Arten von Daten, die über soziale Netzwerke erhoben werden können

Soziale Netzwerke können Forschern drei verschiedene Arten von Daten liefern: bereitgestellte Daten, beobachtete Daten und abgeleitete Daten (oder eine Kombination aus allen). Diese Datentypen können auf diese Weise definiert werden^[1]:

„Bereitgestellte Daten“sind Daten, die die betroffene Person dem Anbieter des Social-Media-Dienstes und/oder dem Targeter aktiv bereitstellt. Ein Beispiel: Nutzer sozialer Medien können ihr Alter in der Beschreibung ihres Profils angeben. In diesen Leitlinien gehen wir nicht auf die Verarbeitung solcher Daten ein, da sie sich nicht von anderen Daten unterscheiden, die von einem Dienstanbieter erhoben werden.
„Beobachtete Daten“sind Daten, die von der betroffenen Person aufgrund der Nutzung eines Dienstes oder Geräts bereitgestellt werden. Dazu gehören:
- Die Daten eines bestimmten Social-Media-Nutzers können auf der Grundlage seiner Aktivitäten auf der Social-Media-Plattform selbst erhoben werden (z. B. die Inhalte, die der Nutzer geteilt, konsultiert oder geliked hat);
- Daten im Zusammenhang mit der Nutzung von Geräten, auf denen die Anwendung der sozialen Medien ausgeführt wird (z. B. GPS-Koordinaten, Mobiltelefonnummer);
- Daten, die von einem dritten Anwendungsentwickler mittels der von Social-Media- Anbietern angebotenen Anwendungsprogrammierschnittstellen (APIs) oder Software Development Kits (SDKs) erlangt wurden;
- Daten, die über Websites Dritter erhoben werden, in die SocialPlugins oder Pixel eingebettet sind;
- Daten, die durch andere Dritte erhoben wurden (z. B. Parteien, mit denen die betroffene Person interagiert hat, bei denen sie ein Produkt gekauft hat oder an einem Treueprogramm teilnimmt), oder
- Daten, die durch Dienste erhoben werden, die von dem Social-Media-Anbieter gehörenden oder von ihm betriebenen Unternehmen angeboten werden.
„Aus Rückschlüssen erzeugte Daten“ und „abgeleitete Daten“ sind Daten, die von dem Verantwortlichen auf Grundlage der von der betroffenen Person bereitgestellten oder von dem Verantwortlichen beobachteten Daten erzeugt werden. Diese könnten durch deterministische Berechnungen abgeleitet oder probabilistischhergeleitet werden. So könnte beispielsweise ein Anbieter sozialer Medien aus dem Surfverhalten und/oder den Netzwerkverbindungen einer Person schließen, dass sie wahrscheinlich an einer bestimmten Aktivität oder einem bestimmten Produkt interessiert ist.

Die Art und Weise der Datenerhebung ist weder für die Einstufung als personenbezogene oder nicht personenbezogene Daten noch für die Entscheidung relevant, ob es sich um besondere Datenkategorien gemäß Art. 9 DSGVOhandelt. Sie kann jedoch in anderer Hinsicht wichtige Konsequenzen haben. Zum Beispiel bei der Feststellung, ob die betroffenen Personen eine bestimmte Verarbeitung vorhersehen konnten oder nicht, oder bei der Festlegung der Grenzen ihres Rechts auf Übertragbarkeit oder der ihnen zu erteilenden Informationen. Es ist zu bedenken, dass bei beobachteten, aus Rückschlüssen erzeugten oder abgeleiteten Daten die Nutzer in der Regel nicht wissen, dass Daten erhoben oder erzeugt werden.

Kasten 1: Ableitung von Daten. Beispiele

Beispiel 1

„Das Unternehmen X hat eine Anwendung entwickelt, die durch die Analyse der Rohdaten von Elektrokardiogramm-Signalen, die von handelsüblichen, für den Verbraucher allgemein erhältlichen Sensoren erzeugt werden, Muster für eine vorliegende Drogensucht erkennen kann. Die Anwendungsplattform kann bestimmte Merkmale aus den EKG-Rohdaten extrahieren, die laut den Ergebnisse früherer Untersuchungen mit dem Konsum von Drogen verbunden sind. Das Produkt, das mit den meisten auf dem Markt erhältlichen Sensoren kompatibel ist, könnte als eigenständige Anwendung oder auch über eine Internetschnittstelle, die das Hochladen der Daten erfordert, genutzt werden. Für die Verarbeitung der Daten zu diesem Zweck sollte die ausdrückliche Einwilligung des Nutzers eingeholt werden. Die Erfüllung dieser Pflicht zur Einholung einer Einwilligung kann unter den gleichen Bedingungen und gleichzeitig mit der Einholung der Einwilligung der betroffenen Person gemäß Artikel 7 Buchstabe a erfolgen.“

Quelle: Artikel-29-Datenschutzgruppe, Stellungnahme 8/2014 zu den jüngsten Entwicklungen im Internet der Dinge (SEP 16, 2014) https://www.dataprotection.ro/servlet/ViewDocument?id=1088.

Beispiel 2+

Fitbit-Daten könnten für potenzielle Arbeitgeber relevant sein, die Rückschlüsse auf „Impulsivität und die Unfähigkeit, Belohnungen hinauszuzögern, ziehen könnten. Beides könnte aus den Bewegungsgewohnheiten abgeleitet werden, die mit Alkohol- und Drogenmissbrauch, gestörtem Essverhalten, Zigarettenrauchen, höheren Kreditkartenschulden und schlechteren Kreditwürdigkeitswerten korrelieren. Schlafmangel – der von Fitbit aufgezeichnet wird – wurde mit schlechtem psychischen Wohlbefinden, gesundheitlichen Problemen, schlechter kognitiver Leistung und negativen Emotionen wie Wut, Depression, Traurigkeit und Angst in Verbindung gebracht.“

Quelle: Peppet, Scott R. Regulating the Internet of Things: First Steps towards Managing Discrimination, Privacy, Security and Consent (2014) 93 Tex. L. Rev. 85.

Es ist zu bedenken, dass die Ableitung von Gesundheitsdaten eine besonders sensible Verarbeitung darstellt, da es sich bei diesen Daten (unabhängig davon, ob sie abgeleitet werden oder nicht) um Daten besonderer Kategorien handelt

Quellenangaben

¹Leitlinien 8/2020 zur gezielten Ansprache von Nutzer:innen sozialer Medien Version 2.0 Angenommen am 13. April 2021, unter: https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_082020_on_the_targeting_of_social_media_users_en.pdf ↑