DSGVO-Einwilligung bei Interviews: Leitfaden für Forschende

Die kurze Antwort: Nach der DSGVO stellt die Aufnahme eines Forschungsinterviews eine Verarbeitung personenbezogener Daten dar – ab dem Moment, in dem Sie auf Aufnehmen drücken.

EU-Forschende benötigen eine gültige Rechtsgrundlage nach Art. 6, die informierte Einwilligung jeder teilnehmenden Person, bevor die Aufnahme beginnt, sowie einen unterzeichneten Auftragsverarbeitungsvertrag (AV-Vertrag) mit jedem Drittanbieter für Transkription, den sie nutzen.

Diese Regel gilt unabhängig davon, ob das Interview persönlich, über Zoom oder per Telefon geführt wird.

Warum die DSGVO ab dem Moment greift, in dem Sie auf Aufnehmen drücken

Eine Interviewaufnahme ist ein personenbezogenes Datum.

Sobald eine Aufnahme die Stimme einer Person zusammen mit ihrem Namen, ihrer Funktionsbezeichnung oder einem anderen identifizierenden Detail erfasst, fällt sie unter die Definition personenbezogener Daten nach Art. 4 Abs. 1 DSGVO.

Damit wird die forschende Person zum Verantwortlichen, die teilnehmende Person zur betroffenen Person und jeder externe Dienst, der die Aufnahme verarbeitet – einschließlich eines cloudbasierten Transkriptionstools – zum Auftragsverarbeiter.

Der extraterritoriale Anwendungsbereich der DSGVO (Art. 3) bedeutet, dass diese Pflichten unabhängig davon gelten, wo die forschende Person oder ihre Einrichtung ansässig ist.

Sind die teilnehmenden Personen in der EU ansässig, findet die Verordnung Anwendung.

Das gilt auch für Forschungsteams mit Sitz in den Vereinigten Staaten, Australien oder anderswo.

Im April 2026 veröffentlichte der Europäische Datenschutzausschuss (EDSA) den Entwurf der Leitlinien 1/2026 zur Verarbeitung personenbezogener Daten für wissenschaftliche Forschungszwecke. Es ist die bislang detaillierteste regulatorische Stellungnahme dazu, wie die DSGVO auf Forschungstätigkeiten anzuwenden ist. Die Leitlinien befinden sich noch in der öffentlichen Konsultation und sind daher noch nicht endgültig.

Sie nennen die Interviewtranskription nicht ausdrücklich. Sie decken aber Bereiche ab, die für Forschende in dieser Situation unmittelbar relevant sind.

Dazu gehören die Einwilligung für Studien, deren vollständiger Umfang im Vorfeld nicht bekannt ist, die Aufteilung der Verantwortung zwischen Verantwortlichen und Auftragsverarbeitern sowie die Transparenzpflichten, die gelten, wenn Daten direkt bei den Teilnehmenden erhoben werden. Eines der vom EDSA selbst ausgearbeiteten Beispiele behandelt sogar Interviews.

Zusammen signalisieren sie eine engere aufsichtsrechtliche Beobachtung dessen, wie Forschungseinrichtungen mit Einwilligungen und Beziehungen zu Auftragsverarbeitern umgehen.

Denken Sie daran: Für Forschende, die Transkription qualitativer Forschung betreiben, ist die Einhaltung der Vorschriften keine separate Verwaltungsaufgabe, die vor dem Beginn der Forschung erledigt wird. Sie ist Teil des Forschungsdesigns selbst.

Die Wahl Ihrer Rechtsgrundlage: Einwilligung oder öffentliches Interesse?

Viele Forschende greifen standardmäßig zur Einwilligung, weil sie sich wie die sicherste Option anfühlt.

Tatsächlich ist die Einwilligung jedoch nicht immer die geeignetste Rechtsgrundlage für Forschungsinterviews nach Art. 6 – und in manchen Situationen ist sie rechtlich unwirksam.

Art. 6 sieht sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten vor. Drei sind für Forschungsinterviews am relevantesten:

1. Einwilligung: Art. 6 Abs. 1 lit. a

Art. 6 Abs. 1 lit. a erfordert eine eindeutige bestätigende Zustimmung, die freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt wird.

