FAQ

Datenerhebungen lassen sich danach unterscheiden, in welchem Ausmaß sie einen Personenbezug aufweisen. Wir unterscheiden drei Klassen von Datenerhebungen:

A) Anonyme Daten ohne Personenbezug. Anonym sind Erhebungen, wenn aus den Daten kein Bezug zu einzelnen natürlichen Personen hergestellt werden kann. Diese Daten fallen nicht unter die EU-DSGVO.

B) Anonyme Daten mit indirektem Personenbezug. Zu beachten ist, dass auch anonyme Erhebungen als personenbezogen klassifiziert werden könnten, wenn sensible persönliche Angaben gemacht werden. Diese Daten sind dann auch EU-DSGVO-relevant. Explizit benennt die EU-DSGVO hierzu u.a. die Erhebung der ethnischen Herkunft, der sexuellen Orientierung, der politischen Überzeugung oder Angaben zur (psychischen) Gesundheit. Was in einer Studie konkret unter sensible persönliche Daten fällt, ist ein interpretationsbedürftiger Graubereich.  

C) Nicht-anonyme Daten mit direktem Personenbezug. Nicht-anonym sind Erhebungen, wenn aus den Daten ein Bezug zu einzelnen natürlichen Personen hergestellt werden kann. Dazu gehören übliche direkte, personenbezogene Daten wie Namen, Adressen, Telefonnummern (auch wenn diese nur auf Kodierlisten erscheinen), Videoaufzeichnungen, vollständige Gendaten, aber auch indirekte Informationen, z.B. demografische Angaben wie Alter, Geschlecht und Beruf, die in Kombination bei einer lokalen Erhebung die Möglichkeit zur Re-Identifikation bieten.  

Für anonyme Daten mit indirektem Personenbezug (Kategorie B) und nicht-anonyme Daten mit direktem Personenbezug (Kategorie C) ist es besonders wichtig, dass die Notwendigkeit der Erhebung der Daten sehr präzise durch die Fragestellung begründet werden muss. Ansonsten dürfen solche Daten laut EU-DSGVO nicht erhoben werden. Zudem sind den Teilnehmenden bei der Erhebung personenbezogener Daten Betroffenenrechte entsprechend EU-DSGVO einzuräumen. Zu den Betroffenenrechten gehören das Recht auf Datenlöschung, Dateneinsicht, Datenberichtigung und Beschwerde.

Für anonyme Daten mit indirektem Personenbezug (Kategorie B) müssen die Betroffenenrechte typischerweise nicht sichergestellt werden (wenn es wirklich keinen weiteren Personenbezug gibt und es sich wirklich nicht um sensible persönliche Daten handelt). Es müssen keine zusätzlichen personenbezogenen Daten aufgenommen werden, wenn dies nur allein der Sicherstellung der Betroffenenrechte dienen würde.

Für nicht-anonyme Daten mit direktem Personenbezug (Kategorie C) gilt: Die Betroffenenrechte müssen so lange sichergestellt werden, wie ein Personenbezug besteht. Zudem muss für eine längerfristige Speicherung von Daten mit Personenbezug ein Eintrag in das Verzeichnis der Verarbeitungstätigkeiten personenbezogener Daten an der jeweiligen Institution erfolgen.

Online-Datenerhebungen in der psychologischen Forschung haben sich in der vergangenen Dekade an vielen Standorten – national und international – etabliert. Zusätzlich forciert wurde diese Entwicklung durch die eingeschränkten Möglichkeiten für Präsenztestungen während der Pandemie. Die Ethikkommission erkennt die forschungsökonomischen Vorteile der Nutzung von Online-Anbietern an. Sie ermöglichen es, große Datenmengen in kurzer Zeit zu sammeln. Dadurch können kurze Forschungszyklen realisiert werde, die nicht nur vor dem Hintergrund kurzer Laufzeiten der Förderung von Forschungsprojekten relevant sind.

