Privacy by Design: Datenschutz durch Technikgestaltung erklärt

Privacy by Design heißt: Datenschutz wird nicht nachträglich auf ein fertiges System geschraubt, sondern von der ersten Skizze an mitgebaut. In der DSGVO steht das Prinzip als „Datenschutz durch Technikgestaltung“ in Artikel 25, zusammen mit seinem Zwilling Privacy by Default, den datenschutzfreundlichen Voreinstellungen. Für dich als Verantwortliche oder Verantwortlicher in einem mittelständischen Unternehmen, einer Kommune oder einer Agentur ist das keine Kür, sondern Pflicht. Wir zeigen dir, was die Pflicht konkret bedeutet, wie du sie in Prozesse, Software und KI-Anwendungen übersetzt und woran gute Umsetzung im Alltag zu erkennen ist.

• Privacy by Design verlangt, dass du technische und organisatorische Maßnahmen schon bei der Planung einer Datenverarbeitung triffst, nicht erst beim Go-live.
• Privacy by Default verlangt, dass die Voreinstellungen eines Systems nur die Daten verarbeiten, die für den jeweiligen Zweck wirklich nötig sind.
• Beides gilt für neue Projekte und für bestehende Altsysteme, und du musst die getroffenen Maßnahmen dokumentiert nachweisen können.
• Bei KI-Anwendungen gehören Fragen wie Trainingsnutzung, Speicherung von Eingaben und eine mögliche Datenschutz-Folgenabschätzung von Anfang an in die Konzeption.
• Früh eingeplanter Datenschutz ist günstiger als jede spätere Korrektur und macht Systeme oft schlanker.

Der Begriff klingt nach Designabteilung, gemeint ist aber Architektur. Stell dir ein Gebäude vor: Brandschutz plant man mit den Grundrissen, nicht nach dem Einzug. Genauso verhält es sich mit personenbezogenen Daten. Welche Daten ein System erhebt, wo sie liegen, wer sie sehen darf und wann sie wieder verschwinden, entscheidet sich in der Konzeption. Wer diese Fragen dort beantwortet, muss sie später nicht mit Workarounds, Zusatztools und Ausnahmeregeln beantworten.

Rechtspflicht und Leitbild

Im deutschen Sprachgebrauch laufen zwei Ebenen oft durcheinander. Der Europäische Datenschutzbeauftragte unterscheidet sie in seiner vorläufigen Stellungnahme zum Schutz der Privatsphäre durch Technikgestaltung klar: Datenschutz durch Technikgestaltung ist eine konkrete rechtliche Pflicht aus Art. 25 DSGVO. Privacy by Design ist im internationalen Diskurs dagegen ein breiteres, ethisches Konzept, das an die Grundwerte der EU-Grundrechtecharta anknüpft. Die gesetzlichen Maßnahmen unterstützen dieses Leitbild, sind aber als spezifische technische und organisatorische Verpflichtungen definiert.

Für die Praxis heißt das: Die DSGVO sagt dir, was du mindestens tun musst. Das Leitbild sagt dir, warum es sich lohnt, darüber hinauszudenken.

Die sieben Grundprinzipien nach Ann Cavoukian

Geprägt hat den Begriff die kanadische Datenschutzbeauftragte Ann Cavoukian, die ihre sieben Grundprinzipien von Privacy by Design bis heute als Referenz veröffentlicht. Sinngemäß übersetzt:

1. Proaktiv statt reaktiv: Risiken vorbeugen, statt Vorfälle zu reparieren.
2. Datenschutz als Standardeinstellung: Niemand muss aktiv werden, um geschützt zu sein.
3. Datenschutz eingebettet ins Design: Er ist Teil der Architektur, kein Zusatzmodul.
4. Volle Funktionalität: Positivsumme statt Nullsumme, also kein falscher Tausch von Datenschutz gegen Nutzen.
5. Durchgängige Sicherheit: Schutz über den gesamten Lebenszyklus der Daten, von der Erhebung bis zur Löschung.
6. Sichtbarkeit und Transparenz: Abläufe sind nachvollziehbar und überprüfbar.
7. Respekt vor den Nutzenden: Die Interessen der Betroffenen stehen im Mittelpunkt.

Diese Prinzipien sind kein Gesetzestext, aber sie sind eine gute Checkliste für jedes Konzeptgespräch.

Privacy by Design beschreibt den Weg, Privacy by Default das Ergebnis im Auslieferungszustand. Nach den Leitlinien 4/2019 des Europäischen Datenschutzausschusses zu Artikel 25 müssen Verantwortliche zum frühestmöglichen Zeitpunkt Maßnahmen treffen, um die Datenschutzgrundsätze wirksam umzusetzen, und die Voreinstellungen datenschutzfreundlich wählen. Konkret betrifft das die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit: Daten sollen ohne Zutun der Person nicht einem unbegrenzten Personenkreis zugänglich werden.

