Zur Erläuterung der datenschutzrechtlichen Aspekte wird sich der folgenden Beispiele bedient, die zwei unterschiedliche Konstellationen eröffnen: Beispiel 1 bildet die unmittelbare Bindung zwischen Forscher:in und Video-Dienstleister:innen ab. Beispiel 2 bindet eine vermittelnde Stelle ein und wird im Verlauf der Handreichung zeigen, dass die vermittelnde Instanz nur einen Teil der Verpflichtungen auffangen kann.
Eine Forscher:in lädt den eigenen Vortrag auf YouTube hoch. Obwohl die Videoplattform ein Schriftstück über eine Auftragsverarbeitung anbietet, sind beide für die verarbeiteten Daten gemeinsam verantwortlich. Dabei werden nicht nur die Daten im Video verarbeitet, sondern auch die Nutzungsdaten der Zuschauer:innen durch sog. Parametrisierung. Die Forscher:in ist damit unmittelbar datenschutzrechtlich Verantwortliche im Rahmen des eigenen YouTube-Kanals.
Die Forscher:in wendet sich an ein Forschungskonsortium, das einen Kanal auf einem unabhängigen Video-Portal betreibt. Datenschutzrechtlich verantwortlich ist die Forscher:in nicht für den Kanal oder die Statistiken des Videos. Dies obliegt allein dem Forschungskonsortium als Gruppe gemeinsam Verantwortlicher. Hier besteht die gemeinsame Verantwortlichkeit u. a. darin, welche Parameter im Hintergrund des Kanals eingesehen werden können oder welches unabhängige Portal genutzt wird. Für diesen Fall sollten die Einzelheiten aber in einer Vereinbarung zwischen Video-Portal und Forschungskonsortium festgehalten werden.
Die datenschutzrechtliche Aufklärung ist in den genannten Beispielen nötig, weil es sich bei den Informationen zu den Teilnehmer:innen oder Vortragenden um personenbezogene Daten handelt. Weitere ergeben sich ggf. aus dem Vortragsinhalt, z. B. wenn über die Vita gesprochen wird.
Eine ausführliche Langfassung inklusive detaillierter juristischer Ausführungen ist auf Zenodo verfügbar.
Grundlage für die Aufzeichnung und digitale Verwertung einer Konferenz oder sonstigen Veranstaltung ist die rechtliche Absicherung der Aufzeichnungen der Konferenzteilnehmer:innen. Die Datenschutzvereinbarung zur Veranstaltung und die der Webseite bzw. des Video-Portals müssen deshalb inhaltlich aufeinander abgestimmt sein. Konferenzteilnehmer:innen müssen darüber informiert werden, wo und wie die Aufzeichnungen verwertet werden. Bei der Auswahl lohnt sich daher eine datenschutzfreundliche Plattform, um verständlicher und in geringerem Umfang informieren zu können. Dies bedeutet z. B., dass die getroffenen technischen/organisatorischen Maßnahmen zum Schutz der Nutzer:innen und des Angebots auf dem aktuellen Stand sein müssen. Anforderungen an Plugins zur Reichweitenmessung oder Marketing-Tools sollten dabei auf ein Minimum reduziert werden.
Nachfolgend wird auf die jeweiligen, zu beachtenden Punkte eingegangen. Dabei geht der Abschnitt davon aus, dass es sich um Aufzeichnungen mit wissenschaftlichen Inhalten (z. B. Konferenzvideos, Panel-Diskussionen zu wissenschaftlichen Themen) handelt.
Eine Vorbemerkung zur Form der Erklärung: Der datenschutzrechtliche Teil muss sichtbar vom urheberrechtlichen bzw. lizenzrechtlichen Teil abgegrenzt sein. Entweder geschieht dies über zwei einzelne Dokumente mit unterschiedlicher Übertitelung oder ein gemeinsames Dokument, das durch Trennungszeichen die Änderung des Erklärungsinhaltes erkennen lässt – z. B. Trennstrich, Überschrift, etc. Wichtig ist, dass mit einer Unterschrift nicht gleichzeitig zwei unterschiedliche rechtliche Zwecke bzw. Grundlagen akzeptiert werden. Es muss möglich sein, den Lizenzbedingungen auch ohne eine Datenverarbeitung über den Lizenzvertrags hinaus zustimmen zu können. Beispielsweise kann die Forscher:in ein Interesse an der Aufzeichnung und internen Verwendung haben, widerspricht aber einem Upload auf YouTube. Kurz: Eine Aufzeichnung muss auch ohne den Upload möglich sein.
