demokratie.services ist technisch darauf ausgerichtet, für die Teilnahme möglichst keine Daten zu erheben, mit denen der Betreiber eine natürliche Person bestimmen kann. Für die normale Nutzung werden kein persönliches Benutzerkonto, kein Name, keine Anschrift, keine E-Mail-Adresse und kein Passwort verlangt.
Politische Bewertungen sind besonders schutzwürdig. Deshalb wurde die Anwendung so gestaltet, dass die für ihre Funktionsregeln notwendige Wiedererkennung eines Gerätes von der Identifizierung des Menschen hinter diesem Gerät getrennt wird.
Beim ersten Start erzeugt das Gerät lokal eine zufällige Geräte-ID. Sie dient dazu, dass dasselbe Gerät wiedererkannt werden kann. Dies wird insbesondere benötigt, um Mehrfachbewertungen zu verhindern, Änderungssperren einzuhalten, die Begrenzung neuer Forderungen durchzusetzen und die Voraussetzungen für Auswertungen zu prüfen.
Die ursprüngliche Geräte-ID wird nicht als Gerätekennung in der Datenbank gespeichert. Bei einer dafür erforderlichen Anfrage wird aus ihr serverseitig mittels HMAC-SHA-256 und eines geheimen Schlüssels eine interne Kennung gebildet. Aus dieser Kennung kann die ursprüngliche zufällige Geräte-ID nicht zurückgerechnet werden.
Der Betreiber führt keine Zuordnungstabelle, mit der die interne Kennung einem Namen oder einer sonst bestimmten Person zugeordnet werden könnte. Geht die lokal gespeicherte Geräte-ID verloren, gibt es keinen Wiederherstellungs- oder Übertragungsmechanismus.
Zustimmung, Ablehnung und Enthaltung werden einer internen Gerätekennung, dem jeweiligen Bearbeitungsraum und der bewerteten Forderung zugeordnet. Dadurch kann das System erkennen, dass dasselbe unbekannte Gerät bereits bewertet hat. Die Zuordnung ist für Mehrfachbewertungsschutz, Änderungssperren und die persönliche Berechnung erforderlich.
Die Anwendungsdaten enthalten keine Zuordnung, aus der der Betreiber feststellen könnte, welche natürliche Person hinter dieser internen Gerätekennung steht.
Eine bereits abgegebene politische Bewertung kann frühestens nach sechs Monaten geändert werden. Nach einer Änderung beginnt für diese Forderung erneut eine sechsmonatige Sperrzeit.
Auch pos + und pos - werden der internen Gerätekennung, dem jeweiligen Bearbeitungsraum und der Forderung zugeordnet. Sie dienen der Rangfolge innerhalb dieses Raumes. Auch für Positionsbewertungen gilt die sechsmonatige Änderungssperre.
Staat, ausgewählter Ort und G-ID bilden voneinander getrennte Bearbeitungs- und Auswertungsräume. Der Staat wird dabei technisch wie ein eigener Raum behandelt.
Bei Ortsräumen verwendet die Anwendung die Daten des vom Nutzer ausgewählten Ortes. Dazu können Ortskennung, Ortsname, Staat und die geografischen Daten des Ortes gehören. Dabei handelt es sich nicht um eine automatisch gemessene aktuelle Position des Gerätes. Eine Standortfreigabe ist für die Ortsauswahl nicht erforderlich.
Die Anwendung erzeugt daraus keinen persönlichen Bewegungsverlauf und begrenzt nicht, wie viele öffentliche Ortsräume ein Gerät aufsuchen oder in wie vielen davon es abstimmen darf.
Eine G-ID bezeichnet einen eigenen, nicht an einen geografischen Standort gebundenen Raum. Zum Schutz gegen systematisches Durchprobieren gilt für G-ID-Prüfungen desselben Gerätes eine kurze Sperrzeit von sieben Sekunden. Die eingegebene G-ID wird nicht in der dafür verwendeten temporären Sperrdatei gespeichert.
Für G-ID-Räume entfällt die für öffentliche Staats- und Ortsauswertungen vorgesehene achtmonatige Gerätewartezeit.
Zur Durchsetzung der technischen Regeln muss ein Gerät beim Veröffentlichen einer Forderung wiedererkannt werden können. Im Datensatz der veröffentlichten Forderung selbst wird jedoch keine Geräte-ID oder interne Gerätekennung als Autor gespeichert.
Bei regionalen Forderungen werden die für ihre geografische Zuordnung erforderlichen Angaben gespeichert. Die Anwendung speichert damit den gewählten Veröffentlichungsbereich, nicht den tatsächlichen Aufenthaltsort des Verfassers.
Ein Gerät kann höchstens zwei neue Forderungen pro Kalendertag veröffentlichen. Die hierfür erforderliche Wiedererkennung dient dem Schutz vor massenhaftem Einstellen von Forderungen.
Nach einer Meldung gilt für das meldende Gerät eine 72-stündige Nutzungspause. Zur Durchsetzung dieser Regel muss das Gerät während dieses Zeitraums wiedererkannt werden können. Eine Meldung richtet sich gegen die betreffende Forderung und nicht gegen eine identifizierte Person.
