Datenmanagement im Studium

Universitätsbibliothek Teaching Tool «Datenmanagement im Studium»: Sicherer Umgang mit Daten von Personen Dieser Foliensatz wurde in Zusammenarbeit mit dem UZH Datenschutzteam erstellt (Stand: Juni 2025). Lernziele (Folie 1) − Die Studierenden kennen die Definition von personenbezogenen Daten und von besonders schützenswerten («sensiblen») Personendaten. − Die Studierenden verstehen, weshalb personenbezogene Daten geschützt werden. − Die Studierenden verstehen, unter welchen Bedingungen sie personenbezogene Daten sammeln und speichern können. Textvorschlag zu den Folien Folie 2 Mit personenbezogenen Daten sind alle (Teil-)Informationen gemeint, die sich auf eine identifizierbare, lebende Person beziehen und somit als (Teil-)Information zur Identifizierung dieser Person beitragen können. Besonders schützenswerte Daten sind eine Sonderform von personenbezogenen Daten. Welche Daten unter besonders schützenswerte Daten fallen, ist im Datenschutzgesetz festgehalten. Folie 3 Personenbezogene Daten sind rechtlich geschützt. Bei der notwendigen Verarbeitung personenbezogener Daten ist es wichtig, einen sicheren Umgang mit diesen Daten zu gewährleisten, um die Privatsphäre der Personen, von denen die Daten erhoben wurden, zu schützen. Der Begriff «Datenschutz» bezieht sich daher auf den Schutz der Privatsphäre der Menschen. Durch das Datenschutzgesetz soll gewährleistet werden, dass jedes Individuum die Kontrolle darüber hat, welche ihrer personenbezogenen Daten wann, an wen und zu welchem Zweck weitergegeben werden (Recht auf informationelle Selbstbestimmung). Daraus ergibt sich auch die Informationspflicht, dass jede Person informiert werden muss, was mit ihren Daten gemacht wird. Wie auch andere Daten können personenbezogene Daten gesammelt, gespeichert, kollaborativ bearbeitet und geteilt werden. Jedoch müssen zusätzliche Massnahmen getroffen werden, um das Datenschutzgesetz zu befolgen. Hinweis für Dozierende: Die betreffenden Gesetzestexte finden Sie unter folgenden Links: − Bundesgesetz über den Datenschutz (DSG) − Gesetz über die Information und den Datenschutz (IDG) − Bundesgesetz über die Forschung am Menschen (Humanforschungsgesetz, HFG) Universität Zürich | Teaching Tool «Datenmanagement im Studium» 2 | 5 Folie 4 Personenbezogene Daten sind für bestimmte Forschungsbereiche wie Medizin, Linguistik, Psychologie, Religionswissenschaft essenziell. Stehen personenbezogene Daten im Forschungsinteresse, so kommt, wie aufgezeigt, das Datenschutzgesetz zum Tragen. Zusätzlich müssen zudem ethische Überlegungen bedenkt werden, die über das Datenschutzgesetz hinausführen. Ethische Erwägungen, die vorgängig zu bedenken sind, sind beispielsweise das Erwägen von nicht zwingend notwendigen Belastungen und Risiken für Teilnehmende wie auch für Forschende, oder ob es nicht angemessene Anreize, Interessenskonflikte und/oder Abhängigkeiten gibt. Oder wie die Frage, wie mit sozial vulnerablen Personen umgegangen wird, die in die Forschung miteinbezogen werden. Oder wenn die Partizipant*innen Kinder sind, wie dann mit der Einverständniserklärung umgegangen werden muss. Zudem soll das Prinzip der Datensparsamkeit angewendet werden, das heisst, es sollen nur Daten gesammelt werden, die auch gebraucht werden. Es soll also gefragt werden, welche Informationen über die Teilnehmenden brauche ich und weshalb brauche ich diese Informationen? Was bedeutet das nun konkret? Welche