GAS Rivierenland Analyse verfügbar
Website: gasrivierenland.be — Sitz: Grote Markt 21, 2800 Mechelen.
Mitgliedsgemeinden (15): Berlaar, Bonheiden, Boortmeerbeek, Bornem, Duffel, Heist-op-den-Berg, Herent, Kortenberg, Lier, Mechelen, Nijlen, Putte, Puurs-Sint-Amands, Sint-Katelijne-Waver, Willebroek.
1. Festgestellte DSGVO- und ePrivacy-Verstöße
Eine technische Prüfung von gasrivierenland.be und den verlinkten Datenschutz- und Cookie-Seiten zeigt mehrere Verstöße gegen die DSGVO, das belgische Gesetz vom 30. Juli 2018 und das Gesetz über elektronische Kommunikation (Art. 129 GEK).
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Kein Cookie-Banner beim Erstbesuch | Art. 129 GEK — vorherige Einwilligung erforderlich | ePrivacy-Verstoß |
YouTube-Tracking-Cookies (YSC, PREF 10 Jahre, VISITOR_INFO1_LIVE 240 Tage) ohne Einwilligung | Art. 129 GEK + Art. 6 DSGVO | Persistentes Drittanbieter-Tracking |
| „Cookies über Browsereinstellungen ablehnen“ als Einwilligungsmechanismus | DSB-Leitlinien 2023 — ungültig | Ungültiges Einwilligungsmodell |
| Datenschutzerklärung zuletzt 30.12.2019 aktualisiert | Art. 5(2) DSGVO — Rechenschaftspflicht | Veraltete Dokumentation |
| Keine DSB-Kontaktdaten veröffentlicht | Art. 37 & 38 DSGVO — für Behörden zwingend | Formale Nichteinhaltung |
| Defekter interner Datenschutz-Link (/jouw-privacy → HTTP 410) | Art. 12 DSGVO — Transparenz | Informationspflicht verletzt |
| Formular erfasst Nationalregisternummer ohne Hinweis bei der Erhebung | Art. 13 DSGVO + Gesetz vom 8.8.1983 | Hochrisiko-Verarbeitung |
| Kein Hinweis auf Beschwerderecht bei der DSB | Art. 13(2)(d) DSGVO | Betroffene nicht informiert |
| Keine Aufbewahrungsfristen angegeben | Art. 13(2)(a) DSGVO | Unbegrenzte Speicherung möglich |
| Keine Information zu internationalen Übermittlungen | Art. 13(1)(f) + Kap. V DSGVO | Unvollständige Transparenz |
| Keine spezifische Regelung für Minderjährige | Art. 8 DSGVO | Besonderer Schutz fehlt |
2. Verletzte DSGVO-Artikel (Zusammenfassung)
Artikel 5(1)(a) — Transparenz
Die Datenschutzerklärung von 2019 deckt die aktuellen Verarbeitungen nicht ab.
Artikel 13 — Informationspflicht
Zum Zeitpunkt der Erhebung (Formulare „anderer Fahrer“, Einspruch usw.) wird keine spezifische Datenschutzmitteilung angezeigt.
Artikel 37 & 38 — DSB
Als öffentliche Stelle muss GAS Rivierenland einen DSB benennen und dessen Kontaktdaten veröffentlichen.
Artikel 129 GEK / ePrivacy — Cookies
Nicht wesentliche Cookies werden ohne vorherige, informierte, granulare Einwilligung gesetzt. Keine Ablehnungsschaltfläche, keine Kategorien.
3. Online-Formulare — Sicherheit
Ergebnisse einer technischen Prüfung des Einspruchsformulars /snelheidsboete/andere-bestuurder und der Startseite (April 2026).
| Feststellung | Detail | Risiko |
|---|---|---|
| Kein CSRF-Token im POST-Einspruchsformular | Vorhandene versteckte Felder (pageNumber, __formName, MAX_FILE_SIZE, g-recaptcha-response, ...) enthalten kein Anti-CSRF-Token | Cross-Site Request Forgery möglich |
| Google reCAPTCHA im Formular | Feld g-recaptcha-response + Laden von www.google.com/recaptcha; Übermittlung an Google US | In der Datenschutzerklärung nicht erwähnt — Art. 13 + Kap. V DSGVO |
| Mehrere US-CDNs auf der Formularseite | fonts.googleapis.com, fonts.gstatic.com, cdnjs.cloudflare.com, maxcdn.bootstrapcdn.com, cdn.tiny.cloud | Internationale Übermittlung (US) ohne Offenlegung |
| Kein Content-Security-Policy-Header | Der Server sendet kein CSP | Keine Tiefenverteidigung gegen XSS / Injection |
Nationalregisternummer als <input type="text"> | Ohne autocomplete="off" für dieses sensible Feld | Browser-Caching; Art. 32 DSGVO |
| HSTS vorhanden (1 Jahr, includeSubDomains) | Positiv; kein preload, aber solide Basis | OK |
4. Empfohlene Verteidigungsmittel
- Berufung auf Art. 82 DSGVO (Schadenersatzanspruch) bei Verwendung unrechtmäßig verarbeiteter Daten.
- Hinweis, dass der Verantwortliche seine eigene Informationspflicht nicht erfüllt — dies beeinträchtigt die Rechtmäßigkeit der Verarbeitung.
- Beschwerde bei der Datenschutzbehörde (www.datenschutzbehoerde.be) möglich.
Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:
Deutschsprachige Gemeinschaft (DG) — 9 Gemeinden Analyse verfügbar
Mitglieder (9): Amel, Büllingen, Burg-Reuland, Bütgenbach, Eupen, Kelmis, Lontzen, Raeren, Sankt Vith. Alle in der Provinz Lüttich.
Wer bearbeitet GAS-Bußgelder in den DG-Gemeinden?
Die DG als Institution erlässt keine GAS-Bußgelder. Für ihre 9 Gemeinden wird die GAS-Sanktion durch die Gemeinde selbst oder durch den provinzialen Sanktionsbeamten von Lüttich behandelt. Die Analyse der Provinz Lüttich gilt daher mit.
Besondere Sprach- und Verfahrensgarantien
| Recht | Rechtsgrundlage | Anwendung |
|---|---|---|
| Verfahren in Deutsch | Art. 4 und 30 Verfassung + Sprachengesetz Verwaltungssachen 1966 | Einspruch in deutscher Sprache zulässig; Entscheidung ist auf Deutsch zu erteilen. |
| Deutschsprachige Übersetzung bei der Gerichtsschreiberei | Art. 22 Sprachengesetz Gerichtssachen | Das Polizeigericht Eupen tagt auf Deutsch. |
| Kostenloser Dolmetscher | Art. 6 EMRK + Sprachengesetz 1935 | Falls die feststellende Behörde kein Deutsch liefern kann. |
Empfohlene Einspruchsargumente
- Fordern, dass alle Zustellungen, Protokolle und Entscheidungen auf Deutsch vorliegen. Zustellungen auf Französisch oder Niederländisch an DG-Einwohner können nichtig sein.
- Berufung am Polizeigericht Eupen (nicht Verviers oder Lüttich), das auf Deutsch verhandelt.
