Was ist DSGVO-konforme Markt- und Zielgruppenforschung?
DSGVO-konforme Markt- und Zielgruppenforschung erfüllt bei der Verarbeitung personenbezogener Daten die Vorgaben der DSGVO: Rechtsgrundlage, Transparenz, Datenminimierung, Auftragsverarbeitungsverträge, sichere Datentransfers und IT-Sicherheit. Dies gilt für rekrutierte Befragungen und Panels ebenso wie für KI-gestützte und synthetische Forschung, bei der personenbezogene Daten meist nicht von Befragten stammen, sondern aus hochgeladenen Dateien, Kundendaten und Account-Informationen bestehen.
DSGVO-konforme Markt- und Zielgruppenforschung ist Forschung, deren Verarbeitung personenbezogener Daten den Vorgaben der Datenschutz-Grundverordnung entspricht. Sie umfasst jede Methode, von rekrutierten Umfragen, Panels und Interviews bis hin zu KI-gestützter und synthetischer Zielgruppenforschung. Die Prinzipien bleiben dieselben; was sich je nach Methode ändert, ist, wessen personenbezogene Daten verarbeitet werden und wohin sie fließen.
Ein konformes Projekt beantwortet für jede Art der genutzten personenbezogenen Daten sechs Kernfragen: Gibt es eine Rechtsgrundlage nach Artikel 6, etwa eine Einwilligung oder berechtigte Interessen? Werden die betroffenen Personen informiert? Werden nur die zwingend erforderlichen Daten erhoben (Datenminimierung, Artikel 5 Absatz 1 Buchstabe c)? Sind Auftragsverarbeiter wie Panel-Anbieter, Umfrage-Tools oder KI-Plattformen über einen Auftragsverarbeitungsvertrag (Artikel 28) gebunden? Stützen sich Datenübermittlungen außerhalb der EU auf einen rechtlichen Mechanismus wie einen Angemessenheitsbeschluss oder Standardvertragsklauseln (Artikel 44 ff.)? Und werden die Daten geschützt sowie gelöscht, sobald sie nicht mehr benötigt werden? In der rekrutierten Forschung betreffen die Antworten überwiegend die Teilnehmenden. In der synthetischen Forschung, bei der keine Probanden rekrutiert werden, betreffen sie die Dateien und Kundendaten zur Kalibrierung der Simulation, eventuelle Personas namentlich genannter Personen sowie die Account-Daten der Forschenden.
Ein deutscher Versicherer möchte vor einer Markteinführung drei Produktnamen testen. Eine klassische Online-Befragung würde Antworten und demografische Daten von Teilnehmenden über einen Panel-Anbieter erheben; der Versicherer benötigt daher den AV-Vertrag des Anbieters, rechtssichere Einwilligungstexte und definierte Löschfristen. Eine vorab durchgeführte synthetische Studie kann die drei Namen ganz ohne menschliche Befragte auf einen oder zwei eingrenzen. Wenn der Versicherer die synthetische Zielgruppe auf öffentlich zugänglichen Statistiken und einer aggregierten Zusammenfassung eigener Kundenbefragungen aufbaut, statt Rohdaten von Kunden einzuspeisen, reduziert er personenbezogene Daten in diesem Schritt auf ein Minimum. Dennoch sind ein Auftragsverarbeitungsvertrag mit der Plattform für die Account- und Upload-Daten sowie eine Prüfung erforderlich, an welchen Standorten die KI-Dienstleister der Plattform diese Daten verarbeiten.
Minds ermöglicht es Teams, Audiences aus Beschreibungen, publizierten Studien und eigenen Dokumenten zu erstellen, sodass synthetische Studien häufig auf Basis aggregierter oder anonymisierter Daten laufen können. Stand Oktober 2026 bietet Minds einen Auftragsverarbeitungsvertrag, hostet seine Anwendung in Frankfurt sowie seine Datenbank in Stockholm und nutzt KI-Modellanbieter in den USA, die auf der Seite der Unterauftragsverarbeiter aufgeführt sind, wobei in der Datenschutzerklärung Standardvertragsklauseln als Übermittlungsgrundlage genannt werden. Kundendaten werden nicht zum Trainieren universeller Modelle oder Modellen von Drittanbietern verwendet. Ob ein konkretes Projekt datenschutzkonform ist, hängt weiterhin von den verwendeten Daten und der gewählten Rechtsgrundlage ab; daher garantiert Minds keine pauschale Konformität. Details finden Sie unter Sind synthetische Befragte DSGVO-konform?.
