W Social nicht so europäisch wie angenommen?

[Rainbowprincess]

Ich bin gestern über diesen X user gestolpert, der derzeit den stack von W social auseinander nimmt und erstaunlich viele Punkte gefunden hat, die so gar nicht mit der europäischen DSVGO einhergehen dürften. Und schon gar nicht sich als "europäisches social network" bezeichnen.

Nun, da ich alles andere als Experte auf diesem Gebiet bin fände ich es interessant, was hier so dazu gesagt wird.

Habe hier mal ein paar posts verlinkt:
bluesky fork?
bluesky hardcoded in W social?
kaum etwas europäisch?

 

[Amaoto]

Wenn das Netzwerk aus Europa stammt, weshalb ist es dann nicht europäisch?

Das Problem ist meiner Meinung nach, dass man in solchen Fällen zu oft an die politische EU o.Ä. denkt. Aber es ist ein privates Start-Up, finanziert von Privatinvestoren usw. Der Hauptsitz befindet sich innerhalb der EU (in Schweden), ansonsten sehe ich da keine Verbindungen.

Technisch hat es wohl niemand entwickelt, also kann da auch nichts eigenes drinstecken. Somit liegt es nahe, dass ein bestehender Stack benutzt wird.

 

[Rainbowprincess]

Eines der Kernargumente W socials ist die rein innereuropäische datenverarbeitung und Einhaltung der DSVGO. Das funktioniert aber nicht, wenn man sich anschaut, was in w social implementiert ist bislang und was für Datenmengen dadurch nach außerhalb der EU transferiert werden. Hoch kritisch fvorallem unter em Aspekt, dass die von dir verlangen, dich auszuweisen.

Spoiler

Technische Analyse zu W Social: Der Widerspruch zwischen Marketing und Realität

Die technische Code-Analyse der App (Teardown der Konfiguration und Netzwerkanfragen) belegt, dass das Marketing-Versprechen einer „rein innereuropäischen Datenverarbeitung“ in der Praxis nicht haltbar ist. Während die Kern-Datenbanken für Posts in Europa liegen, ist die App-Infrastruktur extrem tief in US-amerikanische Big-Tech- und Cloud-Dienste verstrickt.

---

### 1. Daten, die in der EU verarbeitet werden (W-betrieben)
Einige grundlegende Kernfunktionen werden auf europäischen Servern (gehostet bei UpCloud in Stockholm unter `pds.wsocial.network`) oder direkt auf dem Endgerät verarbeitet:
* Posts, Antworten, Likes und Reposts (jedoch standardmäßig öffentlich im dezentralen Netzwerk geteilt).
* Direktnachrichten (verschlüsselt auf dem PDS-Server abgelegt).
* Anmeldedaten (E-Mail, Passwort, Handle, Geburtsdatum während der Registrierung).
* Identitäts-Verifikation (wird über eine separate App abgewickelt; Daten werden laut Anbieter nach der Prüfung gelöscht).
* Barcode-Scans (lokale Verarbeitung auf dem Gerät via Android ML Kit).

---

### 2. Die „Smoking Guns“: Datenabfluss in die USA (US-operated Global Clouds)

Die technische Analyse des Quellcodes und des Datenverkehrs offenbart fünf kritische Bereiche, in denen Daten direkt an US-Unternehmen übertragen werden:

#### A. Bitdrift (Das höchste Risiko für das EU-Hosting-Narrativ)
* **Technische Umsetzung:** In der Konfiguration (`app.config`) ist das SDK `@bitdrift/react-native` mit dem Befehl `networkInstrumentation: true` aktiv. Ein nativer Netzwerk-Interceptor fängt den Datenverkehr ab und lädt ihn zu `api.bitdrift.io` hoch.
* **Die Folge:** Selbst wenn die App mit dem europäischen Server `pds.wsocial.network` kommuniziert, werden die detaillierten Netzwerkspuren (Traces) über eine US-Infrastruktur (CloudFront CDN, US-Betreiber) protokolliert.

#### B. Sentry (Verhaltensaufzeichnung & Screenshots)
* **Technische Umsetzung:** Die App nutzt die nativen Provider `SentryInitProvider` und `SentryPerformanceProvider`. Im Quellcode sind die Funktionen `captureReplay` und `captureScreenshot` verankert.
* **Die Folge:** Sentry zeichnet hier nicht nur Abstürze auf, sondern filmt quasi die App-Nutzung (Session Replay) und erstellt Screenshots. Diese Daten fließen in die globale, US-gesteuerte Sentry-Infrastruktur. Eine Speicherung innerhalb der EU erfolgt nur bei teuren Spezialtarifen, für deren Nutzung es in der App keine Belege gibt.

