- Michael J. Erner
Zur Person:
Michael J. Erner ist Jurist, akkreditierter Datenschutz-Sachverständiger beim Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein anerkannter Sachverständiger für IT-Produkte und seit
1995 Berater in den Bereichen Datenschutz, Datensicherheit und IT.
Datenschutz ist Pflicht
Im Zusammenhang mit Remote-Tests stellt sich immer wieder die Frage nach dem Datenschutz. Um Licht in den juristischen Dschungel zu bringen, befragte USABILITYtrend den Datenschutzexperten Michael J. Erner.
USABILITYtrend: Worauf müssen sich Probanden bei der Teilnahme an einem Remote-Usability-Test verlassen können?
Michael J. Erner: Aus datenschutzrechtlichen Aspekten muss gewährleistet sein, dass die Teilnehmer über die Abläufe informiert sind und zu jedem Zeitpunkt im Test die so genannte Zweckbindung eingehalten wird. Es dürfen daher keine Funktionen eingesetzt werden, die über den Testinhalt hinausgehen, und auf diese Weise einen Rückschluss auf die Persönlichkeit des Testers erlauben. Sollte dies im Testverfahren gewollt sein, muss dem Tester dies im Vorfeld deutlich sein und mit seinem Einverständnis im Einklang stehen.
Was müssen Unternehmen beachten, die Remote-Tests durchführen?
Die Begründung einer Vertrauensstellung der Testperson zum Systembetreiber ist die Grundvoraussetzung für eine zuverlässige Zusammenarbeit. Insbesondere die Positionen der Testpersonen sollten im Vorfeld abgeklärt sein. Ich sehe dies aus der Perspektive des Datenschutzumfelds. Ein Unternehmen, das Remote-Test-Verfahren im Usability-Umfeld durchführt, bedarf eines ausgereiften Sicherheitskonzeptes, mit dem die Testperson die Gewissheit hat, dass die anfallenden Daten nur zum vereinbarten Zweck verwendet werden und keinem Unberechtigten zugänglich sind.
Was fordern Sie an dieser Stelle von deutschen Usability-Unternehmen?
Deutsche Usability-Unternehmen unterliegen nationalen datenschutzrechtlichen Anforderungen, die in weiten Bereichen im Gegensatz zu verschiedenen internationalen Regeln den Schutz von Personen deutlicher im Fokus haben. Anbieter müssen hierzulande in der Lage sein, die Interessen des Einzelnen vor Unternehmensinteressen zu stellen. Eine Adaption internationaler Systeme muss deshalb die Belange von Kunden, Mitarbeitern oder anderen Betroffenen berücksichtigen. Es sei denn, die Probanden haben ihr Einverständnis zu einer anderen Regelung gegeben. Schon deshalb muss jedes Unternehmen einen Datenschutzbeauftragten haben. Hier lautet die Forderung an Vertreter der Usability-Branche, sich systemseitig mindestens mit der Möglichkeit der Wahrung von Betroffenenrechten zu orientieren. Das kostet zwar Geld, insbesondere wenn das System aus Ländern mit einem anderen Datenschutzverständnis übernommen wird, ist aber mittel- bis langfristig als Wettbewerbsvorteil zu sehen, da gerade auch in dieser Branche gegenseitiges Vertrauen die Basis für funktionierende Geschäftsbereiche beinhaltet.
Wo müssen aus Ihrer Sicht die Schwerpunkte liegen?
Aus meiner Perspektive liegt ein Schwerpunkt in der Erfüllung dieser Anforderungen. Weiterhin darin, sich den Erfordernissen zu stellen und nicht darauf zu vertrauen, dass „schon nichts passieren wird“. Hierzu gehört auch die Bestellung eines betrieblichen Datenschutzbeauftragten, der autonom auf die Einhaltung der Datenschutzgesetze hinwirkt - und zwar nicht nur ausschließlich wegen der Erfüllung einer gesetzlichen Notwendigkeit.
