1 Problemaufriss

Immer mehr Nutzer hinterlassen ihre Spuren im Internet, tau-schen sich in Sozialen Medien über Marken und Produkte aus und berichten über persönliche Dinge. Die dabei täglich neu ent-stehenden Datenmengen sind enorm und tragen ihren Teil dazu bei, dass 90 Prozent der heute weltweit verfügbaren Daten erst in den letzten zwei Jahren entstanden sind. Eine Auswertung die-ser großen Datenmengen („Big-Data“) verspricht Unternehmen nicht nur einen Informationsgewinn, sondern auch ganz konkre-te wirtschaftliche Vorteile. Vom normalen Social Media Nutzer beinahe unbemerkt, hat sich in diesem Umfeld ein neuer Markt entwickelt, in dem hochautomatisierte und parametrierbare Aus-wertungssoftware in Bezug auf die in Sozialen Medien veröffent-lichten Daten angeboten und genutzt wird. So ist mittlerweile da-von auszugehen, dass über 50% der Unternehmen, die über mehr als 500 Mitarbeiter verfügen, bereits entsprechende Auswertungs-software einsetzen.1 Unter dem Stichwort „Social Media Monito-ring“ finden sich im Rahmen einer einfachen Internetrecherche zahlreiche Auswertungsprogramme nebst umfangreicher Prä-sentation des jeweiligen Funktionsumfangs. Die Bandbreite der Funktionalität der jeweiligen Auswertungssoftware aber auch die verfolgten Zwecke variieren dabei stark. Exemplarisch sollen an dieser Stelle daher einige Ausprägungen und Möglichkeiten des Einsatzes des Social Media Monitorings dargestellt werden.

1 Bitkom Leitfaden Social Media, 2. Auflage 2012, S. 40.

1.1 Trend- und Meinungsanalysen

Was wird über die eigene Marke kommuniziert? Welches Feed-back erhalten Produkte in der Praxis? Kommt in Konversationen vermehrt Kritik auf? Was macht der Mitbewerber? Wie ist die Meinung über die aktuelle Werbekampagne und was denken ei-gentlich die eigenen Arbeitnehmer über das Unternehmen als Ar-beitgeber? Antworten auf all diese Fragen versprechen die kom-plexen Stichwortsuchen einer Auswertungssoftware. Diese filtert hierzu über eine beliebige Anzahl von Social Media Plattformen und Internetforen die dort vorhandenen öffentlichen Meinungs-äußerungen, Pinnwandeinträge und Kommunikationsinhalte ei-nes bestimmten Zeitraums. Häufige Datenquellen hierfür sind Twitter, öffentliche Facebook- und YouTube-Beiträge, aber auch Internetforen und Blogs. Die Auswertung kann wahlweise so-gar in Echtzeit erfolgen. Postet ein Nutzer etwa eine Produktbe-schwerde bei Twitter und erkennt die Auswertungssoftware dies, erscheint eine entsprechende Meldung z. B. im Social Media Lis-tening Center des Unternehmens und ein Mitarbeiter kann den Nutzer direkt über diesen Kanal ansprechen, um Hilfe und Un-terstützung anzubieten.

Wie weit Trend- und Meinungsanalysen im Extremfall gehen können, zeigt folgendes, im Internet veröffentlichtes Beispiel:2 Untersucht werden sollte das Medikamentenwechselverhalten von an Multipler Sklerose erkrankten Patienten. Hierzu wur-den Social Media Inhalte bzgl. einer bestimmten Medikamen-tenmarke ausgewertet und mehr als 20.000 öffentliche Diskus-sionen verschiedener Nutzer über ein bestimmtes Medikament identifiziert. 6.156 Diskussionen hiervon betrafen Kaufentschei-dungen. Es wurde ermittelt, dass 26% der Nutzer sich für eine an-dere Medikamentenmarke entschieden, was jährliche Umsatz-einbußen von über 67 Millionen US Dollar bedeutete.

2 http://bit.ly/1a7TfPH zuletzt abgerufen am 15.10.2013.

Sven Venzke-Caprarese

Rechtsanwalt und Berater bei der datenschutz nord GmbH mit dem Schwerpunkt Datenschutz in neuen Medien

E-Mail: svenzke@datenschutz-nord.de

Sven Venzke-Caprarese

Social Media Monitoring

Analyse und Profiling ohne klare Grenzen?

Daten in Sozialen Medien sind für Unternehmen von hohem Wert und technisch leicht auszuwerten. Dabei geht es längst nicht mehr nur um die Frage, ob Arbeitgeber Bewerberprofile einsehen dürfen. In den Fokus einer großflächig angelegten Datenverarbeitung sind vielmehr die Analyse von Meinungen, die Identifizierung von Einflussnehmern und das Profiling von Meinungsführern gerückt. Sogenannte Social Media Listening Center gehören immer öfter zur Ausstattung großer Unternehmen. Dieser Beitrag gibt einen Überblick der rechtlichen Rahmenbedingungen.

