Art. 25 DSGVO verlangt Privacy by Design (Datenschutz von Beginn an einbauen) und Privacy by Default (datenschutzfreundlichste Einstellung als Standard). Konkret: minimale Datenerhebung, Opt-In statt Opt-Out, Verschlüsselung als Basis.
Artikel 25 der DSGVO trägt den sperrigen Titel "Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen". Dahinter stecken zwei Prinzipien, die in der Praxis häufig missverstanden oder ignoriert werden: Privacy by Design und Privacy by Default. Beide sind keine Empfehlung — sie sind Pflicht.
Privacy by Design bedeutet, dass technische und organisatorische Datenschutzmaßnahmen bereits während der Konzeption und Entwicklung eines Systems eingebaut werden müssen — nicht nach dem Launch, wenn Nutzer schon registriert sind und Daten bereits fließen. Das klingt selbstverständlich, ist es aber nicht. In der Realität wird Datenschutz in vielen Projekten als nachgelagerte Aufgabe behandelt: erst bauen, dann anpassen. Das Ergebnis sind teure Rückbauprojekte, Sicherheitslücken und Bußgelder.
Privacy by Default ergänzt das Prinzip: Die voreingestellten Konfigurationen eines Systems müssen die datenschutzfreundlichste Option darstellen. Tracking ist nicht standardmäßig aktiv. Newsletter-Abonnements sind nicht vorangekreuzt. Öffentliche Profilsichtbarkeit ist nicht der Standard. Nutzer sollen aktiv entscheiden, nicht aktiv ablehnen müssen.
INREMA entwickelt keine Webseite ohne eingebetteten Datenschutz. Privacy by Design ist nicht optional — es ist Teil jedes Projekts von Anfang an.
- Datensparsamkeit: Nur Daten erheben, die tatsächlich für den Zweck notwendig sind — kein Sammeln "auf Vorrat".
- Opt-In statt Opt-Out: Tracking, Newsletter und optionale Features erfordern aktive Zustimmung, keine vorausgefüllten Checkboxen.
- Verschlüsselung als Standard: HTTPS ist Pflicht, sensitive Daten in Datenbanken werden verschlüsselt gespeichert.
- Zugriffsbeschränkungen: Jeder Prozess und jede Person erhält nur die Rechte, die für die jeweilige Aufgabe nötig sind (Least Privilege).
- Pseudonymisierung: Wo immer möglich werden direkte Identifikatoren durch pseudonyme Kennzeichen ersetzt.
- Löschkonzept: Daten werden nach Ablauf des Verwendungszwecks automatisch oder strukturiert gelöscht — kein ewiges Datenarchiv.
- Cookie-Consent korrekt implementiert: Keine Cookies mit Tracking-Funktion vor aktiver Zustimmung setzen.
- Logging minimal halten: Server-Logs enthalten keine personenbezogenen Daten über den operativen Bedarf hinaus.
In der Webentwicklung zeigt sich Privacy by Design an konkreten technischen Entscheidungen. Ein Kontaktformular, das Namen, E-Mail, Telefon, Unternehmensname und Nachricht abfragt, obwohl für die Bearbeitung nur E-Mail und Nachricht nötig sind, verstößt gegen das Datensparsamkeitsprinzip. Eine Registrierungsseite, die optional um ein Geburtsdatum bittet und das Feld trotzdem als Pflichtfeld markiert, verletzt Art. 25 DSGVO.
Besonders kritisch: Cookie-Consent-Lösungen, die technisch korrekt aussehen, aber strukturell so gestaltet sind, dass Ablehnen mehr Klicks erfordert als Akzeptieren. Das ist kein Design-Zufall — es ist ein Dark Pattern. Aufsichtsbehörden in Deutschland und Europa sind seit 2022 konsequent dabei, solche Muster zu ahnden. Der "Ablehnen"-Button muss genauso zugänglich sein wie "Akzeptieren".
Für CMS-basierte Projekte (WordPress, TYPO3, Shopware) gilt: Die Standardinstallation ist fast nie DSGVO-konform. Plugins laden externe Schriften von Google, binden Analytics ohne Consent ein und speichern Kommentar-IPs ohne Notwendigkeit. Privacy by Design bedeutet hier, dass diese Einstellungen nicht als nachträgliches Audit-Thema behandelt werden, sondern als Teil des Setups bei der Installation.
