På baggrund af henvendelser fra flere kunder har vi set nærmere på sagen og gennemgår her de tekniske aspekter af brevet. Dette er dog ikke juridisk rådgivning.
I andet afsnit hævdes det: »Efter at have besøgt Deres hjemmeside måtte min klient konstatere, at De uden hendes samtykke har videregivet hendes IP-adresse 212.95.5.xxx til et selskab i den amerikanske koncern »Alphabet Inc.« ("Google"). «
Denne påstand er ikke korrekt af følgende grunde:
Alle IP-adresserne i brevet er dynamiske IP-adresser og NAT-IP-adresser fra Magenta / Telering. Teknisk set betyder det, at flere internetforbindelser med private IP-adresser tilhørende forskellige kunder deler denne IP-adresse. Derfor kan IP-adressen ikke bruges til at identificere den enkelte kunde.
Alle skrifttyper, der hentes fra Google, har en cacheindstilling. Det vil sige, at når en bruger besøger en hjemmeside, der anvender en sådan skrifttype, gemmes den på computeren (i browserens cache) i 365 dage og ikke hentes fra Googles server igen ved besøg på den næste hjemmeside.
Alle forespørgsler til Google Cloud og de tilhørende statiske ressourcer – altså billeder, CSS, skrifttyper, JavaScript, Maps og lignende – videresendes via en tjeneste ved navn Anycast-DNS til det nærmeste datacenter. I vores tilfælde, med udgangspunkt i Østrig, er det normalt Frankfurt. (fra16s53-in-f3.1e100.net [142.250.185.227])
Disse servere er underlagt GDPR og må kun videregive data til tredjeparter med samtykke. Ifølge Google gemmes oplysninger om adgangen kun i anonymiseret form for at i overensstemmelse med databeskyttelsesreglerne kunne drive deres tjenester.Skærmbillederne i brevet viser kun integrationen af Google samt selve hjemmesiden, men ikke, om der faktisk er blevet overført data. Se punkt 2 og 3 vedrørende videregivelse af data.
Af disse grunde er påstandene meget tvivlsomme. Efter at have analyseret logfilerne fra en hostingserver med flere kunders hjemmesider kunne vi konstatere, at disse forskellige værter uden indbyrdes forbindelse var blevet besøgt med millisekunders mellemrum.
Denne adfærd, herunder optagelsen af skærmbillederne, er kun mulig ved automatisering med en webcrawler og f.eks. værktøjer til enhedstest fra Google eller Mozilla. De relevante kald er dokumenteret på denne hjemmeside:
Brug af en headless-browser til at tage skærmbilleder af websider
API-dokumentation til Google Chrome
Skærmbillederne i brevet er formentlig taget med Google Chrome i headless-tilstand – et produkt fra Google og den amerikanske koncern Alphabet Inc ...
Brug af indhold fra Google er på grund af de hurtige servere en almindelig metode til at få hjemmesider til at indlæse hurtigere og burde ikke udgøre en overtrædelse af GDPR, da dataene leveres fra europæiske servere.
Et andet meget overraskende forhold ved dette brev, som lugter af phishing i stor stil, er, at der ikke er angivet noget referencenummer til overførslen af erstatningsbeløbet. Man skal blot skrive »Vergleich« (forlig) ved overførslen, og derfor er det ikke muligt entydigt at knytte betalingen til den pågældende sag.
Disse massebreve blev sendt via en tjeneste fra Österreichische Post:
Brevforsendelse online Post.at
Yderligere oplysninger og seneste nyt om denne sag findes på: