Datenschutzrechtliche Fallstricke bei Umfragen im Rahmen von Bachelor- und Masterarbeiten

Erhält man im Alter zwischen 20 und 30 unerwartet eine Nachricht von einem alten Schulfreund, ist die Wahrscheinlichkeit hoch, dass diese einen von zwei möglichen Inhalten hat: 1.) eine einmalige Investment-Gelegenheit in seinem brandneuen Business für Sporternährung, das leider in Wirklichkeit bloß ein Schneeballsystem ist, oder 2.) die Bitte, an der Online-Umfrage für seine Masterarbeit teilzunehmen.

Handelt es sich um die zweite Alternative und möchte man sich bei besagtem Freund besonders beliebt machen, fragt man nun einmal nach, wie es bei der Umfrage denn eigentlich mit dem Datenschutz aussieht.

Besonderheiten in Wissenschaft & Forschung?

Die DSGVO enthält keine spezielle Rechtsgrundlage, die für Datenverarbeitungen in wissenschaftlichen Abschlussarbeiten Anwendung finden würde.

Einen anderen Eindruck mögen zunächst Normen wie Art. 89 DSGVO oder die aufgrund der Öffnungsklausel des Art. 9 Abs. 2 lit. j DSGVO getroffenen Regelungen in § 27 BDSG vermitteln. Unter den Begriff der Wissenschaft, der diesen Regelungen zugrunde liegt, können allerdings studentische Abschlussarbeiten eher nicht gefasst werden:

Zwar wird vertreten, dass auch Arbeiten, die neben der Erlangung wissenschaftlicher Erkenntnisse noch der Ausbildung der Verfassenden dienen, in den Anwendungsbereich fallen können (BeckOK DatenschutzR/Schlösser-Rost/Koch, 39. Ed. 1.11.2021, BDSG § 27 Rn. 17), hierbei wird jedoch explizit auf Dissertations- und Habilitationsarbeiten Bezug genommen. Bachelor- und Masterarbeiten hingegen dürften nach Umfang und Komplexität eher Prüfungs- als Forschungszwecken zuzuordnen sein (vgl. etwa Kühling/Buchner/Buchner/Tinnefeld, 3. Aufl. 2020, DS-GVO Art. 89 Rn. 13a sowie Specht/Mantz, Handbuch Europäisches und deutsches Datenschutzrecht, § 23 Datenschutz in Forschung und Hochschullehre Rn. 77 – in beiden Kommentierungen wird der Bereich der wissenschaftlichen Lehre aus der datenschutzrechtlichen Definition der Wissenschaft und Forschung ausgeschlossen).

Zudem enthalten einige Landesdatenschutzgesetze Sonderregelungen für wissenschaftliche Forschung, die aber hinsichtlich ihres Anwendungsbereichs häufig ähnlich zu beurteilen sein dürften oder zumindest eine Restunsicherheit hinsichtlich ihrer Anwendbarkeit aufweisen.

Rechtssicherer ist es deshalb, sich auf die regulären Rechtsgrundlagen aus der DSGVO zu berufen.

Verantwortlichkeit

Für das Verfassen wissenschaftlicher Arbeiten gibt es zwei typische Konstellationen: Entweder diese wird im universitären Umfeld verfasst oder in Verbindung mit einem Praktikum bzw. einer Werkstudententätigkeit bei einem Unternehmen.

Für die datenschutzrechtliche Verantwortlichkeit kann dieser Unterschied durchaus von Bedeutung sein: Ist bei einer universitären Arbeit normalerweise allein der Verfasser Verantwortlicher, kommt im Unternehmen je nach Ausgestaltung auch eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Frage. Häufig werden die Arbeitsergebnisse der Studierenden auch für die Firma, bei der sie tätig sind und ihre Daten erheben, von Interesse sein und daher weitergegeben. In dieser Konstellation kann also durchaus von gemeinsamen Zwecken und Mitteln im Sinne des Art. 26 DSGVO ausgegangen werden und die beiden Beteiligten sollten eine entsprechende Vereinbarung treffen. Wird die wissenschaftliche Arbeit „für“ das Unternehmen verfasst, dient im Wesentlichen dessen internen Zwecken und tritt der Verfasser gegenüber den übrigen Beschäftigten auch in erster Linie als Mitarbeiter des Unternehmens und nicht als Studierender auf, kann in einigen Konstellationen sogar eine alleinige Verantwortlichkeit des Unternehmens denkbar sein.

Wichtig sind aber in jedem Fall einige Kernpunkte, die bei Erhebung der Daten beachtet werden sollten.

„Das ist alles anonym“ – wirklich?

Idealerweise ist die Umfrage anonym ausgestaltet, sodass gar nicht erst eine Datenverarbeitung im Sinne der DSGVO stattfindet:

Hier ist allerdings Vorsicht geboten, denn um eine „echte“ Anonymität im datenschutzrechtlichen Sinne zu gewährleisten, reicht es nicht aus, die Identität der Befragten nicht abzufragen. Es muss sich um eine Teilnehmergruppe von mehr als 7 Personen handeln und – sofern gewisse Merkmale wie Geschlecht oder Altersgruppe abgefragt werden – auch jeweils um eine entsprechende Gruppengröße in dieser Kategorie.

Zudem müssen die Fragen in einer Weise gestaltet sein, die keine Personenbeziehbarkeit der Antworten erlaubt. Insbesondere Freitextfelder sind hier ein Risiko, da die befragten Personen möglicherweise eigene oder fremde Informationen in diese eintragen, die überhaupt nicht erhoben werden sollen und dürfen.

