DSGVO im Studienprojekt – was muss ich bei selbst erhobenen Umfragedaten beachten?

Hi Anna, zu deiner Kernfrage "anonym = raus aus der DSGVO" kann ich aus einem ähnlichen Projekt bei uns im Studium berichten: Das ist der Punkt, an dem die meisten stolpern, weil "anonym" und "pseudonym" ständig durcheinandergeworfen werden, technisch aber ein großer Unterschied ist.

• Pseudonymisierung: Du ersetzt den Namen durch einen Code (z. B. Teilnehmer_017), hältst aber irgendwo eine Zuordnungstabelle vor. Das fällt weiterhin unter die DSGVO, weil die Re-Identifizierung grundsätzlich möglich ist – auch wenn du selbst nie draufschaust.
• Anonymisierung: Es gibt keinerlei Möglichkeit mehr, mit vertretbarem Aufwand auf die Person zurückzuschließen – auch nicht durch Kombination mit anderen Daten. Erst dann greift die DSGVO tatsächlich nicht mehr.

Genau da liegt bei Umfragen die Falle: Wenn du z. B. Studiengang, Semester und Alter gleichzeitig abfragst, kann das bei kleinen Gruppen (50-80 Leute) schon wieder re-identifizierend wirken ("die eine Person aus dem 7. Semester BWL mit 35 Jahren"). Das nennt man auch Re-Identifikationsrisiko durch Kombination von Quasi-Identifikatoren. Also: freie Textfelder vermeiden, grobe statt feine Kategorien nutzen (z. B. Altersgruppen statt genauem Alter), und technische Metadaten wie IP-Adressen beim Tool wirklich abschalten, nicht nur "nicht anzeigen lassen".

Zur Einwilligung: Ein klar formulierter Hinweistext mit Opt-in direkt vor Beginn reicht in der Praxis für studentische Projekte meist aus, wichtig ist nur Transparenz über Zweck, Speicherdauer und Freiwilligkeit.

Daniel hat das mit Pseudonymisierung vs. Anonymisierung schon sauber erklärt, das ist echt der Knackpunkt. Ich ergänz mal die Löschfrist-Seite, weil da bei uns im Modul auch viele Leute unsicher waren.

Es gibt keine feste gesetzliche Frist wie "nach 30 Tagen löschen", sondern das Prinzip der Speicherbegrenzung: Du darfst Daten nur so lange vorhalten, wie es für den Zweck nötig ist. Für ein Studienprojekt heißt das praktisch: Rohdaten bis zur Abgabe/Bewertung aufheben, danach zeitnah löschen – nicht "vorsichtshalber" noch ein Jahr liegen lassen, falls der Prof nochmal nachfragt. Ich schreib mir da immer ein konkretes Datum in die Projektdoku, z. B. "Löschung der Rohdaten spätestens 4 Wochen nach Notenbekanntgabe", dann hat man auch einen Nachweis, dass man sich Gedanken gemacht hat.

Zur Einwilligung noch ein praktischer Tipp: In den Hinweistext unbedingt reinschreiben, dass die Teilnahme freiwillig ist und man jederzeit abbrechen kann, ohne Nachteile. Das wird in Klausuren und auch bei Gutachtern gern als Kriterium abgefragt, ob die Freiwilligkeit erkennbar war. Und speicher den Hinweistext selbst als Nachweis mit ab, nicht nur die Antworten – falls später mal jemand fragt, worüber die Teilnehmer informiert wurden.