PVResponse.be
Contact Steden GBA & AVG JustOnWeb Voorbeeld Procedure FAQ Beveiliging Inloggen Registreren

GAS Rivierenland Analyse verfügbar

Website: gasrivierenland.be — Sitz: Grote Markt 21, 2800 Mechelen.

Mitgliedsgemeinden (15): Berlaar, Bonheiden, Boortmeerbeek, Bornem, Duffel, Heist-op-den-Berg, Herent, Kortenberg, Lier, Mechelen, Nijlen, Putte, Puurs-Sint-Amands, Sint-Katelijne-Waver, Willebroek.

1. Festgestellte DSGVO- und ePrivacy-Verstöße

Eine technische Prüfung von gasrivierenland.be und den verlinkten Datenschutz- und Cookie-Seiten zeigt mehrere Verstöße gegen die DSGVO, das belgische Gesetz vom 30. Juli 2018 und das Gesetz über elektronische Kommunikation (Art. 129 GEK).

FeststellungRechtsgrundlageRisiko
Kein Cookie-Banner beim ErstbesuchArt. 129 GEK — vorherige Einwilligung erforderlichePrivacy-Verstoß
YouTube-Tracking-Cookies (YSC, PREF 10 Jahre, VISITOR_INFO1_LIVE 240 Tage) ohne EinwilligungArt. 129 GEK + Art. 6 DSGVOPersistentes Drittanbieter-Tracking
„Cookies über Browsereinstellungen ablehnen“ als EinwilligungsmechanismusDSB-Leitlinien 2023 — ungültigUngültiges Einwilligungsmodell
Datenschutzerklärung zuletzt 30.12.2019 aktualisiertArt. 5(2) DSGVO — RechenschaftspflichtVeraltete Dokumentation
Keine DSB-Kontaktdaten veröffentlichtArt. 37 & 38 DSGVO — für Behörden zwingendFormale Nichteinhaltung
Defekter interner Datenschutz-Link (/jouw-privacy → HTTP 410)Art. 12 DSGVO — TransparenzInformationspflicht verletzt
Formular erfasst Nationalregisternummer ohne Hinweis bei der ErhebungArt. 13 DSGVO + Gesetz vom 8.8.1983Hochrisiko-Verarbeitung
Kein Hinweis auf Beschwerderecht bei der DSBArt. 13(2)(d) DSGVOBetroffene nicht informiert
Keine Aufbewahrungsfristen angegebenArt. 13(2)(a) DSGVOUnbegrenzte Speicherung möglich
Keine Information zu internationalen ÜbermittlungenArt. 13(1)(f) + Kap. V DSGVOUnvollständige Transparenz
Keine spezifische Regelung für MinderjährigeArt. 8 DSGVOBesonderer Schutz fehlt

2. Verletzte DSGVO-Artikel (Zusammenfassung)

Artikel 5(1)(a) — Transparenz

Die Datenschutzerklärung von 2019 deckt die aktuellen Verarbeitungen nicht ab.

Artikel 13 — Informationspflicht

Zum Zeitpunkt der Erhebung (Formulare „anderer Fahrer“, Einspruch usw.) wird keine spezifische Datenschutzmitteilung angezeigt.

Artikel 37 & 38 — DSB

Als öffentliche Stelle muss GAS Rivierenland einen DSB benennen und dessen Kontaktdaten veröffentlichen.

Artikel 129 GEK / ePrivacy — Cookies

Nicht wesentliche Cookies werden ohne vorherige, informierte, granulare Einwilligung gesetzt. Keine Ablehnungsschaltfläche, keine Kategorien.

3. Online-Formulare — Sicherheit

Ergebnisse einer technischen Prüfung des Einspruchsformulars /snelheidsboete/andere-bestuurder und der Startseite (April 2026).

FeststellungDetailRisiko
Kein CSRF-Token im POST-EinspruchsformularVorhandene versteckte Felder (pageNumber, __formName, MAX_FILE_SIZE, g-recaptcha-response, ...) enthalten kein Anti-CSRF-TokenCross-Site Request Forgery möglich
Google reCAPTCHA im FormularFeld g-recaptcha-response + Laden von www.google.com/recaptcha; Übermittlung an Google USIn der Datenschutzerklärung nicht erwähnt — Art. 13 + Kap. V DSGVO
Mehrere US-CDNs auf der Formularseitefonts.googleapis.com, fonts.gstatic.com, cdnjs.cloudflare.com, maxcdn.bootstrapcdn.com, cdn.tiny.cloudInternationale Übermittlung (US) ohne Offenlegung
Kein Content-Security-Policy-HeaderDer Server sendet kein CSPKeine Tiefenverteidigung gegen XSS / Injection
Nationalregisternummer als <input type="text">Ohne autocomplete="off" für dieses sensible FeldBrowser-Caching; Art. 32 DSGVO
HSTS vorhanden (1 Jahr, includeSubDomains)Positiv; kein preload, aber solide BasisOK

4. Empfohlene Verteidigungsmittel

  • Berufung auf Art. 82 DSGVO (Schadenersatzanspruch) bei Verwendung unrechtmäßig verarbeiteter Daten.
  • Hinweis, dass der Verantwortliche seine eigene Informationspflicht nicht erfüllt — dies beeinträchtigt die Rechtmäßigkeit der Verarbeitung.
  • Beschwerde bei der Datenschutzbehörde (www.datenschutzbehoerde.be) möglich.
Hinweis: Analyse basiert auf einer öffentlichen Prüfung von gasrivierenland.be (April 2026). Sie können die Ergebnisse selbst über die DevTools Ihres Browsers überprüfen.

Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:

Deutschsprachige Gemeinschaft (DG) — 9 Gemeinden Analyse verfügbar

Mitglieder (9): Amel, Büllingen, Burg-Reuland, Bütgenbach, Eupen, Kelmis, Lontzen, Raeren, Sankt Vith. Alle in der Provinz Lüttich.

Wer bearbeitet GAS-Bußgelder in den DG-Gemeinden?

Die DG als Institution erlässt keine GAS-Bußgelder. Für ihre 9 Gemeinden wird die GAS-Sanktion durch die Gemeinde selbst oder durch den provinzialen Sanktionsbeamten von Lüttich behandelt. Die Analyse der Provinz Lüttich gilt daher mit.

Besondere Sprach- und Verfahrensgarantien

RechtRechtsgrundlageAnwendung
Verfahren in DeutschArt. 4 und 30 Verfassung + Sprachengesetz Verwaltungssachen 1966Einspruch in deutscher Sprache zulässig; Entscheidung ist auf Deutsch zu erteilen.
Deutschsprachige Übersetzung bei der GerichtsschreibereiArt. 22 Sprachengesetz GerichtssachenDas Polizeigericht Eupen tagt auf Deutsch.
Kostenloser DolmetscherArt. 6 EMRK + Sprachengesetz 1935Falls die feststellende Behörde kein Deutsch liefern kann.

