Datenschutz durch Technikgestaltung

Organisationen führen regelmäßig neue Systeme, Dienstleistungen, Produkte, Anwendungen und Formen der Informationsnutzung ein. Diese Initiativen können das Kundenerlebnis verbessern, die Effizienz steigern oder neue Geschäftsmöglichkeiten schaffen. Gleichzeitig können sie jedoch verändern, wie personenbezogene Daten erhoben, abgerufen, analysiert, weitergegeben und aufbewahrt werden.

Datenschutzprobleme lassen sich wesentlich schwieriger und kostenintensiver lösen, wenn sie erst kurz vor der Einführung oder nach der Inbetriebnahme einer Lösung erkannt werden. Zu diesem Zeitpunkt wurden technische Entscheidungen möglicherweise bereits abgeschlossen, Verträge unterzeichnet, Informationen erhoben und Geschäftsprozesse etabliert.

Datenschutz durch Technikgestaltung, auch als Privacy by Design bezeichnet, hilft Organisationen dabei, Datenschutzanforderungen von Beginn einer Initiative an und während ihres gesamten Lebenszyklus zu berücksichtigen. Bei CA unterstützen wir Sie dabei, Datenschutz in die Projektplanung, Technologieentwicklung, Beschaffung und betriebliche Veränderungsprozesse zu integrieren, ohne unnötige Verzögerungen oder administrative Hürden zu schaffen.

Warum das wichtig ist

Datenschutzrisiken entstehen häufig durch Entscheidungen, die für sich genommen zunächst sinnvoll erscheinen. Ein Projekt erhebt möglicherweise zusätzliche Informationen für den Fall, dass diese später benötigt werden. Ein System speichert Daten auf unbestimmte Zeit, weil kein Löschverfahren festgelegt wurde. Ein Lieferant erhält möglicherweise umfangreichere Zugriffsrechte als erforderlich, weil Rollen und Berechtigungen während der Implementierung nicht überprüft wurden.

Einzeln betrachtet erscheinen diese Entscheidungen möglicherweise nicht besonders bedeutsam. In ihrer Gesamtheit können sie jedoch zu unnötigen Risiken, komplexen Compliance-Verpflichtungen und schwerwiegenderen Folgen führen, wenn personenbezogene Daten verloren gehen, missbräuchlich verwendet oder unbefugt abgerufen werden.

Wenn Datenschutz frühzeitig berücksichtigt wird, stehen Organisationen mehr Handlungsmöglichkeiten zur Verfügung. Die Datenerhebung kann reduziert, der Zugriff eingeschränkt und die erforderlichen Aufbewahrungsfristen können direkt im System hinterlegt werden. Gleichzeitig können betroffene Personen klar darüber informiert werden, wie ihre Daten verwendet werden.

Datenschutz durch Technikgestaltung hilft Ihnen dabei:

🎯

Datenschutzrisiken frühzeitig zu erkennen

Identifizieren Sie potenzielle Probleme, bevor wichtige technische, vertragliche oder betriebliche Entscheidungen nur noch schwer geändert werden können.

📊

Nur die tatsächlich benötigten Daten zu erheben

Stellen Sie sicher, dass personenbezogene Daten für den vorgesehenen Geschäftszweck relevant, erforderlich und angemessen sind.

🛡️

Angemessene Schutzmaßnahmen in Lösungen zu integrieren

Integrieren Sie Datenschutzkontrollen direkt in Systeme, Produkte, Dienstleistungen und Prozesse, anstatt sie erst nach der Implementierung hinzuzufügen.

🤝

Transparenz und Vertrauen zu stärken

Informieren Sie betroffene Personen klar und verständlich darüber, wie ihre personenbezogenen Daten erhoben, verwendet, weitergegeben und geschützt werden.

💡

Verantwortungsvolle Innovation zu unterstützen

Entwickeln Sie neue digitale Dienstleistungen, Analyseverfahren, Automatisierungslösungen und Anwendungen künstlicher Intelligenz auf Grundlage eines klaren Verständnisses ihrer datenschutzrechtlichen Auswirkungen.