Verschiedene Aspekte sollten allerdings aus forschungsethischer Sicht bei der Planung und Durchführung von Online-Studien beachtet werden. Im Folgenden werden diese Aspekte getrennt betrachtet für:

1. Erhebungs-Plattformen. Gemeint sind Online-Anbieter, die spezifische Server- und/oder Softwarelösungen für Online-Befragungen oder die Online-Erhebung experimenteller Daten zur Verfügung stellen (z.B. SoSciSurvey, Wextor oder Pavlovia). Die Rekrutierung der Teilnehmenden erfolgt dabei nicht (zwangsläufig) durch diese Anbieter, sondern obliegt den Forschenden (bzw. kann auch durch die Forschenden erfolgen).
2. Rekrutierungs-Plattformen. Gemeint sind Online-Anbieter, die (teilweise über die digitale Infrastruktur zur Durchführung der Befragung bzw. Erhebung hinaus) einen potentiellen Pool von Teilnehmenden zur Verfügung stellen (z.B. Amazon Mechanical Turk, Prolific, SoSciSurvey, SONA oder institutionseigene digitale Kontaktdatenbanken).

Diese Aspekte werden exemplarisch für ausgewählte - in der psychologischen Forschung häufig genutzte Anbieter - diskutiert. Entsprechende Beispiele sind über römische Ziffern gekennzeichnet.

(1) Erhebungs-Plattformen

Bei Online-Erhebungen via Erhebungs-Plattformen ergeben sich insbesondere Fragen zum Datenschutz. Generell sollten Anbieter mit Geschäfts- und Server-Standorten im Geltungsbereich der EU-DSGVO präferiert werden. Neben sicheren Übertragungswegen für die Kommunikation zwischen Teilnehmenden und Erhebungsserver, sowie zwischen Erhebungsserver und Forschenden (z.B. via SSL-Verschlüsselung), müssen die Rahmenbedingungen des Datenschutzes entsprechend EU-DSGVO sichergestellt sein. Relevant sind dabei vor allem Fragen (a) zum Umfang der Protokollierung sensibler Daten durch den Anbieter und zur potentiell automatischen Übermittlung solcher Daten an die Forschenden sowie (b) zum Umgang mit personenbezogenen und/oder persönlichen Daten im Rahmen der Erhebung durch die Forschenden.

