Bitte helfen Sie uns, Ihnen zu helfen und füllen Sie folgende Felder aus:
Ihre LimeSurvey-Version: LimeSurvey Cloud Version 6.17.0
Eigener Server oder LimeSurvey-Cloud: Cloud
Genutzte Designvorlage: Fruity23
==================
Hallo in die Runde,

ich möchte eine Umfrage erstellen, in denen ich für Teilnehmer Attributdaten anspielen kann, im Nachgang aber keinen Zugriff auf die Tokens habe, damit eine Identifizierung und Deanonymisierung der Teilnehmenden nicht möglich ist.

Der Hintergrund ist eine Personalbefragung in der Strukturmerkmale angespielt werden sollen (Abteilung, Unterabteilung, Referat usw.).

Wenn ich die Umfrage auf Anonym stelle, habe ich keinen Zugriff auf die angespielten Variablen (z.B. TOKEN:ATTRIBUTE_1). Wenn ich sie nicht auf anonym stelle habe ich aber immer Zugriff auf den eigentlichen Token/das Password, mit dem ich die Teilnehmer identifizieren kann, weil ich es benötige um sie per Email einzuladen (und ein einmaliges Ausfüllen zu gewährleisten).

Gibt es eine Möglichkeit, dass die Umfrage so eingetellt wird, dass nur Zugriff auf die TOKEN:ATTRIBUTE_1-z gegeben wird, aber nicht die anderen Informationen (Password, Name, Email usw.)?

Viele Grüße
BBSR-SR5

Hallo,

Wenn ich die Umfrage auf Anonym stelle, habe ich keinen Zugriff auf die angespielten Variablen

Ja, Gott sei Dank ist dies so.
Denn sonst könnte man ja locker in diese zusätzlichen Attribute wieder Name, E-Mail, usw. einfügen und hätte diese - trotz "anonym" - zur Verfügung.

Jetzt kannst Du sagen "Ja, das mache ich doch nicht". Genauso gut kannst Du auch sagen "Auch wenn ich im nicht-anonymen Modus Zugriff auf diese Daten hätte, mache ich dies nicht".

Und das ist es ja, was für uns Markt- und Meinungsforscher gang und gäbe ist. Wir halten uns an die Standesregeln unserer Verbände.
ADM: Arbeitskreis Deutscher Marktforschungsinstitute
DGOF: Deutsche Gesellschaft für Online-Forschung
BVM: Berufsverband Deutscher Markt- und Sozialforscher
ASI Arbeitsgemeinschaft Sozialwissenschaftlicher Institute
die ja alle den Kodex des ESOMAR European Society of Market and Opinion Research übernommen haben.
Und natürlich der Rat der Deutschen Markt- und Sozialforschung, der über alles wacht.

Trotzdem kann man diese Daten natürlich benutzen für Wiederholungsbefragungen, Auslosung von Incentives, usw. Nur eben nicht mit den Befragungsdaten verknüpfen. @holch spricht hier gerne von ethischer Anonymität.

Wohl aus diesem Grund kennen die meisten kommerziellen Programme diesen anonymen Modus gar nicht.
Da gibt es ja auch meist eine klare Rollenverteilung: Es gibt einen Auftraggeber, und das dienstleistende Marktforschungsinstitut.
Bei Umfragen mit LimeSurvey ist es sehr häufig so, dass Auftraggeber und Durchführer eine Person sind; gerade bei den vielen studentischen Umfragen.

Aus eigener leidvoller Erfahrung kann ich sagen "Personalbefragungen sind das Schwierigste, was es gibt." Da kannst Du Dir den Múnd fusselig reden, irgendjemand hat immer etwas auszusetzen.
Daher werden hier sehr oft außerbetriebliche Dienstleister herangezogen.

Langer Rede kurzer Sinn:
Entweder machst Du die Umfrage nicht anonym mit der Prämisse, dass Du und nur Du die "vertrauenswürdige Stelle" bist, die eben für die Einhaltung der Standesregeln bürgt.
Oder eben anonym; dann müssen die Teilnehmer eben diese paar Daten angeben (Jeder wird wohl wissen, in welcher Abteilung er sitzt). Oder wolltest Du es verschleiern, dass diese zusätzlichen Attribute gespeichert werden?