Unser Ansatz

Wir passen Privacy by Design an die Art und Weise an, wie Ihre Organisation Projekte entwickelt, Technologien beschafft, Veränderungen steuert und Entscheidungen trifft.
Unser Ziel ist es nicht, für jede Aktivität einen separaten Datenschutzprozess einzuführen. Vielmehr helfen wir Ihnen dabei, angemessene Datenschutzanforderungen in bestehende Projekt-, Beschaffungs-, Entwicklungs-, Sicherheits- und Risikomanagementprozesse zu integrieren.

Die Initiative und die Nutzung personenbezogener Daten verstehen

Zu Beginn verschaffen wir uns ein klares Verständnis vom Ziel des geplanten Systems, Produkts, der Dienstleistung oder der geschäftlichen Veränderung.
Wir ermitteln, welche personenbezogenen Daten erhoben werden, woher sie stammen, warum sie benötigt werden, wie sie verwendet werden und wer darauf zugreifen soll. Zudem prüfen wir, ob die Informationen an Lieferanten weitergegeben, zwischen verschiedenen Standorten übertragen, mit anderen Daten verknüpft oder für Entscheidungen über einzelne Personen verwendet werden.
Praxisnahe Fragen helfen dabei, den datenschutzrechtlichen Kontext zu bestimmen. Sind alle angeforderten Informationen tatsächlich notwendig? Könnte das geschäftliche Ziel auch mit weniger Daten erreicht werden? Können betroffene Personen vernünftigerweise damit rechnen, dass ihre Informationen auf diese Weise verwendet werden? Könnte die Initiative besonders schutzbedürftige Personen betreffen oder erhebliche Auswirkungen auf ihre Rechte haben?
Dieses frühzeitige Verständnis ermöglicht es, Datenschutzanforderungen zu berücksichtigen, bevor die Gestaltung der Lösung endgültig festgelegt wird.

Datenschutzrisiken identifizieren und bewerten

Wir bewerten, wie sich die geplante Aktivität auf betroffene Personen und die Organisation auswirken könnte.
Risiken können unter anderem durch eine übermäßige Datenerhebung, unklare Verarbeitungszwecke, unangemessene Zugriffsrechte, unrichtige Informationen, zu lange Aufbewahrungsfristen, eine unerwartete Weiterverwendung, automatisierte Entscheidungen, unzureichende Transparenz oder die Einbindung externer Dienstleister entstehen.
Darüber hinaus berücksichtigen wir, welche Folgen es haben könnte, wenn die Informationen offengelegt, verändert, verloren oder auf eine Weise verwendet würden, mit der die betroffenen Personen nicht gerechnet haben.
Der Umfang der Bewertung richtet sich nach Art und Umfang der Initiative. Eine routinemäßige interne Veränderung erfordert möglicherweise lediglich eine kurze Datenschutzprüfung. Eine komplexe Verarbeitung oder eine Aktivität mit hohem Risiko kann hingegen eine formelle Datenschutz-Folgenabschätzung erforderlich machen.
Die Ergebnisse werden klar dokumentiert, damit Projektverantwortliche und Entscheidungsträger die Risiken, die vorgeschlagenen Kontrollen und alle Themen nachvollziehen können, die zusätzliche Aufmerksamkeit erfordern.

Datenschutzanforderungen und Kontrollen festlegen

Sobald die Risiken verstanden wurden, übertragen wir sie in konkrete Anforderungen an die Gestaltung und Umsetzung der Lösung.
Diese können folgende Maßnahmen umfassen:
- Beschränkung der Datenerhebung auf Informationen, die tatsächlich erforderlich sind
- Klare Definition und Dokumentation des Verarbeitungszwecks
- Festlegung einer geeigneten Rechtsgrundlage
- Einschränkung des Zugriffs entsprechend den jeweiligen Rollen und geschäftlichen Anforderungen
- Anwendung datenschutzfreundlicher Voreinstellungen
- Schutz der Daten durch Verschlüsselung, Pseudonymisierung oder Anonymisierung
- Trennung von Informationen, wenn eine vollständige Identifizierung nicht erforderlich ist
- Definition von Aufbewahrungsfristen und sicheren Löschverfahren
- Bereitstellung klarer und verständlicher Datenschutzinformationen
- Unterstützung des Rechts auf Auskunft, Berichtigung, Löschung sowie weiterer anwendbarer Betroffenenrechte
- Kontrolle der Weitergabe von Informationen an externe Parteien
- Dokumentation von Entscheidungen und Aufbewahrung geeigneter Nachweise

Wir arbeiten mit den Geschäfts-, Rechts-, Datenschutz-, Sicherheits-, Technologie- und Betriebsteams zusammen, um sicherzustellen, dass die Anforderungen umsetzbar sind und von allen Beteiligten richtig verstanden werden.

