Können wir im Forschungsprojekt einen Auftragsverarbeitungsvertrag (AVV) anfordern ohne den Server zu wechseln?

Question

Wir hatten bereits Kontakt und haben Ihre Antwort zu folgender Frage an unsere Datenschutzbeauftragte weitergleitet:

" Ich brauche für mein Forschungsprojekt einen AVV Auftragsverarbeitungsvertrag, wo fordere ich diesen an?"

Folgende Antwort haben wir von ihr erhalten:

Es ist unerheblich, ob wir Namen oder Kontaktdaten im Content des Fragebogens erfassen.

Wir verarbeiten auf jeden Fall personenbezogene Daten auf den Servern des Dienstleisters, nämlich jegliche Verbindungsdaten bei Aufrufen der Online-Befragung und die Antwortdaten der Teilnehmer*innen.

Da wir die Server von Social Science Survey nutzen, der Anbieter selbst aber gar nicht der Verantwortliche für die Umfrage und alle damit verbundenen Datenverarbeitungstätigkeiten ist, muss ein AVV abgeschlossen werden.

Nach der Einschätzung unserer Datenschutzbeauftragten gilt dies NICHT nur für das Produkt " Pro-Server s2survey.net", sondern auch für das lizenzfreie Produkt, nämlich den Standardserver des Anbieters.

Unter dem Link https://www.soscisurvey.de/help/doku.php/de:general:dsgvo beschreibt es der Anbieter ja selbst:

Auftragsverarbeitungsvertrag (AVV)

Ein Auftragsverarbeitungsvertrag zwischen der für die Verarbeitung verantwortlichen Partei (Ihnen) und der SoSci Survey GmbH ist erforderlich, …

wenn personenbezogene Daten verarbeitet werden und
wenn dies nicht auf dem eigenen Befragungsserver erfolgt (Lizenz für den eigenen Befragungsserver), sondern (b) auf einem Server der SoSci Survey GmbH.

Die SoSci Survey GmbH betreibt zwei unterschiedliche Befragungsserver: Den Standard-Server http://www.soscisurvey.de/ und den Pro-Server s2survey.net (Befragungsserver im Vergleich).

Answer 1

Wir verarbeiten auf jeden Fall personenbezogene Daten auf den Servern des Dienstleisters, nämlich jegliche Verbindungsdaten bei Aufrufen der Online-Befragung und die Antwortdaten der Teilnehmer*innen.

Verbindungsdaten sind nicht per se personenbezogen. Sie müssen dafür nach DSGVO mindestens mit einer Eigenschaft einer Person in Verbindung gebracht werden. Und nachdem SoSci Survey zum Beispiel keine IP-Adressen speichert, ist diese Verbindung im Normalfall nicht vorhanden.

Es gibt aber durchaus Datenschutzbeauftragte, die (womöglich auch ein Stück weit zum Selbstschutz) besonders vorsichtig sind. Wenn sie dabei über die gesetzlichen Regelungen hinaus gehen, mag das auf lange Sicht Vor- und Nachteile haben.

In einem AVV muss jeweils angegeben werden, welche Daten (Kategorien verarbeiteter Daten) von wem (Kategorien betroffenener Personen) verarbeitet werden. Wir bieten für www.soscisurvey.de den Online-AVV an, welcher die Kategorien verarbeiteter Daten a-priori auf Kontaktdaten (und einige andere) einschränkt. Hintergrund ist, dass die Fragetypen "Kontaktdaten getrennt erheben" und "Opt-In für Adresslsite" die Daten separat von den reguläre erhobenen Daten speichern und diese Backups eine Löschfrist von 1 Monate unterliegen.

Bei der Löschfrist für die regulär erhobenenen Daten hingegen unterscheiden sich die Server www.soscisurvey.de und s2survey.net. Auf dem Standard-Server werden die Backups für eine Dauer von 12 Monaten aufbewahrt (leider hat sich das als notwendig erwiesen), auf dem Pro-Server nur für 1 Monat.

Wir sehen eine SPeicherdauer von Sicherheitskopien für 12 Monate nicht mit dem Betroffenenrecht auf Datenlöschung vereinbar. Deshalb dürfen aus unserer Sicht auf dem Standard-Server keine personenbezogenen Daten im regulären Datensatz erhoben werden. Einen AVV mit anderen als den o.g. Datenkategorien vereinbaren wir daher grundsätzlich nur für den Pro-Server.

Können wir im Forschungsprojekt einen Auftragsverarbeitungsvertrag (AVV) anfordern ohne den Server zu wechseln?

Wenn Sie bisher auf www.soscisurvey.de arbeiten, gebe ich diese Frage an Ihre Datenschutzbeauftragte zurück: Ist der Online-AVV (einzusehen und zu Vereinbaren in den Projekt-Einstellungen -> Datenschutz) für Ihre Projekt ausreichend, vor allem in Hinblick auf die genannten Kategorien, oder nicht?