{
    "slug": "privacy-by-design",
    "titre": "DSGVO Art. 25 – Privacy by Design und Privacy by Default",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Art. 25 DSGVO verpflichtet den Verantwortlichen, Datenschutz von Anfang an in Technik und Voreinstellungen zu verankern. Nach Art. 25 Abs. 1 (Datenschutz…",
    "resume_court": "Art. 25 DSGVO verpflichtet den Verantwortlichen, Datenschutz von Anfang an in Technik und Voreinstellungen zu verankern. Nach **Art. 25 Abs. 1** (Datenschutz durch Technikgestaltung / „Privacy by Design“) sind bereits zum Zeitpunkt der Festlegung der Verarbeitungsmittel und während der Verarbeitung geeignete technische und organisatorische Maßnahmen – etwa Pseudonymisierung – zu treffen, um die Datenschutzgrundsätze wie Datenminimierung wirksam umzusetzen. Nach **Art. 25 Abs. 2** (datenschutzfreundliche Voreinstellungen / „Privacy by Default“) muss durch Voreinstellung sichergestellt sein, dass grundsätzlich nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten verarbeitet werden. **Art. 25 Abs. 3** sieht vor, dass eine genehmigte Zertifizierung nach Art. 42 als Faktor zum Nachweis der Einhaltung dienen kann. Verstöße fallen nach Art. 83 Abs. 4 lit. a DSGVO in den Bußgeldrahmen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.",
    "faits": [
        {
            "point": "Rechtsgrundlage",
            "valeur": "Verordnung (EU) 2016/679, Art. 25 [DSGVO, EUR-Lex]",
            "autorite": "A"
        },
        {
            "point": "Adressat",
            "valeur": "Verantwortlicher i. S. v. Art. 4 Nr. 7 [Art. 25 Abs. 1]",
            "autorite": "A"
        },
        {
            "point": "Privacy by Design (Abs. 1)",
            "valeur": "geeignete techn. u. organ. Maßnahmen (z. B. Pseudonymisierung) zur wirksamen Umsetzung der Grundsätze [Art. 25 Abs. 1]",
            "autorite": "A"
        },
        {
            "point": "Zeitpunkt der Umsetzung",
            "valeur": "zum Zeitpunkt der Festlegung der Mittel und zum Zeitpunkt der Verarbeitung [Art. 25 Abs. 1]",
            "autorite": "A"
        },
        {
            "point": "Abwägungskriterien",
            "valeur": "Stand der Technik, Implementierungskosten, Art/Umfang/Umstände/Zwecke der Verarbeitung, Eintrittswahrscheinlichkeit und Schwere der Risiken [Art. 25 Abs. 1]",
            "autorite": "A"
        },
        {
            "point": "Privacy by Default (Abs. 2)",
            "valeur": "durch Voreinstellung nur die für den jeweiligen Zweck erforderlichen Daten verarbeiten [Art. 25 Abs. 2]",
            "autorite": "A"
        },
        {
            "point": "Geltung der Voreinstellung",
            "valeur": "Menge der erhobenen Daten, Umfang der Verarbeitung, Speicherfrist, Zugänglichkeit [Art. 25 Abs. 2 S. 1]",
            "autorite": "A"
        },
        {
            "point": "Default-Schranke",
            "valeur": "personenbezogene Daten dürfen nicht ohne Eingreifen der Person einer unbestimmten Zahl natürlicher Personen zugänglich gemacht werden [Art. 25 Abs. 2 S. 3]",
            "autorite": "A"
        },
        {
            "point": "Nachweis (Abs. 3)",
            "valeur": "Zertifizierung nach Art. 42 als Faktor zum Nachweis [Art. 25 Abs. 3]",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß",
            "valeur": "bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes [Art. 83 Abs. 4 lit. a DSGVO]",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, Art. 25 (Volltext, EUR-Lex)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Data Protection by Design (Datenschutz durch Technikgestaltung)",
            "url": "https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Technik/DPbD.html",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Technische Anwendungen: Stand der Technik",
            "url": "https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Technik/SdT.html",
            "autorite": "A"
        },
        {
            "titre": "Europäischer Datenschutzausschuss (EDPB) – Leitlinien 4/2019 zu Art. 25 „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“ (Version 2.0, PDF)",
            "url": "https://www.edpb.europa.eu/system/files/2021-04/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_de.pdf",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 25 – Privacy by Design und Privacy by Default?",
            "reponse": "Art. 25 DSGVO verpflichtet den Verantwortlichen, Datenschutz von Anfang an in Technik und Voreinstellungen zu verankern. Nach Art. 25 Abs. 1 (Datenschutz durch Technikgestaltung / „Privacy by Design“) sind bereits zum Zeitpunkt der Festlegung der Verarbeitungsmittel und während der Verarbeitung geeignete technische und organisatorische Maßnahmen – etwa Pseudonymisierung – zu treffen, um die Datenschutzgrundsätze wie…"
        },
        {
            "question": "Für wen gilt DSGVO Art. 25?",
            "reponse": "Art. 25 richtet sich an den Verantwortlichen (Art. 4 Nr. 7), der über Zwecke und Mittel der Verarbeitung entscheidet. Die Pflicht greift in jeder Verarbeitung im Anwendungsbereich der DSGVO (Art. 2, Art. 3), unabhängig von Größe oder Branche. Anders als reine Sicherheitsmaßnahmen nach Art. 32 zielt Art. 25 auf die gesamten Datenschutzgrundsätze des Art."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 25?",
            "reponse": "„Privacy by Design = IT-Sicherheit“: Art. 25 zielt auf die gesamten Datenschutzgrundsätze (insbesondere Datenminimierung), nicht nur auf die Sicherheit der Verarbeitung – diese regelt eigenständig Art. 32. „Opt-out genügt“: Nicht erforderliche Funktionen dürfen nach Privacy by Default nicht standardmäßig aktiviert sein; erforderlich ist eine bewusste Aktivierung durch die Person (Opt-in)."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für DSGVO Art. 25 aus?",
            "reponse": "Ein Unternehmen entwickelt ein Online-Formular für einen Newsletter. Privacy by Design (Abs. 1): Es werden nur die E-Mail-Adresse abgefragt und Server in der EU mit verschlüsselter Übertragung genutzt; eine spätere Klarnamen- oder Telefonabfrage unterbleibt mangels Erforderlichkeit. Privacy by Default (Abs."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q7246028"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-09-04",
    "derniere_verification": "2026-09-04",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/privacy-by-design"
}