Inhaltsverzeichnis                                                                                                               

 

I. Erforderlichkeit einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO

 

II. Durchführung einer Risikoevaluation und -bewertung

 

1. Verarbeitungsvorgänge, Zweck, verfolgte Interessen

 

2. Erforderlichkeit und Verhältnismäßigkeit

 

3. Identifikation und Analyse der möglichen Risiken

 

4. Bewertung der Risiken

 

5. Ergebnis

 

Eine Datenschutz-Folgeabschätzung ist gemäß Art. 35 Abs. 1 der Europäischen Datenschutzgrundverordnung (DSGVO) durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

 

Nach den Empfehlungen der Datenschutzaufsichtsbehörde in Baden-Württemberg zum Einsatz von Social-Media durch öffentliche Stellen soll durch die öffentliche Stelle eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge (hier der Nutzung von Sozialen Netzwerken) für den Schutz personenbezogener Daten erfolgen. Dieser Empfehlung kommen wir hiermit nach.

 

Bitte beachten Sie auch unsere Datenschutzerklärung für Instagram sowie unser Nutzungskonzept auf unserer Website.

 

I.     Erforderlichkeit einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO

 

Eine vollständige Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist (neben den Katalogfällen, von denen hier aber keiner vorliegt) nur dann durchzuführen, wenn der Betrieb des Instagram-Accounts aufgrund der Art der Daten, des Umfangs und ihres Zwecks sowie der getroffenen technischen und organisatorischen Maßnahmen voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt. Im Rahmen des Betriebs des Instagram-Accounts verarbeitet das Jugendgästehaus Kreis Herford selbst nur in sehr geringem Umfang Daten. Auch die Art der Daten, die Verarbeitungszwecke und die getroffenen Maßnahmen sprechen dafür, dass vorliegend der Betrieb des Instagram-Accounts kein hohes Risiko für die betroffenen Personen darstellt. Insofern halten wir eine echte Datenschutz-Folgenabschätzung nach Art. 35 DSGVO für nicht notwendig.

 

Allerdings halten wir im Sinne der Sensibilisierung der Nutzerinnen und Nutzer und der Selbstüberprüfung eine verkürzte Form einer Folgenabschätzung im Zusammenhang mit dem Einsatz von Social Media Diensten für erforderlich. Hierfür spricht u.a. die systematische Beobachtung und Analyse der Nutzerinnen und Nutzer durch den Anbieter von Instagram Facebook, z.B. zu Werbezwecken. Das Jugendgästehaus Kreis Herford sieht sich als öffentliche Stelle insofern in der Verantwortung, sich und anderen die Risiken sozialer Netzwerke bewusst zu machen.

 

II.    Durchführung einer Risikoevaluation und -bewertung

 Die Abschätzung der Folgen der Instagram-Nutzung des Jugendgästehauses Kreis Herford stellt sich vor diesem Hintergrund wie folgt dar:

 

1. Verarbeitungsvorgänge, Zweck, verfolgte Interessen

Die Verarbeitungsvorgänge beschreiben wir in unserer Datenschutzerklärung für den Instagram-Account. Die Zwecke der Nutzung des Instagram-Accounts und unsere Interessen erläutern wir umfangreich in unserem Nutzungskonzept für den Instagram-Account.

Beide Dokumente können Sie auf unserer Website im Abschnitt „Datenschutz“ (dort unter „Datenschutz Social Media“) abrufen.

 

2. Erforderlichkeit und Verhältnismäßigkeit

Die Erforderlichkeit der Unterhaltung eines Instagram-Accounts haben wir in unserem Nutzungskonzept für den Instagram-Account erläutert.

Die Nutzung ist insoweit auch verhältnismäßig, als dass wir den Account so weit wie möglich datenschutzfreundlich voreingestellt haben, den Informationspflichten nachkommen und zusätzlich diese Folgenabschätzung durchführen und weitere Datenschutzaufklärung anbieten.

 

3. Identifikation und Analyse der möglichen Risiken

Die Risiken bei der Nutzung sozialer Netzwerke entstehen aus Nutzersicht bereits mit der Teilnahme am Netzwerk selbst. Als Hauptrisiken sind dabei zu nennen:

•      Intransparenz der Datenverarbeitung durch Instagram: Insbesondere wird über die Verarbeitungszwecke nicht detailliert aufgeklärt. Auch ist unklar, an wie viele Dritte die Daten gehen.

•      Umfangreiche Analyse des Verhaltens der Nutzer (und auch Dritter, die kein Instagram-Konto haben) und Profilbildung durch Bewertung persönlicher Aspekte (Vorlieben, Interessen, Standort, Ortswechsel, etc.), die Geräteübergreifend erfolgt.

•      Kontrollverlust über die eigenen Daten.

•      Keine fest definierten Löschfristen für Nutzerdaten (mit Ausnahme der kompletten Kontolöschung durch den Nutzer).

•      Dauerüberwachung, sofern bei Nutzung der App Zugriff auf das GPS des Mobilgeräts erteilt wurde (Instagram registriert dabei u.a. Orte, die häufig besucht werden, um darauf basierend Vorschläge zu unterbreiten).

•      Internationaler Datenverkehr, der ggf. nicht hinreichend abgesichert ist. Darüber hinaus höhere Hürden für den Zugang zu (gerichtlichem) Rechtsschutz gegen Plattformbetreiber, da der Anbieter von Instagram Facebook seinen Sitz in Irland hat und somit deutsche Nutzer aufgrund des in der DSGVO vorgesehenen Prinzips des sog. „One-Stop-Shops“ und der dadurch bestehenden Unzuständigkeit deutscher Behörden nicht unmittelbar in Deutschland gegen den Anbieter vorgehen können.

•      Generelle Gefahren bei der Veröffentlichung von Daten im Internet: Es besteht generell das abstrakte Risiko der Verletzung der Privatsphäre, der Anprangerung, der Diskreditierung und des Identitätsdiebstahls – insbesondere wenn sich Besucher des Instagram-Accounts aktiv mit Beiträgen beteiligen. Auch besonders schutzwürdige Personen wie etwa Jugendliche können die sozialen Netzwerke nutzen und sich somit diesen Gefahren aussetzen.

 

Diese Risiken bestehen dabei grundsätzlich unabhängig von der Teilnahme des Jugendgästehauses Kreis Herford an dem sozialen Netzwerk. Hintergrund ist, dass die Datenverarbeitung, die durch das Jugendgästehaus Kreis Herford selbst veranlasst wird, nur in sehr geringem Umfang erfolgt und der maßgebliche Teil der Daten von den Nutzerinnen und Nutzern bereits dem Netzwerk zur Verfügung gestellt wurde bzw. schon öffentlich und allgemein zugänglich ist. Allerdings erreichen die Nutzerdaten bei der Interaktion mit dem Auftritt des Jugendgästehauses Kreis Herford ggf. eine weitere Öffentlichkeit und erlangen damit eine weitere Verbreitung, als ohne die Interaktion. Darüber hinaus entstehen durch die Verbindung des Accounts des Jugendgästehauses Kreis Herford mit anderen Accounts Querverbindungen und Informationen über Nutzerinnen und Nutzer, die von den sozialen Netzwerken analysiert werden. Letztlich werden auch Nutzerinnen und Nutzer „getrackt“, die den Account bloß passiv mitlesen und kein Konto bei Instagram haben.

 

Insgesamt erhöht das Jugendgästehaus Kreis Herford somit durch seine Präsenz auf Instagram den Umfang und die Menge der verarbeiteten Daten, die Instagram auswerten und verwenden kann.

Neben den Risiken, die durch die Datenverarbeitung auf der Plattform des sozialen Netzwerks selbst entstehen, gibt es auch Risiken durch Datenverarbeitung außerhalb der Netzwerke:

So sammelt der Anbieter von Instagram Facebook auch außerhalb der eigenen Website Daten auf Dritt-Websites durch die Einbindung von bestimmten Tools, wie z.B. dem Facebook-Pixel oder dem Facebook-Like-Button.

 

Instagram kann so Ihre Besuche auf diesen Webseiten erfassen und Ihrem Instagram-Konto zuordnen. Instagram nutzt auch diese Daten, um Inhalte und Werbung zu personalisieren und Ihr Profil anzureichern. Ist die Besucherin/ der Besucher mit ihrem/ seinem Account angemeldet, so ist sie/ er für den Dritten (z.B. Instagram) identifiziert.

 

Auch wenn Sie nicht in den sozialen Netzwerken angemeldet oder sogar gar nicht registriert sind, sind Profilbildung und Wiedererkennung möglich, wenn derartige Elemente von sozialen Netzwerken auf den Internetseiten integriert sind.

 

Instagram erhält in bestimmten Fällen auch Daten von Dritten, etwa wenn ein Unternehmen seine Kundenliste im Rahmen der „Custom Audience“-Funktion, oder mittels eines anderen „Facebook-Business-Tools“, mit Instagram teilt.

 

Das Jugendgästehaus Kreis Herford verzichtet deshalb auf die Nutzung solcher Tools und Funktionen auf seinen eigenen Webseiten, so dass diese Risiken zumindest nicht durch die Aktivitäten des Jugendgästehauses Kreis Herford hervorgerufen werden.

 

Darauf, dass diese Gefahren gleichwohl auf anderen Websites lauern, die die genannten Tools nutzen, weisen wir ausdrücklich hin.

 

Weiterhin entstehen Risiken auch außerhalb der Portale der sozialen Netzwerke durch die Nutzung der mobilen Apps der Netzwerkanbieter.

