Am 25.05.2018 tritt die Datenschutz-Grundverordnung (DSGVO) der EU in Kraft. Marktforscher in ganz Europa bereiten sich darauf vor, natürlich auch die Rogator AG. Aus unserer Sicht gibt es gerade für die Branche der Online-Marktforscher verschiedene Themen und Aspekte, die hierbei bedacht werden sollten. Hierüber möchten wir Sie gerne informieren.
Transparenzpflichten gegenüber Befragten
Mit der DSGVO werden verschiedene Rechte der betroffenen Personen gestärkt (gemeint sind hier im Falle der Marktforschung in der Regel die Umfrageteilnehmer). Im Wesentlichen geht es dabei um das Recht auf Auskunft und Löschung von personenbezogenen Daten. Da Marktforscher zumeist als Auftragsverarbeiter für ihre Kunden auftreten, sollten diese ihre Auftraggeber natürlich nach Kräften bei der Gewährleistung dieser Rechte unterstützen. Hierbei kommt es insbesondere darauf an, die internen Verarbeitungs- und Speicherprozesse darauf auszurichten, bei Bedarf die betreffenden Daten einzelner Personen, die der Marktforscher im Auftrag seiner Kunden verarbeitet, auch rasch wieder auffinden zu können.
Rogator ist durch eine Neuausrichtung der Speicherprozeduren sehr gut hierauf vorbereitet. Die Unterstützung des Kunden bei Anfragen von Betroffenen erachten wir als selbstverständlich und wird im Rahmen der neuen Vereinbarungen zur Auftragsverarbeitung auch vertraglich fixiert.
Löschfristen
Im Kontext der Transparenzpflichten sollten ebenfalls die Löschprozeduren für personenbezogene Daten im Rahmen von beauftragten Projekten geprüft und ggf. überarbeitet werden. Generell ist es an dieser Stelle für den Auftragsverarbeiter von Nutzen, personenbezogene Daten im Rahmen der vom Marktforscher administrierten Befragungen möglichst rasch nach Projektende wieder datenschutzgerecht und protokolliert zu löschen. Die Rogator AG ist auch an dieser Stelle gewappnet: Das überarbeitete Archivierungs- und Löschkonzept trägt diesen Punkten Rechnung.
Infobox für Umfragen
Zukünftig sollten befragte Personen eindeutiger als bisher über verschiedene Datenschutz-Aspekte einer betreffenden Umfrage informiert werden. Dies kann im Rahmen der Umfrageeinladung oder auf der Startseite einer Umfrage geschehen. Zu diesen Informationen zählen u.a. Ort und Dauer der Speicherung, Herkunft und Verwendung der Daten sowie Kontaktinformationen.
Rogator führt diese Infobox sukzessive bei Projekten ein und bietet sie auch gern seinen Kunden an.
Unterstützung durch Software
Die verwendete Befragungs-Software sollte per se besonderen Wert auf datenschutzfreundliche Optionen bzw. Voreinstellungen legen. Die DSGVO fordert dies nun auch regulatorisch ein, was unter den Begriffen „Privacy by Design“ und Privacy by Default“ subsummiert wird. In diesem Kontext sollten im Standardfall geeignete Optionen und Grundeinstellungen etabliert werden, etwa zur Durchführung anonymer bzw. pseudonymisierter Befragungen. Auf diese Umstände wird bei der Softwareentwicklung von Rogator bereits seit langem besonderes Augenmerk gelegt.
Vereinbarungen zur Auftragsverarbeitung
Die bislang mit Marktforschungskunden in der Regel abgeschlossenen Vereinbarungen zur Auftragsdatenvereinbarung nach BDSG sollten sukzessive ersetzt werden. Sie werden ab dem 25.05. nicht ungültig, allerdings besteht immer die Frage, ob die darin enthaltenen Regularien auch den DSGVO-Anforderungen genügen. Eine Aktualisierung der entsprechenden Vereinbarung in einer DSGVO-fähigen Form ist darum empfehlenswert.