Joffm

Was Joffm sagt.

Das ist halt wie baden aber nicht nass werden wollen.

Entweder erlaubt das Tool Zugriffe auch Token-Attribute, dann kann es aber keine Anonymität garantieren, selbst wenn es die Standardfelder für die persönlichen Daten nicht zugänglich macht. Denn wie Joffm sagt, in die Custom-Attribute kann man ja alles rein importieren.

Wenn das also möglich wäre, wäre der Anonyme Modus genauso anonym wie der nicht Anonyme Modus, sprich man könnte ihn auch gleich entfernen.

Du musst also glaubhaft versichern, dass du die Daten zur Person nicht mit den Umfragedaten zusammenbringst bzw. zusammen auswertest. Oder du musst die Teilnehmer diese Punkte eben selbst auswählen lassen.

Ein weiterer Punkt den man natürlich immer bedenken muss ist, selbst wenn es keine Verknüpfung gibt, je nach Unternehmens- bzw. Abteilungsgrösse kommt man oft ganz schnell in einen Bereich wo eine Anonymität nicht mehr gewährt ist. Wenn man z.B. Abteilung, Unterabteilung, Referat usw. hat, ist man oft mals ganz schnell im einstelligen Bereich und mit der einen oder anderen Antwort kann man das dann ganz schnell auf bestimmte Personen herunterbrechen. Genau deswegen hat Joffm hier mit absolut recht:

Aus eigener leidvoller Erfahrung kann ich sagen "Personalbefragungen sind das Schwierigste, was es gibt."

Die sauberste und sicherste Lösung ist da meiner Meinung nach wirklich einen externen Dienstleister zu zuziehen, und sei es nur für das Hosten und das Trennen der persönlichen Daten von dem Umfragedaten.

Sorry, habe da leider auch keine positivere Antwort für dich. Das ist meiner Meinung nach nicht zu lösen, wenn man auf "100% technischer Anonymität" besteht.

Joffm wrote:

Wohl aus diesem Grund kennen die meisten kommerziellen Programme diesen anonymen Modus gar nicht.

 

Das Begrifflichkeit "Anonyme Befragung" nicht viel Erleuchtung bringt, sehen wir ja bei LimeSurvey.
Z.B. Qualtrics hat sich von dem Begriff "Anoymität" verabschiedet und verwendet Vertraulichkeit.
www.qualtrics.com/de/support/employee-ex...ttings/anonymity-ee/

Nachdem die Möglichkeit genommen wurde, Attribute zu übernehmen, aber die Tokenspeicherung zu verwerfen, sind im Zweifel jetzt mehr Daten zur Identifikation vorhanden.

Die Attribute wurden oft als Workaround verwendet, weil LimeSurvey keine Datenlisten hat, die zur Steuerung während der Umfrage verwendet werden können.

Es würde daher oftmals reichen, wenn es einen Modus gäbe, wo alles erlaubt ist, aber der Token nicht gespeichert wird. Oder man sensible Felder selbst markieren könnte und den Umgang (z.B. Datenspeicherung verwerfen,Pseudonymisierung) festlegen kann.
www.qualtrics.com/de/support/survey-plat...ymization-policy-ex/

Eine geschlossene Personalbefragung intern zu stemmen, wäre nur bei sehr allgemeiner Befragung und vom Personal tauschbaren Token vorstellbar.
Manche Toolanbieter exponieren bestimmte Daten grundsätzlich nicht dem Befragungsadmin. Persönlich würde von dem Ansatz trotzdem abraten, weil Mitarbeitendenbefragungen eine gewissen Eigendynamik haben. Da ist organisatorische Distanz oft hilfreich.
 

Naja, ob das jetzt Vertraulich, Anonym oder sonst was genannt wird macht jetzt nicht den grossen Unterschied.

Die Frage ist immer: Kann man die Personenbezogenen Daten mit den Antworten in Verbindung bringen?

Und das war meiner Meinung nach das Hauptproblem beim Anonymen Modos, als man Attribute aus der Teilnehmer-Tabelle an die Umfrage weitergeben konnte.

