Fangen wir einmal ganz plump an: Grundsätzlich kann man fast alles mit den Daten anstellen, solange die GesprächspartnerInnen einwilligen. Diese Aussage ist nicht falsch. Nach der DSGVO ist es zunächst nicht verboten, sich die Genehmigung für die Veröffentlichung von Interviews bei Facebook oder Youtube einzuholen. Nur um nicht missverstanden zu werden: Empfehlen würden wir dies nicht! Es birgt einige Fallstricke und wirft viele juristische Fragen auf, aber prinzipiell ist es nicht verboten. Und genau diese Fallstricke sind es, die wir hier beispielhaft an drei konkreten Fragen zeigen möchten.
Die “Whitelist” für mögliche Länder?
Für die Übermittlung von Daten außerhalb der EU gibt es jursitisch geschwollen sogenannte Angemessenheitsbeschlüsse. Diese Beschlüsse sagen, dass man bei diesen Ländern ein angemessenes Datenschutzniveau erwarten darf. Den sogenannten Privacy Shield für US-Dienstleister hat der EuGH übrigens im Juli 2020 für unzureichend erklärt.
So weit, so gut. Das heißt im Umkehrschluss: Alle Länder, die auf dieser Liste nicht stehen, fallen also erst einmal prinzipiell heraus. Sollte ein Land auf dieser Liste stehen darf man auch noch nicht loslegen, man muss noch auf zusätzliche Punkte achten:
Die Zweckbindung
Wenn ich eine Einwilligung einhole, dann ist hier der Zweck der Erhebung transparent zu benennen. Sollte ich Daten an einen Drittanbieter weitergeben, der die Daten zu eigenen Zwecken nutzen wird (wir denken hier z.B. an Google, wo Sprachdaten zur eigenen technischen Weiterentwicklung genutzt werden), so entspricht dies nicht der Zweckbindung des Forschungsprojektes. Hierzu müsste also genauso transparent und prominent, wie für das Forschungsvorhaben, eine eigene Einwilligung erteilt werden.
Widerruf und weitere Rechte
Der Widerruf einer Einwilligung muss laut DSGVO jederzeit möglich sein. Nach Art. 7 (2) muss dies so einfach wie die Erteilung der Einwilligung sein.
Zudem hat die betroffene Person weitreichende Informationsrechte, also auch darüber, was mit ihren Daten geschehen ist. Hier scheint uns im Zweifel die forschende Person in der Verantwortung, diesen Anspruch auch gegenüber den Dienstleistern durchzusetzen.
Innerhalb von Europa gibt es durch die DSGVO eine gemeinsame Grundlage, diese Rechte auch im Ausland durchzusetzen. Außerhalb der EU müsste man prüfen und sicherstellen, dass man diese Rechte in dem entsprechenden Land auch rechtmäßig zugestanden bekommt.
Speicher- und Löschfristen
Laut DSGVO müssen Fristen für die Dauer der Verarbeitung und die Löschung konkret vereinbart werden. Die Verarbeitung darf nicht über den eingewilligten Zweck hinaus erfolgen. In den (zugegebenermaßen recht umständlichen) Verträgen zur Auftragsdatenverarbeitung laut DSGVO werden genau solche Fragen durchdekliniert und somit transparent dokumentiert. Nach unserer Erfahrung finden sich jedoch bei vielen Dienstleistern sowohl innerhalb als auch außerhalb der EU solche Angaben weder in den AGB noch in den Datenschutzhinweisen. Daher erachten wir es als fragwürdig, inwieweit die Nutzung unter diesen Umständen als DSGVO-konform gelten kann.
Fazit
Drei Beispiele haben wir genannt, die viele Fragen aufwerfen. Diese Liste ist nicht erschöpfend. Mit entsprechendem Aufwand und Kenntnissen sowie juristischem Rat kann man sicher auch Daten außerhalb der EU verarbeiten, speichern etc. Soweit die Theorie. Ganz praktisch muss man sagen: Wenn du kein/e DatenschutzexpertIn bist, achte darauf, dass die von dir erhobenen Daten innerhalb der EU bleiben. „Innerhalb der EU“ heißt hierbei auch auf Servern innerhalb der EU – sei also bei der Auswahl von Cloud-Anbietern wachsam und achte darauf, einen Vertrag zur Auftragsdatenverarbeitung abzuschließen. Viele Anbieter bieten dies schon von sich aus an.
Nur um sicher zu gehen: Diese Hinweise geben wir als Sozialwissenschaftler mit Erfahrung im Umgang mit der DSGVO, es handelt sich nicht um eine rechtssichere Auskunft. Im Zweifel fragt bitte eure Datenschutzbeautragte*n.
Weitere Infos, z.B. unsere DSGVO-konforme Vorlage zu einer Einwilligungserklärung