PDF-Anhang:
WVI (Westflämische Interkommunale) Analyse verfügbar
Website: wvi.be — Sitz: Baron Ruzettelaan 35, 8310 Brügge.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Privacy- und Cookie-Policy auf /privacy-policy / /cookie-policy, aber ohne Datum | Art. 5(2) DSGVO | Nicht verifizierbar |
| Kein Cookie-Banner beim ersten Besuch (nur „Cookie settings“-Link) | Art. 129 ElKomm | Keine Vorab-Einwilligung |
| Kein DSB-Name veröffentlicht | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Social-Links im Footer ohne Vorab-Info | Art. 13 + 129 ElKomm | Drittanbieter-Tracker |
| Externe Entwicklung („Hannibal“); Auftragsverarbeiter nicht genannt | Art. 13(1)(e) + Art. 28 DSGVO | Transparenz + AVV |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
Verteidigungsmittel
- „Cookie settings“-Link reicht nicht — vorherige Einwilligung erforderlich.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
Brügge & Umland (GAS-Zone) Analyse verfügbar
Website: brugge.be — Sitz: Burg 12, 8000 Brügge.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| politiebrugge.be: Privacy & Cookie-Link ohne Datum | Art. 5(2) DSGVO | Nicht verifizierbar |
| Kein Cookie-Banner auf politiebrugge.be | Art. 129 ElKomm | ePrivacy-Verstoß |
| Kein DSB-Name veröffentlicht | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Zonenabdeckung nicht auf der Startseite | Art. 12 DSGVO | Transparenzmangel |
| Kein Cookie-Banner auf brugge.be | Art. 129 ElKomm | ePrivacy-Verstoß |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
Verteidigungsmittel
- Das Bußgeld stammt von der Stadt, die Feststellung läuft über die Polizeizone — beide Verantwortlichen müssen DSGVO-konform sein.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
IDELUX Analyse verfügbar
Website: idelux.be — Sitz: Drève de l’Arc-en-Ciel 98, 6700 Arlon.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Kein sichtbares granulares Cookie-Banner | Art. 129 ElKomm-Gesetz | ePrivacy-Verstoß |
| Kein Datum der letzten Aktualisierung | Art. 5(2) DSGVO | Nicht verifizierbar |
| Kein DSB-Name; nur idelux@idelux.be | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Social-Links (FB, LinkedIn, Instagram, Twitter, YouTube) ohne Vorab-Info | Art. 13 + 129 ElKomm | Tracker beim Klick |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
| Keine Regelung für Minderjährige | Art. 8 DSGVO | Besonderer Schutz fehlt |
Verteidigungsmittel
- Fehlen eines gültigen Cookie-Banners.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang herunterladen:
INASEP Analyse verfügbar
Website: inasep.be — Sitz: Rue des Viaux 1b, 5100 Naninne.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Kein sichtbares Cookie-Banner | Art. 129 ElKomm | ePrivacy-Verstoß |
| Datenschutzerklärung ohne Datum | Art. 5(2) DSGVO | Nicht verifizierbar |
| Kein DSB-Name; nur info@inasep.be | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Website-Entwicklung durch Externe („Expansion“) — Auftragsverarbeiter nicht genannt | Art. 13(1)(e) + Art. 28 DSGVO | Transparenz + AVV |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
| Keine Regelung für Minderjährige | Art. 8 DSGVO | Besonderer Schutz fehlt |
Verteidigungsmittel
- Auslassung des Auftragsverarbeiters „Expansion“.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang herunterladen:
BEP Analyse verfügbar
Website: bep.be — Sitz: Avenue Sergent Vrithoff 2, 5000 Namur.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| „Charte de protection des données“ zuletzt am 26.11.2018 — über 7 Jahre alt | Art. 5(2) + Art. 24 DSGVO | Stark veraltete Dokumentation |
| Kein sichtbares Cookie-Banner | Art. 129 ElKomm | ePrivacy-Verstoß |
| Kein DSB-Name veröffentlicht | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Mitgliedsgemeinden nicht auf der Startseite | Art. 12 DSGVO | Transparenzmangel |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
Verteidigungsmittel
- BEP nutzt ein Dokument von 2018 — lange vor Schrems II (2020). Verstoß gegen Art. 5(2).
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
Intradel Analyse verfügbar
Website: intradel.be — Sitz: Port de Herstal, 4040 Herstal.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Charte vie privée + Cookie-Richtlinie vorhanden, aber ohne Datum | Art. 5(2) DSGVO | Nicht verifizierbar |
| Kein Cookie-Banner beim ersten Besuch | Art. 129 ElKomm | ePrivacy-Verstoß |
| Kein DSB-Name sichtbar | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| YouTube/Social-Embeds ohne Vorab-Einwilligung | Art. 129 ElKomm + Art. 6 DSGVO | Drittanbieter-Tracker |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
Verteidigungsmittel
- Dokumente existieren, tragen aber kein Datum.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
TIBI (Charleroi) Analyse verfügbar
Website: tibi.be — Sitz: Rue du Déversoir 1, 6010 Couillet.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Cookie-Banner nur mit „J’accepte“ — kein Ablehnen, keine Granularität | Art. 129 ElKomm + DSB-Leitlinien 2023 | Ungültige Einwilligung |
| Keine Cookie-Kategorien oder Zwecke | Art. 13 DSGVO + Art. 129 ElKomm | Einwilligung nicht informiert |
| Keine DSB-Kontaktdaten | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Kein Abschnitt Betroffenenrechte | Art. 13(2)(b)-(d) DSGVO | Betroffene nicht informiert |
| Kein Datum im Impressum | Art. 5(2) DSGVO | Nicht verifizierbar |
Verteidigungsmittel
- Starkes Argument: TIBI nutzt einen Banner ohne Ablehnen-Option — die belgische DSB hat mehrere Entscheidungen (u. a. 81/2023) zu dieser Praxis veröffentlicht.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
IPALLE Analyse verfügbar
Website: ipalle.be — Sitz: Chemin de l’Eau Vive 1, 7503 Froyennes (Tournai).
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Vie privée + Impressum + Cookies vorhanden, ohne Datum | Art. 5(2) DSGVO | Nicht verifizierbar |
| Kein granulares Cookie-Banner sichtbar | Art. 129 ElKomm | ePrivacy-Verstoß |
| Kein DSB-Name veröffentlicht | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
| Keine Regelung für Minderjährige | Art. 8 DSGVO | Besonderer Schutz fehlt |
Verteidigungsmittel
- Dokumente ohne Datum.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
HYGEA (Mons-Borinage) Analyse verfügbar
Website: hygea.be — Sitz: Rue de la Biscuiterie 19, 7110 Houdeng-Goegnies.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| TLS-Zertifikatskette wird nicht validiert | Art. 32 DSGVO | Sicherheitsvorfall |
| Seiteninhalte nicht ohne Warnungs-Umgehung zugänglich | Art. 12 + 32 DSGVO | Transparenz + Sicherheit |
Verteidigungsmittel
- Starkes Argument: der TLS-Fehler ist objektiv überprüfbar und zeigt direkt einen Verstoß gegen Art. 32. Screenshot der Browser-Warnung beifügen.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
EcoWerf Analyse verfügbar
Website: ecowerf.be — Sitz: Aarschotsesteenweg 210, 3012 Wilsele (Leuven).
