Datenschutz durch Technikgestaltung
Definition
Die DSGVO verpflichtet Verantwortliche, schon bei der Festlegung der Verarbeitungsmittel und während der Verarbeitung geeignete technische und organisatorische Datenschutzmaßnahmen zu treffen.
Datenschutz durch Technikgestaltung bedeutet, Datenschutz bereits bei Planung und Umsetzung einer Verarbeitung einzubauen. Geeignete technische und organisatorische Maßnahmen sollen etwa die Datenmenge begrenzen und personenbezogene Daten schützen. Datenschutzfreundliche Voreinstellungen sorgen dafür, dass nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden.
Einfach erklärt
Wie Brandschutz im Bauplan: Er wird eingeplant, bevor die Wände stehen.
Warum das im Alltag wichtig ist
Datenschutz muss bei Websites, Formularen und KI-Anwendungen mit personenbezogenen Daten früh eingeplant werden. Art. 25 DSGVO verlangt dafür technische und organisatorische Maßnahmen; Verstöße können erhebliche Bußgelder auslösen.
Beispiel aus dem Mittelstand
Mögliches Beispiel (hypothetisch): Eine Agentur plant ein Kontaktformular so, dass nur Pflichtfelder abgefragt und Anfragen nach Abschluss automatisch gelöscht werden.
Grenzen und Fallstricke
- Datenschutz erst vor dem Start zu prüfen, genügt nicht. Datenhungrige Voreinstellungen, fehlende Löschkonzepte und bloße Datenschutzerklärungen ersetzen keine wirksamen Maßnahmen; deren Überprüfung bleibt auch im laufenden Betrieb nötig.
Entstehung & Geschichte
Artikel 25 der DSGVO von 2016 verankert Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Erwägungsgrund 78 nennt etwa Datenminimierung, Pseudonymisierung und Transparenz. Der Europäische Datenschutzausschuss veröffentlichte Leitlinien 2019 zur Konsultation und verabschiedete die überarbeitete Fassung 2020.
Anwendung im Mittelstand
- Mögliche Anwendungen: Planung von Formularen und Kundenportalen, Auswahl von KI-Werkzeugen, Konfiguration von Analyse-Tools, Lösch- und Rollenkonzepte.
Häufige Fragen
Was verlangt Artikel 25 DSGVO?
Geeignete technische und organisatorische Maßnahmen sowie datenschutzfreundliche Voreinstellungen. Zertifizierungen können zum Nachweis beitragen.
Reicht eine Datenschutzerklärung?
Nein. Nur erforderliche Daten sollen verarbeitet werden; Informationen müssen auch im passenden Zusammenhang erscheinen.
Gilt die Pflicht direkt für Softwarehersteller?
Artikel 25 richtet sich an Verantwortliche. Hersteller und Auftragsverarbeiter unterstützen die Umsetzung; Verantwortliche müssen geeignete Anbieter wählen.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 25, Art. 83 Abs. 4 und Erwägungsgrund 78 · Europäisches Parlament und Rat (2016): Verordnung (EU) 2016/679 (DSGVO), Art. 25, Art. 83 Abs. 4 und Erwägungsgrund 78
- Guidelines 4/2019 on Article 25 Data Protection by Design and by Default (Version 2.0) · EDPB (2020): Guidelines 4/2019 on Article 25 Data Protection by Design and by Default (Version 2.0)
Quellen geprüft am 14.10.2026. Redaktionelle Anwendungsbeispiele sind hypothetisch; kein Nachweis realer Kundenergebnisse.
Redaktionell geprüft am: