Hinweis
Dieser Beitrag ist eine fachliche Einordnung aus Sicht des Usability Engineering. Er stellt keine Rechtsberatung dar.
1 Warum Datenschutz in Usability-Studien zur Studienarchitektur gehört
In vielen Entwicklungsprojekten werden zuerst Forschungsfragen, Benutzergruppen, Aufgaben und Nutzungsszenarien festgelegt. Datenschutz in Usability-Studien rückt oft erst in den Blick, wenn die Rekrutierung startet. Bis dahin ist bereits viel entschieden:
- welche Methode eingesetzt wird,
- welche Benutzergruppen teilnehmen,
- ob online, im simulierten Nutzungskontext oder im realen Umfeld getestet wird,
- welche Kameras, Plattformen und Beobachtungsräume vorgesehen sind,
- wer live zuschaut und wer später Aufzeichnungen erhält.
Jede dieser Entscheidungen verändert, welche personenbezogenen Daten entstehen und wer sie sieht. Drei Beispiele zeigen, wie schnell das passiert: Ein zusätzliches internationales Team möchte kurz vor Studienbeginn live beobachten. Die Videokonferenzplattform aktiviert eine automatische Transkription. Ausgewählte Videosequenzen sollen später in einer internen Schulung gezeigt werden. In allen drei Fällen verändern sich Empfängerkreis, beteiligte Dienstleister oder Verarbeitungszweck.
Die Datenschutz-Grundverordnung (DSGVO) nennt in Art. 5 unter anderem Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertraulichkeit als Grundsätze. Diese Grundsätze erfüllt keine Unterschrift. Sie müssen in der Art, wie die Studie aufgebaut ist, umgesetzt sein.
Teilnehmerinformation und Einwilligung dokumentieren das Datenschutzkonzept. Sie ersetzen es nicht.
Perspektivwechsel: Was Teilnehmende wissen wollen
Perspektivwechsel
Betrachten Sie die Studie einmal aus Sicht einer Pflegefachkraft oder einer Ärztin, die für eine Studie angefragt wird. Vor einer Zusage stellen sich Teilnehmende berechtigterweise ganz praktische Fragen: Wer sieht mich während der Session? Wird mein Gesicht aufgezeichnet oder nur meine Hände? Wer bekommt die Aufnahme, und wie lange wird sie gespeichert? Erfährt der Hersteller meinen Namen oder meinen Arbeitgeber?
Diese Fragen lassen sich nur ehrlich beantworten, wenn das Studienteam die Antworten vorher kennt. Beteiligung braucht Transparenz. Wer seine Praxiserfahrung in eine Studie einbringt, soll verstehen, wozu seine Einschätzung dient und was mit seinen Daten geschieht. Diese Klarheit ist nicht nur eine Pflicht, sondern Teil der Studienqualität: Teilnehmende, die wissen, woran sie sind, können sich auf die Aufgaben konzentrieren.
2 Warum „User Study“ keine Einordnung ist
„User Study“ ist ein Sammelbegriff. Er kann ein exploratives Interview, eine Kontextbeobachtung, eine formative Usability Evaluation, eine summative Usability Evaluation, eine Post-Market-Aktivität oder eine klinische Prüfung bezeichnen. Diese Aktivitäten unterscheiden sich nicht nur in der Methode. Sie können auch unterschiedliche regulatorische, ethische und datenschutzrechtliche Anforderungen auslösen.
Eine formative Evaluation dient dazu, während der Entwicklung Stärken und Schwächen der Benutzungsschnittstelle sowie mögliche Anwendungsfehler zu erkennen. Eine summative Evaluation beziehungsweise Human-Factors-Validierung liefert dagegen an einem weitgehend finalen Design Nachweise zur sicheren Nutzung durch repräsentative Benutzer. Beide sind Teil des risikobasierten Prozesses nach IEC 62366-1 und der FDA Human Factors Guidance.