#### C. Google Firebase & FCM (Tiefe Android-Integration)
* **Technische Umsetzung:** Die App ist fest an das Google-Projekt `w-social-app` (Sender-ID `932795671835`) gebunden. Alle Push-Benachrichtigungen und Integritäts-Prüfungen laufen über Google-DNS (`*.googleapis.com`).
* **Die Folge:** Die App-Infrastruktur ist von Google abhängig. Metadaten und Inhalte von Benachrichtigungen (*Notification payloads*) passieren Google-Server. Die Datenverarbeitung erfolgt somit strikt zu den US-Geschäftsbedingungen von Google.

#### D. Statsig (Nutzer-Tracking)
* **Technische Umsetzung:** Für Feature-Flags und Experimente kontaktiert die App die Endpunkte `events.statsigapi.net` und `statsigapi.net`.
* **Die Folge:** Diese Server lösen direkt auf IP-Adressen der Google Cloud Platform (GCP) auf, die sich physisch in den USA befinden (`34.128.128.0`).

#### E. Hardcoded Bluesky-Infrastruktur (US-Server als Standard)
Besonders brisant: Für Lesezugriffe nutzt W Social keine eigene europäische Infrastruktur (wie ein eigenes CDN), sondern die globalen US-Server von Bluesky sind fest im Code einprogrammiert:
* `public.api.bsky.app`: Jede Suche, jedes Profil und jeder gelesene Post läuft direkt über Bluesky in den USA.
* `events.bsky.app`: Echtzeit-Aktivitäten (Firehose-Events) werden an die USA übertragen.
* `cardyb.bsky.app` / `gifs.bsky.app`: Link-Vorschauen und Medieninhalte werden über US-Server geladen.

---

### Fazit
W Social wirbt offensiv mit einem „europäischen Netzwerk“. Im Kleingedruckten der Datenschutzerklärung (Punkt 3.3) wird der Datenfluss an die *Bluesky Social PBC* in den USA zwar formal eingeräumt – im Marketing geht dieser Umstand jedoch völlig unter. Technisch gesehen unterscheidet sich der Datenabfluss in die USA bei der Nutzung der W-Social-App kaum von rein US-amerikanischen Plattformen.

Die Analyse stammt wie gesagt nicht von mir. Sie ist von dem oben verlinkten X-Nutzer

 

[Millkaa]

@Rainbowprincess
Man sollte schon auf genaue Wortwahl achten.
Beim WDR kann man bspw. lesen: "Genau hier setzt "W Social" an. Das Versprechen: ein soziales Netzwerk nach europäischen Regeln, mit Datenschutz und ohne Bots. Der Anspruch ist groß – es geht um nichts weniger als ein Stück digitale Unabhängigkeit für Europa."

Auf deren Homepage: "We believe in the need for a global, trusted social media platform owned, run, and hosted in Europe. W is built on verified human users, transparency, privacy, and free speech."

Da steht jetzt ersteinmal nichts von der deutschen DSGVO, Auch ist die Definition von "owned, rund and hosted" nicht eindeutig und impliziert zumindest nicht, dass Daten nie außerhalb der EU landen dürfen bzw. den Weg nach außerhalb nehmen. Mal ganz provokant gefragt: Wenn alle Daten NIEMALS außerhalb der EU unterwegs sein dürfen, so wie Du @Rainbowprincess das ja scheinbar erwartest, dann frage ich, wie jemand außerhalb der EU die Plattform nutzen soll? Theoretisch ja gar nicht oder? Sitzt der User außerhalb der EU egal pb permanent oder im Urlaub bspw. dann würden ja Daten so oder so außerhalb der EU unterwegs sein, korrekt?

 

[madmax2010]

Einhaltung der DSVGO.

Ist primär, dass die Verarbeitung von Daten begründet, opt in / technisch notwendig, zeitlich begrenzt und wiederrufbar sein muss.
Man kann verdammt viel in Verträge schreiben, user müssen nur zustimmen

 

[Rainbowprincess]

Daten NIEMALS außerhalb der EU unterwegs sein dürfen, so wie Du @Rainbowprincess das ja scheinbar erwartest,

Ich erwarte überhaupt nichts. Ich messe w social an dem, was sie sich selbst auferlegen.
Es geht um die Datenverarbeitung nur innerhalb Europas. Aber w social macht munter gebrauch von Diensten aus den USA, welche europäische Nutzerdaten dann verarbeiten. Allein damit wird w social ihrer Aussage - digitale Unabhängigkeit von über dem Teich zu erreichen, nicht gerecht. Dazu betreiben sie meiner Ansicht nach irreführende Werbung, da all ihre Aussagen darauf abzielen, dem Nutzer zu suggerieren, seine Daten wurden nur in europa verarbeitet.
Nichts von alledem scheint aber zu stimmen. Es ist einfach nur eine weitere social Media Plattform. Nur mit dem Unterschied, dass man vorher blank ziehen muss damit sie ganz genau wissen, wer du bist.

