Kundenbefragung vorbereiten mit Datenschutz-Checkliste

Das Wichtigste auf einen Blick

• Rechtsgrundlage für jeden Kontaktweg getrennt prüfen: Telefon, E-Mail, Panel, Website.
• Bei Online-Fragebögen gilt § 25 TDDDG zusätzlich zur DSGVO.
• Auftragsverarbeitung nach Art. 28 DSGVO vor dem Feldstart regeln.
• Löschfristen und Informationspflichten schriftlich festlegen.
• Einwilligungen mit Zeitstempel und Textversion nachweisen.

Rechtsgrundlage je Kontaktweg bestimmen

Jeder Kanal hat eigene Voraussetzungen. Ein Telefoninterview berührt andere Normen als ein offener Online-Link oder eine Einladung per E-Mail aus einem Panel. Prüfen Sie deshalb jeden Weg einzeln.

Für die Verarbeitung der Antworten ist in der Marktforschung meist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO die tragfähige Grundlage. Sie muss freiwillig, informiert und dokumentiert sein. Art. 7 DSGVO regelt Form, Nachweis und Widerruf.

Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO kommt bei Bestandskunden in Betracht, etwa bei Zufriedenheitsbefragungen. Ohne dokumentierte Abwägung trägt es nicht. Für die Kontaktaufnahme per Telefon, E-Mail oder Fax prüfen Sie zusätzlich § 7 UWG.

Halten Sie Zweck und Umfang im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO fest. Bei umfangreichen Erhebungen mit besonderen Datenkategorien kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein.

Zuständig ist in der Regel die Landesaufsicht. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ist Aufsichtsbehörde für öffentliche Stellen des Bundes und für Telekommunikationsdienste.

TDDDG bei Online-Fragebögen beachten

Sobald ein Fragebogen im Browser läuft, greift § 25 TDDDG. Cookies, Zählpixel, Analyse-Skripte und Fingerprinting brauchen eine vorherige Einwilligung, wenn sie nicht technisch erforderlich sind. Das gilt auch dann, wenn keine personenbezogenen Daten anfallen.

Technisch erforderlich ist nur, was ohne den Vorgang nicht funktioniert. Ein Session-Cookie für den Fragebogenfortschritt fällt darunter, eine Reichweitenmessung in der Regel nicht. Pauschale Einwilligungen für alle Zwecke sind unzulässig.

Welche Angaben nötig sind, steht im Gesetzestext zum TDDDG. Die Einwilligung muss informiert, granular und jederzeit widerrufbar sein, und der Widerruf darf nicht schwerer fallen als die Erteilung.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat eine Orientierungshilfe für Anbieter von Telemedien veröffentlicht. Ergänzend gelten die Hinweise des Bayerischen Landesamts für Datenschutzaufsicht zu TDDDG und Online-Erhebungen.

Checkliste vor dem Feldstart

1. Zweck, Datenkategorien und Rechtsgrundlage je Kanal schriftlich festhalten.
2. Datenschutzhinweise nach Art. 13 DSGVO in Einladung und Fragebogen verlinken.
3. Auftragsverarbeitungsvertrag mit Toolanbieter, Panel und Dienstleistern schließen.
4. Löschfristen für Kontaktdaten, Rohdaten und Einwilligungsnachweise festlegen.
5. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO dokumentieren.

Information, Auftragsverarbeitung und Löschfristen

Art. 13 DSGVO verlangt Angaben zu Zweck, Rechtsgrundlage, Empfängern, Speicherdauer und Betroffenenrechten. Ein kurzer Hinweis mit Verweis auf eine vollständige Datenschutzerklärung genügt, wenn er klar und leicht zugänglich bleibt. Bei Panels informiert oft der Panelbetreiber mit, verantwortlich bleiben Sie.

Für die Auftragsverarbeitung gilt Art. 28 DSGVO. Der Vertrag ist auch dann nötig, wenn Standardsoftware IP-Adressen, Einladungen oder Zeitstempel verarbeitet. Prüfen Sie Subunternehmer, Serverstandorte und die Frage der Weisungsbindung. Die Dokumentation von SoSci Survey beschreibt Funktionen und Grenzen eines verbreiteten Online-Befragungstools.

Bei Anbietern außerhalb der EU kommen Art. 44 ff. DSGVO hinzu. Geeignete Garantien wie Standardvertragsklauseln müssen Sie vor dem Feldstart prüfen.

Löschfristen folgen aus Art. 5 Abs. 1 lit. e DSGVO. Ohne feste Fristen fehlt die Speicherbegrenzung. Ein Beispiel: Kontaktdaten löschen Sie sechs Monate nach Feldende, Rohdaten nach Abschluss der Auswertung, Einwilligungsnachweise erst nach Ablauf der Nachweisfristen.

Auch die Auskunftspflicht nach Art. 15 DSGVO betrifft Befragungsdaten. Verknüpfen Sie Antworten nur dann mit Klarnamen oder Kundennummern, wenn der Zweck das erfordert. Pseudonyme Codes und getrennte Speicherung erleichtern Löschung und Auskunft. Gewinnspieldaten trennen Sie von den Antworten, sonst geht die Anonymität verloren.

KI-Auswertung offener Antworten

Wer Freitextantworten mit KI auswertet, sollte den Rechtsrahmen der EU-Verordnung über künstliche Intelligenz prüfen. Je nach Systemtyp und Rolle können Transparenz- und Informationspflichten greifen.

Eine datenschutzrechtliche Grundlage ersetzt das nicht. Bleiben Sie bei der Zweckbindung und klären Sie vertraglich, ob der Anbieter Antworten für eigene Zwecke nutzt.

Häufige Fragen

Reicht ein berechtigtes Interesse für die Befragung von Bestandskunden?

Oft ja, wenn ein sachlicher Bezug zum gekauften Produkt besteht. Die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO müssen Sie dokumentieren. Bei Kaltkontakt ist die Einwilligung der sichere Weg.

Brauche ich für jeden Fragebogen eine TDDDG-Einwilligung?

Ja, wenn der Fragebogen auf Endgeräte zugreift und der Vorgang nicht technisch erforderlich ist. Das betrifft Cookies, Zählpixel und Analyse-Skripte, nicht die reine Anzeige des Formulars.

Muss ich mit dem Panelanbieter einen Vertrag nach Art. 28 DSGVO schließen?

Ja, wenn er personenbezogene Daten weisungsgebunden verarbeitet. Bei Panels, Hosting und Felddienstleistern ist das der Regelfall. Klären Sie Subunternehmer und Löschung.

Wie lange darf ich Antworten speichern?

So lange der Zweck es erfordert, nicht länger. Fristen legen Sie vor dem Feldstart fest. Nach der Auswertung löschen Sie Rohdaten und Kontaktdaten.

An wen wende ich mich bei Zweifeln?

An die Datenschutzaufsicht Ihres Bundeslandes. Für private Unternehmen ist sie die zuständige Stelle. Der BfDI ist für öffentliche Stellen des Bundes und für Telekommunikationsdienste zuständig.