Wissenschaftliche Inhalte sind alle Inhalte, die sich mit dem Forschungsprozess, Zwischenergebnissen oder dem Ergebnis selbst auseinandersetzen. Inhaltlich kann sich dies sowohl auf Forschungsthemen als auch auf die Lehre beziehen. Videos mit wissenschaftlichen Inhalten stellen daher, ähnlich wie die Lehre, eine Kommunikation über Methoden, (Teil-)Ergebnisse oder den Prozess selbst dar. Sie zeichnen sich gerade dadurch aus, dass sie auf einen „work in progress“ zurückgreifen oder unter Bezug auf den Forschungsprozess selbst das Ergebnis (z. B. Thesen, empirische Befunde, etc.) näher erläutern.
Zu unterscheiden ist, in welchem (rechtlichen) Verhältnis die einzelnen Beteiligten zueinander stehen:
Im direkten Verhältnis zwischen Forscher:in und Video-Portal (Beispiel 1) sind die vertraglichen Vereinbarungen maßgebend. Beide sind gemeinsam für die Verarbeitung verantwortlich. Für die Forscher:in heißt dies, dass die Allgemeinen Geschäftsbedingungen und die Datenschutzerklärung auf ihre Datenschutzfreundlichkeit hin zu überprüfen sind.
Das Mittler-Verhältnis (Beispiel 2) aus Forscher:in, Mittlerin (z. B. Forschungskonsortium) und Video-Portal ist da komplexer: Hier besteht die Lizenzvereinbarung sowie die Datenschutz-Vereinbarung nur zwischen Forscher:in und Mittlerin. Die Forscher:in gibt hier nur Rechte ab und ist je nach Beitrag zur Veranstaltung für die Verarbeitung der Daten (z. B. Veröffentlichung von Datensätzen im Zusammenhang mit dem Vortrag) verantwortlich; hier gilt das zum Beispiel 1 Gesagte. Forscher:innen müssen in dieser Situation aber nicht die ganze Verarbeitungskette überprüfen. Die Mittlerin muss über die eigene Verarbeitung sowie jene der Video-Plattform informieren. Für das Verhältnis zwischen Video-Portal und Mittlerin empfiehlt sich ein Schriftstück mit den jeweiligen Rechten und Pflichten, da die allgemeinen Nutzungsbedingungen von Video-Plattformen dies regelmäßig nicht abdecken. Als Vorbild kann hierfür der Mustervertrag von KonsortSWD dienen.
Für eine datenschutzkonforme Verarbeitung braucht es in beiden Beispielen eine Verarbeitungsgrundlage nach DSGVO. Zum Verständnis wird kurz in drei relevante Gründe eingeführt – namentlich die Einwilligung (Art. 6 Abs. 1 lit. a, 7 DSGVO), das Vertragsverhältnis mit der Plattform (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse der verarbeitenden Institutionen (Art. 6 Abs. 1 lit. f DSGVO). Spezielle Interessen aus dem Archivrecht werden ausgeklammert.
Die häufigste gewählte Verarbeitungsgrundlage ist die Einwilligung einer betroffenen Person für „einen oder mehrere bestimmte Zwecke“. Geltung entfaltet sie nur zwischen den betroffenen Parteien selbst, also z. B. zwischen Konferenzteilnehmer:in und Mittlerin. Sie muss freiwillig, in informierter Weise und unmissverständlich abgegeben werden. Eine bestimmte Form benötigt es nicht; es empfiehlt sich aber eine (elektronische) schriftliche Form, da sie sich einfacher dokumentieren lässt.
Bei Einwilligungen sollte darauf geachtet werden, dass die Gründe möglichst einzeln aufgeschlüsselt sind. Damit eine freiwillige Erklärung gelingt, sollte auch zwischen einzelnen Zwecken eine Wahlmöglichkeit bestehen. Ist dies nicht der Fall, können begründete Zweifel an der Freiwilligkeit der Einwilligung auch zur Unwirksamkeit der Grundlage führen. Eine Orientierungshilfe für den Aufbau bietet der Einwilligungs-Generator des ELDAH-Projektes.
Zu bedenken ist auch, dass eine Einwilligung jederzeit zurückgezogen werden kann (Widerrufsrecht, Art. 7 Abs. 3 DSGVO). Dies kann bei der Verwertung von Forschungsdaten im Rahmen von Vorträgen problematisch sein. So dürfen die in einem Vortrag dargestellten Forschungsergebnisse nur dann personenbezogene Daten (beispielsweise auf den gezeigten Präsentationsfolien) enthalten, wenn dies „für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist“ (§ 27 Abs. 4 BDSG). Zudem sollte für Video-Aufzeichnungen von wissenschaftlichen Vorträgen der Vollständigkeit halber auch in eine Nutzung der Aufzeichnungen nach §§ 22, 23 KUG eingewilligt werden.
