Privacy by Design: Die 10 wichtigsten Maßnahmen

Was ist „Privacy by Design“ – und wie verhält sich „Privacy by Default“ dazu?

Privacy by Design verankert die Datenschutz-Grundsätze der DSGVO (z. B. Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Transparenz) bereits im Design von Systemen, Prozessen und Produkten. Die Pflicht und Rechtsgrundlage für Privacy by Design ergibt sich aus Art. 25 DSGVO. Datenschutz muss demnach bereits bei der Entwicklung und Konzeption berücksichtigt werden („Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“).

Privacy by Default (ebenfalls Art. 25 DSGVO) ist die konkrete Ausprägung: Voreinstellungen müssen so gestaltet sein, dass standardmäßig nur die für den Zweck erforderlichen Daten verarbeitet werden – insbesondere in Menge, Umfang, Speicherfrist und Zugänglichkeit. Kurz: Default = minimal.

Wann findet Privacy by Design in der Praxis Anwendung?

Immer dann, wenn Sie eine Verarbeitung neu planen, weiterentwickeln, ausrollen oder wesentlich ändern. Typische Auslöser sind u. a. neue Produkte/Features, neue Datenkategorien (z. B. Standort, Biometrie), neue Tracking-/Analyse-Setups, der Wechsel oder das Onboarding eines Dienstleisters oder Roll-outs in neue Märkte. Bei hohem Risiko (z. B. Profiling, besondere Kategorien, systematische Überwachung) ist regelmäßig eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich.

Warum lohnt sich Privacy by Design – über Compliance hinaus?

Privacy by Design bewirkt in der Praxis mehr als reine Gesetzeserfüllung – es reduziert Risiken, erhöht Effizienz und stärkt das Vertrauen Ihrer Nutzer:innen.

• Risikoreduktion: Frühzeitige Kontrollen verhindern Datenschutzvorfälle und reduzieren deren Auswirkungen.
• Effizienz: Klare Anforderungen von Anfang an vermeiden teure Nachbesserungen.
• Vertrauen & UX: Verständliche Informationen und faire Defaults führen zu höherer Akzeptanz.
• Nachweisbarkeit: Gelebte Privacy-by-Design-Prozesse unterstützen die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

Privacy by Design entlang des Lebenszyklus – was in welcher Phase wichtig ist

• Discovery/Idee: Zweck definieren, Datenflüsse skizzieren, Erforderlichkeit prüfen, DSFA-Vorprüfung, Stakeholder (Produkt, IT, Legal/DSB) einbinden.
• Design: Datenschutz-Anforderungen als nicht-funktionale Anforderungen festschreiben: Voreinstellungen, Datensparsamkeit, Rechte-Workflows, Speicherfristen, Rollen/Rechte, technische Schutzmaßnahmen.
• Build & Test: Privacy-Kontrollen implementieren und testen (z. B. keine personenbezogenen Daten in Logs/Debugging, funktionierende Lösch- und Exportpfade, Einwilligungslogik).
• Go-Live: Informationspflichten bereitstellen, Einwilligungs-/Cookie-Banner regelkonform umsetzen (TTDSG für Endgeräte-Cookies/Tracker beachten), Zugriffskonzepte prüfen.
• Betrieb/Review: KPIs/Monitoring (z. B. Löschquote, Bearbeitungszeiten für Betroffenenrechte), regelmäßige Rezertifizierungen von Zugriffsrechten, DSFA-Review bei Änderungen.

Die 10 wichtigsten Maßnahmen für Privacy by Design

Der folgende Überblick zeigt die zehn wichtigsten Hebel, mit denen Sie Privacy by Design im Alltag pragmatisch und prüfbar umsetzen.

1. Datenminimierung & Zweckbindung

Erheben und verarbeiten Sie nur Daten, die für den definierten Zweck erforderlich sind. Entfernen Sie „Nice-to-have“-Felder und vermeiden Sie Freitext, der unnötige Personenangaben erzeugt; prüfen Sie bei neuen Nutzungen stets die Zweckkompatibilität.

2. Restriktive Voreinstellungen (Privacy by Default)

Funktionen, die zusätzliche Daten preisgeben (z. B. Tracking, Teilen, Profilerweiterung), sollten standardmäßig aus sein. Nutzer:innen entscheiden aktiv über Opt-ins; machen Sie Einstellungen leicht auffindbar und verständlich.

