Privacy by Default

Definition: Privacy by Default (deutsch: Datenschutz durch datenschutzfreundliche Voreinstellungen) ist ein in Art. 25 Abs. 2 der Datenschutz-Grundverordnung (DSGVO) verankertes Prinzip, das verlangt, dass der Verantwortliche geeignete technische und organisatorische Maßnahmen trifft, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Dies gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Insbesondere dürfen solche Voreinstellungen nicht dazu führen, dass personenbezogene Daten einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden. Das Prinzip bedeutet konkret: Ein Nutzer muss nicht aktiv tätig werden, um ein datenschutzkonformes Schutzniveau zu erreichen — dieses Schutzniveau ist von vornherein der Standard. Nur wenn ein Nutzer aktiv und informiert einer weitergehenden Datenverarbeitung zustimmt, darf diese stattfinden. Privacy by Default ist damit ein strukturelles Schutzgebot, das Verantwortliche zwingt, ihre Systeme und Prozesse von Grund auf datenschutzorientiert zu gestalten.

Erläuterung

Privacy by Default ist eng mit dem Schwesterprinzip Privacy by Design verbunden, unterscheidet sich davon jedoch in einem wesentlichen Punkt: Während Privacy by Design den Datenschutz als Grundsatz in die Architektur von Systemen einbettet, bezieht sich Privacy by Default konkret auf die Konfiguration und Voreinstellung eines fertigen Systems zum Zeitpunkt der Inbetriebnahme und der tatsächlichen Nutzung.

Im Online-Marketing hat Privacy by Default weitreichende praktische Konsequenzen. Das prominenteste Anwendungsfeld ist die Gestaltung von Cookie-Bannern und Consent-Management-Plattformen. Eine datenschutzfreundliche Voreinstellung bedeutet hier: Alle nicht technisch notwendigen Cookies und Tracking-Technologien sind standardmäßig deaktiviert. Nutzende müssen aktiv zustimmen, bevor Analyse-, Marketing- oder Personalisierungs-Cookies gesetzt werden. Vorausgefüllte Häkchen, dunkel gefärbte Ablehnungsschaltflächen oder Formulierungen, die das Ablehnen erschweren (sogenannte Dark Patterns), verstoßen gegen das Privacy-by-Default-Gebot und wurden von mehreren europäischen Datenschutzbehörden mit erheblichen Bußgeldern geahndet.

Darüber hinaus betrifft Privacy by Default auch die Datenmenge und die Zugriffsberechtigungen innerhalb von Systemen. Eine App, die standardmäßig auf alle Gerätekontakte, die Kamera und den Standort zugreift, obwohl dies für die Kernfunktion nicht erforderlich ist, verletzt das Prinzip ebenso wie ein CRM-System, das neuen Nutzerinnen und Nutzern standardmäßig weitreichende Leserechte auf alle Kundendaten einräumt. Das Prinzip der Datensparsamkeit (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO) und das Prinzip der Zweckbindung sind dabei eng mit Privacy by Default verknüpft.

Die Datenschutzkonferenz der deutschen Aufsichtsbehörden (DSK) sowie der Europäische Datenschutzausschuss (EDSA) haben in mehreren Orientierungshilfen klargestellt, dass Privacy by Default nicht als bloße Formalie zu verstehen ist, sondern ein echtes strukturelles Schutzgebot darstellt, dessen Einhaltung aktiv nachgewiesen werden muss.

Anforderungen an Privacy-by-Default-Systeme

• Datenminimierende Voreinstellungen: Systeme dürfen standardmäßig nur die Datenmenge erheben und verarbeiten, die für den jeweiligen Zweck tatsächlich erforderlich ist — nicht was technisch möglich wäre.
• Deaktivierte nicht essentielle Funktionen: Optionale Funktionen, die mit einer weitergehenden Datenverarbeitung verbunden sind (z. B. personalisierte Werbung, verhaltensbasierte Analytics), müssen standardmäßig ausgeschaltet sein.
• Keine Dark Patterns: Die Benutzeroberfläche darf keine Gestaltungsmittel einsetzen, die Nutzer unbewusst in die Zustimmung zu einer weitergehenden Datenverarbeitung lenken, etwa durch irreführende Formulierungen oder asymmetrische Schaltflächengestaltung.
• Beschränkte Zugriffsberechtigungen: Intern müssen Zugriffsrechte auf personenbezogene Daten auf das notwendige Minimum beschränkt sein (Need-to-know-Prinzip).
• Begrenzte Speicherdauer als Standard: Standardmäßig sollten kürzere Speicherfristen gelten; verlängerte Speicherung sollte aktiv konfiguriert und begründet werden.

Privacy by Default vs. Privacy by Design

• Privacy by Design: Datenschutz wird bereits in der Planungs- und Entwicklungsphase eines Systems berücksichtigt. Es geht um die Architektur, die Auswahl der Technologien und die Prozessgestaltung.
• Privacy by Default: Datenschutz wird durch die konkrete Konfiguration und die Standardeinstellungen des fertigen Systems gewährleistet. Es geht um den Zustand, den ein Nutzer vorfindet, ohne aktiv einzugreifen.
• Beide in Art. 25 DSGVO: Beide Prinzipien sind in einem einzigen Artikel der DSGVO geregelt und ergänzen sich gegenseitig — Privacy by Design schafft die technische Grundlage, Privacy by Default stellt die datenschutzfreundliche Nutzung sicher.
• Rechtsfolgen bei Verstößen: Verstöße gegen Art. 25 DSGVO können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.