Hallo! Mein Name ist Marc Dauenhauer. Ich bin Datenschutzbeauftragter und IT-Architekt. Sie befinden sich hier auf einem Blog, auf dem ich über Themen der Digitalisierung im weitesten Sinne berichte. Wenn Sie meine Dienstleistungen als Datenschutz-Experte oder IT-Spezialist suchen, klicken Sie bitte hier!

Kennen Sie schon unsere Beratung zu Alltagsfragen im Datenschutz?

Haben Sie Fragen zur Umsetzung des Datenschutzes in Ihrem Unternehmen und brauchen eine schnelle aber fundierte Antwort, um weitermachen zu können, dann sind Sie hier genau richtig. In 2 einfachen Schritten zur hilfreichen Antwort ohne langes Suchen im Internet. Klicken Sie hier für mehr Informationen.

Warum Mastodon keine datenschutzfreundliche Alternative ist

Seit Elon Musk Twitter kaufte (was ja im Kern so nicht stimmt, wenn man sieht, wieviele andere Investoren da noch mitmischen) und sich zum Chef-Twitterer ernannte, haben viele Menschen ihre virtuellen Koffer gepackt und die Plattform verlassen. Dabei hat der Schutz der Privatsphäre für die meisten eher eine nachgeordnete Rolle gespielt. Meist war es wohl die Person Elon Musk und ihr Verständnis von Redefreiheit, dass viele hat fliehen lassen.

Dieser Artikel will sich damit auch nicht weiter beschäftigen sondern ein Schlaglicht auf die immer wieder präsentierte Twitter-Alternative Mastodon werfen. Der LfDI BW hat ja schon vor einiger Zeit Twitter verlassen und ist zu Mastodon gewechselt, weil er dies vor dem Hintergrund von Schrems-II für datenschutzfreundlicher erachtete. Dies überrascht umso mehr, als dass eine tiefergehende Analyse von Mastodon die Frage nach dem Datenschutz überraschend neu stellt und dabei zu einem eher vernichtenden Urteil gelangt. Aber der Reihe nach.

Was ist Mastodon überhaupt. Mastodon ist ein soziales Netzwerk, dass es seinen Mitgliedern erlaubt, Nachrichten zu verfassen und zu veröffentlichen, die wiederum von anderen Mitgliedern gelesen und kommentiert werden können. Das hört sich verdächtig nach dem an, was man von Twitter kennt. Der wichtigste Unterschied (neben vielen funktionalen Unterschieden im Detail) ist dabei, dass es im Gegensatz zu Twitter nicht den einen Verantwortlichen für die Plattform gibt. Mastodon ist ein föderiertes System aus vielen, vielen Servern. Jeder für sich bietet eine vollständige soziale Plattform, auf der sich Menschen wie auf Twitter tummeln können. Jeder Server hat einen verantwortlichen Betreiber, der für das Aufstellen und Durchsetzen der Regeln auf dem jeweiligen Server verantwortlich ist. Diese Server sind nun so miteinander in einem Netzwerk verbunden, dass Menschen, die auf dem einen Server ihre digitale Heimat haben, aber auch die Toots (das sind die “Tweets” von Mastodon) von Menschen auf anderen Servern in ihrem Feed lesen können.

Der Begriff Mastodon muss also auf zwei bis drei Ebenen differenziert werden:

  1. Mastodon ist der Begriff für eine Software, die sowohl das einzelne soziale Netz auf einem konkreten Server implementiert als auch die einzelnen Server miteinander vernetzt.
  2. Mastodon ist der Begriff für eine einzelne Serverinstanz. Denn wenn ich sage, ich ziehe zu Mastodon um, dann impliziert das, dass ich mir einen bestimmten Server aussuche, auf dem ich mein digitales Zelt aufbaue.
  3. Mastodon ist der Begriff für das globale Netzwerk aus Servern, die weltumspannend miteinander kooperieren.


Datenschutzrechtlich können wir ebenso drei Ebenen betrachten und kommen hierbei zu unterschiedlichen Schlußfolgerungen:

  1. Die Software sollte nach den Prinzipen von “privacy by design” gebaut sein. Die Analyse ergibt, dass das föderierte Konzept in Kombination mit dem Mangel an speziell datenschutzgerechten Funktionen diesem Prinzip nicht gerecht wird. Dazu gleich mehr.
  2. Der einzelne Server mag durch seine Lokalisierung dem Problem eines Drittlandtransfers von personenbezogenen Daten entgehen und kann durch seinen Verantwortlichen datenschutzfreundlich betrieben werden. Auch die Beachtung anderer Rechtsregeln wie dem “Digital Services Act” oder dem NetzDG können auf der Serverebene durch den Verantwortlichen grundsätzlich sichergestellt werden.
  3. Das globale Netzwerk ist de facto unkontrollierbar. Während das auf der einen Seite ja gerade der Witz eines föderalen Systems ohne zentrale Strukturen ist, fehlt natürlich im Gegensatz der eindeutige Ansprechpartner, gegenüber dem man eigene Rechte geltend machen kann. Man sieht sich im Zweifel einem Heer von einzelnen Verantwortlichen gegenüber, die alle – wenn es um die Verantwortung für Dinge geht – bequem mit dem Finger auf andere zeigen können.

Warum ist das so? Aus Datenschutzsicht starten wir einfach mal mit dem Begriff des Verantwortlichen. Nach Art 4 DSGVO ist Verantwortlich für eine Datenverarbeitung, wer einzeln oder gemeinsam mit anderen die Mittel und Zwecke einer Datenverarbeitung bestimmt. Wenn es sich um mehrere Parteien handelt, die gemeinsam die Mittel und Zwecke einer Verarbeitung bestimmen, so handelt es sich um eine gemeinsam Verantwortliche nach Artikel 26 DSGVO.

