Art. 25 DSGVO verlangt, dass Datenschutz von Anfang an in Systeme und Prozesse eingebaut wird (by Design) und die Voreinstellungen datensparsam sind (by Default).
Privacy by Design (Art. 25 Abs. 1)
Bereits bei der Planung neuer Verarbeitungsvorgänge, Systeme oder Produkte müssen geeignete technische und organisatorische Maßnahmen getroffen werden. Beispiele: Pseudonymisierung in Datenbanken, Datenminimierung in Formularen, Verschlüsselung als Standard, Löschkonzepte von Anfang an.
Privacy by Default (Art. 25 Abs. 2)
Standardeinstellungen müssen so gestaltet sein, dass nur die für den jeweiligen Zweck erforderlichen Daten verarbeitet werden. Daten dürfen durch Voreinstellung nicht einer unbestimmten Zahl von Personen zugänglich gemacht werden. Beispiel: Social-Media-Profile müssen standardmäßig auf "privat" stehen, nicht auf "öffentlich".
Zeitpunkt
Diese Pflichten gelten zum Zeitpunkt der Festlegung der Verarbeitungsmittel und zum Zeitpunkt der Verarbeitung selbst. Sie müssen also schon in der Beschaffungsphase und bei der Softwareentwicklung beachtet werden.
Bei neuen Systemen mit hohem Risiko gehört die Datenschutz-Folgenabschätzung zur Planung dazu.