Sicherheitsmassnahmen müssen bei der Planung, bei der Sammlung und beim Prozessieren der Daten beachtet werden? Hinweise für Dozierende: Forschende (jedoch nicht Studierende) an der UZH können mit dem DESAT-Tool, einem Datenschutz-/Ethik-Selbstbeurteilungsinstrument, die Kriterien identifizieren, die das Projekt erfüllen muss, um den ethischen und rechtlichen Anforderungen im Umgang mit personenbezogenen und besonders schützenswerten Daten zu entsprechen (Link: Datenschutz-/Ethik-Self-Assessment-Tool). Folie 5 Bevor die Daten konkret erhoben werden, muss bei den Personen, deren Daten gesammelt werden, eine Einverständniserklärung eingeholt werden. Diese stellt die rechtliche Grundlage im Umgang mit den Personendaten sicher. [Siehe dazu Aufzählung auf der Folie.] Auch wenn die Daten mit Teamkolleg*innen oder Supervisor geteilt werden (z.B. später zur Durchsicht Ihrer Arbeit), muss dies in der Einverständniserklärung bereits erwähnt werden und die Teilnehmenden müssen damit einverstanden sein. Hinweis für Dozierende: Werden die Daten bereits in anonymisierter Form für Forschungszwecke erhoben, braucht es keine Einverständniserklärung. Vollständig anonymisierte Daten fallen nicht unter das Datenschutzgesetz, da die Personen nicht identifiziert werden können. Eine nachträgliche Anonymisierung ist schwer machbar (Stichwort: Big Data). Es ist daher abzuwägen, die Daten direkt anonymisiert zu erfassen. Es ist in jedem Fall erforderlich, die Teilnehmenden über den Zweck des Forschungsprojekts zu informieren. Weitere Informationen siehe Data protection [CLARIN-CH]. (abgerufen am 17.03.2025) Folie 6 Bei der Erhebung von Daten von Personen ist darauf zu achten, dass die Tools datenschutzkonform sind. Für Umfragen bietet die UZH die zwei Umfragetools Lime Survey und Unipark an. Diese Tools sind im allgemeinen Rahmen rechtskonform. Es ist daher sehr zu empfehlen, bei Umfragen diese Tools zu verwenden. Lime Survey wird an der UZH gehostet. Unipark ist ein externes Produkt. Ein Vertrag zwischen dem Anbieter und der UZH gewährleistet, dass alle Aspekte des Datenschutzes abgedeckt sind. Universität Zürich | Teaching Tool «Datenmanagement im Studium» 3 | 5 Möchten Sie eine andere Software/Tools verwenden, müssen Sie abklären, ob diese den schweizerischen Datenschutzrichtlinien entsprechen. Dies bedeutet vor allem zu überprüfen, wo die Daten gespeichert (und allenfalls prozessiert) werden und wer darauf Zugriff hat. Zudem müssen die Partizipant*innen über die Datenverarbeitung durch Dritt-Tools informiert werden und damit einverstanden sein. Aufgepasst: Werden besonders schützenswerte Daten erhoben, muss abgeklärt werden, ob weitere Rechtsvorgaben gelten. Hinweis für Dozierende: Siehe dazu auch die Webseite der Zentralen Informatik (UZH) (abgerufen am 17.03.2025). Bei Fragen können Sie sich auch an das Team Datenschutzrecht wenden. Folie 7 Generell wird empfohlen, personenbezogene Daten auf externen Festplatten und nicht auf dem Laptop zu speichern, da dort das Risiko eines Diebstahls geringer ist. Wenn Sie personenbezogene Daten auf Ihrem eigenen Laptop speichern müssen, sollten Sie dafür sorgen, dass die Daten sicher gespeichert sind: − Daten-Dateien müssen mit Passwörtern geschützt werden. Dabei gilt: Lange Passwörter sind starke Passwörter. Das verlinkte Video (https://www.youtube.com/watch?v=jtFc6B5lmIM) erklärt gut nachvollziehbar, wie Passwörter funktionieren und wie Passwörter