Messenger-Brücken sind datenschutzrechtlich bedenklich
Vor knapp einer Woche habe ich auf Mastodon folgende Äußerung getätigt:
Brücken, wie sie bspw. Matrix anbietet, sind datenschutzrechtlich bedenklich. Diese Brücken bringen (Nachrichten-)Inhalte in andere Messenger-Systeme und damit auch in Unternehmen, in deren Datenschutzerklärung man nicht eingewilligt hat.
Ich möchte das im vorliegenden Microblog-Beitrag noch einmal etwas ausführlicher aufgreifen, da ich den Eindruck hatte, nicht jeder hat verstanden, was ich in diesem kurzen Satz zum Ausdruck bringen wollte.
Also einen Schritt zurück. Betrachten wir das Thema zunächst mal ganz allgemein und nehmen Folgendes an: Zwei zueinander nicht kompatible Messenger (Inselsysteme) wollen miteinander kommunizieren. Das funktioniert bspw. über sogenannte Bridges – quasi ein Bot, der alle Ereignisse (Nachrichten etc.) an das verbundene Netzwerk (Messenger) postet / mitteilt. Das funktioniert in der Regel in beide Richtungen. Also von Messenger A zu Messenger B und umgekehrt. Das Problem: Für die Teilnehmer eines (Gruppen-)Chat sind diese Bots bzw. Bridges nicht immer eindeutig erkennbar. Hat sich ein Betreiber eines (Gruppen-)Chats bspw. dazu entschlossen, mit einer Bridge eine »Brücke« zu einem anderen Messenger zu bauen, dann ist das für die Teilnehmer nicht zwingend transparent. Bezüglich des Datenschutzes sind solche Brücken Graubereiche. Ein Nutzer hat bspw. in die Datenverarbeitung von Messenger A eingewilligt, durch die Bridge werden seine Nachrichten allerdings auch in die Welt von Messenger B getragen und umgekehrt. Das bedeutet: Datenschutzrechtlich ist das bedenklich, da ein Nutzer der Verarbeitung seiner Daten bei Messenger A zugestimmt hat, aber bei Messenger B wurde seine Einwilligung nicht eingeholt – und dennoch werden seine Daten (bspw. Nachrichten) von Messenger B bzw. dem verantwortlichen Dienstleister verarbeitet. Es wurde also keine Einwilligung in die Datenverarbeitung eingeholt.
Das ist nun kein »Problem« von Matrix, sondern ein generelles Problem, das beim Einsatz von Bridges entstehen kann. Daher sollten sich insbesondere Betreiber von (Gruppen-)Chat-Räumen mit den möglichen Konsequenzen befassen, die mit der Einbindung einer Bridge einhergehen.
Fazit: Beim Einsatz einer Bridge liegt (oftmals) keine Einwilligung vor – egal von welcher Seite. Ein WhatApp-Nutzer hat bspw. nicht in die Datenschutzerklärung von Matrix eingewilligt und umgekehrt. Das ist datenschutzrechtlich bedenklich, da je nach Bridge (Meta-)Daten von der »fremden Messenger-Welt« bzw. Anbieter verarbeitet werden (können).
Element: Messaging über die Matrix – Messenger Teil7
Messenger: Matrix – Das XMPP für Hobby-Admins?
Datenschutzfreundliche und sichere WhatsApp-Alternativen
Die verrückte Welt der Messenger – Messenger Teil1
