Verzeichnis von Verarbeitungstätigkeiten

nach Art. 30 Abs. 1 DSGVO — iyambae.fm und apps.iyambae.fm

Verantwortliche

Vertreter in der Union nach Art. 27 DSGVO

Weitere Rollen

Warum die 250-Beschäftigten-Ausnahme hier nicht greift

Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten von der Verzeichnispflicht aus.

Anders als in der ersten Fassung lässt sich die Beschäftigtenzahl hier nicht mehr mit „zwei Personen" beantworten. Maßgeblich ist die Zahl der Beschäftigten der Verantwortlichen, also der Infosys Consulting LLC insgesamt — nicht die Zahl der Menschen, die an dieser Website arbeiten. Diese Zahl ist dem Verzeichnis nicht bekannt.

Es kommt darauf aber nicht an. Die Ausnahme steht unter drei Vorbehalten, und jeder einzelne davon lässt die Pflicht wieder aufleben. Es genügt, dass einer greift:

1. Die Verarbeitung erfolgt nicht nur gelegentlich. Das ist hier eindeutig und allein schon entscheidend. Zugriffsprotokolle entstehen bei jedem Seitenaufruf, automatisiert, dauerhaft, im Regelbetrieb — nicht bei Gelegenheit. Dasselbe gilt für die Speicherung auf dem Endgerät und seit dem 21.08.2026 für die Reichweitenmessung (V11), die bei jedem Senderstart auslöst. Der Europäische Datenschutzausschuss und die deutschen Aufsichtsbehörden legen „gelegentlich" eng aus: gemeint ist eine Verarbeitung, die weder regelmäßig noch dauerhaft stattfindet, sondern anlassbezogen und ausnahmsweise. Ein laufender Webdienst erfüllt das nie.

2. Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten betroffener Personen. Ein Risiko genügt — nicht erst ein hohes. Beim geplanten Konto liegen mit Zugangsdaten, Hörverlauf und E-Mail-Adresse Daten vor, deren unbefugte Offenlegung spürbare Folgen hätte. Hinzugekommen ist mit V11 eine Verarbeitung, die zwar keine Wiedererkennung erlaubt, deren Inhalt (welcher Sender) aber inhaltlich aussagekräftig ist.

3. Besondere Kategorien nach Art. 9 oder Daten nach Art. 10. Trifft nicht zu. Die Frage stellte sich mit V11 kurzzeitig und ist beantwortet: Die Angabe, welcher Sender gestartet wurde, kann in Einzelfällen auf eine Sprachgemeinschaft, eine Herkunft oder eine Glaubensrichtung deuten. Ob daraus ein Datum nach Art. 9 wird, hängt allein daran, ob es sich einer Person zuordnen lässt. Seit dem Wegfall des Adressfeldes gibt es an diesen Meldungen nichts mehr, was auf eine Person zeigt — die Frage ist damit nicht abgewogen, sondern gegenstandslos. Siehe den Abschnitt nach V11.

Ergänzend und unabhängig davon: Art. 30 Abs. 1 verpflichtet auch den Vertreter nach Art. 27. Die Ausnahme des Abs. 5 wäre schon deshalb kein sicherer Halt.

Ergebnis: Nummer 1 greift zweifelsfrei, Nummer 2 zusätzlich. Das Verzeichnis ist zu führen. Es ist ohnehin die billigste Datenschutzmaßnahme überhaupt — es zwingt dazu, einmal aufzuschreiben, was man eigentlich tut.

Übersicht

V1 — Auslieferung der Website und Zugriffsprotokollierung

V2 — Auswertung der Zugriffsprotokolle

V3 — Fehlerberichte

V4 — Einbindung von Schriftarten (Google Fonts) — entfallen am 21.08.2026

Diese Tätigkeit gibt es nicht mehr. Der Eintrag bleibt als gestrichener Posten stehen, weil ein Verzeichnis, aus dem Tätigkeiten spurlos verschwinden, seinen Zweck verfehlt: Es soll auch belegen können, was einmal galt (Art. 5 Abs. 2 DSGVO).