Datenschutz in Entwicklungs- und Veränderungsprozesseintegrieren

Datenschutz sollte während der gesamten Initiative berücksichtigt werden und nicht nur im Rahmen der ersten Bewertung.
Wir unterstützen Sie dabei, praxisnahe Prüfpunkte in das Projektmanagement, die Systementwicklung, die Beschaffung, die Einbindung neuer Lieferanten, die Produktgestaltung und das Veränderungsmanagement zu integrieren.
Bei Technologieprojekten können Datenschutzanforderungen beispielsweise in User Stories, Designdokumente, Abnahmekriterien, Testpläne und Prüfungen vor der Inbetriebnahme aufgenommen werden. Im Rahmen der Beschaffung können datenschutzbezogene Anforderungen bereits bei der Lieferantenauswahl, der Due-Diligence-Prüfung, den Vertragsverhandlungen und der regelmäßigen Überprüfung der Dienstleistungen berücksichtigt werden.
Darüber hinaus helfen wir Ihnen, klare Eskalationskriterien festzulegen. Teams sollten verstehen, wann sie standardisierte Anforderungen selbstständig anwenden können und wann sie die Unterstützung von Datenschutz-, Rechts-, Sicherheits- oder Compliance-Spezialisten benötigen.
So entsteht ein einheitlicher Ansatz, ohne dass jede Aktivität mit geringem Risiko einen unnötig komplexen Prüfprozess durchlaufen muss.

Datenschutzkontrollen vor der Implementierung testen

Eine Datenschutzkontrolle kann in einer Richtlinie oder einem Designdokument angemessen erscheinen und dennoch in der Praxis nicht wie vorgesehen funktionieren.
Vor der Implementierung helfen wir Ihnen zu überprüfen, ob die vereinbarten Kontrollen tatsächlich umgesetzt wurden und wirksam funktionieren. Dazu können die Überprüfung von Zugriffsberechtigungen, das Testen von Datenschutzeinstellungen, die Kontrolle von Datenflüssen, die Bestätigung von Aufbewahrungsregeln, die Bewertung von Datenschutzhinweisen und die Validierung der Prozesse für die Bearbeitung von Betroffenenrechten gehören.
Wir prüfen außerdem, ob die während der ersten Bewertung getroffenen Annahmen weiterhin zutreffend sind. Projekte verändern sich häufig im Laufe ihrer Entwicklung. Neue Funktionen, Integrationen, Lieferanten oder Formen der Datennutzung können Risiken mit sich bringen, die im ursprünglichen Entwurf noch nicht berücksichtigt wurden.
Wenn Lücken festgestellt werden, unterstützen wir Sie dabei, geeignete Korrekturmaßnahmen festzulegen. Gemeinsam bestimmen wir, ob diese vor der Einführung behoben werden müssen oder im Rahmen eines abgestimmten Verbesserungsplans bearbeitet werden können.

Datenschutz während des gesamten Lebenszyklus sicherstellen

Privacy by Design endet nicht mit der Inbetriebnahme einer Lösung.
Systeme, Dienstleistungen und Geschäftsprozesse verändern sich im Laufe der Zeit. Möglicherweise werden neue Daten erhoben, Zugriffsrechte erweitert, Lieferanten ausgetauscht oder Informationen für Zwecke verwendet, die ursprünglich nicht vorgesehen waren.
Wir helfen Ihnen dabei, klare Verantwortlichkeiten, regelmäßige Überprüfungsintervalle, Auslöser für erneute Bewertungen, Berichtsstrukturen und Verfahren zur Überwachung der Wirksamkeit von Datenschutzkontrollen zu etablieren.
Eine erneute Datenschutzprüfung kann notwendig werden, wenn sich die Technologie, der Verarbeitungszweck, die verwendeten Daten, der Nutzerkreis, die Regelungen zur Datenweitergabe oder das Risikoniveau wesentlich verändern. Dadurch wird sichergestellt, dass Datenschutzentscheidungen während des gesamten Lebenszyklus der Initiative relevant und angemessen bleiben.

