An dieser Stelle ist die Dokumentation des Änderungsmanagements sicherzustellen. Das Datenschutzkonzept muss als lebendiges Dokument geführt werden, das mit jeder inhaltlichen oder technischen Anpassung des Forschungsvorhabens fortgeschrieben wird. Zu benennen sind insbesondere die Versionsnummer, das Datum der Änderung, die dafür verantwortliche Person und die Art der Änderung.
Das vorliegende Datenschutzkonzept unterliegt einem iterativen Aktualisierungsprozess und wird fortlaufend an die technische und inhaltliche Entwicklung des Forschungsvorhabens angepasst. Alle Änderungen werden in einem Änderungsprotokoll dokumentiert, das nachvollziehbar macht, wann datenschutzrelevante Anpassungen erfolgt sind und wer dafür verantwortlich zeichnet.
[Hier ggf. konkretisieren: Fügen Sie an dieser Stelle eine Tabelle ein oder verweisen Sie auf ein separates Änderungsprotokoll. Mindestangaben sind: Versionsnummer, Datum, Name der verantwortlichen Person, Kurzbeschreibung der inhaltlichen oder technischen Änderung. Beispielhaft kann das Protokoll wie folgt aufgebaut sein:
| Änderungsprotokoll | |||
|---|---|---|---|
| Versionsnummer | Datum | Verantwortliche Stelle [Personenname und Funktion] | Beschreibung der vorgenommenen Anpassungen |
| [...] | [...] | [...] | [...] |
| [...] | [...] | [...] | [...] |
An dieser Stelle sind alle weiteren Konzepte und Dokumente zu referenzieren, die für die datenschutzkonforme Durchführung des Verfahrens relevant sind. Die Referenzierung dient der Nachvollziehbarkeit und vermeidet Redundanzen. Zu nennen sind insbesondere IT-Sicherheitskonzepte, Risikoanalysen, Berechtigungskonzepte, Notfallpläne sowie ggf. durchgeführte Datenschutzfolgenabschätzungen.
Das vorliegende Datenschutzkonzept ist Bestandteil eines umfassenden organisatorischen und technischen Maßnahmenrahmens zur Gewährleistung von Datenschutz und Datensicherheit. Es steht in enger Verbindung mit weiteren konzeptionellen und operativen Dokumenten, die unterschiedliche Aspekte der Datenverarbeitung und Systemumgebung spezifizieren und ergänzen.
[Hier ggf. ergänzen: Streichen Sie nicht zutreffende Dokumente und fügen Sie projektspezifische Unterlagen hinzu. Nennen Sie bei jedem Verweis den Dokumententitel, die Version und das Datum.]
An dieser Stelle ist das Verfahren eindeutig zu benennen und einer ggf. vorhandenen Webpräsenz zuzuordnen. Die Bezeichnung sollte den Forschungsgegenstand erkennen lassen und mit dem internen Verfahrensverzeichnis der Einrichtung übereinstimmen.
Der Begriff „Verfahren“ wird hier im datenschutzrechtlichen Sinne verwendet und bezeichnet die konkrete Datenverarbeitung als organisatorische Einheit. In Forschungskontexten entspricht dies in der Regel dem jeweiligen Forschungsprojekt, da das Projekt Zweck, Umfang und Durchführung der Datenverarbeitung definiert. Daher ist an dieser Stelle der Projekttitel anzugeben.
An dieser Stelle ist der Gegenstand und das methodische Vorgehen des Forschungsvorhabens so zu beschreiben, dass Art und Umfang der Datenverarbeitung für Dritte nachvollziehbar sind. Darzustellen sind insbesondere die Forschungsziele, die Datenquellen (Soziale Medien), der Erhebungsmodus (z. B. API-Abruf), die Einschränkung auf öffentlich zugängliche Inhalte sowie die Einbettung in die institutionelle Infrastruktur.
Bei dem vorliegenden Verfahren handelt es sich um ein wissenschaftliches Forschungsprojekt [Name] an einer Universität [Name], in dessen Rahmen Daten aus digitalen Quellen erhoben, verarbeitet und analysiert werden. Ziel ist die systematische Untersuchung von Kommunikations-, Interaktions- oder Verhaltensmustern auf Social-Media-Plattformen.
