Efter förfrågningar från flera kunder har vi tittat närmare på fallet och går här igenom de tekniska aspekterna av brevet. Detta utgör dock inte juridisk rådgivning.
I andra stycket påstås följande: ”Efter att ha besökt er webbplats kunde min klient konstatera att ni utan hennes samtycke hade vidarebefordrat hennes IP-adress 212.95.5.xxx till ett bolag inom den amerikanska koncernen ”Alphabet Inc.” (”Google”). ”
Detta påstående är felaktigt av följande skäl:
Alla IP-adresser i brevet är dynamiska NAT-adresser hos Magenta / Telering. Tekniskt sett innebär det att flera internetanslutningar med privata IP-adresser som tillhör olika kunder delar på samma IP-adress. Därför går det inte att identifiera den enskilda kunden utifrån IP-adressen.
Alla typsnitt som hämtas från Google har en cachepost. Det innebär att när en användare besöker en webbplats som använder ett visst typsnitt sparas det på datorn (i webbläsarens cache) i 365 dagar och hämtas inte på nytt från Googles server när användaren besöker nästa webbplats.
Alla förfrågningar till Google Cloud och dess statiska resurser – alltså bilder, CSS, typsnitt, JavaScript, kartor och liknande – skickas via en tjänst som heter Anycast-DNS vidare till närmaste datacenter. I vårt fall, med utgångspunkt i Österrike, är det vanligtvis Frankfurt. (fra16s53-in-f3.1e100.net [142.250.185.227])
Dessa servrar omfattas av GDPR och får endast lämna ut uppgifter till tredje part med samtycke. Enligt Google sparas åtkomstuppgifterna endast i anonymiserad form för att i enlighet med dataskyddsreglerna driva sina tjänster.Skärmbilderna i brevet visar bara att Google har integrerats samt hur webbplatsen ser ut, men inte om någon faktisk överföring har skett. Se punkt 2 respektive 3 om utlämnande av uppgifter.
Av dessa skäl är påståendena mycket tveksamma. Efter att ha analyserat loggfilerna från en webbhotellsserver med flera kunders webbplatser kunde vi konstatera att dessa olika, sinsemellan orelaterade värdar hade besökts med bara millisekunders mellanrum.
Detta beteende, inklusive skärmbilderna, är bara möjligt genom automatisering med hjälp av en webbsökrobot och exempelvis verktyg för enhetstestning från Google eller Mozilla. Anropen för detta finns dokumenterade på följande webbplats:
Ta skärmbilder av webbsidor med en webbläsare utan grafiskt gränssnitt
API-dokumentation för Google Chrome
Skärmbilderna i brevet har förmodligen tagits med Headless Google Chrome – en produkt från Google och dess amerikanska moderbolag Alphabet Inc ...
Att använda innehåll från Google är, tack vare de snabba servrarna, ett vanligt sätt att få webbplatser att laddas snabbare och bör inte utgöra något brott mot GDPR, eftersom uppgifterna levereras från europeiska servrar.
En annan mycket förvånande omständighet kring brevet, som luktar storskaligt nätfiske, är att det saknas ett referensnummer för inbetalningen av skadeståndet. Vid betalningen ska man bara ange ”Vergleich” (förlikning), vilket gör att betalningen inte entydigt kan kopplas till det aktuella ärendet.
Dessa massutskick skickades med en tjänst från Österreichische Post:
Brevutskick online Post.at
Mer information och de senaste nyheterna om detta fall finns på: