An dieser Stelle sind die konkreten Rechtsgrundlagen für die Verarbeitung personenbezogener Daten zu benennen und inhaltlich zu begründen. Es reicht nicht aus, nur die Gesetze zu nennen; Sie müssen erklären, warum die jeweilige Vorschrift auf Ihr Vorhaben anwendbar ist und wie ihre Voraussetzungen erfüllt sind. Bei Forschung mit Social-Media-Daten ist zudem zu prüfen, ob besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) betroffen sind. Das ist bei politischen Äußerungen, religiösen Bekenntnissen oder Gesundheitsdaten in Hashtags regelmäßig der Fall.
Die Datenverarbeitung im Projekt [Projektname] erfolgt im Einklang mit der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) sowie dem Digital Services Act (DSA), einschließlich des Delegierten Rechtsakts zu Art. 40 DSA. Maßgeblich ist das Grundprinzip des „Verbots mit Erlaubnisvorbehalt“: Jede Verarbeitung personenbezogener Daten bedarf einer klar benannten Rechtsgrundlage. Für [Projektname] gelten folgende konkret benannte Rechtsgrundlagen:
[Projektname] verfolgt das Ziel, [Ziel benennen]. Im Fokus stehen öffentlich zugängliche Inhalte wie Texte, Bilder, Videos und Interaktionen.
Die Verarbeitung dieser Daten erfolgt auf Grundlage des berechtigten Interesses der verantwortlichen Forschungseinrichtung gemäß Art. 6 Abs. 1 lit. f DSGVO [falls zutreffend]. Dieses Interesse liegt in der Gewinnung neuer wissenschaftlicher Erkenntnisse über digitale Kommunikationsprozesse und deren gesellschaftliche Auswirkungen.
[Falls zutreffend]: Die betroffenen Inhalte wurden von den jeweiligen Nutzer:innen freiwillig öffentlich bereitgestellt. Die Verarbeitung ist zur Erreichung der genannten Forschungsziele erforderlich. Nach Abwägung überwiegt das öffentliche Erkenntnisinteresse den potenziellen Eingriff in Rechte und Freiheiten der betroffenen Personen.
[Hier ggf. konkretisieren: Begründen Sie ausführlich, warum das Forschungsinteresse überwiegt. Falls Sie besondere Kategorien personenbezogener Daten verarbeiten (z. B. politische Meinungen, religiöse Überzeugungen, ethnische Herkunft), greift Art. 9 DSGVO; in diesem Fall ist § 27 BDSG die maßgebliche Rechtsgrundlage (siehe 7.2.2). Eine alleinige Berufung auf Art. 6 Abs. 1 lit. f DSGVO reicht für besondere Kategorien nicht aus.]
Ergänzend erlaubt § 27 Abs. 1 BDSG die Verarbeitung personenbezogener Daten (einschließlich besonderer Kategorien nach Art. 9 Abs. 1 DSGVO) ohne Einwilligung, sofern diese für wissenschaftliche, historische oder statistische Forschungszwecke erforderlich ist und das Forschungsinteresse das Schutzinteresse der betroffenen Personen erheblich überwiegt. Dies gilt auch für Inhalte, die Rückschlüsse auf politische Meinungen oder weltanschauliche Überzeugungen zulassen.
„Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 auch ohne Einwilligung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke zulässig, wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen. Der Verantwortliche sieht angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person gemäß § 22 Absatz 2 Satz 2 vor.“
Diese Voraussetzung ist bei [Projektname] erfüllt, da angemessene technische und organisatorische Schutzmaßnahmen implementiert sind (vgl. Kapitel 12).
[Hier ggf. konkretisieren: Prüfen Sie explizit, ob in Ihrem Projekt besondere Kategorien personenbezogener Daten verarbeitet werden. Bei Social-Media-Daten ist dies in der Regel der Fall (politische Meinungen in Posts, religiöse Äußerungen, ethnische Herkunft, Gesundheitsdaten in Hashtags wie #Depression, sexuelle Orientierung). Dokumentieren Sie die von Ihnen getroffene Abwägung: Warum ist die Verarbeitung für Ihr Forschungsvorhaben unverzichtbar? Warum überwiegt das Interesse? Welche Schutzmaßnahmen mindern das Risiko?]
Die Datenverarbeitung erfolgt im Rahmen eines klar umrissenen wissenschaftlichen Forschungsvorhabens im Sinne von Art. 89 DSGVO. Dieser Artikel erlaubt die Verarbeitung personenbezogener Daten zu wissenschaftlichen Zwecken unter der Bedingung, dass geeignete Garantien zur Wahrung der Rechte und Freiheiten betroffener Personen bestehen, insbesondere durch Zweckbindung, Datenminimierung und ggf. Pseudonymisierung.
[Projektname] erfüllt diese Anforderungen durch eine Kombination aus:
Außerdem erfüllt das Projekt das einschlägige Forschungsverständnis, wie es vom Bundesverfassungsgericht und dem Bundesministerium für Bildung und Forschung formuliert wurde: „Forschung ist eine geistige Tätigkeit mit dem Ziel […], in methodischer, systematischer und nachprüfbarer Weise neue Erkenntnisse zu gewinnen.“ (BVerfG, Rn. 129; BMBF, S. 4)
Auch Erwägungsgrund 159 Satz 2 DSGVO unterstreicht den weiten Anwendungsbereich dieses Forschungsprivilegs: „Die technologische Entwicklung und die Demonstration, die Grundlagenforschung, die angewandte Forschung und die privat finanzierte Forschung“ gelten als Forschung im Sinne der Verordnung.
[Hier ggf. konkretisieren: Falls Ihr Projekt an einer Hochschule, Universität oder staatlich anerkannten Forschungseinrichtung angesiedelt ist, ist die Erfüllung des Forschungsbegriffs in der Regel unproblematisch. Bei privatwirtschaftlicher, ehrenamtlicher oder journalistischer Forschung prüfen Sie, ob Art. 89 DSGVO entsprechend anwendbar ist oder ob andere Rechtsgrundlagen vorrangig sind.]
Für sehr große Online-Plattformen (VLOPs) wie [Beispiele nennen, die Sie nutzen] gelten ergänzend die Vorschriften des DSA. Art. 40 Abs. 12 DSA verpflichtet diese Plattformen, akkreditierten Forschungseinrichtungen Zugang zu relevanten Daten zu gewähren, sofern das Forschungsvorhaben dem öffentlichen Interesse dient und geeignete Schutzvorkehrungen eingehalten werden.
Der Delegierte Rechtsakt zu Art. 40 DSA präzisiert konkret:
[Projektname] ist ein durch den DSA [bevorzugt berechtigtes/privilegiertes] Forschungsprojekt, das die Anforderungen des Art. 40 DSA sowie des Delegierten Rechtsakts erfüllt. Ein Antrag auf erweiterten Plattformzugang ist [möglich und rechtlich fundiert/geplant/nicht erforderlich].
[Hinweis: Dieser Abschnitt ist nur relevant, wenn Sie sehr große Online-Plattformen (VLOPs) im Sinne des DSA erforschen. Falls nicht, können Sie diesen Unterpunkt streichen oder auf die allgemeine Nennung in Kapitel 1.1.4 reduzieren. Die Rechtsgrundlagen nach DSGVO und BDSG (siehe Kapitel 7.2.1 – 7.2.3 ) sind unabhängig davon maßgeblich.]