Datenschutz personenbezogene Daten- Wie kann man DS finden im Falle eines Einspruchs

Question

Wir haben Probleme mit dem Datenschutz. Das Argument unserer Datenschützerin ist, dass im Falle eines Einspruchs wir beweisen müssen, dass die Person die Einwilligung wirklich angeklickt hat. Das kann nur geschehen,laut Datenschützerin, wenn sie auch ihre Kontaktdaten (Name, Email oder ähnliches) angegeben hat. Bei der Erhebung von personenbezogen Daten müssen wir im Falle eines Einspruchs ja den Datensatz löschen können. Nur so mit diesen Kontaktdaten kann der Datensatz auch gefunden werden. Wir wollen aber eigentlich keinen Namen erheben und auch keine Email adresse. Unsere Daten sind nur personenbezogen wegen der kleinen Fallzahl (n =35) und weil man möglicherweise Rückschlüsse ziehen kann. Find es wiedersinnig daher aus datenschutzgründen noch mehr zu erheben.

Wie sind jetzt unschlüssig, ob wir da wirklich die E-Mail Adresse erheben sollen ?
Wie wird das sonst gehandhabt wenn jemand Einspruch erheben sollte? Wie kann der Datensatz gefunden werden?

Am Ende der Umfrage haben wir jetzt auch keine getrennte Erhebung der Kontaktdaten mehr. Auch da müsste ja wieder eine getrennte Einwilligung auftauchen, oder?

Answer 1

Find es wiedersinnig daher aus datenschutzgründen noch mehr zu erheben.

Tja ... Datenschutzbeauftragte haben auf die Welt oft einen anderen Blick als Forscher. Und dieser dient nicht unbedingt dem Schutz der Daten, sondern der Erfüllung von Rechtsansprüchen.

Versuchen Sie doch bitte folgende Argumentation: Die Daten sind dann personenbezogen, wenn sich anhand der Antworten und der kleinen Zielgruppe ein personenbezug herstellen lässt. Das heißt aber, dass dieser auch ohne Angabe der Kontaktdaten herstellbar ist. Wenn das nicht der Fall ist, dann sind die Daten ja nicht personenbezogen, also die DSGVO nicht anwendbar.

Vielleicht können Sie die Datenschutzbeauftragte damit überzeugen...

Wenn nicht, und wenn Sie ohnehin davon ausgehen müssen, dass Sie mit personenbezogenen Daten arbeiten (Sie denken bitte daran, dass Sie dann entweder auf einem lokalen Hochschul-Server erheben müssen - oder auf dem Pro-Server s2survey.net nach Vereinbarung eines AVV mit SoSci Survey!). Wenn das also der Fall ist, dann entsteht genau genommen auch kein Schaden, wenn Sie die Personen in einer offenen Texteingabe nach dem Namen fragen.

Sie können ja auch explizit dazu schreiben, was Sache ist: "Bei Ihren Angaben kann keine Anonymität garantiert werden, bitte tragen Sie hier Ihren Namen ein, damit wir Ihre Rechte aus der DSGVO erfüllen können."

Wie sind jetzt unschlüssig, ob wir da wirklich die E-Mail Adresse erheben sollen ?

Rechtsberatung kann ich nicht leisten. Dafür wird Ihre Datenschutzbeauftragte bezahlt... und im Idealfall wägt man das Für und Wider gemeinsam mit dieser ab, und sieht die Beratung als Dienstleistung und nicht als Konfliktfall. Denn genau das ist es: Sie müssen sich an die Gesetze halten, und Sie haben jemanden, der/die Ihnen dabei helfen soll.