Da setze ich dann halt die Email nochmal in ein Custom-Attribute und übergebe sie an die Umfrage und speichere sie da in der Antworttabelle, und schwups war die Umfrage die im Anonymen Modus erstellt wurde nicht mehr annähernd anonym. Wenn ich abe sowieso darauf hoffen muss, dass der Umfragenersteller sowas nicht macht, dann brauche ich den Anonymen Modus ja nicht.

Finde das jetzt deutlich sauberer gelöst. Immerhin ist jetzt Anonym halbwegs anonym. Mit Gewalt kriegt man das auch jetzt sicher noch irgendwie hin, in dem man z.b. den Token über die URL mit übergibt und abspeichert, etc.

Nachdem die Möglichkeit genommen wurde, Attribute zu übernehmen, aber die Tokenspeicherung zu verwerfen, sind im Zweifel jetzt mehr Daten zur Identifikation vorhanden.

Was meinst du damit?

holch wrote:

Nachdem die Möglichkeit genommen wurde, Attribute zu übernehmen, aber die Tokenspeicherung zu verwerfen, sind im Zweifel jetzt mehr Daten zur Identifikation vorhanden.
Was meinst du damit?
 

Für Workarounds werden Attribute benötigt. An einer Speicherung des Token besteht kein Interesse. Das konnte früher umgesetzt werden. Aktuell wird beim Einsatz von Attributen zwingend der Token im Antwortset gespeichert.

Das Label "Anonyme Umfrage" ist marketinggetrieben auf Toolanbieterseite. Peace of Mind für die Userschaft. Wenn die Daten ungefiltert im Auswertungsdashbord landen, dann wird das ein Zufallsexperiment.

An einer Speicherung des Token besteht kein Interesse.

Dann kann man aber auch gleich das Token ignorieren bzw. es gar nicht mit runterladen und fertig.

Sobald Attribute in die Umfrage übergeben werden können muss man sowieso Vertrauen haben. Ob man jetzt dem Umfrageersteller vertraut, dass er/sie...
a) Keine Daten an die Umfrage ergibt, die eine Identifikation zu lassen, oder...
b) Den Token nicht mit den persönlichen Daten in Verbindung bringt

... ist nun wirklich kaum ein Unterschied. In beiden Fällen muss man dem Umfrageersteller vertrauen.

Jetzt gibt es zumindest einen anonymen Modus bei dem man nur mit viel "krimineller" Energie Daten zusammenführen kann. Mit all den Vor- und Nachteilen, was das mit sich bringt.

finde diese Lösung deutlich sauberer.

holch wrote:

... ist nun wirklich kaum ein Unterschied. In beiden Fällen muss man dem Umfrageersteller vertrauen.
 

Das mag aus der Workflowsicht eines Marktforschers so sein. Wenn ich das Prinzip Datenarmut als Umfragendesigner umsetzen will, muss man den Token mitspeichern, sofern man auf Workarounds angewiesen ist.  Es geht in vielen Fällen überhaupt nicht darum ,gegenüber dem Interviewten einen Anonymenmodus zu kommunizieren. Es geht schlicht darum, den Token nicht im Responsset zu haben. Warum immer der böse Umfragendesigner als alleiniges Risiko angeführt wird, bleibt mir unklar (abgesehen davon, dass man solche Umfragen durch Consultingfirmen erledigen lässt, welche ADM,BVM und DGOF eher als Liedzeile eines Fanta4-Songs verorten ..Das die Daten durch Dritte abgegriffen werden könnten, ist für mich auch ein Risiko, was ich bestmöglich absichern will. Den Token frühzeitig auf technischer Ebene rauszuhaben, ist da praktisch. Ich persönlich warte nicht auf diese Funktion, da ich in LimeSurvey nur Dummytoken erstelle. Einladungsversand über LimeSurvey habe ich noch nie genutzt.

Vielen Dank für euer Feedback. "Es geht einfach nicht", ist in diesem Fall auch nützliches Feedback für mich.

Das Problem ist, dass uns die Umfrage von einer übergeordneten Personalabteilung übergeholfen wurde um Kosten zu sparen und die Mitarbeitervertretung aus irgendwelchen Gründen nicht protestiert hat, dass eine interne Stelle sowas übernehmen soll. (Auch ein persönliches Learning aus der Geschichte...)