DuD • Datenschutz und Datensicherheit 12 | 2013 775

SCHWERPUNKT

1.2 Identifikation von Einflussnehmern

Die Erkennung und Beeinflussung der Einflussnehmer ist oftmals ein weiteres Ziel des Social Media Monitorings. Durch Trend- und Meinungsanalysen erhalten Unternehmen gelegentlich einen tieferen Einblick in das Verhalten einzelner Nutzer. Auf Grund der Häufigkeit einzelner Postings, der jeweiligen Inhaltsbewer-tung, der Reaktionen anderer Nutzer, des Verbreitungsgrads der Nachrichten und weiterer Indikatoren kann die Einflussnahme einzelner Nutzer auf andere Nutzer bewertet werden. Wird ein Nutzer mit einem hohen Einflussnahmegrad als sog. „Influen-cer“ erkannt, kann versucht werden, diesen direkter anzuspre-chen und noch mehr für die eigene Werbebotschaft oder das ei-gene Produkt zu gewinnen.

1.3 Profiling von Meinungsführern

Noch einen Schritt weiter geht die Möglichkeit, Profile über ein-zelne Nutzer anhand ihrer in Sozialen Medien veröffentlichten Daten zu erstellen. Die Begehrlichkeit, solche Profile zu erstel-len, steigt insbesondere dort, wo „Top-Influencer“ oder gar Mei-nungsführer („Key Opinion Leader“) erkannt werden. Das Pro-filing kann sich dabei auf die Dokumentation der Interessen und Hobbies beschränken. Im Extremfall ist jedoch auch ein sehr viel detaillierteres und langfristig angelegtes Profiling denkbar.

2 Rechtliche Rahmenbedingungen

Sofern das Social Media Monitoring durch das jeweilige Unter-nehmen selbst durchgeführt wird, bestimmen sich die rechtlichen Rahmenbedingungen nach § 28 Abs. 1 Nr. 3 BDSG. Demnach dürfen personenbezogene Daten erhoben, gespeichert, verändert sowie für die Erfüllung eigener Geschäftszwecke genutzt werden, wenn die Daten allgemein zugänglich sind, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung gegenüber dem berechtigten Interes-se der verantwortlichen Stelle offensichtlich überwiegt.

2.1 Allgemein zugängliche Daten

Wann Daten allgemein zugänglich sind, ist nicht unumstritten. Zwar enthält § 10 Abs. 5 S. 2 BDSG an unerwarteter Stelle ei-ne Legaldefinition des Begriffs der allgemein zugänglichen Da-ten. Allgemein zugänglich sind demnach solche Daten, die jeder-mann, sei es ohne oder nach vorheriger Anmeldung, Zulassung oder Entrichtung eines Entgelts, nutzen kann. Jedoch wird häufig auch auf die im Rahmen des Grundrechts auf Informationsfrei-heit entwickelte, verfassungsrechtliche Definition Bezug genom-men.3 Demnach sind Daten allgemein zugänglich, wenn sie einer Informationsquelle entstammen, die technisch geeignet und be-stimmt ist, der Allgemeinheit, d. h. einem individuell nicht be-stimmbaren Personenkreis, Informationen zu verschaffen.4

Die wohl herrschende Meinung sieht personenbezogene Daten in Sozialen Medien, die nicht für einen bestimmten Nutzerkreis

3 Gola/Schomerus, § 28 BDSG Rn 32; Simitis, in: ders., § 28 BDSG Rn 151; Spindler/Nink, in: Spindler/Schuster, § 28 BDSG Rn 7; Taeger, in: Taeger/Gabel, § 28 BDSG Rn 81; Wedde, in: Däubler/Klebe/Wedde/Weichert, § 28 BDSG Rn 58.

4 Vgl. BVerfGE 27, 71 (83).

beschränkt wurden (etwa Freunde), als allgemein zugänglich an.5 Hieran ändere auch das Erfordernis einer etwaigen Anmeldung bei der jeweiligen Social Media Plattform nichts, denn diese ist regelmäßig mit wenig Aufwand möglich und steht grundsätz-lich jedem frei.

Lediglich eine Mindermeinung sieht in dem Anmeldeerforder-nis an sich noch eine Hürde, die dazu führe, dass die Daten nur einem geschlossenen Personenkreis zur Verfügung stünden und somit nicht allgemein zugänglich seien.6 Dies gelte selbst in Fäl-len, in denen die Plattform mehrere Millionen Nutzer umfasst.7 Diese Mindermeinung überzeugt indes nicht. Die Anmeldung an sich stellt, wie die herrschende Meinung zu Recht ausführt, kei-ne relevante Hürde dar. Denn eine Überprüfung etwaiger An-meldevoraussetzungen erfolgt regelmäßig nicht. Die Anmeldung bei einer Social Media Plattform führt in der Regel vielmehr au-tomatisch zur Freischaltung des jeweiligen Nutzers. Zudem stellt auch die Legaldefinition des § 10 Abs. 5 S. 2 BDSG ausdrück-lich klar, dass das Erfordernis einer vorherigen Anmeldung al-lein nicht ausreicht, um die Daten der allgemein zugänglichen Sphäre zu entziehen.

