Folgende Maßnahmen und Aktivitäten können in den einzelnen Phasen des Forschungsvorhabens anfallen bzw. folgende Gedanken bei der Umsetzung des Datenschutzes hilfreich sein (RatSWD, 2020, pp. 33; Meyermann & Porzelt, 2019, pp. 8).

Planung des Forschungsvorhabens

• Vor Erhebung den Forschungszweck möglichst genau definieren
• Bzgl. personenbezogener Daten prüfen:
  • Werden personenbezogene Daten erhoben und in welchem Umfang?
  • Werden personenbezogene Daten (dauerhaft) gespeichert und/oder die Kontaktdaten nach Analyse der Daten dauerhaft gelöscht und Daten anonymisiert?
  • Könnte auf die Erhebung und Verarbeitung personenbezogener Daten verzichtet werden?
  • Wie kann die Verarbeitung so geregelt werden, dass die Eingriffe für die Betroffenen möglichst gering sind?
• Bei Verarbeitung von personenbezogenen Daten:
  • Informierte Einwilligung vorbereiten (vgl. Artikel informierte Einwilligung).
  • Konzept zur Speicherung und Aufbewahrung sowie zum technischen Schutz der erhobenen Daten (auch mit Nennung der Speicherfrist) erarbeiten (vgl. Artikel Datenspeicherung).

 Datenerhebung

• Wenn möglich und nötig: informierte Einwilligung in Textform (Beweissicherung/Rechtssicherheit) oder bei Interviewaufnahmen mündlich (vgl. Artikel informierte Einwilligung) einholen.
• Nur so viele personenbezogene Daten erheben, wie für den Forschungszweck nötig (Datenminimierung!).
• Sichere Speicherung der erhobenen Daten gewährleisten (vgl. Artikel Datenspeicherung).

Datenaufbereitung und -analyse

Hinweis: Solange die Aufbereitung und Analyse demselben Forschungszweck wie der Datenerhebung dienen, sind i. d. R. auch nachgelagerte Verarbeitungsschritte erlaubt. Wenn bei Analyse neue Erkenntnisziele oder Methoden hinzukommen, ist ggf. eine neue Einwilligung einzuholen.

• Getrennte Speicherung von direkten Identifizierungsmerkmalen und Forschungsdaten (vgl. Artikel Datensicherheit).
• Anonymisierungskonzept zum Schutz der Identität der Teilnehmenden: frühestmögliche Anonymisierung und/oder Pseudonymisierung der Daten (vgl. Artikel Anonymisierung und Pseudonymisierung) durchführen.
• Daten (Versionierungen, Backup…) (vgl. Artikel Datenspeicherung) sicher speichern.
• Personenbezogene Forschungsdaten bzgl. Forschungszweck prüfen: Liegt eine Einwilligung für weitere Zwecke vor? → ansonsten Löschung im angegebenen Zeitraum (vgl. sicheres Löschen im Artikel Datensicherheit).

Datenpublikation

• Publikation personenbezogener Daten ist nur mit vorheriger Einwilligung zur Veröffentlichung möglich. Ansonsten: Publikation von anonymisierten/pseudonymisierten Daten nur mit vorheriger Einwilligung zur Veröffentlichung der anonymisierten/pseudonymisierten Daten (vgl. Artikel Anonymisierung und Pseudonymisierung und informierte Einwilligung).
• Ausnahme/Sonderfall: Wenn eine Veröffentlichung personenbezogener Daten für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist (RatSWD, 2020, p. 30).

Datenaufbewahrung/-archivierung

• Forschungsdaten nach Projektabschluss i. d. R. mindestens 10 Jahre (DFG, 2022) aufbewahren.
• Eine Aufbewahrung ist prinzipiell nur möglich, wenn in Einwilligungserklärung einer Archivierung zugestimmt wurde (vgl. Artikel informierte Einwilligung).
• Forschungsdaten bei sicheren Einrichtungen wie Repositorien und Forschungsdatenzentren innerhalb oder außerhalb der eigenen Hochschule (vgl. Artikel Archivierung) aufbewahren und archivieren.
• Konzept zur Zugangs- und Nutzungsbeschränkung anwenden (für eine evtl. Nachnutzung).

Nachnutzung

• Möglichkeit einer Nachnutzung der Daten für einen anderen Forschungszweck als den bewilligten prüfen (Zweckbindung!).
• Dazu: „Nach Art. 5 Abs. 1 lit. b Halbsatz 2 DSGVO gilt eine Weiterverarbeitung von Daten für wissenschaftliche Zwecke, die ursprünglich für andere Zwecke erhoben wurden, nicht als unvereinbar mit den ursprünglichen Zwecken. Demnach darf die Weiterverarbeitung erfolgen, wenn die Voraussetzungen einer Rechtsgrundlage hierfür vorliegen“ (RatSDW, 2020, p. 32).