Datenschutzerklärung

1. Wer verantwortlich ist

Dirk Wagner
c/o flexdienst – #22230
Kurt-Schumacher-Straße 74
67663 Kaiserslautern
Deutschland
E-Mail: datenschutz@knoten.chat
Matrix: @dirk:knoten.chat

knoten.chat ist ein Matrix-Heimserver, betrieben von einer einzelnen Privatperson. Es gibt keinen Datenschutzbeauftragten; die gesetzlichen Voraussetzungen für eine Benennungspflicht liegen nicht vor.

2. Das Wichtigste zuerst

Drei Dinge stehen bewusst am Anfang, weil sie den Kern ausmachen und in vergleichbaren Erklärungen oft fehlen oder zu spät kommen.

Matrix ist ein föderiertes Netz. Sobald Sie mit jemandem schreiben, dessen Konto auf einem anderen Server liegt, oder einem Raum beitreten, in dem solche Menschen sind, werden Ihre Nachrichten und Angaben zu Ihrem Konto an diese Server übertragen. Das ist keine Weitergabe durch uns, sondern die Funktions- weise des Netzes. Wir haben keinen Einfluss darauf, was dort geschieht, wie lange es dort bleibt oder wer es dort sehen kann. Wir können es auch nicht zurückholen oder löschen lassen. Wer das nicht möchte, sollte ausschließlich Räume nutzen, in denen alle Beteiligten Konten auf knoten.chat haben.

Verschlüsselung schützt Inhalte, nicht Umstände. In Ende-zu-Ende-verschlüsselten Räumen können wir Ihre Nachrichten nicht lesen. Wir sehen aber weiterhin, wer wann mit wem in welchem Raum in Verbindung steht, wie groß Nachrichten sind und wann Sie online sind. Diese Angaben sind nicht mitverschlüsselt und lassen sich technisch nicht verschlüsseln.

Ihr Anzeigename und Ihr Profilbild sind öffentlich. Sie werden an jeden Server übertragen, auf dem jemand mit Ihnen einen Raum teilt.

3. Was wir verarbeiten

Konto

Eine Telefonnummer verlangen wir nicht und speichern wir nicht.

Inhalte

Nachrichten, Dateien, Bilder und Raumzustand werden gespeichert, damit Sie und Ihre Gesprächspartner sie abrufen können. In verschlüsselten Räumen liegen Nachrichteninhalte nur als Geheimtext vor.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

In einem Messenger wird über Gesundheit, Politik, Religion, Weltanschauung, Gewerkschaftszugehörigkeit, ethnische Herkunft und das Sexualleben geschrieben — über die eigene Person und über andere. Das sind besondere Kategorien nach Art. 9 Abs. 1 DSGVO, und wir sagen das lieber, als so zu tun, als beträfe es uns nicht.

Was uns davon technisch zugänglich ist, hängt am Raum:

Die letzte Zeile ist die unbequeme. Ein Raumname sagt oft genug schon, worum es geht, und er geht auch aus verschlüsselten Räumen im Klartext in Benachrichtigungen mit (Abschnitt 4).

Rechtsgrundlage: Soweit Sie solche Daten offensichtlich öffentlich machen — etwa in einem öffentlichen Raum —, stützt sich die Verarbeitung auf Art. 9 Abs. 2 lit. e DSGVO. Im Übrigen liegt in der bewussten Übermittlung an einen Dienst, der sie weiterleiten und speichern soll, eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie jederzeit widerrufen können; der Widerruf wirkt für die Zukunft.

Was daraus praktisch folgt: Nutzen Sie für heikle Themen verschlüsselte Räume, und wählen Sie den Raumnamen so, dass er allein nichts verrät.

Linkvorschauen

Wenn in einem Raum ein Link geteilt wird, ruft unser Server die verlinkte Seite ab, um Titel, Beschreibung und Vorschaubild zu holen. Das Vorschaubild wird bei uns zwischengespeichert und unterliegt denselben Fristen wie andere Medien (Abschnitt 5).

Das hat eine Seite, die für Sie günstig ist: Die fremde Seite sieht dabei die IP-Adresse unseres Servers, nicht Ihre. Sie erfährt also nicht, wer den Link angesehen hat, sondern nur, dass ein Matrix-Server ihn abgerufen hat.

Sie hat auch eine unbequeme Seite: Der Abruf geschieht, sobald der Link im Raum landet — auch in verschlüsselten Räumen, weil Ihr Programm den Server darum bittet. Wer das nicht will, schaltet Linkvorschauen in seinem Programm ab; die Einstellung findet sich in Element unter den Einstellungen zur Darstellung.

Protokolle

Zweck ist der Betrieb und die Abwehr von Missbrauch, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Am 24.09.2026 nachgesehen, welche Protokolle es gibt und was tatsächlich darin steht — die Antwort ist eine andere, als in einer Mustererklärung stünde:

Warum der Webserver keine IP-Adressen protokolliert: Das Zugriffsprotokoll des vorgelagerten Verteilers ist ausgeschaltet, und die dahinterliegenden Dienste sehen nur dessen interne Adresse. Das ist nicht Zufall, aber es war auch keine Entscheidung — es ist die Vorgabe und bleibt so.

