Datenschutzhinweise

Diese Datenschutzhinweise klären darüber auf, welche Informationen bei der Nutzung der Mastodon-Instanz verarbeitet werden und welche Rechte gegenüber den Betreiberinnen der Instanz bestehen. Alle hier dargestellten Ausführungen und die Aufklärung über die Rechte richten sich nach der seit dem 25.05.2018 anwendbaren europäischen Datenschutz-Grundverordnung (DSGVO).

1. Datenverarbeitung bei Aufruf der Startseite, vor der Registrierung und bei jeder Nutzung

Sobald die Startseite der Instanz aufgerufen wird, um sich zu registrieren oder auch während der Nutzung im Allgemeinen, wird eine Verbindung zum Webserver aufgebaut, auf dem diese Instanz betrieben wird. Um dem Browser oder der App auf dem genutzten Endgerät die Inhalte anzeigen zu können, werden dabei entsprechend der verwendeten Protokolle (http, TCP/IP etc.) gewisse Daten verarbeitet. Dazu können gehören:

  • die IP-Adresse des Internetanschlusses,
  • die Betriebssystemversion des PCs, Tablets oder Smartphones,
  • die Display-Auflösung des Geräts,
  • der (ungefähre) Standort des Geräts,
  • der genutzte Internetbrowser oder App sowie
  • der Zeitpunkt des Zugriffs.

Diese technischen Daten werden verarbeitet, damit die Inhalte auf dem Server von dem Webserver an das genutzte Endgerät übermittelt und von dem Browser oder der App richtig verarbeitet und angezeigt werden können. Nach jedem Seitenbesuch werden einige dieser Daten in Logs des Webhosters, der den Server bereitstellt, gespeichert. Der Webhoster verarbeitet diese Daten zu Zwecken der Wartung und Sicherheit seines Servers, löscht IP-Adressen aber nach spätestens 14 Tagen, in der Regel früher. Der Server dieser Instanz wird von einem professionellen Hoster mit Standort in der Europäischen Union betrieben. Die Server befinden sich ebenfalls in Europa. Der Hoster unterliegt als Auftragsverarbeiter den Anweisungen der Instanzbetreiberinnen und hat sich vertraglich zur Einhaltung technischer und organisatorischer Sicherungsmaßnahmen verpflichtet.

Die Datenverarbeitung erfolgt dabei gemäß Art. 6 Abs. 1f und 1b DSGVO im erforderlichen Umfang, um den Aufruf der Startseite sowie die Registrierung im Rahmen des Nutzungsverhältnisses zwischen den Betreiberinnen der Instanz und den Nutzerinnen zu ermöglichen sowie zur Erfüllung der Verpflichtung zur Ergreifung technisch-organisatorischer Schutzmaßnahmen.

2. Datenverarbeitung bei der Registrierung

Im Rahmen der Registrierung werden grundlegende Kontoinformationen verarbeitet: Dazu zählen Kontoname, E-Mail-Adresse und Passwort. Auch können zusätzliche Profilinformationen wie etwa ein Anzeigenamen oder eine Biografie eingegeben und ein Profilbild oder ein Header-Bbild hochgeladen werden. Der Kontoname, der Anzeigename, die Biografie, das Profilbild und das Header-Bild werden dann immer öffentlich (in der Regel auch gegenüber Personen, die kein eigenes Mastodon-Profil haben) angezeigt und an föderierende Instanzen übermittelt. All diese Informationen sind grundsätzlich auf technischer Ebene auch den Betreiberinnen dieser Instanz zugänglich.

Die beschriebene Datenverarbeitung im Rahmen der Registrierung erfolgt dabei gemäß Art. 6 Abs. 1b DSGVO im erforderlichen Umfang, um den Aufruf der Login-Oberfläche bzw. die Durchführung der Registrierung im Rahmen des Nutzungsverhältnisses zu ermöglichen.