Nach Erwägungsgrund 43 der DSGVO und den Einwilligungsleitlinien des EDSA gilt eine Einwilligung nicht als „freiwillig erteilt“, wenn ein klares Ungleichgewicht der Machtverhältnisse zwischen der betroffenen Person und dem Verantwortlichen besteht.

Das führt zu einem unmittelbaren Problem, wenn eine forschende Person gegenüber der teilnehmenden Person zugleich Vorgesetzte, Betreuende oder Lehrende ist: Das Machtungleichgewicht kann die Einwilligung von vornherein rechtlich unwirksam machen.

2. Öffentliches Interesse: Art. 6 Abs. 1 lit. e

Art. 6 Abs. 1 lit. e erfasst Verarbeitungen, die für die Wahrnehmung einer Aufgabe erforderlich sind, die im öffentlichen Interesse liegt und durch Unionsrecht oder nationales Recht legitimiert ist. Universitär finanzierte Forschung mit veröffentlichtem Protokoll erfüllt diese Voraussetzung häufig.

Diese Rechtsgrundlage hebt die Pflicht, die Teilnehmenden zu informieren, nicht auf.

Da das öffentliche Interesse jedoch nicht auf einer Einwilligung beruht, gibt es für die Teilnehmenden auch keine Einwilligung, die sie widerrufen könnten. Sie behalten das Widerspruchsrecht nach Art. 21, das der Verantwortliche außer Kraft setzen kann, wenn die Verarbeitung für die Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich ist.

Art. 21 Abs. 6 macht diese Außerkraftsetzung speziell für die Forschung ausdrücklich. Genau das macht das öffentliche Interesse für Längsschnittforschung robuster als die Einwilligung, die eine teilnehmende Person jederzeit vollständig widerrufen kann, wodurch jede künftige Verarbeitung sofort gestoppt wird.

3. Berechtigte Interessen: Art. 6 Abs. 1 lit. f

Verfügbar für private Organisationen, in der Regel jedoch nicht für Behörden. Diese Grundlage erfordert eine Interessenabwägung und lässt sich für Interviewforschung mit personenbezogenen Daten schwerer rechtfertigen.

Die Entwurfsleitlinien des EDSA von 2026 bestätigen, dass eine breite Einwilligung für wissenschaftliche Forschung zulässig ist, wenn sich bestimmte künftige Verwendungszwecke zum Zeitpunkt der Datenerhebung nicht vollständig festlegen lassen – vorausgesetzt, die Forschenden beschreiben den Forschungsbereich klar und wenden Schutzmaßnahmen wie die Pseudonymisierung an.

Nutzen Sie den folgenden Rahmen, um zu entscheiden, welche Grundlage zu Ihrem Projekt passt:

Was passiert, wenn Ihre Interviews besondere Kategorien personenbezogener Daten berühren?

Eine standardmäßige DSGVO-Einwilligung reicht nicht aus, wenn ein Interview das erfasst, was die Verordnung als „besondere Kategorien“ personenbezogener Daten nach Art. 9 bezeichnet. Dabei handelt es sich um Datenarten, die ein erhöhtes Risiko der Diskriminierung oder Schädigung bergen, wenn unsachgemäß mit ihnen umgegangen wird.

Zu den besonderen Kategorien, die Art. 9 DSGVO ausdrücklich schützt, gehören:

• rassische oder ethnische Herkunft
• politische Meinungen
• religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit
• Gesundheitsdaten (einschließlich psychischer Gesundheit, Behinderung, Krankengeschichte)
• Daten zur sexuellen Orientierung
• genetische Daten
• biometrische Daten, die zur eindeutigen Identifizierung einer Person verarbeitet werden

Forschungsinterviews können besondere Kategorien von Daten zutage fördern, selbst wenn die forschende Person sie gar nicht erheben möchte.

Beschreibt eine teilnehmende Person beispielsweise ihre Arbeitsbedingungen, könnte sie eine Behinderung erwähnen. Wer über Erfahrungen in seiner Gemeinschaft spricht, offenbart womöglich seine ethnische Herkunft oder Religion.

Besteht eine vernünftigerweise anzunehmende Wahrscheinlichkeit, dass Ihr Interview diese Art von Daten hervorrufen könnte, müssen Sie dies einplanen, bevor die Aufnahme beginnt.

