Für die Erhebung personenbezogener Daten brauchen Sie immer eine Einwilligung. Da die Teilnahme an einer Umfrage jedoch eine bewusste und aktive Handlung erfordert, gilt die Teilnahme selbst als Einwilligung. In besonderen Fällen – zum Beispiel, wenn eine Umfrage sensible personenbezogene Daten umfasst – empfehlen wir jedoch, eine ausdrücklichere Einwilligung einzuholen.

Unabhängig von der Art der personenbezogenen Daten stellt die DSGVO unmissverständlich klar, dass es sich um eine informierte Einwilligung handeln muss. Für die Befragten muss völlig klar sein, welche personenbezogenen Daten sie übermitteln – und natürlich auch, warum. Als Verantwortlicher bzw. Erheber der personenbezogenen Daten sind Sie unter anderem verpflichtet, der betroffenen Person mitzuteilen, wofür Sie die Informationen benötigen, welchem Zweck die Erhebung dient, wie Sie die Daten speichern und wie lange. Sie sollten außerdem angeben, ob Sie externe Auftragsverarbeiter (wie Peoplexact) einsetzen. Die DSGVO betont zudem, dass Sie die betroffene Person bei der Einholung der Einwilligung über ihre Rechte informieren müssen – nämlich das Recht, die über sie erhobenen Daten einzusehen, das Recht, diese Daten berichtigen zu lassen, und das Recht, ihre Einwilligung zu widerrufen und die über sie erhobenen Daten aus Ihrer Datenbank und der Ihres Auftragsverarbeiters (Peoplexact) löschen zu lassen. Gleichzeitig und in direktem Zusammenhang mit der Erhebung der Informationen müssen Sie es der betroffenen Person leicht machen, diese Rechte auszuüben, indem Sie die Kontaktdaten des Verantwortlichen in Ihrem Unternehmen angeben.

Mit anderen Worten: Es gibt eine ganze Reihe von Informationen, die für die Befragten leicht zugänglich sein müssen, um die Transparenzanforderungen der DSGVO zu erfüllen. Sie können all diese Informationen auf der ersten Seite der Umfrage zusammenstellen. Sie können sich aber auch auf einen Auszug der Informationen auf der ersten Seite beschränken und einen Link zur allgemeinen Datenschutzerklärung Ihres Unternehmens einfügen. Dort müssen Sie auch besondere Umstände beschreiben, die mit Ihren Umfragen verbunden sein können – einschließlich der Tatsache, dass Peoplexact der Auftragsverarbeiter ist.

Die Regeln dazu, wie genau eine informierte Einwilligung einzuholen ist, lassen sich unterschiedlich auslegen. Wenn es jedoch eine Faustregel gibt, die Ihnen bei der Einhaltung der DSGVO hilft, dann diese: Seien Sie zu 100 % transparent in allem, was personenbezogene Daten betrifft. Deshalb fahren Sie am besten, wenn Sie vollständig offenlegen, was Sie erheben, warum und wie lange Sie die Daten speichern. Gleichzeitig stärkt dies Ihre Glaubwürdigkeit erheblich – und die ist schließlich der wichtigste Faktor für die Rücklaufquote.

Nein. Die IP-Adressen aller Befragten werden anonymisiert. Daher haben weder Sie noch die Mitarbeitenden von Peoplexact die Möglichkeit, die IP-Adressen einzusehen oder zu verwenden.

Ja, Sie können in allen Peoplexact-Umfragen sämtliche Daten löschen – einschließlich personenbezogener Daten. Die DSGVO gibt betroffenen Personen das „Recht auf Vergessenwerden“. Es muss also möglich sein, auf Anfrage alle Spuren einer bestimmten Umfrageteilnehmerin oder eines bestimmten Umfrageteilnehmers zu löschen. Dafür gibt es mehrere Möglichkeiten:

• Sie können bestimmte Variablen in einer Umfrage löschen
• Sie können die Antwort einer bestimmten befragten Person löschen
• Sie können alle Daten in einer Umfrage löschen
• Sie können die gesamte Umfrage löschen

Mit unserer neuen Befragtensuche, mit der Sie bestimmte Befragte in all Ihren Umfragen finden, können Sie die Antwort einer bestimmten befragten Person ganz einfach finden und löschen.

