Interviews mit KI auswerten und die DSGVO: Was ihr klären müsst, bevor ihr hochladet

"Darf ich meine Interviewtranskripte überhaupt durch eine KI laufen lassen?" — das ist mit Abstand die häufigste Frage, die uns erreicht, und sie kommt meistens von Leuten, die ihre Ethikkommission noch vor sich haben. Die kurze Antwort: Ja, unter Bedingungen. Die lange Antwort ist dieser Artikel.

Vorweg das Wichtigste: Wir sind keine Rechtsberatung, und dieser Text ersetzt weder die Auskunft eures Datenschutzbeauftragten noch das Votum eurer Ethikkommission. Was er leisten kann, ist eine Übersicht über die Fragen, die ihr klären müsst — und darüber, welche davon ihr durch die Wahl des Werkzeugs bereits beantwortet.

Das eigentliche Problem sind nicht die Namen

Der häufigste Irrtum lautet: "Ich habe die Namen entfernt, also sind die Daten anonym." Das stimmt in der Regel nicht. Interviewtranskripte enthalten fast immer indirekte Identifikatoren — die Stationsbezeichnung, die Berufsjahre, ein besonderes Ereignis, die Größe der Einrichtung. In einer kleinen Population reicht die Kombination aus drei solchen Angaben oft aus, um eine Person zu bestimmen.

Datenschutzrechtlich sind solche Transkripte damit pseudonymisiert, nicht anonymisiert — und pseudonymisierte Daten sind weiterhin personenbezogene Daten im Sinne der DSGVO. Bei Interviews zu Gesundheit, Krankheit oder Behandlung kommt hinzu, dass es sich um besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO handeln kann, für die strengere Voraussetzungen gelten.

Das ist kein Grund zur Panik. Es ist der Grund, warum die Frage "wo werden diese Daten verarbeitet" überhaupt zählt.

Die fünf Fragen, die ihr klären müsst

1. Deckt eure Einwilligungserklärung die Verarbeitung ab? Viele ältere Vorlagen sprechen von "Auswertung durch das Forschungsteam" und schweigen zu externen Dienstleistern. Wenn eure Erklärung eine Auftragsverarbeitung nicht vorsieht, ist das die erste Baustelle — und zwar unabhängig davon, welches Tool ihr wählt. Auch ein Transkriptionsbüro ist ein Auftragsverarbeiter.
2. Wo wird verarbeitet? Verarbeitung innerhalb der EU ist der einfache Fall. Bei Übermittlung in Drittländer braucht ihr eine Rechtsgrundlage nach Kapitel V DSGVO, und die Begründung gegenüber der Ethikkommission wird deutlich aufwendiger.
3. Gibt es einen Auftragsverarbeitungsvertrag? Art. 28 DSGVO verlangt ihn. Ohne AVV ist die Weitergabe an einen externen Dienst rechtlich angreifbar, egal wie gut der Dienst ist.
4. Werden eure Daten zum Training verwendet? Das ist die Frage, an der sich Consumer-Chatbots und Forschungswerkzeuge scheiden. Bei kostenlosen Consumer-Angeboten ist die Antwort oft ja oder "es kommt darauf an".
5. Wie lange werden sie gespeichert, und könnt ihr sie löschen? Ihr braucht eine belastbare Antwort und im besten Fall einen Knopf, der sie umsetzt.

Warum ChatGPT im Freitext-Fenster die schlechteste Variante ist

Nicht wegen der Qualität der Auswertung — dazu haben wir an anderer Stelle geschrieben. Sondern weil ihr bei einem privaten Consumer-Account typischerweise keinen AVV habt, keine Kontrolle über den Verarbeitungsort, keine dokumentierte Löschfrist und nichts, was ihr einer Ethikkommission vorlegen könntet.

Das gilt ausdrücklich nicht für Enterprise- oder API-Verträge derselben Anbieter, die genau diese Punkte regeln können. Der Unterschied liegt nicht in der Technologie, sondern im Vertrag.

Wie Themera das handhabt

Vollständige Offenheit ist hier sinnvoller als Marketing, also konkret:

• Verarbeitung in der EU. Die Sprachmodell-Aufrufe laufen über einen europäischen Anbieter mit Verarbeitung innerhalb der EU. Für die meisten Ethikanträge im deutschsprachigen Raum ist das der Punkt, der die Diskussion abkürzt.
• Kein Training auf euren Daten. Eure Transkripte fließen nicht in Modelltraining ein.
• Löschung auf Knopfdruck. Projekt löschen entfernt Material und Ergebnis; Account löschen entfernt alles.
• AVV auf Anfrage. Schreibt uns an, dann bekommt ihr ihn — das ist Standard und keine Sonderbehandlung.

Was ihr trotzdem selbst tun solltet

Auch mit sauberem Werkzeug bleibt Arbeit bei euch, und das ist richtig so:

• Pseudonymisiert vor dem Upload. Namen, Orte, Einrichtungen, seltene Details durch Platzhalter ersetzen. Das verbessert die Auswertung sogar, weil Eigennamen sonst gelegentlich als Kategorien auftauchen.
• Führt ein Verarbeitungsverzeichnis. Art. 30 DSGVO, und die Ethikkommission fragt ohnehin danach.
• Nennt das Werkzeug im Methodenteil. Nicht nur datenschutzrechtlich sauber, sondern schlicht gute wissenschaftliche Praxis — und zunehmend von Journals verlangt.

Ein Formulierungsvorschlag für den Ethikantrag

"Die Transkripte werden vor der Auswertung pseudonymisiert. Für die computergestützte Kategorienbildung wird ein Auftragsverarbeiter eingesetzt, dessen Verarbeitung innerhalb der EU erfolgt; ein Vertrag nach Art. 28 DSGVO liegt vor. Die Daten werden nicht zum Training von Modellen verwendet und nach Abschluss der Auswertung gelöscht. Die Entwicklung und Prüfung des Kategoriensystems sowie die Interpretation der Ergebnisse erfolgen durch die Forschenden."

Der letzte Satz ist der wichtigste, und zwar aus methodischen Gründen: Die Kategorienhoheit bleibt bei euch. Ein Werkzeug, das euch diese Verantwortung abnehmen will, hättet ihr ohnehin nicht nehmen sollen.

Fazit

Die DSGVO verbietet KI-gestützte Auswertung nicht. Sie verlangt, dass ihr wisst, wohin die Daten gehen, dass es dafür einen Vertrag gibt und dass ihr die Verarbeitung dokumentiert und beenden könnt. Ein Großteil davon ist eine Frage der Werkzeugwahl, nicht des Aufwands.

Wenn ihr sehen wollt, wie eine Auswertung mit wörtlichen Belegzitaten aussieht, bevor ihr echtes Material hochladet: Beispielanalyse ansehen — dafür braucht ihr keinen Account. Oder kostenlos mit eigenem Material testen, drei Analysen frei, ohne Kreditkarte.