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Datenschutzerklärung auf /algemene-privacyverklaring vorhanden, aber ohne Datum | Art. 5(2) DSGVO | Nicht verifizierbar |
| Kein granulares Cookie-Banner sichtbar | Art. 129 ElKomm | ePrivacy-Verstoß |
| Paddle-CMS verwendet; Auftragsverarbeiter in Erklärung nicht genannt | Art. 13(1)(e) + Art. 28 DSGVO | Transparenz + AVV |
| Kein DSB-Name veröffentlicht | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
Verteidigungsmittel
- Paddle-CMS als Auftragsverarbeiter nicht erwähnt.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
Leiedal Analyse verfügbar
Website: leiedal.be — Sitz: President Kennedypark 10, 8500 Kortrijk.
DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Nutzungsbedingungen + Datenschutzerklärung + Cookie-Richtlinie vorhanden — ohne Datum | Art. 5(2) DSGVO | Nicht verifizierbar |
| Kein Cookie-Banner beim ersten Besuch (nur „Cookie-Einstellungen“-Link) | Art. 129 ElKomm | Keine Vorab-Einwilligung |
| Kein DSB-Name veröffentlicht | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Newsletter-Opt-in korrekt formuliert (positiv) | Art. 6(1)(a) DSGVO | OK |
| Kein Abschnitt internationale Übermittlungen | Art. 13(1)(f) + Kap. V | Schrems II |
Verteidigungsmittel
- Der „Cookie-Einstellungen“-Link genügt nicht — vorherige Einwilligung bleibt für nicht-essentielle Cookies Pflicht.
- Beschwerde bei der Datenschutzbehörde.
PDF-Anhang:
IGEAN milieu & veiligheid — intergemeentelijke GAS-dienst Analyse verfügbar
Verantwortlicher: IGEAN milieu & veiligheid — Doornaardstraat 60, 2160 Wommelgem — Website: www.igean.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der IGEAN milieu & veiligheid — intergemeentelijke GAS-dienst durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.igean.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=63072000 (2 Jahre) + includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
IGEMO Analyse verfügbar
Website: igemo.be — Sitz: Schoutetstraat 2, 2800 Mechelen. DSB: Sigrid Palmers — privacy@igemo.be.
1. Festgestellte DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Datenschutzerklärung zuletzt am 23.06.2020 — mehr als 5 Jahre | Art. 5(2) + Art. 24 DSGVO | Stark veraltete Dokumentation |
| „Analytische Daten werden für unbestimmte Zeit gespeichert“ | Art. 5(1)(e) DSGVO | Unbegrenzte Speicherung |
| Newsletter in MailChimp „für unbestimmte Zeit“ | Art. 5(1)(e) + Art. 44 DSGVO | Speicherbegrenzung + US-Transfer |
| MailChimp, Combell, Microsoft genannt, aber keine SCCs | Art. 46 + Schrems II | Transfer ohne Rechtsgrundlage |
| Kein Abschnitt zu internationalen Übermittlungen | Art. 13(1)(f) + Kapitel V | Transparenz unvollständig |
| Keine Regelung für Minderjährige | Art. 8 DSGVO | Besonderer Schutz fehlt |
| Kein granularer Cookie-Banner sichtbar | Art. 129 ElKomm-Gesetz | ePrivacy-Verstoß |
| Beschwerdeformular über Microsoft Forms ohne Transfer-Information | Art. 13 + Art. 46 | Transparenz + Schrems II |
2. Verletzte DSGVO-Artikel
Art. 5(1)(e) — Speicherbegrenzung
Zwei explizite Erwähnungen von „unbestimmter“ Speicherung verletzen dieses Prinzip.
Art. 5(2) — Rechenschaftspflicht
Eine seit 2020 nicht aktualisierte Erklärung ist nachweislich mangelhaft.
Art. 44-46 — Internationale Übermittlung (Schrems II)
MailChimp (US) und Microsoft (US) ohne dokumentierte SCCs.
Art. 129 ElKomm
Kein granularer Einwilligungsmechanismus sichtbar.
3. Empfohlene Einspruchsargumente
- IGEMO ist seit fünf Jahren in Verzug — das untergräbt die Glaubwürdigkeit.
- Schrems II (EuGH C-311/18) bei Microsoft/MailChimp ohne Zusatzmaßnahmen.
- Beschwerde bei der Datenschutzbehörde.
Laden Sie diese Analyse als PDF-Anhang herunter:
IOK (Kempen) Analyse verfügbar
Website: iok.be — Sitz: Antwerpseweg 1A bus 1, 2440 Geel. DSB-Kontakt: privacy@iok.be (über Welzijnszorg Kempen).
1. Festgestellte DSGVO- und ePrivacy-Verstöße
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| Kein Datum der letzten Aktualisierung | Art. 5(2) DSGVO | Nicht verifizierbar |
| DSB ausgelagert ohne Name einer natürlichen Person | Art. 37(7) DSGVO | Formale Nichteinhaltung |
| Aufbewahrungsfristen nur in nicht-öffentlichem Verzeichnis | Art. 13(2)(a) DSGVO | Informationspflicht verletzt |
| Kein Abschnitt zu internationalen Übermittlungen | Art. 13(1)(f) + Kapitel V | Transparenz unvollständig |
| Keine Regelung für Minderjährige | Art. 8 DSGVO | Besonderer Schutz fehlt |
| Kein granularer Cookie-Banner sichtbar | Art. 129 ElKomm-Gesetz | ePrivacy-Verstoß |
| Beschwerderecht bei DSB erwähnt | Art. 13(2)(d) DSGVO | OK |
2. Verletzte DSGVO-Artikel
Art. 13 — Information
Ein Verweis auf ein nicht-öffentliches Verzeichnis erfüllt die Informationspflicht nicht.
Art. 37(7) — DSB
Auslagerung zulässig, aber Name der konkreten Person muss öffentlich sein.
Art. 44-46 — Übermittlungen
Keine Schrems-II-Garantien erwähnt.
Art. 129 ElKomm
Kein granularer Einwilligungsmechanismus sichtbar.
3. Empfohlene Einspruchsargumente
- Verweis auf nicht-öffentliches Verzeichnis verletzt Art. 13(2)(a) DSGVO.
- Beschwerde bei der Datenschutzbehörde.
- Art. 82 DSGVO (Schadensersatz).
Laden Sie diese Analyse als PDF-Anhang herunter:
Haviland (Halle-Vilvoorde) Analyse verfügbar
Website: haviland.be — Verantwortlicher: Haviland Regiopartners, Poverstraat 75 bus 47, 1731 Asse — Kontakt Informationssicherheit: informatieveiligheid@haviland.be.
Mitgliedsgemeinden (23): Affligem, Asse, Beersel, Dilbeek, Grimbergen, Kampenhout, Kapelle-op-den-Bos, Lennik, Liedekerke, Londerzeel, Machelen, Meise, Merchtem, Opwijk, Pepingen, Roosdaal, Sint-Pieters-Leeuw, Steenokkerzeel, Ternat, Vilvoorde, Wemmel, Zaventem, Zemst. Nicht jede Gemeinde nimmt an jeder GAS-Kategorie teil.