1. Protokollierung sensibler Daten durch den Anbieter und (potentiell automatische) Übermittlung solcher Daten an die Forschenden. Die Forschenden sollten sich darüber informieren, welche Daten von den Anbietern in Zusammenhang mit der Erhebung protokolliert und gespeichert werden. Sobald personenbezogene Daten wie Nutzernamen, IP- oder MAC-Adressen, Informationen über Endgeräte und deren Betriebssysteme, GPS-Daten jeweils in Verbindung mit Zeitpunkten von Serverzugriffen etc. anfallen, ist die Erhebung durch den Anbieter nicht anonym. Solche Daten dürfen durch die Anbieter im EU-Raum bzw. von EU-Bürgern nur innerhalb des durch die EU-DSGVO festgelegten Rahmens erhoben und verarbeitet werden. Die Teilnehmenden müssen in die Speicherung und Verarbeitung dieser Daten durch die Anbieter entsprechend EU-DSGVO informiert einwilligen. Insbesondere sollten sich Forschende vor Durchführung der Erhebung darüber informieren, welche Art von personenbezogenen Daten eine Plattform automatisch übermittelt (z. B. IP-Adressen, MAC-Adressen, GPS-Daten und Zeitpunkte des Serverzugriffs usw.). Forschende sollten die Übermittlung solcher (potentiell) personenbezogener Daten, die für die wissenschaftlichen Ziele des Projekts nicht relevant sind, nach Möglichkeit unterdrücken. Wenn eine Unterdrückung nicht möglich ist, sollten die Forschenden Daten, die für die wissenschaftlichen Ziele des Projekts nicht relevant sind, so schnell wie möglich aus den Forschungsdatensätzen löschen. Forschende sollten die Teilnehmenden über die Art der vom Anbieter übermittelten personenbezogenen Daten und über den Umgang mit den Daten informieren.
2. Umgang mit Daten mit direktem oder indirektem Personenbezug im Rahmen der Erhebung durch die Forschenden. Spezifische Fragen zum Datenschutz entsprechend EU-DSGVO ergeben sich, wenn die von den Forschenden erhobenen Daten einen Personenbezug haben, also nicht anonym sind (vgl. FAQ: Anonymität). Eine Erhebung ist nicht anonym, wenn personenbezogene Daten wie z.B. (Nutzer-)Namen, E-Mail-, IP- oder MAC-Adressen erhoben werden. Zu beachten ist, dass auch anonyme Erhebungen ggf. unter die EU-DSGVO fallen können, nämlich dann, wenn sensible persönliche Angaben gemacht werden und auf diese Weise ein indirekter Personenbezug hergestellt werden kann (vgl. FAQ: Anonymität). Grundsätzlich kann die Erhebung von Daten mit direktem und indirektem Personenbezug (also sensibler persönlicher Daten) nur im Rahmen einer wissenschaftlichen Fragestellung erfolgen. Zudem müssen für diese Daten die Betroffenenrechte zugesichert werden (Recht auf Datenlöschung, Dateneinsicht, Datenberichtigung und Beschwerde), solange die Daten individuellen Personen zugeordnet werden können. Für die Erhebung von nicht-anonymen Daten mit direktem Personenbezug muss ein individuelles Datenmanagement auf den Servern/Clouds möglich sein (also individuelle Daten müssen aus einem Datensatz auf Anfrage an die Betreibenden oder durch die Forschenden selbst gelöscht werden können). Dies betrifft auch externe Server. Online-Anbieter sichern eine Umsetzung der Betroffenenrechte entsprechend EU-DSGVO für kostenlose Erhebungen zumeist nicht zu.
   1. Dies ist bei kostenfreien Erhebungen nicht immer sichergestellt, z.B. bietet SoSciSurvey individuelles Datenmanagement zur Sicherung der Betroffenenrechte nur auf dem kostenpflichtigen Pro-Server an. Wenn Forschende für die Erhebung von anonymen Daten mit indirektem Personenbezug Betroffenenrechte (z.B. über persönliche Codewörter) sicherstellen möchten, sollten sie sich darüber informieren, ob dies in der Tat auf den gewählten Servern/Clouds realisierbar ist. Selbst wenn einzelne Daten durch die Forschenden gelöscht werden können, könnten Back-ups längerfristig verfügbar sein, in denen die Daten dann dennoch geführt werden, ohne dass die Forschenden dies ändern könnten. Dies trifft z.B. auf den kostenfrei verfügbaren Server von SoSciSurvey zu, für den Back-ups ohne Zugriffsmöglichkeit durch die Forschenden für ein Jahr aufbewahrt werden. Dementsprechend sollten in SoSciSurvey für anonyme Erhebungen auf dem kostenfreien Server keine Lösungen über persönliche Codewörter angestrebt werden. Eine der EU-DSGVO konforme Erhebung und Speicherung der Daten bei Nutzung von SoSciSurvey-Servern kann nur über die kostenpflichtigen Pro-Server abgesichert werden. Diese Nutzung sollte optimalerweise in Verbindung mit einem Vertrag zur Auftragsdatenverarbeitung inkl. Sicherung der Betroffenenrechte erfolgen. Alternativ können Erhebungen über einen lokalen (also universitäts- oder institutseigenen) Server mit Software von SoSciSurvey erfolgen. Dazu muss ein Befragungsserver lokal für die Universität/Institution eingerichtet sein/werden.

(2) Rekrutierungs-Plattformen

Über (kommerzielle) Rekrutierungs-Plattformen bzw. Versuchspersonendatenbanken können potentiell sehr großen Stichproben erreicht werden. Wiederum sieht die Ethikkommission pragmatische Vorteile. Nicht nur adressieren ausreichend große Stichproben das Power-Problem in psychologischen Studien. Darüber hinaus werden über Rekrutierungs-Plattformen potentiell andere Populationen erreicht, als typischerweise in psychologischen (Präsenz)Studien untersucht werden. Solche Erhebungen können damit einen Beitrag zur Repräsentativität psychologischer Forschung über den WEIRD-Kontext hinaus leisten (Western, Educated, Industrialized, Rich, Democratic, vgl. Henrich, Heine & Norenzayan, 2010, Behav Brain Sci).