Ein einfaches Bild: Privacy by Design ist der Maßanzug, Privacy by Default ist die Art, wie er beim ersten Anziehen sitzt. Wer mehr Datenverarbeitung will, etwa ein öffentliches Profil oder personalisierte Empfehlungen, entscheidet sich aktiv dafür. Das System schlägt es nicht still vor.

Die DSGVO ist bei der Umsetzung bewusst technikneutral. Sie schreibt keine Tools vor, sondern eine Haltung mit nachweisbaren Ergebnissen. Der Bundesbeauftragte für den Datenschutz fasst in seiner Broschüre zur DSGVO in der Bundesverwaltung die Pflichten so zusammen: Verantwortliche stellen durch geeignete technische und organisatorische Maßnahmen (TOMs) sicher, dass die Datenschutzgrundsätze wirksam umgesetzt werden, die Verarbeitung rechtmäßig ist und nur notwendige Daten verarbeitet werden.

Daraus ergeben sich vier Pflichten, die du im Projekt einplanen solltest:

• Abwägung: Bei der Auswahl der Maßnahmen berücksichtigst du den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und die Risiken für die Betroffenen.
• Wirksamkeit: Eine Maßnahme zählt nur, wenn sie tatsächlich wirkt. Ein Löschkonzept, das niemand ausführt, erfüllt die Pflicht nicht.
• Nachweis: Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO, konkretisiert durch Art. 24 und 25, verlangt, dass du per Dokumentation belegst, welche Maßnahmen du getroffen hast.
• Kontinuität: Der Europäische Datenschutzausschuss betont, dass Datenschutz durch Technikgestaltung ein fortlaufender Prozess ist, der auch für Legacy-Systeme gilt und regelmäßige Überprüfungen der Wirksamkeit verlangt.

Wichtig für die Rollenverteilung: Verpflichtet ist der Verantwortliche, also das Unternehmen oder die Behörde, die ein System einsetzt, nicht der Softwarehersteller. Die Datenschutzkonferenz hat im März 2026 in einer Pressemitteilung zur digitalen Fitness der DSGVO gefordert, Hersteller und Anbieter von Hard- und Software stärker in die Pflicht zu nehmen, weil nach geltendem Recht vor allem die Anwender verantwortlich sind. Bis sich daran etwas ändert, gilt: Wenn du Software beauftragst oder einkaufst, gehören Datenschutzanforderungen ins Lastenheft und in den Vertrag.

Dass Aufsichtsbehörden das ernst nehmen, zeigt etwa der Fall eines Onlineshops, gegen den die Landesbeauftragte für den Datenschutz Niedersachsen ein hohes Bußgeld wegen veralteter Shop-Software verhängt hat, unter anderem gestützt auf Art. 25 DSGVO. Gute Technikgestaltung ist also nicht nur sauberer Stil, sondern auch Risikomanagement.

Der Servicestandard der Bundesverwaltung beschreibt ein Vorgehen, das sich auch im Mittelstand bewährt: Bestandsaufnahme, Risikoanalyse, Auswahl passender Maßnahmen. Wir ergänzen es um zwei Schritte, die in der Praxis oft fehlen.

1. Datenflüsse aufnehmen. Welche personenbezogenen Daten entstehen, woher kommen sie, welche Systeme berühren sie, wer greift zu? Eine einfache Skizze auf Prozessebene reicht für den Start, wichtiger ist, dass auch Schnittstellen, Exporte und Schatten-Excel-Listen auftauchen.
2. Zweck und Notwendigkeit klären. Für jedes Datenfeld die Frage: Wofür brauchen wir es, und geht es auch mit weniger? Hier entsteht Datenminimierung, bevor eine Zeile Code geschrieben ist.
3. Risiken bewerten. Eine strukturierte Risikoanalyse zeigt, wo es kritisch wird. Dazu gehört eine Schwellwertanalyse, ob eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO nötig ist.
4. Maßnahmen festlegen und bauen. Typische TOMs sind Verschlüsselung, Pseudonymisierung, ein Löschkonzept mit automatischen Fristen und ein Rollen- und Berechtigungskonzept. Sie gehören als Anforderungen ins Backlog, mit eigenen Akzeptanzkriterien.
5. Dokumentieren und regelmäßig prüfen. Verarbeitungsverzeichnis, technische Dokumentation und ein fester Termin für den Review. So bleibt das System auch nach dem dritten Feature-Release konform.

Der BfDI begründet auf seiner Fachseite zu Data Protection by Design, warum sich dieser Aufwand rechnet: Datenschutz früh in die Gesamtkonzeption einzubeziehen ist kosteneffizienter, als Probleme nachträglich mit Korrekturprogrammen zu beheben. In agilen Projekten heißt das, Datenschutz nicht als Abnahmehürde am Ende zu behandeln, sondern in jedem Sprint als Teil der Definition of Done mitzuprüfen.