Empfohlene Einspruchs­argumente

  • Fordern, dass alle Zustellungen, Protokolle und Entscheidungen auf Deutsch vorliegen. Zustellungen auf Französisch oder Niederländisch an DG-Einwohner können nichtig sein.
  • Berufung am Polizeigericht Eupen (nicht Verviers oder Lüttich), das auf Deutsch verhandelt.
Hinweis: Die DG ist keine GAS-Behörde; verwenden Sie auch die Provinzialanalyse Lüttich.

PDF-Anhang:

WVI (Westflämische Interkommunale) Analyse verfügbar

Website: wvi.be — Sitz: Baron Ruzettelaan 35, 8310 Brügge.

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Privacy- und Cookie-Policy auf /privacy-policy / /cookie-policy, aber ohne DatumArt. 5(2) DSGVONicht verifizierbar
Kein Cookie-Banner beim ersten Besuch (nur „Cookie settings“-Link)Art. 129 ElKommKeine Vorab-Einwilligung
Kein DSB-Name veröffentlichtArt. 37(7) DSGVOFormale Nichteinhaltung
Social-Links im Footer ohne Vorab-InfoArt. 13 + 129 ElKommDrittanbieter-Tracker
Externe Entwicklung („Hannibal“); Auftragsverarbeiter nicht genanntArt. 13(1)(e) + Art. 28 DSGVOTransparenz + AVV
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II

Verteidigungsmittel

  • „Cookie settings“-Link reicht nicht — vorherige Einwilligung erforderlich.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von wvi.be (22. April 2026). 52 westflämische Gemeinden.

PDF-Anhang:

Brügge & Umland (GAS-Zone) Analyse verfügbar

Website: brugge.be — Sitz: Burg 12, 8000 Brügge.

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
politiebrugge.be: Privacy & Cookie-Link ohne DatumArt. 5(2) DSGVONicht verifizierbar
Kein Cookie-Banner auf politiebrugge.beArt. 129 ElKommePrivacy-Verstoß
Kein DSB-Name veröffentlichtArt. 37(7) DSGVOFormale Nichteinhaltung
Zonenabdeckung nicht auf der StartseiteArt. 12 DSGVOTransparenzmangel
Kein Cookie-Banner auf brugge.beArt. 129 ElKommePrivacy-Verstoß
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II

Verteidigungsmittel

  • Das Bußgeld stammt von der Stadt, die Feststellung läuft über die Polizeizone — beide Verantwortlichen müssen DSGVO-konform sein.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von brugge.be + politiebrugge.be (22. April 2026).

PDF-Anhang:

IDELUX Analyse verfügbar

Website: idelux.be — Sitz: Drève de l’Arc-en-Ciel 98, 6700 Arlon.

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Kein sichtbares granulares Cookie-BannerArt. 129 ElKomm-GesetzePrivacy-Verstoß
Kein Datum der letzten AktualisierungArt. 5(2) DSGVONicht verifizierbar
Kein DSB-Name; nur idelux@idelux.beArt. 37(7) DSGVOFormale Nichteinhaltung
Social-Links (FB, LinkedIn, Instagram, Twitter, YouTube) ohne Vorab-InfoArt. 13 + 129 ElKommTracker beim Klick
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II
Keine Regelung für MinderjährigeArt. 8 DSGVOBesonderer Schutz fehlt

Verteidigungsmittel

  • Fehlen eines gültigen Cookie-Banners.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von idelux.be (22. April 2026).

PDF-Anhang herunterladen:

INASEP Analyse verfügbar

Website: inasep.be — Sitz: Rue des Viaux 1b, 5100 Naninne.

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Kein sichtbares Cookie-BannerArt. 129 ElKommePrivacy-Verstoß
Datenschutzerklärung ohne DatumArt. 5(2) DSGVONicht verifizierbar
Kein DSB-Name; nur info@inasep.beArt. 37(7) DSGVOFormale Nichteinhaltung
Website-Entwicklung durch Externe („Expansion“) — Auftragsverarbeiter nicht genanntArt. 13(1)(e) + Art. 28 DSGVOTransparenz + AVV
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II
Keine Regelung für MinderjährigeArt. 8 DSGVOBesonderer Schutz fehlt

Verteidigungsmittel

  • Auslassung des Auftragsverarbeiters „Expansion“.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von inasep.be (22. April 2026).

PDF-Anhang herunterladen:

BEP Analyse verfügbar

Website: bep.be — Sitz: Avenue Sergent Vrithoff 2, 5000 Namur.

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
„Charte de protection des données“ zuletzt am 26.11.2018 — über 7 Jahre altArt. 5(2) + Art. 24 DSGVOStark veraltete Dokumentation
Kein sichtbares Cookie-BannerArt. 129 ElKommePrivacy-Verstoß
Kein DSB-Name veröffentlichtArt. 37(7) DSGVOFormale Nichteinhaltung
Mitgliedsgemeinden nicht auf der StartseiteArt. 12 DSGVOTransparenzmangel
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II

Verteidigungsmittel

  • BEP nutzt ein Dokument von 2018 — lange vor Schrems II (2020). Verstoß gegen Art. 5(2).
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Datum 26.11.2018 wörtlich zitiert.

PDF-Anhang:

Intradel Analyse verfügbar

Website: intradel.be — Sitz: Port de Herstal, 4040 Herstal.

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Charte vie privée + Cookie-Richtlinie vorhanden, aber ohne DatumArt. 5(2) DSGVONicht verifizierbar
Kein Cookie-Banner beim ersten BesuchArt. 129 ElKommePrivacy-Verstoß
Kein DSB-Name sichtbarArt. 37(7) DSGVOFormale Nichteinhaltung
YouTube/Social-Embeds ohne Vorab-EinwilligungArt. 129 ElKomm + Art. 6 DSGVODrittanbieter-Tracker
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II

Verteidigungsmittel

  • Dokumente existieren, tragen aber kein Datum.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von intradel.be (22. April 2026).

PDF-Anhang:

TIBI (Charleroi) Analyse verfügbar

Website: tibi.be — Sitz: Rue du Déversoir 1, 6010 Couillet.

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Cookie-Banner nur mit „J’accepte“ — kein Ablehnen, keine GranularitätArt. 129 ElKomm + DSB-Leitlinien 2023Ungültige Einwilligung
Keine Cookie-Kategorien oder ZweckeArt. 13 DSGVO + Art. 129 ElKommEinwilligung nicht informiert
Keine DSB-KontaktdatenArt. 37(7) DSGVOFormale Nichteinhaltung
Kein Abschnitt BetroffenenrechteArt. 13(2)(b)-(d) DSGVOBetroffene nicht informiert
Kein Datum im ImpressumArt. 5(2) DSGVONicht verifizierbar

Verteidigungsmittel

  • Starkes Argument: TIBI nutzt einen Banner ohne Ablehnen-Option — die belgische DSB hat mehrere Entscheidungen (u. a. 81/2023) zu dieser Praxis veröffentlicht.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von tibi.be (22. April 2026).