3. Datenverarbeitung während der Nutzung des Mastodon-Kontos

  • Beiträge, Folge- und andere öffentliche Informationen: 
    Die Liste der Konten, denen gefolgt wird, wird öffentlich gezeigt. Das gleiche gilt für die Folgenden (Follower). Sobald ein Beitrag veröffentlicht wird, wird das Datum und die Uhrzeit gemeinsam mit der Information, welche Anwendung dafür verwendet wird, in der Datenbank dieser Instanz gespeichert. Beiträge können Medienanhänge enthalten, etwa Bilder und Videos. Öffentliche und ungelistete Beiträge sind öffentlich verfügbar. Sobald ein Beitrag auf dem Profil angepinnt wird, ist dieser ebenfalls öffentlich verfügbar. Beiträge werden allen Folgenden angezeigt. Wenn diese Folgenden ihre Konten auf anderen Instanzen haben, bedeutet das, dass die Beiträge an diese anderen Server (andere Instanzen) ausgeliefert werden und dort Kopien der Beiträge gespeichert werden. Sobald Beiträge gelöscht werden, wird die Löschung an die Server der Follower gemeldet. Es gibt jedoch keine Möglichkeit, absolut sicherzustellen, dass die anderen Instanzen eine solche Löschanfrage auch tatsächlich umsetzen. Werden Beiträge Dritter geteilt, sind diese dann immer öffentlich.
  • „Nur Folgende“- und „Nur Erwähnte“-Beiträge: 
    Alle Beiträge werden auf dem Server dieser Instanz gespeichert und verarbeitet. „Nur Folgende“-Beiträge werden an die Folgenden und an erwähnte Benutzerinnen ausgeliefert. „Nur Erwähnte“-Beiträge (manchmal missverständlich als „Direktnachrichten“ bezeichnet) werden nur an erwähnte Benutzerinnen ausgeliefert. „Nur Erwähnte“-Beiträge sind nicht Ende-zu-Ende verschlüsselt und daher – technisch – auch durch die Betreiberinnen der Instanzen der erwähnten Benutzerinnen einsehbar. Gleiches gilt für Antworten auf Umfragen. Ob die Betreiberinnen anderer Instanzen mit diesen Daten gut umgehen, können die Betreiberinnen dieser Instanz nicht kontrollieren. Deswegen kann es sinnvoll sein, die Instanzen der Follower zu überprüfen. Es gibt auch die Möglichkeit, neue Folgende manuell anzunehmen oder abzuweisen. Es sollten keine sensiblen Informationen auf Mastodon, auch nicht über „Nur Erwähnte“-Beiträge, geteilt werden.
  • Umfragen: 
    Nutzerinnen können Beiträge auch mit einer Umfrage verbinden. Sie können dazu bis zu vier Antwortoptionen anhängen und die gewünschte Dauer der Umfrage festlegen. Je nach Einstellung können andere Account-Inhaberinnen anschließend eine oder mehrere der Antworten auswählen und abstimmen. Die Instanzen der Nutzerinnen, die an der Umfrage mitmachen, speichern dann über ein User-Token, welche Option sie ausgewählt haben. Wenn die so autorisierten Nutzerinnen die Umfrage aufrufen, prüft ihr Server anhand des User-Tokens, ob sie schon abgestimmt haben. Wenn das der Fall ist, zeigt der Server ihnen die Umfrage an und hebt dabei die jeweils ausgewählte(n) Antwortoption(en) besonders hervor.
  • Internet Protocol-Adressen (IP-Adressen) und andere Metadaten: 
    Bei der Anmeldung auf der Instanz erfasst der Server dieser Instanz sowohl die IP-Adresse, von der aus die Anmeldung erfolgte, als auch den Namen der Browser-Anwendung. Alle angemeldeten Sitzungen (Sessions) sind zur Überprüfung und Widerruf in den Einstellungen verfügbar. Die letzte verwendete IP-Adresse speichert Mastodon normalerweise bis zu zwölf Monate lang. Diese Instanz wurde aber so konfiguriert, dass die IP-Adresse sofort nach Verarbeitung gelöscht wird.
  • Es ist möglich, auf Mastodon Informationen mit besonders sensiblem Inhalt zu teilen, sowohl bezüglich der eigenen Person als auch über Dritte. Die Informationen können die ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit betreffen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person (Art. 9 Abs. 1 DSGVO).
  • Diese Instanz kommuniziert mit vielen Instanzen im Fediverse, darunter sind auch Instanzen außerhalb der Europäischen Union.

Die Datenverarbeitung im Rahmen der Nutzung erfolgt grundsätzlich gemäß Art. 6 Abs. 1b DSGVO im erforderlichen Umfang, um die Nutzung des Mastodon-Accounts im Rahmen des Nutzungsverhältnisses zu ermöglichen.

Soweit dabei Daten nach Art. 9 Abs. 1 DSGVO betroffen sind, erfolgt die Verarbeitung der Informationen der betroffene Person gemäß Art. 9 Abs. 2e DSGVO, soweit diese die Daten offensichtlich öffentlich gemacht hat. Werden diese Informationen nicht-öffentlich geteilt, liegt in der bewussten Veröffentlichung eine eindeutige bestätigende Handlung, mit der die betroffene Person nach Art. 9 Abs. 2a DSGVO in die Verarbeitung durch die Instanzbetreiberinnen einwilligt.

