An dieser Stelle sind die konkreten Maßnahmen darzustellen, mit denen die Rechte der betroffenen Personen gewahrt werden. Bei Forschung mit öffentlichen Social-Media-Daten ist die Umsetzung dieser Rechte oft erschwert, da keine direkte Kontaktmöglichkeit zu den Nutzer:innen besteht und die Zahl der Betroffenen potenziell sehr groß ist. Dennoch müssen die Rechte dokumentiert und soweit möglich gewahrt werden. Die DSGVO sieht für Forschungsvorhaben Erleichterungen vor (vgl. Art. 89 DSGVO i.V.m. § 27 BDSG), die hier zu berücksichtigen sind.
Die Rechte der betroffenen Personen werden durch folgende Maßnahmen sichergestellt:
Die individuelle Information betroffener Personen über die Verarbeitung ihrer Daten ist im Projekt [Projektname] nicht zumutbar umsetzbar. Dies betrifft insbesondere Inhalte, die über Plattform-APIs oder durch andere Mechanismen des DSA bezogen werden, ohne dass Kontaktdaten vorliegen oder Rückschlüsse auf identifizierbare Personen im Sinne einer individualisierten Benachrichtigung möglich wären.
Die Anforderungen zur Transparenz gemäß Art. 13 DSGVO entfallen auf Grundlage von Art. 14 Abs. 5 lit. b DSGVO, da die Bereitstellung der Informationen einen unverhältnismäßigen Aufwand erfordern würde. Diese Ausnahme greift insbesondere im Zusammenhang mit der Verarbeitung zu wissenschaftlichen Forschungszwecken gemäß Art. 89 DSGVO.
Gleichzeitig gewährleistet das Projekt geeignete Garantien zur Wahrung der Rechte und Freiheiten der betroffenen Personen, darunter Zweckbindung, Datenminimierung, aggregierte Auswertung und veröffentlichte Methodentransparenz.
Betroffene Personen haben gemäß Art. 15 DSGVO das Recht, Auskunft über die zu ihrer Person gespeicherten Daten zu erhalten. Da [Projektname] ausschließlich öffentlich zugängliche Inhalte verarbeitet [falls zutreffend] und in der Regel keine direkte Kontaktmöglichkeit zu den jeweiligen Personen besteht, ist eine individuelle Information nicht durchführbar.
Für Anfragen zur Datenverarbeitung im Projekt [Projektname] steht die zentrale Kontaktadresse [E-Mail-Adresse] zur Verfügung. Darüber hinaus verweist das Projekt auf die allgemeine Datenschutzerklärung von [Einrichtung], die über die Website des Projekts verlinkt ist ([URL]).
Jede Anfrage wird im Einzelfall geprüft. Dabei wird insbesondere berücksichtigt, ob eine Identifikation der betroffenen Person technisch möglich und rechtlich zulässig ist. Eine Auskunft kann nur im Rahmen der gesetzlichen Vorgaben erteilt werden, sofern keine Rechte Dritter oder berechtigte Forschungsinteressen verletzt werden.
[Hier ggf. konkretisieren: Richten Sie ein zentrales Postfach für Betroffenenanfragen ein. Dokumentieren Sie den Prüfprozess (wer prüft, in welchem Zeitraum, nach welchen Kriterien). Ein Standard-Antwortschreiben kann die Bearbeitung erleichtern. Definieren Sie, welche Nachweise Sie von der anfragenden Person verlangen (z. B. Screenshot des eigenen Profils, um Identität zu verifizieren).]
Im Rahmen des Projekts [Projektname] werden keine nutzerbasierten Profile erstellt, keine Authentifizierungsdaten verarbeitet und keine systematische Zuordnung zu individuellen Nutzerkonten vorgenommen. Gleichwohl werden öffentlich zugängliche personenbezogene Inhalte (z. B. Handles, Usernamen) in Rohform gespeichert, sofern sie für die wissenschaftliche Analyse erforderlich sind.
