RU EN
www.
Технический аудит · 29.05.2026

berlin.de

официальный портал федеральной земли Берлин
DE

Политика изменена — посмотреть, что именно · 2026-09-10 →

Официальный портал Берлина. 39 запросов, 2 домена — оба берлинские. Mapp Intelligence (Webtrekk) загружается без баннера на основании Art. 6(1)(e). Политика предупреждает: данные могут передаваться в США. Шрифты — локально. Первый нарушитель в немецкой серии за пределами федерального уровня.

Хронология обращений

+139 мс · загрузка
CSS, JS-бандлы, SVG-логотипы — все с www.berlin.de. Шрифты (woff2) в составе bundle — локально.
+179 мс · Webtrekk тег
www.berlin.de/-wt-safetag.js — Mapp Intelligence / Webtrekk трекинговый тег загружается без согласия.
+408 мс · трекинговый запрос
w7.berlin.de/wto_sp611xda1 — Webtrekk трекинговый запрос с полными параметрами сессии. Статус 0 — заблокирован браузером.

Декларация против факта

✓ Mapp Intelligence / Webtrekk — задокументирован с Art. 6(1)(e) и opt-out cookie — заявлен
✓ IP-анонимизация — задокументирована — заявлен
✓ Потенциальная передача в США — предупреждение в политике — заявлен
✓ YouTube, Vimeo, Windy Widgets — задокументированы (2-Klick-Lösung) — заявлен
✓ Amazon SES для Newsletter — задокументирован (EU-серверы) — заявлен

Тайминги передачи

+179 мс www.berlin.de

/-wt-safetag.js — Mapp Intelligence тег.

+408 мс w7.berlin.de

wto_sp611xda1 — Webtrekk трекинговый запрос. cg2, la=ru, pu=https://www.berlin.de/.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

berlin.de — официальный интернет-портал Берлина, управляемый BerlinOnline GmbH. Портал освещает городские услуги, события, политику и администрацию. HAR: 39 запросов, 2 домена — www.berlin.de и w7.berlin.de (Webtrekk поддомен берлинской инфраструктуры).

Mapp Intelligence — земельный уровень vs. федеральный стандарт

На федеральном уровне все десять предыдущих сайтов серии показали нулевой результат или использовали opt-in/opt-out Matomo через государственную ITZBund-инфраструктуру. berlin.de — первый сайт земельного уровня — отступает от этого стандарта: использует Mapp Intelligence (Webtrekk GmbH) без баннера согласия на основании Art. 6(1)(e) DSGVO.

Webtrekk GmbH (Schönhauser Allee 148, 10435 Берлин) — немецкая компания, но политика прямо раскрывает: она входит в Mapp Digital US (США). Политика предупреждает: «US-Recht angewendet werden kann», добавляя, что поставщик предоставил договорное заверение об исключении передачи данных в США — без указания конкретного механизма (SCC Art. 46(2)(c) или иного). По стандартам EDPB, договорное заверение без конкретного механизма не является достаточным правовым основанием для трансатлантической передачи.

wt-safetag.js — трекинговый тег без внешней загрузки

-wt-safetag.js загружается с www.berlin.de (+179 мс) — то есть Webtrekk тег хостируется локально на берлинском сервере, а не с code.webtrekk.com или аналогичного внешнего CDN. Это снижает видимость трекера в HAR, но не меняет факт инициации трекингового запроса к w7.berlin.de на +408 мс.

Правовая дискуссия: Art. 6(1)(e) для веб-аналитики

Применение публичного интереса (lit. e) как основания для аналитики без согласия практикуется рядом немецких государственных органов — но без единой позиции надзорных органов. DSK (Конференция немецких надзорных органов по защите данных) в своём ориентировочном документе по TDDDG § 25 последовательно указывает на необходимость согласия для нетехнически необходимых cookies, в том числе аналитических. Применение Art. 6(1)(e) не освобождает от требований § 25 TDDDG при использовании cookies.

Что сделано правильно

Шрифты хостируются локально в составе webpack-bundle. YouTube, Vimeo и Windy-виджеты реализованы через 2-Klick-Lösung (двухшаговая активация). Amazon SES для Newsletter использует EU-серверы. Политика подробна, содержит конкретные имена всех сервисов с адресами.

Вывод

berlin.de — первый сайт с замечаниями в немецкой серии: Mapp Intelligence без баннера, с потенциальной передачей в США и Art. 6(1)(e) как правовым обходом требования согласия. Паттерн воспроизводит bmv.de (etracker + DNT) и ard.de (Piano Analytics + публичный мандат), но добавляет американскую юрисдикционную проблему. Разрыв между федеральным стандартом (ITZBund платформа, нулевые домены) и земельным порталом наглядно.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: de/berlin-de-2026-05-29.har
SHA-256: 77501c41466ee9b7d5a88cf4261a9a48c9a619cf8826466ae224ee43cbc49a7a
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — berlin.de

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта berlin.de.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) www.berlin.de/-wt-safetag.js (Webtrekk трекинговый тег) загружается на +179 мс без cookie-баннера и без согласия. w7.berlin.de/wto_sp611xda1 (+408 мс) инициирует трекинговый запрос с параметрами сессии (cg2, la, p, pu, cs802). Запрос заблокирован браузером (статус 0), но инициирован JS. Политика применяет Art. 6 Abs. 1 lit. e DSGVO (öffentliche Interessen / Öffentlichkeitsarbeit) без баннера. DNT не упомянут — только opt-out cookie.

2) Политика прямо предупреждает: «Webtrekk GmbH als Betreiber des Dienstes zum Firmenverbund der Mapp Digital US mit Sitz in den USA gehört und US-Recht angewendet werden kann». Данные могут передаваться в США. Правовое основание для трансатлантической передачи: «Ausschluss von Datenübertragungen... ist uns zugesichert worden» — договорное обязательство провайдера без указания конкретного механизма (SCC, BCR или иного).


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/de-berlin-de/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: BfDI — Федеральный уполномоченный по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — berlin.de

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом berlin.de.

2. Обстоятельства
Я посетил сайт berlin.de и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) www.berlin.de/-wt-safetag.js (Webtrekk трекинговый тег) загружается на +179 мс без cookie-баннера и без согласия. w7.berlin.de/wto_sp611xda1 (+408 мс) инициирует трекинговый запрос с параметрами сессии (cg2, la, p, pu, cs802). Запрос заблокирован браузером (статус 0), но инициирован JS. Политика применяет Art. 6 Abs. 1 lit. e DSGVO (öffentliche Interessen / Öffentlichkeitsarbeit) без баннера. DNT не упомянут — только opt-out cookie.

2) Политика прямо предупреждает: «Webtrekk GmbH als Betreiber des Dienstes zum Firmenverbund der Mapp Digital US mit Sitz in den USA gehört und US-Recht angewendet werden kann». Данные могут передаваться в США. Правовое основание для трансатлантической передачи: «Ausschluss von Datenübertragungen... ist uns zugesichert worden» — договорное обязательство провайдера без указания конкретного механизма (SCC, BCR или иного).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/de-berlin-de/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 7; TDDDG § 25 — Mapp Intelligence без баннера согласия; GDPR Art. 44–46 — передача данных в США

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]