Bei der Nutzung von Rekrutierungs-Plattformen ergeben sich allerdings aus forschungsethischer Sicht relevante Fragen zum Datenschutz (a) – (d), zur Freiwilligkeit der Teilnahme (e), zum Recht auf Abbruch - jeweils ohne persönliche Konsequenzen und zur fairen Kompensation der Teilnahme (f). Diese sind gegen die pragmatischen Aspekte der Durchführung abzuwägen.

Der Datenschutz ist zwangsläufig zu reflektieren, da Rekrutierungs-Plattformen ihre Mitglieder unter Codes (bzw. Nutzernamen) führen (z.B. Prolific-ID, Amazon-Name). In Verbindung mit den Codes bzw. Nutzernamen sind die erhobenen Daten nicht anonym. Wiederum sollten Anbieter mit Geschäfts- und Server-Standorten im Geltungsbereich der EU-DSGVO präferiert werden. Neben sicheren Übertragungswegen (z.B. via SSL-Verschlüsselung), müssen die Rahmenbedingungen des Datenschutzes entsprechend EU-DSGVO sichergestellt sein.

1. Verbindung der von den Forschenden erhobenen Daten mit personenbezogenen Daten, die der Anbieter speichert. Bei Rekrutierung und Erhebung über ein und dieselbe Plattform können die Daten durch den Anbieter langfristig mit individuellen Teilnehmenden verbunden werden. Die Daten sind über diesen Zeitraum nicht anonym. Wenn die Daten im EU-Raum oder von EU-Bürgern erhoben werden, unterliegen sie über den gesamten Zeitraum, in dem sie mit Codes bzw. Nutzernamen in Verbindung gebracht werden können, der EU-DSGVO. D.h., für Daten, die auf einer Rekrutierungsplattform in Zusammenhang mit den Codes bzw. Nutzernamen erhoben werden und die auf den Servern der Plattform gemeinsam mit den Codes bzw. Nutzernamen langfristig gespeichert bleiben, müssten über den gesamten Zeitraum Betroffenenrechte eingeräumt werden. Betroffene könnten bspw. ein Löschen der Daten verlangen, selbst wenn diese Daten bereits in Publikationen eingeflossen oder öffentlich zugänglich gemacht sind. Die Forschenden müssten über einen Vertrag zur Auftragsdatenverarbeitung den Umgang mit den von ihnen erhobenen nicht-anonymen Daten regeln. Insgesamt ist von einer Rekrutierung und Erhebung über ein und dieselbe Plattform dringend abzuraten.
   1. Die von Amazon Mechanical Turk (MTurk) genutzten US-amerikanischen Server/Clouds unterliegen nicht der EU-DSGVO. Amazon speichert sehr weitreichende personenbezogene und persönliche Informationen (Namen, Adressen, Bankdaten, Serverzugriffe, Produktsuchen, Einkäufe etc.), ohne den Zweck dieser Speicherung, die Verwendung der Daten, den Zeitpunkt oder die Möglichkeit zur Löschung der Daten etc. transparent zu spezifizieren. Informationen über verschiedene Dienste, die eine Person bei Amazon nutzt, können durch Amazon untereinander verbunden werden. Die gleichzeitige Nutzung von MTurk zur Rekrutierung und Erhebung sollte daher dringend vermieden werden.
2. Demografische und andere Informationen, die der Anbieter speichert. Rekrutierungs-Plattformen speichern potentiell weitreichende Informationen über ihre Teilnehmenden. Hier spielen insbesondere demografische Angaben (Alter, Geschlecht, Wohnort, Muttersprache, spezifische Kenntnisse etc.) eine Rolle, um maßgeschneiderte Stichproben für die Auftragnehmenden erstellen zu können (z.B. deutschsprachige weibliche IT-Spezialistinnen im Alter zwischen 20 und 30 Jahren). Potentiell können durch eine Kombination solcher Informationen individuelle Teilnehmende re-identifizierbar sein. Bspw. wird die Angabe „divers“ in Bezug auf das Geschlecht/die Geschlechtsidentität relativ selten genutzt. So könnte für einen kleinen Wohnort in Zusammenhang mit einem hohen Alter eine einzelne Person potentiell re-identifizierbar sein. Wenn Versuchspersonen-Pools im Rahmen der wissenschaftlichen Forschung von einem einzelnen Standort (z.B. von einem Fachbereich an einer Universität) genutzt werden, ist die Möglichkeit zur Re-Identifikation so weitreichend, dass von einer Erhebung demografischer Daten „auf Vorrat“ dringend abzuraten ist.