Vereinzelt wird darüber hinaus vertreten, dass Daten, die zu bestimmten Zwecken bzw. in einem bestimmten Umfeld8 oder entgegen dem expliziten Willen des Betroffenen veröffentlicht wurden9, nicht allgemein zugänglich seien. Hier ist zu entgeg-nen, dass sich für eine solch enge Interpretation keine Anhalts-punkte im Gesetz finden und ein solches Verständnis allgemein zugänglicher Daten die Informationsfreiheit aushöhlen würde.10

Es bleibt daher festzustellen: Daten in Sozialen Medien sind selbst dann allgemein zugänglich, wenn diese erst durch eine vor-herige Anmeldung eingesehen werden können, die aber grund-sätzlich jedem ohne Überwindung großer Hürden freisteht.11 Da-ten, die vom Betroffenen jedoch nur einem beschränkten Nutzer-kreis zur Verfügung gestellt werden (etwa Freunden, Freunden von Freunden, Mitgliedern eines bestimmten Circles etc.), sind nicht mehr an die Allgemeinheit gerichtet und somit auch nicht mehr allgemein zugänglich.

Dies führt z. B. dazu, dass ein Großteil der bei Twitter und You-tube sowie der in Internetforen und Blogs vorhandenen personen-bezogenen Daten als allgemein zugänglich zu bewerten ist, da die-se Daten regelmäßig allen Nutzern zugänglich sind. Auch bei Face-book verbleiben noch sehr viele allgemein zugängliche Bereiche, et-wa die Pinnwände und Chroniken von Unternehmens-Fanpages sowie die von den Nutzern gegenüber sämtlichen Mitgliedern ver-öffentlichten Daten des eigenen Profils. Nicht allgemein zugäng-

5 Vgl. auch: Bissels/Lützeler/Wisskirchen, BB 2010, 2433 (2437); Ernst, NJOZ 2011, 953 (955); Hoormann, DSRI-Tagungsband 2011, 577 (582); Klas, Grenzen der Erhebung und Speicherung allgemein zugänglicher Daten, 2012, 41 ff.; Oberwet-ter, BB 2008, 1562 (1564); Solmecke, in: Hoeren/Sieber Multimedia-Recht, Teil 21.1 Rn 45 (anders noch in DSRI-Tagungsband 2011, 34); Taeger, in: Taeger/Gabel, § 28 BDSG Rn 83.

6 Wolff, in: BeckOK BDSG, § 28 Rn 83.7 Forst, NZA 2010, 427 (431). 8 Forst, NZA 2010, 427 (431). 9 Wedde, in: Däubler/Klebe/Wedde/Weichert, § 28 BDSG Rn 58; Spindler/

Nink, in: Spindler/Schuster, § 28 BDSG Rn 7. 10 Gleichwohl können diese Argumente im Rahmen der in § 28 Abs. 1 Nr. 3

BDSG vorgesehenen Interessenabwägung Berücksichtigung finden. 11 Selbst eine etwaig notwendige Verletzung der Nutzungsbedingungen

stellt keine relevante Hürde der Informationsbeschaffung dar. Regelt eine Platt-form etwa, dass sie sich nur an Schüler richtet oder dass eine Anmeldung nur un-ter dem Klarnamen zulässig ist, unterlässt jedoch eine entsprechende Überprü-fung vor der Anmeldung, so bleiben die Hürden weiterhin so gering, dass diese nicht ins Gewicht fallen – vgl. hierzu auch Ernst, NJOZ 2011, 953 (955).

776 DuD • Datenschutz und Datensicherheit 12 | 2013

SCHWERPUNKT

lich sind hingegen solche Daten, welche die verarbeitende Stelle nur deshalb erhält bzw. einsehen kann, weil Nutzer mit dem Un-ternehmen interagieren – etwa weil sie „Fan“ bei Facebook gewor-den sind – und die nicht von jedermann eingesehen werden kön-nen. Gleiches gilt für Daten, die der verarbeitenden Stelle von den Betreibern der Social Media Plattformen ggf. über Schnittstellen (APIs) exklusiv zur Verfügung gestellt werden.