PDF-Anhang:

IPALLE Analyse verfügbar

Website: ipalle.be — Sitz: Chemin de l’Eau Vive 1, 7503 Froyennes (Tournai).

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Vie privée + Impressum + Cookies vorhanden, ohne DatumArt. 5(2) DSGVONicht verifizierbar
Kein granulares Cookie-Banner sichtbarArt. 129 ElKommePrivacy-Verstoß
Kein DSB-Name veröffentlichtArt. 37(7) DSGVOFormale Nichteinhaltung
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II
Keine Regelung für MinderjährigeArt. 8 DSGVOBesonderer Schutz fehlt

Verteidigungsmittel

  • Dokumente ohne Datum.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von ipalle.be (22. April 2026).

PDF-Anhang:

HYGEA (Mons-Borinage) Analyse verfügbar

Website: hygea.be — Sitz: Rue de la Biscuiterie 19, 7110 Houdeng-Goegnies.

DSGVO- und ePrivacy-Verstöße

TLS-Zertifikatsfehler erkannt — eine automatisierte Prüfung ergab „unable to verify the first certificate“ für hygea.be. Für eine öffentliche Website ist das ein unmittelbarer Verstoß gegen Art. 32 DSGVO (Sicherheit der Verarbeitung).
FeststellungRechtsgrundlageRisiko
TLS-Zertifikatskette wird nicht validiertArt. 32 DSGVOSicherheitsvorfall
Seiteninhalte nicht ohne Warnungs-Umgehung zugänglichArt. 12 + 32 DSGVOTransparenz + Sicherheit

Verteidigungsmittel

  • Starkes Argument: der TLS-Fehler ist objektiv überprüfbar und zeigt direkt einen Verstoß gegen Art. 32. Screenshot der Browser-Warnung beifügen.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Prüfung von hygea.be am 22. April 2026 ergab einen SSL/TLS-Fehler.

PDF-Anhang:

EcoWerf Analyse verfügbar

Website: ecowerf.be — Sitz: Aarschotsesteenweg 210, 3012 Wilsele (Leuven).

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Datenschutzerklärung auf /algemene-privacyverklaring vorhanden, aber ohne DatumArt. 5(2) DSGVONicht verifizierbar
Kein granulares Cookie-Banner sichtbarArt. 129 ElKommePrivacy-Verstoß
Paddle-CMS verwendet; Auftragsverarbeiter in Erklärung nicht genanntArt. 13(1)(e) + Art. 28 DSGVOTransparenz + AVV
Kein DSB-Name veröffentlichtArt. 37(7) DSGVOFormale Nichteinhaltung
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II

Verteidigungsmittel

  • Paddle-CMS als Auftragsverarbeiter nicht erwähnt.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von ecowerf.be (22. April 2026).

PDF-Anhang:

Leiedal Analyse verfügbar

Website: leiedal.be — Sitz: President Kennedypark 10, 8500 Kortrijk.

DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Nutzungsbedingungen + Datenschutzerklärung + Cookie-Richtlinie vorhanden — ohne DatumArt. 5(2) DSGVONicht verifizierbar
Kein Cookie-Banner beim ersten Besuch (nur „Cookie-Einstellungen“-Link)Art. 129 ElKommKeine Vorab-Einwilligung
Kein DSB-Name veröffentlichtArt. 37(7) DSGVOFormale Nichteinhaltung
Newsletter-Opt-in korrekt formuliert (positiv)Art. 6(1)(a) DSGVOOK
Kein Abschnitt internationale ÜbermittlungenArt. 13(1)(f) + Kap. VSchrems II

Verteidigungsmittel

  • Der „Cookie-Einstellungen“-Link genügt nicht — vorherige Einwilligung bleibt für nicht-essentielle Cookies Pflicht.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Analyse von leiedal.be (22. April 2026).

PDF-Anhang:

IGEAN milieu & veiligheid — intergemeentelijke GAS-dienst Analyse verfügbar

Verantwortlicher: IGEAN milieu & veiligheid — Doornaardstraat 60, 2160 Wommelgem — Website: www.igean.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der IGEAN milieu & veiligheid — intergemeentelijke GAS-dienst durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.igean.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=63072000 (2 Jahre) + includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

IGEMO Analyse verfügbar

Website: igemo.be — Sitz: Schoutetstraat 2, 2800 Mechelen. DSB: Sigrid Palmers — privacy@igemo.be.

1. Festgestellte DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Datenschutzerklärung zuletzt am 23.06.2020 — mehr als 5 JahreArt. 5(2) + Art. 24 DSGVOStark veraltete Dokumentation
„Analytische Daten werden für unbestimmte Zeit gespeichert“Art. 5(1)(e) DSGVOUnbegrenzte Speicherung
Newsletter in MailChimp „für unbestimmte Zeit“Art. 5(1)(e) + Art. 44 DSGVOSpeicherbegrenzung + US-Transfer
MailChimp, Combell, Microsoft genannt, aber keine SCCsArt. 46 + Schrems IITransfer ohne Rechtsgrundlage
Kein Abschnitt zu internationalen ÜbermittlungenArt. 13(1)(f) + Kapitel VTransparenz unvollständig
Keine Regelung für MinderjährigeArt. 8 DSGVOBesonderer Schutz fehlt
Kein granularer Cookie-Banner sichtbarArt. 129 ElKomm-GesetzePrivacy-Verstoß
Beschwerdeformular über Microsoft Forms ohne Transfer-InformationArt. 13 + Art. 46Transparenz + Schrems II

2. Verletzte DSGVO-Artikel

Art. 5(1)(e) — Speicherbegrenzung

Zwei explizite Erwähnungen von „unbestimmter“ Speicherung verletzen dieses Prinzip.

Art. 5(2) — Rechenschaftspflicht

Eine seit 2020 nicht aktualisierte Erklärung ist nachweislich mangelhaft.

Art. 44-46 — Internationale Übermittlung (Schrems II)

MailChimp (US) und Microsoft (US) ohne dokumentierte SCCs.

Art. 129 ElKomm

Kein granularer Einwilligungsmechanismus sichtbar.

3. Empfohlene Einspruchs­argumente

  • IGEMO ist seit fünf Jahren in Verzug — das untergräbt die Glaubwürdigkeit.
  • Schrems II (EuGH C-311/18) bei Microsoft/MailChimp ohne Zusatzmaßnahmen.
  • Beschwerde bei der Datenschutzbehörde.
Hinweis: Datum 23.06.2020 wörtlich zitiert.

Laden Sie diese Analyse als PDF-Anhang herunter:

IOK (Kempen) Analyse verfügbar

Website: iok.be — Sitz: Antwerpseweg 1A bus 1, 2440 Geel. DSB-Kontakt: privacy@iok.be (über Welzijnszorg Kempen).

