Was bedeutet „Privacy by Design“?

  • um
  • Uhr

Privacy by Design bedeutet, dass Du Datenschutz schon bei der Konzeption, Auswahl und Entwicklung von Prozessen, Websites und Tools mitdenkst, statt Datenschutz später nachzurüsten. Für KMU ist Privacy by Design keine abstrakte Rechtsformel, sondern eine praktische Regel für saubere Systeme: Ein Kontaktformular, ein Analyse-Tool, ein Newsletter-System oder ein CRM sollten nur die Daten verarbeiten, die für den jeweiligen Zweck wirklich nötig sind. Genau dadurch sinken Risiken, Nachbesserungen und Vertrauensverluste.

Rechtlich ist der Begriff in Art. 25 DSGVO verankert. Das Gesetz spricht genauer von „Data protection by design and by default“, also von Datenschutz durch Technikgestaltung und datenschutzfreundlichen Voreinstellungen. Der gebräuchliche Ausdruck Privacy by Design ist fachlich richtig, auch wenn der Gesetzestext präziser formuliert ist.

Privacy by Design heißt in der Praxis: Erst sauber gestalten, dann Daten erheben.

Privacy by Design nach Art. 25 DSGVO

Art. 25 DSGVO verlangt, dass Verantwortliche schon bei der Festlegung der Verarbeitung und auch während der laufenden Verarbeitung technische und organisatorische Maßnahmen einbauen. Dazu gehören Schutzmechanismen wie Datenminimierung, passende Zugriffsregeln, sichere Prozesse und eine Gestaltung, die die Rechte betroffener Personen schützt. Die EDPB betont in ihrer Übersicht zu Artikel 25, dass diese Maßnahmen vor Beginn der Verarbeitung mitgedacht und danach laufend überprüft werden müssen.

Für ein KMU lässt sich Datenschutz durch Technikgestaltung auf fünf einfache Prüffragen herunterbrechen:

  • Braucht der Prozess diese Daten wirklich? Wenn nein, Felder streichen, Schnittstellen reduzieren, Speicherfristen verkürzen.
  • Sind die Standard-Einstellungen zurückhaltend? Also keine voraktivierten Häkchen, keine unnötig offenen Profile und kein voreingestelltes Marketing-Tracking.
  • Sind Rollen und Zugriffe begrenzt? Nicht jeder Mitarbeitende braucht Zugriff auf alle Kundendaten oder Bewerbungen.
  • Ist der Anbieter sauber eingebunden? Bei externen Tools brauchst Du oft eine Auftragsverarbeitung und klare Verantwortlichkeiten.
  • Ist der Prozess später noch erklärbar? Gute Technik schützt nicht nur Daten, sondern macht die Verarbeitung auch nachvollziehbar und prüfbar.

Wenn Du ohnehin Deine Website überarbeitest, hilft oft schon eine nüchterne Prüfung der Grundlagen. Unsere Website-Checkliste für KMU zeigt, wie stark Vertrauen, Klarheit und rechtlich saubere Struktur zusammenhängen.

Privacy by Design vs. Privacy by Default

Privacy by Design und Privacy by Default werden oft zusammen genannt, meinen aber nicht dasselbe. Die Unterscheidung ist wichtig, weil viele Unternehmen Datenschutz bei der Planung berücksichtigen, am Ende aber trotzdem zu offene Standard-Einstellungen veröffentlichen.

  • Zweck: Privacy by Design betrifft die Gestaltung des gesamten Systems. Privacy by Default betrifft die voreingestellte Nutzung dieses Systems.
  • Zeitpunkt: Privacy by Design beginnt vor der Einführung eines Tools oder Prozesses. Privacy by Default zeigt sich beim ersten Einsatz in den konkreten Einstellungen.
  • Praktische Umsetzung: Privacy by Design fragt, ob ein Tracking-Tool überhaupt nötig ist. Privacy by Default fragt, ob das Tracking standardmäßig deaktiviert bleibt, bis eine wirksame Einwilligung vorliegt.
  • Beispiel Kontaktformular: Privacy by Design reduziert die Formularlogik auf notwendige Daten. Privacy by Default macht optionale Angaben auch wirklich optional und speichert nicht mehr als nötig.
  • Beispiel Nutzerkonto: Privacy by Design plant Rollen, Löschfristen und Zugriffsschutz mit ein. Privacy by Default sorgt dafür, dass Profile nicht automatisch öffentlich sichtbar sind.

Kurz gesagt: Privacy by Design baut den Rahmen, Privacy by Default setzt die sichere Ausgangslage.

