„Wie zufrieden sind Sie mit unserer Leistung?“ „Welche Partei würden Sie wählen, wenn heute Bundestagswahl wäre?“ „Wie hat sich Corona auch Ihre Psyche, Arbeit oder Ihr Privatleben ausgewirkt?“ Derartige Umfragen sind auch aus datenschutzrechtlicher Perspektive äußerst interessant. Der folgende Beitrag umreißt die datenschutzrechtlichen Anforderungen an derartigen Umfragen.
ICH WOLLTE DOCH NUR MAL FRAGEN…
Es gibt die verschiedensten Arten von Umfragen. Im Rahmen meiner Tätigkeit für Forschungseinrichtungen und Hochschulen ist die erste Aussage eigentlich immer: „Da haben wir kein Problem, alles anonym.“ Sieht man sich das Ganze dann genauer an, wird schnell das Gegenteil deutlich. Darüber hinaus gibt es viele Umfragen/Studien, die nur mit der Rückverfolgbarkeit zu einer konkreten Person ihr Ziel erreichen können.
Daher müssen Sie sich bei Planung einer Umfrage/Studie immer zuerst fragen, ob der Anwendungsbereich des Datenschutzes eröffnet ist und welche Anforderungen bestehen. Sehen Sie sich zunächst einmal Ziel und die Fragestellungen genau an. Geht es Ihnen darum, die Person – z.B. zur weiteren Klärung von Aussagen oder Problemen – zu kontaktieren? Gibt es weitere Datenverarbeitungen (z.B. klinische Studien, Gerätemessungen, Zusammenführung von Teilumfragen) mit denen die Antworten z.B. über eine Studien-ID in Verbindung gebracht werden müssen, ohne dass die Möglichkeit besteht, hierfür einen Code zu nutzen, der nur dem Befragten selbst bekannt ist? Werden möglicherweise durch die technische Umsetzung oder das eingesetzte Umfragetool personenbezogene Daten verarbeitet (z.B. Kontaktdaten zur Zusendung der Umfrage, IP-Adressen, Zuordnungsnummern zu Messtechniken)?
Häufig werden „Anonymität“ und „Pseudonymität“ fatalerweise gleichgesetzt. Aber nur, wenn tatsächlich kein Personenbezug gegeben ist, besteht auch kein Risiko für die befragten Personen und es bedarf nicht der Schutzmaßnahmen des Datenschutzes. „Anonym“ ist eine Umfrage dann, wenn durch die beteiligten Forscher, aber auch die beteiligten Einrichtungen insgesamt sowie gegebenenfalls Dritte keine Möglichkeit besteht, die Antworten zu einer Person zurückzuverfolgen. Auch die Rückverfolgbarkeit zu einer kleinen Gruppe (in der Regel drei bis fünf Personen) kann problematisch sein, da häufig nicht ausgeschlossen werden kann, dass Dritte über entsprechendes Zusatzwissen verfügen. Bei der Beurteilung der Anonymität einer Umfrage dürfen Sie daher die folgenden Blickrichtungen nicht aus den Augen verlieren:
(1) Direkte Erhebung personenbezogener Daten bzw. sonstiges Identifikationsmerkmal (z.B. Name, Personal- oder Matrikelnummer, Studien-ID etc.) im Rahmen der Einladung/Zusendung der Umfrage oder des Umfrageformulars sowie im Zusammenhang mit Anreizen (z.B. Bezahlung, Geschenk, Verlosung – grundsätzlich auf freiwilliger Basis),
(2) Rückverfolgbarkeit auf eine einzelne Person oder kleine Gruppe von Personen durch Zusammenführung verschiedener Fragen/Antworten (z.B. Geschlecht, Altersgruppe, Betriebszugehörigkeit, Einrichtung – Achtung auch bei Freitextfeldern!),
(3) Neben dem Umfrageteilnehmer gegebenenfalls personenbezogenes Befragungsthema, also z.B. Zufriedenheit mit dem Vorgesetzten bzw. der Geschäftsleitung, Meinung zu einer Veranstaltung/Vortrag und damit zum Dozierenden, Fragen zu Familienangehörigen,
(4) Erhebung technischer Daten, welche eine Rückverfolgbarkeit zulassen (z.B. IP-Adresse, Sensor-ID).
Auch wenn im Ergebnis keine Umsetzung datenschutzrechtlicher Anforderungen wie z.B. Informationspflichten erfolgen muss: Seien Sie gegenüber den Befragten transparent in dem, was Sie tun! Denken Sie immer daran, dass die erfolgreiche Durchführung einer Umfrage/Studie immer auch auf dem Vertrauen der Befragten beruht.
WELCHES UMFRAGETOOL IST FÜR MICH DAS RICHTIGE?
