ARD — крупнейший медиаконсорциум общественного вещания Европы. 39 запросов, 5 доменов. Шрифт TheSansC5s и иконки — локально. Piano Analytics отправляет event с idclient без согласия. ARD применяет Art. 6(1)(e) DSGVO как основание для Nutzungsmessung — немецкий правовой подход, оспариваемый надзорными органами.
Хронология утечки
Декларация против факта
Тайминги передачи
Зафиксированные трекеры
- Piano Analytics / AT Internet (lnhgdjg.pa-cd.com)
- Hoster Player CDN (player.h-cdn.com, zagent7.h-cdn.com)
Зафиксированные нарушения
-
GDPR Art. 13(1)(e); TDDDG § 25Piano Analytics (lnhgdjg.pa-cd.com/event?s=634411&idclient=mprfynurxuls81va) загружается на +312 мс и отправляет трекинговый event с уникальным idclient. Нет cookie-баннера: ARD ссылается на Art. 6(1)(e) DSGVO (публичный интерес / öffentlich-rechtlicher Telemedienauftrag) как правовое основание для анонимной Nutzungsmessung без согласия. Однако параметр idclient указывает на уникальный идентификатор клиента — это потенциально выходит за пределы «полностью анонимного» измерения, заявленного в политике. player.h-cdn.com загружается на +76 мс без согласия.
Контекст
ARD (Arbeitsgemeinschaft der öffentlich-rechtlichen Rundfunkanstalten der Bundesrepublik Deutschland) — консорциум публично-правовых вещателей Германии, объединяющий BR, HR, MDR, NDR, Radio Bremen, RBB, SR, SWR, WDR, Deutsche Welle. Ответственный за ard.de — Südwestrundfunk (SWR). HAR: 39 запросов, 5 доменов. 24 к www.ard.de, 10 к images.ard.de, 5 к внешним.
Nutzungsmessung без согласия — немецкий правовой подход
ARD не показывает cookie-баннер и не запрашивает согласия на аналитику. Правовое обоснование изложено в политике: Nutzungsmessung (измерение использования) проводится на основании Art. 6 Abs. 1 lit. e DSGVO в связи с законодательными нормами об öffentlich-rechtlichen Telemedienauftrag — публично-правовым медиамандатом.
Этот подход специфичен для немецкого общественного вещания: ARD, ZDF и Deutschlandradio имеют законодательно закреплённую задачу — производить и распространять медиаконтент в интересах общества. Измерение охвата и использования является, по позиции ARD, неотъемлемой частью этого мандата и поэтому допустимо без согласия пользователя. Аналогичную позицию занимают ZDF, MDR, NDR.
Позиция остаётся дискуссионной: EDPB и ряд немецких надзорных органов указывают, что TDDDG § 25 требует согласия для установки cookies и аналогичных технологий, вне зависимости от правового основания по GDPR.
Piano Analytics — idclient как потенциальный идентификатор
Запрос к lnhgdjg.pa-cd.com/event?s=634411&idclient=mprfynurxuls81va содержит параметр idclient — уникальный идентификатор клиентской сессии или браузера. Политика ARD описывает анонимную Nutzungsmessung с немедленным хешированием IP-адреса: «Ihre IP-Adresse unmittelbar mit Erfassung Ihrer Daten gehasht». Присутствие idclient указывает на то, что Piano Analytics присваивает посетителю идентификатор, позволяющий отслеживать повторные посещения — что потенциально выходит за рамки «vollständig anonym» (полностью анонимного) режима.
Hoster / h-cdn.com
Hoster GmbH — немецкая компания, предоставляющая CDN-инфраструктуру для медиаплееров. player.h-cdn.com загружает конфигурацию плеера, zagent7.h-cdn.com запрашивает метаданные ссылок. Оба передают URL текущей страницы. В предоставленной политике явно не упомянуты.
Что сделано правильно
Шрифт TheSansC5s (корпоративный шрифт ARD) хостится локально. Иконки социальных сетей — статические SVG без внешних SDK. Нет Google Analytics, нет GTM, нет Meta Pixel, нет рекламных сетей. Нет CDN сторонних библиотек. Политика подробна, структурирована и содержит конкретные правовые основания для каждой категории обработки.
Вывод
ard.de применяет специфически немецкий правовой подход к Nutzungsmessung: без баннера, на основании публичного мандата. Архитектура минималистична — два внешних сервиса. Открытый вопрос: является ли idclient в Piano Analytics-запросе идентификатором, делающим измерение персонализированным в смысле TDDDG § 25.
8110bd6b052d9e64a3d97a32d0ead084ab26aea088cccab7c76ac84cc4adb78cКуда подавать: BfDI — Федеральный уполномоченный по защите данных — подать жалобу онлайн →
Кому: BfDI — Федеральный уполномоченный по защите данных От: [Ваше имя], [контактный email] 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом ard.de. 2. Обстоятельства Я посетил сайт ard.de и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующее: 1) Piano Analytics (lnhgdjg.pa-cd.com/event?s=634411&idclient=mprfynurxuls81va) загружается на +312 мс и отправляет трекинговый event с уникальным idclient. Нет cookie-баннера: ARD ссылается на Art. 6(1)(e) DSGVO (публичный интерес / öffentlich-rechtlicher Telemedienauftrag) как правовое основание для анонимной Nutzungsmessung без согласия. Однако параметр idclient указывает на уникальный идентификатор клиента — это потенциально выходит за пределы «полностью анонимного» измерения, заявленного в политике. player.h-cdn.com загружается на +76 мс без согласия. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ard-de/ 3. Нарушенные положения GDPR Art. 13(1)(e); TDDDG § 25 4. Требование Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. [Дата] [Подпись/имя]