Die Erhebung und Verarbeitung personenbezogener Daten in Form des Videos ist dann erforderlich „für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist“. Denkbar wären hier Lehraufträge als wissenschaftliche Kommunikationsleistung. Um den Vertragszweck für alle Beteiligten transparent und klar zu kommunizieren, sollte dieser unmissverständlich und konkret benannt werden. Beispielsweise müssen bei der Aufzeichnung oder zur Nachbereitung erhobene, personenbezogene Daten einen engen Bezug zum Vertragszweck haben.
Die jeweiligen Verträge müssen zwischen der betroffenen Person und der veröffentlichenden Institution geschlossen werden (s. Beispiel 2). Ist noch eine vermittelnde Institution (z. B. eine die Konferenz organisierende Forschungsgesellschaft) beteiligt, so wird der Vertrag zwischen betroffener Person bzw. der/dem Vortragenden und dieser geschlossen. Wichtig ist in jedem Fall, dass die/der Vortragende selbst beteiligt und nicht nur mittelbar adressiert ist.
Einen guten Überblick zur Gestaltung eines Vertrages bietet der Mustervertrag von KonsortSWD zur Datennutzung, der auf die einzelnen Abschnitte des Mustervertrages eingeht.
Eine Veröffentlichung kann auch auf Grundlage eines berechtigten Interesses erfolgen. Als berechtigt gilt jedes wirtschaftliche, ideelle, wissenschaftliche oder geschäftliche Interesse, sofern es tatsächlich besteht und nicht als Deckmantel für darunter liegende Zwecke genutzt wird. Dies ist jedoch nur dann der Fall, wenn die Interessen gegenüber den Interessen betroffener Personen (z. B. Redner:innen/Teilnehmer:innen) überwiegen und die Datenverarbeitung für die Erfüllung/Erreichung der Interessen erforderlich ist. Damit wird der weite Zweck wieder begrenzt, wenn nicht jedes Datum, sondern nur die notwendigen Datensätze nutzbar sind. Es können sich folgende Fragen gestellt werden:
Auf diesen Verarbeitungsgrund und die einzelnen Argumentationspunkte ist gegenüber Betroffenen der Datenverarbeitung ausführlich hinzuweisen.
Zu jeder Datenverarbeitung gehört eine Information der (betroffenen) Person, deren Daten verarbeitet werden. Zu unterscheiden ist stets dazwischen, ob die Daten bei der Person selbst (z. B. durch Eingaben der Person) oder über Dritte (z. B. die Konferenz-Leitung) erhoben werden. Eine Informationspflicht ist damit stets gegeben, jedoch existieren für jede Variante auch Ausnahmen. In der Darreichungsform ist die verarbeitende Stelle frei (z. B. Datenschutzerklärung).
Für die Situation, in der die Daten bzw. Informationen direkt bei der Redner:in bzw. Teilnehmer:in erhoben werden, sind die in Art. 13 DSGVO genannten Informationen zu vermitteln.
Erfolgt die Erhebung der Informationen über die Redner:in bzw. Teilnehmer:in indirekt über Dritte kommt der Katalog des Art. 14 DSGVO zur Geltung. Beispielsweise ist dies der Fall, wenn die Video-Plattform durch das Forschungskonsortium Informationen über die Redner:in erhält.
Je nachdem, ob und wie die Konferenzvideos im Nachhinein aufbereitet werden sollen, können besondere Gründe für eine Verarbeitung in Betracht kommen. Werden beispielsweise vollständig automatisiert agierende Machine-Learning-Algorithmen zur Annotation und Analyse der Vortragsaufzeichnungen genutzt, könnte dies auf besondere Anforderungen des Art. 22 DSGVO hinweisen.
Eine Aufbereitung ist durch eine Vielzahl von Werkzeugen mit Machine Learning möglich. Die folgenden gängigen Methoden sind für Aufzeichnungen von Konferenzen relevant und sollten datenschutzrechtlich beachtet werden:
Web-Crawler greifen in der Regel auf öffentlich zugängliche Datensätze zu – beispielsweise aus Sozialen Netzwerken. Im Großteil der Fälle ist die Verarbeitung dieser Daten unproblematisch, wenn erkennbar ist, dass die Nutzer:in die Informationen selbstständig und willentlich öffentlich gemacht hat. Dies ist jedoch nicht immer objektiv erkennbar. Hier sollte die Forscher:in oder die verarbeitende Institution sorgfältig den Einzelfall betrachten, ggf. mit Hilfe einer rechtskundigen Person (z. B. Justiziariat vor Ort). Im Zweifel ist davon abzuraten.
