Hierunter fallen alle Angaben, die eine Testperson identifizierbar machen: Name, Geburtsdatum, Geschlecht und weitere demografische Informationen (Art. 4 Nr. 1 DSGVO).

Auch Pseudonyme oder Kürzel können personenbezogene Daten sein, wenn eine Zuordnung zur realen Person möglich ist - etwa durch eine separate Zuordnungstabelle (Erwägungsgrund 26 DSGVO).

Das EuGH-Urteil zum relativen Personenbezug: Der Europäische Gerichtshof hat am 4. September 2025 in der Rechtssache C-413/23 P (EDSB/SRB) klargestellt, dass pseudonymisierte Daten für einen Empfänger anonym sein können, wenn dieser keinen Zugang zu den Zusatzinformationen hat, die eine Re-Identifizierung ermöglichen würden.

Konkret bedeutet das: Wenn Sie als Testleitung Codes verwenden, die nur Sie einer realen Person zuordnen können, handelt es sich aus Ihrer Sicht um personenbezogene Daten. Für die Plattform hingegen, die keinen Zugang zu Ihrer Zuordnungstabelle hat, sind dieselben Daten anonym. Diese Unterscheidung hat direkte Konsequenzen für die erforderlichen Datenschutzmaßnahmen.

Alle strukturierten Antworten aus Tests und Fragebögen: angekreuzte Auswahlmöglichkeiten, Skalenwerte oder numerische Eingaben. Diese Daten bilden die Grundlage für die Berechnung von Testergebnissen.

Testwerte unterliegen der DSGVO nur dann, wenn ein Personenbezug hergestellt werden kann. Ohne Personenbezug sind auch Daten aus z.B. psychotherapeutisch genutzten Tests lediglich abstrakte Werte ohne besonderen Schutzbedarf.

Manche Tests enthalten offene Textfelder, in denen die Testpersonen freie Antworten formulieren können. Diese Antworten können potenziell sensible oder identifizierende Inhalte enthalten.

Wie bei Testwerten gilt auch hier: Freitextantworten sind datenschutzrechtlich nur dann relevant, wenn ein Personenbezug besteht. Ohne die Möglichkeit, die Antworten einer bestimmten Person zuzuordnen, handelt es sich um anonyme Daten.

Je nachdem, welche Daten Sie verarbeiten, ergeben sich unterschiedliche Anforderungen. Beantworten Sie die folgenden Fragen, um eine Einschätzung für Ihre Situation zu erhalten.

Alle Daten werden verschlüsselt (AES-256) auf dem Server in Deutschland gespeichert. Der Zugriff ist von jedem Gerät nach Anmeldung möglich. Ideal für Forschung, Pädagogik und HR-Kontexte.

Personenbezogene Daten verlassen Ihr Gerät nicht und werden in einem verschlüsselten Browser-Tresor gespeichert. Der Server kennt Testpersonen nur unter einem anonymen Token. Freitextantworten werden Ende-zu-Ende-verschlüsselt. Ideal für Psychotherapie und klinische Diagnostik.

Sobald Sie Informationen erheben, die einer Person zugeordnet werden können (Name, Geburtsdatum, Testergebnisse etc.), greift die Datenschutz-Grundverordnung (DSGVO). Besonders sensibel sind Gesundheitsdaten nach Art. 9 DSGVO, zu denen auch bestimmte psychologische Testergebnisse zählen können. Sie sind als Testleitung datenschutzrechtlich verantwortlich für die Einhaltung aller Vorschriften.

Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage nach Art. 6 DSGVO:

Rechtsgrundlage	Typischer Anwendungsfall
Einwilligung (Art. 6 Abs. 1 lit. a)	Studien, Therapie, freiwillige Tests
Vertragserfüllung (Art. 6 Abs. 1 lit. b)	Eignungsdiagnostik, Bewerbungsverfahren
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)	Gesetzlich vorgeschriebene Tests
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)	Selten bei sensiblen Daten anwendbar

Vor einer Testung können verschiedene Vorbereitungsdokumente erforderlich sein. Art und Anforderungen unterscheiden sich je nach Dokumententyp. Die folgende Übersicht zeigt, welches Dokument wann geeignet ist und ob eine digitale Umsetzung ausreicht.

