Kurz erklärt: Datenschutz durch Technikgestaltung (by Design) und durch datenschutzfreundliche Voreinstellungen (by Default) verlangt, dass Systeme und Abläufe von Anfang an so gebaut und eingestellt werden, dass nur die nötigen Daten verarbeitet werden.
Was bedeutet Privacy by Design und Privacy by Default?
Art. 25 DSGVO richtet sich an den Verantwortlichen, nicht an den Softwarehersteller: Wer ein System einführt, muss es datenschutzgerecht auswählen und konfigurieren. By Design bedeutet, Datenschutz schon in der Planung zu berücksichtigen, etwa durch Pseudonymisierung, Zugriffskonzepte oder Löschautomatik. By Default bedeutet, dass die Standardeinstellung die datensparsamste ist: Tracking aus, Freigaben eng, Profile nicht öffentlich.
Der Grundsatz gilt bei der Einführung neuer Verfahren und bei der laufenden Nutzung. Er ist eng mit Datenminimierung und Speicherbegrenzung verknüpft.
Rechtsgrundlage
- Art. 25 Abs. 1 DSGVO (Technikgestaltung)
- Art. 25 Abs. 2 DSGVO (Voreinstellungen)
- Art. 5 Abs. 1 lit. c DSGVO (Datenminimierung)
- Erwägungsgrund 78 DSGVO
In der Praxis
Praktisch heißt das: Bei der Einführung von Microsoft 365, einem CRM oder einer Handwerker-App werden Protokollierung, Standortdienste, Freigabeeinstellungen und Aufbewahrung geprüft, bevor das Team loslegt. Die Prüfung dokumentiert der Datenschutzbeauftragte als Teil der Verarbeitungstätigkeit.
Häufige Fragen
Fragen zu Privacy by Design und Privacy by Default
Haftet der Softwarehersteller, wenn das Programm nicht datenschutzkonform ist?
Gegenüber der Aufsichtsbehörde haftet der Verantwortliche, der das Programm einsetzt. Hersteller können vertraglich in die Pflicht genommen werden, aber Art. 25 DSGVO trifft den Anwender.
Was ist ein Beispiel für Privacy by Default?
Ein Kundenkonto, bei dem Newsletter und Tracking standardmäßig abgeschaltet sind und der Kunde sie aktiv einschalten muss.
Verwandte Begriffe
Das gehört dazu
Ratgeber