Aufbewahrung: 7 Tage. Das gilt für alle drei Zeilen der Tabelle und wird vom Server durchgesetzt, nicht nur zugesagt — am 24.09.2026 eingerichtet und nachgemessen. Eine Einschränkung, die dazugehört: Ein Dienst, der sehr selten etwas protokolliert, kann einzelne ältere Zeilen halten, bis der tägliche Aufräumer sie entfernt; die Frist ist damit die Obergrenze, nicht eine taggenaue Löschung.

Was darüber hinaus gespeichert wird: Der Heimserver hält die zuletzt benutzte IP-Adresse je Gerät in der Datenbank, damit Sie in der Geräteliste erkennen können, ob sich jemand Fremdes angemeldet hat. Diese Speicherung ist von den Protokollfristen unberührt. Auch hier 7 Tage. Die Gerätekennung bleibt in der Liste stehen, nur die zuletzt benutzte Adresse verschwindet daraus. Das hat einen Preis, den wir offen nennen: Wer nach sieben Tagen nachsieht, ob sich jemand Fremdes angemeldet hat, erfährt nicht mehr, von wo. Wir haben uns für weniger gespeicherte Daten entschieden.

Betriebsmessung

Zur Überwachung des Systems werden technische Kennzahlen erhoben (Prometheus/Grafana): Auslastung, Speicherbelegung, Anzahl von Anfragen, Fehlerraten. Diese Daten sind aggregiert und enthalten keine Nachrichteninhalte. Aufbewahrung 30 Tage.

Anrufe (Audio und Video)

Anrufe laufen über unseren eigenen Vermittlungsdienst unter call.knoten.chat, nicht über einen fremden Anbieter. Er ist nötig, weil ein Gespräch mit mehreren Teilnehmern sonst nicht zustande kommt.

Der Unterschied zum Schreiben ist echt und gehört gesagt: Beim Schreiben sieht unser Verteiler Ihre Adresse und protokolliert sie nicht. Bei einem Anruf muss der Medienweg Ihre Adresse kennen, sonst kommen die Pakete nicht an. Wer das vermeiden will, telefoniert nicht über diesen Server.

Verbindungsdaten des Anrufdienstes werden nicht dauerhaft aufbewahrt; was in Protokollen anfällt, unterliegt den Fristen aus Abschnitt 5.

Schenkungen per Überweisung

Wer den Betrieb mit einer Überweisung unterstützt, übermittelt uns mit der Gutschrift Namen, IBAN, Betrag, Datum und Verwendungszweck. Mehr erfahren wir nicht, und mehr fragen wir nicht ab.

Die Bank des Betreibers, bunq B.V. in Amsterdam, verarbeitet die Überweisung als eigene Verantwortliche nach ihren eigenen Datenschutzbestimmungen; sie arbeitet nicht in unserem Auftrag.

Eine Schenkung hängt nicht an einem Konto auf knoten.chat. Wir verknüpfen beides nicht, und wer schenkt, erhält dafür nichts — auch keine Vorrechte.

4. Push-Benachrichtigungen — bitte genau lesen

Damit Ihr Telefon summt, wenn Sie jemand anschreibt, muss der Heimserver eine Benachrichtigung an einen Push-Dienst schicken. Bei knoten.chat ist das unser eigener Dienst unter ntfy.knoten.chat, nicht Google oder Apple.

Was dabei übertragen wird, haben wir gemessen:

Auch aus verschlüsselten Räumen gehen Absender und Raumname im Klartext mit, weil der Raumzustand nicht verschlüsselt ist. Es gibt keine Einstellung, die das verhindert. Da wir den Push-Dienst selbst betreiben, bleiben diese Angaben bei uns — sie sind damit aber auch Daten, die wir halten. Sie werden zwölf Stunden vorgehalten und dann gelöscht.

Ausgehende Benachrichtigungen werden um bis zu zehn Sekunden zufällig verzögert, damit sie sich schwerer einzelnen Nachrichten zuordnen lassen.

Push ist freiwillig. Wer die Verteiler-App nicht einrichtet, erzeugt diese Daten nicht.

5. Wie lange wir speichern

Zur Aufbewahrung von Bildern: Gezählt wird ab dem letzten Abruf, nicht ab dem Hochladen. Ein Bild, das weiter angesehen wird, bleibt. Gelöscht wird, was 30 Tage lang niemand geöffnet hat.