1. Festgestellte DSGVO- und ePrivacy-Verstöße

FeststellungRechtsgrundlageRisiko
Kein Datum der letzten AktualisierungArt. 5(2) DSGVONicht verifizierbar
DSB ausgelagert ohne Name einer natürlichen PersonArt. 37(7) DSGVOFormale Nichteinhaltung
Aufbewahrungsfristen nur in nicht-öffentlichem VerzeichnisArt. 13(2)(a) DSGVOInformationspflicht verletzt
Kein Abschnitt zu internationalen ÜbermittlungenArt. 13(1)(f) + Kapitel VTransparenz unvollständig
Keine Regelung für MinderjährigeArt. 8 DSGVOBesonderer Schutz fehlt
Kein granularer Cookie-Banner sichtbarArt. 129 ElKomm-GesetzePrivacy-Verstoß
Beschwerderecht bei DSB erwähntArt. 13(2)(d) DSGVOOK

2. Verletzte DSGVO-Artikel

Art. 13 — Information

Ein Verweis auf ein nicht-öffentliches Verzeichnis erfüllt die Informationspflicht nicht.

Art. 37(7) — DSB

Auslagerung zulässig, aber Name der konkreten Person muss öffentlich sein.

Art. 44-46 — Übermittlungen

Keine Schrems-II-Garantien erwähnt.

Art. 129 ElKomm

Kein granularer Einwilligungsmechanismus sichtbar.

3. Empfohlene Einspruchs­argumente

  • Verweis auf nicht-öffentliches Verzeichnis verletzt Art. 13(2)(a) DSGVO.
  • Beschwerde bei der Datenschutzbehörde.
  • Art. 82 DSGVO (Schadensersatz).
Hinweis: Analyse basiert auf öffentlicher Prüfung von iok.be (April 2026).

Laden Sie diese Analyse als PDF-Anhang herunter:

Haviland (Halle-Vilvoorde) Analyse verfügbar

Website: haviland.be — Verantwortlicher: Haviland Regiopartners, Poverstraat 75 bus 47, 1731 Asse — Kontakt Informationssicherheit: informatieveiligheid@haviland.be.

Mitgliedsgemeinden (23): Affligem, Asse, Beersel, Dilbeek, Grimbergen, Kampenhout, Kapelle-op-den-Bos, Lennik, Liedekerke, Londerzeel, Machelen, Meise, Merchtem, Opwijk, Pepingen, Roosdaal, Sint-Pieters-Leeuw, Steenokkerzeel, Ternat, Vilvoorde, Wemmel, Zaventem, Zemst. Nicht jede Gemeinde nimmt an jeder GAS-Kategorie teil.

1. Festgestellte DSGVO- und ePrivacy-Verstöße

Eine technische Prüfung von haviland.be am 17. April 2026 zeigt folgende Verstöße gegen die DSGVO, das belgische Gesetz vom 30. Juli 2018 und Artikel 129 des Gesetzes über elektronische Kommunikation.

FeststellungRechtsgrundlageRisiko
Dreifache Analytics-Stack: Google Analytics (_ga, _gat, _gid), Hotjar (_hjid) und Matomo (_pk_id, _pk_ses, ...) gleichzeitig aktivArt. 5(1)(c) DSGVO — Verhältnismäßigkeit & MinimierungÜbermäßige Verarbeitung
Direkter Widerspruch: Die Datenschutzerklärung besagt „keine Daten außerhalb der EU“, während Google Analytics und Hotjar in die USA übertragenArt. 5(1)(a) DSGVO; Kap. V DSGVOFalsche Erklärung / Transparenzverstoß
AddThis-Cookies (__atuvc, __atuvs) im Cookie-Verzeichnis — AddThis wurde im Mai 2023 von Oracle eingestelltArt. 5(2) DSGVO — RechenschaftspflichtVeraltete Dokumentation
Universal-Analytics-Cookies (__utmb, __utmc, __utmz) gelistet, obwohl UA am 1. Juli 2023 eingestellt wurdeArt. 5(2) DSGVONicht aktualisierte Dokumentation
Keine Aufbewahrungsfristen für irgendeinen CookieArt. 13(2)(a) DSGVOUnbegrenzte Speicherung möglich
Kein DSB-Name oder -Mail veröffentlicht (nur generische Adresse informatieveiligheid@)Art. 37 & 38 DSGVOFormale Nichteinhaltung (öffentliche Stelle)
Keine zertifizierte CMP; keine IAB-TCF-IntegrationDSB-Leitlinien zu Cookies 2023Keine Einwilligungs-Nachweisbarkeit
Verweis auf „Browsereinstellungen“ zum Widerruf der EinwilligungDSB-Leitlinie 2023 — nicht gültigUngültiger Widerruf
Keine Information zu internationalen Übermittlungen, trotz GA/Hotjar/YouTube (Übermittlung Google US)Art. 13(1)(f) + Kap. V DSGVOUnvollständige Transparenz
Keine konkreten Auftragsverarbeiter genannt (nur Kategorien „Hosting/Logistik/Sicherheit“)Art. 13(1)(e) DSGVOFehlende Empfängerinformation

2. Wichtigste Verstöße (Zusammenfassung)

Artikel 5(1)(a) — Transparenz und Richtigkeit

Die Datenschutzerklärung enthält eine faktisch falsche Aussage: „Haviland teilt keine personenbezogenen Daten mit Parteien außerhalb der EU“. Dies ist unvereinbar mit der Nutzung von Google Analytics, Hotjar und YouTube-Embeds.

Artikel 5(1)(c) — Datenminimierung

Die gleichzeitige Nutzung von drei Analyse-Systemen (GA + Hotjar + Matomo) übersteigt das erforderliche Minimum.

Artikel 129 GEK / ePrivacy — Cookies

Nicht wesentliche Cookies werden mit einem „Pop-up“ verknüpft, jedoch ohne granulare Kategorieschaltflächen, ohne gleichwertigen Ablehnen-Button und ohne dokumentierten Pre-Tick-Status.

Artikel 37 & 38 — DSB

Haviland ist eine Interkommunale (öffentliche Stelle) und muss einen DSB benennen und dessen Kontaktdaten veröffentlichen. Eine generische Adresse informatieveiligheid@haviland.be erfüllt Art. 37(7) DSGVO nicht.

3. Online-Formulare — Sicherheit

Ergebnisse einer technischen Prüfung von haviland.be/nl und haviland.be/nl/contact (April 2026). Hinweis: Das Kontaktformular wird wahrscheinlich clientseitig gerendert (Paddle CMS); nur der Seiten-Wrapper ist statisch inspizierbar.

