Privacy by Default: Warum die Voreinstellung über Datenschutz entscheidet

Ein mittelständisches Unternehmen führt eine neue cloudbasierte Kundenverwaltung ein. Nach dem ersten Login zeigt sich: Alle Mitarbeiter können sämtliche Kundendatensätze sehen, neue Kontakte werden automatisch für Werbemaßnahmen freigeschaltet, Gesprächsnotizen bleiben unbegrenzt gespeichert, und ein KI-Assistent analysiert eingegebene Inhalte möglicherweise auch zur Verbesserung des Dienstes. Der Projektverantwortliche sieht darin zunächst kein Problem – die Mitarbeiter könnten die Einstellungen doch jederzeit ändern.

Genau hier liegt ein typisches Missverständnis. Art. 25 Abs. 2 DSGVO verlangt nicht nur, dass sich eine Anwendung irgendwie datenschutzfreundlich einstellen lässt. Die datenschutzfreundliche Einstellung muss bereits der Ausgangspunkt sein. Der Betroffene muss den Datenschutz nicht selbst herstellen – der Verantwortliche muss dafür sorgen, dass die Verarbeitung schon in der Grundeinstellung datenschutzkonform beginnt.

Was „Privacy by Default“ konkret bedeutet

Der englische Begriff wird in der DSGVO als „datenschutzfreundliche Voreinstellungen“ bezeichnet und ist in Art. 25 Abs. 2 DSGVO geregelt. Danach muss der Verantwortliche sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Zweck erforderlich ist. Die Vorschrift nennt vier Bereiche, auf die sich das bezieht: die Menge der erhobenen Daten, den Umfang ihrer Verarbeitung, die Speicherfrist und die Zugänglichkeit. Zusätzlich muss verhindert werden, dass personenbezogene Daten ohne Eingreifen des Betroffenen einer unbestimmten Zahl von Personen zugänglich gemacht werden.

Wichtig ist dabei eine Klarstellung, die in der Praxis oft übersehen wird: Privacy by Default bedeutet nicht, dass ein System grundsätzlich möglichst wenig Daten verarbeiten darf. Es verlangt die Beschränkung auf das, was für den konkret festgelegten Zweck erforderlich ist. Für eine Lohnabrechnung müssen selbstverständlich Name, Anschrift und Bankverbindung verarbeitet werden – das ist keine Voreinstellung, die deaktiviert werden müsste. Nicht erforderlich wäre es dagegen, in derselben Software automatisch auch private Interessen oder Social-Media-Profile jedes Mitarbeiters zu erfassen. Der richtige Standardwert hängt also immer vom vorher festgelegten Zweck ab.

Abgrenzung zu Privacy by Design

Privacy by Default wird oft mit dem ebenfalls in Art. 25 DSGVO geregelten Datenschutz durch Technikgestaltung (Privacy by Design) vermischt. Beide gehören zusammen, haben aber unterschiedliche Schwerpunkte: Privacy by Design betrifft die Gestaltung des gesamten Verarbeitungsvorgangs – etwa Datenminimierung, Pseudonymisierung oder rollenbasierte Berechtigungen sollen schon bei der Planung mitgedacht werden. Privacy by Default betrifft dagegen den Zustand, in dem ein System ohne zusätzliche Handlung tatsächlich startet. Ein Kundenportal kann technisch so gestaltet sein, dass Nutzer selbst entscheiden können, ob ihr Profil öffentlich sichtbar ist – das ist eine Gestaltungsfunktion. Privacy by Default verlangt darüber hinaus, dass diese Sichtbarkeit nicht bereits aktiviert ist.

Die vier Kernbereiche in der Praxis

Datenmenge. Maßgeblich ist nicht nur die Zahl der Eingabefelder, sondern auch deren Detaillierungsgrad. Für einen Newsletter reicht regelmäßig die E-Mail-Adresse. Geburtsdatum oder Telefonnummer werden dafür meist nicht benötigt. Ein typischer Fehler in der Praxis besteht darin, sämtliche vom Softwareanbieter vorgesehenen Felder unreflektiert zu übernehmen – die technische Verfügbarkeit eines Feldes sagt nichts darüber aus, ob dessen Erhebung datenschutzrechtlich erforderlich ist.

Verarbeitungsumfang. Hier geht es darum, was mit den Daten geschieht: Werden sie automatisch für Profiling, Werbekampagnen oder KI-Analysen genutzt, obwohl der ursprüngliche Zweck – etwa die Bearbeitung einer Kundenanfrage – das nicht erfordert? Optionale Zusatzverarbeitungen sollten zunächst ausgeschaltet bleiben. Ihre Aktivierung braucht einen eigenen Zweck und eine passende Rechtsgrundlage.

