in der technischen Gestaltung umsetzen

Zum Vorgehen

Beginnen Sie mit der Planung und Einbindung von Datenschutz bereits mit dem Entwurf des digitalen Angebots.
Berücksichtigen Sie den Prozess, in dem der Service stattfindet. Schauen Sie sich die Infrastruktur und Fachverfahren an, die zum Prozess der Verwaltungsleistung gehören.

Neben technischen können Sie auch organisatorische Bedingungen schaffen, die Risiken für die Rechte und Freiheit von Nutzenden des Angebots reduzieren.

Auch wenn das digitale Angebot in Betrieb ist, sollten Sie regelmäßig prüfen, ob sich der Datenschutz in der technischen Gestaltung verbessern lässt.

Dieses Vorgehen hilft Ihnen, die Regeln der DSGVO einzuhalten.

Expertise einholen und Zuständigkeit klären

Stellen Sie fest, welche Datenschutz-Expertise für das digitale Angebot gebraucht wird und verfügbar ist.

• Datenschutzbeauftragte beraten Sie zu Anforderungen und Maßnahmen
• Datenschutzkoordinatoren und -koordinatorinnen unterstützen bei der Umsetzung von Maßnahmen zum Datenschutz
• Sachbearbeiter und Sachbearbeiterinnen können Aussagen zum Prozess treffen und fachlichen Fragen beantworten

Holen Sie sich externe Unterstützung bei

• Aufsichtsbehörden
• Fach-Communities
• anderen Teams, die die gleiche oder eine ähnlichen Lösung nutzen

Zuständigkeit und Zusammenarbeit festlegen

Legen Sie eine Rolle fest, die regelmäßig für die Einbindung der notwendigen Expertise sorgt.

Datenverarbeitung verstehen und einordnen

Bestandsaufnahme durchführen

• Sichten Sie den Entwurf für das digitale Angebot
• Arbeiten Sie am Entwurf mit, falls er noch nicht vorliegt
• Benennen Sie alle Stellen, die an der Verarbeitung beteiligt sind
• Halten Sie fest, in welchen Prozessschritten personenbezogene Daten abgefragt und verarbeitet werden

Datenverarbeitung bewerten

Bewerten Sie die Datenverarbeitung anhand der zwei Voraussetzungen:
1. Alle Daten, die erhoben werden, sind notwendig, um das Ziel der Verarbeitung zu erreichen

2. Es werden alle Daten erhoben, um das Ziel der Verarbeitung zu erreichen

Prüfen Sie

• die rechtliche Grundlage und die Verhältnismäßigkeit der Verarbeitung
• ob benötigte Daten anderweitig verfügbar sind. Zum Beispiel weil Nutzende sie in einem vorherigen Prozessschritt schon eingereicht haben

Machen Sie Vorschläge für Alternativen, wenn Daten nicht notwendig sind.

Verantwortlichkeiten und Vereinbarungen klären

• Legen Sie fest, wer für die Verarbeitung der Daten verantwortlich ist
• Klären Sie, welche datenschutzrechtlichen Vereinbarungen Sie abschließen müssen. Zum Beispiel durch Auftragsverarbeitungs-Verträge oder Vereinbarungen zur gemeinsamen Verantwortlichkeit

Entwicklung datenschutzfreundlich begleiten

Risiken früh und fortlaufend analysieren

• Nehmen Sie frühzeitig eine strukturierte, erste Risikoanalyse vor
• Ergänzen und aktualisieren Sie die Risikoanalyse im Projektverlauf
  Zum Beispiel, wenn relevante Design-Entscheidungen getroffen wurden
• Nehmen Sie geeignete Prüfungen vor, um Risiken einschätzen zu können
• Prüfen Sie die Muss-Listen der Aufsichtsbehörden für eine Datenschutz-Folgenabschätzung (DSFA)
• Führen Sie eine Schwellwertanalyse durch, um die Notwendigkeit einer Datenschutz-Folgenabschätzung (DSFA) zu klären

Datenschutzfolgenabschätzung und Maßnahmen ableiten

• Führen Sie bei Bedarf eine Datenschutz-Folgenabschätzung gemäß Artikel 35 DSGVO durch
• Prüfen Sie, ob Sie durch alternative Design-Entscheidungen das Risiko reduzieren können
• Leiten Sie Maßnahmen ab, um die identifizierten Risiken zu reduzieren

Geeignete technische und organisatorische Maßnahmen auswählen

Wählen Sie technische und organisatorische Maßnahmen (TOMs) aus, um Risiken zu mindern. Zu TOMs gehört unter anderem

• das Verschlüsseln von Daten
• Löschkonzepte für die Datenverarbeitung
• Rollen- und Berechtigungskonzepte, die den Zugang zu Daten regeln

Wählen Sie Soft- und Hardware sowie andere Bestandteile aus, mit denen Sie geeignete technische und organisatorische Maßnahmen umsetzen können.