FeststellungDetailRisiko
Social- und Tracking-Embeds laden auf jeder Seite (inkl. Kontaktseite)Vor jeder Einwilligung werden www.facebook.com, www.linkedin.com, www.youtube.com, www.googletagmanager.com und cdn.jsdelivr.net geladenArt. 129 GEK + Kap. V DSGVO (US-Übermittlung)
Google Tag Manager auf jeder SeiteGTM lädt Google Analytics zur Laufzeit — das erklärt die GA-Cookies, widerspricht aber zugleich der Aussage „keine Daten außerhalb der EU“Art. 5(1)(a) DSGVO — Transparenz und Richtigkeit
Kein Content-Security-Policy-HeaderDer Server sendet kein CSPKeine Tiefenverteidigung
Drupal-Modul „EU Cookie Compliance“ als Cookie-Banner (keine zertifizierte CMP)Keine IAB-TCF-Integration; Schaltfläche „Einwilligung widerrufen“ im Markup als visually-hidden markiertDSB-Leitlinien 2023 nicht eingehalten
Drupal Form-API-Anti-CSRF (form_build_id + form_id)Vorhanden auf Suchformularen; Standard-Drupal-SchutzPositiv
HSTS vorhanden (2 Jahre, includeSubDomains)Starke HSTS-KonfigurationPositiv

4. Empfohlene Verteidigungsmittel

  • Hinweis auf den nachweisbaren Widerspruch zwischen Datenschutzerklärung und Cookie-Richtlinie — beeinträchtigt die Rechtmäßigkeit der Verarbeitung (Art. 6 DSGVO).
  • Art. 82 DSGVO (Schadenersatzanspruch) wegen unrechtmäßiger Nutzung von Tracking ohne gültige Einwilligung.
  • Beschwerde möglich bei der Datenschutzbehörde und der Vlaamse Toezichtcommissie (beide in der Erklärung selbst genannt).
Hinweis: Prüfung am 17. April 2026 auf den öffentlich zugänglichen Seiten /nl/privacy, /nl/home/cookieverklaring und /nl/home/gas-overtredingen. Datenschutzerklärung zuletzt am 5. Januar 2026 aktualisiert; die Cookieliste enthält jedoch seit 2023 eingestellte Tracker. Sie können die Ergebnisse selbst über die DevTools Ihres Browsers überprüfen.

Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:

Stadt Brüssel / Ville de Bruxelles Analyse verfügbar

Website: brussel.be — Einspruchsportal: brucity.cityenforcement.com — Verantwortlicher: Stadt Brüssel (KBO 0207.373.429), Hallenstraat 4, 1000 Brüssel — DSB: dpo@brucity.be.

Mitgliedsgemeinde: Stadt Brüssel. Einspruchsfrist: 10 Kalendertage ab Erhalt der Zahlungsaufforderung. Der Einspruch entbindet nicht von der Zahlungspflicht; Nichtzahlung führt zu +15 EUR Verwaltungskosten.

1. Festgestellte DSGVO- und ePrivacy-Verstöße

Prüfung am 17. April 2026 der Seiten brussel.be/parkeren-bezwaar-tegen-retributie, brussel.be/wettelijke-vermeldingen und des Portals brucity.cityenforcement.com.

FeststellungRechtsgrundlageRisiko
„Anonymitäts“-Behauptung am Formular, obwohl Kennzeichen + Protokollnummer erhoben werdenArt. 4(1), 12 & 13 DSGVO — DSB-Entscheidung 56/2026Irreführende Information
Datenschutzerklärung (Fassung vom 18. Juni 2026) ohne spezifische Angaben zur ParkraumüberwachungArt. 5(2), 12 & 13 DSGVOVeraltete Transparenz
Seite /cookiebeleid liefert HTTP 404Art. 129 GEKInformationspflicht verletzt
Social-Embeds (Facebook, Instagram, YouTube, TikTok, LinkedIn, Bluesky, Spotify) auf der öffentlichen SeiteArt. 129 GEKTracking vor Einwilligung
Kein Strict-Transport-Security, Content-Security-Policy, Referrer-Policy oder Permissions-Policy auf brussel.beArt. 32 DSGVOKeine Tiefenverteidigung
Die CSP des Portals erlaubt Microsoft-Azure-Application-Insights-Telemetriedc.services.visualstudio.com — Übermittlung an US-AuftragsverarbeiterKap. V DSGVO, nicht offengelegt
Externer Auftragsverarbeiter cityenforcement; Vertrag nicht öffentlichArt. 28(3) DSGVO — DSB 29. Sept. 2023Rückwirkende Verträge ungültig
Kein DPIA für ANPR / Scan-Fahrzeuge veröffentlichtArt. 35 DSGVO — DSB 129/2023, 56/2026Hochrisiko-Verarbeitung ohne Bewertung
Das Portal verfügt hingegen über starke Sicherheits-Header (CSP, HSTS preload, Referrer-Policy, Permissions-Policy)Art. 32 DSGVOPositiv

2. Verletzte DSGVO-Artikel (Zusammenfassung)

Artikel 12 & 13 DSGVO — Transparenz und Informationspflicht

Indem das Formular als „anonym“ bezeichnet wird, während Kennzeichen und Protokollnummer erhoben werden, wird die betroffene Person in die Irre geführt. Ein Kennzeichen ist ein personenbezogenes Datum (Art. 4(1) DSGVO).

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Verkehrsbefugnisse genügen nach der DSB-Entscheidung 56/2026 nicht als Rechtsgrundlage für die Übermittlung von Kennzeichen oder den Einsatz von ANPR ohne spezifische Rechtsgrundlage und DPIA.

Artikel 28(3) DSGVO — Auftragsverarbeitung

Die DSB (29. Sept. 2023) hat rückwirkende Auftragsverarbeitungsverträge für ungültig erklärt. Der Vertrag mit cityenforcement muss vor der Verarbeitung bestehen und öffentlich sein.

Artikel 32 DSGVO / Art. 129 GEK — Sicherheit und Cookies

Das Fehlen von HSTS/CSP/Referrer-Policy/Permissions-Policy auf brussel.be, kombiniert mit einer 404-Cookie-Seite und Social-Trackern, die vor der Einwilligung geladen werden, bildet eine strukturelle Verletzung.

3. Online-Formulare — Sicherheit

FeststellungDetailRisiko
Das Portal nutzt HSTS + preloadmax-age=31536000; includeSubDomains; preloadPositiv
Das Portal hat eine strikte CSP (default-src 'none') mit form-action beschränkt auf self + Worldline-ZahlungGute Tiefenverteidigung; Zahlung über payment-webinit.sips-services.comPositiv
Das Portal ist eine SPAFormular clientseitig gerendert; Audit erfordert Laufzeit-DevToolsInformativ
Microsoft-Azure-Telemetrie von der Portal-CSP erlaubtdc.services.visualstudio.com — Übermittlung an MicrosoftKap. V DSGVO
brussel.be ohne HSTS/CSP/Referrer-Policy/Permissions-PolicySession-Cookie cookiesession1 ohne dokumentierte Secure- oder SameSite-AttributeArt. 32 DSGVO

4. Empfohlene Verteidigungsmittel

  • Hinweis auf den tatsächlichen Widerspruch zwischen Anonymitätsbehauptung und Erhebung von Kennzeichen + PV-Nr.
  • Berufung auf die DSB-Entscheidungen 56/2026 und 129/2023.
  • Vorlage der DPIA für ANPR/Scan-Fahrzeuge und eines gültigen Auftragsverarbeitungsvertrags mit cityenforcement verlangen.
  • Beschwerde bei der Datenschutzbehörde (Drukpersstraat 35, 1000 Brüssel) möglich.
Hinweis: Prüfung am 17. April 2026. Die angefochtene Maßnahme ist eine Parkretribution (keine GAS-Geldbuße, keine Strafgeldbuße). Retributionen fallen vollständig unter die DSGVO und können sich nicht auf die Ausnahmen der Richtlinie 2016/680 (Strafverfolgung) berufen.

Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:

Province de Hainaut Analyse verfügbar

Verantwortlicher: Province de Hainaut — Bureau provincial des Amendes Administratives — Avenue Général de Gaulle 102, 7000 Mons — Website: www.hainaut.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Hainaut durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.hainaut.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS vorhanden, aber max-age=15552000 < 1 Jahr — unter der empfohlenen DauerArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Nur partielle Content-Security-Policy (nur frame-ancestors, report-uri)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
tarteaucitron als CMP — positiv, europäische AlternativeArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Province de Liège Analyse verfügbar

Verantwortlicher: Province de Liège — Fonctionnaires sanctionnateurs provinciaux — Rue Ernest Solvay 11, 4000 Liège — Website: www.provincedeliege.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Liège durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.provincedeliege.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Facebook, YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
tarteaucitron als CMP — positiv, europäische AlternativeArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Province de Namur Analyse verfügbar

Verantwortlicher: Province de Namur — Bureau des amendes administratives — Rue Henri Blès 190C, 5000 Namur — Website: www.province.namur.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Namur durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.province.namur.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS vorhanden, aber max-age=16000000 < 1 Jahr — unter der empfohlenen DauerArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Province de Luxembourg Analyse verfügbar

Verantwortlicher: Province de Luxembourg — Service des amendes administratives — Place Léopold 1, 6700 Arlon — Website: www.province.luxembourg.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Luxembourg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.province.luxembourg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS 2 Jahre + includeSubDomains + preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
tarteaucitron als CMP — positiv, europäische AlternativeArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Province du Brabant wallon Analyse verfügbar

Verantwortlicher: Province du Brabant wallon — Fonctionnaire sanctionnateur — Place du Brabant wallon 1, 1300 Wavre — Website: www.brabantwallon.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province du Brabant wallon durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.brabantwallon.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Mechelen Analyse verfügbar

Verantwortlicher: Stad Mechelen — Grote Markt 21, 2800 Mechelen — Website: www.mechelen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Mechelen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.mechelen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Server-Banner mit Versionsangabe (Unit/1.33.0)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville d'Arlon Analyse verfügbar

Verantwortlicher: Ville d'Arlon — Rue Paul Reuter 8, 6700 Arlon — Website: www.arlon.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville d'Arlon durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.arlon.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node Analyse verfügbar

Verantwortlicher: Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node — Avenue de l'Astronomie 13, 1210 Saint-Josse-ten-Noode — Website: www.sjtn.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.sjtn.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Provincie Vlaams-Brabant Analyse verfügbar

Verantwortlicher: Provincie Vlaams-Brabant — Provincieplein 1, 3010 Leuven — Website: www.vlaamsbrabant.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Vlaams-Brabant durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.vlaamsbrabant.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS vorhanden, aber max-age=16070400 < 1 Jahr — unter der empfohlenen DauerArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Content-Security-Policy vorhanden, aber weit gefasst (default-src erlaubt https:, Wildcards oder 'unsafe-inline')Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: same-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Provincie Oost-Vlaanderen Analyse verfügbar

Verantwortlicher: Provincie Oost-Vlaanderen — Gouvernementstraat 1, 9000 Gent — Website: oost-vlaanderen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Oost-Vlaanderen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf oost-vlaanderen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Provincie Limburg Analyse verfügbar

Verantwortlicher: Provincie Limburg — Universiteitslaan 1, 3500 Hasselt — Website: www.limburg.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Limburg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.limburg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Nur partielle Content-Security-Policy (nur report-uri)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Verwendet Piwik PRO (EU-gehostete Analytics) statt Google AnalyticsArt. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Ieper Analyse verfügbar

Verantwortlicher: Stad Ieper (KBO 0207.518.630) — Grote Markt 34, 8900 Ieper — Website: www.ieper.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Ieper durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.ieper.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Eeklo Analyse verfügbar

Verantwortlicher: Stad Eeklo (KBO 0207.461.616) — Industrielaan 2, 9900 Eeklo — Website: www.eeklo.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Eeklo durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.eeklo.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Halle Analyse verfügbar

Verantwortlicher: Stad Halle (KBO 0207.528.640) — Oudstrijdersplein 18, 1500 Halle — Website: www.halle.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Halle durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.halle.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS 2 Jahre + includeSubDomains + preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Nur partielle Content-Security-Policy (nur upgrade-insecure-requests, frame-ancestors, script-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Hotjar Session-Recording/Heatmaps vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Verwendung von CookieScript als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Tienen Analyse verfügbar

Verantwortlicher: Stad Tienen (KBO 0207.537.929) — Grote Markt 27, 3300 Tienen — Website: www.tienen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Tienen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.tienen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS 2 Jahre + includeSubDomains + preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Dinant Analyse verfügbar

Verantwortlicher: Ville de Dinant (BCE 0207.360.125) — Rue Grande 112, 5500 Dinant — Website: www.dinant.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Dinant durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.dinant.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS 2 Jahre + includeSubDomains + preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Wavre Analyse verfügbar

Verantwortlicher: Ville de Wavre (BCE 0207.381.392) — Place de l'Hôtel de Ville, 1300 Wavre — Website: www.wavre.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Wavre durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.wavre.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Huy Analyse verfügbar

Verantwortlicher: Ville de Huy (BCE 0207.348.088) — Grand-Place 1, 4500 Huy — Website: www.huy.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Huy durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.huy.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville d'Ath Analyse verfügbar

Verantwortlicher: Ville d'Ath (BCE 0207.362.500) — Rue de Pintamont 54, 7800 Ath — Website: www.ath.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville d'Ath durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.ath.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Waterloo Analyse verfügbar

Verantwortlicher: Commune de Waterloo (BCE 0216.694.712) — Rue François Libert 28, 1410 Waterloo — Website: www.waterloo.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Waterloo durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.waterloo.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Deinze Analyse verfügbar

Verantwortlicher: Stad Deinze (KBO 0207.489.352) — Brielstraat 2, 9800 Deinze — Website: www.deinze.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Deinze durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.deinze.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Content-Security-Policy vorhanden, aber weit gefasst (default-src erlaubt https:, Wildcards oder 'unsafe-inline')Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Ixelles / Gemeente Elsene Analyse verfügbar

Verantwortlicher: Commune d'Ixelles (BCE 0207.387.826) — Chaussée d'Ixelles 168, 1050 Ixelles — Website: www.ixelles.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Ixelles / Gemeente Elsene durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.ixelles.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Nur partielle Content-Security-Policy (nur frame-ancestors)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Uccle / Gemeente Ukkel Analyse verfügbar

