(1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.
Artikel 25 DSGVO – Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen
(2) Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.
(3) Ein genehmigtes Zertifizierungsverfahren gemäß Artikel 42 kann als Faktor herangezogen werden, um die Erfüllung der in den Absätzen 1 und 2 des vorliegenden Artikels genannten Anforderungen nachzuweisen.
Relevante Erwägungsgründe
Häufig gestellte Fragen
Kurze Antworten auf häufige Fragen zu dieser Vorschrift. Sie sind allgemeine Informationen und keine Rechtsberatung.
Artikel 25 Absatz 1 verpflichtet den Verantwortlichen, geeignete technische und organisatorische Maßnahmen wie etwa die Pseudonymisierung zu treffen, die dafür ausgelegt sind, Datenschutzgrundsätze wie die Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen. Die Pflicht gilt sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung, sodass die Einhaltung bereits in der Planungsphase eingebaut und nicht nachträglich ergänzt werden muss.
Der Verantwortliche hat den Stand der Technik, die Implementierungskosten, die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen. Die Pflicht ist damit risikobasiert und kontextabhängig, und an eine kleine Verarbeitung mit geringem Risiko wird nicht derselbe Maßstab angelegt wie an eine umfangreiche und eingriffsintensive Verarbeitung.
Nach Artikel 25 Absatz 2 müssen die Voreinstellungen eines Systems sicherstellen, dass nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Die Vorschrift erstreckt diese Verpflichtung auf die Menge der erhobenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit und verlangt ausdrücklich, dass personenbezogene Daten nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.
Nein, die Pflicht aus Artikel 25 richtet sich allein an den Verantwortlichen. Erwägungsgrund 78 ermutigt Hersteller von Produkten, Diensten und Anwendungen dennoch, den Datenschutz bei der Entwicklung zu berücksichtigen, was sich in der Praxis auf Verantwortliche auswirkt, da diese nur solche Werkzeuge auswählen können, die ihnen die Einhaltung ermöglichen.
Absatz 3 sieht vor, dass ein genehmigtes Zertifizierungsverfahren gemäß Artikel 42 als Faktor herangezogen werden kann, um die Erfüllung der Anforderungen der Absätze 1 und 2 nachzuweisen. Die Zertifizierung hat Indizwirkung und keine abschließende Wirkung, und sie tritt neben die allgemeine Rechenschaftspflicht aus Artikel 5 Absatz 2 und Artikel 24, die Einhaltung nachweisen zu können.