Denken Sie daran: Als Verantwortlicher liegt es in Ihrer Verantwortung, alle personenbezogenen Informationen zu löschen, sobald der Zweck der Erhebung und Aufbewahrung erfüllt ist.

Ja, mit unserer neuen DSGVO-Anonymisierungsfunktion können Sie Daten in Ihrer Umfrage mithilfe von Filtern und automatischen Filtern ganz einfach anonymisieren. Sie können zum Beispiel folgende Filter verwenden:

• Zeitfilter: Hier können Sie Daten aus einem bestimmten Zeitraum anonymisieren
• Hintergrunddatenfilter: Hier können Sie alle Hintergrunddaten anonymisieren
• Systemdatenfilter: Hier können Sie zum Beispiel Telefonnummern anonymisieren
• Filter für Text- und Kommentarfelder in Hintergrund- und/oder Fragebogendaten: Hier können Sie alle offenen Felder sowohl in der Datenbank als auch in der Umfrage selbst anonymisieren.

Denken Sie daran: Als Verantwortlicher liegt es in Ihrer Verantwortung, Daten zu anonymisieren und klare Richtlinien für diesen Prozess festzulegen. So können beispielsweise Daten, die für sich genommen keine personenbezogenen Daten sind, in Kombination plötzlich eine Identifizierung ermöglichen.

Nach der DSGVO dürfen Sie personenbezogene Daten nur so lange aufbewahren, wie es für den Zweck Ihrer Datenerhebung erforderlich ist. Wenn Sie die erhobenen Daten für Ihre Umfrage nicht mehr benötigen, müssen Sie also selbst dafür sorgen, dass die Daten gelöscht oder anonymisiert werden. Sie dürfen Daten auch nicht aufbewahren, weil Sie sie möglicherweise für einen anderen Zweck, etwa für das Marketing, nutzen möchten. In diesem Fall müssen Sie erneut eine gesonderte Einwilligung einholen. Es liegt in Ihrer Verantwortung, Daten in Peoplexact selbst zu löschen, wenn Sie sie nicht mehr verwenden.

Wenn Sie die Daten nicht selbst löschen, speichert Peoplexact sie, solange Sie eine aktive Peoplexact-Lizenz haben. Läuft Ihre Lizenz ab, löscht Peoplexact die Daten, die Sie nicht selbst gelöscht haben. Wenn Sie oder Peoplexact Ihre Daten löschen, werden die Daten noch bis zu drei Monate in unserem Backup-System gespeichert und anschließend unwiderruflich gelöscht.

Nach der DSGVO dürfen personenbezogene Daten von EU-Bürgerinnen und -Bürgern grundsätzlich nicht außerhalb der EU bzw. des EWR oder in ein Land übermittelt werden, das nicht als sicheres Drittland eingestuft ist – mehr dazu im Leitfaden der dänischen Datenschutzbehörde (auf Dänisch).

Die Server von Peoplexact, über die wir unsere Kunden weltweit bedienen, befinden sich physisch beim Hosting-Unternehmen Fuzion in Aarhus, Dänemark. Wenn wir Unterauftragsverarbeiter einsetzen, garantieren wir, dass keine Daten an unsichere Drittländer übermittelt werden.

Nur wenige unserer Mitarbeitenden haben Zugriff auf Ihre Daten. Dabei handelt es sich um Mitarbeitende, die an der Entwicklung und dem Betrieb von Peoplexact beteiligt sind. Endet das Arbeitsverhältnis einer dieser Personen, wird ihr Benutzerzugang sofort gesperrt bzw. aufgehoben. Wir führen eine Liste der berechtigten Mitarbeitenden, einschließlich der Art des Zugriffs, den die Berechtigung umfasst.

