Privacy by Design: Warum Datenschutz von Anfang an mitgedacht werden muss

Ein mittelständisches Unternehmen will seine Kundenverwaltung modernisieren und ersetzt die alten Excel-Listen durch ein cloudbasiertes CRM-System. Vertrieb und Geschäftsleitung wählen die Software aus, die Daten werden importiert, die Mitarbeiter geschult. Erst kurz vor dem Start wird der Datenschutzbeauftragte eingebunden – und stellt fest, dass jeder Vertriebsmitarbeiter sämtliche Kundendaten einsehen kann, Löschfristen fehlen, unnötige Pflichtfelder abgefragt werden und eine Werbekennzeichnung standardmäßig aktiviert ist. Die Software funktioniert technisch einwandfrei. Datenschutzrechtlich passt sie jedoch nicht zu den vorgesehenen Abläufen, und die Nacharbeit wird teuer.

Genau solche Situationen soll „Privacy by Design“ verhindern. Der Grundgedanke: Datenschutz soll nicht erst geprüft werden, wenn ein System bereits beschafft oder ein Prozess eingeführt ist, sondern von Anfang an Teil der Planung sein.

Was bedeutet Privacy by Design?

„Privacy by Design“ lässt sich mit „Datenschutz durch Gestaltung“ übersetzen. Die offizielle deutsche Überschrift von Art. 25 DSGVO lautet „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ – in der Praxis hat sich aber meist der englische Begriff gehalten. Dahinter stehen zwei miteinander verbundene Anforderungen:

Privacy by Design bezeichnet den Datenschutz durch eine geeignete Gestaltung von Verfahren, Anwendungen, Systemen und organisatorischen Abläufen. Privacy by Default meint datenschutzfreundliche Voreinstellungen: Ohne aktives Zutun des Nutzers soll immer nur die Verarbeitung stattfinden, die für den jeweiligen Zweck tatsächlich erforderlich ist.

Privacy by Design ist damit kein IT-Sicherheitsprodukt und keine spezielle Softwarefunktion, sondern eine Vorgehensweise. Das kann durch technisch anspruchsvolle Lösungen wie Pseudonymisierung oder automatisierte Löschfunktionen geschehen – häufig reichen aber auch einfache organisatorische Maßnahmen wie ein verbindlicher Freigabeprozess oder eine klare Zuständigkeitsregelung. Nach den EDPB-Leitlinien 4/2019 zu Art. 25 DSGVO gilt die Vorschrift für Verantwortliche jeder Größe – ein kleiner Handwerksbetrieb benötigt zwar nicht dieselben Systeme wie ein internationaler Konzern, ist aber ebenso in der Pflicht.

Die rechtliche Grundlage: Art. 25 DSGVO

Art. 25 Abs. 1 DSGVO verpflichtet den Verantwortlichen, geeignete technische und organisatorische Maßnahmen umzusetzen, die Datenschutzgrundsätze wirksam umsetzen, notwendige Schutzvorkehrungen in die Verarbeitung integrieren und die Rechte der betroffenen Personen schützen. Wichtig dabei: Die Vorschrift nennt Pseudonymisierung und Datenminimierung nur beispielhaft. Wer glaubt, mit verschlüsselten oder pseudonymisierten Daten sei Art. 25 DSGVO automatisch erfüllt, irrt – die Vorschrift erfasst sämtliche Grundsätze der DSGVO.

Die Maßnahmen sind an zwei Zeitpunkten relevant: bei der Festlegung der Verarbeitungsmittel, also in Planung, Auswahl und Beschaffung, und während der laufenden Verarbeitung. Privacy by Design ist deshalb keine einmalige Prüfung vor der Einführung, sondern muss über den gesamten Lebenszyklus einer Verarbeitung hinweg überprüft und bei Bedarf angepasst werden.

Welche konkreten Maßnahmen angemessen sind, richtet sich nach Stand der Technik, Implementierungskosten, Art, Umfang und Zwecken der Verarbeitung sowie den Risiken für die betroffenen Personen. Ein Punkt wird dabei häufig missverstanden: Die Berücksichtigung der Kosten ist kein Freibrief. Sie kann dazu führen, dass unter mehreren gleich wirksamen Lösungen die wirtschaftlich angemessene gewählt wird – sie beseitigt aber nicht die Pflicht, überhaupt einen datenschutzkonformen Zustand herzustellen. Kann ein System eine zwingende Anforderung nicht erfüllen, wird es nicht allein dadurch zulässig, dass ein Austausch teuer wäre.