Speicherfrist. Voreinstellungen wie „unbegrenzt“ oder „keine automatische Löschung“ sind kritisch zu sehen. Sie können zulässig sein, wenn eine manuelle Löschung organisatorisch verlässlich sichergestellt ist – in der Praxis führt eine solche Regelung aber häufig dazu, dass Daten dauerhaft liegen bleiben. Deutlich datenschutzfreundlicher sind automatisch hinterlegte Löschfristen, Erinnerungen vor Fristablauf oder regelbasierte Löschläufe.

Zugänglichkeit. Dieser Bereich wird am häufigsten unterschätzt. Personenbezogene Daten sollten nur den Personen zugänglich sein, die sie für ihre konkrete Aufgabe benötigen – Stichwort Need-to-know-Prinzip. Typische problematische Voreinstellungen sind etwa, dass alle Mitarbeiter alle Kundendaten sehen können, jeder Nutzer exportieren darf oder Freigabelinks ohne Passwort abrufbar sind.

Eine aktivierbare Einstellung reicht nicht aus

Viele Softwareanbieter werben damit, ihr Produkt könne datenschutzkonform eingesetzt werden, weil sich Tracking abschalten oder Zugriffsrechte begrenzen lassen. Für Privacy by Default reicht diese bloße Möglichkeit nicht aus. Entscheidend ist, wie das System tatsächlich eingerichtet und genutzt wird. Ein CRM-System ist nicht deshalb datenschutzfreundlich, weil der Administrator die globale Sichtbarkeit aller Kundendaten theoretisch einschränken könnte – die Einschränkung muss tatsächlich vorgenommen worden sein. Auch ein Hinweis in der Datenschutzinformation heilt eine zu weitreichende Voreinstellung nicht: Transparenz ersetzt weder Datenminimierung noch Zweckbindung.

Das schließt Wahlmöglichkeiten für Nutzer nicht aus – sie können sich bewusst dafür entscheiden, ihr Profil öffentlich zu machen oder personalisierte Werbung zuzulassen. Eine solche Entscheidung macht die Verarbeitung aber nur zulässig, wenn zugleich Zweck, Rechtsgrundlage und verständliche Information vorliegen und die Entscheidung nicht durch irreführende Gestaltung erzwungen wird. Der Europäische Gerichtshof hat dazu in den Verfahren „Planet49“ (C-673/17) und „Orange România“ (C-61/19) klargestellt, dass vorangekreuzte Auswahlfelder keine wirksame aktive Einwilligung belegen und der Verantwortliche eine eindeutige bestätigende Handlung nachweisen muss.

Wer haftet – und was das mit der Softwareauswahl zu tun hat

Adressat von Art. 25 Abs. 2 DSGVO ist der Verantwortliche, also regelmäßig das Unternehmen selbst. Der Softwarehersteller oder Cloud-Anbieter kann zwar entscheidenden Einfluss auf die technischen Möglichkeiten haben, die datenschutzrechtliche Verantwortung wird dadurch aber nicht auf ihn übertragen. Das Unternehmen muss prüfen, ob das eingesetzte Produkt datenschutzkonforme Voreinstellungen überhaupt ermöglicht – und wie es tatsächlich konfiguriert wurde. Wird eine Software durch einen Auftragsverarbeiter betrieben, muss bei der Anbieterauswahl nach Art. 28 Abs. 1 DSGVO ohnehin geprüft werden, ob hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bestehen. Kann ein Anbieter keine angemessenen Zugriffsbeschränkungen oder Löschfristen bereitstellen, ist bereits seine Auswahl datenschutzrechtlich riskant. Das bedeutet in der Praxis: Privacy by Default beginnt idealerweise nicht erst bei der Konfiguration nach dem Kauf, sondern schon im Anforderungskatalog vor der Beschaffung.

Was ein Verstoß kosten kann

Verstöße gegen Art. 25 DSGVO fallen grundsätzlich unter den Bußgeldrahmen des Art. 83 Abs. 4 DSGVO – bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Werden zugleich Grundsätze nach Art. 5 DSGVO oder Anforderungen an Einwilligungen verletzt, kann der höhere Rahmen nach Art. 83 Abs. 5 DSGVO greifen, der bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes reicht.