-
Schritt 1: Datenfluss vor dem Code festlegen
Bevor die erste Zeile Code geschrieben wird, muss klar sein: Welche Daten werden wo erhoben, wie lange gespeichert, mit wem geteilt und wann gelöscht? Dieses Datenfluss-Dokument ist die Grundlage für jede datenschutzkonforme Implementierung — und Teil der Dokumentationspflicht nach Art. 5 DSGVO.
-
Schritt 2: Formulare auf das Minimum reduzieren
Jedes Pflichtfeld in einem Formular muss begründbar sein. Telefonnummer als Pflichtfeld beim Kontaktformular? Nur wenn Sie tatsächlich zurückrufen müssen. Geburtsdatum bei der Newsletter-Anmeldung? Nur wenn personalisierte Angebote nach Altersgruppen versandt werden. Alles andere ist überflüssige Datenerhebung — und angreifbar.
-
Schritt 3: Consent-Management korrekt implementieren
Cookie-Banner sind kein Selbstzweck. Technisch notwendige Cookies dürfen ohne Consent gesetzt werden — alle anderen (Analytics, Marketing, Personalisierung) erst nach aktiver Zustimmung. Die Consent-Lösung muss nachweisbar protokollieren, wer wann was zugestimmt hat. Fertig-Plugins wie Borlabs Cookie oder Complianz erfüllen das — wenn richtig konfiguriert.
-
Schritt 4: Google Fonts und externe Ressourcen lokal hosten
Google Fonts, Font Awesome über CDN, externe jQuery-Bibliotheken — jede externe Ressource sendet die IP-Adresse des Besuchers an einen Drittanbieter. Das erfordert entweder Consent oder Verzicht. Die einfachste Lösung: alle Schriften und Bibliotheken lokal einbinden. INREMA setzt das bei jedem Projekt als Standard um.
-
Schritt 5: Dokumentation und Verarbeitungsverzeichnis
Art. 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten. Für jedes neue Feature, das personenbezogene Daten verarbeitet, muss dieses Verzeichnis aktualisiert werden. Datenschutz by Design bedeutet auch: Dokumentation by Design — von Beginn an, nicht als Nacharbeit.
Privacy by Default ist in der Praxis oft eine Frage der Haltung, nicht nur der Technik. Wenn das Entwicklungsteam die Frage "Welche Daten brauchen wir?" stellt, statt "Welche Daten können wir erheben?", verändert das die gesamte Architektur eines Systems. Datensparsamkeit ist kein Hindernis für gute Produkte — sie ist ein Qualitätsmerkmal.
Für Unternehmen, die ihre Website neu entwickeln oder bestehende Systeme prüfen lassen wollen, ist ein Datenschutz-Audit der sinnvolle erste Schritt. Dabei wird nicht nur die Technik geprüft, sondern auch die Prozesse dahinter: Wie werden Anfragen behandelt? Wer hat Zugriff auf welche Daten? Wie wird mit Auskunftsersuchen von Nutzern umgegangen?
INREMA entwickelt Webprojekte ausschließlich mit Privacy by Design als Basisstandard. Das betrifft Hosting-Entscheidungen (europäische Server), Schriftarten (lokal), Formulare (Datensparsamkeit), Tracking (nur mit Consent) und Logging (minimal). Das ist kein Mehraufwand — es ist die richtige Art zu bauen.
- Art. 25 DSGVO verlangt Privacy by Design und Privacy by Default — beide Prinzipien sind Pflicht, keine Empfehlung.
- Konkret: minimale Datenerhebung, Opt-In für Tracking, Verschlüsselung als Standard, Google Fonts lokal hosten.
- Datenschutz nachzurüsten ist teurer als ihn einzubauen — und bei einem Audit oder Bußgeldverfahren kein Argument.
Wir prüfen Ihre Website oder Ihr Webprojekt auf Privacy-by-Design-Konformität — strukturiert, pragmatisch und ohne Juristendeutsch.
Datenschutz-Check anfragenHäufige Fragen
Gilt Privacy by Design auch für bestehende Websites?
Was ist der Unterschied zwischen Privacy by Design und Privacy by Default?
Reicht ein Cookie-Banner für die DSGVO-Compliance?
Muss ich Google Fonts wirklich lokal hosten?
War dieser Artikel hilfreich?