4. Nutzung von Cookies

Mastodon verwendet Cookies (kleine Textdateien, die den Browser eindeutig unterscheidbar von anderen machen), um Kern- und Komfortfunktionen bereitzustellen. Bei dem Besuch des Servers, auf dem diese Mastodon-Instanz läuft, werden Cookies über den Webbrowser im Speicher der Nutzerinnen abgelegt. Es handelt sich hierbei um technisch erforderliche Session Cookies. Mit ihrer Hilfe werden der Status des Login-Prozesses, die Session und die Seite gespeichert, die zuletzt besucht wurde.

5. Datenverarbeitung bei der E-Mail-Kommunikation

Wenn Nutzerinnen sich per E-Mail an die Administration der Instanz wenden, wird die E-Mail-Adresse sowie der Inhalt der Nachricht verarbeitet und gespeichert, um die Kommunikation abzuwickeln. Diese Informationen werden so lange gespeichert, wie es erforderlich ist, um dem Inhalt des Anliegens gerecht zu werden. Sofern nicht die besondere Natur der Kommunikation es erfordert, werden die alten E-Mails in der Regel ein Jahr nach dem Empfang der letzten Rückmeldung und die Kontaktdaten nach zwei Jahren gelöscht.

Die Speicherung und Nutzung der in den E-Mails enthaltenen Daten sowie der Kontaktdaten erfolgt im erforderlichen Umfang aufgrund des berechtigten Interesses der Instanzbetreiberinnen an der Abwicklung der Kommunikation mit den Nutzerinnen, soweit deren Interessen dem nicht entgegenstehen (Art. 6 Abs. 1f DSGVO).

6. Datenverarbeitung beim Einbinden von Dritt-Angebots-Inhalten

Werden Medien, insbesondere Videos, von externen Diensten geteilt (z. B. Links zu Video-Hosting-Diensten wie YouTube oder auch auf PeerTube-Instanzen), werden diese in den Beitrag durch einen sogenannten iFrame eingebettet.  Dabei wird zunächst nur ein Vorschaubild angezeigt („Preview-Card“), das im lokalen Zwischenspeicher („Cache“) der Mastodon-Instanz gespeichert wird. Abgespielt wird das Video erst nach einem Klick auf dieses Vorschaubild. Mit Klick auf das Vorschaubild wird eine Verbindung zu dem Server hergestellt, auf dem das Medium liegt. Sobald diese Verbindung hergestellt wird, können u. a. die unter Ziffer 1 aufgeführten Informationen auch an die Verantwortlichen des Drittangebots übermittelt werden. Die Verarbeitung durch diese Verantwortlichen unterliegt nicht mehr der Kontrolle der Instanzbetreiberinnen.

7. Die Rechte der Nutzerinnen

Nutzerinnen haben das Recht,

  • Auskunft über die sie betreffenden und von den Instanzbetreiberinnen verarbeiteten personenbezogenen Daten zu verlangen (Art. 15 DSGVO).
  • zu verlangen, dass unrichtige Daten berichtigt werden (Art. 16 DSGVO).
  • dass Daten gelöscht werden, wenn diese z. B. nicht mehr erforderlich für den ursprünglichen Zweck sind oder Streit darüber besteht, ob bestimmte Daten rechtmäßig verarbeitet werden (Art. 17 DSGVO).
  • die Verarbeitung einschränken zu lassen, wenn die Voraussetzungen des Art. 18 DSGVO vorliegen.
  • die sie betreffenden personenbezogenen Daten, die den Instanzbetreiberinnen bereitgestellt wurden, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (Art. 20 DSGVO).
  • aus Gründen, die sich aus einer besonderen Situation ergeben, jederzeit gegen die Verarbeitung, die aufgrund von Art. 6 Abs. 1f DSGVO erfolgt, Widerspruch einzulegen (Art. 21 DSGVO).
  • bei den Datenschutzaufsichtsbehörden Beschwerde gegen die Instanzbetreiberinnen einzulegen.

Bezüglich aller genannten Rechte gegenüber den Instanzbetreiberinnen gilt dabei: Eine Kontaktaufnahme mittels der im Impressum angegeben Kontaktmöglichkeiten genügt, um die Rechte in Anspruch zu nehmen.

8. Verantwortlicher im Sinne des Datenschutzrechts

Edukid-Stiftung
Niedersachsenring 24
30163 Hannover

rechtsfähige Stiftung des öffentlichen Rechts