2.2 Offensichtlich überwiegende Gegeninteressen

Allgemein zugängliche Daten unterliegen grundsätzlich einem Erhebungs-, Verarbeitungs- und Nutzungsprivileg. Dieses ist je-doch nicht schrankenlos gewährleistet. § 28 Abs. 1 Nr. 3 BDSG zieht die Grenze der Zulässigkeit dort, wo das schutzwürdige In-teresse des Betroffenen an dem Ausschluss der Verarbeitung ge-genüber dem berechtigten Interesse der verantwortlichen Stelle offensichtlich überwiegt. Wann von solchen offensichtlich über-wiegenden Gegeninteressen auszugehen ist und welche Abwä-gungstopoi heranzuziehen sind, bestimmt das Gesetz indes nicht. In der Praxis bestehen daher erhebliche Abgrenzungsprobleme, die zum Teil schwer lösbar erscheinen.

2.2.1 Reichweite der Privilegierung

Die Reichweite des Erhebungs-, Verarbeitungs- und Nut-zungsprivilegs ist vor dem Hintergrund des aus Art. 5 Abs. 1 S. 1 Halbs. 2 GG folgenden Grundrechts auf Informationsfrei-heit zu bestimmen. Das Recht, sich aus allgemein zugänglichen Quellen ungehindert zu unterrichten, findet seine Schranken nach Art. 5 Abs. 2 GG zwar in den Vorschriften der allgemei-nen Gesetze. Um eine Aushöhlung der Grundrechte auszuschlie-ßen, müssen die allgemeinen Gesetze ihrerseits aber in ihrer das Grundrecht begrenzenden Wirkung selbst wieder eingeschränkt werden.12 Gefordert ist insofern eine fallbezogene Abwägung der von dem eingeschränkten Grundrecht und dem grundrechtsbe-schränkenden Gesetz geschützten Interessen, die im Rahmen der auslegungsfähigen Tatbestandsmerkmale des einfachen Rechts – und insbesondere im Rahmen dort vorgesehener Interessenab-wägungen – vorzunehmen ist.13 Dabei ist zu beachten, dass nach Art. 19 Abs. 3 GG auch Unternehmen das Recht zusteht, sich auf Grundrechte zu berufen, sofern diese ihrem Wesen nach auf die-se anwendbar sind, was in Bezug auf die Informationsfreiheit un-strittig der Fall ist.14 Schließlich ist zu berücksichtigen, dass § 28 Abs. 1 Nr. 3 BDSG grundsätzlich der Informationsfreiheit den Vorrang einräumt. Eine allzu enge Auslegung der Verarbeitungs-privilegien ist daher zu vermeiden.

In der Literatur ist anerkannt, dass auch § 28 Abs. 1 Nr. 3 BDSG eine Interessenabwägung voraussetzt. Eine intensive Einzelfall-prüfung ist allerdings grundsätzlich nicht geboten, sondern nur, wenn schutzwürdige Gegeninteressen jedenfalls als Möglichkeit auf der Hand liegen.15 Zudem ist anerkannt, dass eine Privilegie-rung nur dann entfällt, wenn die Gegeninteressen des Betrof-fenen deutlich höher sind als die Interessen der verarbeitenden Stelle und dies leicht erkennbar ist, d. h. die Verletzung der Inte-ressen für einen unvoreingenommenen verständigen Beobachter

12 Schemmer, in: BeckOK GG, Art. 5, Rn 100. 13 Schemmer, in: BeckOK GG, Art. 5, Rn 100; Jarass, in: Jarass/Pieroth GG, Art

5 Rn 57. 14 Vgl. statt vieler Jarass, in: Jarass/Pieroth GG, Art. 5 Rn 18.15 Gola/Schomerus, § 28 BDSG Rn 31.

ohne weiteres wahrzunehmen ist.16 Die Verarbeitung allgemein zugänglicher Daten ist daher nur ausnahmsweise unzulässig.17

Vereinzelt wird darüber hinaus allerdings vertreten, dass die Privilegierung an einigen Stellen per se eingeschränkt sei. So gel-te sie nur für die allgemein zugänglichen Daten in ihrem „Urzu-stand“ und entfalle, wenn die Daten mit anderen Daten – selbst wenn diese ebenfalls aus einer öffentlichen Quelle stammen – zu einer neuen Information verknüpft werden.18 Zu finden ist auch die Meinung, dass allgemein zugängliche Daten nicht aus ihrem Kontext herausgelöst werden dürften, eine verwendungsbeding-te Verfälschung zu vermeiden sei und sich die Privilegierung nur auf Einzeldaten beziehe.19 Dabei wird ganz vereinzelt sogar ver-treten, dass die verarbeitende Stelle verpflichtet sei, Quelle und Kontext des aus allgemein zugänglichen Quellen entnommenen Datums zu registrieren sowie die Angaben regelmäßig auf Kor-rektheit und Vollständigkeit zu überprüfen.20