1. Festgestellte DSGVO- und ePrivacy-Verstöße
Eine technische Prüfung von haviland.be am 17. April 2026 zeigt folgende Verstöße gegen die DSGVO, das belgische Gesetz vom 30. Juli 2018 und Artikel 129 des Gesetzes über elektronische Kommunikation.
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Dreifache Analytics-Stack: Google Analytics (_ga, _gat, _gid), Hotjar (_hjid) und Matomo (_pk_id, _pk_ses, ...) gleichzeitig aktiv | Art. 5(1)(c) DSGVO — Verhältnismäßigkeit & Minimierung | Übermäßige Verarbeitung |
| Direkter Widerspruch: Die Datenschutzerklärung besagt „keine Daten außerhalb der EU“, während Google Analytics und Hotjar in die USA übertragen | Art. 5(1)(a) DSGVO; Kap. V DSGVO | Falsche Erklärung / Transparenzverstoß |
AddThis-Cookies (__atuvc, __atuvs) im Cookie-Verzeichnis — AddThis wurde im Mai 2023 von Oracle eingestellt | Art. 5(2) DSGVO — Rechenschaftspflicht | Veraltete Dokumentation |
Universal-Analytics-Cookies (__utmb, __utmc, __utmz) gelistet, obwohl UA am 1. Juli 2023 eingestellt wurde | Art. 5(2) DSGVO | Nicht aktualisierte Dokumentation |
| Keine Aufbewahrungsfristen für irgendeinen Cookie | Art. 13(2)(a) DSGVO | Unbegrenzte Speicherung möglich |
Kein DSB-Name oder -Mail veröffentlicht (nur generische Adresse informatieveiligheid@) | Art. 37 & 38 DSGVO | Formale Nichteinhaltung (öffentliche Stelle) |
| Keine zertifizierte CMP; keine IAB-TCF-Integration | DSB-Leitlinien zu Cookies 2023 | Keine Einwilligungs-Nachweisbarkeit |
| Verweis auf „Browsereinstellungen“ zum Widerruf der Einwilligung | DSB-Leitlinie 2023 — nicht gültig | Ungültiger Widerruf |
| Keine Information zu internationalen Übermittlungen, trotz GA/Hotjar/YouTube (Übermittlung Google US) | Art. 13(1)(f) + Kap. V DSGVO | Unvollständige Transparenz |
| Keine konkreten Auftragsverarbeiter genannt (nur Kategorien „Hosting/Logistik/Sicherheit“) | Art. 13(1)(e) DSGVO | Fehlende Empfängerinformation |
2. Wichtigste Verstöße (Zusammenfassung)
Artikel 5(1)(a) — Transparenz und Richtigkeit
Die Datenschutzerklärung enthält eine faktisch falsche Aussage: „Haviland teilt keine personenbezogenen Daten mit Parteien außerhalb der EU“. Dies ist unvereinbar mit der Nutzung von Google Analytics, Hotjar und YouTube-Embeds.
Artikel 5(1)(c) — Datenminimierung
Die gleichzeitige Nutzung von drei Analyse-Systemen (GA + Hotjar + Matomo) übersteigt das erforderliche Minimum.
Artikel 129 GEK / ePrivacy — Cookies
Nicht wesentliche Cookies werden mit einem „Pop-up“ verknüpft, jedoch ohne granulare Kategorieschaltflächen, ohne gleichwertigen Ablehnen-Button und ohne dokumentierten Pre-Tick-Status.
Artikel 37 & 38 — DSB
Haviland ist eine Interkommunale (öffentliche Stelle) und muss einen DSB benennen und dessen Kontaktdaten veröffentlichen. Eine generische Adresse informatieveiligheid@haviland.be erfüllt Art. 37(7) DSGVO nicht.
3. Online-Formulare — Sicherheit
Ergebnisse einer technischen Prüfung von haviland.be/nl und haviland.be/nl/contact (April 2026). Hinweis: Das Kontaktformular wird wahrscheinlich clientseitig gerendert (Paddle CMS); nur der Seiten-Wrapper ist statisch inspizierbar.
| Feststellung | Detail | Risiko |
|---|---|---|
| Social- und Tracking-Embeds laden auf jeder Seite (inkl. Kontaktseite) | Vor jeder Einwilligung werden www.facebook.com, www.linkedin.com, www.youtube.com, www.googletagmanager.com und cdn.jsdelivr.net geladen | Art. 129 GEK + Kap. V DSGVO (US-Übermittlung) |
| Google Tag Manager auf jeder Seite | GTM lädt Google Analytics zur Laufzeit — das erklärt die GA-Cookies, widerspricht aber zugleich der Aussage „keine Daten außerhalb der EU“ | Art. 5(1)(a) DSGVO — Transparenz und Richtigkeit |
| Kein Content-Security-Policy-Header | Der Server sendet kein CSP | Keine Tiefenverteidigung |
| Drupal-Modul „EU Cookie Compliance“ als Cookie-Banner (keine zertifizierte CMP) | Keine IAB-TCF-Integration; Schaltfläche „Einwilligung widerrufen“ im Markup als visually-hidden markiert | DSB-Leitlinien 2023 nicht eingehalten |
Drupal Form-API-Anti-CSRF (form_build_id + form_id) | Vorhanden auf Suchformularen; Standard-Drupal-Schutz | Positiv |
| HSTS vorhanden (2 Jahre, includeSubDomains) | Starke HSTS-Konfiguration | Positiv |
4. Empfohlene Verteidigungsmittel
- Hinweis auf den nachweisbaren Widerspruch zwischen Datenschutzerklärung und Cookie-Richtlinie — beeinträchtigt die Rechtmäßigkeit der Verarbeitung (Art. 6 DSGVO).
- Art. 82 DSGVO (Schadenersatzanspruch) wegen unrechtmäßiger Nutzung von Tracking ohne gültige Einwilligung.
- Beschwerde möglich bei der Datenschutzbehörde und der Vlaamse Toezichtcommissie (beide in der Erklärung selbst genannt).
/nl/privacy, /nl/home/cookieverklaring und /nl/home/gas-overtredingen. Datenschutzerklärung zuletzt am 5. Januar 2026 aktualisiert; die Cookieliste enthält jedoch seit 2023 eingestellte Tracker. Sie können die Ergebnisse selbst über die DevTools Ihres Browsers überprüfen.
Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:
Stadt Brüssel / Ville de Bruxelles Analyse verfügbar
Website: brussel.be — Einspruchsportal: brucity.cityenforcement.com — Verantwortlicher: Stadt Brüssel (KBO 0207.373.429), Hallenstraat 4, 1000 Brüssel — DSB: dpo@brucity.be.
Mitgliedsgemeinde: Stadt Brüssel. Einspruchsfrist: 10 Kalendertage ab Erhalt der Zahlungsaufforderung. Der Einspruch entbindet nicht von der Zahlungspflicht; Nichtzahlung führt zu +15 EUR Verwaltungskosten.
1. Festgestellte DSGVO- und ePrivacy-Verstöße
Prüfung am 17. April 2026 der Seiten brussel.be/parkeren-bezwaar-tegen-retributie, brussel.be/wettelijke-vermeldingen und des Portals brucity.cityenforcement.com.