Die automatische Segmentierung mittels Analyse der Bild- und Ton-Daten stellt eine Verarbeitung personenbezogener Daten dar. Sie stellt jedoch in der Regel kein Problem dar, wenn ein berechtigtes Interesse an der Segmentierung nachgewiesen werden kann. Hier spielen dann zugunsten der verantwortlichen Stelle vor allem die FAIR-Prinzipien eine Rolle, um das Video zugänglicher und zitierbarer zu gestalten.
Eine Auto-Transkription – also die automatisierte Übersetzung von Ton- bzw. Sprachdaten in Texte zur Zugänglichmachung der Vortragsinhalte – stellt eine automatisierte Verarbeitung personenbezogener Daten dar. Hier können aber die Regeln der jeweiligen Disziplin eine besondere Rolle spielen: Im kulturhistorischen oder geisteswissenschaftlichen Kontext, der von einem ethischen Bewusstsein im Diskurs über kulturhistorische Forschungsdaten geprägt ist, ist dies der Reputation der Forscher:in eher schädlich. Ein unüberwachter ML-Algorithmus mit entsprechenden Fehlern birgt die Gefahr unethischer Aussagen, die sich nachteilig auf die Reputation und damit auf die Forschungsfreiheit der betroffenen Redner:in oder sogar auf die Institution als solche auswirken. Im Zweifel ist daher von einer Auto-Transkription abzusehen. Alternativ sollte sie nicht standardmäßig oder nur nach unmittelbarer Rücksprache mit der Redner:in bzw. Forscher:in vorzunehmen.
Auch die Auto-Verschlagwortung stellt eine Verarbeitung personenbezogener Daten dar. Ergibt sich die Verschlagwortung beispielsweise aus den Abstract-Texten zu den Vorträgen, enthalten diese oftmals kurze Informationen über die Wissenschaftler:in (Name, Position, Affiliation, Kontaktdaten, etc.). Dieser Fall stellt in der Regel kein Problem dar, da dies ganz nach der Argumentation zum Web-Crawling dem berechtigten Interesse dient und so die gecrawlten Vortragsvideos erst zugänglich und auffindbar gemacht werden. Basiert die Auto-Verschlagwortung dagegen auf der mangelhaften Auto-Transkription, vererben sich die Fehler der mangelhaften Transkription auf die Verschlagwortung: Es besteht auch hier das Risiko, dass Fehlanalysen zu einer Verschlagwortung mit inhaltlich falschen oder gar unethischen Begriffen führen. Eine Auto-Verschlagwortung sollte deshalb nicht auf einer Auto-Transkription basieren.
Auch für die Übermittlung der Videoaufzeichnungen an Videoportale (kurz: Upload) sind die verantwortlichen Stellen (z. B. aufzeichnende Person/Institution) verantwortlich und müssen das europäische Datenschutzniveau der DSGVO gewährleisten. Verlässt der Datensatz die EU – z. B. um das Video auf öffentlich zugänglichen Servern zu speichern – und wird in ein Drittland übertragen, müssen die Betroffenenrechte und die Grundsätze der DSGVO weiterhin gegeben werden. Drittland meint dabei jeden Staat, der nicht EU-Mitgliedsstaat ist. Die EWR-Staaten Island, Liechtenstein und Norwegen bilden hier die Ausnahme und sind wie EU-Staaten zu behandeln, da sie äquivalente Datenschutz-Regelungen getroffen haben. Bei Auswahl des Dienstleisters und/oder den Einstellungen im Hintergrund hat die verantwortliche Stelle also entsprechende Sorgfalt walten zu lassen.
Finden dadurch Verarbeitungen in einem Drittland statt, muss für das Drittland ein Angemessenheitsbeschluss der Europäischen Kommission vorliegen. Fehlt es an einem solchen Beschluss, ist von einer Nutzung der Video-Plattform abzuraten. Das ist ebenso der Fall, wenn die Datenübermittlung bzw. der Upload auf Server im Raum USA erfolgt. Eine Angabe hierzu sollte die jeweilige Datenschutzerklärung enthalten. Ein Impressum bzw. ein Sitz des Unternehmens kann nur als Indiz gelten, entspricht aber oft nicht dem Speicherort bzw. Serverstandort.
Allgemeine Anforderungen
Datenschutzerklärung und Information
Zur schematischen Zusammenfassung der einzelnen datenschutzrechtlichen Aspekte sei auf den Entscheidungsbaum zur Veröffentlichung wissenschaftlicher Videobeiträge verwiesen.