Kurz gesagt: Ab sofort blockieren wir auf sekretaerbaer.de, fedibook.de und friendicadev.sekretaerbaer.de Zugriffe des Analyse-Tools FediWings (rstockm.github.io/fediwings). Das Tool kann öffentliche Daten von Konten fremder Personen abrufen und auswerten. Wir halten das datenschutzrechtlich für problematisch und wollen unsere Nutzerinnen und Nutzer davor schützen.

Was ist FediWings?

FediWings ist eine Webseite, die im Browser der jeweiligen Besucherin oder des Besuchers läuft. Sie fragt über die offene Mastodon-kompatible Schnittstelle (API) Daten von Fediverse-Instanzen ab, zum Beispiel:

  • Profil- und Kontoinformationen eines beliebigen Kontos,
  • die Beiträge eines Kontos,
  • wer einen Beitrag geteilt (geboostet) hat,
  • Follower-Beziehungen.

Aus diesen Daten wertet das Tool aus, wer wen erreicht und wer wie auf Beiträge reagiert. Auf Wunsch lassen sich Ergebnisse außerdem als „Karte“ an einen externen Dienst übermitteln.

Wichtig: Dafür muss man nicht selbst Mitglied unserer Instanz sein. Die Abfrage funktioniert für jedes öffentlich sichtbare Konto, also auch für deines, ohne dass du davon erfährst oder gefragt wirst.

Warum sperren wir das?

Du hast dein Profil und deine öffentlichen Beiträge im Fediverse veröffentlicht, damit andere sie lesen können. Das ist etwas anderes, als dass jemand systematisch Daten über dich sammelt, verknüpft und auswertet, zum Beispiel wer dir folgt, wer mit dir interagiert und wie oft. Aus solchen Auswertungen lassen sich Beziehungsgeflechte, Interessen und Verhaltensmuster ablesen.

Dazu kommt: Wir als Betreiber haben gegenüber euch Verantwortung für die Daten, die auf unseren Servern liegen. Wir wollen nicht tatenlos zusehen, wenn sie für Zwecke ausgewertet werden, mit denen ihr beim Veröffentlichen nicht rechnen musstet.

Rechtliche Einordnung

Hinweis: Das ist eine Einschätzung aus Betreibersicht und keine Rechtsberatung. Eine abschließende Klärung durch Gerichte oder Aufsichtsbehörden gibt es für Tools dieser Art nach unserem Kenntnisstand nicht.

1. Die DSGVO gilt. Name, Kontoname, Profilbild, Beiträge, Follower-Beziehungen und Interaktionen sind personenbezogene Daten (Art. 4 Nr. 1 DSGVO). Das Abrufen, Speichern, Verknüpfen und Auswerten ist eine „Verarbeitung“ im Sinne der DSGVO. Dass die Daten öffentlich sichtbar sind, nimmt sie nicht aus dem Datenschutzrecht heraus.

2. Öffentlich heißt nicht „frei verwendbar“. Die Veröffentlichung im Fediverse dient dem Lesen und Interagieren. Eine Verarbeitung zu anderen Zwecken, etwa einer Reichweiten- oder Verhaltensanalyse, braucht eine eigene Rechtsgrundlage und muss mit dem ursprünglichen Zweck vereinbar sein (Art. 5 Abs. 1 lit. b, Art. 6 DSGVO).

3. Mögliche Rechtsgrundlage und Interessenabwägung. Denkbar ist ein „berechtigtes Interesse“ nach Art. 6 Abs. 1 lit. f DSGVO. Dann muss das Interesse an der Auswertung die Interessen der betroffenen Personen überwiegen. Bei einer Auswertung von fremden Konten ohne deren Wissen und Einwilligung halten wir diese Abwägung für kritisch, besonders bei:

  • umfangreichen Auswertungen über viele Personen,
  • der Verknüpfung von Beziehungsdaten (Wer folgt wem? Wer teilt wessen Beiträge?),
  • Daten, die Rückschlüsse auf Meinungen, Weltanschauung oder Gesundheit zulassen. Das sind besondere Kategorien nach Art. 9 DSGVO.

4. Transparenz und Betroffenenrechte. Wer Daten nicht bei der betroffenen Person selbst erhebt, muss sie in der Regel informieren (Art. 14 DSGVO). Betroffene haben außerdem ein Widerspruchsrecht (Art. 21) sowie Auskunfts- und Löschungsrechte (Art. 15, 17). Bei einer Abfrage fremder Konten durch ein Browser-Tool erfahren die Betroffenen davon nicht, und wir als Betreiber können weder informieren noch Rechte für sie durchsetzen.

5. Wer ist verantwortlich? Verantwortlich für die Auswertung ist vor allem, wer sie veranlasst: die Person, die das Tool benutzt, und der Betreiber des Tools. Das private Haushaltsprivileg (Art. 2 Abs. 2 lit. c DSGVO) greift nach unserer Einschätzung nicht, wenn es um die systematische Auswertung fremder öffentlicher Profile geht. Wir selbst stellen die öffentlichen Schnittstellen zur Verfügung. Die Verantwortung für die Auswertung durch Dritte liegt nicht bei uns. Wir sehen es aber als unsere Aufgabe als Betreiber, unsere Mitglieder vor erkennbaren Risiken zu schützen.

6. Fazit. Wir sehen erhebliche datenschutzrechtliche Bedenken. Insbesondere fehlen aus unserer Sicht eine tragfähige Rechtsgrundlage und die Transparenz gegenüber den ausgewerteten Personen. Ob jeder einzelne Einsatz tatsächlich einen Verstoß darstellt, hängt vom Einzelfall und von der Ausgestaltung durch den Tool-Betreiber ab und müsste im Streitfall von Aufsichtsbehörden oder Gerichten entschieden werden.

Was bedeutet das konkret für dich?

  • Nichts ändert sich für dich, wenn du FediWings nicht nutzt. Alles andere läuft wie gewohnt.
  • Nutzt du FediWings mit einem Konto auf unserer Instanz oder rufst darüber Daten von uns ab, bekommst du künftig eine Fehlermeldung (HTTP 403).
  • Die Sperre ist keine vollständige Absicherung. Sie betrifft nur Abfragen, die an unsere Server gehen. Konten auf anderen Instanzen können weiterhin ausgewertet werden, und technisch versierte Personen können Sperren umgehen. Wir verstehen sie als klares Signal und als Schutz vor dem Normalfall, nicht als hundertprozentigen Schutz.

Was kannst du selbst tun?

  • Überlege, welche Beiträge du öffentlich stellst. Beiträge nur für Follower oder ausgewählte Kontakte sind für solche Tools nicht abrufbar.
  • Prüfe in den Einstellungen, ob du deine Kontakt- bzw. Follower-Liste ausblenden kannst, und mach davon Gebrauch.
  • Wenn du dein Konto nicht in Suchen und Verzeichnissen sehen willst, nutze die Datenschutz-Einstellungen für die Auffindbarkeit.
  • Hast du den Verdacht, dass dein Konto ausgewertet wurde, melde dich bei uns. Wir schauen in die Logs.

Stand: 7. November 2026