Dokumententyp	Formerfordernis	Digital geeignet?
Informationsblatt / Aufklärung	Checkbox (Kenntnisnahme)	Ja
Einwilligung	Aktive, nicht vorausgewählte Checkbox	Ja
Vertrag	Schriftform empfohlen	Eingeschränkt

Informationsblätter und Aufklärungen

Bei reinen Informations- und Aufklärungsdokumenten reicht es rechtlich vollkommen aus, dass eine Person eine einfache Bestätigung der Kenntnisnahme gibt. Eine Checkbox ist dafür vollkommen ausreichend. Eine digitale Signatur wäre für diese Dokumentenart eher ungewöhnlich, rechtlich aber gleichbedeutend.

Einwilligungen

Einwilligungen (§ 630d BGB, Art. 7 DSGVO) sind formlos möglich (mündlich oder per Checkbox), müssen aber folgende Kriterien erfüllen:

• Freiwilligkeit: Keine Koppelung an andere Leistungen, keine Nachteile bei Verweigerung
• Informiertheit: Die Testperson weiß genau, wofür sie einwilligt (Zweck, Umfang, Speicherdauer, Zugriff)
• Eindeutige Handlung: Aktives Ankreuzen oder digitale Bestätigung, nicht vorausgewählt
• Widerrufbarkeit: Hinweis auf jederzeitigen Widerruf
• Dokumentation: Die Einwilligung muss nachweisbar sein
• Verständliche Sprache: Keine komplizierten Formulierungen

Eine digitale Einwilligung ist rechtlich genauso wirksam wie eine Papier-Einwilligung. Die DSGVO schreibt keine bestimmte Form vor. Die Nachweisbarkeit wird durch die Online-Erfassung sichergestellt, die Widerrufbarkeit liegt auf Ihrer Seite.

Kurzbeispiele für einfache Checkbox-Einwilligungen:

Ausführliche Einwilligungsvorlagen:

Behandlungsverträge und digitale Signaturen

Bei Verträgen ist davon abzuraten, diese digital zu vollziehen. Handschriftliche Verträge bieten die höchste Rechtssicherheit.

Die Plattform bietet zwar die Möglichkeit, digitale Signaturen zu erfassen, diese entsprechen technisch jedoch nicht der qualifizierten elektronischen Signatur (QES), einer speziellen elektronischen Signatur, die rechtlich einer handschriftlichen gleichgestellt ist.

Nach Art. 13 DSGVO müssen Sie Testpersonen vor der Datenerhebung über folgende Punkte informieren:

• Verantwortliche Person: Wer ist verantwortlich? (Name und Kontaktdaten)
• Zweck: Zu welchem Zweck werden die Daten erhoben?
• Rechtsgrundlage: Auf welcher Grundlage erfolgt die Verarbeitung?
• Zugriff: Wer hat Zugriff auf die Daten?
• Speicherdauer: Wie lange werden die Daten gespeichert?
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit

Digitale Tests decken den kompletten Prozess ab: Die Testperson füllt den Test digital aus (Computer, Tablet oder Smartphone), die Auswertung erfolgt automatisch auf der Plattform. Alle Daten bleiben durchgängig digital und verschlüsselt.

Papier-Tests fokussieren auf die Auswertung bereits ausgefüllter Tests. Sie fotografieren oder scannen die Antwortbögen und die Plattform wertet die hochgeladenen Bilder aus. Der Durchführungsprozess selbst findet außerhalb der Plattform statt.

Bei digitalen Tests können Sie Vorbereitungsdokumente verwenden, die den Testpersonen vor dem eigentlichen Test angezeigt werden. Diese eignen sich z. B. für:

• Einwilligungserklärungen: Datenschutzrechtliche Einwilligung vor Testbeginn einholen
• Datenschutzinformationen: Information über die Datenverarbeitung nach Art. 13 DSGVO
• Testinstruktionen: Spezifische Anweisungen für Testbatterien oder komplexe Verfahren
• Studieninformationen: Zweck und Ablauf einer wissenschaftlichen Studie erklären

Die Testperson sieht das Dokument vor dem Teststart und kann aktiv z. B. eine Checkbox ankreuzen, um ihre Einwilligung zu dokumentieren. Die Plattform speichert automatisch den Zeitstempel. Ohne Bestätigung kann der Test nicht gestartet werden.