Diesen Ansichten ist zumindest insofern zuzustimmen, als dass die kontextfremde Verwendung und Verknüpfung von all-gemein zugänglichen Daten besondere Gefahren für die Rech-te der Betroffenen darstellen kann und auch der Korrektheit der Daten besondere Relevanz zugemessen werden muss. Allerdings erscheint eine Betrachtung, die losgelöst vom jeweiligen Um-fang und Zweck der Datenverarbeitung erfolgt und die Privile-gierung ohne Durchführung einer Interessenabwägung per se einschränkt, regelmäßig verkürzt. Eine Beschränkung der Pri-vilegierung ist vielmehr erst als Folge eines fallbezogenen Abwä-gungsergebnisses im Rahmen des § 28 Abs. 1 Nr. 3 BDSG oder auf Grund anderer gesetzlicher Regelungen festzustellen. Im Rah-men der Abwägung können dann die verschiedensten Argumen-te angemessen und entscheidungsoffen berücksichtigt werden.21

2.2.2 Besondere personenbezogene Daten

§ 28 Abs. 6 Nr. 2 BDSG bestimmt, dass das Erheben, Verarbei-ten und Nutzen von besonderen Arten personenbezogener Daten für eigene Geschäftszwecke zulässig ist, wenn der Betroffene die-se offenkundig öffentlich gemacht hat. Das bedeutet, dass selbst bei Vorliegen der Voraussetzungen des § 28 Abs. 1 Nr. 3 BDSG ei-ne Privilegierung der allgemein zugänglichen besonderen Arten personenbezogener Daten nur dann gegeben ist, wenn die Daten vom Betroffenen selbst öffentlich gemacht wurden.

Wie allerdings mit Fällen umzugehen ist, in denen die Da-ten zwar vom Betroffenen selbst öffentlich gemacht wurden, je-doch offensichtlich überwiegende Interessen des Betroffenen ge-gen eine Verarbeitung der Daten zu bestimmten Zwecken vorlie-gen, scheint ungeklärt zu sein. Es wäre interessengerecht, auch im Rahmen des § 28 Abs. 6 Nr. 2 BDSG das Vorliegen der Vo-raussetzungen des § 28 Abs. 1 Nr. 3 BDSG zu verlangen und in-

16 Wolff, in: BeckOK BDSG, § 28 Rn 89.17 Wolff, in: BeckOK BDSG, § 28 Rn 88, 89; Gola/Schomerus, § 28 BDSG Rn 31.18 Gola/Schomerus, § 28 BDSG Rn 31.19 Simitis, in: ders., § 28 BDSG Rn 151. 20 Simitis, in: ders., § 28 BDSG Rn 151.21 Vergleichbares gilt auch, wenn allgemein zugängliche Daten im Rah-

men des § 29 Abs. 1 Nr. 2 BDSG für eigene Geschäftszwecke geschäftsmäßig zum Zwecke der Übermittlung erhoben und gespeichert werden sollen. Als vor eini-ger Zeit öffentlich wurde, dass eine bekannte deutsche Auskunftei erste Schrit-te unternahm, um die Möglichkeiten zu erforschen, welche die Auswertung all-gemein zugänglicher Daten in Bezug auf die Kreditwürdigkeit von Verbrauchern bietet, war die negative Resonanz von Verbrauchern und Medien erheblich. Tat-sächlich spricht vieles dafür, dass der Verwirklichung solcher Möglichkeiten of-fensichtliche Gegeninteressen der Betroffenen entgegenstehen.

DuD • Datenschutz und Datensicherheit 12 | 2013 777

SCHWERPUNKT

soweit eine Abwägung durchzuführen, die zumindest offensicht-lich überwiegende Gegeninteressen des Betroffenen berücksich-tigt. Aus dem Gesetz selbst ergibt sich ein solches Erfordernis je-doch nicht ausdrücklich.

2.2.3 Direkterhebungsgrundsatz

Häufig findet sich der Einwand, dass eine Erhebung von perso-nenbezogenen Daten aus allgemein zugänglichen Quellen gegen den Direkterhebungsgrundsatz des § 4 Abs. 2 BDSG verstoßen würde. Dem ist jedoch zu entgegnen, dass § 28 Abs. 1 Nr. 3 BDSG eine Ausnahme vom Grundsatz der Direkterhebung gem. § 4 Abs. 2 S. 2 Nr. 1 BDSG darstellt.22 Andernfalls liefe § 28 Abs. 1 Nr. 3 BDSG ins Leere, was insbesondere vor dem Hintergrund der In-formationsfreiheit eine zu enge Auslegung darstellen würde.

2.2.4 Benachrichtigungspflichten

Werden erstmals personenbezogene Daten für eigene Zwecke oh-ne Kenntnis des Betroffenen gespeichert, ist der Betroffene gemäß § 33 Abs. 1 BDSG von der Speicherung, der Art der Daten, der Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung und der Identität der verantwortlichen Stelle zu benachrichtigen. Dies gilt nach § 33 Abs. 2 Nr. 7a BDSG nur dann nicht, wenn die Daten für eigene Zwecke gespeichert und aus allgemein zugängli-chen Quellen entnommen sind und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist.

