Технический аудит · 2026-05-26

bauforum24.biz

Австрийский строительный онлайн-портал

Австрийский строительный портал — 83 запроса, 8 доменов. Cookiebot CMP есть. Но INFOnline (ioam.de) отправляет трекинг-пинги раньше, чем Cookiebot показывает баннер и получает согласие.

Хронология утечки

+1604 мс · Cookiebot начинает загрузку

consent.cookiebot.com/uc.js — CMP начинает инициализацию.

+1648 мс · INFOnline

script.ioam.de/iam.js загружается. Cookiebot ещё не показал баннер.

+2518 мс · INFOnline пинг 1

4a8f5f05.de.ioam.de — первый трекинг-пинг: st=baufo24, cp=rc_wirtschaft_finanzen.

+2934 мс · INFOnline пинг 2

Второй трекинг-пинг к ioam.de.

Декларация против факта

✓ INFOnline — задекларирован, Art. 6(1)(f), в HAR до согласия — заявлен

✓ etracker — задекларирован в политике, в HAR отсутствует — заявлен

✓ IVW — упомянута как аудиторная организация — заявлен

Тайминги передачи

+1648 мс script.ioam.de 200 INFOnline GmbH (Bonn, Германия). IVW-измерение аудитории.

+2518 мс 4a8f5f05.de.ioam.de 302 Трекинг-пинг до согласия. st=baufo24, категория rc_wirtschaft_finanzen.

+2934 мс 4a8f5f05.de.ioam.de 200 Второй пинг. Cookiebot ещё не завершил инициализацию.

+5186 мс consent.cookiebot.com 200 logconsent — согласие залогировано спустя 2,5 секунды после первого INFOnline пинга.

Зафиксированные трекеры

INFOnline / IVW (ioam.de)

Зафиксированные нарушения

GDPR Art. 6(1)(f), TKG § 165

INFOnline (script.ioam.de) загружается на +1648 мс и отправляет два трекинг-пинга на +2518 и +2934 мс. Cookiebot-баннер завершает инициализацию и логирует согласие только на +5186 мс. INFOnline работает до того, как пользователь мог принять или отклонить что-либо.

Контекст

Bauforum24 — австрийский онлайн-портал для строительной отрасли (новости, видео, форум). HAR: 83 запроса, 8 доменов. Работает на собственной рекламной системе Revive Adserver (ads.bauforum24.biz) и является членом IVW.

INFOnline раньше баннера

Cookiebot CMP загружается на +1604 мс и логирует согласие пользователя на +5186 мс. В этом промежутке INFOnline успевает загрузиться (+1648 мс) и отправить два трекинг-пинга (+2518 и +2934 мс). Разница между первым пингом INFOnline и логированием согласия — 2,6 секунды. Политика обосновывает INFOnline через законный интерес (Art. 6(1)(f)) — но это не освобождает от требования TKG § 165, который требует согласия для любого идентификатора на устройстве.

Собственная реклама, без третьих сторон

ads.bauforum24.biz — Revive Adserver (open source), self-hosted рекламная система. Баннеры загружаются с собственного поддомена после Cookiebot. Google, Meta, programmatic-сетей — нет.

Вывод

Cookiebot есть, декларации есть, реклама self-hosted — архитектурно не плохо. Но INFOnline работает раньше баннера, и это прямое противоречие между задекларированной схемой и реальной последовательностью событий.

Доказательство

Оригинал (разбор)

HAR-файл: at/bauforum24-biz-2026-05-26.har

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Готовое письмо для подачи жалобы

Куда подавать: DSB — Австрийский орган по защите данных — подать жалобу онлайн →

Кому: DSB — Австрийский орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом bauforum24.biz.

2. Обстоятельства
Я посетил сайт bauforum24.biz и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 26.05.2026 (открытая методология, воспроизводимые измерения), документирует следующее:

1) INFOnline (script.ioam.de) загружается на +1648 мс и отправляет два трекинг-пинга на +2518 и +2934 мс. Cookiebot-баннер завершает инициализацию и логирует согласие только на +5186 мс. INFOnline работает до того, как пользователь мог принять или отклонить что-либо.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/at-bauforum24-biz/

3. Нарушенные положения
GDPR Art. 6(1)(f), TKG § 165

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]