Was sie war: Die fünf Schriftfamilien der Seite wurden von fonts.googleapis.com und fonts.gstatic.com nachgeladen. Dabei ging die vollständige, ungekürzte IP-Adresse jedes Besuchers beim Seitenaufbau an Google in die USA — ohne Zutun und ohne Einwilligung. Rechtsgrundlage war Art. 6 Abs. 1 lit. f DSGVO, und diese Stütze war angreifbar: Das LG München I hat mit Urteil vom 20.01.2022 (Az. 3 O 17493/20) für die dynamische Einbindung eine Einwilligung verlangt und Schadensersatz zugesprochen.

Was an ihre Stelle getreten ist: Die Schriftdateien liegen als woff2 unter assets/schrift/ im eigenen Container und werden über assets/schrift/schriften.css eingebunden (erzeugt von Scripts/hole-schriften.py). Ihre Auslieferung ist damit Teil von V1 und keine eigene Tätigkeit mehr — sie unterscheidet sich in nichts von der Auslieferung eines Bildes.

Wirkung auf dieses Verzeichnis: Der einzige regelmäßige, für jeden Besucher unvermeidbare Drittlandtransfer ist damit ersatzlos weggefallen. Es besteht kein Empfängerverhältnis zu Google mehr. Nachgemessen im Browser auf /de/, /ar/ und /ja/: keine Anfrage an einen fremden Host.

Übrig geblieben ist eine Pflicht, die keine des Datenschutzrechts ist: Die Schriftdateien werden jetzt selbst verbreitet. Die zugehörigen Lizenztexte gehören mit ins Repository und ins Abbild — siehe HINWEISE.md.

V5 — Vermittlung von Audioströmen Dritter

V6 — Speicherung auf dem Endgerät

V7 — Abfrage der örtlichen MyRetuner-Schnittstelle

V8 — Kontaktaufnahme und Betroffenenanfragen

V9 — Benutzerkonten (geplant, noch nicht in Betrieb)

V10 — Versand von Transaktionsmails (geplant, noch nicht in Betrieb)

V11 — Reichweitenmessung (neu am 21.08.2026)

Warum an dieser Tätigkeit kein Adressfeld hängt

Der erste Entwurf dieses Verzeichnisses führte hier unter „Erkennbare Restfrage" die Empfehlung, das Adressfeld zu streichen. Die Empfehlung ist umgesetzt; die Restfrage ist damit beantwortet. Der Eintrag bleibt stehen, weil die Begründung auch die künftige Pflege bindet.

Zwei Gründe, und der zweite ist der schwerere:

1. Der Inhalt ist aussagekräftiger als ein Pfad. Welcher Sender gestartet wurde, kann auf eine Sprachgemeinschaft, eine Herkunft, in Einzelfällen auf eine Glaubensrichtung deuten — im Katalog stehen Sender in Twi, Ukrainisch, Aserbaidschanisch und Türkisch. Neben einer gekürzten Adresse und einem Zeitstempel wäre das ein Datum, über das man diskutieren müsste. Ohne Adressfeld entsteht es nicht, und die Frage nach Art. 9 DSGVO stellt sich nicht mehr.
2. Mess- und Zugriffszeilen liegen in derselben Tabelle. Ein gemeinsames Adressfeld hätte beide verbindbar gemacht: Zwei Zeilen Abfragesprache, und an jedem gemeldeten Ereignis hinge die volle Browserkennung und die Verweisquelle aus V1. Die Messung hätte keine eigene Kennung gebraucht — sie hätte eine geerbt. Das ist der Punkt, an dem eine für sich harmlose Angabe durch bloße Nachbarschaft gefährlich wird, und er gehört in ein Verzeichnis, weil er beim nächsten Feld wieder gilt.

Was dadurch an Auswertung verlorengeht: nichts. Die Bezugsgröße für die Startquote kommt aus V1, die Ereignisse sind eine reine Zählung. Es gibt keine Abfrage, die verschiedene Besucher zählt.

