Discord-Community und DSGVO: Wer wofür verantwortlich ist

Das hier ist ein Engineering-Text über ein Rechtsthema, geschrieben von Engineers und nicht von Juristen — und keine Rechtsberatung. Was er leistet: die Teile der DSGVO kartieren, die verändern, wie man eine Discord-Community baut, damit das Gespräch mit einer echten Anwältin bei den richtigen Fragen beginnt.

Wann sie dich überhaupt betrifft

Die Verordnung gilt für die Verarbeitung personenbezogener Daten im Rahmen einer Niederlassung in der EU und für die Verarbeitung von Daten über Personen in der EU, wenn ihnen Waren oder Dienstleistungen angeboten werden. Ein Unternehmen, das eine Community für seine Kunden betreibt, liegt eindeutig darin. Ein rein privater Server fällt unter die Haushaltsausnahme — die aber eng ist und endet, sobald der Server einem geschäftlichen Zweck dient.

Beachte, was hier als personenbezogenes Datum zählt. Eine Discord-User-ID ist ein Identifikator. Eine geschriebene Nachricht ist einer Person zuordenbarer Inhalt. Ein Beitrittszeitstempel, ein Aktivitätslog, ein Ticket-Transkript — alles davon.

Verantwortlicher und Auftragsverarbeiter, angewendet

Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung, der Auftragsverarbeiter handelt auf Weisung. Die Leitlinien des Europäischen Datenschutzausschusses zu diesen Begriffen sind die praktische Referenz, und die Zuordnung ist funktional statt vertraglich — du bist Verantwortlicher wegen dem, was du entscheidest, nicht wegen dem, wie ein Dokument dich nennt.

Für deine Community heißt das: Discord betreibt die Plattform und verarbeitet auf eigene Rechnung zu eigenen Zwecken, mit eigener Datenschutzerklärung gegenüber seinen Nutzern. Wo du Discord-Funktionen nutzt, die in deinem Auftrag verarbeiten, bietet Discord eine Vereinbarung zur Auftragsverarbeitung an. Sobald du aber einen Bot betreibst, der irgendetwas speichert, bist du für diesen Bestand Verantwortlicher — eindeutig und allein.

Dein Bot ist deine Verarbeitung

Das ist der Satz, den die meisten Serverbetreiber nie gehört haben. Ein Bot, der Löschungen protokolliert, Ticket-Transkripte aufbewahrt, Aktivität für ein Levelsystem erfasst oder sich merkt, wer bei einem Event war, ist eine Datenbank personenbezogener Daten, die du angelegt hast, zu Zwecken, die du gewählt hast, auf Infrastruktur, die du ausgesucht hast.

Alles, was die Verordnung von einem Verantwortlichen verlangt, folgt daraus: eine Rechtsgrundlage je Zweck, eine Aufbewahrungsfrist, angemessene Sicherheit, ein Verzeichnis der Verarbeitungstätigkeiten und die Fähigkeit, einer betroffenen Person Auskunft zu geben.

Rechtsgrundlage: die zwei, die praktisch greifen

Für ein Ticketsystem ist die Verarbeitung in der Regel erforderlich, um die vom Mitglied angestoßene Anfrage zu bearbeiten — vorvertragliche beziehungsweise vertragliche Grundlage. Für Moderationsprotokolle ist es üblicherweise das berechtigte Interesse: Du hast ein echtes Interesse an einer sicheren Community, und die Verarbeitung steht dazu im Verhältnis.

Berechtigtes Interesse ist kein Blankoscheck. Es verlangt, dass du dein Interesse gegen das des Mitglieds tatsächlich abwägst und dass die Verarbeitung nicht weiter reicht, als das Interesse trägt. Jede Nachricht in jedem Kanal für immer zu protokollieren, weil es irgendwann nützlich sein könnte, hält dieser Prüfung nicht stand.

An der Aufbewahrung scheitern die meisten Setups

Speicherbegrenzung ist ein Grundsatz, kein Nice-to-have: Personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie es für den Zweck erforderlich ist. Praktisch heißt das, jeder Bestand deines Bots braucht eine festgelegte Frist und einen Job, der tatsächlich löscht.

Konkret: Ticket-Transkripte vielleicht ein Jahr, Moderationsvermerke so lange, wie eine Sanktion angefochten oder wiederholt werden kann, Aktivitätszähler über die laufende Periode hinaus gar nicht. Was auch immer du wählst — schreib es auf und lass das Löschen automatisch laufen. Eine Aufbewahrungsregel, die davon abhängt, dass jemand daran denkt, ist keine.

Anfragen von Mitgliedern, praktisch

Ein Mitglied kann fragen, was du über es speicherst, und die Löschung verlangen. Speichert dein Bot nach Discord-User-ID, ist beides unkompliziert umsetzbar — ein Kommando oder ein internes Skript, das exportiert, und eines, das löscht. Wurde die Speicherung ohne diesen Gedanken entworfen, wird es mühsam; genau das ist das Argument, es mitzudenken.

