Auch genannt: Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen; englisch „data protection by design and by default“
Privacy by Design bezeichnet einen Ansatz, bei dem Datenschutz nicht erst nach der Entwicklung ergänzt wird. Bei Systemen, Diensten und Geschäftsprozessen werden Schutzprinzipien bereits bei Planung, Auswahl, Konfiguration und Betrieb berücksichtigt. In der DSGVO steht hierfür vor allem Artikel 25: Verantwortliche sollen geeignete technische und organisatorische Maßnahmen treffen, um Datenschutzgrundsätze wirksam umzusetzen und Rechte betroffener Personen zu schützen.[1] Der Ausdruck wird häufig weiter verwendet; rechtlich maßgeblich sind jedoch die Anforderungen des jeweils anwendbaren Datenschutzrechts. Dieser Beitrag erklärt das Konzept allgemein und ersetzt keine Rechtsberatung.
„By design“ meint die Gestaltung des Verarbeitungsvorgangs. Vor dem Start eines neuen Produkts oder einer Funktion wird geklärt, welche personenbezogenen Daten für welchen Zweck gebraucht werden, welche Risiken entstehen können und welche Schutzmaßnahmen in die Lösung gehören. Artikel 25 Absatz 1 nennt dabei unter anderem Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und die Risiken für Rechte und Freiheiten.[1:1] Geeignete Maßnahmen sind deshalb nicht automatisch für jedes Projekt identisch.
„By default“ betrifft die Ausgangseinstellungen. Artikel 25 Absatz 2 verlangt, dass standardmäßig nur die für den jeweiligen Zweck notwendigen personenbezogenen Daten verarbeitet werden. Das bezieht sich ausdrücklich auf Datenmenge, Umfang der Verarbeitung, Speicherdauer und Zugänglichkeit; Daten sollen ohne Eingreifen der betroffenen Person nicht einer unbestimmten Zahl von Personen zugänglich sein.[1:2] Privacy by Design ist damit nicht nur eine Datenschutzerklärung oder ein einzelner Schalter in einer App. Gestaltung und Voreinstellung ergänzen sich: Eine datensparsame Grundeinstellung ist wirksamer, wenn sie durch passende Datenflüsse, Berechtigungen und Löschregeln getragen wird.[2]
Am Anfang steht eine nachvollziehbare Beschreibung: Welche Daten sollen verarbeitet werden, zu welchem konkreten Zweck, wer benötigt Zugriff und wann werden die Daten nicht mehr benötigt? Daran schließen sich Entscheidungen über Datenfelder, Rollen- und Rechtekonzepte, Protokollierung, Speicherfristen sowie Schnittstellen zu Dienstleistern an. Die Maßnahmen können technisch sein, etwa Zugriffsbeschränkungen, Pseudonymisierung oder eine automatische Löschroutine. Sie können ebenso organisatorisch sein, beispielsweise klare Zuständigkeiten, Schulungen oder Prüfungen bei Änderungen.[2:1]
Wichtig ist die Prüfung über den gesamten Lebenszyklus. Der Europäische Datenschutzausschuss erläutert, dass Data Protection by Design and by Default vor der Verarbeitung umgesetzt und während der Verarbeitung durch regelmäßige Wirksamkeitsprüfung fortgeführt werden soll; dies gilt auch für bereits bestehende Systeme.[2:2] Eine Funktion, die bei der Einführung datensparsam war, kann durch neue Analysezwecke, zusätzliche Empfänger oder geänderte Standardeinstellungen später erneut bewertet werden müssen.
Datenschutzfreundlich bedeutet nicht zwingend, jede optionale Funktion abzuschalten. Entscheidend ist, ob eine Einstellung für den festgelegten Zweck und das jeweilige Risiko angemessen ist. Die britische Datenschutzaufsicht erläutert dies beispielhaft so: Datenschutz durch Voreinstellung verlangt die Begrenzung auf notwendige Daten, nicht pauschal „alles aus“.[3] Für die konkrete rechtliche Bewertung, etwa einer Rechtsgrundlage oder einer besonderen Risikolage, sind Kontext und anwendbares Recht ausschlaggebend.
