RU EN
www.
Технический аудит · 29.05.2026

bzst.de

Федеральное центральное налоговое ведомство Германии
DE

Политика изменена — посмотреть, что именно · 2026-09-01 →

Федеральное центральное налоговое ведомство Германии. 50 запросов, 3 домена. GSB-платформа, Apache. BundesSans и BundesSerif — локально. Matomo через ITZBund без баннера на Art. 6(1)(e). Viola-чатбот (formularbot-viola.bzst.de) — задекларирован косвенно. Set-Cookie — ноль.

Хронология обращений

+0 мс · главная страница
www.bzst.de/ — GSB, Apache. CSP разрешает *.readspeaker.com, *.itzbund.de, formularbot-viola.bzst.de, bzst.lucom.com, *.google.com. addon_matomo.js загружается локально как обёртка для Matomo.
+103 мс · стили GSB
GSB CSS-бандлы (small, medium, large, xlarge, xxlarge, custom, addon_materna, addon_qsworkshop) — все локально. addon_materna и addon_qsworkshop — расширения для GSB.
+106 мс · addon_matomo.js
www.bzst.de/SiteGlobals/Frontend/JavaScript/init/addon_matomo.js — локальная обёртка, инициирующая загрузку Matomo с piwik.itzbund.de.
+124 мс · Viola-чатбот
formularbot-viola.bzst.de/static/widget/widget-no-avatar.js — чатбот Viola на собственном субдомене BZSt. CSP указывает на несколько эндпоинтов: formularbot-viola.bzst.de, viola-bzst.azr.juacvoe.net (Azure), formularbot-fms.bzst.de.
+278 мс · Matomo — без баннера
piwik.itzbund.de/js/ — Matomo JS загружается. +368 мс — трекинг-пиксель с idsite=4 (BZSt), action_name, uadata (User-Agent Client Hints), pv_id, разрешение экрана. Баннера согласия нет.
+298 мс · шрифты
BundesSansWeb (Regular, Bold, Italic) и BundesSerifWeb (Regular, Bold) — woff из /static/fonts/isb/, локально.

Декларация против факта

✓ Matomo (piwik.itzbund.de / ITZBund) — задекларирован, Art. 6(1)(e) DSGVO i.V.m. § 3 BDSG, opt-out cookie — заявлен
✓ Viola-чатбот (formularbot-viola.bzst.de) — задекларирован косвенно как формуляр-бот — заявлен
✓ BSI (§ 5 BSIG) — доступ к данным трафика для защиты коммуникационной инфраструктуры — заявлен
+ ReadSpeaker (*.readspeaker.com) — упомянут в CSP, в HAR не активен, в политике не упомянут — не заявлен

Тайминги передачи

+278 мс piwik.itzbund.de

Matomo idsite=4. ITZBund. Art. 6(1)(e). Нет баннера.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

BZSt (Bundeszentralamt für Steuern) — федеральное центральное налоговое ведомство, Бонн. Ведёт реестры налоговых идентификаторов, администрирует возврат налогов, управляет международным налоговым сотрудничеством. Sensitivity — high. GSB-платформа, Apache. HAR: 50 запросов, 3 домена.

Matomo без баннера — Art. 6(1)(e)

addon_matomo.js загружается локально на +106 мс и инициирует запросы к piwik.itzbund.de на +278 мс. GSB CookieBanner в HAR отсутствует полностью — в отличие от RKI, THW и других GSB-сайтов серии, где баннер присутствует. Трекинг-запрос (/js/?action_name=…&idsite=4) на +368 мс содержит подробные данные: User-Agent Client Hints (Edge 148, Windows 19.0.0, платформа), разрешение экрана, идентификатор просмотра страницы.

Политика обосновывает Matomo через Art. 6(1)(e) DSGVO в сочетании с § 3 BDSG — обработка персональных данных публичным органом для выполнения задач в сфере полномочий. Согласие не требуется, предусмотрен только opt-out cookie на 2 года. Политика не ссылается на TDDDG, хотя addon_matomo.js технически устанавливает cookie согласно opt-out механизму.

Viola — чат-бот на собственном субдомене

formularbot-viola.bzst.de/static/widget/widget-no-avatar.js загружается на +124 мс — виджет чат-бота Viola на собственном субдомене BZSt. CSP главной страницы указывает на несколько связанных эндпоинтов: formularbot-viola.bzst.de, viola-bzst.azr.juacvoe.net (Azure) и formularbot-fms.bzst.de. В замере активен только сам виджет с субдомена BZSt; обращений к Azure-эндпоинту и к formularbot-fms не наблюдается. В политике Viola задекларирован косвенно — как формуляр-бот (помощник по заполнению форм), без отдельного раздела о передаче данных и без указания Azure-инфраструктуры в цепочке обработки.

Чат-бот на налоговом сайте — чувствительный компонент: через него пользователь может вводить данные, связанные с налоговыми вопросами. Но в этом замере фиксируется только загрузка виджета, без взаимодействия и без передачи введённых данных — то есть сам факт сбора через чат-бот браузерным замером на главной странице не подтверждается и не отрицается.

Согласие: что доказано и что нет

Доказано: Matomo работает без баннера согласия. addon_matomo.js — локальная обёртка на +106 мс, piwik.itzbund.de/js/ — на +278 мс, трекинг-запрос /js/?action_name=…&idsite=4 — на +368 мс. GSB CookieBanner в HAR отсутствует полностью — в отличие от других GSB-сайтов серии, где баннер присутствует.