Zwei Feinheiten. Eine Anfrage an Discord zu Plattformdaten beantwortet Discord, nicht du. Und Löschung ist nicht absolut: Wo du einen dokumentierten, überwiegenden Grund zum Aufbewahren hast — etwa einen ungeklärten Sicherheitsvorfall —, kann die Abwägung anders ausfallen. Das ist eine Entscheidung zum Dokumentieren, nicht zum stillen Treffen.

Moderationsprotokolle gegen Löschung

Diese beiden ziehen gegeneinander, und die Spannung ist echt. Ein Protokoll existiert, damit Entscheidungen überprüfbar sind und wiederholtes Verhalten auffällt; Löschung existiert, damit Menschen nicht unbegrenzt in einer Akte stehen. Der gangbare Kompromiss ist Minimierung: Protokolliere die Entscheidung, den Grund und die Kennung — nicht das ganze Gespräch — und setze eine Frist, nach der der Eintrag verschwindet.

Ein minimales Setup, das trägt

Speichere das Wenigste, das jede Funktion braucht. Gib jedem Bestand einen schriftlichen Zweck und eine Frist. Halte Transkripte aus Kanälen heraus, in denen Personen ohne Anlass mitlesen können. Lass den Löschjob laufen und prüfe, dass er gelaufen ist. Benenne eine zuständige Person. Und veröffentliche im Server einen kurzen Hinweis, was protokolliert wird und wie lange — das kostet einen Nachmittag und nimmt den meisten Rückfragen die Grundlage.

Nichts davon macht eine Community schwerer zu betreiben. So entworfene Systeme sind kleiner, weil sich die meisten gespeicherten Daten als nie gelesen herausstellen. Der Compliance-Vorteil ist ein Nebeneffekt des Engineering-Vorteils.

Fremde Bots sind fremde Verarbeitung

Einen öffentlichen Bot zu installieren holt eine Partei ins Boot, die du nicht gebaut hast und nicht prüfen kannst. Je nachdem, was er tut und wer über seine Zwecke entscheidet, ist dieser Betreiber dein Auftragsverarbeiter oder selbst Verantwortlicher — und in beiden Fällen liegen Daten über deine Mitglieder jetzt an einem Ort, den du nicht kontrollierst.

Bevor du etwas mit weitreichenden Rechten installierst, such nach drei Dingen: einer veröffentlichten Datenschutzerklärung, einer genannten Aufbewahrungsfrist und einem Weg, Löschung zu verlangen. Ein Bot, der keines davon bietet, ist in einer Community mit europäischen Mitgliedern kein verantwortbares Werkzeug, so bequem er auch ist.

Wo die Daten tatsächlich liegen

Ein selbst gehosteter Bot legt die Hosting-Entscheidung in deine Hand — Vorteil und Pflicht zugleich. Wähl die Region bewusst, wisse, ob Backups sie verlassen, und halte die Entscheidung fest. Wo ein Anbieter außerhalb des EWR beteiligt ist, braucht die Übermittlung eine gültige Grundlage — genau die Art Sache, die sich vorher leicht regeln und hinterher schlecht entdecken lässt.

Die pragmatische Fassung für eine kleine Community: in der EU hosten, Backups in der EU halten, und aufschreiben, welchen Anbieter du wofür nutzt. Dieser eine Absatz beantwortet die meisten Fragen, die dir je gestellt werden.

Minderjährige

Discord setzt ein Mindestalter für seinen Dienst, in einigen Ländern gelten höhere Schwellen. Für einen Community-Betreiber heißt das praktisch, dass ein Teil der Mitglieder minderjährig sein kann — und die Verarbeitung ihrer Daten, besonders alles in Richtung Profilbildung oder Werbung, unterliegt strengeren Erwartungen.

Die gangbare Antwort ist Zurückhaltung statt Verifizierungstheater: keine Funktionen bauen, die Mitglieder profilieren, Aktivitätsdaten nicht länger halten, als die Funktion braucht, und Werbeeinwilligungen komplett aus dem Discord-Server heraushalten. Eine Community, die fast nichts erhebt, kann fast nichts falsch machen.

Was du tatsächlich veröffentlichen solltest

Ein kurzer Hinweis in einer angepinnten Nachricht oder einem Infokanal, in klarer Sprache: was die Bots protokollieren, warum, wie lange es bleibt, an wen man sich wendet und wie man eine Kopie oder Löschung verlangt. Eine halbe Seite. Die formale Fassung verlinkst du aus der Datenschutzerklärung deiner Website.

Das Veröffentlichen hat einen zweiten Effekt jenseits der Compliance: Es zwingt dich aufzuschreiben, was deine Systeme wirklich speichern — und nach unserer Erfahrung fällt bei dieser Übung mindestens ein Bestand weg, den niemand rechtfertigen konnte.