Privacy by Design und Privacy by Default im Alltag

Privacy by Design betrifft die gesamte Gestaltung: Welche Daten werden benötigt, wer kann darauf zugreifen, wie werden Löschfristen umgesetzt, wie lassen sich Betroffenenrechte erfüllen? Ein CRM-System etwa kann so gestaltet werden, dass nur erforderliche Datenfelder existieren, Rollen sauber getrennt sind und Werbemaßnahmen nur bei dokumentierter Rechtsgrundlage ausgelöst werden.

Privacy by Default beschreibt dagegen den Zustand, der ohne aktives Handeln eintritt. Typische Beispiele für datenschutzfreundliche Voreinstellungen sind:

• die Werbekennzeichnung ist standardmäßig deaktiviert,
• ein neuer Benutzer erhält zunächst nur die für seine Aufgabe nötigen Rechte,
• eine Datei wird standardmäßig nur bestimmten Empfängern und nicht über einen öffentlichen Link freigegeben,
• Kamera und Mikrofon sind beim Start einer Videokonferenz ausgeschaltet,
• optionale Cookies werden beim ersten Seitenaufruf nicht gesetzt.

Privacy by Default verhindert damit, dass Datenschutz allein davon abhängt, ob jemand daran denkt, eine unsichere Grundeinstellung zu ändern.

Wer trägt die Verantwortung?

Adressat des Art. 25 DSGVO ist in erster Linie das Unternehmen, das über Zweck und Mittel der Verarbeitung entscheidet – nicht der Softwareanbieter. Ein Anbieter kann zwar eine datenschutzfreundliche Anwendung bereitstellen, ob sie aber für den konkreten Zweck geeignet ist, welche Funktionen aktiviert werden und welche Mitarbeiter Zugriff erhalten, entscheidet meist das einsetzende Unternehmen selbst. Ein Auftragsverarbeitungsvertrag ersetzt diese Prüfung nicht, und ein Vertrag macht eine ungeeignete technische Lösung nicht geeignet. In der Praxis bedeutet das: Datenschutzfunktionen sollten schon bei der Produktauswahl ein echtes Kriterium sein – nicht erst danach, wenn nur noch gefragt wird, ob ein Auftragsverarbeitungsvertrag angeboten wird und wo die Server stehen.

In sechs Schritten zur praktischen Umsetzung

Wer Privacy by Design im eigenen Unternehmen verankern möchte, kommt mit einem strukturierten Vorgehen deutlich weiter als mit Einzelfallentscheidungen:

Am Anfang steht nicht die Software, sondern der Zweck. Wer beschreibt, was erreicht werden soll, welche Daten wirklich benötigt werden und wie der Datenfluss vom Eingang bis zur Löschung aussieht, verhindert, dass am Ende die Anwendung den Prozess bestimmt statt umgekehrt. Darauf aufbauend lohnt sich eine kritische Prüfung jedes einzelnen Datenfelds: Wird diese Angabe wirklich für den Zweck gebraucht, oder ist sie nur „gelegentlich nützlich“? Optionale Felder sollten klar als freiwillig gekennzeichnet und Freitextfelder vermieden werden, wo strukturierte Auswahlmöglichkeiten reichen – erfahrungsgemäß landen dort schnell unnötige oder sensible Informationen.

Rollen und Zugriffsrechte sollten nach Aufgaben statt nach Bequemlichkeit vergeben werden. Eine Rolle „Mitarbeiter“ mit Zugriff auf alle Daten ist fast immer zu weit gefasst. Ebenso wichtig ist ein Löschkonzept, das nicht erst entsteht, wenn die ersten Fristen ablaufen, sondern von Beginn an mitgeplant wird – im Idealfall technisch im System hinterlegt, andernfalls über eine verbindliche organisatorische Wiedervorlage. Betroffenenrechte lassen sich am besten aus der Perspektive einer betroffenen Person testen: Lässt sich ein Testdatensatz vollständig finden, berichtigen, exportieren und löschen? Solche Tests decken unklare Zuständigkeiten meist schnell auf.

Am Ende sollte Datenschutz nicht als unverbindlicher Wunsch, sondern als konkretes, testbares Abnahmekriterium formuliert werden – etwa „Ein Standardbenutzer kann ausschließlich die ihm zugeordneten Kundenvorgänge einsehen“ statt der zu unbestimmten Vorgabe „Das System muss DSGVO-konform sein“.

Typische Missverständnisse

In der Praxis begegnen einem immer wieder dieselben Denkfehler. „Unsere Software ist DSGVO-konform“ ist ohne Beschreibung des konkreten Einsatzes wenig aussagekräftig – dieselbe Anwendung kann in einem Unternehmen datenschutzgerecht und in einem anderen rechtswidrig eingesetzt werden, je nach Konfiguration, Berechtigungen und tatsächlicher Nutzung. Auch die Annahme, Verschlüsselung allein reiche aus, greift zu kurz: Sie schützt vor unberechtigter Kenntnisnahme, verhindert aber nicht, dass Daten ohne Rechtsgrundlage erhoben oder zu lange gespeichert werden. Und eine „vorsichtshalber“ eingeholte Einwilligung repariert keine ungeeignete Gestaltung – der Europäische Gerichtshof hat im Fall Orange România klargestellt, dass eine aktive, informierte und freiwillige Einwilligung nachgewiesen werden muss. Ein von Vertriebsmitarbeitern bereits angekreuztes Feld genügt dafür nicht. Im Fall Planet49 wurde zudem entschieden, dass ein voreingestelltes Häkchen keine wirksame Cookie-Einwilligung darstellt.

Was bei Verstößen passiert

Wie ernst Aufsichtsbehörden Art. 25 DSGVO nehmen, zeigen zwei prominente Fälle. Die irische Datenschutzbehörde verhängte im Dezember 2024 gegen Meta unter anderem 130 Millionen Euro wegen eines Verstoßes gegen Art. 25 Abs. 1 DSGVO und 110 Millionen Euro wegen Art. 25 Abs. 2 DSGVO – ausgelöst durch eine Sicherheitslücke, bei der Angreifer Benutzer-Token mit zu weitreichenden Berechtigungen erzeugen konnten. Insgesamt summierten sich die Bußgelder in diesem Verfahren auf 251 Millionen Euro. 2023 wurde TikTok mit 345 Millionen Euro belegt, unter anderem weil die Profile minderjähriger Nutzer standardmäßig öffentlich einsehbar waren.

Für kleine und mittlere Unternehmen ist weniger die Höhe dieser Bußgelder relevant als die dahinterliegende Erkenntnis: Berechtigungen, Schnittstellen und Funktionen müssen auf das erforderliche Maß begrenzt werden – eine Funktion darf nicht automatisch umfassenden Zugriff erhalten, nur weil das technisch einfacher ist.

Privacy by Design bei KI-Anwendungen

Beim Einsatz künstlicher Intelligenz kommen zusätzliche Fragen hinzu: Können Eingaben personenbezogene Daten enthalten und zum Training des Anbieters verwendet werden, wo werden Ein- und Ausgaben gespeichert, und werden auf Basis der Ergebnisse Entscheidungen über Personen getroffen? Eine datenschutzfreundliche Gestaltung sieht vor, personenbezogene Daten vor der Eingabe zu entfernen oder zu pseudonymisieren, Trainingsfunktionen zu deaktivieren und Ergebnisse nicht ohne menschliche Kontrolle in Entscheidungen einfließen zu lassen. Zu beachten ist außerdem, dass viele KI-Systeme inzwischen zusätzlich in den Anwendungsbereich des EU AI Act fallen, der je nach Risikoklasse eigene Dokumentations- und Prüfpflichten vorsieht – Datenschutz- und KI-Anforderungen sollten bei der Einführung deshalb gemeinsam betrachtet werden.

Zusammenfassung

Privacy by Design verlangt, Datenschutz nicht nachträglich auf eine fertige Verarbeitung aufzusetzen, sondern Zwecke, Datenumfang, Berechtigungen, Löschung und Risiken bereits während der Planung zu berücksichtigen. Privacy by Default sorgt ergänzend dafür, dass ohne aktives Zutun nur die notwendige Verarbeitung stattfindet. Für kleine und mittlere Unternehmen bedeutet das nicht, dass jedes Verfahren technisch aufwendig automatisiert werden muss – oft entsteht schon durch einfache Maßnahmen ein erheblicher Unterschied: weniger Pflichtfelder, klare Rollen, festgelegte Löschfristen und eine Datenschutzprüfung vor der Beschaffung. Wer Datenschutzanforderungen früh formuliert, kann sie mit überschaubarem Aufwand integrieren. Wer sie erst nach dem Start entdeckt, muss meist teuer nachbessern.

Autorin
Daniela Frank, LL.B.

Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.

Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.