Produktdatenschutz: Welche Herausforderungen gilt es zu bewältigen?

Bei Software können Hersteller in diesem Zusammenhang, zusammen mit dem datenschutzrechtlich verantwortlichen Unternehmen, zu gemeinsamen Verantwortlichen mit entsprechenden haftungsrechtlichen Konsequenzen werden, wenn sie ein eigenes Interesse an der Verarbeitung von personenbezogenen Daten haben, ohne den Nutzer ausreichend zu informieren, beziehungsweise ohne vorab dessen Einwilligung einzuholen. Beispiele hierfür sind Telemetrie- oder andere Gerätedaten, die die Kriterien der Personenbeziehbarkeit erfüllen und Verwendung auch für die Weiterentwicklung des Produkts im ausschließlichen Interesse des Herstellers für dessen Produktentwicklungs-Roadmap finden. 

Daher ist es für Software- und andere Hersteller entsprechend den Vorgaben des Art. 25 Abs. 1 und 2 DSGVO wesentlich, schon früh im Planungs- und Entwicklungsstadium des Produkts zusammen mit dem Datenschutzbeauftragten und anderen internen oder externen Spezialisten – neben den eigentlichen Anforderungen an die Produktgestaltung und Produktsicherheit – auch die datenschutzrechtliche Verantwortlichkeit zu klären, sowie die Anforderungen des Datenschutzes in den Blick zu nehmen und in die Spezifikation des zu entwickelnden Produkts einfließen zu lassen.

Weil der Datenschutz zumindest bis zum Inkrafttreten der DSGVO einen stark reaktiven Ansatz hatte, der oftmals erst bei Datenschutzverletzungen oder -pannen initiativ wurde, erklärt, warum viele Unternehmen organisatorisch die Implementierung des Datenschutzes bei der Produktentwicklung noch nicht oder nicht ausreichend in ihrer Aufbau- und Ablauforganisation der Datenschutz-Governance abgebildet haben.

Ein Blick in Art. 83 Abs. 4 lit. a) DSGVO zeigt, dass die Nichtumsetzung der Pflichten aus Art. 25 DSGVO potenziell mit einem Bußgeld in Höhe von bis zu zwei Prozent des jährlichen weltweiten Unternehmensumsatzes sanktioniert werden kann.

Auch aus diesem Grund empfiehlt es sich, dass das Unternehmen sich damit befasst, entsprechende Prozesse, Richtlinien und organisatorische Maßnahmen zu treffen, um dem Thema Produktdatenschutz den erforderlichen Stellenwert in den Unternehmensprozessen und in der Organisation entsprechender Datenschutz-Compliance-Anforderungen einzuräumen.

Aber auch das Vertrauen der Verbraucher und Geschäftspartner in eine sichere und datenschutzkonforme Produktgestaltung steht im Falle einer Nichtbeachtung dieser Anforderungen schnell auf dem Spiel. Dies gilt umso mehr, wenn mit dem Produkt sensible Daten verarbeitet werden.

Anforderungen des Produktdatenschutzes und deren Umsetzung

Welche Herausforderungen ergeben sich nun für Unternehmen, die Produkte einsetzen mit denen personenbezogene Daten verarbeitet werden, und für die Hersteller dieser Produkte die angesprochenen Anforderungen umzusetzen?

Anforderungen an Verantwortliche der Verarbeitung und deren Dienstleister

Mit der Beschaffung beginnen die Anforderungen bereits für den Einkauf und die dieser Beschaffung zugrundeliegenden Einkaufsbedingungen beziehungsweise Beschaffungsverträge.

Da sich die Verpflichtung aus Art. 25 DSGVO, bei der Verarbeitung datenschutzkonforme Mittel einzusetzen, an den Verantwortlichen der Datenverarbeitung und an seine Dienstleister, die ihn hierbei gegebenenfalls unterstützen, richtet, aber – anders als künftig nach dem Cyber-Resilience-Act – nicht unmittelbar die Hersteller des jeweiligen Produkts in den Blick nimmt, kommt es darauf an, in den Einkaufsprozessen darauf zu achten und diese Prozesse entsprechend abzusichern.

Dies betrifft die Auswahl geeigneter Produkte und vertragliche Regelungen in den Einkaufsbedingungen, die diese Anforderungen bei der Beschaffung sicherstellen. Dem hat der Gesetzgeber unlängst mit einer speziellen Änderung des Schuldrechts für digitale Produkte 2022 Rechnung getragen. Danach muss ein digitales Produkt sich für die nach dem Vertrag vorausgesetzte Verwendung eignen. Für eine große Anzahl von Produkten wird man für deren Verwendung annehmen dürfen, dass mit diesen Produkten jedenfalls auch personenbezogene Daten verarbeitet werden und eine mangelnde Datenschutzkonformität dieser digitalen Produkte dann einen Produktmangel darstellt.