Der EuGH hat in seinem berühmten Urteil zu Facebook Fanpages ausgeurteilt, dass auch dann eine gemeinsame Verantwortung vorliegt, wenn eine Partei nicht über alle Aspekte der Verarbeitung mitbestimmen kann, sich aber durch den Entschluss, die Verarbeitung für eigene Zwecke einzusetzen, mit der anderen Partei gemein macht, also eine gemeinsame Verantwortung eingeht.

Mastodon ist ein System, dass sich gerade durch seine föderale Struktur auszeichnet. Das also in der Gesamtbetrachtung nur funktioniert, wenn mehrere Verantwortliche zusammenarbeiten und gemeinsam die Mittel und Zwecke der Datenverarbeitung innerhalb des Fediverse bestimmen. Die Nutzerdaten werden zwischen den Servern einzelner Verantwortlicher ausgetauscht, z.B. wenn Nutzer des einen Servers anderen Nutzern auf anderen Servern folgen und deren Toots im eigenen Feed angezeigt bekommen. Dabei verwenden die verschiedenen Verantwortlichen die übermittelten Daten auch zu eigenen Zwecken. Mangels einer Hierarchie der Server untereinander kommt eine Auftragsverarbeitung zwischen Serverbetreibern kaum in Betracht.

Die Figur der gemeinsamen Verantwortung führt zu Verpflichtungen, die in Artikel 26 DSGVO niedergelegt sind. Danach müssen gemeinsam Verantwortliche in einem Vertrag regeln, in welcher Form die Zusammenarbeit durchgeführt wird und wer von den Parteien welche Pflichten im Hinblick auf die datenschutzrechtlichen Anforderungen, insbesondere die Erfüllung von Betroffenenrechten übernimmt. Diese vertraglichen Regelungen müssen den Betroffenen in ihren Grundzügen bekannt gemacht werden.

Besonders ist bei der Figur der gemeinsamen Verantwortung auch die gesamtschuldnerische Haftung der Verantwortlichen gegenüber Betroffenen und für begangene Datenschutzverstöße. Einer für alle, alle für einen. Das Motto gilt insbesondere für die gemeinsame Verantwortung. Auf Mastodon übertragen bedeutet dies, das jeder einzelne Serverbetreiber, der seinen Server an das Fediverse anschließt, potentiell für alle dort stattfindenden Datenschutzverstöße haftbar gemacht werden kann. Dieses Risiko lässt sich im Außenverhältnis nicht reduzieren. Bestenfalls könnte der Zusammenschluss der Serverbetreiber in einem Fediverse eine vertragliche Regelung zum Haftungsausgleich im Innenverhältnis beeinhalten.

Besondere Brisanz erhält die gemeinsame Verantwortung bei der Umsetzung von Betroffenenrechten, da jeder Serverbetreiber zur Entgegennahme von Betroffenenanfragen verpflichtet ist. Dies gilt auch für Auskunftsanfragen von Betroffenen, die wissen wollen, welche Daten von ihnen im Fediverse gespeichert sind. Da diese Daten nicht nur in Form von Kontodaten sondern auch in Form von Toots irgendwo im Fediverse existieren können, wird es für den einzelnen Serverbetreiber fast unmöglich sein, solche Betroffenenanfragen zu beantworten. Es wird dem einzelnen Betroffenen jedoch kaum zuzumuten sein, die Speicherorte von Toots, in denen er erwähnt wird, selbst herauszubekommen und anschließend gegen alle Serverbetreiber einzeln vorgehen zu müssen. Das würde das Recht auf Löschung bzw. Vergessenwerden vollkommen konterkarieren.

Mastodon bietet meines Wissens keine Funktionen an, die dazu geeignet wären, typische Betroffenenrechte auf einfache Weise zu verwirklichen. Weder eine Datenlokalisation, noch ein Datenexport von Daten über das gesamte Fediverse hinweg sind möglich. Auch bietet Mastodon keine Absicherung gegen Serverbetreiber, die ihren Server nur zum Abfischen von Informationen aus dem Fediverse verwenden und diesen anschließend vom Fediverse trennen. Die darauf gespeicherten Daten entziehen sich damit allen Interventionsversuchen Betroffener.

Mastodon ist ein interessantes Konzept, dem eine datenschutzgerechte Umsetzung fehlt. Bevor jetzt wieder alle aufschreien und das alte Narrativ vom bösen Datenschutz verwenden, der jetzt auch Mastodon kaputtschlägt: Wir haben hier wieder eine gute Idee, bei der der Datenschutz beim Konzept schlicht vergessen wurde. Ich bin sicher, dass ein Fediverse auch mit einer guten Portion an Datenschutz möglich wäre. Aber dazu müsste man ihn von Anfang an konsequent mitdenken.

Anscheinend sind auch die Datenschutzaufsichtsbehörden ihrem anti-amerikanischen Bias gefolgt, indem sie unter dem Aspekt des Datenschutzes von Twitter auf Mastodon gewechselt sind. Frei nach dem Motto, ein amerikanischer Dienst ist böse, ein verteilter Dienst ohne amerikanische Firma ist gut. So einfach ist die Welt – leider oder gottseidank – nicht gestrickt. Mich würde daher wirklich interessieren, wie die tootenden Aufsichtsbehörden die Umsetzung der Betroffenenrechte in dem verteilten Netzwerk sicherstellen wollen?