So führst du deine Interviews DSGVO-konform
Qualitative Interviews enthalten in der Regel personenbezogene Daten, und diese wollen sorgsam behandelt werden. Leider wird das nun eine lange Checkliste, also legen wir ohne große Einleitung gleich los:
1. Vorbereitung
Lade die Datei zur Einwilligungserklärung herunter und passe diese auf dein spezifisches Projekt an. Ergänze Projektinformationen, Ziel der Forschung und Adressdaten. Drucke das Dokument zweimal aus, um eines auszuhändigen und eines behalten zu können.
2. Verpflichtung auf Datengeheimnis
Alle Personen, die dir helfen und die Daten zu sehen bekommen, müssen auf das Datengeheimnis verpflichtet werden, auch Freunde oder Familienmitglieder. Ein Muster der unabhängigen Datenschutzbehörden des Bundes und der Länder findest du hier.
3. Informieren der Interviewpartner
Informiere deine InterviewpartnerInnen vorab über die Inhalte der Einwilligungserklärung: darüber, dass du das Gespräch aufzeichnen, transkribieren und auswerten möchtest. Erläutere, für welchen Zweck die Forschung bestimmt ist, wer Zugang zu den Daten hat und wie du mit dem Datenschutz umgehen wirst. Führe kurz die Punkte deiner Einwilligungserklärung aus, und erläutere auf Nachfrage einzelne Passagen.
4. Einwilligung einholen
Lasse die InterviewpartnerInnen die Einwilligungserklärung unterzeichnen und behalte eine Kopie davon. Sind InterviewpartnerInnen unter 16 Jahre alt, ist die Einwilligung von den Eltern zu unterzeichnen (ergänzende Informationen stellt das Bayerische Landesamt für Datenschutzaufsicht hier bereit
Sofern besondere Kategorien personenbezogener Daten betroffen sind, müssen zusätzliche Datenschutzanforderungen beachtet werden (Hinweise der unabhängigen Datenschutzbehörden des Bundes und der Länder findest du hier. Händige den interviewten Personen eine Kopie der Einwilligungserklärung aus.
5. qualitative Interview aufzeichnen, übertragen und speichern
Stelle sicher, dass der Speicherort für die aufnahmen der qualitativen Interviews im Geltungsbereich der DSGVO liegt (Europäische Union – EU oder Europäischer Wirtschaftsraum – EWR). Optimal ist hier das Netzlaufwerk der Hochschule oder lokale Datenträger auf passwortgeschützten Rechnern. Der unverschlüsselte Versand per E-Mail ist für vertrauliche Daten nicht geeignet. Für eine Übermittlung personenbezogener Daten in ein Land außerhalb der EU / des EWR – also z.B. beim Upload auf amerikanische Server – beachte bitte die zusätzlichen Datenschutzanforderungen. Im Zweifel sollte man hierauf lieber verzichten. Hinweise der unabhängigen Datenschutzbehörden des Bundes und der Länder findest du hier.
Die Daten müssen auch durch technische und organisatorische Maßnahmen insbesondere vor dem unberechtigten Zugang und Zugriff geschützt sein. Das Minimum an Sicherheit sollte ein nicht öffentlich zugänglicher Rechner mit aktuellem, supportetem Betriebssystem (also kein Windows Vista, macOS High Sierra oder älter). Aktuelle Antiviren-Software, Firewall und ein nicht privat genutzter, passwortgeschützter Account sollten vorhanden. Die Zugangsdaten dürfen natürlich nur berechtigten Personen bekannt sein. Ergänzende Hinweise zur Datensicherheit findest du hier.
6. Weitergabe an Externe klären
Wenn du die Transkription oder Verarbeitung (z.B. Codierung) extern vergeben willst, muss zwingend eine „Vereinbarung zur Auftragsverarbeitung“ abgeschlossen werden. Das gilt auch für externe Hoster oder Dienstleister, z.B. bei Online-Befragungen. Diese müssen schon vor den Interviews festliegen, denn sie müssen in der Einverständniserklärung aufgelistet sein. Insbesondere ist sicherzustellen, dass etwaige Unterbeauftragte ebenfalls die datenschutzrechtlichen Standards einhalten. Allgemeine Hinweise der unabhängigen Datenschutzbehörden des Bundes und der Länder zur Auftragsverarbeitung findest du hier.
7. Sicher löschen
Achte nach Projektende bzw. der vereinbarten Aufbewahrungsfrist darauf, die Daten sicher zu löschen. Das Verschieben in den Papierkorb oder das „normale“ Löschen alleine reichen nicht aus, da die Daten in diesen Fällen meist ohne großen Aufwand wiederhergestellt werden könnten. Das Bundesamt für Sicherheit und Informationstechnik gibt auf seiner Webseite technische Hinweise zum korrekten Löschen. Sicheres Löschen kann über kostenfreie Software realisiert werden.
Das gilt auch und insbesondere für die Speicher von Aufnahmegeräten! Besonders, wenn die Geräte ausgeliehen sind (bspw. über die Medienstelle einer Hochschule), müssen die Aufnahmen auch von dort sicher gelöscht werden.
8. Alles dokumentieren
Alle Schritte, inklusive der Löschung etc., sind zu dokumentieren. Wie so eine Dokumentation konkret aussehen muss, ist hierbei nicht genauer geregelt. Es kann z.B. eine kurze Excel-Liste oder eine Textdatei angelegt werden. Wichtig ist hier, dass du bei einer eventuellen Prüfung nachweisen kannst, dass alle o.g. Punkte bedacht und berücksichtigt wurden.
9. Falls etwas schief geht: Informationspflichten
Sollte ein begründeter Verdacht bestehen, dass Daten verloren wurden oder in die Hände Unbefugter gelangt sind, besteht ggf. die gesetzliche Pflicht, unverzüglich die Aufsichtsbehörde (meist Datenschutzbeauftragte des Landes) und die Personen, deren Daten betroffen sind, zu informieren (ergänzende Informationen stellt das Bayerische Landesamt für Datenschutzaufsicht bereit).
10. Nicht abschrecken lassen!
Es wirkt erst einmal sehr viel, was zu beachten ist. Bei der Einwilligungserklärung müssen in der Tat diverse Punkte berücksichtigt werden. Richte dich daher nach Vorlagen oder Mustern. Du kannst z.B. unsere Vorlage nutzen oder im Methodenzentrum deiner Uni nachfragen.