Synthetische Befragte sind keine echten Menschen, aber die zu ihrem Aufbau und Einsatz genutzten Daten können personenbezogen sein. Was die DSGVO für synthetische Panels, Personas und Zielgruppen bedeutet.
Keine Forschungsmethode und kein Tool ist für sich genommen DSGVO-konform. Compliance hängt davon ab, welche personenbezogenen Daten zu welchem Zweck, auf welcher Rechtsgrundlage und von wem verarbeitet werden. Ein synthetischer Befragter ist keine reale Person, daher stellen seine simulierten Antworten in der Regel keine personenbezogenen Daten dar. Die Daten, die zum Aufbau und zur Durchführung einer synthetischen Studie verwendet werden, tun dies jedoch häufig: hochgeladene Dateien, für das Grounding genutzte Kundendatensätze, Profile namentlich bekannter Personen, Prompts sowie die Kontodaten der Forschenden, die das Tool nutzen. Behandeln Sie eine synthetische Research-Plattform wie jeden anderen Auftragsverarbeiter personenbezogener Daten und prüfen Sie sie gemeinsam mit Ihrem Datenschutzbeauftragten.
Diese Seite erläutert, wo die DSGVO in der synthetischen Marktforschung greift, was vor dem Einsatz eines Tools zu prüfen ist und wie Minds Daten mit Stand Oktober 2026 verarbeitet. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung.
Für wen dieser Leitfaden gedacht ist
Diese Seite richtet sich an Datenschutzbeauftragte, Compliance- und Procurement-Teams sowie Research-Leitungen, die entscheiden müssen, ob synthetische Befragte, synthetische Panels, KI-Personas oder synthetische Zielgruppen in ihrer Organisation eingesetzt werden dürfen. Wenn Sie nach der Forschungsmethode selbst suchen, lesen Sie, was synthetische Befragte und synthetische Panels sind.
Wie synthetische Daten und DSGVO-Compliance zusammenhängen
Die DSGVO gilt für personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Artikel 4 Nr. 1). In der synthetischen Marktforschung muss diese Frage für jede Datenart im Workflow separat gestellt werden.
Simulierte Antworten eines synthetischen Befragten, der für ein Segment wie „deutsche Ersteltern“ erstellt wurde, beziehen sich in der Regel nicht auf eine identifizierbare Person.
Eine Persona, die zur Simulation einer bestimmten, namentlich bekannten Person erstellt wurde, etwa anhand ihres öffentlichen Profils oder von Interviewtranskripten, bezieht sich auf diese Person und stellt ein personenbezogenes Datum dar.
Grounding-Daten können von veröffentlichten Statistiken (keine personenbezogenen Daten) über anonymisierte Umfrageergebnisse (in der Regel keine personenbezogenen Daten, sofern wirklich anonymisiert) bis hin zu rohen CRM-Exporten (personenbezogene Daten) reichen.
Account- und Nutzungsdaten der Personen, die das Tool verwenden, wie Namen, E-Mails und Logs, sind in jedem Fall personenbezogene Daten.
Stimuli und Prompts können personenbezogene Daten enthalten, wenn sie Kunden, Mitarbeitende oder andere Personen erwähnen.
Verarbeitet der Anbieter personenbezogene Daten für Sie, fungiert er als Ihr Auftragsverarbeiter, und Artikel 28 verlangt einen Auftragsverarbeitungsvertrag. Beinhaltet diese Verarbeitung Übermittlungen außerhalb der EU, verlangen Artikel 44 ff. einen Übermittlungsmechanismus wie einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Datenminimierung (Artikel 5 Abs. 1 lit. c) gilt durchgehend: Laden Sie aggregierte oder anonymisierte Daten hoch, wo immer dies ausreicht. Details zu diesem Prinzip finden Sie unter DSGVO-Datenminimierung.
Synthetische Marktforschung kann dennoch Datenschutzrisiken im Vergleich zu rekrutierter Forschung verringern. Es gibt keine Teilnehmenden, die rekrutiert, kontaktiert, bezahlt oder aufgezeichnet werden müssen, sodass die Einwilligungserklärungen, Aufnahmen und Panel-Datenbanken klassischer Feldarbeit entfallen. Das ist ein spürbarer Vorteil, bedeutet jedoch eine Risikoreduktion, keine Befreiung von der DSGVO.
Die realistischen Optionen im Vergleich
Teams vergleichen in der Regel drei Setups.
Das erste ist rekrutierte Forschung über ein Panel oder eine Agentur. Sie verarbeitet personenbezogene Daten der Teilnehmenden und erfordert daher Einwilligungen oder eine andere Rechtsgrundlage, Datenschutzhinweise, Aufbewahrungsfristen und Agenturverträge. Im Gegenzug liefert sie echte Antworten von realen Menschen.
Das zweite ist ein universeller KI-Chatbot, der für Rollenspiele mit Kunden genutzt wird. Consumer-Chat-Produkte nutzen Eingaben möglicherweise zur Verbesserung ihrer Modelle und bieten nicht in jedem Tarif einen Auftragsverarbeitungsvertrag. Prüfen Sie daher die Nutzungsbedingungen, bevor Sie Kundendaten oder vertrauliche Konzepte dort eingeben.
Das dritte ist eine dedizierte synthetische Research-Plattform mit Auftragsverarbeitungsvertrag, veröffentlichter Unterauftragsverarbeiter-Liste und dokumentierten Sicherheitsmaßnahmen. Dies ist das Setup, das eine Datenschutzprüfung fundiert bewerten kann. Prüfen Sie, wo Daten gehostet werden, welche KI-Modellanbieter Prompts und Dateien erhalten, ob Kundendaten für das Modelltraining genutzt werden und wie Löschungen geregelt sind.