Wie ernst Aufsichtsbehörden das Thema nehmen, zeigen zwei bekannte Verfahren der irischen Datenschutzaufsicht: 2022 verhängte sie gegen Meta Platforms Ireland im Zusammenhang mit Instagram eine Geldbuße von 405 Millionen Euro, unter anderem wegen öffentlich voreingestellter Konten und frei zugänglicher Kontaktdaten Minderjähriger. 2023 folgte eine Geldbuße von 345 Millionen Euro gegen TikTok, weil Profile von 13- bis 16-jährigen Nutzern standardmäßig öffentlich einsehbar waren. Beide Bußgelder beruhten nicht ausschließlich auf Art. 25 DSGVO, sondern auf mehreren parallel festgestellten Verstößen – TikTok wies zudem darauf hin, die beanstandeten Einstellungen bereits vor Beginn der Untersuchung geändert und rechtliche Schritte gegen die Entscheidung eingeleitet zu haben. Unabhängig vom Ausgang solcher Verfahren zeigen die Fälle aber deutlich: Eine öffentliche Voreinstellung wiegt besonders schwer, wenn Betroffene die Folgen nicht zuverlässig überblicken können, und der Hinweis, Nutzer könnten die Sichtbarkeit ja selbst ändern, schützt den Verantwortlichen nicht.

Typische Denkfehler in der Praxis

Ein besonders hartnäckiger Irrtum lautet: „Der Nutzer kann die Einstellung doch ändern.“ Das genügt nicht – maßgeblich ist der Ausgangszustand. Ebenso wenig entlastet es, dass die Software so vom Hersteller ausgeliefert wurde: Das Unternehmen muss die Einstellungen vor dem produktiven Einsatz selbst prüfen. Auch der Gedanke, mehr Daten könnten später einmal nützlich sein, trägt nicht – eine mögliche spätere Nützlichkeit ist noch kein bestimmter Zweck, und Daten dürfen nicht auf Vorrat erhoben werden. Und schließlich: Verschlüsselung schützt Daten vor unbefugtem Zugriff, macht eine unnötige Erhebung oder eine zu lange Speicherung aber nicht rechtmäßig.

Wie Unternehmen das Thema angehen können

Der praktische Einstieg muss kein umfangreiches IT-Projekt sein. Sinnvoll ist es, mit einem konkreten, überschaubaren Verarbeitungsvorgang zu beginnen – etwa der Kundenverwaltung oder der Personalsoftware – und dessen Zweck in einem klaren Satz zu formulieren. Auf dieser Grundlage lässt sich für jede Datenart und jede Funktion prüfen, ob sie für diesen Zweck wirklich benötigt wird. Anschließend werden die vier Kernbereiche durchgegangen: Welche Felder sind tatsächlich Pflichtfelder? Welche Funktionen laufen standardmäßig im Hintergrund mit? Welche Speicherfristen gelten, und wer hat Zugriff? Ein Testkonto mit einer typischen Mitarbeiterrolle zeigt dabei oft mehr als eine rein theoretische Beschreibung des Berechtigungskonzepts.

Wichtig ist zudem, die getroffenen Entscheidungen zu dokumentieren – etwa durch Screenshots der Einstellungen, eine Rollen- und Berechtigungsmatrix oder eine kurze Begründung, warum eine bestimmte Voreinstellung ausnahmsweise weiter gefasst wurde. Das dient nicht nur der Nachweispflicht aus Art. 5 Abs. 2 DSGVO, sondern erleichtert auch die nächste Prüfung, etwa nach einem größeren Software-Update oder bei der Aktivierung neuer Module.

Zusammenfassung

Privacy by Default verlagert die Schutzlast vom Betroffenen auf den Verantwortlichen. Nicht der Kunde oder Mitarbeiter muss herausfinden, welche Schalter deaktiviert oder welche Speicherfristen verkürzt werden müssen – das Unternehmen muss dafür sorgen, dass die Verarbeitung bereits im Ausgangszustand auf das erforderliche Maß beschränkt ist. Wer bei der Einführung neuer Software vier Fragen konsequent beantwortet – Welche Daten werden standardmäßig erhoben? Was geschieht mit ihnen? Wie lange werden sie gespeichert? Wer kann darauf zugreifen? –, hat den größten Teil der Arbeit bereits geleistet. Der wirksamste Datenschutz ist am Ende oft derjenige, der im Arbeitsalltag automatisch mitläuft, ohne dass Mitarbeiter bei jedem Arbeitsschritt erneut eine datenschutzrechtliche Entscheidung treffen müssen.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.