Der ungenaue Charakter der von sozialen Netzwerken erhobenen Daten und die gesetzlichen Bestimmungen zum Schutz personenbezogener Daten legen den Betreibern sozialer Netzwerke und denjenigen, die von diesen Netzwerken erhobene Daten zu Forschungszwecken verwenden, nahe, nicht die Kategorie des sozialen Netzwerks, sondern die Art der verarbeiteten Daten und die folgenden Hauptkriterien zu berücksichtigen:
- den Zweck, für den sie die Daten verwenden;
- die geltende Regelung und insbesondere die Regelungskonflikte, die sich aus ihrer Tätigkeit ergeben können, sowie die ursprünglichen Zwecke der Erhebung personenbezogener Daten in den sozialen Netzwerken.
Ein soziales Netzwerk ist ein Dienst der Informationsgesellschaft. Der Begriff „Dienst der Informationsgesellschaft“ wird in Artikel 2 Buchstabe a und den Erwägungsgründen 17 und 18 der Richtlinie 2000/31/EG sowie in Artikel 4 Absatz 25 der Datenschutz-Grundverordnung erwähnt. Sie alle verweisen auf Artikel 1.1.b der EU-Richtlinie 2015/1535. Ein Dienst der Informationsgesellschaft ist jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung.
Die Betreiber eines sozialen Netzwerks haben den doppelten Status eines Anbieters sozialer Dienste und eines für die Verarbeitung Verantwortlichen, wie aus ihrer Datenschutzerklärung hervorgeht, in der sie als solche betrachtet werden.[1] Als Anbieter sozialer Dienste unterliegen sie der Haftung gemäß Artikel 12 bis 15 der Richtlinie 2000/31/EG. Als Verantwortliche sind sie sowohl dafür verantwortlich, dass die Daten im Einklang mit Artikel 5 DSGVO verarbeitet werden, als auch dafür, dass sie dies nachweisen können (Artikel 5 Absatz 2 DSGVO). Diejenigen, die das soziale Netzwerk zu Zwecken nutzen, die über die bloße Nutzereigenschaft hinausgehen (z. B. Nutzung sozialer Netzwerke zu Forschungszwecken), sind ebenfalls als Verantwortliche zu betrachten und haften entsprechend. Es trifft jedoch auch zu, dass im Falle einer gemeinsamen Verantwortlichkeit die Verantwortlichen in verschiedenen Phasen der Verarbeitung personenbezogener Daten und in unterschiedlichem Maße beteiligt sein können. In einem solchen Fall muss der Grad der Verantwortung jedes einzelnen Verantwortlichen unter Berücksichtigung aller relevanten Umstände des Einzelfalls beurteilt werden.[2]
Quellenangaben
1Zur Klärung der jeweiligen Rollen und Verantwortlichkeiten von Social-Media-Anbietern und Targeting-Anbietern ist es wichtig, die EDPB-Leitlinien (Leitlinien 8/2020 über die gezielte Ansprache von Nutzer:innen sozialer MedienVersion 2.0, angenommen am 13. April 2021, unter: https://edpb.europa.eu/system/files/2021-04/edpb_guidelines_082020_on_the_targeting_of_social_media_users_en.pdf, S. 11) und die einschlägige Rechtsprechung des EuGH zu berücksichtigen. Besonders relevant sind hier die Urteile in den Rechtssachen Wirtschaftsakademie (C-210/16), Zeugen Jehovas (C-25/17) und Fashion ID (C-40/17). ↑
2Siehe: 4 Urteil in der Rechtssache Wirtschaftsakademie, C-210/16, Randnummer 43; Urteil in der Rechtssache Zeugen Jehovas, C-25/17, Randnummer 66 und Urteil in der Rechtssache Fashion ID, C-40/17, Randnummer 70. ↑