Anforderungen an Hersteller von Produkten

Geht es gar um ein vom Unternehmen selbst hergestelltes oder in den Verkehr gebrachtes digitales Produkt, ist schon in der frühen Planungsphase auf Seiten der für die Entwicklung und das Design des Produkts Verantwortlichen die Anforderungen der Datenschutzproduktkonformität zu berücksichtigen. Daher sollte das produktverantwortliche Unternehmen diesem Umstand bei der Gestaltung der betreffenden Geschäfts- und Entwicklungsprozesse Rechnung tragen. Beteiligte Geschäftsbereiche, wie der Datenschutz und Recht von R&D und IT, sind daher frühzeitig zu involvieren.

Dies erfordert je nach Geschäftsmodell und Organisationsstruktur unter Umständen Änderungen auch an der Aufbau- und/oder Ablauforganisation des Unternehmens.

Was Anforderungen des Datenschutzes an die Gestaltung beziehungsweise das Produktdesign selbst betrifft, so sind fachlich die tragenden Grundsätze des Datenschutzrechts zu berücksichtigen. Dies betrifft eine Vielzahl von Anforderungen, wobei sich diese in zwei wesentliche Gruppen unterteilen lassen. Zum einen sind dies gesetzlich zwingende Implementierungsanforderungen an die Produktgestaltung, zum anderen ergeben sich aus den Datenschutzgrundsätzen, wie sie in den Art. 5, 32 und 25 der DSGVO enthalten sind, bestimmte Verbotstatbestände für das Design und funktionelle Vorgaben.

Als Beispiele können hier nachfolgende Maßgaben und Fragen aufgeführt werden:

Ist mit einer Softwareapplikation ein regulierungskonformes Datenlöschkonzept möglich, ist eine Funktionalität oder ein Mechanismus vorhanden, um es dem Tool-Nutzer zu ermöglichen, die DSGVO-Löschanforderungen zu erfüllen? Sich ergebende Teilfragen hierbei sind dabei zum Beispiel, ob das betreffende IT-System in der Lage ist, Datensätze aus der gegebenenfalls enthaltenen Datenbank selektiv zu löschen oder zu sperren. Eine andere zwingende Frage, insbesondere bei Produkten mit Verbraucherrelevanz ist es, ob mit dem Produkt die Umsetzung der Einwilligung der betroffenen Person möglich ist oder Einwilligungen dokumentierbar mit Hilfe der Software widerrufen werden können.

Ein entsprechendes Hard- oder Softwareprodukt sollte auch nicht ohne Wissen und Information des Nutzers dessen personenbezogene oder -beziehbare Daten sammeln. Dies gilt bereits ab dem Zeitpunkt der erstmaligen Verarbeitung/Erhebung dieser Daten mit dem IT-System. Ein nachträgliches Tätigwerden der verantwortlichen Stelle kann also eine Datenschutzverletzung bei der Ersterhebung der Daten nicht mehr heilen.

Die Datenschutzgrundverordnung verbietet zum Beispiel auch eine automatisierte individuelle Entscheidungsfindung, einschließlich Profiling mittels einer Softwareapplikation.

Das bedeutet, dass eine Entscheidungsfindung nicht ausschließlich durch eine Software durchgeführt werden darf. Jedoch dürfte selbst in Fällen, in denen mit Hilfe von Big-Data-Analysen Entscheidungen mit einem wesentlichen Impact für Betroffene bereits vorbereitet werden, eine kritische Grenze dort erreicht sein, wenn wie etwa im Bereich medizinischer Diagnostik der behandelnde Arzt zu unkritisch auf das KI-gestütze Analyseergebnis des Outputs bildgebender medizinischer Systeme vertraut.

Ein weiterer datenschutzrelevanter Faktor ist die Frage, ob in der Tool- beziehungsweise Produktarchitektur ausreichend Transparenz für Betroffene geschaffen wird? Dabei muss das System in seiner Beschreibung, der Spezifikation und der Dokumentation den beabsichtigten Kommunikationsfluss mit Teilen eingebundener externer IT-Systemarchitektur dokumentieren und offenlegen. Dies spielt gerade in den Fällen eine Rolle, wo zum Beispiel Cloud-Plattformen undokumentiert Datenflüsse in unsichere Drittstaaten eröffnen.