Die neuen Verträge heißen oftmals „Vereinbarung zur Auftragsverarbeitung personenbezogener Daten gemäß Art. 28 DSGVO“ oder kurz „AVV“. Größere Unternehmen bzw. Marktforschungskunden haben intern bereits neue Vorlagen erstellt und ihren Dienstleistern zur Gegenzeichnung zugesendet. Viele Marktforscher (und so auch Rogator) halten aber auch eigene Standard-Vereinbarungen nach DSGVO vor, die abgeschlossen werden können, um rechtssicher personenbezogene Daten verarbeiten zu können. Im Sinne seiner Kunden sollte jeder Marktforscher mit dafür Sorge tragen, dass bei jeder Auftragsverarbeitung von personenbezogenen Daten immer auch eine gültige AVV vorliegt. Unsere Vorlage zum Abschluss einer AVV lassen wir unseren Kunden sukzessiv zukommen. Gerne kann sie auch bei uns angefordert werden.
Prozess-Dokumentationen
Verschiedene Anforderungen des DSGVO beziehen sich auch auf die interne Dokumentation von Verfahren und Verarbeitungstätigkeiten. In diesem Kontext sollten Marktforscher ihr Verfahrens- sowie vor allem ihr Tätigkeitsverzeichnis überprüfen und den neuen Anforderungen anpassen. Gelegentlich müssen dabei auch die Marktforschungskunden mithelfen, indem sie etwa Kontaktdaten zum eigenen Datenschutzbeauftragten bereitstellen. Im „Fall der Fälle“ – also beispielsweise bei einer Überprüfung durch die Aufsichtsbehörde oder bei einem Datenschutz-Vorfall – dient dies nicht zuletzt auch den Interessen der Kunden. Das Verzeichnis von Verarbeitungstätigkeiten bei Rogator wurde bezüglich der neuen Anforderungen aufgearbeitet und kontinuierlich gepflegt.
Schulung der Mitarbeiter
Die schönsten Datenschutz-Dokumente nützen wenig, wenn die Mitarbeiterinnen und Mitarbeiter eines Marktforschungsunternehmens nicht bezüglich der für sie jeweils relevanten Datenschutzthemen informiert und geschult werden. Dies korrespondiert mit der Überzeugung von Rogator, dass Datenschutz immer nur so gut sein kann, wie er von den handelnden Personen auch ernstgenommen, umgesetzt und eingefordert wird. Dementsprechend sensibilisiert Rogator seine Projektleiter und Supporter. Rogator hat seine Mitarbeiterinnen und Mitarbeiter auf der Basis der neuen Anforderungen bereits geschult und wird diese Schulungen fortsetzen.
Fazit
Der Datenschutz nach DSGVO wird für den Marktforscher etwas anspruchsvoller als bisher. Wir sollten dies in unserer Branche aber nicht als Nachteil betrachten, sondern als Chance, uns gegenüber den von Datenschutzskandalen betroffenen Großkonzernen abzuheben. Wir verarbeiten Daten nicht nur auf freiwilliger Basis, sondern vor allem transparent und jederzeit nachvollziehbar. Eine faire und vertrauensvolle Beziehung zu unseren Befragungsteilnehmern ist die wichtigste Basis der Marktforschung.
Referenzprojekt zum Nachlesen
Erfahren Sie mehr zu Anonymität bei Mitarbeiterfeedbacks in unserer Case Study „Anonymität bei Mitarbeiterfeedbacks“.
>>zur Case Study <<
Verfasst von Philipp Scholz
Philipp Scholz, Teamleiter Consulting bei der Rogator AG, ist ein erfahrener Marktforscher in den Bereichen Customer Feedback und Employee Feedback sowie entsprechender Softwarelösungen. Durch zahlreiche erfolgreich abgeschlossene Projekte und langjährige Erfahrung hat er sich ein tiefgehendes Fachwissen angeeignet, das er gerne weitergibt.
Folgen Sie Philipp Scholz auf LinkedIn.