3. Speicherbegrenzung mit Automatiken

Definieren Sie Aufbewahrungsfristen je Datenkategorie und setzen Sie automatische Lösch-/Anonymisierungsprozesse auf. Dokumentieren und überwachen Sie Ausnahmen (z. B. gesetzliche Aufbewahrung) – kein „Aufbewahren auf Vorrat“.

4. Pseudonymisierung & Datentrennung

Speichern Sie Identitätsdaten (z. B. Name, E-Mail) getrennt von Inhalts-/Nutzungsdaten und verknüpfen Sie beides nur über eine zufällig erzeugte ID (Token), deren Zuordnung besonders geschützt ist. Vermeiden Sie Roh-IDs in Events, Reports oder Support-Screens.

5. Zugriffe nach Need-to-Know (Least Privilege) & Protokollierung

Vergeben Sie Rollen/Rechte feingranular und nur so weit wie nötig. Rezertifizieren Sie regelmäßig, setzen Sie ggf. Just-in-Time-Zugriffe ein und werten Sie sensible Zugriffe aus.

6. Transparente, verständliche Nutzerinformationen (UX)

Arbeiten Sie mit Layered Notices und Just-in-Time-Hinweisen dort, wo Daten anfallen. Vermeiden Sie Dark Patterns; erklären Sie Optionen klar – inklusive Folgen einer Entscheidung.

7. Betroffenenrechte „bedienbar“ machen

Bieten Sie Self-Service insbesondere für Auskunft, Berichtigung, Löschung, Widerspruch und Datenportabilität – mit sicherer Identitätsprüfung. Standardisieren Sie interne Abläufe, um Fristen sicher einzuhalten.

8. Lieferantensteuerung (Auftragsverarbeiter)

Prüfen Sie technische und organisatorische Maßnahmen, Datenstandorte und Subdienstleister vor dem Onboarding und regelmäßig danach. Regeln Sie vertraglich Löschung/Exit, Incident-Meldungen und Audit-Rechte; lassen Sie sich Löschungen nachweisbar bestätigen.

9. Risiken steuern: DSFA & Change-Kontrolle

Führen Sie bei hohem Risiko eine DSFA nach Art. 35 DSGVO durch und definieren Sie konkrete Minderungsmaßnahmen. Wiederholen Sie Bewertungen bei wesentlichen Änderungen (neue Zwecke, neue Quellen, Roll-outs) und dokumentieren Sie Rest-Risiken nachvollziehbar.

10. Standards & Best Practices nutzen

Nutzen Sie etablierte Rahmenwerke wie ISO 31700-1 (Privacy by Design für Verbraucherprodukte/-dienste), ISO/IEC 27701 (Privacy Information Management) oder das NIST Privacy Framework als Orientierung. Diese liefern wiederverwendbare Kontrollen und erleichtern Audits – sie ersetzen aber nicht die DSGVO-Pflichten.

Branchen & Use Cases, bei denen Privacy by Design besonders zählt

Nachfolgend finden Sie Branchen, in denen Umfang und Sensibilität der Daten besonders hoch sind – entsprechend spielt Privacy by Design hier eine zentrale Rolle.

• Gesundheit & MedTech (E-Health, Telemedizin, Wearables): häufig besondere Kategorien von Daten → hohe Schutzbedarfe.
• Finanz/InsurTech & Scoring: Profiling und (teil-)automatisierte Entscheidungen können erhebliche Auswirkungen haben.
• Kinder/Jugend & EdTech/Gaming/Social: altersgerechte Gestaltung und besonders strenge Voreinstellungen sind essenziell.
• Mobilität/Connected Cars & Telematik: orts- und verhaltensbezogene Dauererfassung erfordert klare Grenzen und kurze Speicherfristen.
• Smart Home/IoT & Video: „Always-on“-Sensorik im privaten Raum – Default auf Schutz, nicht auf Sammeln.
• Ad/MarTech & Social Targeting: systematisches Tracking verlangt Einwilligungen und sehr klare Rollen-/Verantwortlichkeiten.
• HR-Tech/Monitoring: Beschäftigtendaten, ggf. systematische Überwachung – besondere Sensibilität und Transparenz notwendig.

Privacy by Design mit externen Dienstleistern – 10-Punkte-Check

Externe Dienstleister verarbeiten häufig personenbezogene Daten in Ihrem Auftrag (Auftragsverarbeitung) – damit verlagern sich technische und organisatorische Risiken außerhalb Ihrer unmittelbaren Umgebung. Eine strukturierte Vendor-Due-Diligence stellt sicher, dass Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) auch beim Anbieter gelebt werden.