 

Instagram bietet bspw. gleich mehrere Apps in den App-Stores von Google oder Apple an. Diese Apps fordern zum Betrieb verschiedentliche Zugriffsrechte auf Bereiche Ihres Smartphones, wie z.B. die Standort- und Kontaktdaten, Fotos, die Kamera, die Sprachsteuerung, die Mitteilungsfunktion, die Hintergrundaktualisierung und auf die mobile Datenübertragungsfunktion.

 

Hierdurch entstehen zusätzliche datenschutzrechtliche Risiken. Das Jugendgästehaus Kreis Herford hat auf die technischen Zugriffsrechte der Apps der sozialen Netzwerke keinen Einfluss.

 

4. Bewertung der Risiken

Das durch den Instagram-Account des Jugendgästehauses Kreis Herford zusätzlich verursachte Datenschutzrisiko ist als gering einzustufen.

Wir unternehmen verschiedene Anstrengungen, um die bestehenden Risiken im Zusammenhang mit der Nutzung sozialer Medien zu minimieren:

So besteht schon kein Zwang, unsere Social-Media-Angebote zu nutzen, geschweige denn ein Konto bei einem sozialen Netzwerk zu eröffnen.

Zum einen sind unsere Posts in der Regel auch ohne Anmeldung in den Social-Media-Diensten wahrzunehmen. Zum anderen werden hinreichende alternative Informations- und Kommunikationsmöglichkeiten angeboten (wie z.B. über unsere Website).

Um ehr- oder persönlichkeitsverletzende Beiträge von Nutzerinnen/ Nutzern zu verhindern, sorgen wir für eine kontinuierliche redaktionelle Betreuung des Accounts und sperren im Notfall auch Nutzeraccounts.

Bei der Veröffentlichung von eigenen Inhalten achten wir darauf, dass neben dem Urheberrecht der Fotos auch die Bildrechte der Abgebildeten berücksichtigt werden.

 

Wird in den Beiträgen Bezug zu anderen Instagram-Nutzern hergestellt (z.B. durch Teilen von Beiträgen oder als Reaktion auf Kommentare), so werden nur die Daten verarbeitet, die die betreffenden Nutzerinnen/ Nutzer selbst und freiwillig angegeben haben (Nutzername und Postings).

 

Weiterhin haben wir im weitesten Umfang unseren Instagram-Account so voreingestellt, dass die Datenverarbeitung minimiert wird. Zum Beispiel haben wir die Funktion deaktiviert, dass Nutzerinnen/ Nutzer uns auf Bildern markieren können und diese dann unmittelbar unserem Konto hinzugefügt werden. Wir klären in unseren Datenschutzhinweisen die Nutzerinnen/ Nutzer außerdem darüber auf, wie sie selbst die Datenverarbeitung durch die sozialen Netzwerke minimieren können und ihre Konto- und Privatsphäreneinstellungen entsprechend anpassen können.

 

Instagram bietet verschiedene Arten von Accounts, um auf dem Netzwerk aktiv zu sein. Neben dem klassischen Basis-Account, der auch Privatpersonen zur Verfügung steht, gibt es auch noch einen sog. „Business-Account“. Bei diesem werden der Accountinhaberin/ dem Accountinhaber von Instagram auch noch sog. „Insights“, also Statistiken über die Reaktion auf die eigenen Inhalte durch andere Instagram-Nutzer, bereitgestellt. Zudem lässt sich nur mittels solcher Accounts Werbung auf Instagram schalten. Der Kreis Herford hat sich bewusst dagegen entschieden, die zusätzliche Datenverarbeitung im Rahmen von Business-Accounts zu unterstützen und betreibt aus Gründen der Datenminimierung allein einen Basis-Account.

 

Das Jugendgästehaus Kreis Herford hat daher verschiedene Maßnahmen ergriffen, die zu einem Gesamtpaket zusammengeführt wurden.

 

Auf die Risiken, die generell mit der Nutzung sozialer Medien einhergehen, werden die Nutzerinnen/ Nutzer in der Datenschutzerklärung unseres Instagram-Accounts sowie in dieser Folgenabschätzung hingewiesen.

 

Zu den Maßnahmen haben wir uns in unserem Nutzungskonzept für den Instagram-Account verpflichtet. Vor- und Nachteile der Instagram-Nutzung werden danach regelmäßig unter Einbeziehung der Nutzungsbedingungen von Instagram evaluiert.

 

5. Ergebnis

Vor dem Hintergrund der vorstehenden Erwägungen halten wir den Betrieb unseres Instagram-Accounts für vertretbar. Wir verpflichten uns dazu, die weitere Entwicklung sowohl in tatsächlicher als auch in rechtlicher Art weiter aufmerksam zu verfolgen und unseren Social-Media-Auftritt in regelmäßigen Abständen einer Prüfung zu unterziehen.