signal.org — 72/100 (Mittleres Datenschutzrisiko)
Zuletzt analysiert
Signal Messenger LLC · signal.org
Berichtsdetails
Mittleres DatenschutzrisikoSignal sammelt wirklich fast nichts und verschlüsselt alles, aber seine rechtliche Dokumentation ist veraltet und es fehlen wichtige DSGVO-geforderte Angaben wie Übermittlungssicherheiten, Aufbewahrungsfristen und Verfahren zu Benutzerrechten.
Signals Architektur und Datenpraktiken gehören zu den datenschutzfreundlichsten in der Branche – standardmäßige Ende-zu-Ende-Verschlüsselung, keine Datenmonetarisierung und minimale Datenerhebung. Die Datenschutzrichtlinie wurde jedoch seit Mai 2018 nicht mehr aktualisiert und es fehlen formelle DSGVO-Konformitätselemente: keine Beschreibung der Rechte der Betroffenen, keine Rechtsgrundlagen für die Verarbeitung, keine Aufbewahrungsfristen, keine Kontaktmöglichkeit zum Datenschutzbeauftragten (DPO) und keine Erwähnung angemessener Sicherheiten für US-Übermittlungen. Die zwingende Kalifornien-Gerichtsstandsklausel ist ebenfalls problematisch für EU-Verbraucher.
Kategoriebewertung
Aufschlüsselung der Richtlinie nach zentralen Compliance-Bereichen. Gut = stark, mittel = gemischt, schlecht = bedenklich.
Nur die Telefonnummer ist obligatorisch; Profildaten sind optional und Ende-zu-Ende-verschlüsselt; technische Metadaten sind auf das zum Betrieb des Dienstes erforderliche Minimum beschränkt.
Die Richtlinie ist hinsichtlich der Verschlüsselung und der erhobenen Daten klar, es fehlen jedoch Aufbewahrungsfristen, Rechtsgrundlagen für die Verarbeitung, und sie wurde seit Mai 2018 nicht mehr aktualisiert.
Die Weitergabe beschränkt sich auf Verifizierungscode-Anbieter und optionale Drittanbieter-Dienste wie Giphy, es wird jedoch keine Unterauftragsverarbeiter-Liste bereitgestellt und keine vertraglichen Sicherheiten beschrieben.
Daten werden ausdrücklich in die USA und andere Länder übermittelt, aber in der Richtlinie wird nirgendwo ein DSGVO-konformer Übermittlungsmechanismus (SCCs, Angemessenheitsbeschluss, BCRs) erwähnt.
Die Richtlinie schweigt zum KI-Training, aber Signals feste Anti-Monetarisierungs-Haltung und minimale Datenerhebung machen dies unwahrscheinlich; jedoch ist es nicht ausdrücklich verboten.
Keine ausdrückliche Beschreibung der DSGVO-Rechte (Auskunft, Berichtigung, Löschung, Portabilität, Widerspruch, Einschränkung); nur eine vage Erwähnung der Verwaltung von Informationen in den App-Einstellungen.
Wichtigste Befunde
Bemerkenswerte Klauseln, Probleme oder positive Praktiken (kritische zuerst)
Keine DSGVO-Übermittlungssicherheiten für US-Datenflüsse
Die Bedingungen besagen, dass Nutzer 'der Übermittlung Ihrer verschlüsselten Informationen und Metadaten in die Vereinigten Staaten und andere Länder, in denen wir Einrichtungen, Dienstleister oder Partner haben oder nutzen', zustimmen, aber die Richtlinie erwähnt keine Standardvertragsklauseln (SCCs), Angemessenheitsbeschlüsse oder Binding Corporate Rules (BCRs). Nach Schrems II ist dies eine erhebliche Konformitätslücke für EU-Nutzer.
DSGVO-Betroffenenrechte werden nicht beschrieben
Die Datenschutzrichtlinie zählt keine DSGVO-Rechte (Artikel 15–22) auf oder erklärt sie: kein Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität oder Widerspruch. Die einzige Erwähnung ist, dass Nutzer 'Ihre persönlichen Informationen in den Einstellungen der Signal-Anwendung verwalten' können, was nach DSGVO Artikel 13 Absatz 2 Buchstabe b unzureichend ist.
Keine Datenaufbewahrungsfristen angegeben
Die Richtlinie besagt, dass Support-Daten 'nur zum Zweck der Untersuchung des Problems aufbewahrt' werden und dass technische Informationen 'auf das erforderliche Minimum beschränkt' sind, aber es werden keine spezifischen Aufbewahrungsfristen für eine Datenkategorie angegeben, wie es DSGVO Artikel 13 Absatz 2 Buchstabe a fordert.
Zwingende US-Gerichtsstandsklausel kollidiert mit EU-Verbraucherrechten
Die Bedingungen verlangen, dass Streitigkeiten ausschließlich vor dem 'United States District Court for the Northern District of California oder einem Staatsgericht im San Mateo County, Kalifornien' beigelegt werden, was nach der Brüssel-I-Verordnung gegenüber EU-Verbrauchern möglicherweise nicht durchsetzbar ist und nicht mit DSGVO Artikel 79 Absatz 2 vereinbar ist.
Datenschutzrichtlinie veraltet — zuletzt im Mai 2018 aktualisiert
Die Datenschutzrichtlinie wurde seit dem 25. Mai 2018 nicht mehr aktualisiert, was die Frage aufwirft, ob sie die aktuellen Datenverarbeitungspraktiken, Drittanbieter-Beziehungen und regulatorischen Anforderungen widerspiegelt, die sich seitdem weiterentwickelt haben.
Keine Rechtsgrundlage für die Verarbeitung angegeben
Die Richtlinie nennt keine Rechtsgrundlage nach DSGVO Artikel 6 für eine Verarbeitungsaktivität (z. B. Vertragserfüllung zur Kontoregistrierung, berechtigtes Interesse für Sicherheit), wie es DSGVO Artikel 13 Absatz 1 Buchstabe c fordert.
Drittanbieter fehlen vertragliche Details
Die Richtlinie erwähnt 'Drittanbieter', die Verifizierungscodes senden, und besagt, dass sie 'durch ihre eigenen Datenschutzrichtlinien gebunden sind, diese Informationen zu schützen', nennt diese jedoch nicht, beschreibt keine vertraglichen Sicherheiten und stellt keine Unterauftragsverarbeiter-Liste bereit, wie es nach den DSGVO-Grundsätzen der Rechenschaftspflicht erwartet wird.
Starke Anti-Monetarisierungs-Zusage
Die Bedingungen besagen ausdrücklich: 'Signal verkauft, vermietet oder monetarisiert Ihre persönlichen Daten oder Inhalte niemals auf irgendeine Weise.' Dies ist eine starke, uneingeschränkte Zusage, die über die typische Branchensprache hinausgeht.
Fazit für Nutzer
Ihre Nachrichten und Anrufe sind wirklich privat und verschlüsselt, aber wenn Sie Ihre DSGVO-Rechte ausüben müssen oder Klarheit darüber wünschen, wie Ihre Daten in die USA gelangen, lässt die Richtlinie Sie ohne klare Antworten.
Compliance-Posture
Stark beim technischen Datenschutz, schwach bei der rechtlichen Dokumentation. Die Substanz ist hervorragend, aber der formelle DSGVO-Konformitätsrahmen ist unvollständig.
EU-Übermittlungen
Die Bedingungen bestätigen ausdrücklich Übermittlungen in die USA und andere Länder, erwähnen jedoch keinen DSGVO-Übermittlungsmechanismus (SCCs, Angemessenheitsbeschluss oder BCRs). Dies ist eine erhebliche Konformitätslücke nach Schrems II.
Erkannte Signale
Konkrete Datenpunkte und Praktiken im Text identifiziert
Textbelege
Direkte Zitate aus der Richtlinie, die diese Befunde stützen
Signal does not sell, rent or monetize your personal data or content in any way – ever.
you agree to our data practices as described in our Privacy Policy, as well as the transfer of your encrypted information and metadata to the United States and other countries where we have or use facilities, service providers or partners.
You can manage your personal information in Signal's application Settings. For example, you can update your profile information or choose to enable additional privacy features like a Registration Lock PIN.
Signal limits this additional technical information to the minimum required to operate the Services.