Beispiel: Sie möchten ein neues CRM ausrollen. Bevor es live geht, prüfen Sie u. a., welche Datenkategorien wirklich erforderlich sind, wo die Daten gespeichert werden, welche Subprozessoren beteiligt sind und wie nach Vertragsende nachweisbar gelöscht wird. Auf Basis der Ergebnisse entscheiden Sie über Freigabe, Auflagen oder die Suche nach einer Alternative.

1. Zweck & Datenkategorien: Was wird wofür verarbeitet?
2. Standorte & Subprozessoren: Wo stehen Systeme, wer hilft mit?
3. Zugriffe: Hat Support Einblick in Produktivdaten? Unter welchen Bedingungen?
4. Sicherheit: Verschlüsselung, Schlüsselmanagement, Incident-Prozesse.
5. Betroffenenrechte: Unterstützt der Dienstleister Auskunft/Löschung/Export?
6. Löschkonzept: Wie und wann werden Daten gelöscht/anonymisiert?
7. Rückgabe/Exit: Wie kommen Sie sauber aus dem Vertrag (inkl. Datenrückgabe)?
8. Auditierbarkeit: Welche Nachweise/Reports stehen zur Verfügung?
9. Einwilligungen/TTDSG: Benötigt der Einsatz Endgeräte-Einwilligungen (z. B. für Cookies/Tracking)?
10. Änderungsmanagement: Wie werden Produktänderungen kommuniziert und bewertet?

Häufige Stolpersteine – und schnelle Quick Wins

Stolpersteine: Zu breite Zwecke, zu lange Speicherfristen, unklare Verantwortlichkeiten, personenbezogene Daten in Logs/UTMs, intransparente Einwilligungsdialoge, fehlende Nachweise.

Quick Wins: Defaults konsequent minimieren, Retention technisch automatisieren, Logs/Analytics auf Personenfreiheit prüfen, klare Rollen & Rezertifizierungen, verständliche Layered Notices, DSFA-Checkliste als fester Schritt.

Bußgelder bei Verstößen gegen Privacy by Design (Art. 25 DSGVO)

Verstöße gegen Art. 25 DSGVO können nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden (je nachdem, welcher Betrag höher ist). In der Praxis werden Verstöße gegen Privacy by Design bzw. Privacy by Default oft zusammen mit anderen Pflichtverletzungen (z. B. Transparenz nach Art. 12, 13 DSGVO oder Grundsätzen nach Art. 5 DSGVO) bewertet – maßgeblich ist dann die Obergrenze des schwerwiegendsten Verstoßes.

Beispiel: 2019 verhängte die Berliner Beauftragte für Datenschutz und Informationsfreiheit gegen Deutsche Wohnen SE einen Bußgeldbescheid über rund 14,5 Mio. €. Hintergrund war ein Archivsystem ohne wirksame Löschoptionen, wodurch nicht mehr erforderliche Mieterdaten gespeichert blieben – ein Verstoß gegen Art. 25 Abs. 1 DSGVO (Privacy by Design) sowie gegen Grundsätze nach Art. 5 DSGVO. Hinweis: Der Bußgeldbescheid wurde zwischenzeitlich vom LG Berlin aufgehoben. Das Verfahren läuft aktuell noch.

Was heißt das für Sie? Prüfen Sie Voreinstellungen konsequent, dokumentieren Sie Privacy-by-Design-Entscheidungen (inkl. DSFA, wo nötig) und beheben Sie Transparenz- und Löschlücken früh – gerade in kinder- oder verbrauchernahen Angeboten.

Fazit & nächster Schritt

Privacy by Design ist kein Zusatzaufwand am Ende, sondern ein strukturierter Ansatz, der Risiken senkt, Compliance nachweisbar macht und Nutzervertrauen stärkt. Wenn Sie die oben skizzierte Lifecycle-Sicht, die 10 Maßnahmen und klare Rollen verankern, schaffen Sie eine belastbare Basis – für neue Vorhaben ebenso wie für laufende Prozesse.

Sie möchten Ihr Team oder ein konkretes Projekt fit für Privacy by Design machen? Wir unterstützen Sie gern mit Assessments, Workshops oder konkreten Audits.