Die sieben Prinzipien nach Ann Cavoukian

Die sieben grundlegenden Prinzipien von Privacy by Design gehen auf Ann Cavoukian zurück. Ihr Zentrum beschreibt Privacy by Design als ein seit den 1990er Jahren entwickeltes Konzept und nennt sieben Foundations, die bis heute häufig zitiert werden.

  • Proaktiv statt reaktiv: Risiken werden früh erkannt. In der Praxis heißt das: vor dem Livegang prüfen, welche Daten ein Formular, ein Plugin oder ein Terminbuchungstool wirklich verarbeitet.
  • Datenschutz als Standard: Die datenschutzfreundlichste Einstellung ist voreingestellt. Kein Marketing-Häkchen ist vorausgewählt, keine Profile sind unnötig offen und kein Tracking läuft ohne klare Rechtsgrundlage im Hintergrund.
  • Datenschutz eingebettet ins Design: Datenschutz ist kein Add-on. Datenschutz gehört in Briefing, Konzeption, Auswahl von Tools, Rechtevergabe und Dokumentation.
  • Volle Funktionalität statt Entweder-oder: Gute Lösungen verbinden Wirtschaftlichkeit und Schutz. Du musst nicht zwischen guter Nutzerführung und Datenschutz wählen, wenn das System sauber geplant ist.
  • Schutz über den gesamten Lebenszyklus: Daten müssen von der Erhebung bis zur Löschung abgesichert sein. Dazu gehören Speicherfristen, Backups, Rechtekonzepte und saubere Löschprozesse.
  • Sichtbarkeit und Transparenz: Nutzer sollen verstehen können, was passiert. Dazu zählen verständliche Hinweise, ein nachvollziehbares Consent Management und klar kommunizierte Zwecke.
  • Respekt vor den Nutzerrechten: Die Interessen der betroffenen Person stehen im Mittelpunkt. Das zeigt sich bei einfachen Wahlmöglichkeiten, fairen Formularen und verständlichen Datenschutzhinweisen.

Was bedeutet Privacy by Design in der Praxis?

Aus vielen Projekten mit inhabergeführten Betrieben kenne ich ein typisches Muster: Nicht böser Wille ist das Problem, sondern ein Sammelsurium aus Plugins, Formularen und Drittanbieter-Tools, das über Jahre gewachsen ist. Dann lädt die Website Tracking-Skripte, das Kontaktformular fragt mehr Daten ab als nötig und niemand weiß genau, welche Informationen ins CRM oder in ein Newsletter-Tool fließen. Genau hier schafft Privacy by Design Ordnung.

Wichtig ist auch der Blick auf Website-Tracking. Der EDPS behandelt Cookies, ähnliche Tracking-Technologien und Drittanbieter-Anfragen ausdrücklich als Hinweise auf datenschutzrechtlich relevante Verarbeitung auf Websites. Für KMU heißt das: Tracking ist nie nur eine Marketingfrage, sondern immer auch eine Datenschutzfrage.

5-Punkte-Checkliste für KMU

  • Website prüfen: Entferne alles, was keinen klaren geschäftlichen Zweck hat. Jedes Plugin, jedes eingebettete Video und jede externe Schriftart kann zusätzliche Datenflüsse auslösen.
  • Formulare verschlanken: Ein Kontaktformular braucht oft nur Name, E-Mail und Nachricht. Telefonnummer, Geburtsdatum oder Firma sind nur dann sinnvoll, wenn der konkrete Zweck das wirklich verlangt.
  • Tracking begrenzen: Nutze Conversion-Tracking nur so weit, wie es für die Entscheidung wirklich nötig ist. Prüfe, ob aggregierte Messung reicht, bevor Du personenbezogene Auswertung aktivierst.
  • Drittanbieter sauber auswählen: Bei Newsletter-, CRM-, Terminbuchungs- oder Analyse-Tools musst Du technische Schutzmaßnahmen, Speicherort, Berechtigungen und Auftragsverarbeitung mitdenken.
  • Interne Prozesse klären: Lege fest, wer welche Daten sehen darf, wie lange Daten gespeichert werden und wann Daten gelöscht oder anonymisiert werden. Gute technische und organisatorische Maßnahmen beginnen nicht erst im Serverraum, sondern im Alltag.

Typische Beispiele aus KMU-Projekten

Kontaktformular: Wenn ein Formular für eine allgemeine Anfrage gedacht ist, reichen wenige Felder. Ein optionales Telefonfeld kann sinnvoll sein, ein Pflichtfeld für Geburtsdatum fast nie. Privacy by Design bedeutet hier: weniger Felder, klare Zweckangabe, sichere Übertragung und keine unnötige Weitergabe an Dritttools.