Ob eine Studie mit Menschen eine klinische Prüfung im Sinne der MDR ist, hängt nicht von ihrem Namen ab. Die Medical Device Coordination Group beantwortet in MDCG 2021-6 ausdrücklich die Frage, ob Usability-Tests klinische Prüfungen sind: Je nach Studiendesign können sie unter die Definition fallen oder nicht. Entscheidend sind Zweck, Umfang und die Frage, ob Teilnehmende produktbezogenen Risiken ausgesetzt werden. Wenn Menschen beteiligt sind, empfiehlt das Dokument, zu begründen und zu dokumentieren, warum ein Usability-Test keine klinische Prüfung ist.
Die Bezeichnung „User Study“ beantwortet also noch nicht,
- ob nur Nutzungshandlungen beobachtet oder klinische Daten erhoben werden,
- ob das Produkt tatsächlich an Patient:innen angewendet wird,
- ob Teilnehmende produktbezogenen Risiken ausgesetzt sind,
- ob eine Ethikkommission oder Behörde einzubeziehen ist.
Die Bezeichnung einer Studie ersetzt nicht ihre Einordnung. Entscheidend sind Ziel, Produktstatus, Durchführung und tatsächliche Datenerhebung.
3 Studienarten und ihre typischen Datenschutzfragen
3.1 Explorative Studien und Kontextanalysen
Interviews, kontextuelle Interviews, Arbeitsplatzbeobachtungen und Workflow-Analysen helfen, den Nutzungskontext zu verstehen. Schon hier entstehen personenbezogene Daten. Angaben zu Fachgebiet, Berufserfahrung, Funktion und Einrichtung können eine Person in spezialisierten Bereichen indirekt identifizierbar machen.
Bei Beobachtungen in Kliniken und Praxen wird zudem ein informationsreicher Arbeitskontext sichtbar: Patientendaten auf Monitoren, Dokumente, Namensschilder, Gespräche und zufällig anwesende Personen. Vor Beginn sollte deshalb feststehen, welche Bereiche beobachtet werden, ob Aufnahmen nötig sind und wie mit unbeabsichtigt erfassten Informationen umgegangen wird.
3.2 Formative Evaluationen
Formative Studien sind iterativ. Erkenntnisse aus den ersten Sessions verändern das Design oder werfen neue Fragen auf. Diese Flexibilität ist methodisch gewollt, muss sich aber im Datenschutzkonzept wiederfinden. Kommen nach den ersten Sessions Videoaufnahmen, weitere Beobachtende, Transkriptionen oder neue Screener-Fragen hinzu, verändert sich der Datenfluss.
Planen Sie deshalb vorab, welche Anpassungen vom ursprünglichen Studienzweck abgedeckt sind und ab wann Teilnehmerinformation oder Einwilligung erneut geprüft werden.
3.3 Summative Evaluationen und Human-Factors-Validierung
Summative Studien brauchen eine hohe Nachvollziehbarkeit. Daraus folgt aber nicht, dass alle Beteiligten die Identität der Teilnehmenden kennen müssen. Ein belastbares Datenkonzept kann zum Beispiel vorsehen:
- Teilnehmende werden über Studien-IDs geführt.
- Identitäts- und Studiendaten werden getrennt gespeichert.
- Kontaktdaten bleiben beim Teilnehmermanagement.
- Das Entwicklungsteam erhält anonymisierte oder zusammengefasste Ergebnisse und Beobachtungsprotokolle ohne Namen.
- Berichte enthalten aggregierte Angaben zur Stichprobe.
Pseudonymisiert ist nicht anonym
Pseudonymisierte Daten bleiben nach DSGVO personenbezogene Daten, weil sie sich mit zusätzlichen Informationen wieder einer Person zuordnen lassen (Art. 4 Nr. 5, Erwägungsgrund 26). Erst wenn eine Reidentifizierung nicht mehr vernünftigerweise möglich ist, gelten Daten als anonym. Gesicht und Stimme in Videos sind in der Regel identifizierend, auch ohne Namen.
Die zentrale Frage lautet: Welche Merkmale sind nötig, um Eignung und Repräsentativität der Stichprobe nachvollziehbar zu machen, ohne den Personenbezug unnötig auszuweiten? Regulatorische Nachvollziehbarkeit und Datenschutz sind keine Gegensätze. Sie brauchen eine passende Datenstruktur.