Der gesamte Prozess von Upload bis Löschung im Überblick:

• Eigenentwicklung: Der Auswertungscode wurde von uns selbst entwickelt und wird kontinuierlich gewartet
• Keine externen Dienste: Keine externen KI-Dienste, Cloud-OCR-Anbieter oder Drittanbieter-APIs
• Nur Markierungserkennung: Die Technologie analysiert nur, ob ein Feld markiert oder leer ist
• Lokale Verarbeitung: Alle Daten bleiben auf Servern in Deutschland

Obwohl die Plattform Ihre Bilder sicher verarbeitet und automatisch löscht, können Sie zusätzliche Vorsichtsmaßnahmen treffen:

• Namen und Geburtsdaten abdecken: Legen Sie ein Stück Papier über sensible Informationen, bevor Sie fotografieren
• Testpersonen-IDs verwenden: Nutzen Sie auf den Antwortbögen Pseudonyme oder IDs statt echter Namen

• Standort: Falkenstein, Deutschland (Hetzner-Rechenzentrum)
• DSGVO-Konformität: Alle Daten unterliegen deutschem und europäischem Datenschutzrecht
• Keine Drittlandübermittlung: Ihre Daten verlassen niemals die EU
• Zertifizierungen: ISO/IEC 27001 und BSI C5-Testat Typ 2

• TLS-Verschlüsselung: Alle Datenübertragungen zwischen Browser und Server sind durchgängig verschlüsselt (Art. 32 DSGVO - Stand der Technik)
• AES-256-Verschlüsselung: Sensible Daten werden mit dem NIST-standardisierten Verfahren AES-256 verschlüsselt gespeichert (FIPS Publication 197)
• Automatisch: Sie müssen nichts einstellen - die Verschlüsselung erfolgt automatisch

• Authentifizierung: Zugriff nur nach Anmeldung mit Benutzername und Passwort
• Granulare Berechtigungen: Sie legen fest, welche Teammitglieder auf welche Tests und Testpersonen zugreifen dürfen
• Keine Weitergabe: Ihre Daten werden nicht verkauft oder zu Werbezwecken genutzt
• Eigene Auswertung: Alle Algorithmen laufen auf eigenen Servern, ohne Drittdienste
• Automatische Löschung: Hochgeladene Bilder von Papiertests werden nach der Auswertung sofort gelöscht

• Speichermodus für Testpersonendaten - Server-Modus vs. Lokaler Modus im Detail
• Vorbereitungsdokumente - Einwilligungen und Datenschutzinfos vor dem Test
• AVV abschließen - Auftragsverarbeitungsvertrag in den Kontoeinstellungen

Das EuGH-Urteil vom 4. September 2025 zum relativen Personenbezug (Rs. C-413/23 P, EDSB/SRB) hat weitreichende Auswirkungen auf die Beurteilung von Pseudonymisierung und Anonymisierung:

• Hessischer Datenschutzbeauftragter (HBDI) - Einordnung als "Paradigmenwechsel"
• LDI NRW - Klarstellungen für Fachleute
• Datenschutz-Notizen - Folgen für die Praxis
• Stiftung Datenschutz - Unabhängige Einordnung
• Bird & Bird - Internationale Kanzlei-Perspektive

• Datenschutz-Grundverordnung (DSGVO) - Volltext (deutsch)
• Bundesdatenschutzgesetz (BDSG) - Volltext
• EuGH C-413/23 P - Urteil zum relativen Personenbezug

• Bundesbeauftragte für den Datenschutz (BfDI):
  www.bfdi.bund.de - DSGVO-Informationen, FAQ und Orientierungshilfen
• Landesdatenschutzbeauftragte:
  Übersicht aller Landesbehörden
• Europäischer Datenschutzausschuss (EDSA):
  edpb.europa.eu - Leitlinien und Stellungnahmen zur DSGVO

• Für Psychologen: Berufsverband Deutscher Psychologinnen und Psychologen (BDP)
  www.bdp-verband.de - Ethik-Richtlinien und Datenschutzhinweise
• Für Forschungseinrichtungen: Deutsche Forschungsgemeinschaft (DFG)
  www.dfg.de - Leitlinien zur Sicherung guter wissenschaftlicher Praxis
• Datenschutzkonferenz (DSK):
  Kurzpapier Nr. 13 - Offizielles Kurzpapier zur Auftragsverarbeitung nach Art. 28 DSGVO

Wir unterstützen Sie bei der datenschutzkonformen Nutzung der Plattform:

• Technische Dokumentation zu Sicherheitsmaßnahmen auf Anfrage
• Informationen für Ihre Datenschutzerklärung (Serverstandort, Verschlüsselung etc.)
• Support bei Fragen zur datenschutzkonformen Konfiguration