Für besondere Kategorien personenbezogener Daten verlangt Art. 9 entweder:

a. Ausdrückliche Einwilligung: Art. 9 Abs. 2 lit. a

Ein strengerer Maßstab als die standardmäßige Einwilligung. Die teilnehmende Person muss eine klare, spezifische und bestätigende Erklärung abgeben, die die verarbeitete sensible Datenkategorie ausdrücklich benennt.

Ein allgemeines Ankreuzkästchen mit dem Wortlaut „Ich willige in die Teilnahme an dieser Studie ein“ genügt diesem Maßstab nicht. Sie benötigen ein separates, spezifisches Einwilligungselement, das etwa Folgendes besagt: „Ich willige in die Aufnahme und Verarbeitung von Informationen über meinen Gesundheitszustand im Rahmen dieser Forschung ein.“

b. Ausnahme für wissenschaftliche Forschung: Art. 9 Abs. 2 lit. j

Verarbeitung für wissenschaftliche Forschungszwecke, sofern sie durch nationales Recht legitimiert ist und mit geeigneten Schutzmaßnahmen nach Art. 89 Abs. 1 einhergeht, einschließlich einer Pseudonymisierung, wo immer dies möglich ist.

Ob dieser Weg offensteht, hängt von der nationalen DSGVO-Umsetzung Ihres Mitgliedstaats ab.

Deutschland, Frankreich, die Niederlande und andere Staaten haben entsprechende ermöglichende Gesetze erlassen, doch die konkreten Voraussetzungen unterscheiden sich.

Was eine DSGVO-konforme Einwilligungserklärung für Forschungsinterviews enthalten muss

Eine DSGVO-Einwilligungserklärung für Forschungsinterviews ist keine bloße Formalität. Nach Art. 7 Abs. 1 muss die forschende Person nachweisen können, dass die Einwilligung erteilt wurde – was bedeutet, dass die Erklärung (oder ein Nachweis der mündlichen Einwilligung) Teil des Prüfpfads der Forschung wird.

Jedes der nachstehenden Elemente entspricht einer bestimmten DSGVO-Pflicht.

1. Identität des Verantwortlichen: Art. 13 Abs. 1 lit. a

Der vollständige Name der forschenden Person und ihre institutionelle Zugehörigkeit. Ist die Einrichtung der Verantwortliche, benennen Sie sie und geben Sie eine Kontaktstelle an.

2. Zweck der Verarbeitung und Rechtsgrundlage: Art. 13 Abs. 1 lit. c

Eine konkrete Beschreibung des Forschungszwecks sowie die Rechtsgrundlage, auf die Sie sich stützen (Einwilligung, öffentliches Interesse usw.).

„Wissenschaftliche Forschung“ reicht nicht aus; geben Sie an, wofür die Aufnahme verwendet wird: Analyse, Veröffentlichung anonymisierter Zitate, Archivierung oder eine Kombination daraus.

Wenn Sie eine breite Einwilligung für einen definierten Forschungsbereich einholen, müssen Sie diesen Bereich klar beschreiben.

3. Wer Zugriff auf Aufnahme und Transkript erhält: Art. 13 Abs. 1 lit. e

Benennen Sie die Kategorien von Personen mit Zugriff: die leitende Forschungsperson, mitforschende Personen, einen Transkriptionsdienst, eine betreuende Person.

Wenn Sie ein Transkriptionstool eines Drittanbieters nutzen, müssen die Teilnehmenden informiert werden, bevor die Aufnahme beginnt.

4. Aufbewahrungsdauer: Art. 13 Abs. 2 lit. a

Bezieht sich darauf, wie lange Aufnahmen und Transkripte aufbewahrt und wann sie gelöscht werden.

Ist die Aufbewahrung an ein Projektende oder einen Veröffentlichungszeitplan gekoppelt, geben Sie dies an.

5. Rechte der Teilnehmenden: Art. 13 Abs. 2 lit. b–d

Bezieht sich auf das Recht der Teilnehmenden auf Auskunft über ihre Daten, das Recht auf Löschung und das Recht, die Einwilligung jederzeit ohne Nachteile zu widerrufen, samt einer Kontaktstelle zur Ausübung dieser Rechte.

Falls Ihre Rechtsgrundlage das öffentliche Interesse und nicht die Einwilligung ist, weisen Sie stattdessen darauf hin, dass die Teilnehmenden das Widerspruchsrecht nach Art. 21 haben.