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
| „Anonymitäts“-Behauptung am Formular, obwohl Kennzeichen + Protokollnummer erhoben werden | Art. 4(1), 12 & 13 DSGVO — DSB-Entscheidung 56/2026 | Irreführende Information |
| Datenschutzerklärung (Fassung vom 18. Juni 2026) ohne spezifische Angaben zur Parkraumüberwachung | Art. 5(2), 12 & 13 DSGVO | Veraltete Transparenz |
Seite /cookiebeleid liefert HTTP 404 | Art. 129 GEK | Informationspflicht verletzt |
| Social-Embeds (Facebook, Instagram, YouTube, TikTok, LinkedIn, Bluesky, Spotify) auf der öffentlichen Seite | Art. 129 GEK | Tracking vor Einwilligung |
Kein Strict-Transport-Security, Content-Security-Policy, Referrer-Policy oder Permissions-Policy auf brussel.be | Art. 32 DSGVO | Keine Tiefenverteidigung |
| Die CSP des Portals erlaubt Microsoft-Azure-Application-Insights-Telemetrie | dc.services.visualstudio.com — Übermittlung an US-Auftragsverarbeiter | Kap. V DSGVO, nicht offengelegt |
| Externer Auftragsverarbeiter cityenforcement; Vertrag nicht öffentlich | Art. 28(3) DSGVO — DSB 29. Sept. 2023 | Rückwirkende Verträge ungültig |
| Kein DPIA für ANPR / Scan-Fahrzeuge veröffentlicht | Art. 35 DSGVO — DSB 129/2023, 56/2026 | Hochrisiko-Verarbeitung ohne Bewertung |
| Das Portal verfügt hingegen über starke Sicherheits-Header (CSP, HSTS preload, Referrer-Policy, Permissions-Policy) | Art. 32 DSGVO | Positiv |
2. Verletzte DSGVO-Artikel (Zusammenfassung)
Artikel 12 & 13 DSGVO — Transparenz und Informationspflicht
Indem das Formular als „anonym“ bezeichnet wird, während Kennzeichen und Protokollnummer erhoben werden, wird die betroffene Person in die Irre geführt. Ein Kennzeichen ist ein personenbezogenes Datum (Art. 4(1) DSGVO).
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Verkehrsbefugnisse genügen nach der DSB-Entscheidung 56/2026 nicht als Rechtsgrundlage für die Übermittlung von Kennzeichen oder den Einsatz von ANPR ohne spezifische Rechtsgrundlage und DPIA.
Artikel 28(3) DSGVO — Auftragsverarbeitung
Die DSB (29. Sept. 2023) hat rückwirkende Auftragsverarbeitungsverträge für ungültig erklärt. Der Vertrag mit cityenforcement muss vor der Verarbeitung bestehen und öffentlich sein.
Artikel 32 DSGVO / Art. 129 GEK — Sicherheit und Cookies
Das Fehlen von HSTS/CSP/Referrer-Policy/Permissions-Policy auf brussel.be, kombiniert mit einer 404-Cookie-Seite und Social-Trackern, die vor der Einwilligung geladen werden, bildet eine strukturelle Verletzung.
3. Online-Formulare — Sicherheit
| Feststellung | Detail | Risiko |
|---|---|---|
| Das Portal nutzt HSTS + preload | max-age=31536000; includeSubDomains; preload | Positiv |
Das Portal hat eine strikte CSP (default-src 'none') mit form-action beschränkt auf self + Worldline-Zahlung | Gute Tiefenverteidigung; Zahlung über payment-webinit.sips-services.com | Positiv |
| Das Portal ist eine SPA | Formular clientseitig gerendert; Audit erfordert Laufzeit-DevTools | Informativ |
| Microsoft-Azure-Telemetrie von der Portal-CSP erlaubt | dc.services.visualstudio.com — Übermittlung an Microsoft | Kap. V DSGVO |
| brussel.be ohne HSTS/CSP/Referrer-Policy/Permissions-Policy | Session-Cookie cookiesession1 ohne dokumentierte Secure- oder SameSite-Attribute | Art. 32 DSGVO |
4. Empfohlene Verteidigungsmittel
- Hinweis auf den tatsächlichen Widerspruch zwischen Anonymitätsbehauptung und Erhebung von Kennzeichen + PV-Nr.
- Berufung auf die DSB-Entscheidungen 56/2026 und 129/2023.
- Vorlage der DPIA für ANPR/Scan-Fahrzeuge und eines gültigen Auftragsverarbeitungsvertrags mit cityenforcement verlangen.
- Beschwerde bei der Datenschutzbehörde (Drukpersstraat 35, 1000 Brüssel) möglich.
Laden Sie diese Analyse als PDF-Anlage für Ihren Einspruch herunter:
Province de Hainaut Analyse verfügbar
Verantwortlicher: Province de Hainaut — Bureau provincial des Amendes Administratives — Avenue Général de Gaulle 102, 7000 Mons — Website: www.hainaut.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Hainaut durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.hainaut.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS vorhanden, aber max-age=15552000 < 1 Jahr — unter der empfohlenen Dauer | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Nur partielle Content-Security-Policy (nur frame-ancestors, report-uri) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
| tarteaucitron als CMP — positiv, europäische Alternative | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Province de Liège Analyse verfügbar
Verantwortlicher: Province de Liège — Fonctionnaires sanctionnateurs provinciaux — Rue Ernest Solvay 11, 4000 Liège — Website: www.provincedeliege.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Liège durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.provincedeliege.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Facebook, YouTube-Embeds vorhanden | Art. 129 WEC / LCE / GEK / ECA | Verstoß |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
| tarteaucitron als CMP — positiv, europäische Alternative | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Province de Namur Analyse verfügbar
Verantwortlicher: Province de Namur — Bureau des amendes administratives — Rue Henri Blès 190C, 5000 Namur — Website: www.province.namur.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Namur durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.province.namur.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS vorhanden, aber max-age=16000000 < 1 Jahr — unter der empfohlenen Dauer | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Province de Luxembourg Analyse verfügbar
Verantwortlicher: Province de Luxembourg — Service des amendes administratives — Place Léopold 1, 6700 Arlon — Website: www.province.luxembourg.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province de Luxembourg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.province.luxembourg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS 2 Jahre + includeSubDomains + preload — starke Konfiguration | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
| tarteaucitron als CMP — positiv, europäische Alternative | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Province du Brabant wallon Analyse verfügbar
Verantwortlicher: Province du Brabant wallon — Fonctionnaire sanctionnateur — Place du Brabant wallon 1, 1300 Wavre — Website: www.brabantwallon.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Province du Brabant wallon durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.brabantwallon.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Mechelen Analyse verfügbar
Verantwortlicher: Stad Mechelen — Grote Markt 21, 2800 Mechelen — Website: www.mechelen.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Mechelen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.mechelen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Server-Banner mit Versionsangabe (Unit/1.33.0) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville d'Arlon Analyse verfügbar
Verantwortlicher: Ville d'Arlon — Rue Paul Reuter 8, 6700 Arlon — Website: www.arlon.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville d'Arlon durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.arlon.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node Analyse verfügbar
Verantwortlicher: Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node — Avenue de l'Astronomie 13, 1210 Saint-Josse-ten-Noode — Website: www.sjtn.brussels.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Saint-Josse-ten-Noode / Gemeente Sint-Joost-ten-Node durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.sjtn.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Provincie Vlaams-Brabant Analyse verfügbar
Verantwortlicher: Provincie Vlaams-Brabant — Provincieplein 1, 3010 Leuven — Website: www.vlaamsbrabant.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Vlaams-Brabant durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.vlaamsbrabant.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS vorhanden, aber max-age=16070400 < 1 Jahr — unter der empfohlenen Dauer | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Content-Security-Policy vorhanden, aber weit gefasst (default-src erlaubt https:, Wildcards oder 'unsafe-inline') | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: same-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Provincie Oost-Vlaanderen Analyse verfügbar
Verantwortlicher: Provincie Oost-Vlaanderen — Gouvernementstraat 1, 9000 Gent — Website: oost-vlaanderen.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Oost-Vlaanderen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf oost-vlaanderen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Provincie Limburg Analyse verfügbar