   1. Nutzernamen in Amazon Mechanical Turk (MTurk) sind potentiell informativ in Hinsicht auf persönliche Informationen der Teilnehmenden. Über den Amazon-internen Bereich hinaus können verschiedene Amazon-Dienste über den Amazon-Namen einer Person zusammengeführt werden. Da Amazon- und MTurk-Namen identisch sind, können beispielsweise auf Wunschlisten oder Produktrezensionen in Amazon die Teilnehmenden über MTurk-Namen identifiziert werden. Damit wäre es Dritten potentiell möglich, einzelne Teilnehmende zu re-identifizieren. Daten, die in Zusammenhang mit Amazon-Namen gespeichert werden, sind daher nicht nur nicht-anonym, sondern auch besonders sensibel. Die Forschenden sollten den Teilnehmenden datenschutzrechtliche Aspekte in Bezug auf die MTurk-Namen explizit darlegen.
   2. An verschiedenen Standorten wird für die psychologische Forschung das SONA-System zur Forschungsverwaltung verwendete. Zumeist wird hier eine eng definierte Gruppe geführt (Studierende, insbesondere Psychologie-Studierende einer bestimmten Universität). Bei solch kleinen Gruppen werden einzelne Personen teilweise bereits durch einzelne demografische Angaben re-identifizierbar (z.B. bei der Angabe „divers“ zum Geschlecht/zur Geschlechtsidentität). Von der Verwendung demografischer Angaben in SONA ist daher dringend abzuraten. Sollte ein solches Vorgehen gewählt werden, ist dazu unbedingt der lokale Datenschutzbeauftragte zu konsultieren.
3. Abfrage personenbezogener Informationen durch die Forschenden. Potentiell benötigen Forschende die Nutzernamen der Teilnehmenden auf der Rekrutierungs-Plattform, beispielsweise um die individuelle Kompensation nach der erfolgten Teilnahme sicherzustellen oder Versuchspersonenscheine/-stunden auszustellen. Für den Zeitraum, in dem die Forschenden die erhobenen Daten in Verbindung mit den Nutzernamen bringen können (z.B. um die Kompensation sicherzustellen), sind die Daten nicht anonym. Die erhobenen Daten könnten über die Rekrutierungs-Plattform mit individuellen Personen in Verbindung gebracht werden. Daher unterliegen die erhobenen Daten für diesen Zeitraum der EU-DSGVO und die Betroffenenrechte müssen eingeräumt werden (siehe oben). Die Forschenden sollten vorab sicherstellen, dass dies jeweils umsetzbar wäre. Wenn der Zweck der Nutzung personenbezogener Informationen entfallen ist (z.B. nachdem die Kompensation ausgezahlt bzw. Versuchspersonenschein/-stunden ausgestellt wurden), sollten die personenbezogenen Informationen schnellstmöglich gelöscht werden. Forschende sollten die Teilnehmenden über die Art der personenbezogenen Informationen, die sie vom Anbieter abfragen, den Zweck der Abfrage und über den Umgang mit den Daten informieren.