Achten Sie bei der Auswahl der Mittel, um Daten zu verarbeiten, auf

• organisatorische Eignung
• technische Eignung
• Anwendbarkeit
• rechtliche Anforderungen
• Kosteneffizienz und Skalierbarkeit

Nutzende gut informieren

• Identifizieren Sie den geeigneten Ort im digitalen Angebot, um Nutzende über die Datenverarbeitung und ihre Rechte zu informieren
• Wählen Sie die geeigneten sprachlichen Mittel, damit Nutzende verstehen, was mit ihren Daten passiert und was ihre Rechte sind
• Am besten prüfen Sie mit Nutzenden, ob sie die Informationen finden und verstehen
• Entwickeln Sie die Informationen für Nutzenden wie den Service selbst weiter

Betrieb und Weiterentwicklung steuern

• Prüfen Sie im laufenden Betrieb regelmäßig, ob die Verarbeitung weiterhin die Anforderungen der Datenschutz-Grundverordnung (DSGVO) einhält
• Passen Sie bei Bedarf technische und organisatorische Maßnahmen an
• Passen Sie bei Bedarf die gesamte Verarbeitung an

Überlegen Sie sich frühzeitig, wie die Verarbeitung weiterentwickelt werden soll.

Planen Sie, wie Sie mit neuen Anforderungen umgehen.

Wie können Sie vorgehen,

• wenn neue Daten erhoben werden sollen
• wenn Daten anders abgefragt werden sollen
• bei Nutzung der Lösung für ähnliche, abgetrennte Verarbeitungen. Zum Beispiel der Nachnutzung Ihres digitalen Angebots durch andere Stellen

Erfahrungen in der Praxis haben gezeigt

1. Frühes Einbinden von Datenschutz

Die frühe Integration von Datenschutz verhindert, dass „Datenschutz“ als zusätzlicher Schritt empfunden wird. Steuernde und Verantwortliche können ihre rechtlichen Pflichten leichter umsetzen und nachweisen. Zudem entsteht ein besseres Bewusstsein für Risiken und Herausforderungen beim Datenschutz.

2. Datenschutzfreundliche Verarbeitung

Das Einschränken der Verarbeitung ist eine Möglichkeit, um eine Verarbeitung datenschutzfreundlich zu gestalten.

Gestalten Sie Einschränkungen nicht zum Nachteil der Nutzenden. Entwickeln Sie stattdessen eine bessere Lösung für die Nutzenden

3. Nutzende unterstützen und Handlungsspielräume geben

• Bieten Sie Hilfestellung an und führen Sie Nutzende gut durch den Prozess
• Stellen Sie geeignete Einstell-Möglichkeiten bereit, durch die Nutzende zusätzliche Funktionen nutzen oder weitere Verarbeitungen zulassen können
• Stellen Sie strukturierte Informationen zu passenden Zeitpunkten der Nutzerreise bereit

Unterstützende Elemente sind zum Beispiel

• kleine „Assistenten“ oder „Tools“, die beim Ausfüllen von Formularen helfen
• Hilfen beim Einreichen von Nachweisen

Beispiele für unterstützende Elemente

• ein „Schwärzungstool“ mit Anleitung, was üblicherweise geschwärzt werden kann
• statt dem Hochladen eines Dokuments ein elektronischer Abruf der Information
• automatische Vervollständigung von Angaben
• automatisches Schwärzen von Namen bei Bekanntmachungen

Geben Sie den Nutzenden Möglichkeiten zu wählen:

• Lassen Sie Nutzende auswählen, welche Antrags-Wege sie nutzen möchten
• Lassen Sie Nutzende auswählen, welche Nachweis-Arten sie verwenden wollen. Dies stärkt Vertrauen in das digitale Angebot

4. Privacy-Enhancing-Technologies (PETs) einsetzen

Die Auswahl von sogenannten Privacy-Enhancing-Technologies (PETs) erfordert viel Erfahrung

• im jeweiligen Fachbereich
• in der konkreten Anwendungsdomäne

Setzen Sie PETs ein, wo es sinnvoll und praktikabel ist.
Sie erreichen positive Effekte, die das Risiko verringern – auch ohne komplexe PETs

• durch geschickte Eingriffe in den Prozess
• durch organisatorische und technische Maßnahmen

Weitere Hilfestellung

Den passenden Kontakt für Ihre Fragen zu Datenschutz-Themen finden Sie mit dem Kontaktfinder der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI)

Diese Anleitung entstand in Zusammenarbeit mit Experten und Expertinnen aus der Praxis.