RU EN
www.
Технический аудит · 29.05.2026

evergabe.de

Федеральный портал государственных закупок Германии
DE

Политика изменена — посмотреть, что именно · 2026-09-22 →

Федеральный портал государственных закупок Германии. 65 запросов, 13 доменов. Next.js, CloudWAF. Figtree Variable Font — локально. GTM и ReCaptcha до баннера Usercentrics. GA4 активен до отображения баннера. Bot Framework не задекларирован. Политика — машинный перевод с описанием уже прекращённых сервисов.

Хронология обращений

+307 мс · главная страница
www.evergabe.de/ — Next.js, CloudWAF (собственный WAF). Два редиректа: http→https и evergabe.de→www.evergabe.de.
+842 мс · шрифт и CSS
Figtree-VariableFont_wght.ttf (+842 мс preload, +1159 мс загрузка) — variable font, локально. Next.js CSS-бандлы — локально.
+852 мс · GTM и ReCaptcha — до баннера
www.googletagmanager.com/gtm.js?id=GTM-PGQ2TZ и www.google.com/recaptcha/api.js?render=6LfYf_kq… — загружаются одновременно. За ~1 секунду до Usercentrics loader.
+1153 мс · Storyblok
a.storyblok.com — изображение hero-секции напрямую (не через Next.js image proxy). Storyblok — headless CMS. IP-адрес посетителя передаётся на серверы Storyblok.
+1900 мс · Usercentrics loader
web.cmp.usercentrics.eu/ui/loader.js — старт CMP. settingsId=eV4HQKsCTwjEuJ. Баннер отображается на +2688 мс (session/1px.png).
+2176 мс · GA4 destination
www.googletagmanager.com/gtag/destination?id=G-XTTERB4HCG — GA4 конфигурация через GTM. Через 436 мс — region1.google-analytics.com/g/collect с полными параметрами сессии.
+2334 мс · Microsoft Bot Framework
cdn.botframework.com/botframework-webchat/latest/webchat.js — Microsoft Azure Bot Services чат-виджет. До отображения баннера Usercentrics.
+3591 мс · Google Fonts
fonts.gstatic.com — Roboto (два начертания, woff2) загружается через ReCaptcha-iframe. Google Fonts не декларированы.

Декларация против факта

✓ Google Analytics (Universal Analytics + Google Optimize) — задекларированы, Art. 6(1)(f); оба сервиса прекращены Google — заявлен
+ Google Tag Manager — не упомянут — не заявлен
+ Google Analytics 4 (G-XTTERB4HCG) — не упомянут (декларирован только UA) — не заявлен
+ Microsoft Bot Framework (cdn.botframework.com) — не упомянут — не заявлен
+ Storyblok (a.storyblok.com) — не упомянут — не заявлен
+ Google Fonts / Roboto (fonts.gstatic.com) — не упомянут — не заявлен
+ Usercentrics — не упомянут — не заявлен

Тайминги передачи

+852 мс www.googletagmanager.com

GTM-PGQ2TZ. До баннера.

+852 мс www.google.com / www.gstatic.com

Google ReCaptcha. До баннера.

+2612 мс region1.google-analytics.com

GA4 G-XTTERB4HCG. До отображения баннера.

+2334 мс cdn.botframework.com

Microsoft Bot Framework. Не задекларирован.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

eVergabe.de — официальный федеральный портал государственных закупок Германии, обеспечивающий публикацию тендеров и процедур госзакупок. Sensitivity — high: сайт обрабатывает данные участников торгов и государственных заказчиков. Next.js, CloudWAF. HAR: 65 запросов, 13 доменов.

GTM и ReCaptcha — до баннера

На +852 мс одновременно загружаются GTM (GTM-PGQ2TZ) и Google ReCaptcha (render=6LfYf_kqAAAAACp89Dmqpzs2OO4FKZ6T_m8DUe22). Usercentrics появляется на +1900 мс — через секунду. GA4 (G-XTTERB4HCG) через GTM отправляет g/collect на +2612 мс — до отображения баннера (+2688 мс). Google Fonts (Roboto, два начертания) загружается через ReCaptcha iframe на +3591 мс.

Политика — машинный перевод с устаревшим содержанием

Политика конфиденциальности написана по-русски с явными артефактами машинного перевода: вместо «eVergabe.de» в тексте встречается «eVeregung.de» и «eVerbung.de». Описываемые сервисы — Google Universal Analytics и Google Optimize — прекращены Google в 2023–2024 годах соответственно. Вместо них фактически работает GA4, который в политике не упомянут. Usercentrics, Bot Framework, Storyblok и Google Fonts отсутствуют в политике.