Im Ergebnis bedeutet dies, dass auch im Anwendungsbereich des § 28 Abs. 1 Nr. 3 BDSG vor der erstmaligen Speicherung all-gemein zugänglicher Daten umfangreiche Benachrichtigungs-pflichten bestehen, die nur ausnahmsweise entfallen. Selbst wenn die Benachrichtigungspflichten entfallen, verbleiben aber Doku-mentationspflichten. Denn die verantwortliche Stelle hat nach § 33 Abs. 2 S. 2 BDSG schriftlich festzulegen, unter welchen Voraus-setzungen von einer Benachrichtigung abgesehen wird.

2.2.5 Betroffenenrechte

Auch die Betroffenenrechte des § 35 BDSG sind zu beachten. Zwar ist das Verhältnis von § 35 BDSG zu § 28 Abs. 1 Nr. 3 BDSG bisher in der Literatur kaum betrachtet worden. Allerdings findet sich kein Grund, weshalb § 35 BDSG bei der Verarbeitung allge-mein zugänglicher Daten nicht als gesetzliche Schranke greifen sollte. Im Gegenteil: § 35 Abs. 6 BDSG regelt sogar ausdrücklich, wann Betroffenenrechte zugunsten allgemein zugänglicher Daten ausnahmsweise zurücktreten. Im Umkehrschluss bedeutet dies, dass beim Fehlen dieser Ausnahmen die Betroffenenrechte wei-terhin greifen. Zudem erscheinen gerade die in § 35 BDSG gere-gelten Betroffenenrechte geeignet, einer zu weiten Verwendung allgemein zugänglicher Daten Einhalt zu gebieten.

2.2.5.1 Widerspruch des Betroffenen

Personenbezogene Daten dürfen nach § 35 Abs. 5 BDSG nicht für eine automatisierte Verarbeitung erhoben, verarbeitet oder ge-nutzt werden, soweit der Betroffene dieser bei der verantwortli-chen Stelle widerspricht und eine Prüfung ergibt, dass das schutz-

22 Bissels/Lützeler/Wisskirchen, BB 2010, 2433 (2437); Hoormann, DSRI-Ta-gungsband 2011, 577 (580); Solmecke, in: Hoeren/Sieber Multimedia-Recht, Teil 21.1 Rn 44.

würdige Interesse des Betroffenen wegen seiner besonderen per-sönlichen Situation das Interesse der verantwortlichen Stelle an dieser Erhebung, Verarbeitung oder Nutzung überwiegt.

Es ist daher davon auszugehen, dass ein Widerspruch des Be-troffenen die verarbeitende Stelle zu einer intensiven Einzelfall-prüfung verpflichtet.23

2.2.5.2 Korrektheit der Daten

Gemäß § 35 Abs. 1 S. 1 BDSG sind personenbezogene Daten zu berichtigen, wenn sie unrichtig sind. Die bewusste Speicherung unrichtiger Daten ist daher zu vermeiden. Eine Unrichtigkeit liegt auch dann vor, wenn richtige Daten so gravierend aus ihrem Kon-text gelöst werden, dass eine Fehlinterpretation naheliegt.24 § 35 Abs. 1 S. 2 BDSG verpflichtet zur deutlichen Kennzeichnung von Schätzdaten. Schließlich sind personenbezogene Daten gem. § 35 Abs. 4 BDSG zu sperren, soweit ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrich-tigkeit feststellen lässt. All dies gilt auch im Rahmen der Verar-beitung allgemein zugänglicher Daten durch Unternehmen zu ei-genen Geschäftszwecken.

2.2.5.3 Sensible Daten

Sensible personenbezogene Daten müssen nach § 35 Abs. 2 Nr. 2 BDSG gelöscht werden, wenn ihre Richtigkeit von der verantwortli-chen Stelle nicht bewiesen werden kann. Durch diese Regelung soll eine zweifelhafte Speicherung bei sensiblen Daten in jedem Fall ver-mieden werden.25 Der in der Norm genannte Datenkatalog deckt sich mit dem Datenkatalog des § 28 Abs. 6 Nr. 2 BDSG (vgl. Ziffer 2.2.2), übertrifft diesen jedoch im Hinblick auf „strafbare Hand-lungen“ und „Ordnungswidrigkeiten“. Auch hier gilt die Privile-gierung des § 28 Abs. 1 Nr. 3 BDSG für allgemein zugängliche Da-ten daher nur eingeschränkt. Vor der Speicherung sensibler Daten muss deren Richtigkeit bewiesen sein. Hiervon ist unter Rückgriff auf § 28 Abs. 6 Nr. 2 BDSG regelmäßig auszugehen, wenn die Da-ten vom Betroffenen selbst öffentlich gemacht wurden.

2.2.5.4 Zweckbindung

Gemäß § 35 Abs. 2 Nr. 3 BDSG sind personenbezogene Daten, die für eigene Zwecke verarbeitet werden, zu löschen sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist. Auch in Bezug auf allgemein zugängliche Daten be-deutet dies, dass eine anlasslose Speicherung nicht zulässig ist und auch keine Datenspeicherung auf Vorrat betrieben werden darf.

3 Grenzen des Social Media Monitorings

Sofern im Rahmen des Social Media Monitorings ausschließlich allgemein zugängliche Daten betroffen sind, gilt grundsätzlich die Privilegierung des § 28 Abs. 1 Nr. 3 BDSG. Neben einer Viel-

23 Vieles spricht dafür, die Interessenabwägung dann im Rahmen des § 35 Abs. 5 BDSG vorzunehmen. Jedoch wird hierbei zu Gunsten der verarbeitenden Stelle zu berücksichtigen sein, dass die Daten allgemein zugänglich sind. Dies wird regelmäßig dazu führen, dass höhere Anforderungen an die Gegeninteres-sen des Betroffenen zu stellen sind.

24 So Meents, in: Taeger/Gabel, § 35 BDSG Rn 9.25 Meents, in: Taeger/Gabel, § 35 BDSG Rn 23.

778 DuD • Datenschutz und Datensicherheit 12 | 2013

SCHWERPUNKT

zahl von Internetforen und Blogs eröffnen sich damit auch die öf-fentlichen Bereiche von Social Media Plattformen als Datenquel-le. Je nach Umfang und Zweck des Social Media Monitorings wird sich dabei relativ schnell das Erfordernis ergeben, das Monitoring an sich im Rahmen einer Interessenabwägung mehr als nur sum-marisch zu prüfen. Denn die groß angelegte, systematische und automatisierte Auswertung allgemein zugänglicher personenbe-zogener Daten aus unterschiedlichsten Quellen lässt schutzwür-dige Gegeninteressen der Betroffenen jedenfalls als Möglichkeit auf der Hand liegen. Es ist daher regelmäßig geboten, den betrieb-lichen Datenschutzbeauftragten zu beteiligen. Je nach Ausgestal-tung des Monitorings ist auch an das Erfordernis einer Vorabkon-trolle zu denken, etwa weil besondere Arten personenbezogener Daten verarbeitet werden oder die Verarbeitung personenbezoge-ner Daten dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten. Das Verfahren muss zudem im Verfahrensverzeich-nis aufgeführt werden. Dabei ist auch die Zweckbestimmung der Verarbeitung anzugeben.

3.1 Trend- und Meinungsanalysen

Die Durchführung von Trend- und Meinungsanalysen anhand der Suche nach festgelegten Stichworten begegnet den geringsten Bedenken. Dies gilt insbesondere für das reine Echtzeit-Monito-ring. Denn Unternehmen haben in der Regel ein hohes Interes-se daran, sich darüber zu informieren, was über die eigene Mar-ke in allgemein zugänglichen Quellen kommuniziert wird. Auch die Beobachtung von Mitbewerbermarken erscheint in diesem Zusammenhang regelmäßig vom Informationsinteresse gedeckt.

Problematisch ist jedoch ein gezieltes Social Media Monitoring der Arbeitnehmer. Zwar wird § 28 Abs. 1 Nr. 3 BDSG nach der herrschenden Meinung durch § 32 BDSG nicht gesperrt.26 Al-lerdings stehen Arbeitnehmer zum Arbeitgeber in einem Subor-dinationsverhältnis und haben daher ein hohes Interesse daran, sich nicht auch noch in der Freizeit den Vorstellungen des Arbeit-gebers zu unterwerfen und insofern gezielt ausgeforscht zu wer-den. Auf der anderen Seite spricht einiges dafür, dass ein Arbeit-geber, der in Sozialen Medien lediglich nach der Erwähnung des eigenen Namens oder der Erwähnung der eigenen Marken sucht, auch reagieren darf, wenn er hierbei ihn betreffende beleidigende Äußerungen von Arbeitnehmern feststellt. Besondere Sorgfalt ist auch geboten, wenn vom Monitoring besondere Arten personen-bezogener Daten betroffen sind.

Sofern im Rahmen des Monitorings keine Speicherung und insbesondere keine Profilbildung erfolgt, ist eine Benachrichti-gung nicht erforderlich. Insgesamt gilt jedoch: Je umfangreicher das Monitoring ausgestaltet wird und je mehr einzelne Personen in den Fokus des Monitorings geraten, desto eher werden Gegen-interessen offensichtlich sein.