Wir benutzen nicht den E-Mailversand über LimeSurvey, sondern verwenden unser eigenes Tool. Das Problem ist halt, dass wir eine Liste mit Tokens und der Email Adresse haben, und dann dieselben Tokens in der Umfrage haben. Es wäre super, wenn man die Tokens (und nur die Tokens) nicht exportierbar machen könnte, weil eine deanonymisierung dann nur noch durch böse Absicht (aka wir schreiben absichtlich deanonymisierende Informationen in ein Attribut) bei uns geschehen könnte.

Mir geht es auch gar nicht, darum, dass irgendwo fälschlicherweise "anonyme Umfrage" im Tool steht, sondern dass ich gerne sagen können wollte, dass ich Personen nicht Antworten zuordnen kann.

Vielen Dank für euer Feedback. "Es geht einfach nicht", ist in diesem Fall auch nützliches Feedback für mich.

Na dann: Es geht nicht.

Aber, wenn der Emailversand nicht über Limesurvey erfolgt, dann hast du ja schon mal eine gewisse Trennung.

Die Person die verantwortlich ist für den Versand erstellt eine Token-Liste mit den Attributen und der Email.

Bevor sie dir diese Tokenliste gibt, macht diese Person eine Kopie und löscht die Emails bzw. ersetzt sie mit Dummy-Emails. Denn soweit ich weiss müssen in dieser Token-Liste Emails stehen.

Dann hat derjenige, der Zugriff auf die Umfragedaten hat keinen Zugang zu den personen-bezogenen Daten. Und der Versender weiss zwar, welche Email zu welchem Token gehört, aber wenn der Umfrage-Verantwortliche die Umfragedaten ohne Token exportiert (das kann man ja beim Export entscheiden), dann hat man das ja relativ sauber getrennt.

Denn selbst wenn es die technische Möglichkeit gäbe (und glaube nicht, dass es die aktuell gibt), technisch auszuschliessen, dass die Token mit exportiert werden können, hast du ja genau das gleiche Dilemma:

Die Leute müssen euch vertrauen. Entweder, ....
... dass ihr wirklich die Tokens nicht mit exportieren könnt bzw dass ihr die richtigen Einstellungen gemacht habt, oder...
... dass ihr die Tokens einfach nicht mit den Ergebnissen exportiert und die Ergebnis-Daten nicht mit den persönlichen Daten zusammen führt.

Das kommt für mich irgendwie auf's selbe raus. In beiden Fällen müssen euch die Leute vertrauen. Für mich ist da irgendwie kein Unterschied.

Beim Limesurvey-Anonym-Modus kommt zumindest da ein dritter Faktor mit rein, wo die Software sagt: Der Token kann nicht mit den Ergebnisdaten zusammengeführt werden. Aber in dem Fall hast du halt keine Möglichkeit Attribute zu übergeben.

Moin! Ehrlich gesagt triffst du den Nagel auf den Kopf: Am Ende ist das eine reine Vertrauenssache und nicht nur eine Frage von Häkchen in einer Software. Ich hatte genau das Gleiche letztes Jahr bei einer großen internen Umfrage. Wir haben uns ewig den Kopf über den anonymen Modus von LimeSurvey zerbrochen. Das Problem ist ja: Sobald man die Ergebnisse ein bisschen filtern will (um zu sehen, ob das Marketing oder die Buchhaltung geantwortet hat), kriegen die Leute Panik.Selbst wenn man hoch und heilig verspricht, dass die Tokens getrennt sind, denkt sich immer einer: „Wenn der Chef wirklich wissen will, was ich geschrieben habe, findet er einen Weg.“ Wir haben es dann ganz simpel gelöst: Wir haben den Rohdaten-Export live vor den Augen der Personalvertreter gemacht, um ihnen zu zeigen, dass die ID-Spalte wirklich leer ist. Es ist verrückt, aber die Leute beruhigt es viel mehr, wenn sie einmal die anonymen Zeilen auf einem Bildschirm sehen, als wenn man ihnen technische Protokolle erklärt. Manchmal zählt der „menschliche“ Beweis einfach mehr als jede Einstellung im Backend.