[Hier ggf. konkretisieren: Passen Sie die Aufzählung der Forschungsgegenstände an Ihr konkretes Vorhaben an. Sie können hier auch methodische Schwerpunkte benennen, z. B. Natural Language Processing, Netzwerkanalyse oder multimodale Inhaltsanalyse. Ihre Projektinhalte sollten Außenstehenden Personen mit dieser Beschreibung verständlich sein. Vermeiden Sie zu spezifische interne Projektbezeichnungen.]
Die Datenerhebung erfolgt aus [Art der Datenquellen, z. B. soziale Medien, Online-Plattformen, öffentliche Datenbanken]. Es werden ausschließlich [z. B. öffentlich zugängliche] Inhalte verarbeitet, darunter insbesondere:
Der Zugriff auf die Daten erfolgt über [z. B. offizielle Programmierschnittstellen (APIs), bereitgestellte Datenschnittstellen oder andere rechtlich zulässige Zugangswege].
Es erfolgt kein Zugriff auf passwortgeschützte Bereiche, keine Umgehung technischer Zugangsbeschränkungen und keine Verarbeitung nicht öffentlich zugänglicher personenbezogener Daten.
[Hier ggf. konkretisieren: Prüfen Sie, ob bei Ihrem Vorhaben tatsächlich ausschließlich öffentliche Inhalte erhoben werden. Falls Sie geschlossene Gruppen, eingeschränkte Profile oder mit Einwilligung erfasste Daten auswerten, erweitern Sie diesen Abschnitt und passen Sie die Rechtsgrundlagen in Kapitel 7 an.]
Eine individuelle Profilbildung oder personenbezogene Bewertung einzelner natürlicher Personen ist [nicht vorgesehen / nur in klar definierten Ausnahmefällen vorgesehen, die gesondert begründet werden].
Die Datenverarbeitung erfolgt innerhalb einer [z. B. geschützten technischen Infrastruktur / institutionellen IT-Umgebung] unter Anwendung geeigneter technischer und organisatorischer Maßnahmen zum Schutz personenbezogener Daten.
Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage der einschlägigen datenschutzrechtlichen Bestimmungen, insbesondere:
Es gilt das datenschutzrechtliche Grundprinzip des „Verbots mit Erlaubnisvorbehalt“: Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf Basis einer klar definierten Rechtsgrundlage und ist auf den jeweiligen Forschungszweck beschränkt.
Das Forschungsprojekt erhält unter den Voraussetzungen des Art. 40 DSA privilegierten Datenzugang, da die beteiligten Forschenden für das konkrete Vorhaben den Status als „vetted researchers“ haben beziehungsweise die Voraussetzungen für den Zugang zu öffentlich zugänglichen Daten erfüllen. Erforderlich sind insbesondere ein nachgewiesener öffentlicher Nutzen und die Umsetzung geeigneter technischer und organisatorischer Schutzmaßnahmen.
Die Datenverarbeitung erfolgt innerhalb der infrastrukturellen Verantwortung von [Name der Einrichtung]. Der Abruf der Daten erfolgt aus [Quelle/Plattform/Schnittstelle] über [Abrufweg, z. B. API, Forschungszugang, Download, Scraping-Verfahren] und wird als eingehender Datenfluss dokumentiert. Erfasst werden insbesondere Zeitpunkt und Umfang des Abrufs, die übernommenen Datenkategorien, die technische Zugriffsmethode sowie die für den Abruf einschlägige Rechtsgrundlage. Die abgerufenen Daten werden nach Eingang ausschließlich in der Forschungsinfrastruktur von [Name der Einrichtung] gespeichert und verarbeitet.
Eine Übermittlung in Drittländer oder an externe Auftragsverarbeiter erfolgt nur, sofern dies gesondert dokumentiert und rechtmäßig abgesichert ist (vgl. Kapitel 10 und 13).
[Hinweis: Die genannten Rechtsgrundlagen werden in Kapitel 7 ausführlich dargestellt. Falls Ihr Projekt keine sehr großen Online-Plattformen (VLOPs) im Sinne des DSA erforscht, können Sie den DSA-Verweis kürzen. Die Nennung von DSGVO und BDSG ist jedoch zwingend.]