Ein Online-Shop plant ein Kundenkonto. Für Bestellung und Versand könnten Name, Lieferadresse, Kontaktmöglichkeit und Bestelldaten erforderlich sein. Das Team trennt diese Daten von einer optionalen Wunschlisten- oder Produktempfehlungsfunktion. Es legt fest, welche Rolle im Kundenservice welche Daten einsehen darf, dokumentiert Speicherfristen und prüft, ob alte Konten automatisiert zur Löschung oder Überprüfung markiert werden können.
Als Voreinstellung ist das Profil nicht öffentlich; die Weitergabe von Profildaten an andere Nutzende ist nicht aktiviert. Eine Person kann freiwillig zusätzliche Angaben machen oder optionale Personalisierung einschalten, ohne dass diese Angaben für die Bestellung vorausgesetzt werden. Das ist keine fertige Compliance-Bewertung für jeden Shop, sondern ein Produktbeispiel: Datenbedarf, Zugriff, Sichtbarkeit und Aufbewahrung werden vor dem Start konkret gestaltet statt erst nach einer Beschwerde korrigiert.
Privacy by Design und eine Datenschutz-Folgenabschätzung (DSFA, englisch DPIA) sind nicht dasselbe. Privacy by Design ist ein fortlaufender Gestaltungs- und Betriebsansatz. Eine DSFA ist ein Instrument, um bestimmte Verarbeitungsvorgänge und ihre Risiken strukturiert zu bewerten. Die ICO beschreibt DSFAs als wichtigen Bestandteil der praktischen Umsetzung und weist darauf hin, dass sie bei voraussichtlich hohem Risiko für Rechte und Freiheiten erforderlich sind.[3:1]
Eine DSFA kann daher Entscheidungen für Privacy by Design informieren, ersetzt aber nicht die fortlaufende Umsetzung in Produkt, Prozessen und Voreinstellungen. Umgekehrt macht eine datenschutzfreundliche Oberfläche eine erforderliche Risikoanalyse nicht automatisch entbehrlich. Ob und wann eine DSFA nötig ist, muss für den konkreten Verarbeitungsvorgang geprüft werden.
Privacy by Design ist weder ein Zertifikat noch ein bloßes Versprechen, „Datenschutz ernst zu nehmen“. Es verlangt kontextbezogene Maßnahmen und deren fortlaufende Prüfung. Datenschutz durch Voreinstellung ist dabei ein Teil des Konzepts, nicht sein Synonym. Auch Datensicherheit und Datenschutz überschneiden sich, sind aber nicht gleich: Zugriffssteuerung kann beide Ziele unterstützen, während Datenschutz zusätzlich etwa Zweckbindung, Datenminimierung und Betroffenenrechte betrifft. Entscheidend sind nicht wohlklingende Bezeichnungen, sondern die nachvollziehbare Gestaltung der konkreten Verarbeitung.
Europäische Union / EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Artikel 25, gelesen am 13. September 2026. Ausgangsquelle S10; belegt die Anforderungen an Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, einschließlich der in Artikel 25 genannten Abwägungsfaktoren und Dimensionen der Standardverarbeitung. ↩︎ ↩︎ ↩︎
European Data Protection Board: Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, Version 2.0, angenommen am 20. Oktober 2020, gelesen am 13. September 2026. Belegt die ergänzende Rolle von Gestaltung und Voreinstellung, technische und organisatorische Maßnahmen, die Anwendung über den Verarbeitungslebenszyklus und regelmäßige Wirksamkeitsprüfungen. ↩︎ ↩︎ ↩︎
Information Commissioner’s Office: Data protection by design and by default, aktualisiert am 5. Februar 2026, gelesen am 13. September 2026. Belegt die praktische Einordnung datensparsamer Voreinstellungen, Risiko- und Kontextbezug sowie die Rolle der Datenschutz-Folgenabschätzung. ↩︎ ↩︎