{"id":33849,"date":"2026-10-26T14:29:35","date_gmt":"2026-10-26T13:29:35","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/privacy-by-design\/"},"modified":"2026-10-26T14:39:15","modified_gmt":"2026-10-26T13:39:15","slug":"privacy-by-design","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/datenschutz-datensicherheit\/privacy-by-design\/","title":{"rendered":"Privacy by Design"},"content":{"rendered":"

Was ist Privacy by Design?<\/h2>\n

Der BfDI unterscheidet Privacy by Design von Data Protection by Design: Privacy by Design meint vor allem den Schutz der Privatsph\u00e4re und zielt damit vor allem darauf, dass bestimmte Datenverarbeitungen \u00fcberhaupt nicht stattfinden. Data Protection by Design, auf Deutsch Datenschutz durch Technikgestaltung, umfasst dagegen auch solche Datenverarbeitungen, die tats\u00e4chlich stattfinden und legitim sind. Die Pflicht ergibt sich nicht aus dem Begriff Privacy by Design, sondern aus Art. 25 DSGVO, der Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen regelt.<\/p>\n

Als Beispiel f\u00fcr Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung): Plant ein Versicherer ein neues Kundenportal, trifft er unter Ber\u00fccksichtigung des Stands der Technik und der Risiken schon bei der Festlegung der Mittel f\u00fcr die Verarbeitung Ma\u00dfnahmen, die daf\u00fcr ausgelegt sind, die Datenschutzgrunds\u00e4tze wie etwa Datenminimierung wirksam umzusetzen. Zweck dieser Ma\u00dfnahmen ist es, den Anforderungen der Verordnung zu gen\u00fcgen und die Rechte der betroffenen Personen zu sch\u00fctzen. Zu den Faktoren nennt Art. 25 Abs. 1 DSGVO neben dem Stand der Technik<\/strong> auch die Implementierungskosten sowie Art, Umfang, Umst\u00e4nde und Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen.<\/p>\n

Privacy by Design und Art. 25 DSGVO: Wie funktioniert Datenschutz durch Technikgestaltung?<\/h2>\n

Die konkrete rechtliche Umsetzung datenschutzgerechter Technikgestaltung regelt Art. 25 Abs. 1 DSGVO unter der Bezeichnung \u201eDatenschutz durch Technikgestaltung\u201c (Data Protection by Design): Danach trifft der Verantwortliche unter Ber\u00fccksichtigung des Stands der Technik und weiterer in Art. 25 Abs. 1 genannter Umst\u00e4nde geeignete Ma\u00dfnahmen zu zwei Zeitpunkten: bei der Festlegung der Mittel f\u00fcr die Verarbeitung und bei der eigentlichen Verarbeitung. Zu den Mitteln z\u00e4hlen nach den EDPB-Leitlinien allgemeine bis detaillierte Gestaltungselemente, etwa Architektur, Verfahren und Protokolle<\/strong>, Layout und Erscheinungsbild. Die Ma\u00dfnahmen sind daf\u00fcr ausgelegt, die Datenschutzgrunds\u00e4tze wie etwa Datenminimierung<\/strong> wirksam umzusetzen. Datenminimierung ist nach Art. 5 Abs. 1 Buchst. c DSGVO ein Grundsatz, nach dem personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das f\u00fcr die Zwecke der Verarbeitung notwendige Ma\u00df beschr\u00e4nkt sein m\u00fcssen.<\/p>\n

Nach den EDPB-Leitlinien ist die Wirksamkeit der Kern des Konzepts<\/strong> des Datenschutzes durch Technikgestaltung. Nach den Leitlinien erstreckt sich die Verpflichtung zur Wartung, \u00dcberpr\u00fcfung und bei Bedarf Aktualisierung des Verarbeitungsvorgangs auch auf bereits bestehende Systeme. Der Kostenaspekt verpflichtet den Verantwortlichen laut den Leitlinien nicht zu einem unverh\u00e4ltnism\u00e4\u00dfig gro\u00dfen Ressourcenaufwand, wenn alternative, weniger ressourcenintensive, aber dennoch wirksame Ma\u00dfnahmen bestehen.<\/p>\n