6. Übermittlungen außerhalb der EU/des EWR: Art. 13 Abs. 1 lit. f

Erforderlich, wenn die Server oder Unterauftragsverarbeiter Ihres Transkriptionsdienstes außerhalb der EU oder des EWR ansässig sind. Geben Sie den herangezogenen Übermittlungsmechanismus an, etwa die Standardvertragsklauseln.

Alternativ können Sie einen europäischen Transkriptionsdienst nutzen, der Ihre Daten innerhalb der EU hält.

Weitere Einzelheiten finden Sie in Art. 13 DSGVO.

7. Granulare Einwilligung für jede Verarbeitungstätigkeit

Aufnahme, Transkription durch Dritte, Veröffentlichung direkter Zitate und Datenarchivierung erfordern jeweils ein separates Einwilligungselement. Ein einzelnes Kontrollkästchen „Ich willige in die Teilnahme ein“ erfüllt das Bestimmtheitserfordernis der DSGVO nicht.

Eine mündliche Einwilligung ist nach der DSGVO zulässig, doch die forschende Person muss einen Nachweis dafür aufbewahren – in der Regel die Aufnahme selbst, in der die mündliche Einwilligung zu Beginn festgehalten ist.

Für Zwecke des Prüfpfads wird eine schriftliche oder per E-Mail erteilte Einwilligung dringend empfohlen, insbesondere bei Projekten, die ein Ethikgenehmigungsverfahren durchlaufen.

Sie laden Interviews in einen Transkriptionsdienst hoch? Das sollten Sie zuerst prüfen

Wenn Sie die Aufnahme eines Forschungsinterviews in eine cloudbasierte Transkriptionsplattform hochladen, übermitteln Sie personenbezogene Daten an einen Dritten.

Art. 28 DSGVO verlangt, dass diese Beziehung durch einen schriftlichen Auftragsverarbeitungsvertrag (AV-Vertrag) zwischen Ihnen (dem Verantwortlichen) und dem Transkriptionsanbieter (dem Auftragsverarbeiter) geregelt wird.

Ein AV-Vertrag ist nicht optional. Ohne ihn verarbeiten Sie personenbezogene Daten außerhalb eines rechtmäßigen Rahmens – unabhängig davon, wie robust die eigenen Sicherheitsmaßnahmen des Anbieters sind.

Für einen Transkriptionskontext muss der AV-Vertrag Folgendes festlegen:

• den Zweck und die Rechtsgrundlage für die Verarbeitung Ihrer Audiodateien durch den Anbieter
• wo die Daten gespeichert werden (EU/EWR oder ein zugelassenes Übermittlungsland)
• die getroffenen Sicherheitsmaßnahmen (Verschlüsselung bei der Übertragung und bei der Speicherung, Zugriffskontrollen)
• eine Liste der Unterauftragsverarbeiter, die der Anbieter einsetzt, einschließlich etwaiger KI-Modelle von Drittanbietern
• die Pflichten des Anbieters zur Meldung von Datenschutzverletzungen: Nach Art. 33 Abs. 2 muss der Auftragsverarbeiter den Verantwortlichen unverzüglich benachrichtigen, sobald ihm eine Verletzung bekannt wird, damit der Verantwortliche seine eigene 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde einhalten kann
• Löschpflichten: wie und wann die Audiodatei und etwaige bei der Verarbeitung anfallende Zwischendaten nach Abschluss der Transkription gelöscht werden

HappyScribe für die Transkription von Forschungsinterviews nutzen

HappyScribe ist ein Transkriptionstool mit Sitz in Barcelona, das Audio und Video in Text umwandelt und sowohl KI-Transkription als auch von Menschen geprüfte Optionen bietet. Forschende nutzen es für Interviewtranskripte, Fokusgruppen und Feldaufnahmen.

So schlägt sich HappyScribe gegenüber den DSGVO-Einwilligungsanforderungen, die wir bisher besprochen haben:

1. EU-Datenstandort: HappyScribe betreibt seine Server in der Europäischen Union, in einem nach Tier IV, ISO 27001 und PCI DSS konformen Rechenzentrum. Die Daten verlassen den EWR zur Verarbeitung nicht.

2. SOC 2 Type II-Zertifizierung: Unabhängige Prüfer überprüfen die Sicherheitskontrollen der Plattform nach SOC 2 Type II. Universitäre Ethikausschüsse und Ethikkommissionen verlangen diese Dokumentation zunehmend als Teil der Ethikgenehmigung.

3. Auftragsverarbeitungsvertrag: Institutionelle und Enterprise-Nutzende können sich direkt an das Team wenden, um einen AV-Vertrag anzufordern. Er legt die Beziehung zwischen Verantwortlichem und Auftragsverarbeiter, die Verarbeitungszwecke, die Sicherheitspflichten und die Löschfristen schriftlich fest, wie es Art. 28 verlangt.

4. Menschliches Korrekturlesen für 99 % Genauigkeit: Für Projekte, bei denen die Genauigkeit bei sensiblen Interviewinhalten nicht verhandelbar ist, stellt der Korrekturlesedienst durch Menschen von HappyScribe die Transkripte muttersprachlichen Fachlinguistinnen und Fachlinguisten vor, die vor der Prüfung von Inhalten eine Geheimhaltungsvereinbarung (NDA) unterzeichnen. Der gesamte Ablauf bleibt durchgehend innerhalb des durch den AV-Vertrag geregelten Verarbeitungsrahmens.

5. Löschung von Dateien auf Anfrage: Forschende können Audiodateien dauerhaft von der Plattform löschen, sobald die Transkription abgeschlossen ist. Das unterstützt die Datenminimierung und erleichtert es, Löschanfragen von Teilnehmenden nachzukommen.

Registrieren Sie sich bei HappyScribe und legen Sie mit dem Transkribieren los, oder kontaktieren Sie den Vertrieb für einen maßgeschneiderten Tarif.

Ihre Transkripte anonymisieren – und was die DSGVO dazu sagt

Sobald ein Transkript vorliegt, ist die entscheidende Unterscheidung die zwischen Pseudonymisierung und Anonymisierung, denn sie haben unter der DSGVO sehr unterschiedliche Folgen.

Befolgen Sie diese praktischen Schritte, um Transkripte zu pseudonymisieren:

• Vergeben Sie Teilnehmercodes (P1, P2) bereits bei der Transkription, bevor das Transkript mit einem Teammitglied geteilt wird
• Entfernen Sie Arbeitgebernamen, konkrete Orte, Daten und Funktionsbezeichnungen, wo sie die Identifizierung eingrenzen würden. Verallgemeinern Sie nach Möglichkeit, anstatt zu löschen, da dies den analytischen Wert erhält: Ersetzen Sie ein genaues Datum durch ein Quartal oder Jahr, einen genannten Arbeitgeber durch dessen Branche, einen bestimmten Ort durch eine Region
• Bewahren Sie den Schlüssel zur erneuten Identifizierung (Zuordnung von Code zu Name) getrennt von den Transkripten auf, mit auf die leitende Forschungsperson beschränktem Zugriff
• Behandeln Sie den Schlüssel zur erneuten Identifizierung selbst als personenbezogenes Datum: Er muss nach denselben Sicherheits- und Aufbewahrungsregeln geschützt und aufbewahrt werden wie der übrige Datenbestand
• Übt eine teilnehmende Person ihr Recht auf Löschung aus, prüfen Sie, ob das pseudonymisierte Transkript noch eine erneute Identifizierung erlaubt; ist dies der Fall, muss es gelöscht oder weiter anonymisiert werden

Verankern Sie die Compliance in Ihrem Forschungs-Workflow

DSGVO-Compliance bei der Interviewforschung läuft auf einige früh getroffene Entscheidungen hinaus: die richtige Rechtsgrundlage, eine Einwilligungserklärung, die tatsächlich standhält, und ein Transkriptionspartner, der nicht zu Ihrem schwächsten Glied wird.

Treffen Sie diese Entscheidungen richtig, bevor Sie auf Aufnehmen drücken, dann ergibt sich der Rest – Anonymisierung, Pseudonymisierung, Aufbewahrung und Rechte der Teilnehmenden – ganz von selbst.

HappyScribe übernimmt die infrastrukturelle Seite: EU-Datenstandort, SOC 2 Type II-Zertifizierung und einen AV-Vertrag auf Anfrage – damit Sie sich auf die Entscheidungen zum Forschungsdesign konzentrieren können, die nur Sie treffen können.