Официальный городской портал Мюнхена. 106 запросов, 9 доменов. Drupal CMS. Roboto Condensed и Open Sans — локально. etracker без cookies на Art. 6(1)(f), активен до баннера. Usercentrics как CMP — не упомянут в политике. sso.muenchen.de — Keycloak SSO для городских сервисов.
Хронология утечки
Декларация против факта
Тайминги передачи
Зафиксированные трекеры
- etracker (static.etracker.com, code.etracker.com) — веб-аналитика без cookies, до баннера
Зафиксированные нарушения
-
GDPR Art. 5(1)(a); TDDDG § 25(1)etracker e.js загружается одновременно с Usercentrics loader (+123 мс), до отображения баннера согласия. Политика обосновывает через Art. 6(1)(f) (законный интерес) и декларирует cookieless-режим без идентификации пользователя с обработкой данных исключительно в Германии. Тем не менее etracker получает данные о браузере, URL и поведении пользователя до любого взаимодействия с баннером.
-
GDPR Art. 13(1)(e)Usercentrics (app.usercentrics.eu, privacy-proxy.usercentrics.eu, api.usercentrics.eu) — CMP-платформа, выполняющая 9 запросов — не упомянута в политике конфиденциальности ни под собственным именем, ни в разделе о cookies или технических партнёрах.
Контекст
Portal München — официальный городской информационный портал Мюнхена, оператор — Landeshauptstadt München (LHM). Drupal CMS, Fastly CDN. HAR: 106 запросов, 9 доменов.
etracker без cookies — до баннера
На +123 мс загружаются два скрипта etracker: static.etracker.com/code/e.js и code.etracker.com/code/e.js. Это происходит одновременно с загрузчиком Usercentrics — баннер появится только через +755 мс.
Политика конфиденциальности обосновывает etracker через Art. 6(1)(f) DSGVO (законный интерес) и описывает cookieless-режим: данные псевдонимизированы, обрабатываются исключительно в Германии, не передаются третьим лицам, уважается Do Not Track. etracker GmbH действительно предлагает cookieless-аналитику — это дифференцирующая характеристика сервиса. Тем не менее данные о браузере, URL и поведении пользователя уходят на etracker до любого взаимодействия с баннером. Правомерность Art. 6(1)(f) для аналитики без согласия — предмет дискуссии в немецкой надзорной практике.
Usercentrics — не задекларирован
Usercentrics выполняет 9 запросов: загрузчик, три UI-модуля, настройки, переводы, 1px-пиксель сессии. settingsId 8cHg-EU0P идентифицирует конфигурацию баннера. При этом ни «Usercentrics», ни «Consent Management Platform», ни иное описание CMP-платформы в политике конфиденциальности не упоминается.
Городская инфраструктура: SSO и MDE
sso.muenchen.de реализует Keycloak OpenID Connect — единый вход для городских цифровых сервисов. Проверка состояния сессии (login-status-iframe.html/init) и 3p-cookies происходит в рамках собственной инфраструктуры Мюнхена. assets.muenchen.de раздаёт CSS городской дизайн-системы MDE (München Design Elements) версии 1.1.15. muenchenapis.de/proxies/dbs-login/proxy.php — собственный прокси для авторизации.
Шрифты — локально
Roboto Condensed и Open Sans — пять woff2-файлов из каталога темы Drupal. Нет Google Fonts.
Вывод
www.muenchen.de имеет два нарушения: etracker активен до баннера на основании законного интереса — правовое обоснование спорно в контексте TDDDG; Usercentrics как CMP не задекларирован в политике. Городская инфраструктура (SSO, MDE, muenchenapis) реализована полностью собственными средствами.
5e15647aca730c699b95f115a431143cb548351fb8d3f7c325089f05fab67ae0Куда подавать: BfDI — Федеральный уполномоченный по защите данных — подать жалобу онлайн →
Кому: BfDI — Федеральный уполномоченный по защите данных От: [Ваше имя], [контактный email] 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом muenchen.de. 2. Обстоятельства Я посетил сайт muenchen.de и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующее: 1) etracker e.js загружается одновременно с Usercentrics loader (+123 мс), до отображения баннера согласия. Политика обосновывает через Art. 6(1)(f) (законный интерес) и декларирует cookieless-режим без идентификации пользователя с обработкой данных исключительно в Германии. Тем не менее etracker получает данные о браузере, URL и поведении пользователя до любого взаимодействия с баннером. 2) Usercentrics (app.usercentrics.eu, privacy-proxy.usercentrics.eu, api.usercentrics.eu) — CMP-платформа, выполняющая 9 запросов — не упомянута в политике конфиденциальности ни под собственным именем, ни в разделе о cookies или технических партнёрах. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/muenchen-de/ 3. Нарушенные положения GDPR Art. 5(1)(a); TDDDG § 25(1); GDPR Art. 13(1)(e) 4. Требование Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. [Дата] [Подпись/имя]