bzw. Passsätze erstellt werden können, die sicher und einfach zu merken sind. − Ein weiterer Schritt zur sicheren Speicherung von Daten auf dem eigenen Laptop ist die Verschlüsselung der Daten-Dateien mithilfe einer Software. Bei der Verschlüsselung werden digitale Inhalte so kodiert bzw. in einen sinnlosen Code übersetzt, dass Unbefugte sie ohne den dazugehörigen Schlüssel nicht verstehen können. Für die kollaborative Bearbeitung und Austausch steht der SWITCHfilesender zur Verfügung. Damit können grosse Dateien (bis 300GB) sicher ausgetauscht werden. Zurzeit gibt es keine nationalen Angebote in der Schweiz, die für die Speicherung von personenbezogenen Daten geeignet wären. Auch die UZH bietet momentan keinen neuen Serverplatz dafür (Stand Juni 2025). OneDrive UZH, SWITCHdrive, Dropbox, Google Drive und ähnliche Angebote sind also nicht für die Speicherung von personenbezogenen Daten geeignet. Hinweis für Dozierende: Weitere Informationen zu Data Security und Encryption Software finden Sie in einer Präsentation der Data Protection Week, UZH, 2025, von Guglielmo Chelazzi Grandinetti, abrufbar auf Zenodo unter https://doi.org/10.5281/zenodo.14749504. Je nach Fachgebiet gibt es sogenannte Trusted Research Environments. Im Rahmen der Schweizer Initiativen SPHN (Swiss Personalized Health Network) und PHRT (Personalized Health and Related Technologies) wurde BioMedIT entwickelt, bzw. an der ETH die Leonhard Med Secure Scientific IT Platform mit sicheren Datenund IT-Lösungen für sensible Forschungsdaten. Diese Plattformen sind offen für alle Schweizer Universitäten, Spitäler, Forschungsinstitute und weiteren interessierten Partner, aber ihre Nutzung ist nicht kostenlos. Folie 8 Wie bisher aufgezeigt, treten im Umgang mit personenbezogenen Daten verschiedene Fragen auf: rechtliche Fragen, ethische Erwägungen, aber auch Fragen im Hinblick auf Tools, die verwendet oder eben nicht verwendet werden dürfen. So ist auch jeder Fall etwas unterschiedlich, je nach Kontext und Situation tauchen andere Fragen auf. Universität Zürich | Teaching Tool «Datenmanagement im Studium» 4 | 5 Arbeiten Sie daher mit personenbezogenen Daten, besprechen Sie Ihre Fragen mit Ihrer Betreuungsperson und diskutieren Sie zusammen, wo heikle Punkte beim Umgang mit Daten von Personen sein könnten. Auf den angegebenen Webseiten des Open Science Office, des Teams Datenschutz und der Zentralen Informatik der UZH finden Sie weitere Informationen wie auch Ansprechpartner. Hinweis für Dozierende: Haben Sie (bspw. als Betreuungsperson von Studierendenarbeiten) weitere Fragen im Umgang mit personenbezogenen Daten, finden Sie auf den angegebenen Webseiten der UZH u.a. die unten angeführten Informationen sowie jeweils die Angaben von Kontaktpersonen. Zögern Sie nicht, bei Unklarheiten die Supportstellen zu kontaktieren. Die Webseite des Open Science Office enthält Links zu: − UZH Services zu rechtlichen Aspekten und Datenschutz − Zum Datenschutzund Ethik-Self-Assessment-Tool − Zum Umgang mit personenbezogenen und mit besonders schützenswerten Daten − Informationen zu Forschung an und mit Menschen, mit Tieren und genetischen Ressourcen und Links zu den Ethikkommissionen der Fakultäten und ihre Ansprechspartner*innen − CARE-Prinzipien für den ethischen Umgang mit Daten Die Webseite des Teams Datenschutzrecht enthält Informationen zu: − Merkblätter zu diversen Bereichen von Datenschutz (z.B. Grundsätze des Datenschutzes, Datenschutz