Echte Anonymität ist also gar nicht so einfach zu gewährleisten; insbesondere, wenn man wie der eingangs erwähnte Schulfreund offenbar Schwierigkeiten hat, überhaupt genug Teilnehmer für die Befragung zu finden. Wenn beispielsweise der Link an einem bestimmten Tag an nur eine Person mit der Bitte um Teilnahme versandt wird und am nächsten Morgen der entsprechende Satz an Antworten durchgesehen, der faktisch nur von dieser einen Person stammen kann, ist im Ergebnis auch keine Anonymität gewährleistet.

Ein weiterer Fallstrick kann bereits darin liegen, dass die Online-Plattform, auf der die Umfrage durchgeführt wird, die IP-Adressen der Befragten (welche personenbezogene Daten darstellen) speichert und so beispielsweise die Datensätze von mehrschrittigen Befragungen verknüpft.

Kann die Anonymität nicht gewährleistet bzw. eine Personenbeziehbarkeit zumindest nicht ausgeschlossen werden, ist also eine Rechtsgrundlage notwendig. Hier kommt in erster Linie eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Frage.

Besser mit Einwilligung

Liegt eine Einwilligung der teilnehmenden Personen vor, ist auch eine personenbezogene Befragung möglich. Diese Einwilligung muss dabei den üblichen Anforderungen des Art. 7 DSGVO entsprechen und vorab, freiwillig und aufgrund einer transparenten Information (maßgeblich sind die Anforderungen des Art. 13 DSGVO) über die geplante Verarbeitung abgegeben werden.

Zu beachten ist auch in diesem Zusammenhang der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO: Auch wenn eine Einwilligung vorliegt, dürfen nur diejenigen personenbezogenen Daten erhoben und weiterverarbeitet werden, die für den Zweck, d. h. in diesem Fall das Erstellen der Abschlussarbeit, notwendig sind. Ausschlaggebend sind in diesem Zusammenhang die konkreten Recherchefragen, zu denen durch die Umfragen Erkenntnisse für die wissenschaftliche Arbeit ermittelt werden sollen. Beispielsweise kann die Überprüfung, ob bestimmte Meinungsbilder je nach Alter / Bildungsabschluss / … der befragten Personen unterschiedlich ausfallen, ein relevantes Ergebnis darstellen, das u. U. zu Personenbezug führt.

Normalerweise wird sich der Personenbezug der Befragungsergebnisse tatsächlich daraus ergeben, dass eine Anonymität beispielsweise aufgrund mangelnder Gruppengrößen nicht erreicht werden kann oder bestimmte Merkmale (z. B. Altersgruppe in Kombination mit Geschlecht und Bildungsabschluss) theoretisch einen Rückschluss auf Personen zulassen könnten, sofern die Teilnehmer bekannt sind. Insgesamt ergibt sich daher auch im Normalfall eine geringere Sensibilität der Daten, als wenn konkreter Personenbezug in der Form bestünde, dass eine befragte Person mit Namen und persönlichen Details oder Äußerungen in der fertiggestellten Arbeit auftaucht.

Sollte es sich um eine Mitarbeiterbefragung in einem Unternehmen handeln und das Unternehmen (ggf. sogar allein) verantwortlich für die Datenverarbeitung sein, ist zudem die Wertung des § 26 Abs. 2 BDSG zu berücksichtigen, die beim Erteilen einer Einwilligung im Arbeitsverhältnis erhöhte Anforderungen an die Freiwilligkeit stellt. Es müsste im Text des Einwilligungsdokuments und der begleitenden Kommunikation hier also besonders die Freiwilligkeit der Teilnahme betont werden, sowie der Umstand, dass eine Nichtteilnahme nicht zu negativen Konsequenzen im Arbeitsverhältnis führt.

Eine Sonderkonstellation kann zudem vorliegen, wenn Gegenstand der Befragung besonders sensible Daten nach Art. 9 und Art. 10 DSGVO sind, beispielsweise Gesundheitsdaten. In diesem Fall sind erhöhte Anforderungen u. a. an die Einwilligung zu stellen.

Online-Umfrageplattformen

Wie oben bereits angesprochen können sich bei der Nutzung eines Online-Umfrage-Tools zusätzliche Datenverarbeitungen ergeben, die die Verfassenden möglicherweise noch gar nicht bedacht haben. Auch über diese Verarbeitungen müsste vorab informiert und, sofern diese nicht technisch zur Funktionalität des Tools erforderlich sind, ggf. auch eine entsprechende Einwilligung eingeholt werden.

Da die Studierenden die Tools zu eigenen Zwecken nutzen, dürfte hier von einer Auftragsverarbeitung durch den jeweiligen Anbieter auszugehen sein. Auch für die Datenverarbeitung auf der Website bzw. im Tool ist sodann der für die Umfrage Verantwortliche datenschutzrechtlich in der Pflicht (Hier gilt außerdem: Auftragsverarbeitungsvertrag nicht vergessen.).

Empfehlenswert ist es, sich im Vorhinein mit den verschiedenen verfügbaren Tools auseinanderzusetzen und eine datenschutzfreundliche Plattform auszuwählen. Vereinzelt bieten Universitäten auch eigene Lösungen für ihre Studierenden an oder sprechen zumindest Empfehlungen aus, um eben dieser Problematik zu begegnen.