Teilnahmecodes und personenbezogene Daten

Question

Sehr geehrte Damen und Herren,

gerne möchte ich eine Frage bezüglich Teilnahmecodes und personenbezogener Daten stellen.

Im Rahmen der empirischen Untersuchung meiner Masterarbeit möchte ich eine Onlinebefragung über SoSci Survey und anschließend ein persönliches Gespräch mit den Teilnehmern durchführen.

Da ich die Angaben in den Fragebögen den einzelnen Teilnehmern zuordnen muss, um im persönlichen Gespräch darauf einzugehen, würde ich Teilnahmecodes vergeben. Diese bleiben für Dritte anonym und werden den Teilnehmern persönlich mitgeteilt. Auch alle im Fragebogen (und im späteren Gespräch) gemachten Angaben werden für die Masterarbeit selbstverständlich anonymisiert, sodass keine Dritten Kenntnis darüber erlangen. Sensible Daten (zum Beispiel in medizinischer oder finanzieller Hinsicht) werden nicht abgefragt.

Ich habe gelesen, dass es in der kostenfreien Version nicht erlaubt ist, personenbezogene Daten zu erheben und einzelne Personen den Datensätzen zuordnen zu können, etwa durch Teilnahmecodes. Verstehe ich es richtig, dass diese Zuordnung nur für Dritte nicht ersichtlich werden darf, oder gilt dies auch für mich als Verwalter des Fragebogens?

Ist es mir demnach möglich, Teilnahmecodes zu verwenden und die Angaben den Probanden zuzuordnen, solange keine Dritten die Teilnahmecodes und Datensätze zuordnen können und solange alles anonymisiert wird?

Wichtig in dem Zusammenhang ist zudem, dass die Teilnehmer wissen und damit einverstanden sind, dass ich deren Angaben für die Auswertung zuordnen kann. Falls notwendig, kann ich mir dies im Voraus durch eine Einverständniserklärung bestätigen lassen.

Sehe ich es richtig, dass ich bei Verwendung von Teilnahmecodes nicht befürchten muss, dass SoSci Survey den Fragebogen kontrolliert und im Erhebungszeitraum löscht bzw. ein etwaiges Bußgeld wegen der DSGVO zu erhalten?

Ich bedanke mich im Voraus für Ihre Rückmeldung.

Answer 1

Es geht nicht darum, was wir erlauben - es geht darum, was die DSGVO erlaubt.

Laut DSGVO dürfen Sie personenbezogene Daten (und das haben Sie in Ihrem Fall ziemlich sicher) nur von Dritten verarbeiten lassen (also z.B. via SoSci Survey erheben lassen), wenn Sie über einen AVV die rechtmäßige Verarbeitung sichergestellt haben.

Der Server www.soscisurvey.de ist aber (speziell was die Backup-Aufbwahrung angeht) nicht für die Verarbeitung personenbezogener Daten abseits von Adress- und Kontaktdaten geeignet.

Nehmen wir jetzt mal den Fall, dass ein Befragter von seinem DSGVO-Betroffenenrecht Gebrauch macht, dass er die Löschung seiner Daten fordert. Dem können Sie dann nicht nachkommen, weil die Backups 12 Monate aufbewahrt werden.

Es wäre m.E. also durchaus möglich, dass Sie mit einer solchen Verarbeitung gegen die DSGVO verstoßen. Das heißt, ein empfindliches Bußgeld wäre durchaus denkbar. Und falls wir Kenntnis von einer illegalen Nutzung unserer Dienste erlangen, müssten wir die Verarbeitung natürlich auch unterbinden und ggf. formal einen Datenschutzvorfall melden. Und dann käme zum Bußgeld noch eine Rechnung von uns für den entstanden Aufwand.

Es wäre also definitiv sinnvoll, wenn Sie die Rechtmäßigkeit der Verarbeitung (also der Datenerhebung so wie Sie sich das gedacht haben) erst einmal mit dem Datenschutzbeauftragten der Hochschule abklären.