Wenn Sie Support benötigen, können Sie über unser neues Support-Management-System einer bestimmten Person aus dem Peoplexact-Supportteam Zugriff auf Ihre personenbezogenen Daten gewähren. Das Supportsystem stellt sicher, dass der Zugriff nur der angefragten Person, nur für die konkret benannten personenbezogenen Daten in Ihrer Organisation und nur für einen begrenzten Zeitraum gewährt wird – zum Beispiel für eine Stunde.

Ja, Peoplexact setzt bei Umfragen, deren Fragebögen per SMS verschickt werden, einen Unterauftragsverarbeiter ein. Den aktuellen Unterauftragsverarbeiter für den SMS-Versand finden Sie unter rambollxact.dk/smsbestilling (dänische Website). Ein Unterauftragsverarbeiter wird ausschließlich im Zusammenhang mit dem SMS-Versand eingesetzt.

Befragte haben das Recht, die personenbezogenen Daten einzusehen, die Sie über sie speichern, und diese berichtigen zu lassen, wenn sie nicht korrekt sind. Grundsätzlich haben Befragte außerdem das Recht, ihre personenbezogenen Daten aus Ihren Umfragen und Archiven löschen zu lassen.

In manchen Fällen hat das Interesse an der Aufbewahrung personenbezogener Daten jedoch Vorrang vor dem Recht der befragten Person auf Löschung ihrer Daten. Das gilt zum Beispiel für bestimmte Umfragen mit Gesundheitsdaten, die für eine spätere Behandlung erforderlich sein können.

Mit den neuen DSGVO-Funktionen in Peoplexact können Sie den Rechten der Befragten ganz einfach nachkommen.

Denken Sie daran, dass es auch in Ihrer Verantwortung liegt, personenbezogene Daten in exportierten Excel-Dateien zu berichtigen oder zu löschen.

Wenden sich Befragte in diesem Zusammenhang direkt an Peoplexact, verfügen wir über ein effizientes und professionelles Verfahren für die Bearbeitung. Wir leiten die Anfrage an die zuständige Person in Ihrer Organisation weiter und teilen der befragten Person gleichzeitig mit, wie es weitergeht. Nach der DSGVO müssen Sie auf die Anfrage der befragten Person „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“ reagieren.

Sie sind verpflichtet, die erhobenen personenbezogenen Daten bestmöglich zu schützen. Deshalb müssen Sie den Zugriff auf das absolut Notwendige beschränken. Sie dürfen die erforderlichen Zugriffsrechte nur den Mitarbeitenden erteilen, die sie wirklich benötigen. Sowohl die bisherige als auch die neue Benutzerverwaltung von Peoplexact ermöglichen es, den Zugriff auf personenbezogene Daten sehr fein abgestuft zu steuern. Mit der neuen Benutzerverwaltung können Sie sich selbst und Ihren Kolleginnen und Kollegen für jede einzelne Umfrage Rechte auf folgenden Ebenen zuweisen:

• Fragebogenrechte (ohne personenbezogene Daten)
• Versandrechte (mit personenbezogenen Daten)
• Analyserechte (mit personenbezogenen Daten)
• Berichtsrechte (können personenbezogene Daten enthalten)

So können Sie beispielsweise bestimmten Mitarbeitenden ganz einfach erlauben, die Ergebnisse einer Umfrage einzusehen, ohne dass sie personenbezogene Daten sehen können.

Als Verantwortlicher liegt es in Ihrer Verantwortung, Ihre Benutzer zu verwalten – einschließlich Anlage, Deaktivierung und Rechtevergabe. Sie können diesen Prozess automatisieren, indem Sie die Benutzerverwaltung von Peoplexact mit Ihrem Active Directory verknüpfen.

Wenn Ihr Unternehmen keine aktive Lizenz mehr hat, sorgt Peoplexact dafür, dass alle Benutzerberechtigungen und Rechte aufgehoben werden.

Wir bieten zwei Zusatzleistungen für Peoplexact an, mit denen Sie die Verwaltung Ihrer Benutzer in Peoplexact automatisieren können – Single Sign-On (SSO) und Zwei-Faktor-Anmeldung.