3.4 Real-Use-Aktivitäten
„Real Use“ ist keine eigene regulatorische oder datenschutzrechtliche Kategorie. Eine Real-Use-Aktivität kann eine Kontextbeobachtung, eine Post-Market-Aktivität, eine PMCF-Aktivität oder unter bestimmten Voraussetzungen eine klinische Prüfung sein. Früh zu klären ist, ob das Produkt tatsächlich an Patient:innen angewendet wird, ob es CE-gekennzeichnet und innerhalb seiner Zweckbestimmung im Einsatz ist und ob Behandlungsdaten oder nicht rekrutierte Personen erfasst werden.
Eine Studie kann methodisch wie ein Usability-Test aussehen und regulatorisch dennoch weitergehende Anforderungen auslösen.
4 Drei Settings, drei Datenschutzprofile
4.1 Online-Studien
Online-Studien erlauben oft eine klare Trennung zwischen Teilnehmenden und Entwicklungsteam: Studien-IDs statt Namen, begrenzter Beobachterkreis, kontrollierte Bereitstellung von Aufzeichnungen. Gleichzeitig bringen sie eigene Risiken mit: externe Plattformen, automatische Cloud-Aufzeichnung und Transkription, Unterauftragnehmer, Serverstandorte außerhalb der EU, internationale Beobachtende, Screenshots und private Informationen im Hintergrund des Teilnehmenden.
Vor Beginn sollten Sie deshalb klären:
- Welche Plattform wird eingesetzt, und wo speichert sie Daten?
- Welche Unterauftragnehmer sind beteiligt?
- Ist automatische Aufzeichnung oder Transkription aktiviert?
- Aus welchen Ländern greifen Beobachtende zu?
- Sind lokale Aufzeichnungen und Screenshots ausgeschlossen?
- Welche Informationen können beim Teilen des Bildschirms sichtbar werden?
Online heißt also nicht automatisch datenschutzfreundlich. Entscheidend sind Plattform, Konfiguration, Empfängerkreis und tatsächlicher Datenfluss.
4.2 Simulated-Use-Studien
Im Usability Lab oder in einer simulierten klinischen Umgebung lässt sich vieles gezielt gestalten. Kameraperspektiven werden geplant, Patientendaten durch simulierte Datensätze ersetzt, Teilnehmende und Beobachtende räumlich getrennt und Beobachtende namentlich freigegeben. Die zentralen Planungsfragen lauten: Muss das Gesicht aufgezeichnet werden, oder genügen Hände, Produkt und Benutzeroberfläche? Ist Audio für die Ursachenanalyse nötig? Welche Aufzeichnungen erhält der Auftraggeber? Eine Trennung von Identität und Beobachtung ist auch im Labor möglich, wenn das Research-Team die Sessions durchführt und Live-Beobachtung sowie Aufzeichnungen nach festen, vertraglich vereinbarten Regeln erfolgen.
4.3 Real-Use-Studien im klinischen Umfeld
Kliniken und Praxen lassen sich nicht vollständig isolieren. Zusätzliche Risiken entstehen durch Patientendaten auf Displays, erkennbare Stationen, vertrauliche Gespräche und berufliche Abhängigkeiten. Bewährte Schutzmaßnahmen sind definierte Beobachtungsbereiche, begrenzte Kameraperspektiven, Abdeckung patientenbezogener Bildschirminhalte, Verzicht auf Ton, wo er nicht gebraucht wird, und klare Ansprechpartner in der Einrichtung. Der Schutz liegt hier weniger in Verblindung als in Transparenz, Zweckbegrenzung und Kontrolle der tatsächlich erhobenen Daten.
| Klassischer Ansatz | Neuer Ansatz |
|---|---|
| Einwilligungsvorlage auswählen und Studiendaten eintragen | Datenfluss der Studie planen und daraus die Dokumente ableiten |
| Datenschutz wird vor der Rekrutierung „erledigt“ | Datenschutz begleitet jede Änderung an Setting, Plattform und Beobachtung |
| Vollständige Videos für alle Beteiligten | Aufzeichnung und Zugriff nach tatsächlichem Analysebedarf |
| Online gilt als unkritisch, vor Ort als kritisch | Jedes Setting bekommt ein eigenes Schutzkonzept |
| Teilnehmerinformation als Pflichtdokument | Teilnehmerinformation als ehrliche Antwort auf die Fragen der Teilnehmenden |
5 Der Studienlebenszyklus als Datenfluss
Datenschutzentscheidungen fallen nicht nur in der Session. Sie begleiten die gesamte Studie.
