ich möchte als betr.DSB unserer Personalabteilung einen Verbesserungsvorschlag zu einem Fragenbogen unterbreiten. Konkret möchte die Abteilung von den Mitarbeitern eine Bedarfsanalyse zu Schulungen durchführen. Der Fragebogen ist anonym, jedoch sind auch offene Antwortmöglichkeiten möglich, zudem die Nennung der Abteilung in der man arbeitet. Fragen sind in etwas so “Haben Sie 2022 Schulungen besucht? Wenn ja welche?; Sehen Sie Bedarf an Schulungen? Wenn ja welche?”
Auf die Qualität der Fragen möchte ich jetzt nicht eingehen. Es ist nur so, dass der Fragebogen ohne Hinweise zur DSGVO erstellt wurde, also Angaben zum Zweck fehlen. Bedarf scheint es bezüglich eines Audits zu geben also dürfte eine rechtliche Grundlage existieren.
Daher meine grundlegende Frage:
Wenn im Fragebogen keine personenbezogenen Daten erhoben werden - ist doch die DSGVO nicht anzuwenden oder?
Wobei mir der Hinweis auf die Freiwilligkeit fehlt und dass durch die Nicht-Abgabe keine negativen Konsequenzen zu rechnen ist, etc. Aber bevor ich mir die Arbeit mache hier einen neuen Eintrag im Verarbeitungsverzeichnis zu machen dachte ich, ich frage mal hier nach.
bei diesen - angeblich - anonymen Fragebögen zu einer Mitarbeiterbefragung würde ich zunächst einmal genau darauf achten, ob und inwieweit aufgrund der Fragestellung oder der möglichen Antworten tatsächlich kein Personenbezug genommen werden kann.
Gerade solche Fragen, welche Schulungen man im vergangenen Jahr besucht hat oder zu welchen Themen man einen Schulungsbedarf sieht, bergen immer die Gefahr einen Personenbezug herstellen zu können. Wenn z.B. bei Euch die Personalabteilung auch dafür verantwortlich ist die Schulungsanmeldungen und/oder Abrechnungen vorzunehmen, ist es ein leichtes festzustellen, welcher konkrete Beschäftigte einen bestimmten Fragebogen ausgefüllt hat. Auch Angaben zur Abteilung können zu einer Identifizierbarkeit der jeweiligen Person führen. Je kleiner die Abteilung ist - und damit die mögliche Gruppe der Antwortenden - umso größer ist die Wahrscheinlichkeit, die betreffende Person zu erkennen. Offene Antwortmöglichkeiten bergen m.E. ebenfalls die Gefahr einer Identifizierbarkeit - zumindest bei handschriftlicher Eintragung.
Sofern, ggf. aufgrund der Gestaltung des Fragebogens oder der Art der Fragen, eine Identifizierbarkeit gegeben ist, handelt es sich bei den Angaben um personenbezogene Daten. Damit ist die DSGVO anwendbar.
An Deiner Stelle würde ich mir den Fragebogen und die einzelnen Fragen sehr genau nach diesen Aspekten ansehen. Gibt es Fragestellungen, bei denen die Antworten zu einem Rückschluss auf den/die Antwortende zu befürchten sind, würde ich Eure Personalabteilung dahingehend beraten, ob man hier nicht eine andere (allgemeinere) Formulierungen findet. Auf offene Antwortmöglichkeiten würde ich eher ganz verzichten - zumal diese nur schwer auswertbar sind.
Abschließend noch ein Hinweis: Sofern Ihr eine Personalvertretung habt, dürfte die auch noch ein Mitsprecherecht haben…
Noch als Ergänzung zu @ukstDSB - diese identifizierbar ist bei kleineren Unternehmen (ggf auch bei mittleren bis sagen wir 200-500MA) natürlich schneller gegeben als bei einem Konzern mit 3000-5000 oder mehr MA.
Deswegen ist es auch wichtig dass, alles vertraulich bleibt - weil HR kennt im Zweifel auch die MA.
Eine vollständige Anonymität wird also schwer werden in kleineren Unternehmen… (ich spreche aus eigener Erfahrung), Und da hilft auch keine allgemeine Formulierung.
Danke für Deine hilfreiche Antwort.
Wir sind ein eher kleines Unternehmen ohne Betriebsrat. Es gilt nun den Urheber des Fragebogens zu sensibilisieren.
Dennoch bin ich mit meinen Recherchen nicht ganz zufrieden. Kann man pauschal sagen, dass jedwede persönliche Äußerung (innerhalb der EU/Geltungsbereich DSGVO) und die verarbeitet wird, personenbezogene Daten sind? Also jedes Wort / Satz, dass man ggf. einer Person zuordnen kann? Auch wenn die Information überhaupt keine personenbezogenen Angaben enthält?
Bisher ging ich immer davon aus, dass personenbezogene Daten als Informationsgehalt eine personenbezogene Eigenschaft enthalten müssen um als personenbezogene Datenkategorie zu gelten.
Wenn ich z.B. nach dem Namen frage, dann ist es eindeutig, dass diese Information personenbezogene Daten sind . Aber was wenn die Frage nur lautet: “Welche Schulungen können Sie sich vorstellen?”. Wenn ich dann antworte “Datenschutz”. Dann ist doch diese Information nicht personenbezogen??
Mir fällt es schwer geeignete Argumente für die notwendige Einhaltung der DSGVO zu liefern. Allein die Frage zur Abteilungszugehörigkeit könnte ich mit Personenbezug in Verbindung bringen.
Gibt es eigentlich auch so etwas wie einen “No-DSGVO Disclaimer”, also so etwas in der Art wie “da der Fragebogen anonymisiert erstellt worden ist, findet die Berücksichtigung der Vorgaben in der DSGVO keine Beachtung. Bitte hinterlassen Sie keine Angaben auf dem Fragebogen, die eine Zurückverfolgbarkeit auf Ihre Person zulassen wie z.B. Ihren Namen”.
Genau das ist das Problem. Der Artikel 4 der DSGVO spricht bei “personenbezogenen Daten” von Daten, die sich auf eine “identifizierbare natürliche Person beziehen”. Insofern also irgendjemand in der Lage ist, aus den Inhalten auf die dahinterstehende natürliche Person schließen zu können, sind somit auch die vermeintlich nicht personenbezogenen Daten auf einmal doch personenbezogene Daten. Es ist ein Leid, ich weiß
“Welche Schulungen können Sie sich vorstellen” halte ich für nicht personenbeziehbar, weil das nicht mit den Interessen einer Person korrelieren muss, aber bereits abgeschlossene Schulungen sind i.d.R. irgendwo dokumentiert und damit kann durchaus ein Bezug hergestellt werden. Bspw. ihr habt in eurem Unternehmen eine einzige Person, die eine Datenschutzausbildung hat und die gibt dann an, dass sie bereits eine Datenschutzausbildung im letzten Jahr besucht hat, sollte der Kreis der passenden Personen recht schnell, recht klein sein.
Einen No-DSGVO-Disclaimer benötigst du nicht. Wenn wirklich keine personenbezogenen Daten verarbeitet werden, findet auch die DSGVO keine Anwendung und dann musst du diesbezüglich nichts erklären. Dennoch kann für Dritte zur Beruhigung des Gewissens der Hinweis hilfreich sein, dass die Daten vollkommen anonym verarbeitet werden.
Wenn jemand aus freien Stücken seinen Namen in die Ecke rechts oben schreibt, obwohl da kein Namensfeld ist, befinden wir uns in einer aufgedrängten Verarbeitung. Ich persönlich würde da kein Augenmerk drauf legen, weil das kann dir immer und bei jeder Verarbeitung passieren, dass du mehr Daten bekommst, also du eigentlich willst. Willst du das doch in irgendeiner Form berücksichtigen, gäbe es in meinem VVT eine Mini-Verarbeitungstätigkeit “Anonymisierung bei aufgedrängter Verarbeitung in Papierform”, die zum Zweck haben könnte “mit der Schere die Ecke Papier abzuschneiden und zu schreddern” oder so was in der Art.
Es sind schon viele gute Antworten gegeben worden. Nur ganz kurz: Wir gehen davon aus, dass der Rückschluss auf den Ausfüller dann nicht mehr möglich ist, wenn die Organisationseinheit, die ausgewertet wird mindestens 5 Mitarbeiter hat. Darunter kann ein Rückbezug auf den Ausfüller nicht vollkommen ausgeschlossen werden.
Wenn der Fragebogen elektronisch ist, hat man zusätzlich den elektronischen Rückbezug durch TOMs auszuschließen.