Nach der DSGVO dürfen Sie nur die personenbezogenen Daten erheben und speichern, die zur Erreichung des angegebenen Zwecks Ihrer Datenerhebung erforderlich sind.
Sie dürfen zum Beispiel keine Telefonnummern erheben, wenn dies für den angegebenen Zweck nicht erforderlich ist.

Der Auftragsverarbeitungsvertrag zwischen Peoplexact und Ihrer Organisation legt den Zweck fest und regelt, welche Arten personenbezogener Daten Sie speichern dürfen. Die DSGVO unterscheidet zwei Kategorien: allgemeine personenbezogene Daten und sensible personenbezogene Daten. Sensible personenbezogene Daten sollten Sie mit besonderer Sorgfalt behandeln.

• Dafür gibt es gleich mehrere Gründe! Die fünf wichtigsten sind: Peoplexact ist ein IT-System, das von Rambøll entwickelt wurde und Rambøll gehört. Das bedeutet, dass Peoplexact die strengen Anforderungen erfüllt, zu denen sich Rambøll als verantwortungsvolles Unternehmen verpflichtet hat.
  
  
• Peoplexact und Ihre Organisation haben einen gültigen Auftragsverarbeitungsvertrag gemäß DSGVO geschlossen.
  
  
• Peoplexact lässt jedes Jahr ein IT-Sicherheitsaudit durch PwC durchführen. Das Audit basiert auf dem internationalen Standard ISAE 3000-II.
  
  
• Wir führen Penetrationstests der Betriebsumgebung durch und prüfen dabei, ob es möglich ist, sich in unser System zu hacken.
  
  
• Als Peoplexact-Lizenznehmer ist Ihre Organisation berechtigt, bei Peoplexact ein Audit durchzuführen, um sich zu vergewissern, dass die im Auftragsverarbeitungsvertrag und in der Anlage festgelegten technischen und organisatorischen Maßnahmen tatsächlich umgesetzt werden.

Beim Kauf einer Peoplexact-Lizenz ist ein Auftragsverarbeitungsvertrag enthalten. Der Auftragsverarbeitungsvertrag wird an Ihren konkreten Zweck für die Nutzung von Peoplexact angepasst. Er ist unsere gemeinsame Vereinbarung, die sicherstellt, dass wir nur das tun, wozu Sie uns im Auftragsverarbeitungsvertrag anweisen.

Der Auftragsverarbeitungsvertrag basiert auf den Leitlinien der dänischen Datenschutzbehörde und ist auf das Setup von Peoplexact zugeschnitten. Unser Auftragsverarbeitungsvertrag wird außerdem jährlich im Rahmen des Prüfberichts bewertet.

https://www.datatilsynet.dk/Media/C/0/Registreredes%20rettigheder.pdf (Leitfaden auf Dänisch)

Sie müssen auf Anfragen betroffener Personen zu Auskunft, Berichtigung, Löschung usw. unverzüglich, spätestens jedoch innerhalb eines Monats nach Eingang der Anfrage reagieren.

Bei dieser Frage geht es eigentlich weniger um die DSGVO als um Umfragen im Allgemeinen. In Dänemark ist hierfür in erster Linie das dänische Marketinggesetz (Markedsføringsloven) maßgeblich.

Dänisches Marketinggesetz – ähnliche und gleichwertige Produkte

Unaufgeforderte Mitteilungen von Unternehmen an Verbraucher (auch Spam genannt) sind in § 10 des dänischen Marketinggesetzes geregelt. Grundsätzlich muss ein Unternehmen eine Einwilligung eingeholt haben, bevor es Verbraucher per elektronischer Post (E-Mail, SMS und MMS) kontaktieren darf. Das gilt sowohl für aktuelle als auch für ehemalige Kunden.