Und derselbe Gedanke trägt die Sprachangabe. Ein serverseitiges Sprachfeld hätte $sprache benutzt; diese Variable liest zuerst $cookie_hz_sprache. Das Cookie ist für die Sprachweiche (V6; datenschutz.md Abschnitt 10) unbedingt erforderlich und deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei — für eine Messung wäre es ein zweiter Zweck, und dafür trägt die Ausnahme nicht. Es auszulesen wäre ein Zugriff auf Informationen im Endgerät und würde eine Einwilligung auslösen. Deshalb liefert der Browser das Kürzel selbst, gewonnen aus dem Pfad der aufgerufenen Seite.

Ein Restposten, der der Vollständigkeit halber hierher gehört: sprache() in assets/lib/sprache.mjs prüft der Reihe nach data-sprache am <html>-Element (vom Erzeuger aus dem Pfad gesetzt), den ersten Pfadabschnitt, den Abfrageparameter ?sprache= — und als letzten Rückfall navigator.languages. Auf einer erzeugten Seite greift bereits die erste Quelle, der Rückfall läuft also praktisch nie. Er ist trotzdem der einzige verbliebene Weg, auf dem eine Angabe aus dem Browser statt aus der Adresse in eine Meldung geraten könnte. Wer das Modul ändert, sollte das wissen.

Kapitel V und der Sitz in einem Drittland

Dieser Abschnitt ist neu und gehört an eine Stelle, an der man ihn nicht übersieht. Er beantwortet die Frage, die sich mit dem Betreiberwechsel stellt: Ist jede Verarbeitung dieses Dienstes jetzt eine Drittlandübermittlung, weil die Verantwortliche in den USA sitzt?

Nein. Eine Übermittlung im Sinne von Kapitel V DSGVO setzt nach der Auslegung des Europäischen Datenschutzausschusses drei Dinge zugleich voraus: Der Exporteur unterliegt der DSGVO; er legt Daten gegenüber einem anderen Verantwortlichen oder Auftragsverarbeiter offen; und dieser Empfänger befindet sich in einem Drittland. Daraus folgt für diesen Dienst:

• Die Erhebung unmittelbar bei der betroffenen Person ist keine Übermittlung. Wenn der Browser eines Besuchers Daten an den Server sendet, ist der Besucher kein „Exporteur". Kapitel V ist auf diesen Vorgang nicht anzuwenden.
• Zugriff eigener Personen aus dem Drittland ist keine Übermittlung, weil kein anderer Verantwortlicher und kein Auftragsverarbeiter beteiligt ist. Er bleibt eine Frage von Art. 5, 24 und 32 DSGVO — also von Zugriffsrechten, Protokollierung und Datenminimierung, nicht von Standardvertragsklauseln.
• Echte Übermittlungen in diesem Dienst sind: die Verbindung des Endgeräts zu Senderservern (V5, rechtlich ungeklärt), Support- und Fernwartungszugriffe von Microsoft-Personal außerhalb der EU (V1, gedeckt durch Standardvertragsklauseln), die geplante Anmeldung über Google oder Apple (V9) und — je nach Anbieter — das Postfach aus V8.

Was daraus folgt und trotzdem ernst zu nehmen ist: Der Sitz im Drittland verschiebt das Risiko von Kapitel V auf Art. 32. Die Daten liegen in Deutschland, aber die entscheidende Stelle untersteht US-Recht. Die einzige Maßnahme, die dagegen wirklich etwas ausrichtet, ist Datenminimierung — Kürzung der Adresse vor dem Schreiben, kein Abfrageteil, keine Kennungen, 30 Tage. Die sind alle bereits umgesetzt und in V1, V3 und V11 dokumentiert. Das ist kein Zufall, aber es war vor dem Betreiberwechsel eine Bequemlichkeit und ist seither eine Schutzmaßnahme.

Auftragsverarbeiter (Art. 28 DSGVO)

Der Vertreter nach Art. 27 DSGVO ist kein Auftragsverarbeiter. Er verarbeitet Daten nicht im Auftrag zu eigenen Zwecken der Verantwortlichen, sondern nimmt eine gesetzlich zugewiesene Vertretungsaufgabe wahr. Soweit er dabei Betroffenenanfragen entgegennimmt und weiterleitet, ist das in V8 erfasst.