Was CA auszeichnet

💬

Datenschutz als Bestandteil geschäftlicher Entscheidungen

Wir betrachten Datenschutz im breiteren Zusammenhang mit Geschäftszielen, Kundenbedürfnissen, Technologieentscheidungen, betrieblichen Anforderungen und den Risiken Ihrer Organisation.

🛡️

Frühzeitige und praxisnahe Einbindung

Wir helfen Teams dabei, Datenschutzanforderungen zu berücksichtigen, solange noch verschiedene Handlungsoptionen bestehen, anstatt erst kurz vor der Implementierung Bedenken zu äußern.

🤝

Angemessener Bewertungsumfang

Wir passen die Tiefe der Prüfung an die Art, den Umfang und das Risiko der jeweiligen Initiative an. Nicht jedes Projekt erfordert denselben Analyseaufwand.

⚖️

Klare Anforderungen

Wir übertragen Datenschutzgrundsätze und regulatorische Erwartungen in konkrete Maßnahmen, die von Projekt-, Technologie-, Beschaffungs- und Betriebsteams verstanden und umgesetzt werden können.

🔗

Teamübergreifende Zusammenarbeit

Wir bringen die verantwortlichen Personen aus den Bereichen Datenschutz, Recht, Informationssicherheit, Technologie, Beschaffung und Compliance sowie der operativen Umsetzung zusammen.

📋

Nachweisbare Governance

Wir unterstützen Sie dabei, wichtige Entscheidungen, identifizierte Risiken, umgesetzte Kontrollen, erteilte Genehmigungen und akzeptierte Ausnahmen angemessen zu dokumentieren.

⚙️

Unabhängige Beratung

Unsere Empfehlungen orientieren sich am Verarbeitungszweck, an der Datenumgebung, den vorhandenen Fähigkeiten und dem Risikoprofil Ihrer Organisation. Sie basieren nicht auf der Vermarktung eines bestimmten Produkts oder einer bestimmten Plattform.

Der geschäftliche Mehrwert

Privacy by Design mit CA hilft Ihrer Organisation, Datenschutzrisiken zu erkennen und zu steuern, bevor sie hohe Kosten verursachen, den Geschäftsbetrieb beeinträchtigen oder nur noch schwer korrigiert werden können.
Der Ansatz reduziert die Wahrscheinlichkeit einer unnötigen Datenerhebung, unangemessener Zugriffsrechte, unklarer Aufbewahrungsfristen, unzureichender Transparenz und unwirksamer Datenschutzkontrollen. Gleichzeitig entstehen bessere Nachweise darüber, wie Datenschutzrisiken während der Entwicklung eines Systems, Produkts oder einer Dienstleistung berücksichtigt und behandelt wurden.
Die frühzeitige Berücksichtigung des Datenschutzes kann die Kosten für nachträgliche Anpassungen reduzieren, Projektverzögerungen vermeiden und regulatorische Prüfungen oder Kundenbewertungen erleichtern. Teams erhalten klarere Anforderungen, Entscheidungsträger gewinnen einen besseren Überblick über bestehende Risiken und Verantwortlichkeiten werden festgelegt, bevor die Lösung in Betrieb geht.
Privacy by Design kann zudem das Erlebnis von Kunden und Beschäftigten verbessern. Klare Informationen, sinnvolle Voreinstellungen, eine begrenzte Datenerhebung und echte Wahlmöglichkeiten zeigen, dass die Organisation die Menschen respektiert, deren Informationen sie verarbeitet.
Vor allem unterstützt Privacy by Design Innovationen. Der Ansatz ermöglicht es Organisationen, neue Technologien, Automatisierungslösungen, Analyseverfahren und digitale Dienstleistungen mit größerem Vertrauen einzuführen. Datenschutz wird dabei als fester Bestandteil der Lösung berücksichtigt und nicht als Hindernis behandelt, das erst am Ende eines Projekts Beachtung findet.

Nächster Schritt

Datenschutz ist am wirksamsten, wenn er von Anfang an in Entscheidungen integriert wird.
Kontaktieren Sie CA für ein unverbindliches Erstgespräch. Wir unterstützen Sie dabei, praxisnahe Datenschutzanforderungen in Ihre Projekte, Systeme, Produkte, Beschaffungsaktivitäten und Veränderungsprozesse einzubinden.