Verantwortlicher: Commune d'Uccle (BCE 0207.393.074) — Place Jean Vander Elst 29, 1180 Uccle — Website: www.uccle.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Uccle / Gemeente Ukkel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.uccle.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Server-Banner mit Versionsangabe (Apache/2.4.58 (Ubuntu))Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Forest / Gemeente Vorst Analyse verfügbar

Verantwortlicher: Commune de Forest (BCE 0207.387.529) — Rue du Curé 2, 1190 Forest — Website: www.forest.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Forest / Gemeente Vorst durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.forest.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Jette / Gemeente Jette Analyse verfügbar

Verantwortlicher: Commune de Jette (BCE 0207.389.804) — Chaussée de Wemmel 100, 1090 Jette — Website: jette.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Jette / Gemeente Jette durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf jette.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Verwendung von Klaro als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Koekelberg / Gemeente Koekelberg Analyse verfügbar

Verantwortlicher: Commune de Koekelberg (BCE 0207.387.727) — Place Henri Vanhuffel 6, 1081 Koekelberg — Website: www.koekelberg.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Koekelberg / Gemeente Koekelberg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.koekelberg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Server-Banner mit Versionsangabe (Microsoft-IIS/10.0)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Google reCAPTCHA vorhanden (US-Auftragsverarbeiter, nicht dokumentiert)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem Analyse verfügbar

Verantwortlicher: Commune de Berchem-Sainte-Agathe (BCE 0207.386.240) — Avenue du Roi Albert 33, 1082 Berchem-Sainte-Agathe — Website: www.1082.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.1082.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Server-Banner mit Versionsangabe (Apache/2.4.62 (Win64) OpenSSL/3.1.7 PHP/8.3.14 mod_fcgid/2.3)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Facebook-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Verwendung von CookieYes als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde Analyse verfügbar

Verantwortlicher: Commune de Watermael-Boitsfort (BCE 0207.393.470) — Place Antoine Gilson 1, 1170 Watermael-Boitsfort — Website: www.watermael-boitsfort.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.watermael-boitsfort.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Evere / Gemeente Evere Analyse verfügbar

Verantwortlicher: Commune d'Evere (BCE 0207.384.064) — Square Hoedemaekers 10, 1140 Evere — Website: www.evere.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Evere / Gemeente Evere durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.evere.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Ganshoren / Gemeente Ganshoren Analyse verfügbar

Verantwortlicher: Commune de Ganshoren (BCE 0207.387.826) — Avenue Charles-Quint 140, 1083 Ganshoren — Website: www.ganshoren.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Ganshoren / Gemeente Ganshoren durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.ganshoren.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Maps (maps.googleapis.com) — US-AuftragsverarbeiterHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Auderghem / Gemeente Oudergem Analyse verfügbar

Verantwortlicher: Commune d'Auderghem (BCE 0207.386.438) — Rue Emile Idiers 12, 1160 Auderghem — Website: www.auderghem.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Auderghem / Gemeente Oudergem durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.auderghem.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe Analyse verfügbar

Verantwortlicher: Commune de Woluwe-Saint-Lambert (BCE 0207.397.034) — Avenue Paul Hymans 2, 1200 Woluwe-Saint-Lambert — Website: www.woluwe1200.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.woluwe1200.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe Analyse verfügbar

Verantwortlicher: Commune de Woluwe-Saint-Pierre (BCE 0207.395.153) — Avenue Charles Thielemans 93, 1150 Woluwe-Saint-Pierre — Website: www.woluwe1150.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.woluwe1150.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Nur partielle Content-Security-Policy (nur frame-ancestors)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Facebook-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß
Google reCAPTCHA vorhanden (US-Auftragsverarbeiter, nicht dokumentiert)Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Anderlecht / Gemeente Anderlecht Analyse verfügbar

Verantwortlicher: Commune d'Anderlecht (BCE 0207.393.470) — Place du Conseil 1, 1070 Anderlecht — Website: www.anderlecht.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Anderlecht / Gemeente Anderlecht durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.anderlecht.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Facebook-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Schaerbeek / Gemeente Schaarbeek Analyse verfügbar

Verantwortlicher: Commune de Schaerbeek (BCE 0207.377.988) — Place Colignon, 1030 Schaerbeek — Website: www.1030.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Schaerbeek / Gemeente Schaarbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.1030.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek Analyse verfügbar

Verantwortlicher: Commune de Molenbeek-Saint-Jean (BCE 0207.391.193) — Rue du Comte de Flandre 20, 1080 Molenbeek-Saint-Jean — Website: www.molenbeek.irisnet.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.molenbeek.irisnet.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Commune d'Etterbeek Analyse verfügbar

Verantwortlicher: Commune d'Etterbeek (BCE 0207.383.274) — Avenue d'Auderghem 113-117, 1040 Etterbeek — Website: etterbeek.brussels.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Etterbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf etterbeek.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Turnhout Analyse verfügbar

Verantwortlicher: Stad Turnhout (KBO 0207.537.434) — Campus Blairon 200, 2300 Turnhout — Website: www.turnhout.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Turnhout durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.turnhout.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=63072000 (2 Jahre) + includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Verwendung von Klaro als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Beringen Analyse verfügbar

Verantwortlicher: Stad Beringen (KBO 0207.525.461) — Mijnschoolstraat 88, 3580 Beringen — Website: www.beringen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Beringen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.beringen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Lommel Analyse verfügbar

Verantwortlicher: Stad Lommel (KBO 0207.519.026) — Hertog Janplein 1, 3920 Lommel — Website: www.lommel.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Lommel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.lommel.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Geel Analyse verfügbar

Verantwortlicher: Stad Geel (KBO 0207.524.966) — Werft 20, 2440 Geel — Website: www.geel.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Geel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.geel.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Content-Security-Policy vorhanden, aber weit gefasst (default-src erlaubt https:, Wildcards oder 'unsafe-inline')Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Mouscron Analyse verfügbar

Verantwortlicher: Ville de Mouscron (BCE 0207.356.899) — Grand-Place 1, 7700 Mouscron — Website: www.mouscron.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Mouscron durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.mouscron.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Kortrijk Analyse verfügbar

Verantwortlicher: Stad Kortrijk (KBO 0207.494.678) — Grote Markt 54, 8500 Kortrijk — Website: www.kortrijk.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Kortrijk durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.kortrijk.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Maps (maps.googleapis.com) — US-AuftragsverarbeiterHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Verwendung von Klaro als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Oostende Analyse verfügbar

Verantwortlicher: Stad Oostende (KBO 0207.473.295) — Vindictivelaan 1, 8400 Oostende — Website: www.oostende.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Oostende durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.oostende.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Sint-Niklaas Analyse verfügbar