You agree to resolve any Claim you have with us relating to or arising out of our Terms, us, or our Services exclusively in the United States District Court for the Northern District of California or a state court in San Mateo County, California.
These providers are bound by their Privacy Policies to safeguard that information.
Fehlend oder unklar
- Keine DSGVO-Rechtsgrundlagen für die Verarbeitung
- Keine Datenaufbewahrungsfristen
- Keine Unterauftragsverarbeiter-Liste
- Keine Kontaktinformationen zum Datenschutzbeauftragten
- Kein DSGVO-Übermittlungsmechanismus (SCCs, Angemessenheitsbeschluss, BCRs)
- Keine ausdrückliche KI/Modelltrainings-Richtlinie
- Keine Offenlegung von Cookies oder Tracking-Technologien
- Keine DSFA-Verweise (DPIA)
- Kein Verfahren zur Datenverletzungsbenachrichtigung
- Keine ausdrückliche Aufzählung der DSGVO-Rechte
Fragen zum Nachfragen
- Auf welche Standardvertragsklauseln oder anderen Übermittlungsmechanismen stützt sich Signal für EU-zu-US-Datenübermittlungen, und können Sie die entsprechende Dokumentation bereitstellen?
- Wie lauten die spezifischen Aufbewahrungsfristen für jede Kategorie der von Ihnen erhobenen Daten (Telefonnummern, technische Metadaten, Support-Daten)?
- Wer sind die 'Drittanbieter', die Verifizierungscodes verarbeiten, und welche vertraglichen Datenschutzverpflichtungen haben diese über ihre eigenen Datenschutzrichtlinien hinaus?
- Wie kann ein EU-Nutzer seine DSGVO-Rechte (Auskunft, Löschung, Portabilität, Widerspruch) ausüben – gibt es ein dediziertes Verfahren oder einen Kontakt neben der allgemeinen E-Mail privacy@signal.org?
- Hat Signal eine Datenschutz-Folgenabschätzung (DSFA) für seine Kontaktentdeckungsfunktion durchgeführt, da diese das Hashing und die Übermittlung von Adressbuchdaten beinhaltet?
- Warum wurde die Datenschutzrichtlinie seit Mai 2018 nicht mehr aktualisiert, und spiegelt sie alle aktuellen Datenverarbeitungsaktivitäten und Drittanbieter-Beziehungen korrekt wider?
Diese Analyse teilen
Jeder mit diesem Link kann das Ergebnis oben einsehen.
Entwickelt von DentroChat
100 % europäischer KI-Chat für alle
Chatte mit KI, arbeite mit Dateien, generiere Bilder und suche im Web. Daten bleiben in Europa.
Weitere analysierte Datenschutzerklärungen
Alle anzeigenapple.com
72/100
Mittleres DatenschutzrisikoApples Datenschutzhinweis zu Messages zeigt eine starke Verschlüsselung und kurze Datenspeicherung, lässt aber kritische Lücken bei der EU-Konformität – keine Erwähnung von internationalen Übermittlungen, DSGVO (GDPR)-Benutzerrechten oder ob Nachrichten-Metadaten für das Training von KI-Modellen verwendet werden.
Bericht ansehen →about.qwant.com
72/100
Mittleres DatenschutzrisikoQwant bietet standardmäßig einen starken Datenschutz ohne Tracking-Cookies, aber die Erstellung eines Kontos oder die Zustimmung zu Cookies teilt erhebliche Daten mit Microsoft, und die Richtlinie lässt Klarheit bei internationalen Übermittlungen und KI-Training vermissen.
Bericht ansehen →slack.com
72/100
Mittleres DatenschutzrisikoSlack erfasst eine breite Palette personenbezogener und Nutzungsdaten und stützt sich bei der Verarbeitung und weltweiten Übermittlung stark auf weit gefasste berechtigte Interessen, obwohl es Standard-DSGVO (GDPR)-Rechte und Schutzmaßnahmen wie Standardvertragsklauseln bietet.
Bericht ansehen →robotstxt.es
68/100
Mittleres DatenschutzrisikoRobotstxt respektiert im Allgemeinen die EU-Datenschutzvorschriften, es fehlen jedoch klare Details zu den Rechtsgrundlagen, Drittanbietern (Auftragsverarbeitern) und der Nutzung von KI.
Bericht ansehen →