Wie Minds mit Daten umgeht
Stand Oktober 2026 gilt gemäß der rechtlichen Dokumentation von Minds:
Die Anwendung wird bei DigitalOcean in Frankfurt (Deutschland) gehostet, die Datenbank bei Supabase in Stockholm (Schweden).
Die KI-Verarbeitung nutzt Modellanbieter in den USA, darunter OpenAI, Anthropic und Google Cloud Vertex AI. Die Datenschutzerklärung nennt die Standardvertragsklauseln der EU-Kommission als Grundlage für diese Übermittlungen in die USA. Alle Anbieter sind auf der Seite der Unterauftragsverarbeiter aufgeführt.
Kundendaten werden nicht verwendet, um universelle Modelle oder Drittanbietermodelle zu trainieren, zu optimieren oder zu verbessern.
Daten werden während der Übertragung (TLS 1.2 oder höher) und im Ruhezustand (AES-256) verschlüsselt, und Kundendaten werden mandantenspezifisch logisch getrennt. Details finden sich in den technischen und organisatorischen Maßnahmen.
Minds erhebt nicht den Anspruch, dass jede Nutzung der Plattform automatisch konform ist. Ob Ihre Nutzung konform ist, hängt von den hochgeladenen Daten, Ihrer Rechtsgrundlage und Ihren internen Richtlinien ab. Lesen Sie die Datenschutzerklärung und prüfen Sie die oben genannten Dokumente gemeinsam mit Ihrem Datenschutzbeauftragten. Für eine strukturierte Anbieterprüfung nutzen Sie den DSGVO-Leitfaden zur Datensicherheit in der KI-Marktforschung.
Wann Minds die richtige Lösung ist und wann nicht
Minds eignet sich, wenn Sie richtungsweisende Erkenntnisse zu Konzepten, Botschaften und Segmenten ohne Rekrutierung von Teilnehmenden gewinnen möchten und Ihre Datenschutzprüfung die oben beschriebene Verarbeitung, einschließlich des Einsatzes US-basierter KI-Modellanbieter, freigibt.
Es ist nicht die richtige Wahl, wenn Ihre Richtlinien jegliche Übermittlung relevanter Daten außerhalb der EU verbieten oder wenn die Forschung aus regulatorischen, klinischen oder rechtlichen Gründen zwingend mit realen Menschen durchgeführt werden muss. Halten Sie in diesen Fällen personenbezogene Daten von der Plattform fern, nutzen Sie ausschließlich öffentliche oder aggregierte Grounding-Daten oder setzen Sie stattdessen auf eine rekrutierte Studie.
Häufig gestellte Fragen
Sind synthetische Befragte DSGVO-konform?
Keine Methode und kein Tool ist für sich genommen DSGVO-konform; Compliance hängt davon ab, welche Daten verarbeitet werden, warum und wie. Ein synthetischer Befragter ist keine echte Person, daher sind simulierte Antworten in der Regel keine personenbezogenen Daten. Doch Dateien, Kundendaten, Prompts und Kontodaten, die zur Erstellung und Durchführung einer synthetischen Studie genutzt werden, können es sein, und der Anbieter verarbeitet sie dann in Ihrem Auftrag. Prüfen Sie diese Verarbeitung wie bei jedem anderen Softwareanbieter.
Ist eine synthetische Persona einer echten, namentlich bekannten Person ein personenbezogenes Datum?
In der Regel ja. Ein Profil, das erstellt wurde, um eine identifizierbare Person zu simulieren, etwa anhand ihres LinkedIn-Profils, Interviews oder der CRM-Historie, bezieht sich auf diese Person und ist ein personenbezogenes Datum nach Artikel 4 Nr. 1 DSGVO. Sie benötigen eine Rechtsgrundlage für die Erstellung und Nutzung, und die betroffene Person behält ihre Betroffenenrechte.
Benötigen wir einen Auftragsverarbeitungsvertrag für ein synthetisches Research-Tool?
Wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, wie etwa Kontodaten Ihrer Nutzer, hochgeladene Dateien mit Personenbezug oder Kundendaten für das Grounding, verlangt Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Minds bietet einen AVV für seine Plattform an.
Können wir Kundendaten hochladen, um eine synthetische Zielgruppe zu grounden?
Das ist möglich, doch minimieren Sie diese Daten zuerst. Aggregierte Ergebnisse, anonymisierte Befragungsdaten und Research-Reports bergen deutlich geringere Risiken als rohe Kundendatensätze. Prüfen Sie, ob Ihre Datenschutzerklärung und Ihre Rechtsgrundlage die Nutzung von Kundendaten für diesen Zweck abdecken und wo der Anbieter sowie dessen Unterauftragsverarbeiter die Daten verarbeiten.
Wo verarbeitet Minds Daten?
Stand Oktober 2026 hostet Minds seine Anwendung bei DigitalOcean in Frankfurt und seine Datenbank bei Supabase in Stockholm. Die KI-Verarbeitung nutzt Modellanbieter in den USA, darunter OpenAI, Anthropic und Google Cloud Vertex AI, wobei Übermittlungen in die USA auf den Standardvertragsklauseln der EU-Kommission basieren. Die vollständige Liste findet sich auf der Seite der Unterauftragsverarbeiter.
Ist synthetische Marktforschung weniger datenschutzinvasiv als ein rekrutiertes Panel?
Häufig ja, da keine Teilnehmenden rekrutiert, kontaktiert oder aufgezeichnet werden. Das erübrigt Einwilligungserklärungen, Incentives und Aufnahmen, entbindet das Projekt jedoch nicht von der DSGVO: Die für das Grounding genutzten Daten und die Daten in Ihrem Account erfordern weiterhin eine Rechtsgrundlage und eine Prüfung des Anbieters.