Verantwortlicher: Provincie Limburg — Universiteitslaan 1, 3500 Hasselt — Website: www.limburg.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Provincie Limburg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.limburg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Nur partielle Content-Security-Policy (nur report-uri) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Schwache Referrer-Policy: no-referrer-when-downgrade | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Verwendet Piwik PRO (EU-gehostete Analytics) statt Google Analytics | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Ieper Analyse verfügbar
Verantwortlicher: Stad Ieper (KBO 0207.518.630) — Grote Markt 34, 8900 Ieper — Website: www.ieper.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Ieper durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.ieper.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Eeklo Analyse verfügbar
Verantwortlicher: Stad Eeklo (KBO 0207.461.616) — Industrielaan 2, 9900 Eeklo — Website: www.eeklo.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Eeklo durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.eeklo.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Halle Analyse verfügbar
Verantwortlicher: Stad Halle (KBO 0207.528.640) — Oudstrijdersplein 18, 1500 Halle — Website: www.halle.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Halle durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.halle.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS 2 Jahre + includeSubDomains + preload — starke Konfiguration | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Nur partielle Content-Security-Policy (nur upgrade-insecure-requests, frame-ancestors, script-src) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
| Hotjar Session-Recording/Heatmaps vorhanden | Art. 129 WEC / LCE / GEK / ECA | Verstoß |
| Verwendung von CookieScript als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Tienen Analyse verfügbar
Verantwortlicher: Stad Tienen (KBO 0207.537.929) — Grote Markt 27, 3300 Tienen — Website: www.tienen.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Tienen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.tienen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS 2 Jahre + includeSubDomains + preload — starke Konfiguration | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Dinant Analyse verfügbar
Verantwortlicher: Ville de Dinant (BCE 0207.360.125) — Rue Grande 112, 5500 Dinant — Website: www.dinant.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Dinant durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.dinant.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS 2 Jahre + includeSubDomains + preload — starke Konfiguration | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| YouTube-Embeds vorhanden | Art. 129 WEC / LCE / GEK / ECA | Verstoß |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Wavre Analyse verfügbar
Verantwortlicher: Ville de Wavre (BCE 0207.381.392) — Place de l'Hôtel de Ville, 1300 Wavre — Website: www.wavre.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Wavre durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.wavre.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Huy Analyse verfügbar
Verantwortlicher: Ville de Huy (BCE 0207.348.088) — Grand-Place 1, 4500 Huy — Website: www.huy.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Huy durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.huy.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville d'Ath Analyse verfügbar
Verantwortlicher: Ville d'Ath (BCE 0207.362.500) — Rue de Pintamont 54, 7800 Ath — Website: www.ath.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville d'Ath durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.ath.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Waterloo Analyse verfügbar
Verantwortlicher: Commune de Waterloo (BCE 0216.694.712) — Rue François Libert 28, 1410 Waterloo — Website: www.waterloo.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Waterloo durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.waterloo.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Deinze Analyse verfügbar
Verantwortlicher: Stad Deinze (KBO 0207.489.352) — Brielstraat 2, 9800 Deinze — Website: www.deinze.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Deinze durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.deinze.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Content-Security-Policy vorhanden, aber weit gefasst (default-src erlaubt https:, Wildcards oder 'unsafe-inline') | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune d'Ixelles / Gemeente Elsene Analyse verfügbar
Verantwortlicher: Commune d'Ixelles (BCE 0207.387.826) — Chaussée d'Ixelles 168, 1050 Ixelles — Website: www.ixelles.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Ixelles / Gemeente Elsene durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.ixelles.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Nur partielle Content-Security-Policy (nur frame-ancestors) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune d'Uccle / Gemeente Ukkel Analyse verfügbar
Verantwortlicher: Commune d'Uccle (BCE 0207.393.074) — Place Jean Vander Elst 29, 1180 Uccle — Website: www.uccle.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Uccle / Gemeente Ukkel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.uccle.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Server-Banner mit Versionsangabe (Apache/2.4.58 (Ubuntu)) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Forest / Gemeente Vorst Analyse verfügbar
Verantwortlicher: Commune de Forest (BCE 0207.387.529) — Rue du Curé 2, 1190 Forest — Website: www.forest.brussels.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Forest / Gemeente Vorst durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.forest.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Jette / Gemeente Jette Analyse verfügbar
Verantwortlicher: Commune de Jette (BCE 0207.389.804) — Chaussée de Wemmel 100, 1090 Jette — Website: jette.brussels.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Jette / Gemeente Jette durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf jette.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
| Verwendung von Klaro als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Koekelberg / Gemeente Koekelberg Analyse verfügbar
Verantwortlicher: Commune de Koekelberg (BCE 0207.387.727) — Place Henri Vanhuffel 6, 1081 Koekelberg — Website: www.koekelberg.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Koekelberg / Gemeente Koekelberg durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.koekelberg.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Server-Banner mit Versionsangabe (Microsoft-IIS/10.0) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| Google reCAPTCHA vorhanden (US-Auftragsverarbeiter, nicht dokumentiert) | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem Analyse verfügbar
Verantwortlicher: Commune de Berchem-Sainte-Agathe (BCE 0207.386.240) — Avenue du Roi Albert 33, 1082 Berchem-Sainte-Agathe — Website: www.1082.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Berchem-Sainte-Agathe / Gemeente Sint-Agatha-Berchem durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.1082.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Server-Banner mit Versionsangabe (Apache/2.4.62 (Win64) OpenSSL/3.1.7 PHP/8.3.14 mod_fcgid/2.3) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Facebook-Embeds vorhanden | Art. 129 WEC / LCE / GEK / ECA | Verstoß |
| Verwendung von CookieYes als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde Analyse verfügbar
Verantwortlicher: Commune de Watermael-Boitsfort (BCE 0207.393.470) — Place Antoine Gilson 1, 1170 Watermael-Boitsfort — Website: www.watermael-boitsfort.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Watermael-Boitsfort / Gemeente Watermaal-Bosvoorde durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.watermael-boitsfort.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune d'Evere / Gemeente Evere Analyse verfügbar
Verantwortlicher: Commune d'Evere (BCE 0207.384.064) — Square Hoedemaekers 10, 1140 Evere — Website: www.evere.brussels.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Evere / Gemeente Evere durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.evere.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Ganshoren / Gemeente Ganshoren Analyse verfügbar
Verantwortlicher: Commune de Ganshoren (BCE 0207.387.826) — Avenue Charles-Quint 140, 1083 Ganshoren — Website: www.ganshoren.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Ganshoren / Gemeente Ganshoren durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.ganshoren.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