 

[kachiri]

Nur mit dem Unterschied, dass man vorher blank ziehen muss damit sie ganz genau wissen, wer du bist.

Social Media setzt eigentlich voraus, dass du "Blank" ziehst. Klarnamenpflicht gibt es bei fast allen Netzwerken. Auch wenn der Klarname nicht immer öffentlich angezeigt werden muss. Nur interessiert das häufig nicht. Aber im Grunde verstößt jeder, der mit Fake-Namen unterwegs ist, mindestens gegen die Nutzungsbedingungen.

Es gibt kein "rein europäisch". Es geht bei W Social schlicht um die Regeln und eben auch um das Thema Bots und Anonymität. Wer etwas zu sagen hat, soll sich auch zu erkennen geben und das eben nicht unter den Deckmantel der Anonymität tun.
Aber insbesondere Bots sind dahingehend in vielen sozialen Netzwerken (gerade auch auf X) ein riesig großes Problem.

Viele haben ein totales Missverständnis, wenn es um "europäische Dienste" geht. Das heißt nicht, dass man amerikanische oder andere Dienste komplett aussperrt. Es heißt halt nur, dass die WICHTIGEN Daten nach europäischen Datenschutzgrundsätzen behandelt werden.
Das in der Android App bspw. eine Konnektivität zu Google Play Services vorhanden ist um auch Benachrichtigungen auszuliefern. Wie willst das sonst machen?

Die "Nähe" zu BlueSky ist ja auch recht einfach zu erklären. Man erfindet hier halt nichts komplett neu. Neu sind die Regeln, die man sich selbst auferlegt und eben der "Hosted in EU"-Ansatz.

Ob das jetzt alles toller ist, als die bestehenden Netzwerke? Muss jeder für sich entscheiden. Wichtig dabei ist halt nur zu verstehen: Dahinter stecken in aller Regel UNTERNEHMEN. Die sehen da scheinbar eine "Marktlücke".

 

[Rainbowprincess]

Es geht bei W Social schlicht um die Regeln und eben auch um das Thema Bots und Anonymität. Wer etwas zu sagen hat, soll sich auch zu erkennen geben und das eben nicht unter den Deckmantel der Anonymität tun.

fände ich interessant ob man durch die Regel "mein haus, meine regeln" ein Grundrecht außer Kraft setzen kann. Denn nach einem Urteil des OLG Hamm aus dem jahr 2011 hat man das Recht darauf, anonym seine legitime meinung zu äußern. Und selbst wenn man auf W social ein Pseudonym nutzen kann öffentlich, so weiß die Firma dahinter durch die Ausweispflicht ja, wer man ist.

Viele haben ein totales Missverständnis, wenn es um "europäische Dienste" geht. Das heißt nicht, dass man amerikanische oder andere Dienste komplett aussperrt. Es heißt halt nur, dass die WICHTIGEN Daten nach europäischen Datenschutzgrundsätzen behandelt werden.

Die "Nähe" zu BlueSky ist ja auch recht einfach zu erklären. Man erfindet hier halt nichts komplett neu. Neu sind die Regeln, die man sich selbst auferlegt und eben der "Hosted in EU"-Ansatz.

Dem kann man sich aber nicht mehr sicher sein, nachdem man gesehen hat wie viele Ziele in Übersee angesteuert werden von der software

 

[kachiri]

fände ich interessant ob man durch die Regel "mein haus, meine regeln" ein Grundrecht außer Kraft setzen kann. Denn nach einem Urteil des OLG Hamm aus dem jahr 2011 hat man das Recht darauf, anonym seine legitime meinung zu äußern. Und selbst wenn man auf W social ein Pseudonym nutzen kann öffentlich, so weiß die Firma dahinter durch die Ausweispflicht ja, wer man ist.

Das Recht wird dadurch ja nicht eingeschränkt - das Recht hast du weiterhin. Nur eben nicht auf dieser Plattform. Ja, das Hausrecht setzt so einiges außer Kraft
Denn in deinen vier Wänden bist du der Herr. Die Meinungsfreiheit nach Art. 5 GG bezieht sich vor allem auf die staatliche Meinungsfreiheit. Der Staat darf nicht eingreifen. Wenn mir deine Nase nicht passt oder ich bestimmte Regeln für den Zutritt zu meinen vier Wänden festlege, dann ist das tatsächlich meine Sache.