Privacy by Design im Vergleich<\/h2>\n\n\n\n\n\n\n\n\n
Kriterium<\/th>\nPrivacy by Design<\/th>\nDatenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO)<\/th>\nDatenschutz durch Technikgestaltung (Data Protection by Design)<\/th>\n<\/tr>\n<\/thead>\n
Norm<\/td>\nBegriff, den der BfDI von Data Protection by Design abgrenzt; die Pflichten regelt Art. 25 DSGVO (Datenschutz durch Technikgestaltung)<\/td>\nArt. 25 Abs. 2 DSGVO (durch Voreinstellung)<\/td>\nArt. 25 Abs. 1 DSGVO<\/td>\n<\/tr>\n
Schwerpunkt<\/td>\nzielt nach dem BfDI vor allem darauf, dass bestimmte Datenverarbeitungen \u00fcberhaupt nicht stattfinden<\/td>\nMa\u00dfnahmen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten verarbeitet werden, deren Verarbeitung f\u00fcr den jeweiligen bestimmten Verarbeitungszweck erforderlich ist<\/td>\numfasst nach dem BfDI auch Datenverarbeitungen, die tats\u00e4chlich stattfinden und legitim sind<\/td>\n<\/tr>\n
Gegenstand<\/td>\nmeint nach dem BfDI vor allem den Schutz der Privatsph\u00e4re<\/td>\ngilt f\u00fcr die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zug\u00e4nglichkeit<\/td>\nMa\u00dfnahmen zum Zeitpunkt der Festlegung der Mittel und der eigentlichen Verarbeitung, unter Ber\u00fccksichtigung des Stands der Technik, der Implementierungskosten, der Risiken und weiterer in Art. 25 Abs. 1 genannter Umst\u00e4nde<\/td>\n<\/tr>\n
Verh\u00e4ltnis<\/td>\nnach dem BfDI nicht gleichbedeutend mit Data Protection by Design<\/td>\nerg\u00e4nzt sich nach den EDPB-Leitlinien mit dem Datenschutz durch Technikgestaltung und verst\u00e4rkt ihn gegenseitig<\/td>\nerg\u00e4nzt sich nach den EDPB-Leitlinien mit den datenschutzfreundlichen Voreinstellungen und verst\u00e4rkt sie gegenseitig<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Privacy by Design in der Praxis: Woran erkenne ich Datenschutz durch Technikgestaltung nach Art. 25 DSGVO?<\/h2>\n\n\n\n\n\n\n\n\n\n
Merkmal<\/th>\nWorauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
Ber\u00fccksichtigte Faktoren<\/td>\nArt. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung) verlangt geeignete technische und organisatorische Ma\u00dfnahmen unter Ber\u00fccksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umst\u00e4nde und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen.<\/td>\n<\/tr>\n
Zwei Zeitpunkte<\/td>\nArt. 25 Abs. 1 DSGVO verlangt Ma\u00dfnahmen zum Zeitpunkt der Festlegung der Mittel f\u00fcr die Verarbeitung und zum Zeitpunkt der eigentlichen Verarbeitung; zu den Mitteln z\u00e4hlen nach den EDPB-Leitlinien etwa Architektur, Verfahren und Protokolle, Layout und Erscheinungsbild.<\/td>\n<\/tr>\n
Ausrichtung auf die Grunds\u00e4tze<\/td>\nDie Ma\u00dfnahmen nach Art. 25 Abs. 1 DSGVO sind daf\u00fcr ausgelegt, die Datenschutzgrunds\u00e4tze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen.<\/td>\n<\/tr>\n
Beispiel Pseudonymisierung<\/td>\nNach den EDPB-Leitlinien zu Art. 25 DSGVO sollten personenbezogene Daten pseudonymisiert werden, sobald keine Notwendigkeit mehr f\u00fcr direkt identifizierbare personenbezogene Daten besteht, und Identifizierungsschl\u00fcssel sollten separat gespeichert werden.<\/td>\n<\/tr>\n
Wirksamkeit<\/td>\nWirksamkeit ist nach den EDPB-Leitlinien der Kern des Konzepts des Datenschutzes durch Technikgestaltung.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Der Verantwortliche trifft nach Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung) unter Ber\u00fccksichtigung des Stands der Technik, der Implementierungskosten, der Risiken und weiterer in Art. 25 Abs. 1 genannter Umst\u00e4nde geeignete technische und organisatorische Ma\u00dfnahmen, sowohl bei der Festlegung der Mittel als auch bei der eigentlichen Verarbeitung.<\/li>\n
  • Nach dem Standard-Datenschutzmodell der Datenschutzkonferenz fordert Art. 25 DSGVO eine sehr fr\u00fchzeitige Befassung mit den datenschutzrechtlichen Vorgaben bereits bei der Planung von Verarbeitungen; technische und organisatorische Ma\u00dfnahmen sollen nicht erst nachtr\u00e4glich festgelegt und umgesetzt werden, um gegebenenfalls nicht rechtskonforme Funktionalit\u00e4ten abzustellen.<\/li>\n
  • Nach dem Standard-Datenschutzmodell schlie\u00dfen die Grunds\u00e4tze des Datenschutzes durch Technikgestaltung das Prinzip der Datenminimierung als Design-Strategie ein.<\/li>\n
  • Ein genehmigtes Zertifizierungsverfahren gem\u00e4\u00df Art. 42 DSGVO kann nach Art. 25 Abs. 3 DSGVO als Faktor herangezogen werden, um die Erf\u00fcllung der Anforderungen nach Art. 25 Abs. 1 und 2 DSGVO nachzuweisen.<\/li>\n<\/ul>\n

    KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,406,405],"class_list":["post-33849","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-dsgvo-datenschutz","glossary_intl_topic-datenschutz-datensicherheit"],"acf":{"card_description":"Privacy by Design meint nach dem BfDI vor allem den Schutz der Privatsph\u00e4re; Artikel 25 DSGVO regelt Datenschutz durch Technikgestaltung.","nav_theme":"Datenschutz & Datensicherheit","nav_subtheme":"DSGVO & Datenschutz","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Privacy by Design ist ein Begriff, der h\u00e4ufig synonym mit Data Protection by Design (Datenschutz durch Technikgestaltung) verwendet wird, nach Darstellung des BfDI aber nicht gleichbedeutend damit ist.","at_a_glance":[{"bullet":"Verpflichtend ist Art. 25 DSGVO (Datenschutz durch Technikgestaltung) und nicht der Begriff selbst; Abs. 1 verlangt unter Ber\u00fccksichtigung des Stands der Technik, der Implementierungskosten und weiterer in Art. 25 Abs. 1 genannter Umst\u00e4nde geeignete Ma\u00dfnahmen bei der Festlegung der Mittel und bei der eigentlichen Verarbeitung."},{"bullet":"Die Ma\u00dfnahmen nach Art. 25 Abs. 1 DSGVO sind daf\u00fcr ausgelegt, Datenschutzgrunds\u00e4tze wie etwa Datenminimierung wirksam umzusetzen."},{"bullet":"Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO) und Datenschutz durch Technikgestaltung erg\u00e4nzen sich nach den EDPB-Leitlinien und verst\u00e4rken sich gegenseitig."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Onlineshop f\u00fcr B\u00fccher macht nur die Felder des Bestellformulars zu Pflichtangaben, die f\u00fcr Kauf und Lieferung notwendig sind; nach den EDPB-Leitlinien zu Art. 25 DSGVO k\u00f6nnen weitere Felder nicht als Pflichtangaben festgelegt werden, sofern der Verantwortliche nicht klar nachweisen kann, dass sie notwendig sind."},{"example":"Nach den EDPB-Leitlinien zu Art. 25 DSGVO (Datenschutz durch Technikgestaltung) pseudonymisiert ein Unternehmen personenbezogene Daten, sobald keine Notwendigkeit mehr f\u00fcr direkt identifizierbare Daten besteht, und bewahrt die Identifizierungsschl\u00fcssel getrennt auf."},{"example":"Nach den EDPB-Leitlinien zu Art. 25 DSGVO beschr\u00e4nkt ein Systemdesign den Zugang zu personenbezogenen Daten so, dass m\u00f6glichst wenige Personen f\u00fcr ihre Aufgaben Zugang haben m\u00fcssen."},{"example":"Als Beispiel f\u00fcr Art. 25 Abs. 1 DSGVO (Datenschutz durch Technikgestaltung) plant ein Versicherer ein neues Kundenportal und legt schon bei der Festlegung der Mittel f\u00fcr die Verarbeitung Ma\u00dfnahmen fest, die darauf ausgelegt sind, Datenminimierung wirksam umzusetzen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33741,33853,33842,33857,33869,33871],"pillar_link":null,"sources":[{"publisher":"","name":"L_2016119DE.01000101.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Leitlinien 4\/2019 zu Artikel 25 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen","url":"https:\/\/www.edpb.europa.eu\/system\/files\/documents\/2021-04\/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_de.pdf","doc_type":"2020","group":"used"},{"publisher":"","name":"BfDI - Technische Anwendungen - Data Protection by Design","url":"https:\/\/www.bfdi.bund.de\/DE\/Fachthemen\/Inhalte\/Technik\/DPbD.html","doc_type":"","group":"used"},{"publisher":"","name":"Das Standard-Datenschutzmodell, Version 3.1","url":"https:\/\/www.datenschutzkonferenz-online.de\/media\/ah\/SDM-Methode-V31.pdf","doc_type":"2024","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-24"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t