§ 10 Abs. 2 des dänischen Marketinggesetzes erlaubt jedoch Direktwerbung für eigene und gleichwertige Produkte eines Unternehmens ohne Einwilligung. Die Produkte und Dienstleistungen müssen lediglich gleichwertig, nicht aber identisch mit dem ursprünglich verkauften Produkt oder der ursprünglich verkauften Dienstleistung sein. Voraussetzung ist allerdings, dass der Kunde seine E-Mail-Adresse im Zusammenhang mit dem Kauf angegeben hat. Bei der Angabe seiner E-Mail-Adresse muss der Kunde darüber informiert werden, dass sie für die spätere Vermarktung eigener und gleichwertiger Produkte bzw. Dienstleistungen des Unternehmens genutzt wird. Der Kunde muss die Möglichkeit haben, weiterer Werbung zu widersprechen – sowohl bei der Angabe seiner E-Mail-Adresse als auch zu einem späteren Zeitpunkt. Die Möglichkeit, Werbemitteilungen abzubestellen, muss außerdem aus jeder weiteren Mitteilung hervorgehen, sodass der Kunde bei jeder Direktwerbung über die Möglichkeit informiert wird, künftige Werbung abzulehnen.

Marktforschungsumfragen, Kundenzufriedenheitsbefragungen und Ähnliches

Nach Auffassung des dänischen Verbraucherombudsmanns fallen E-Mails und SMS mit Marktforschungsumfragen, Kundenzufriedenheitsbefragungen und Ähnlichem in der Regel nicht unter die oben genannten Bestimmungen. Es ist daher zulässig, solche E-Mails und SMS ohne vorherige Einwilligung zu versenden. Das gilt jedoch nicht, wenn die Umfrage dazu dient, die Produkte eines Unternehmens zu bewerben oder für sie zu werben. In der Praxis wird Wert darauf gelegt, dass der Inhalt vollständig neutral ist und keinen Bezug zum Unternehmen oder seinen Produkten enthält. In einem konkreten Fall hat der dänische Verbraucherombudsmann zu dieser Frage Stellung genommen und betont, dass die Kundenzufriedenheitsbefragung als direkte Fortsetzung einer erbrachten Dienstleistung verschickt wurde, keine Kaufaufforderungen, keine positive Erwähnung des Produkts und kein sonstiges Branding des Unternehmens enthielt. Auf dieser Grundlage kam er zu der Einschätzung, dass der Zweck nicht Marketing, sondern die Ermittlung der Kundenzufriedenheit war.

Nach Auffassung des dänischen Verbraucherombudsmanns sollte die Mitteilung jedoch eine Möglichkeit bieten, künftige Kundenzufriedenheitsbefragungen abzubestellen. Auch wenn die Mitteilung nicht unter die Spam-Bestimmungen fällt, kann es einen Verstoß gegen die Regeln guter Marketingpraxis (vgl. § 3 des dänischen Marketinggesetzes) darstellen, wenn das Unternehmen den Wunsch des Kunden, keine weiteren Mitteilungen zu erhalten, nicht respektiert.

Ist die Umfrage nicht neutral, gilt sie als Marketing und unterliegt damit § 10 des dänischen Marketinggesetzes. Danach muss die Empfängerin bzw. der Empfänger vorab eingewilligt haben, sofern nicht die Ausnahme nach Absatz 2 greift.

Wenn Sie Daten für Ihre Umfragen erheben, sind Sie der Verantwortliche. Als Verantwortlicher sind Sie verpflichtet, ein internes Verzeichnis der Verarbeitung personenbezogener Daten durch Sie und Ihren Auftragsverarbeiter zu führen, und Sie müssen nachweisen können, dass Ihre Verarbeitung personenbezogener Daten den Regeln entspricht.

Das Verzeichnis muss schriftlich bzw. elektronisch geführt werden und ist der Aufsichtsbehörde nur auf Anfrage vorzulegen. Die Pflicht gilt sowohl für die Verarbeitung gewöhnlicher Daten (nicht sensible personenbezogene Daten) als auch für besondere Kategorien personenbezogener Daten (sensible personenbezogene Daten).

Das Verzeichnis muss mindestens Folgendes enthalten:

• Name und Kontaktdaten
• Zweck
• Kategorien der erfassten personenbezogenen Daten
• Kategorien von Empfängern bei Offenlegung
• Übermittlungen an Drittländer und internationale Organisationen
• Löschfristen
• Technische und organisatorische Maßnahmen