Interaktionsprotokoll in internen Variablen: personenbezogene Daten? (Standardserver oder s2survey.net)

Question

Hallo zusammen,

ich plane eine Studie auf eurer Plattform. Ein Teil des Fragebogens ist ein simulierter Online-Shop. Er läuft als HTML/JavaScript in Textbausteinen. Die Teilnehmenden sehen sich dort Produkte an und treffen eine Kaufentscheidung; bezahlt und geliefert wird nichts. Der Shop schreibt ein Protokoll der Interaktionen in selbst angelegte interne Variablen. Diese werden beim Absenden der Seite gespeichert.

Was das Protokoll enthält
- Ereignisse mit Zeitstempel in Millisekunden ab Beginn des Shopbesuchs, dazu einmal den Startzeitpunkt als Unix-Zeit
- aufgerufene Shopseiten und Produkte, angezeigte Preise, Klicks auf Shopfunktionen (Merkzettel, Warenkorb, Vergleich, Filter, Sortierung), gewählte Größen und Varianten, Scrolltiefe, Wechsel in einen anderen Tab
- Suchbegriffe, die in das Suchfeld des Shops eingegeben werden (Freitext)
- technische Angaben: Fenstergröße, Pixelverhältnis des Bildschirms und eine grobe Browserklasse (nur Browserfamilie und ob es ein Mobilgerät ist, nicht der vollständige User-Agent)

Was nicht erfasst wird: IP-Adresse, Mausbewegungen, sonstige Tastatureingaben, Name, E-Mail-Adresse oder Anschrift.

Zwischenspeicher: Damit der Shop nach einem versehentlichen Neuladen weiterläuft, legt er seinen Zwischenstand während des Besuchs im sessionStorage des Browsers ab. Beim Beenden des Besuchs löscht er ihn.

Rekrutierung:
- Pilot über SurveyCircle, ohne Teilnehmerkennung.
- Hauptstudie über Prolific.

Über alle diese Daten informieren wir vor der Einwilligung.

Meine Fragen
1. Gelten solche selbst gesetzten internen Variablen mit einem Interaktionsprotokoll als personenbezogene Daten im Sinne der DSGVO, wenn keine Kennung der Person gespeichert wird (Pilot)? Oder sind sie wie die übrigen Antworten im Fragebogen zu behandeln?
2. Reicht dafür der Standardserver http://www.soscisurvey.de, oder brauche ich den Pro-Server (s2survey.net) mit Auftragsverarbeitungsvertrag? Ändert sich die Antwort, sobald die Prolific-ID mitgespeichert wird?
3. Die Suchbegriffe sind Freitext. Würdet ihr empfehlen, sie nicht zu speichern, oder genügt wie bei offenen Antwortfeldern ein Hinweis in den Datenschutzinformationen?
4. Braucht der kurzzeitige Zwischenspeicher im sessionStorage eine eigene Einwilligung nach § 25 TDDDG, oder gilt er als unbedingt erforderlich für den Ablauf des Fragebogens?

Vielen Dank für eure Einschätzung!

Answer 1

1. Gelten solche selbst gesetzten internen Variablen mit einem Interaktionsprotokoll als personenbezogene Daten im Sinne der DSGVO, wenn keine Kennung der Person gespeichert wird (Pilot)? Oder sind sie wie die übrigen Antworten im Fragebogen zu behandeln?

Personenbezogene Daten sind Daten, die Sie (oder dritte) mit realistischem Aufwand einer natürlichen Person zuordnen können. Ist das hier der Fall?

1. Reicht dafür der Standardserver http://www.soscisurvey.de, oder brauche ich den Pro-Server (s2survey.net) mit Auftragsverarbeitungsvertrag?

Falls Sie personenbezogene Daten verarbeiten (was ich aus Ihrer Beschreibung nicht herauslesen würde - aber die verbindliche Instanz für Sie ist der Datenschutzbeauftragte der Uni), wären Sie bzw. Ihre Uni dafür verantwortlich im Sinne der DSGVO, und wenn Sie diese Daten über einen Dritten (SoSci Survey) verarbeiten, bräuchten sie dafür einen AVV (lt. DSGVO Art. 38). Und wenn Sie diesen benötigen, dann müssen Sie den Pro-Server nutzen.

Ändert sich die Antwort, sobald die Prolific-ID mitgespeichert wird?

Vermutlich könnte man durch Zusammenführung mit den Daten von Profilic Ihre Daten individuellen Personen zuordnen. Demnach ... siehe oben ;)

1. Die Suchbegriffe sind Freitext. Würdet ihr empfehlen, sie nicht zu speichern, oder genügt wie bei offenen Antwortfeldern ein Hinweis in den Datenschutzinformationen?

Ist es plausibel, dass dort Texte eingegeben werden, welche eine Identifikation der Personen zulassen?

1. Braucht der kurzzeitige Zwischenspeicher im sessionStorage eine eigene Einwilligung nach § 25 TDDDG, oder gilt er als unbedingt erforderlich für den Ablauf des Fragebogens?

Ich sehe hier keine Notwendigkeit, aber ich bin kein Jurist und kann Ihnen deshalb auf diese Frage keine verbindliche Antwort geben (geschweige denn Rechtsberatung leisten).