Verantwortlicher: Stad Sint-Niklaas (KBO 0207.486.859) — Grote Markt 1, 9100 Sint-Niklaas — Website: www.sint-niklaas.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Sint-Niklaas durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.sint-niklaas.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendung von Cookiebot als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Aalst Analyse verfügbar

Verantwortlicher: Stad Aalst (KBO 0207.449.148) — Grote Markt 3, 9300 Aalst — Website: aalst.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Aalst durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf aalst.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Genk Analyse verfügbar

Verantwortlicher: Stad Genk (KBO 0207.522.491) — Stadsplein 1, 3600 Genk — Website: www.genk.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Genk durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.genk.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Nur partielle Content-Security-Policy (nur connect-src, frame-src, img-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Roeselare Analyse verfügbar

Verantwortlicher: Stad Roeselare (KBO 0207.490.219) — Botermarkt 2, 8800 Roeselare — Website: www.roeselare.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Roeselare durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.roeselare.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS vorhanden, aber max-age=15552000 < 1 Jahr — unter der empfohlenen DauerArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Verwendung von Klaro als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Tournai Analyse verfügbar

Verantwortlicher: Ville de Tournai (BCE 0207.352.297) — Rue Saint-Martin 52, 7500 Tournai — Website: www.tournai.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Tournai durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.tournai.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=63072000 ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de La Louvière Analyse verfügbar

Verantwortlicher: Ville de La Louvière (BCE 0207.382.086) — Place Communale 1, 7100 La Louvière — Website: www.lalouviere.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de La Louvière durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.lalouviere.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Seraing Analyse verfügbar

Verantwortlicher: Ville de Seraing (BCE 0207.335.221) — Place Communale 8, 4100 Seraing — Website: www.seraing.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Seraing durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.seraing.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
tarteaucitron als CMP — positiv, europäische AlternativeArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Verviers Analyse verfügbar

Verantwortlicher: Ville de Verviers (BCE 0207.356.048) — Place du Marché 55, 4800 Verviers — Website: www.verviers.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Verviers durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.verviers.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Liège Analyse verfügbar

Verantwortlicher: Ville de Liège (BCE 0207.343.238) — Place du Marché 2, 4000 Liège — Website: www.liege.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Liège durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.liege.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Namur Analyse verfügbar

Verantwortlicher: Ville de Namur (BCE 0207.341.854) — Hôtel de Ville, 5000 Namur — Website: www.namur.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Namur durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.namur.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
YouTube-Embeds vorhandenArt. 129 WEC / LCE / GEK / ECAVerstoß

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Mons Analyse verfügbar

Verantwortlicher: Ville de Mons (BCE 0207.272.119) — Grand-Place 22, 7000 Mons — Website: www.mons.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Mons durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.mons.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit includeSubDomains (1 Jahr) — solide BasisArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Ville de Charleroi Analyse verfügbar

Verantwortlicher: Ville de Charleroi (BCE 0207.362.105) — Place Charles II 14-15, 6000 Charleroi — Website: www.charleroi.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Charleroi durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.charleroi.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Schwache Referrer-Policy: no-referrer-when-downgradeArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein X-Content-Type-Options: nosniffArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Server-Banner mit Versionsangabe (Apache/2.4.68 (Debian))Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Antwerpen Analyse verfügbar

Verantwortlicher: Stad Antwerpen (KBO 0207.500.123) — Dienst Mobiliteit & Parkeren — Grote Markt 1, 2000 Antwerpen — Website: www.antwerpen.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Antwerpen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.antwerpen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS vorhanden, aber max-age=15552000 < 1 Jahr — unter der empfohlenen DauerArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Die Content-Security-Policy enthält eine ungültige Direktive (undefined)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Korrekte Referrer-Policy: no-referrerArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Gent Analyse verfügbar

Verantwortlicher: Stad Gent (KBO 0207.451.227) — Botermarkt 1, 9000 Gent — Website: stad.gent.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Gent durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf stad.gent durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS 2 Jahre + includeSubDomains + preload — starke KonfigurationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Strenge Content-Security-Policy (default-src 'self')Art. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Permissions-Policy-Header vorhanden — beschränkt Sensoren/GeolocationArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung)Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. VVerstoß
Verwendung von CookieYes als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Brugge Analyse verfügbar

Verantwortlicher: Stad Brugge (KBO 0207.528.035) — Burg 12, 8000 Brugge — Website: www.brugge.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Brugge durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.brugge.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
HSTS mit max-age=31557600 ohne includeSubDomainsArt. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Korrekte Referrer-Policy: strict-origin-when-cross-originArt. 32 AVG / RGPD / DSGVO / GDPR✓ Konform
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Verwendet Matomo (datenschutzfreundlicher als Google Analytics)Art. 5(1)(c) AVG / GDPR / DSGVO✓ Konform
Verwendung von CookieScript als CMP — positivArt. 129 WEC / LCE / GEK / ECA✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Leuven Analyse verfügbar

Verantwortlicher: Stad Leuven (KBO 0207.475.077) — Professor Van Overstraetenplein 1, 3000 Leuven — Website: www.leuven.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Leuven durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.leuven.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Content-Security-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.

Stad Hasselt Analyse verfügbar

Verantwortlicher: Stad Hasselt (KBO 0207.476.069) — Groenplein 1, 3500 Hasselt — Website: www.hasselt.be.

Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Hasselt durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.hasselt.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.

1. Festgestellte Mängel

FeststellungRechtsgrundlageRisiko
Kein Strict-Transport-Security-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Nur partielle Content-Security-Policy (nur frame-ancestors, report-uri)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Kein Referrer-Policy-HeaderArt. 32 AVG / RGPD / DSGVO / GDPRVerstoß
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt)Art. 32 AVG / RGPD / DSGVO / GDPRInformativ
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne OffenlegungHfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPRVerstoß
Verwendet Piwik PRO (EU-gehostete Analytics) statt Google AnalyticsArt. 5(1)(c) AVG / GDPR / DSGVO✓ Konform

2. Rechtliche Würdigung

Artikel 5(1)(a) DSGVO — Transparenz

Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.

Artikel 6 DSGVO — Rechtsgrundlage

Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.

Kapitel V DSGVO — Übermittlungen

Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.

Artikel 32 DSGVO — Sicherheit

Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.

Artikel 129 GEK — ePrivacy

Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.

3. Empfohlene Verteidigungsmittel

  • die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
  • die festgestellten technischen Mängel zu Protokoll genommen werden;
  • hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
  • der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
  • ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Hinweis: Prüfung am 22. August 2026 der öffentlichen Startseite. Die angefochtene Sanktion ist eine Parkretribution oder GAS-Geldbuße, die vollständig unter die DSGVO fällt. Sie können die Feststellungen selbst über die DevTools Ihres Browsers überprüfen.
Geen juridisch advies — enkel redactionele bijstand
Over ons Impressum Algemene voorwaarden Privacybeleid Disclaimer Cookiebeleid Beveiliging
© 2026 PVResponse.be