Auf dem Markt existieren diverse Umfragetools wie z.B. LamaPoll, SosciSurvey, QuestionStar, Easy Feedback, LimeSurvey, Blubbsoft, Zoho Survey sowie Google Forms. Natürlich gibt es noch viele andere Anbieter und der Auswahl und Reihenfolge ist keine Bewertung zu Leistung oder Datenschutzkonformität zu entnehmen. Welches Tool im konkreten Fall geeignet ist, ist von verschiedenen Faktoren abhängig. Was ist der Zweck der Umfrage (z.B. Kundenzufriedenheit, Mitarbeiterbefragung z.B. zur Arbeitssicherheit oder Mobilität, Evaluation der Lehre, klinische oder wissenschaftliche Studie, sozialwissenschaftliche Umfrage) und wen will ich ansprechen (z.B. Kunden, Beschäftigte, anonyme Probanden, zufälliger Personenkreis)? Bestehen besondere Ansprüche hinsichtlich der Gestaltung, Durchführung oder Auswertung? Besteht über das Tool auch technisch die Möglichkeit der anonymen Befragung? Handelt es sich um eine einzelne Umfrage oder wird ein dauerhaftes Tool für verschiedene Umfragen benötigt? Verfüge ich über eine eigene, geeignete IT-Struktur oder wo soll die Datenspeicherung erfolgen (Empfehlung: Deutschland/Europa)? Wie hoch ist mein Budget? Auch wenn der Datenschutz bei der Auswahl oft nicht an erster Stelle steht: Stellen Sie vor Auswahl sicher, dass die Software geeignet ist, um die zu Ihrer Umfrage/Studie passenden Anforderungen, insbesondere Anonymität sowie technische und organisatorische Maßnahmen, zu erfüllen.
MEINE UMFRAGE IST DOCH NICHT ANONYM. WAS SOLL ICH TUN?
Zunächst einmal benötigen Sie eine Rechtsgrundlage. In den meisten Fällen werden Sie für die Datenerhebung im Zuge der Umfrage eine Einwilligung gemäß Art. 6 Abs. 1 Satz 1 lit. a i.V.m. Art. 7 Datenschutz-Grundverordnung (DS-GVO) benötigen, da Sie nur selten für die Durchführung eines Vertrags oder ein besonderes Interesse erforderlich sein dürfte. Unabhängig davon dürfte sich eine verpflichtende Umfrage i.d.R. auch auf die Qualität der Antworten niederschlagen. Werden die Umfragebögen bereits personenbezogen verteilt und beispielsweise nicht über einen Link an eine Funktions-E-Mail-Adresse beziehungsweise durch Auslage/Intranet, benötigen Sie darüber hinaus eine Rechtsgrundlage, um mit den gewünschten Umfrageteilnehmern in Kontakt treten zu dürfen. Hierfür kann neben einer Einwilligung auch ein bereits bestehender Vertrag gemäß Art. 6 Abs. 1 Satz 1 lit. b DS-GVO in Frage kommen. Aber Achtung: Der BGH hat in seinem Urteil vom 10. Juli 2018 (VI ZR 225/17) entschieden, dass es sich bei Kundenzufriedenheitsumfragen um Werbung handelt und die Anforderungen des § 7 UWG zu beachten sind. Es sind also unter Umständen auch angrenzende Rechtsgebiete zu berücksichtigen.
Vor Durchführung der Umfrage muss der gewünschte Teilnehmer über die Datenverarbeitung nach Art. 13, 14 DS-GVO informiert werden. Dies kann mit der gegebenenfalls erforderlichen Einwilligung verbunden werden und sollte bereits bei der ersten Ansprache z.B. per E-Mail oder Brief, im Rahmen des Umfrageformulars sowie gegebenenfalls im Zusammenspiel mit einer separaten Internetseite zur Datenschutzinformation erfolgen. Wichtig ist nur, dass die Information verständlich, möglichst transparent und vor der Datenerhebung erfolgt. Achten Sie dabei im Interesse der Teilnehmer bitte auch darauf, die Informationen nicht ganz unten auf das Formular bzw. auf die letzte Seite des Fragebogens vor dem „Abschicken“-Button zu packen.
Vor Erhebung und Verarbeitung der Daten muss sichergestellt werden, dass geeignete technische und organisatorische Maßnahmen getroffen wurden. Die Möglichkeiten der technischen Maßnahmen bestimmen sich in weiten Teilen danach, für welches Umfrage-Tool Sie sich entscheiden. Insoweit die Möglichkeit besteht, dass der Anbieter des Umfragetools auf die (personenbezogenen) Daten zugreifen kann, bedarf es des Abschlusses eines Vertrags zur Auftragsverarbeitung nach Art. 28 DS-GVO. Hierbei ist frühzeitig der Datenschutzbeauftragte Ihrer Einrichtung einzubeziehen.
In Hinblick auf die organisatorischen Maßnahmen ist insbesondere sicherzustellen, dass der Kreis der zugriffsberechtigten Personen möglichst klein bleibt und mit den datenschutzrechtlichen Anforderungen – insbesondere der Vertraulichkeit im Umgang mit personenbezogenen Daten – vertraut ist. Kontaktdaten für die Umfrageverteilung beziehungsweise im Rahmen versprochener Anreize sind möglichst frühzeitig von den Umfragedaten zu trennen. Auch darüber hinaus ist die frühestmögliche Anonymisierung beziehungsweise Pseudonymisierung der Daten zu berücksichtigen. Alle Umfragedaten sind zu löschen, sobald diese nicht mehr für die Durchführung der Umfrage inklusive Auswertung benötigt werden und keine Aufbewahrungspflichten o.ä. bestehen. Eine Veröffentlichung ist in der Regel nur in Bezug auf aggregierte Daten ohne Personenbezug zulässig.
Zumindest wenn Umfragetools dauerhaft eingesetzt werden oder es sich nicht nur um eine einmalige/kurzzeitige Umfrage handelt, sollte eine Prozessbeschreibung in das Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DS-GVO aufgenommen werden. Und ganz wichtig: Beziehen Sie Ihren Datenschutzbeauftragten frühzeitig ein! Von diesem können Sie wertvolle Tipps zur Gestaltung Ihrer Umfrage und der erforderlichen Dokumente erhalten.
Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.