Newsletter: Der Newsletter braucht eine getrennte Einwilligung und eine nachvollziehbare Anmeldung, etwa per Double-Opt-in. Privacy by Default bedeutet hier, dass keine Werbeeinwilligung vorausgewählt ist und nur die Daten erhoben werden, die für den Versand wirklich gebraucht werden.

Terminbuchung: Viele Buchungstools fragen mehr Informationen ab, als für ein Erstgespräch nötig sind. Prüfe, ob wirklich Adresse, Firma, Umsatzklasse oder mehrere Pflichtangaben erforderlich sind. Wenn ein externer Anbieter im Spiel ist, gehört die Prüfung der Auftragsverarbeitung dazu.

CRM und Marketing-Automation: Systeme für Vertrieb und Nachverfolgung sind nur dann hilfreich, wenn sie sauber aufgesetzt sind. Sonst entstehen doppelte Datensätze, zu breite Zugriffsrechte und unnötige Datensammlungen. Gerade bei Marketing-Automation-Tools lohnt sich die Frage, welche Datenpunkte wirklich geschäftlich notwendig sind.

First-Party-Daten: Viele KMU können mit eigenen, sauber erhobenen First-Party-Daten besser arbeiten als mit immer mehr Drittanbieter-Tracking. Das ist oft nicht nur datenschutzfreundlicher, sondern auch strategisch klarer.

FAQ: die wichtigsten Fragen zu Privacy by Design

Ist Privacy by Design Pflicht?

Ja. Der rechtliche Kern steckt in Art. 25 DSGVO, der Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen verlangt. Pflicht heißt nicht, dass jedes KMU ein komplexes Konzernsystem braucht, sondern dass Prozesse, Websites und Tools nachvollziehbar datensparsam und risikobewusst gestaltet werden müssen.

Gilt das auch für kleine Unternehmen?

Ja, auch kleine Unternehmen müssen Privacy by Design berücksichtigen. Der Umfang der Maßnahmen richtet sich nach Risiko, Zweck, Umfang der Verarbeitung und eingesetzten Mitteln. Die Grundlogik bleibt aber gleich: nur notwendige Daten, klare Zwecke, passende Voreinstellungen und kontrollierte Zugriffe.

Reicht ein Cookie-Banner aus?

Nein. Ein Banner ist nur ein Baustein und ersetzt keine saubere Systemgestaltung. Wenn Deine Website unnötig viele Skripte lädt, Formulare zu viele Daten abfragen oder Anbieter ohne Prüfung eingebunden sind, ist das Problem mit einem Banner allein nicht gelöst.

Was ist der Unterschied zu IT-Sicherheit?

IT-Sicherheit schützt Systeme vor Angriffen, Ausfällen und unbefugtem Zugriff. Privacy by Design geht weiter: Zusätzlich zur Sicherheit geht es um Datenminimierung, Zweckbindung, Transparenz, Zugriffsbegrenzung und faire Standard-Einstellungen für die betroffene Person.

Wann brauchst Du externe Beratung?

Sobald mehrere Tools zusammenspielen, personenbezogene Daten zwischen Website, CRM, Newsletter oder Terminbuchung fließen oder unklar ist, wer wofür verantwortlich ist, lohnt sich externe Unterstützung. Gute Beratung spart hier oft mehr Geld, als sie kostet, weil spätere Umbauten, unnötige Tools und operative Unsicherheit vermieden werden.

Quellen

  1. GDPR, Article 25 — gdpr-info.eu (2016)
  2. European Data Protection Board, Data protection by design & by default: When to act and what to do — edpb.europa.eu (2026)
  3. Global Privacy and Security by Design Centre, The Seven Foundational Principles — gpsbydesigncentre.com (2021)
  4. European Data Protection Supervisor, Data Protection and Privacy Tools — edps.europa.eu (2018)
Florian Berger
  • Florian Berger begleitet seit über 20 Jahren Unternehmen, Institutionen, Unternehmer und Fachleute bei der Konzeption und Entwicklung von digitalen Projekten. Sein Fokus liegt dabei auf den Bereichen Kommunikation, Digitalisierung und Künstliche Intelligenz (KI). Er unterstützt Kunden dabei, ihre Marken zu stärken, Websites zu entwickeln und maßgeschneiderte Marketingstrategien zu implementieren – stets unter Berücksichtigung der neuesten technologischen Trends und Innovationen aus der KI-Welt. Kurz gesagt: Branding, Website, Marketing und digitale Transformation sind seine Expertise.
Ähnliche Ausdrücke Privacy by Design, PbD, Data Protection by Design, Datenschutz durch Technikgestaltung
Tags
Privacy by Design
Bloggerei.de