Google Maps (maps.googleapis.com) — US-Auftragsverarbeiter | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune d'Auderghem / Gemeente Oudergem Analyse verfügbar
Verantwortlicher: Commune d'Auderghem (BCE 0207.386.438) — Rue Emile Idiers 12, 1160 Auderghem — Website: www.auderghem.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Auderghem / Gemeente Oudergem durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.auderghem.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe Analyse verfügbar
Verantwortlicher: Commune de Woluwe-Saint-Lambert (BCE 0207.397.034) — Avenue Paul Hymans 2, 1200 Woluwe-Saint-Lambert — Website: www.woluwe1200.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Woluwe-Saint-Lambert / Gemeente Sint-Lambrechts-Woluwe durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.woluwe1200.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe Analyse verfügbar
Verantwortlicher: Commune de Woluwe-Saint-Pierre (BCE 0207.395.153) — Avenue Charles Thielemans 93, 1150 Woluwe-Saint-Pierre — Website: www.woluwe1150.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Woluwe-Saint-Pierre / Gemeente Sint-Pieters-Woluwe durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.woluwe1150.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Nur partielle Content-Security-Policy (nur frame-ancestors) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Facebook-Embeds vorhanden | Art. 129 WEC / LCE / GEK / ECA | Verstoß |
| Google reCAPTCHA vorhanden (US-Auftragsverarbeiter, nicht dokumentiert) | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune d'Anderlecht / Gemeente Anderlecht Analyse verfügbar
Verantwortlicher: Commune d'Anderlecht (BCE 0207.393.470) — Place du Conseil 1, 1070 Anderlecht — Website: www.anderlecht.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Anderlecht / Gemeente Anderlecht durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.anderlecht.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
| Facebook-Embeds vorhanden | Art. 129 WEC / LCE / GEK / ECA | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Schaerbeek / Gemeente Schaarbeek Analyse verfügbar
Verantwortlicher: Commune de Schaerbeek (BCE 0207.377.988) — Place Colignon, 1030 Schaerbeek — Website: www.1030.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Schaerbeek / Gemeente Schaarbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.1030.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Strenge Content-Security-Policy (default-src 'self') | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek Analyse verfügbar
Verantwortlicher: Commune de Molenbeek-Saint-Jean (BCE 0207.391.193) — Rue du Comte de Flandre 20, 1080 Molenbeek-Saint-Jean — Website: www.molenbeek.irisnet.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune de Molenbeek-Saint-Jean / Gemeente Sint-Jans-Molenbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.molenbeek.irisnet.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Commune d'Etterbeek Analyse verfügbar
Verantwortlicher: Commune d'Etterbeek (BCE 0207.383.274) — Avenue d'Auderghem 113-117, 1040 Etterbeek — Website: etterbeek.brussels.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Commune d'Etterbeek durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf etterbeek.brussels durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Turnhout Analyse verfügbar
Verantwortlicher: Stad Turnhout (KBO 0207.537.434) — Campus Blairon 200, 2300 Turnhout — Website: www.turnhout.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Turnhout durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.turnhout.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=63072000 (2 Jahre) + includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Strenge Content-Security-Policy (default-src 'self') | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
| Verwendung von Klaro als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Beringen Analyse verfügbar
Verantwortlicher: Stad Beringen (KBO 0207.525.461) — Mijnschoolstraat 88, 3580 Beringen — Website: www.beringen.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Beringen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.beringen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Lommel Analyse verfügbar
Verantwortlicher: Stad Lommel (KBO 0207.519.026) — Hertog Janplein 1, 3920 Lommel — Website: www.lommel.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Lommel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.lommel.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Geel Analyse verfügbar
Verantwortlicher: Stad Geel (KBO 0207.524.966) — Werft 20, 2440 Geel — Website: www.geel.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Geel durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.geel.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Content-Security-Policy vorhanden, aber weit gefasst (default-src erlaubt https:, Wildcards oder 'unsafe-inline') | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Mouscron Analyse verfügbar
Verantwortlicher: Ville de Mouscron (BCE 0207.356.899) — Grand-Place 1, 7700 Mouscron — Website: www.mouscron.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Mouscron durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.mouscron.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Kortrijk Analyse verfügbar
Verantwortlicher: Stad Kortrijk (KBO 0207.494.678) — Grote Markt 54, 8500 Kortrijk — Website: www.kortrijk.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Kortrijk durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.kortrijk.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Maps (maps.googleapis.com) — US-Auftragsverarbeiter | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
| Verwendung von Klaro als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Oostende Analyse verfügbar
Verantwortlicher: Stad Oostende (KBO 0207.473.295) — Vindictivelaan 1, 8400 Oostende — Website: www.oostende.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Oostende durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.oostende.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Nur partielle Content-Security-Policy (nur connect-src, font-src, frame-src) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Sint-Niklaas Analyse verfügbar
Verantwortlicher: Stad Sint-Niklaas (KBO 0207.486.859) — Grote Markt 1, 9100 Sint-Niklaas — Website: www.sint-niklaas.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Sint-Niklaas durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.sint-niklaas.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| Verwendung von Cookiebot als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Aalst Analyse verfügbar
Verantwortlicher: Stad Aalst (KBO 0207.449.148) — Grote Markt 3, 9300 Aalst — Website: aalst.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Aalst durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf aalst.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Genk Analyse verfügbar
Verantwortlicher: Stad Genk (KBO 0207.522.491) — Stadsplein 1, 3600 Genk — Website: www.genk.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Genk durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.genk.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Nur partielle Content-Security-Policy (nur connect-src, frame-src, img-src 'self') | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Roeselare Analyse verfügbar
Verantwortlicher: Stad Roeselare (KBO 0207.490.219) — Botermarkt 2, 8800 Roeselare — Website: www.roeselare.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Roeselare durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.roeselare.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS vorhanden, aber max-age=15552000 < 1 Jahr — unter der empfohlenen Dauer | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
| Verwendung von Klaro als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Tournai Analyse verfügbar
Verantwortlicher: Ville de Tournai (BCE 0207.352.297) — Rue Saint-Martin 52, 7500 Tournai — Website: www.tournai.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Tournai durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.tournai.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=63072000 ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Schwache Referrer-Policy: no-referrer-when-downgrade | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de La Louvière Analyse verfügbar