Доказано: трекинг-запрос несёт детальные технические данные. idsite=4 (BZSt), action_name=www.bzst.de/BZSt - Startseite, uadata с User-Agent Client Hints (браузер, ОС, версии платформы), res=1536x864, pv_id=GI357H (идентификатор просмотра страницы).

Доказано: Set-Cookie — ноль. Ни одного Set-Cookie за все 50 запросов. Opt-out-механизм Matomo cookie в этом замере не сработал (пользователь не отказывался, кука отказа не ставилась).

Не установлено: сбор данных через Viola. Виджет загружен, но взаимодействия в замере нет; передача введённых пользователем данных не наблюдалась.

Не проверяется: серверная сторона Matomo и Azure-цепочка Viola. Что ITZBund делает с полученными данными и как данные Viola проходят через Azure-эндпоинт, браузерным замером не выясняется.

Границы наблюдения

Замер охватывает главную страницу и фиксирует поведение браузера, не серверную обработку. Инфраструктура федеральная: GSB-платформа (Government Site Builder) на Apache, шрифты BundesSans и BundesSerif — локально, аналитика Matomo — через ITZBund (Informationstechnikzentrum Bund), чат-бот Viola — на собственном субдомене BZSt с Azure-эндпоинтом в CSP. ReadSpeaker (*.readspeaker.com) присутствует в CSP как разрешённый источник, но в HAR не активен и в политике не упомянут — отнесён к нераскрытому, но не сработавшему.

Правовая рамка здесь иная, чем у коммерческих сайтов. BZSt — публичный орган, и обоснование Matomo идёт через Art. 6(1)(e) DSGVO (обработка для выполнения публичной задачи) в сочетании с § 3 BDSG, а не через согласие. Однако § 25(1) TDDDG (немецкая имплементация ePrivacy) требует согласия на доступ к информации на устройстве пользователя независимо от правового основания последующей обработки — и на это положение политика не ссылается. То есть спор здесь не в том, есть ли основание для аналитики (публичная задача заявлена), а в том, покрывает ли Art. 6(1)(e) сам технический доступ к устройству, который по TDDDG требует согласия. Эту границу проводит компетентный орган — федеральный уполномоченный по защите данных (BfDI).

Файл опубликован очищенным от личных данных; отсутствие баннера, параметры трекинг-запроса Matomo, нулевой Set-Cookie и загрузка Viola проверяются по опубликованному файлу напрямую.

Вывод

Федеральное налоговое ведомство ведёт веб-аналитику Matomo без баннера согласия, обосновывая её публичной задачей (Art. 6(1)(e) DSGVO + § 3 BDSG) и предлагая только opt-out. Технически всё держится на федеральной инфраструктуре: аналитика через ITZBund, шрифты локально, Set-Cookie отсутствует — по меркам приватности это сдержанная конфигурация, без сторонних рекламных сетей и без коммерческого трекинга.

Ключевой вопрос — не в наличии основания для обработки, а в согласии на технический доступ к устройству. Matomo загружается и отправляет трекинг-запрос с детальными User-Agent Client Hints и идентификатором просмотра до какого-либо согласия, а политика обосновывает это через Art. 6(1)(e), не ссылаясь на § 25(1) TDDDG, который требует согласия на сам доступ к устройству. Для публичного органа это спорная, но не редкая позиция; границу между «публичная задача покрывает аналитику» и «доступ к устройству требует согласия по TDDDG» проводит надзорный орган.

Устранение: привести обоснование Matomo в соответствие с § 25(1) TDDDG — либо обусловить загрузку аналитики согласием (баннер, как на других GSB-сайтах серии), либо документально обосновать, почему технический доступ к устройству подпадает под исключение; раскрыть в политике чат-бот Viola явно, с указанием Azure-инфраструктуры в цепочке обработки; убрать ReadSpeaker из CSP, если он не используется, либо раскрыть его в политике.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: de/bzst-de-2026-05-29.har
SHA-256: 84538213ad20f7478cc26d9e30a5b8baab648ee00a12232132142dd5ed913f63
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — bzst.de

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта bzst.de.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) piwik.itzbund.de/js/ загружается на +278 мс, трекинг-запрос /js/?action_name=…&idsite=4 (+368 мс) — без предшествующего баннера согласия. GSB CookieBanner в HAR не присутствует вообще. Политика обосновывает Matomo через Art. 6(1)(e) DSGVO i.V.m. § 3 BDSG (публичная задача) без согласия, предлагая только opt-out cookie. Трекинг-запрос содержит uadata с данными User-Agent Client Hints (браузер, ОС, версии платформы), разрешение экрана 1536x864, идентификатор сессии pv_id. Политика не ссылается на TDDDG.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/de-bzst-de/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: BfDI — Федеральный уполномоченный по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — bzst.de

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом bzst.de.

2. Обстоятельства
Я посетил сайт bzst.de и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) piwik.itzbund.de/js/ загружается на +278 мс, трекинг-запрос /js/?action_name=…&idsite=4 (+368 мс) — без предшествующего баннера согласия. GSB CookieBanner в HAR не присутствует вообще. Политика обосновывает Matomo через Art. 6(1)(e) DSGVO i.V.m. § 3 BDSG (публичная задача) без согласия, предлагая только opt-out cookie. Трекинг-запрос содержит uadata с данными User-Agent Client Hints (браузер, ОС, версии платформы), разрешение экрана 1536x864, идентификатор сессии pv_id. Политика не ссылается на TDDDG.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/de-bzst-de/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 5(1)(a); TDDDG § 25(1)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]