im Büroalltag, Datenschutz bei Forschungsvorhaben) − Datenschutz-Glossar mit den wichtigsten Begriffen zu Datenschutz − Kontaktstelle bei Fragen Die Webseite der Zentralen Informatik enthält Informationen zu: − Angaben zu rechtlichen Aspekten der Umfragetools − Ergänzende Angaben zum Tool Limesurvey zum gemeinsamen Bewirtschaften des Tools sowie das Handling von Umfragen mit vielen Teilnehmenden − Anlaufstellen für Software-Support Folie 9 Diskussion Diskussionshinweise: − Ja. Auch wenn Sie Ihre Familie und Freunde interviewen muss dafür eine Einverständniserklärung eingeholt werden. Die Partizipant*innen müssen auch informiert werden, wie die Daten prozessiert werden. Zudem soll daran gedacht werden, die Daten wieder zu löschen, wenn sie nicht mehr verwendet werden. − Selbst bei öffentlich zugänglichen Daten wie diejenigen von Social-Media-Plattformen sollten Forschende die Personen, deren Social-Media-Inhalte sie auswerten, (wenn möglich) um ihre Zustimmung bitten. Zudem müssen die Lizenzen der jeweiligen Plattformen überprüft werden, da viele Social-Media-Kanäle die Weiternutzung ihrer Inhalte regeln. Weitere, komplexere Diskussionsfragen für fortgeschrittene Studierende: − Open Science ist eine Herangehensweise, die darauf abzielt, wissenschaftliche Erkenntnisse, Prozesse, Daten und Publikationen für Forschenden und die Öffentlichkeit zugänglich zu machen. Wie können Forschende den Ansatz von «Open Data» mit den Datenschutzbestimmungen von personenbezogenen Daten vereinbaren? − In der Humanmedizin werden Daten für eine Studie gesammelt und das Einverständnis der Proband*innen eingeholt. Mehrere Jahre später zeigt sich, dass mit denselben Daten eine weitere Studie mit vielver- Universität Zürich | Teaching Tool «Datenmanagement im Studium» 5 | 5 sprechendem Resultat gemacht werden könnte. Die Proband*innen der vorhandenen Daten sind jedoch nicht mehr vollständig auffindbar für eine weitere Einverständniserklärung. Darf diese zweite Studie mit den Daten erhoben werden oder nicht? Diskussionshinweise dazu: − Für personenbezogene Daten ist das Open-Science-Motto «so offen wie möglich, so geschlossen wie nötig» relevant. Ein Streben nach offenem Zugang und offener Wissenschaft bedeutet nicht, dass Rechtsvorschriften ausser Kraft gesetzt werden können. Beim Umgang mit personenbezogenen Daten ist daher «so geschlossen wie nötig» entscheidend. − Ein wichtiges Kriterium zur Entscheidung, inwiefern die Daten weiterverwendet werden dürfen, ist die Art und Weise, wie die Daten erhoben bzw. gespeichert vorliegen, also ob sie in anonymisierter Form oder in pseudonymisierter Form vorliegen. Während anonyme und anonymisierte Daten nicht (mehr) als personenbezogenen Daten gelten, fallen pseudonymisierte Daten weiterhin unter Personendaten. Siehe dazu auch die UZH Policy zur ethischen Prüfung von Forschungsvorhaben an und mit Menschen. Quelle: Fragen z.T. in Anlehnung an Q&A auf CESSDA. Weiterführende Informationen Ein Lernvideo zu «Handling Personal Data in Research» (erstellt durch die UB) steht auf der UZH MediaspacePlattform zur Verfügung (auf Englisch). Alle Logos und Symbole von Organisationen sind urheberrechtlich geschützt. Sofern ansonsten nicht anders angegeben, ist dieser Foliensatz lizenziert mit einer CC-BY-4.0 International Lizenz. Zitieren als: Regula Zwicky. 2025. Teaching Tool «Datenmanagement im Studium»: Sicherer Umgang mit Daten von Personen. Universität Zürich.