Die Datenschutzerklärung ist das öffentliche Dokument, in dem erläutert wird, wie ein Forschungsprojekt personenbezogene Daten verarbeitet und wie es die Datenschutzgrundsätze gemäß den Artikeln 12–14 der Datenschutz-Grundverordnung anwendet. Alle betroffenen Personen müssen Zugang zu dieser Datenschutzerklärung haben. Sie sollte dokumentiert werden. Eine nicht-offizielle, aber empfehlenswerte Vorlage finden Sie hier: https://gdpr.eu/wp-content/uploads/2019/01/Our-Company-Privacy-Policy.pdf
Die Verantwortlichen müssen immer bedenken, dass sie im Falle von Daten aus sozialen Netzwerken verschiedene Datensätze vermischen oder aus Rückschlüssen erzeugte oder abgeleitete Daten erstellen können. Die Rückverfolgbarkeit der Verarbeitung, die Informationen über eine mögliche Weiterverwendung von Daten und die Verwendung von Daten, die entweder in denselben oder in verschiedenen Phasen des Lebenszykluszu verschiedenen Datensätzen gehören, müssen durch die Verzeichnisse sichergestellt werden. Wer auch immer personenbezogene Daten verarbeitet (einschließlich der Verantwortlichen und der Auftragsverarbeiter), muss seine Tätigkeiten in erster Linie zur Verwendung durch qualifizierte/zuständige Aufsichtsbehörden dokumentieren. Dies muss durch Verzeichnisse der Verarbeitungstätigkeiten geschehen, die von der Organisation zentral für alle ihre Verarbeitungstätigkeiten geführt werden, sowie durch eine zusätzliche Dokumentation, die sich auf eine einzelne Datenverarbeitungstätigkeit bezieht (siehe Unterabschnitt „Dokumentation der Verarbeitung“, Abschnitt „Wichtigste Maßnahmen und Tools“des allgemeinen Teils dieser Leitlinien).
Die ersten Phasen der Projektentwicklung sind der ideale Zeitpunkt, um eine systematische Erfassung der erforderlichen Dokumentation einzurichten, da dies die Zeit ist, in der die Organisation die Verarbeitungstätigkeit konzipiert und plant[1].
Nicht zuletzt müssen die Verantwortlichen bedenken, dass Ethikausschüsse wahrscheinlich eine Schlüsselrolle bei der Verarbeitung personenbezogener Daten spielen werden. Dies kann sich jedoch je nach Sektor und Land erheblich ändern. Die Verantwortlichen sollten ihren DSB zu diesem Thema befragen.
Schließlich dürfen die Verantwortlichen nicht vergessen, dass es neben der Einhaltung der Rechtsvorschriften auch ethische Auswirkungen geben kann. Es wird immer empfohlen, einen Experten für die Ethik sozialer Netzwerke zu Rate zu ziehen.
| Checkliste. Datenschutzerklärungen
☐ Der Verantwortliche hat sich mit der Stelle/Person in Verbindung gesetzt, die das Verarbeitungsverzeichnis für die Organisation führt.
☐ Der Verantwortliche hat die oben genannte Stelle/Person frühzeitig über seine Absicht informiert, personenbezogene Daten zu verarbeiten.
☐ Der Verantwortliche folgende Anweisungen befolgt:
Zusätzliche Unterlagen zu einer einzelnen Verarbeitungstätigkeit). Die folgenden Punkte müssen dokumentiert werden: ☐ Bewertung, ob die Verarbeitungstätigkeit ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. ☐ Eine Datenschutz-Folgenabschätzung, wenn die obige Bewertung zu einem positiven Ergebnis führt. ☐ Potenzielle Konsultation der zuständigen Aufsichtsbehörde vor der Verarbeitung. ☐ Anforderungen und Abnahmetests für den Kauf und/oder die Entwicklung der eingesetzten Software, Hardware und Infrastruktur. ☐ Umgesetzte technische und organisatorische Maßnahmen. ☐ Regelmäßige Prüfung, Beurteilung und Bewertung der Wirksamkeit von technischen und organisatorischen Maßnahmen ☐ Anforderungen und Abnahmeprüfungen für die Auswahl von Auftragsverarbeiteren. ☐ Verträge mit Auftragsverarbeitern. ☐ Mögliche Inspektionen und Audits des Auftragsverarbeiters. ☐ Methode zur Einholung der Einwilligung. ☐ NachweisindividuellerEinwilligungserklärungen. ☐ Informationen für die betroffenen Personen. ☐ Implementierungder Rechte der betroffenen Person. ☐ Tatsächlicher Umgang mit den Rechten der betroffenen Person. ☐ Benachrichtigung der zuständigen Aufsichtsbehörde über mögliche Verstöße. ☐ Mögliche Mitteilung von Datenverletzungen an die betroffene Person. Jede andere Mitteilung an die zuständige Aufsichtsbehörde. |
Quellenangaben
1Zur Klärung der jeweiligen Rollen und Verantwortlichkeiten von Social-Media-Anbietern und Targeting-Anbietern ist es wichtig, die EDPB-Leitlinien (Leitlinien 8/2020 über die gezielte AnspracIn Artikel 25 Absatz 1 DSGVO wird dies als „Zeitpunkt der Festlegung der Mittel für die Verarbeitung“ bezeichnet. ↑