Ein Recht auf Löschung oder Einschränkung der Verarbeitung gemäß Art. 17 und 18 DSGVO wird im Rahmen der gesetzlichen Vorgaben gewahrt. Betroffene Personen können sich an die im Projekt benannte Kontaktadresse wenden. Löschanträge werden im Einzelfall geprüft, insbesondere unter Abwägung mit dem öffentlichen Forschungsinteresse nach § 27 BDSG. Eine Löschung erfolgt, sofern keine gesetzlichen, wissenschaftlichen oder dokumentationspflichtigen Gründe entgegenstehen.
Eine pauschale Entfernung aller öffentlichen Beiträge aus den Forschungsdaten ist aus technischen und forschungspraktischen Gründen nicht möglich, insbesondere bei großen Datenmengen und fehlender Authentifizierbarkeit einzelner Anfragender. In begründeten Fällen kann jedoch eine manuelle Sperrung oder Markierung von Datensätzen innerhalb des Forschungssystems erfolgen.
[Hier ggf. konkretisieren: Dokumentieren Sie Ihr internes Verfahren zur Bearbeitung von Löschanträgen (Zuständigkeiten, Fristen, Prüfkriterien, Dokumentation der Entscheidung). Falls Sie eine Markierung statt Löschung vornehmen (z. B. bei Forschungsdaten, deren Vollständigkeit wissenschaftlich erforderlich ist), begründen Sie dies ausführlich und verweisen Sie auf Kapitel 11 (Löschfristen). Prüfen Sie, ob Sie dem Anfragenden das Ergebnis Ihrer Prüfung mitteilen.]
Die im Projekt [Projektname] verarbeiteten Daten stammen ausschließlich aus freiwillig öffentlich bereitgestellten Inhalten Sozialer Medien. Die Datensätze enthalten in der Regel personenbeziehbare Informationen wie Nutzernamen, Handles oder IDs, die für die Analyse von Kommunikationsprozessen erforderlich sind.
Eine Rückbeziehbarkeit einzelner Personen ist systemimmanent möglich, da die Forschung auf Originaldaten aufbaut. Die Speicherung dieser Daten erfolgt ausschließlich innerhalb einer geschützten, abgeschotteten Infrastruktur mit abgestuften Berechtigungen und Zugriffsschutz (vgl. IT-Sicherheitskonzept).
In der Veröffentlichung wissenschaftlicher Ergebnisse werden keine personenbezogenen Rohdaten publiziert. Es werden ausschließlich aggregierte, anonymisierte oder pseudonymisierte Informationen veröffentlicht. Ausnahmen bestehen nur für Personen des öffentlichen Lebens, deren Aussagen und Kommunikationsstrategien selbst Untersuchungsgegenstand sind (z. B. Kandidat:innen, Parteien).
[Hier ggf. konkretisieren: Prüfen Sie, ob in Ihrem Projekt zusätzliche Maßnahmen zur Verhinderung von Re-Identifikation ergriffen werden.]
Im Projekt [Projektname] sind die Prozesse zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen gemäß Art. 33 DSGVO in den bestehenden Regelwerken verankert, insbesondere im IT-Sicherheitskonzept sowie in den Notfallhandbüchern.
Diese enthalten:
Die Maßnahmen orientieren sich an den Vorgaben des IT-Grundschutz-Bausteins G 0.23 sowie der Maßnahme APP.3.2.A9 und sind Bestandteil der technischen und organisatorischen Notfallplanung (vgl. Anlagen).
Darüber hinaus ermöglichen projektinterne Kommunikationskanäle eine zeitnahe Eskalation sicherheitsrelevanter Vorfälle. Eine Meldung an die Datenschutzaufsicht erfolgt gemäß Art. 33 Abs. 1 DSGVO unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden; sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht ausgeschlossen werden kann.
[Hier ggf. konkretisieren: Nennen Sie die konkreten Meldewege (Telefon, E-Mail, Ticketing-System, interne Chatkanäle). Dokumentieren Sie, wer die Entscheidung über die Meldung an die Aufsichtsbehörde trifft (in der Regel die Datenschutzbeauftragte oder die Projektleitung, nicht einzelne Mitarbeitende). Halten Sie ein internes Vorfallprotokoll vor, das Datum, Uhrzeit, Art des Vorfalls, betroffene Datenkategorien, betroffene Personen (geschätzte Anzahl) und durchgeführte Maßnahmen erfasst.]