Auch bei strategischen Ereignissen zahlt sich ein sauber dokumentiertes System aus. Wer etwa einen Betrieb übergibt, muss Käufern und Prüfern zeigen können, wie Kunden- und Mitarbeiterdaten verarbeitet werden. Was die DSGVO in dieser Situation verlangt, beschreibt ein Beitrag zum Datenschutz beim Unternehmensverkauf ausführlich.

Abstrakte Prinzipien werden greifbar, sobald man sie auf konkrete Situationen legt. Fünf Beispiele, wie sie uns in Projekten mit Unternehmen und öffentlichen Einrichtungen begegnen:

• Kontoerstellung und Onboarding: Der BfDI verlangt in seinem Prüfkatalog für Messengerdienste, dass bei der Kontoerstellung die datenschutzfreundlichsten Einstellungen vorkonfiguriert sind, etwa eine deaktivierte Datennutzung für KI-Training. Dasselbe Muster passt auf jedes Kundenportal.
• Kontakt- und Anfrageformulare: Pflicht sind nur die Felder, die für die Antwort nötig sind. Telefonnummer, Firmengröße oder Newsletter bleiben optional und ohne vorausgefülltes Häkchen.
• HR-Auswertungen: Bei KI-gestützten Berichten aus Mitarbeitergesprächen oder Befragungen werden Namen vor der Analyse pseudonymisiert, Rohdaten nach festen Fristen gelöscht und Ergebnisse nur für die berechtigte Führungsebene sichtbar.
• Interaktive Karten für Kommunen: Eine Klimakarte, in die Bürgerinnen und Bürger Hinweise eintragen, braucht in der Regel keinen Klarnamen. Standorte lassen sich auf Rasterzellen vergröbern, Kommentare vor Veröffentlichung prüfen.
• Interne Wissenssuche: Ein Knowledge-Management-System mit Vector-Suche übernimmt die Berechtigungen der Quellsysteme. Wer ein Dokument im Original nicht öffnen darf, bekommt es auch in der Suchantwort nicht zu sehen.

Allen Beispielen gemeinsam ist: Der Schutz entsteht durch Architekturentscheidungen, nicht durch Hinweistexte.

Bei KI werden die Fragen von Art. 25 besonders konkret, weil Modelle Daten nicht nur speichern, sondern verarbeiten, zusammenführen und unter Umständen für Training nutzen. Drei Punkte gehören deshalb in jede KI-Konzeption:

Rechtsgrundlage und Dokumentation früh klären. Das Bayerische Landesamt für Datenschutzaufsicht weist in seinem Flyer „KI Next Level“ darauf hin, dass beim Training von Modellen und bei der Nutzung von KI über eine Weboberfläche frühzeitig die Rechtsgrundlage nach Art. 6 oder 9 DSGVO zu prüfen und die Verarbeitung im Verarbeitungsverzeichnis zu dokumentieren ist. Für KI-Systeme mit hohem Risiko, etwa mit Gesundheits- oder Personaldaten, ist eine DSFA verpflichtend.

Eingaben schützen. Der Bitkom-Praxisleitfaden KI & Datenschutz nennt als Maßnahmen bereits in der Konzeption, die Nutzung von Eingaben für das Training auszuschließen und keine Eingabe-Historie über die Sitzung hinaus zu speichern. Das ist Privacy by Default in Reinform.

Schutzziele für KI mitdenken. Die Orientierungshilfe der Datenschutzkonferenz zu KI nennt unter anderem Transparenz, Verlässlichkeit und Fairness als Schutzziele. Technisch übersetzt heißt das: Quellenangaben in Antworten eines RAG-Systems, nachvollziehbare Protokolle und Tests, ob ein Modell bestimmte Gruppen systematisch anders behandelt.

Wenn du in einem dieser Punkte unsicher bist, ob eine DSFA nötig ist oder welche Rechtsgrundlage greift, ziehe deine oder euren Datenschutzbeauftragten hinzu, bevor echte Personaldaten oder Gesundheitsdaten in ein System fließen.

Wir erleben oft, dass Datenschutz in Projekten als Bremse wahrgenommen wird: als Formular, das am Ende jemand abzeichnen muss. Unsere Erfahrung ist eine andere. Wenn wir Datenschutz in der ersten Konzeptrunde auf den Tisch legen, werden Systeme meistens einfacher, nicht komplizierter, weil wir Datenfelder, Schnittstellen und Speicherorte weglassen, die niemand wirklich braucht.