4. (Potentielle) Übermittlung personenbezogener Informationen durch die Rekrutierungs-Plattform an die Forschenden. Forschende sollten keinen unaufgeforderten Zugang zu personenbezogenen Daten haben, die die Rekrutierungs-Plattform von den Teilnehmenden speichert (Namen, E-Mail-Adresse oder Bankverbindung). Sie sollten sich vor Durchführung der Rekrutierung darüber informieren, welche Art von personenbezogenen Daten eine Plattform automatisch übermittelt (z. B. IP-Adressen, MAC-Adressen, GPS-Daten und Zeitpunkte des Serverzugriffs usw.). Eine Übermittlung von personenbezogenen Daten, die für die wissenschaftlichen Ziele des Projekts nicht relevant sind, sollten die Forschenden nach Möglichkeit unterdrücken. Wenn eine Unterdrückung nicht möglich ist, sollten die Forschenden personenbezogene Daten, die für die wissenschaftlichen Ziele des Projekts nicht relevant sind, so schnell wie möglich löschen. Forschende sollten die Teilnehmenden über die Art der vom Anbieter übermittelten personenbezogenen Daten und über den Umgang mit den Daten informieren.
5. Freiwilligkeit der Teilnahme und Recht auf Abbruch - jeweils ohne persönliche Konsequenzen. Kommerzielle Rekrutierungs-Plattformen versuchen einen Pool von möglichst motivierten und „effektiv arbeitenden“ Teilnehmenden aufrechtzuerhalten und zu pflegen. Eine hohe Datenqualität wird z.B. über Tracking der Annahme/Ablehnung/Fertigstellung/Qualität der Bearbeitung von Aufträgen individueller Teilnehmender erreicht. Dazu nutzen die Anbieter (teilweise auch) Feedback von den Auftraggebern der Erhebungen. Durch das Tracking kann die Reputation von Teilnehmenden beim Anbieter potentiell steigen oder sinken. Von der Reputation individueller Teilnehmender hängt potentiell die Berücksichtigung und/oder die Kompensation für zukünftige Aufträge ab. Damit hat die Teilnahme/Nicht-Teilnahme/Qualität der Bearbeitung und/oder ein vorzeitiger Abbruch potentiell persönliche Konsequenzen für die Teilnehmenden. Insgesamt stehen diese Praktiken konträr zu den ethischen Prinzipien der freiwilligen Teilnahme an psychologischer Forschung bzw. zum Recht auf freiwilligen Abbruch - jeweils ohne persönliche Konsequenzen. Um ein Tracking individueller Teilnehmender durch den Anbieter weitestgehend zu vermeiden, sollten Rekrutierung und Erhebung nicht über ein und dieselbe Plattform erfolgen. Zudem sollte kein negatives Feedback, das der Reputation der Teilnehmenden beim Anbieter schaden könnte, an den Anbieter übermittelt werden.
   1. Auch wenn die eigentliche Erhebung nicht via Amazon Mechanical Turk (MTurk) realisiert werden sollte und Amazon damit keinen Einblick in die erhobenen Daten erhält, werden zumindest Informationen über die Erledigung des Auftrags (HIT) in MTurk gespeichert. Ohne eine solche Rückmeldung durch die Auftraggeber erfolgt keine Kompensation an die Teilnehmenden durch Amazon. HIT-Informationen werden bei der weiteren Vergabe von Aufträgen durch MTurk berücksichtigt. Hier können die Forschenden das ethische Prinzip der freiwilligen Teilnahme und des Rechts auf vorzeitigen Abbruch – jeweils ohne persönliche Konsequenzen - in MTurk nur sicherstellen, wenn sie eine positive Rückmeldung für alle Teilnehmenden realisieren („completed HIT“ - auch bei erratischen Daten oder vorzeitigem Abbruch).
6. Faire Kompensation. Grundsätzlich sollte sich die Kompensation für die Teilnahme an psychologischer Forschung am Mindestlohn orientieren. Dies geht potentiell weit über die von den Rekrutierungs-Plattformen vorgesehene Kompensation hinaus. Hier sollten die Forschenden die Kompensation für ihre Studie anpassen – oder wenn dies nicht möglich ist – über Bonuszahlungen eine faire Kompensation für die Teilnahme an der Studie sicherstellen.
   1. Die überaus überschaubare reguläre Kompensation in Amazon Mechanical Turk (MTurk) erscheint nicht vereinbar mit den Standards psychologischer Forschung. Die Kompensation müsste entsprechend angepasst werden, womit allerdings der Nutzen von MTurk als Rekrutierungs-Plattform, um schnell eine Vielzahl von Datensätzen zu generieren, wieder eingeschränkt wird.