Verantwortlicher: Ville de La Louvière (BCE 0207.382.086) — Place Communale 1, 7100 La Louvière — Website: www.lalouviere.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de La Louvière durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.lalouviere.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Seraing Analyse verfügbar
Verantwortlicher: Ville de Seraing (BCE 0207.335.221) — Place Communale 8, 4100 Seraing — Website: www.seraing.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Seraing durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.seraing.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31536000 (1 Jahr) ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Schwache Referrer-Policy: no-referrer-when-downgrade | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Weder X-Frame-Options noch frame-ancestors (Clickjacking nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| tarteaucitron als CMP — positiv, europäische Alternative | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Verviers Analyse verfügbar
Verantwortlicher: Ville de Verviers (BCE 0207.356.048) — Place du Marché 55, 4800 Verviers — Website: www.verviers.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Verviers durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.verviers.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Liège Analyse verfügbar
Verantwortlicher: Ville de Liège (BCE 0207.343.238) — Place du Marché 2, 4000 Liège — Website: www.liege.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Liège durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.liege.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| YouTube-Embeds vorhanden | Art. 129 WEC / LCE / GEK / ECA | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Namur Analyse verfügbar
Verantwortlicher: Ville de Namur (BCE 0207.341.854) — Hôtel de Ville, 5000 Namur — Website: www.namur.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Namur durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.namur.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| YouTube-Embeds vorhanden | Art. 129 WEC / LCE / GEK / ECA | Verstoß |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Mons Analyse verfügbar
Verantwortlicher: Ville de Mons (BCE 0207.272.119) — Grand-Place 22, 7000 Mons — Website: www.mons.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Mons durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.mons.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit includeSubDomains (1 Jahr) — solide Basis | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Ville de Charleroi Analyse verfügbar
Verantwortlicher: Ville de Charleroi (BCE 0207.362.105) — Place Charles II 14-15, 6000 Charleroi — Website: www.charleroi.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Ville de Charleroi durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.charleroi.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Schwache Referrer-Policy: no-referrer-when-downgrade | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein X-Content-Type-Options: nosniff | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Server-Banner mit Versionsangabe (Apache/2.4.68 (Debian)) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Antwerpen Analyse verfügbar
Verantwortlicher: Stad Antwerpen (KBO 0207.500.123) — Dienst Mobiliteit & Parkeren — Grote Markt 1, 2000 Antwerpen — Website: www.antwerpen.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Antwerpen durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.antwerpen.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS vorhanden, aber max-age=15552000 < 1 Jahr — unter der empfohlenen Dauer | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Strenge Content-Security-Policy (default-src 'self') | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Die Content-Security-Policy enthält eine ungültige Direktive (undefined) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Korrekte Referrer-Policy: no-referrer | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Gent Analyse verfügbar
Verantwortlicher: Stad Gent (KBO 0207.451.227) — Botermarkt 1, 9000 Gent — Website: stad.gent.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Gent durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf stad.gent durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS 2 Jahre + includeSubDomains + preload — starke Konfiguration | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Strenge Content-Security-Policy (default-src 'self') | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Permissions-Policy-Header vorhanden — beschränkt Sensoren/Geolocation | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
| Google Tag Manager lädt Google Analytics zur Laufzeit (US-Übermittlung) | Art. 5(1)(a) + Hfd. V AVG / Ch. V / Kap. V / Ch. V | Verstoß |
| Verwendung von CookieYes als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Brugge Analyse verfügbar
Verantwortlicher: Stad Brugge (KBO 0207.528.035) — Burg 12, 8000 Brugge — Website: www.brugge.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Brugge durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.brugge.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
HSTS mit max-age=31557600 ohne includeSubDomains | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Korrekte Referrer-Policy: strict-origin-when-cross-origin | Art. 32 AVG / RGPD / DSGVO / GDPR | ✓ Konform |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
| Verwendet Matomo (datenschutzfreundlicher als Google Analytics) | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
| Verwendung von CookieScript als CMP — positiv | Art. 129 WEC / LCE / GEK / ECA | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Leuven Analyse verfügbar
Verantwortlicher: Stad Leuven (KBO 0207.475.077) — Professor Van Overstraetenplein 1, 3000 Leuven — Website: www.leuven.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Leuven durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.leuven.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
| Kein Content-Security-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.
Stad Hasselt Analyse verfügbar
Verantwortlicher: Stad Hasselt (KBO 0207.476.069) — Groenplein 1, 3500 Hasselt — Website: www.hasselt.be.
Diese Anlage dient dazu, den Einspruch gegen eine Sanktion oder Retribution der Stad Hasselt durch eine technische Darstellung zu ergänzen. Die Feststellungen wurden am 22. August 2026 auf www.hasselt.be durchgeführt und zeigen Mängel in Bezug auf DSGVO, ePrivacy und Sicherheit der Verarbeitung.
1. Festgestellte Mängel
| Feststellung | Rechtsgrundlage | Risiko |
|---|---|---|
Kein Strict-Transport-Security-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Nur partielle Content-Security-Policy (nur frame-ancestors, report-uri) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Kein Referrer-Policy-Header | Art. 32 AVG / RGPD / DSGVO / GDPR | Verstoß |
Kein Permissions-Policy-Header (Sensoren/Geolocation nicht eingeschränkt) | Art. 32 AVG / RGPD / DSGVO / GDPR | Informativ |
Google Fonts (fonts.googleapis.com) — US-Übermittlung ohne Offenlegung | Hfd. V AVG / Ch. V RGPD / Kap. V DSGVO / Ch. V GDPR | Verstoß |
| Verwendet Piwik PRO (EU-gehostete Analytics) statt Google Analytics | Art. 5(1)(c) AVG / GDPR / DSGVO | ✓ Konform |
2. Rechtliche Würdigung
Artikel 5(1)(a) DSGVO — Transparenz
Personen müssen transparent und fair über die Verarbeitung informiert werden; fehlende oder unrichtige technische Sicherheit beeinträchtigt diese Pflicht.
Artikel 6 DSGVO — Rechtsgrundlage
Allgemeine kommunale Befugnisse genügen nach der DSB-Entscheidung 56/2026 (Dilbeek) nicht ohne Weiteres als Rechtsgrundlage für Datenübermittlung oder ANPR-Einsatz.
Kapitel V DSGVO — Übermittlungen
Der Einsatz US-amerikanischer Auftragsverarbeiter (GA, GTM, Google Fonts, Facebook, LinkedIn, ...) impliziert eine US-Übermittlung, die ohne geeignete Garantie (Kap. V DSGVO) rechtswidrig ist.
Artikel 32 DSGVO — Sicherheit
Das Fehlen geeigneter technischer Maßnahmen (HSTS, CSP, Referrer-Policy) ist für eine öffentliche Plattform, die personenbezogene Daten verarbeitet, nicht mit Art. 32 DSGVO vereinbar.
Artikel 129 GEK — ePrivacy
Nicht wesentliche Cookies, Social-Embeds und andere Tracker erfordern eine vorherige, informierte, spezifische und granulare Einwilligung; ein Verweis auf Browsereinstellungen genügt nicht.
3. Empfohlene Verteidigungsmittel
- die angefochtene Sanktion wegen rechtswidriger Datenverarbeitung aufgehoben oder abgeändert wird;
- die festgestellten technischen Mängel zu Protokoll genommen werden;
- hilfsweise, dass eine neue Prüfung auf Grundlage rechtmäßig erhobener Daten erfolgt;
- der betroffenen Person das Recht erhalten bleibt, Beschwerde bei der Datenschutzbehörde einzureichen;
- ein Vorbehalt des Schadenersatzanspruchs nach Art. 82 DSGVO protokolliert wird.