Ist Closed Source mit der DSGVO vereinbar?

ITD: Frau Wörrlein, was genau hat es mit Privacy by Design auf sich?
Andrea Wörrlein: Privacy by Design ist – neben Privacy by Default – eines von zwei Leitmotiven für die Entwicklung sicherer Software. Beide sind in der Datenschutz-Grundverordnung (DSGVO) verankert. Im Prinzip bedeutet Privacy by Design, dass Unternehmen bereits bei der Konzipierung ihrer Anwendungen an tech­nische Maßnahmen zum Schutz persön­licher Daten denken und diese dann auch  implementieren. Am wichtigsten sind dabei ein Zugriffs- und Rechtemanagement sowie eine Ende-zu-Ende-Verschlüsselung.
Unternehmen übersehen allerdings leicht, dass mit umfangreichen Rechten ausgestattete Administratoren häufig einen Zugriff auf alle Daten haben und dass sich auch aus Metadaten oft persönliche Informationen ­ableiten lassen. Zudem werden viele Software-as-a-Service-Angebote nur zentral gehostet angeboten und erlauben es Kunden nicht, sie etwa im eigenen Rechenzentrum zu betreiben, wo sie die Kontrolle über die Daten haben. All das sollten Lösungen, die Datenschutz „by Design“ bieten, eigentlich berücksichtigen.

ITD: Die DSGVO schreibt Privacy by Design für die Software-Entwicklung vor. Welche Probleme ergeben sich daraus?
Wörrlein: Es ist gut und wichtig, dass die DSGVO den Datenschutz tief in der Produkt­entwicklung verankern will. Leider bleibt sie bei der Konkretisierung von Maßnahmen vage – sie nennt zwar die Ano­nymisierung und Pseudonymisierung von Daten und die Authentifizierung von Nutzern, doch unklar bleibt, wie das in der Praxis umgesetzt und kontrolliert werden soll. Zumal es keine vereinbarte Methodik gibt, die das systematische Engineering von Privatsphäre in Systemen unterstützt. Für Entwickler ist Privacy by Design daher ein komplexer Prozess. Doch auch Anwender müssen sich intensiv mit dem Thema auseinandersetzen, damit sie ihre digitale Souveränität nicht verlieren. Eigentlich können sie nur bei Open Source sicher sein, die Kontrolle über ihre Daten zu behalten, denn da der Code einsehbar ist, lässt sich überprüfen, welche Daten erfasst werden und was mit ihnen geschieht. Closed Source bietet dies nicht, wodurch sich die Frage stellt, ob das überhaupt mit der DSGVO vereinbar ist.

Dies ist ein Artikel aus unserer Print-Ausgabe 12/2021. Bestellen Sie ein kostenfreies Probe-Abo.

ITD: Inwieweit sollte Privacy by Design auch beim ­eigentlichen Software-Betrieb beachtet werden?
Wörrlein: Datenschutz hört nicht mit Entwicklung oder Anschaffung einer datenschutzkonformen Software auf. Unternehmen müssen klären, wo die Systeme, auf denen die Anwendung läuft, betrieben werden und wo die erfassten Daten liegen. Sie müssen wissen, wer Zugriff hat und wie die Datenschutzmaßnahmen aussehen. Schließlich müssen sie sicherstellen, dass die Nutzer sich und ihre Daten schützen und die Anwendung auch datenschutzkonform einsetzen. Im Grunde ist Datenschutz ein kontinuierlicher Prozess mit regelmäßigen Risikobewertungen und der entsprechenden Anpassung von Datenschutzmaßnahmen.

Bildquelle: VNC