Genau deshalb arbeiten wir mit schnell greifbaren Prototypen. An einem klickbaren Entwurf sieht eine Fachabteilung sofort, welche Daten eine Automation berührt, und der oder die Datenschutzbeauftragte kann mitreden, bevor teurer Production-Code entsteht. Transparente Konzeption und dokumentierter, nachvollziehbarer Code sind für uns die praktische Seite der Rechenschaftspflicht: Was gut dokumentiert gebaut ist, lässt sich auch gut nachweisen.

Bei KI gilt das doppelt. Ein KI-Layer, der sich an bestehende Prozesse und Berechtigungen anpasst, statt alle Daten in ein fremdes Tool zu kippen, ist für uns die Grundlage jeder DSGVO-konformen Umsetzung. Wir binden unsere Lösungen bewusst nicht an ein bestimmtes System, damit du Speicherort, Modell und Datenfluss passend zu deinen Anforderungen wählen kannst. Privacy by Design ist für uns deshalb kein Compliance-Thema am Rand, sondern gutes Software-Handwerk.

Yannick

Du willst eine Automation, einen Workflow mit KI-Agents oder eine interne Wissenssuche aufsetzen und Datenschutz von der ersten Skizze an richtig einplanen? Mit unserem kostenlosen KI-Check siehst du in rund zehn Minuten, wo in deinen Prozessen Potenzial liegt. Im ebenfalls kostenlosen KI-Kickoff-Workshop klären wir gemeinsam, welche Daten dabei berührt werden und wie eine datenschutzfreundliche Architektur aussehen kann.

Wie wir KI auf deutschen Servern betreiben, beschreiben wir auf unserer Seite zu DSGVO-konformer KI. Wie wir selbst KI in unserer Arbeit einsetzen, legen wir in unserer KI-Transparenz offen.

Was bedeutet Datenschutz durch Technikgestaltung?

Datenschutz durch Technikgestaltung ist der deutsche Begriff der DSGVO für Privacy by Design. Er verpflichtet Verantwortliche, schon bei der Planung einer Datenverarbeitung technische und organisatorische Maßnahmen zu treffen, damit Grundsätze wie Datenminimierung wirksam umgesetzt werden. Die Pflicht gilt während des gesamten Betriebs, nicht nur zum Start.

Was besagt der Grundsatz Privacy by Default?

Privacy by Default bedeutet, dass ein System im Auslieferungszustand nur die personenbezogenen Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind. Das betrifft Datenmenge, Umfang der Verarbeitung, Speicherdauer und Zugänglichkeit. Wer mehr teilen möchte, muss sich aktiv dafür entscheiden.

Gilt Art. 25 DSGVO auch für kleine Unternehmen?

Ja, die Pflicht trifft jeden Verantwortlichen, der personenbezogene Daten verarbeitet, unabhängig von der Unternehmensgröße. Der Umfang der Maßnahmen richtet sich aber nach Risiko, Stand der Technik und Kosten. Ein kleines Unternehmen mit einfachem Kundenportal braucht also kein Konzept im Umfang eines Konzerns, wohl aber durchdachte Voreinstellungen und eine Dokumentation.

Muss ich bestehende Systeme nachrüsten?

Ja. Nach den Leitlinien des Europäischen Datenschutzausschusses gilt Art. 25 auch für Altsysteme, und die Wirksamkeit der Maßnahmen ist regelmäßig zu überprüfen. Ein guter Einstieg ist eine Bestandsaufnahme der Datenflüsse, aus der sich Prioritäten für Nachbesserungen ableiten lassen.

Wie hängen Privacy by Design und KI zusammen?

Bei KI-Anwendungen gehören Rechtsgrundlage, Trainingsnutzung von Eingaben, Speicherdauer und eine mögliche Datenschutz-Folgenabschätzung von Beginn an in die Konzeption. Besonders bei Personal- oder Gesundheitsdaten ist eine DSFA in der Regel Pflicht. Technisch helfen Pseudonymisierung, Berechtigungskonzepte und der Ausschluss von Trainingsnutzung als Standardeinstellung.

• EDPS: Vorläufige Stellungnahme zum Schutz der Privatsphäre durch Technikgestaltung (2018)
• Ann Cavoukian: Privacy by Design, The 7 Foundational Principles
• EDSA: Leitlinien 4/2019 zu Artikel 25 (Version 2.0, 2020)
• BfDI: Info 6, Die DSGVO in der Bundesverwaltung
• DSK: Pressemitteilung zur digitalen Fitness der DSGVO (März 2026)
• Bußgeld gegen einen Onlineshop wegen veralteter Software
• Servicestandard: Datenschutz in der technischen Gestaltung umsetzen
• BfDI: Data Protection by Design
• BfDI: Standardized Messenger Audit, Front End
• BayLDA: KI Next Level
• Bitkom: Praxisleitfaden KI & Datenschutz
• DSK: Orientierungshilfe KI und Datenschutz (2024)

• DSGVO-konforme KI · Deutsche Serverräume
• Datenschutz
• KI-Transparenz