Die zu Beginn des Beitrags erwähnten Fragen „Was wird über die eigene Marke kommuniziert? Welches Feedback erhalten Pro-dukte in der Praxis? Kommt in Konversationen vermehrt Kri-tik auf? Was macht der Mitbewerber? Wie ist die Meinung über die aktuelle Werbekampagne?“ werden oftmals durch Social Me-dia Monitoring beantwortet werden dürfen. Auch hier kommt es aber letztlich auf eine Betrachtung des jeweiligen Einzelfalls an.

26 Bissels/Lützeler/Wisskirchen, BB 2010, 2433 (2436); Ernst, NJOZ 2011, 953 (954); Hoormann, DSRI-Tagungsband 2011, 577 (581); Klas, Grenzen der Erhe-bung und Speicherung allgemein zugänglicher Daten, 2012, 41 ff.; Solmecke, in: Hoeren/Sieber Multimedia-Recht, Teil 21.1 Rn 44.

3.2 Identifikation von Einflussnehmern

Die Identifikation von Einflussnehmern erscheint kritischer als die Durchführung von Trend- und Meinungsanalysen, da diese regelmäßig das Ergebnis einer längeren Beobachtung sein wird. Dennoch ist eine Zulässigkeit nicht per se ausgeschlossen, son-dern das Monitoring an sich muss im Rahmen einer intensiven Abwägung bewertet werden.

Sofern die Identifikation von Einflussnehmern mit der erstma-ligen Speicherung von Daten verbunden ist, entstehen Benach-richtigungspflichten. Zwar können diese entfallen, wenn die Be-nachrichtigung auf Grund der Vielzahl der Fälle unverhältnismä-ßig ist. Allerdings muss in diesem Rahmen auch bewertet werden, ob Benachrichtigungen nicht auf einfachen und kostengünsti-gen Wegen automatisiert möglich sind und somit zumutbar blei-ben. So könnte z. B. daran gedacht werden, die Betroffenen di-rekt über die jeweilige Social Media Plattform zu benachrichti-gen.27 Sofern Benachrichtigungen unterbleiben, muss die verant-wortliche Stelle gem. § 33 Abs. 2 S. 2 BDSG jedenfalls schriftlich festlegen, unter welchen Voraussetzungen von einer Benachrich-tigung abgesehen wurde.

3.3 Profiling von Meinungsführern

Besonders kritisch erscheint die Profilbildung über einzelne Per-sonen. Je nach Umfang und Zweck der Profilbildung werden hier regelmäßig offensichtliche Gegeninteressen der Betroffenen be-achtlich sein. Sofern nach Durchführung einer intensiven Abwä-gung von einer Zulässigkeit ausgegangen werden sollte, ist den Benachrichtigungspflichten eine hohe Bedeutung zuzusprechen.

4 Fazit

Die gesetzliche Privilegierung von allgemein zugänglichen Daten erfolgt undifferenziert und ohne klare Grenzen. In der Praxis be-stehen daher erhebliche Anwendungsschwierigkeiten, die sich in der Vergangenheit bereits bei der Bewertung von Google Street View, Personensuchmaschinen, Bewerberrecherchen durch Ar-beitgeber etc. gezeigt haben. Diese Anwendungsschwierigkei-ten können in der Praxis eine Gefahr sowohl für die Informati-onsfreiheit auf der einen als auch für die informationelle Selbst-bestimmung auf der anderen Seite darstellen. Es gilt daher, die Grenzen z. B. durch technikoffene gesetzliche Neuregelungen klarer zu fassen. Aber auch Literatur und Rechtsprechung wer-den sich mit einer entsprechenden Grenzziehung immer häufi-ger beschäftigen müssen.28

27 Die Zulässigkeit einer solchen Ansprache ist jedoch im Hinblick auf § 7 UWG nicht unproblematisch. Die Ansprache von Verbrauchern mittels plattforminterner Privatnachricht kann unter § 7 Abs. 2 Nr. 3 UWG fallen. Die Ansprache von Verbrau-chern auf Pinnwänden ist unproblematischer – je nach Einzelfall kann nach § 7 Abs. 1 UWG allerdings auch hierin eine unzumutbare Belästigung gesehen werden – vgl. hierzu auch Venzke, DuD 2011, 387 (393). Jedoch muss berücksichtigt werden, dass die Benachrichtigung nicht der Werbung, sondern der Erfüllung von daten-schutzrechtlichen Benachrichtigungspflichten dienen würde. Ob eine solche Form der Benachrichtigung praktikabel möglich ist, müsste also geprüft werden.

28 Weiterführend auch: Klar, Recht der Informationsgesellschaft – Daten-schutzrecht und die Visualisierung des öffentlichen Raums (2012); Klas, Grenzen der Erhebung und Speicherung allgemein zugänglicher Daten (2012).

DuD • Datenschutz und Datensicherheit 12 | 2013 779

SCHWERPUNKT