Zur Post an unsere Rollenadressen: Was an abuse@, impressum@, datenschutz@, security@, hostmaster@, dmarc@, dirk@ oder konto@ geht, wird an den Betreiber weitergeleitet und zusätzlich bei uns aufbewahrt — damit eine Missbrauchsmeldung nicht verloren geht, wenn der Anbieter des Weiterleitungsziels sie ablehnt. Nach einem Jahr wird sie gelöscht; ein monatlicher Lauf auf dem Server setzt das durch, die Frist ist also die Obergrenze und keine taggenaue Löschung. konto@ ist die Absenderadresse der Bestätigungsmails; wer darauf antwortet, landet hier.

Zu Sicherungen: Wenn Sie etwas löschen, verschwindet es aus dem laufenden Betrieb sofort, aus den Sicherungen aber erst, wenn die letzte Sicherung abgelaufen ist, die es enthält — längstens nach sechs Monaten.

6. Wen wir einsetzen

Zum Drittlandbezug bei Mailgun, genau statt ungefähr. Vertragspartner ist Mailgun Technologies, Inc. mit Sitz in San Antonio, Texas — also ein US-Unternehmen. Die Konzernmutter Sinch AB sitzt dagegen in Stockholm und damit in der EU; es ist also nicht so, wie es zunächst aussieht, sondern umgekehrt. Der Versand läuft über die EU-Region, als Unterauftragsverarbeiter ist unter anderem Sinch America Inc. in den USA benannt.

Die Übermittlung stützt sich auf den Auftragsverarbeitungsvertrag des Anbieters mit Standardvertragsklauseln sowie auf das EU-US Data Privacy Framework. Das heißt nicht, dass ein Zugriff nach US-Recht ausgeschlossen wäre — er ist es nicht. Wer das vermeiden will: Bestätigungsmails sind der einzige Weg, auf dem Ihre Adresse dorthin gelangt.

GIF-Suche im schlanken Client

Der Client unter leicht.knoten.chat bietet eine GIF-Suche. Sie fragt den Dienst klipy.com ab, und zwar direkt aus Ihrem Browser — nicht über unseren Server. Klipy erhält dabei Ihre IP-Adresse, Ihren Suchbegriff und die Kennung Ihres Browsers. Wir sehen davon nichts und haben darauf keinen Einfluss.

Die Anfragen laufen über einen Zugangsschlüssel, der dem Sable-Projekt gehört, nicht uns. Es gelten dessen Bedingungen gegenüber klipy.

Wer das nicht möchte, benutzt die GIF-Suche nicht.

Ähnlich, nur seltener: Wer in den Einstellungen von leicht.knoten.chat den Themenkatalog öffnet, lädt die Liste der Farbthemen direkt von GitHub (raw.githubusercontent.com). GitHub sieht dabei Ihre IP-Adresse. Das geschieht nur, wenn Sie den Katalog selbst aufrufen.

Ansonsten setzen wir keine Analysedienste ein, keine Werbenetzwerke, und wir verkaufen keine Daten. Es gibt keine Cookies außer denen, die für die Anmeldung nötig sind; eine Einwilligungsabfrage ist deshalb nicht erforderlich.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Wenden Sie sich an die oben genannte Adresse.

Sie können sich bei einer Aufsichtsbehörde beschweren, zuständig ist

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
poststelle@lfd.niedersachsen.de

Zuständig ist diese Behörde, weil der Betreiber in Niedersachsen wohnt — nicht wegen der c/o-Anschrift im Impressum. Die ist eine Postadresse und keine Niederlassung.

Grenze der Löschung: Was bereits an andere Server übertragen wurde (Abschnitt 2), können wir nicht löschen. Wir können Ihr Konto auf knoten.chat löschen und Ihre Daten bei uns entfernen. Auf fremde Server haben wir keinen Zugriff und kein Weisungsrecht. Das ist unangenehm, aber es wäre unehrlich, etwas anderes zu behaupten.

8. Moderation

Meldungen über Missbrauch liest und bearbeitet der Betreiber; Entscheidungen werden dokumentiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Ein Moderationsbot ist beteiligt — @draupnir:knoten.chat, betrieben von uns auf demselben Server. Was er kann und was nicht, ist eine bewusste Entscheidung und keine technische Grenze:

Serverweite Maßnahmen bleiben Handarbeit des Betreibers. Der Grund ist nicht Bequemlichkeit: Ein Bot mit vollständiger Serverkontrolle hätte sein Zugangstoken als Geheimnis in demselben System liegen, das es kontrolliert.

Der Bot führt Prüfprotokolle über seine Maßnahmen, damit ein Widerspruch nachvollziehbar bleibt und der Transparenzbericht belegbar ist.

Moderationsentscheidungen werden drei Jahre aufbewahrt. Die Frist folgt der regelmäßigen Verjährung: Solange Sie eine Entscheidung noch angreifen können, muss sie belegbar sein — auch zu Ihren Gunsten. Danach wird gelöscht.

9. Änderungen

Diese Erklärung wird angepasst, wenn sich der Dienst ändert. Wesentliche Änderungen kündigen wir im Ankündigungsraum an. Stand: 06.10.2026.