Wenn ich schon ein Urteil zitiere, sollte ich halt auch den dazugehörigen Sachverhalt kurz darstellen:

Ein Mediziner hatte gegen ein Ärzte-Bewertungsportal geklagt, weil ihm ein dort abgegebener Kommentar missfiel. Nach dem Urteil aus Hamm muss das Portal nicht die Nutzerdaten des Kommentators herausgeben. Seine Äußerungen seien außerdem eine zulässige Meinungsäußerung.

Kurz: Hier ging es scheinbar um eine schlechte Bewertung durch einen anonymen Nutzer wo sich das Portal geweigert hat, die Nutzerdaten rauszugeben. Aus Sicht des OLG war der betroffene Kommentar wohl durch die freie Meinungsäußerung gedeckt. Anders wäre es wohl gewesen, wenn der Kommentar strafrechtliche Aspekte beinhaltet hätte.

Anders ausgedrückt: Die Rahmenbedingung darf die Plattform vorgeben. Was sie tatsächlich nicht darf, ist gezielt gegen bestimmte Meinungen vorzugehen, wenn sie von der Meinungsfreiheit eigentlich abgedeckt ist.

 

[TomH22]

Denn nach einem Urteil des OLG Hamm aus dem jahr 2011 hat man das Recht darauf, anonym seine legitime meinung zu äußern.

Du kannst nicht ein Urteil eines OLG aus dem Jahr 2011 in den Kontext des Jahres 2026 setzen. Gerade bezüglich Social Media und Pflichten der Betreiber auch bzgl. strafbarer Inhalte (z.B. Hassrede) hat es seitdem viele neue Gesetze gegeben. Und solange die gültig sind, übersteuern die auch dieses Urteil.

Die strengeren Regeln in der EU gegenüber den USA bieten Nutzern mehr Schutz vor digitaler Gewalt gehen aber im Gegenzug mit mehr staatlicher Kontrolle einher.

Je nachdem welche Prioritäten man als Nutzer hat, kann ein US Netzwerk wie X die geeignetere Platform sein.

Defacto ist es so, dass es kaum einen Betreiber einer Plattform mehr gibt, der vollständig anonyme Nutzung erlaubt. Mindestens die Verifikation über eine EMail Adresse ist eigentlich immer notwendig.

 

[Restart001]

Neee, nicht schon wieder sonne app zum Installieren auf dem Phone.

 

[Ranayna]

Denn nach einem Urteil des OLG Hamm aus dem jahr 2011 hat man das Recht darauf, anonym seine legitime meinung zu äußern.

Die Pseudonomysierungspflicht fuer Internetdienste gibt es nicht mehr.
Im alten Telemediengesetz stand sie noch drin, aber das wurde durch die DSGVO ersetzt, welche eine Pseudonymisierungspflicht nicht kennt.

Fuer alte Accounts muss Facebook ein Pseudonym akzeptieren, aber nicht fuer neue Accounts.
https://www.wbs.legal/medienrecht/o...book-auch-unter-pseudonym-rechtmaessig-51179/

 

[Rainbowprincess]

Social Media und Pflichten der Betreiber auch bzgl. strafbarer Inhalte (z.B. Hassrede) hat es seitdem viele neue Gesetze gegeben. Und solange die gültig sind, übersteuern die auch dieses Urteil.

wir sprechen hier grundsätzlich von normalen Meinungen und keinen strafrechtlich relevanten Aussagen. Wobei es natürlich dahingehend problematisch ist, dass in Deutschland exakt dies nicht mehr klar definiert ist, sondern es darauf ankommt wen und was es betrifft.

Du kannst nicht ein Urteil eines OLG aus dem Jahr 2011 in den Kontext des Jahres 2026 setzen

warum nicht? Solange es kein neues urteil zur Thematik gibt, wird das alte wohl noch gelten.

Kurz: Hier ging es scheinbar um eine schlechte Bewertung durch einen anonymen Nutzer wo sich das Portal geweigert hat, die Nutzerdaten rauszugeben. Aus Sicht des OLG war der betroffene Kommentar wohl durch die freie Meinungsäußerung gedeckt. Anders wäre es wohl gewesen, wenn der Kommentar strafrechtliche Aspekte beinhaltet hätte.

Keiner fordert, anonym strefrechtlich relevante Dinge im internet frei sagen zu dürfen. Es geht schlicht um Meinungen. Meinungen, die anderen aber nicht apssen könnten.