Datenminimierung: Erhebung und Verarbeitung ausschließlich jener personenbezogenen Daten, die für den Zweck erforderlich sind; siehe DSGVO-Datenminimierung.
Auftragsverarbeitungsvertrag (AVV): der Vertrag nach Artikel 28 zwischen einem Verantwortlichen und einem Auftragsverarbeiter.
Rechtsgrundlage: einer der sechs Gründe in Artikel 6, die die Verarbeitung personenbezogener Daten legitimieren.
Anonymisierung: Veränderung von Daten derart, dass Personen nicht mehr identifiziert werden können, wodurch der Personenbezug entfällt.
Pseudonymisierung: Ersetzen von Identifikatoren, sodass Daten nur noch unter Hinzuziehung zusätzlicher Informationen einer Person zugeordnet werden können; pseudonymisierte Daten bleiben personenbezogene Daten.
Standardvertragsklauseln: von der Europäischen Kommission verabschiedete Standarddatenschutzklauseln für die Übermittlung personenbezogener Daten außerhalb der EU.
DSGVO-konforme Forschung ist eine Eigenschaft der Art und Weise, wie ein Projekt mit personenbezogenen Daten umgeht, kein Gütesiegel, das ein Tool von sich aus tragen kann. Synthetische Forschung kann den Bedarf an personenbezogenen Daten deutlich reduzieren, doch die von Ihnen hochgeladenen Dateien und die Account-Daten Ihres Teams erfordern weiterhin eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag und eine Prüfung der Verarbeitungsstandorte. Für eine schrittweise Anbieterprüfung nutzen Sie den DSGVO-Leitfaden zur Datensicherheit in der KI-Marktforschung.
Häufig gestellte Fragen
Was ist DSGVO-konforme Marktforschung?
Es handelt sich um Markt- oder Zielgruppenforschung, deren Verarbeitung personenbezogener Daten den Anforderungen der DSGVO entspricht: Jede Nutzung personenbezogener Daten stützt sich auf eine Rechtsgrundlage, Betroffene werden informiert, es werden nur notwendige Daten erhoben, Auftragsverarbeiter sind über einen AV-Vertrag gebunden, Übermittlungen außerhalb der EU verfügen über einen rechtlichen Mechanismus, und die Daten werden sicher aufbewahrt sowie fristgerecht gelöscht.
Wie unterscheidet sich das bei synthetischer oder KI-basierter Forschung?
In der rekrutierten Forschung gehören die meisten personenbezogenen Daten den Teilnehmenden. In der synthetischen Forschung gibt es keine Befragten; personenbezogene Daten stammen hier primär aus hochgeladenen Dokumenten (Kundenforschung, CRM-Exporte, Interview-Transkripte), Personas namentlich genannter Personen und den Account-Daten Ihres Teams. Für diese Daten gelten exakt dieselben DSGVO-Prinzipien.
Wann erfordert Marktforschung eine Einwilligung?
Die Einwilligung ist eine von mehreren Rechtsgrundlagen. Umfragen und Interviews mit rekrutierten Probanden stützen sich üblicherweise darauf. Andere Verarbeitungen, wie die Analyse bestehender Kundendaten, können bei Erfüllung der Voraussetzungen auf berechtigten Interessen oder einer Vertragserfüllung beruhen. Welche Rechtsgrundlage greift, entscheidet Ihr Datenschutzbeauftragter.
Kann ein Research-Tool für sich allein DSGVO-konform sein?
Nein. Ein Anbieter kann die technischen und vertraglichen Voraussetzungen dafür bereitstellen, etwa einen Auftragsverarbeitungsvertrag, eine Liste von Unterauftragsverarbeitern und Sicherheitsmaßnahmen. Ob ein Projekt jedoch DSGVO-konform ist, hängt davon ab, welche Daten Sie wie verarbeiten. Meiden Sie Anbieter, die pauschale oder garantierte Konformität versprechen.