Microsoft Bot Framework — не задекларирован

cdn.botframework.com/botframework-webchat/latest/webchat.js (+2334 мс) — SDK Microsoft Azure Bot Services для чат-виджета. Загружается до баннера, не упомянут в политике. Для портала государственных закупок, пользователи которого могут вводить чувствительные данные о тендерах, это существенный пробел.

Storyblok — прямые запросы к CDN

Одно изображение (a.storyblok.com) загружается напрямую, минуя Next.js image proxy — IP посетителя передаётся на серверы Storyblok. Политика Storyblok не декларирована.

Вывод

www.evergabe.de имеет системные замечания: GTM и ReCaptcha активны до баннера, GA4 не задекларирован, Bot Framework не упомянут. Политика конфиденциальности описывает прекращённые сервисы и содержит следы машинного перевода. Для портала государственных закупок с повышенной чувствительностью данных — нестандартно низкий уровень GDPR-соответствия.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: de/evergabe-de-2026-05-29.har
SHA-256: d6c4d270fe9e5ec589b60e69b9439266388dd5ea2b8f5ef5365f421111322969
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — evergabe.de

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта evergabe.de.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Google Tag Manager (GTM-PGQ2TZ, +852 мс) и Google ReCaptcha (www.google.com/recaptcha/api.js, +852 мс) активируются одновременно — за один секунду до Usercentrics loader (+1900 мс). Оба передают данные на серверы Google без согласия.

2) Google Analytics 4 (tid=G-XTTERB4HCG) через GTM активирует запрос к region1.google-analytics.com/g/collect на +2612 мс — до появления баннера Usercentrics (+2688 мс, session/1px.png). GA4 получает полный набор параметров: tid, gtm, параметры сеанса, происхождение трафика. Политика декларирует GA (Universal Analytics / Google Optimize), но не GA4.

3) Microsoft Bot Framework (cdn.botframework.com/botframework-webchat/latest/webchat.js, +2334 мс) — чат-виджет Microsoft Azure Bot Services, загружается без согласия. Не упомянут в политике конфиденциальности.

4) Политика конфиденциальности содержит явные следы машинного перевода на русский язык («eVeregung.de», «eVerbung.de» вместо «eVergabe.de») и описывает устаревшие сервисы Google Universal Analytics и Google Optimize (оба прекращены Google в 2023–2024 гг.), вместо актуального GA4. Usercentrics, Bot Framework, Storyblok и Google Fonts не упомянуты.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/de-evergabe-de/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: BfDI — Федеральный уполномоченный по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — evergabe.de

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом evergabe.de.

2. Обстоятельства
Я посетил сайт evergabe.de и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Google Tag Manager (GTM-PGQ2TZ, +852 мс) и Google ReCaptcha (www.google.com/recaptcha/api.js, +852 мс) активируются одновременно — за один секунду до Usercentrics loader (+1900 мс). Оба передают данные на серверы Google без согласия.

2) Google Analytics 4 (tid=G-XTTERB4HCG) через GTM активирует запрос к region1.google-analytics.com/g/collect на +2612 мс — до появления баннера Usercentrics (+2688 мс, session/1px.png). GA4 получает полный набор параметров: tid, gtm, параметры сеанса, происхождение трафика. Политика декларирует GA (Universal Analytics / Google Optimize), но не GA4.

3) Microsoft Bot Framework (cdn.botframework.com/botframework-webchat/latest/webchat.js, +2334 мс) — чат-виджет Microsoft Azure Bot Services, загружается без согласия. Не упомянут в политике конфиденциальности.

4) Политика конфиденциальности содержит явные следы машинного перевода на русский язык («eVeregung.de», «eVerbung.de» вместо «eVergabe.de») и описывает устаревшие сервисы Google Universal Analytics и Google Optimize (оба прекращены Google в 2023–2024 гг.), вместо актуального GA4. Usercentrics, Bot Framework, Storyblok и Google Fonts не упомянуты.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/de-evergabe-de/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 5(1)(a); TDDDG § 25(1); GDPR Art. 5(1)(a); TDDDG § 25(1); GDPR Art. 13(1)(e); GDPR Art. 13(1)(e)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]