5.1 Kontakt und Rekrutierung
Der erste Datenfluss beginnt lange vor der Session. Woher stammen die Kontaktdaten? Wer spricht die Person an, und welche Informationen erhält sie dabei? Wie kann sie weiteren Kontakt ablehnen? Werden Daten nicht direkt bei der Person erhoben, bestehen nach Art. 14 DSGVO zusätzliche Informationspflichten, unter anderem zur Herkunft der Daten.
5.2 Screening und Auswahl
Screener sind oft der detaillierteste Datensatz einer Studie. Sie erfassen Qualifikation, Erfahrung, Tätigkeitsumfeld, Produktkenntnis und manchmal gesundheitliche Ausschlusskriterien. Bei hochspezialisierten Healthcare Professionals kann schon die Kombination weniger beruflicher Merkmale eine Person identifizierbar machen. Zu entscheiden ist deshalb, welche Kriterien wirklich nötig sind, wer vollständige Antworten sieht, ob der Auftraggeber einzelne Personen auswählt und was mit den Daten nicht ausgewählter Personen passiert.
Rekrutierung ist Teil der Studienqualität
Ein guter Screener fragt nur, was für die Auswahl repräsentativer Teilnehmender nötig ist. Das schützt die Daten der Bewerbenden und verbessert gleichzeitig die Auswahl. Mehr dazu im Artikel HCP Recruiting für Usability Tests.
5.3 Durchführung
Vor der ersten Session sollten Beobachtungs- und Aufzeichnungskonzept feststehen: Wer moderiert, wer beobachtet, wird live gestreamt? Werden Bild, Stimme oder Bildschirm aufgezeichnet, und welche Bildausschnitte sind sichtbar? Können Dritte oder Patienteninformationen erfasst werden?
5.4 Analyse und Datenübergabe
Bei der Übergabe zeigt sich, ob der Informationsbedarf früh genug geklärt wurde. Erhält der Auftraggeber Rohdaten oder Ergebnisse? Bleiben Videos beim Research-Partner? Wer hat Zugriff auf die Zuordnungsliste, und über welchen Kanal werden Daten übermittelt? Soll ein identifizierbares Video an weitere Empfänger gehen, muss das vor der Aufnahme geklärt und den Teilnehmenden mitgeteilt sein.
5.5 Aufbewahrung, Löschung und weitere Nutzung
Nach der Studie ist festzulegen, welche Daten aufbewahrt, gelöscht oder anonymisiert werden und ob eine weitere Nutzung geplant ist. Die Aufnahme in ein Testpanel für künftige Studien ist ein eigener Zweck. Die Zustimmung zu einer einzelnen Studie umfasst nicht automatisch die dauerhafte Speicherung für spätere Einladungen.
Wer den Lebenszyklus kennt, kann die richtigen Fragen in der richtigen Reihenfolge stellen. Genau dafür dient der folgende Entscheidungspfad.
6 Entscheidungspfad: In sieben Fragen zum passenden Konzept
Ein Datenschutzkonzept sollte nicht aus einer bevorzugten Vorlage entstehen, sondern aus dem tatsächlichen Erkenntnisbedarf.
- Welche Erkenntnisse werden tatsächlich gebraucht? Aggregierte Ergebnisse, Beobachtungsdaten, Video oder einzelne Teilnehmerprofile? Je genauer der Bedarf beschrieben ist, desto gezielter lassen sich die Daten bestimmen.
- Muss der Auftraggeber einzelne Teilnehmende identifizieren? Reichen aggregierte Angaben zu Qualifikation und Erfahrung, kann die Identität beim Research-Partner bleiben.