 

[TomH22]

Solange es kein neues urteil zur Thematik gibt, wird das alte wohl noch gelten.

Nicht wenn die Rechtsgrundlagen sich mittlerweile geändert haben, siehe Beitrag von @Ranayna.

wir sprechen hier grundsätzlich von normalen Meinungen und keinen strafrechtlich relevanten Aussagen

Da ein Betreiber einer Platform nicht im Vorfeld wissen kann, ob ein Nutzer strafbare Inhalte veröffentlicht, muss er, um seinen gesetzlichen Pflichten im Ernstfall nachkommen zu können, prophylaktische Massnahmen ergreifen. Jetzt werden die wenigsten Platformen von jedem Benutzer einen echten Identiätsnachweis verlangen wollen. Daher werden oft niederschwelligere Methoden verwendet, wie z.B. Speicherung der IP Adressen zu einem Beitrag, damit kann dann ggf. ein Auskunftsersuchen an den Provider gesendet werden.

Wobei es natürlich dahingehend problematisch ist, dass in Deutschland exakt dies nicht mehr klar definiert ist, sondern es darauf ankommt wen und was es betrifft.

Es ist in Deutschland so klar definiert, wie es in einem Rechtsstaat definiert sein kann: Das Gesetz definiert einen abstrakten Rahmen und Gerichte entscheiden dann im Einzelfall ob die konkrete Handlung strafbar war. Das Gericht entscheidet z.b. welche Beschimpfungen eine ehemalige Verbraucherschutzministerin ertragen muss, und welche nicht.
Nur weil eine Staatsanwaltschaft der Meinung ist, dass die Verwendung des Wortes P***el für einen Person des öffentlichen Lebens eine Straftat ist, muss es noch lange keine sein.
Das Konzept des Rechtsstaates garantiert nicht, dass der Staat selbst keine Rechtsverstöße begeht, sondern vielmehr dass er, bzw. seine Handlungsbevollmächtigten selber dem Gesetz unterliegen und sich ggf. verantworten müssen.

 

[Mirlo]

Das einzigste weswegen "europäisch" erwähnt wird ist, dass Bluesky ihren Sitz in den USA und W Social in Europa hat. Um mehr geht es da nicht.

Prof. Anna Zeiter von W Social hat es eh bereits gesagt, dass es ihnen als "Medienunternehmen" darum geht, dass die wichtigen Leute ihre wichtigen Posts "zuerst" auf W Social veröffentlichen. Denen geht es also um Medienmacht. Sie wollen diese Postings für sich kommerziallisieren. Indem alle Leser dann auch zu W Social gehen, werden diese nochmals mittels Werbung kommerziallisiert. Es geht im Grunde um Medienmacht und Geld.

Die Sache mit der Personalausweis-Identifikation und der Freie Meinungsäußerung ... da wurde irgendwo auch erwähnt, dass sie die Daten ihrer User sowohl nicht außerhalb der EU, aber auch nicht an Strafverfolgungsbehörden weitergeben wollen. Ähnlich - wie hier bereits erwähnt - Straftaten ohne Kläger im eigenen Haus ungestraft bleiben - Hausrecht. Die Perso-Identifikation dient nicht dazu, sondern nur der Vermeidung von Bots. Sie wollen 100 % Humans.

Die Freie Meinungsäußerung kollidiert mit dem Plattform-Recht bezüglich Upload-Filter. Damit wird seit vielen Jahren geregelt, dass nicht der User, sondern die Plattform für den Content verantwortlich ist. Weil damals schon keiner begriffen hat, wieso diese Regelung falsch ist, sowie es möglich keine Lösung dafür gibt, wurde das zugunsten der Plattformbetreiber geregelt, von denen W Social nun auch einer ist. Allerdings so, dass die Plattformen ... da sie für ihren Content verantwortlich sind, jederzeit ihre User verpetzen können und somit fein raus aus der Sache sind. Während diese also mit den Strafverfolgungsbehörden zusammenarbeiten, sobald sie selbst der Ansicht sind, dass ein Post strafrechtlich relevant sei, will W Social das selbst regeln. Da W Social aber keine Daten herausgeben will, wäre W Social verantwortlich und würde bestraft werden. Dies können sie nur vermeiden, indem sie selbst alles kontrollieren. Ähnlich wie die Big Firewall in China. Nichts wird ohne vorherige Sichtung veröffentlicht. Da W Social aber wegen der Identifikation deine Personendaten hat ... Ob das eine gute Idee ist?

Das Recht auf Anonymität im Internet wollte schon öfters ausgehebelt werden. Hier ein neuer Versuch, sehr verführerisch.