Die zufällige Geräte-ID wird lokal auf dem Gerät gespeichert. Der politische Grunddatenbestand und dessen Versionsinformationen können in IndexedDB gespeichert werden. Außerdem können für die Bedienung erforderliche lokale Zustandsinformationen gespeichert werden.
Diese lokale Speicherung dient den Funktionen der Anwendung und vermeidet unter anderem, dass Grunddaten bei jedem Lesen erneut vom Server übertragen werden müssen.
Das Löschen lokaler Daten löscht bereits serverseitig vorhandene Bewertungen nicht. Wird dabei die Geräte-ID gelöscht, kann das Gerät seine bisherige interne Kennung anschließend nicht wiederherstellen.
Ein neues Gerät darf sofort abstimmen. In öffentlichen Staats- und Ortsräumen werden seine Bewertungen für Auswertungen erst nach der vorgesehenen achtmonatigen Wartezeit berücksichtigt. Für G-ID-Räume gilt diese Wartezeit nicht.
Für die laufende Auswertung werden die benötigten Bewertungszahlen zusammengefasst gespeichert. Dadurch müssen nicht bei jeder Anzeige sämtliche Einzelbewertungen aller teilnehmenden Geräte erneut verarbeitet werden.
Das Datenschutzprinzip der Anwendung besteht darin, nur die für die jeweilige Funktion erforderlichen Verknüpfungen zu erzeugen und insbesondere keine zusätzliche Verbindung zwischen einer realen Person und ihrem politischen Bewertungsverhalten anzulegen.
Bestimmte gespeicherte Ereigniszeitpunkte werden zufällig zeitlich verschoben. Dies erschwert eine einfache zeitliche Zuordnung zwischen Anwendungsdaten und technischen Serverzugriffen. Zeitangaben, die für fachliche Fristen oder Kalendertagsgrenzen benötigt werden, werden so behandelt, dass diese Regeln dadurch nicht verändert werden.
Diese Maßnahme ist ein zusätzlicher Schutz und keine Zusage absoluter technischer Anonymität.
Die Anwendung selbst speichert in ihrer Datenbank keine IP-Adresse und keinen Browser- oder User-Agent-Wert zur Zuordnung politischer Bewertungen.
Unabhängig von der Anwendungsdatenbank können beim technischen Betrieb eines Webservers oder durch einen Hostinganbieter Verbindungs- und Sicherheitsprotokolle entstehen. Deren Umfang und Speicherdauer richten sich nach der jeweiligen Server- und Hostingkonfiguration.
Für die datenschutzrechtliche Einordnung ist nicht allein entscheidend, dass Datensätze unter einer gleichbleibenden technischen Kennung miteinander verbunden werden können. Von Bedeutung ist auch, ob eine natürliche Person mit Mitteln identifiziert werden kann, die vernünftigerweise hierfür eingesetzt werden können.
Der Gerichtshof der Europäischen Union hat in seinem Urteil vom 4. September 2025 in der Rechtssache C-413/23 P (EDSB gegen SRB, ECLI:EU:C:2025:645) zur Identifizierbarkeit pseudonymisierter Daten entschieden. Danach ist bei der Beurteilung der Personenbezogenheit die konkrete Möglichkeit der Identifizierung zu berücksichtigen; pseudonymisierte Daten sind nicht unabhängig von den beim jeweiligen Beteiligten vorhandenen Identifizierungsmöglichkeiten in jeder Situation gleich zu beurteilen.
demokratie.services berücksichtigt diesen Grundsatz technisch dadurch, dass die Wiedererkennung eines unbekannten Gerätes ermöglicht wird, ohne in den Anwendungsdaten eine Zuordnung der internen Kennung zu Name, Anschrift, E-Mail-Adresse oder einer anderen vom Betreiber bestimmten natürlichen Person anzulegen.
demokratie.services verspricht keine absolute technische Anonymität. Das Datenschutzkonzept zielt darauf, Identifikationsdaten möglichst gar nicht zu erheben und die für die Funktionsfähigkeit notwendige Gerätewiedererkennung von einer Identifizierung des Menschen hinter dem Gerät zu trennen.
Verantwortlich für den Betrieb von demokratie.services:
Klaus Hogewitz
27628 Hagen im Bremischen, Am Sandberg 7
Tel. 04746 9199817
Soweit im Einzelfall personenbezogene Daten im Sinne der Datenschutz-Grundverordnung verarbeitet werden, gelten die gesetzlichen Rechte der betroffenen Personen nach der DSGVO. Dazu können insbesondere die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und – soweit die gesetzlichen Voraussetzungen vorliegen – Widerspruch sowie das Recht auf Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde gehören.
Die technische Konstruktion von demokratie.services ist darauf ausgerichtet, dass der Betreiber aus einer internen Gerätekennung nicht bestimmen kann, welcher Mensch dahintersteht. Dadurch kann die Zuordnung eines gesetzlichen Betroffenenbegehrens zu einem bestimmten technischen Datensatz ohne die hierfür erforderlichen Informationen eingeschränkt oder unmöglich sein.
Stand: September 2026