- Welche Rohdaten sind nötig? Für viele Fragen genügen Beobachtungsprotokolle, Aufnahmen von Händen und Produkt, Bildschirmaufzeichnungen oder ausgewählte Sequenzen. Nicht jede Analyse braucht dieselbe Identifizierbarkeit.
- Wer entscheidet über Auswahl, Aufzeichnung, Empfänger und Aufbewahrung? Diese Entscheidungen bestimmen die datenschutzrechtlichen Rollen. Teil 2 dieser Reihe geht darauf ausführlich ein.
- Welche Trennung ist im gewählten Setting möglich? Online ist eine starke Trennung oft einfach. Bei Real-Use-Studien vor Ort ist eine Verblindung in der Regel nicht möglich, dort gewinnen Transparenz und kontrollierte Erhebung an Gewicht.
- In welchen Ländern werden Daten erhoben, gespeichert und abgerufen? Relevant sind auch Plattformstandorte, Dienstleister und der Sitz der Beobachtenden.
- Was geschieht nach Abschluss der Studie? Löschung, Aufbewahrung, Anonymisierung und eine mögliche weitere Nutzung sollten vor Beginn feststehen.
Datenschutz entsteht nicht durch weniger Research, sondern durch präziser gestalteten Research.
Fazit
Usability-Studien brauchen reale Einblicke, und diese Einblicke erzeugen personenbezogene Daten, oft schon beim ersten Kontakt. Je realistischer das Setting, je spezialisierter die Benutzergruppe und je internationaler die Durchführung, desto wichtiger wird eine frühe Planung des Datenflusses.
Eine belastbare Planung beginnt deshalb nicht mit der Einwilligungsvorlage, sondern mit der Einordnung der Studie, dem Setting und der Frage, wer welche Daten wirklich braucht. Daraus ergeben sich Teilnehmerinformation und Einwilligung fast von selbst. Und die Teilnehmenden erhalten das, was sie für ihre Zusage brauchen: ehrliche und konkrete Antworten.
Bei USE-Ing. planen wir Rekrutierung, Screening und Studiendurchführung so, dass Datenfluss und Teilnehmerinformation von Anfang an zusammenpassen. Wenn Sie eine Studie mit Healthcare Professionals vorbereiten, sprechen Sie uns gern früh an.
Häufig gestellte Fragen zu Datenschutz in Usability-Studien
Weiterführende Inhalte
- HCP Recruiting für Usability Tests: Warum falsche Teilnehmer zum Problem werden
- Formative Usability Evaluation gemäß IEC 62366-1
- Human Factors Validation Tests im Einklang mit FDA-Anforderungen
- Healthcare Testpanel von USE-Ing.
- Wiki: Repräsentative Benutzer, Summative Usability Evaluation, Kontextanalyse
Quellen
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), insbesondere Art. 4 Nr. 5, Art. 5, Art. 9, Art. 14 und Erwägungsgrund 26: https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu
- Verordnung (EU) 2017/745 über Medizinprodukte (MDR), Art. 2 Nr. 45 (klinische Prüfung): https://eur-lex.europa.eu/eli/reg/2017/745/oj/deu
- MDCG 2021-6 Rev. 1: Regulation (EU) 2017/745 – Questions & Answers regarding clinical investigation, Dezember 2023, Frage 17: https://health.ec.europa.eu/system/files/2023-12/mdcg_2021-6_en.pdf
- BfArM: Klinische Prüfungen gemäß MDR / MPDG: https://www.bfarm.de/DE/Medizinprodukte/Aufgaben/Klinische-Pruefungen-und-Leistungsstudien/Klinische-Pruefungen/_node.html
- Medizinprodukterecht-Durchführungsgesetz (MPDG): https://www.gesetze-im-internet.de/mpdg/
- FDA: Applying Human Factors and Usability Engineering to Medical Devices (Guidance for Industry and FDA Staff): https://www.fda.gov/regulatory-information/search-fda-guidance-documents/applying-human-factors-and-usability-engineering-medical-devices
- EDPB: Guidelines 05/2020 on consent under Regulation 2016/679: https://www.edpb.europa.eu/documents/guideline/guidelines-052020-on-consent-under-regulation-2016679_en