Kein Auftragsverarbeitungsverhältnis besteht zu den Senderbetreibern (V5): Der Browser des Besuchers baut die Verbindung selbst auf, ein Vertrag existiert nicht. Zu Google bestand bis zum 21.08.2026 dasselbe Verhältnis für die Schriftarten — seit dem Umzug der Schriften auf den eigenen Server besteht es nicht mehr (V4).

Allgemeine technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Ausschließlich HTTPS; unverschlüsselte Verbindungen sind abgewiesen (allowInsecure: false).
• Der Container läuft ohne root-Rechte (nginx-unprivileged, Port 8080).
• Kein geteilter Zugangsschlüssel in der Datenhaltung (geplant); Zugriff nur über verwaltete Identität und Azure-Rollen.
• Rollentrennung: Anwendung schreibt, Menschen lesen. Zugriff auf die Betriebsauswertung nur mit der Rolle „Monitoring Reader".
• Der Kreis der zugriffsberechtigten Personen ist zu benennen und klein zu halten. In der ersten Fassung waren es zwei namentlich bekannte Personen. Mit einer Gesellschaft als Verantwortlicher ist das keine Selbstverständlichkeit mehr, sondern eine Festlegung, die getroffen und aufgeschrieben werden muss (HINWEISE.md, Punkt 10).
• Beim Aufbau der Seite wird kein fremder Host kontaktiert: Schriften, Symbole, Logos und Programmdateien kommen aus demselben Container. Damit gibt es keinen Kanal, über den eine Besucheradresse ungewollt abfließen könnte.

Datenminimierung — seit dem Betreiberwechsel nicht nur Sparsamkeit, sondern die tragende Schutzmaßnahme gegen den Zugriff aus einem Drittland (siehe oben):

• IP-Adressen werden vor dem Schreiben gekürzt.
• Der Abfrageteil der Adresse wird weder protokolliert noch in Fehlerberichten oder Reichweitenmeldungen übertragen.
• V3 und V11 kennen überhaupt kein Adressfeld — auch kein gekürztes. Nur V1 hat eines, und dort gekürzt.
• Keine Kennungen in V1, V3 und V11 — nichts, woran sich zwei Vorgänge derselben Person aufreihen ließen.
• Accept-Language wird nirgends protokolliert: Die volle gewichtete Liste ist einer der stärksten Fingerabdrücke, die ein Browser ungefragt mitschickt.
• Die Bereitschaftsprüfung wird nicht protokolliert (V1). Das ist nebenbei Datenminimierung, vor allem aber Richtigkeit im Sinne von Art. 5 Abs. 1 lit. d DSGVO.
• Die Hördauer wird nicht erhoben (ohne Konto technisch nicht erhebbar).
• Zeitangaben im Konto auf Tagesgenauigkeit reduziert („zuletztGesehen").
• Sitzungsgeheimnisse und Einmalcodes nur als Abdruck.

Integrität und Verfügbarkeit

• X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin.
• Anfragedrosselung für Fehlerberichte (1/s), Reichweitenmeldungen und Anmeldung (5/min, geplant).
• Rumpfgrößen begrenzt (8 KB für Fehlerberichte, 32 KB für /api/).
• Wiederholbare Infrastruktur als Quelltext (Bicep); Änderungen sind nachvollziehbar und wiederherstellbar.
• Bereitschafts- und Lebendigkeitsprüfungen am Auslieferungscontainer.

Erkennbare Lücken — sie gehören in ein ehrliches Verzeichnis

• Keine Content-Security-Policy. Vor der Einführung von Konten zwingend nachzuholen; im Quelltext bereits vermerkt. Seit dem Wegfall der fremden Schriftquellen ist sie deutlich einfacher zu schreiben.
• Kein dokumentiertes Vorgehen für Datenschutzverletzungen (Art. 33, 34 DSGVO): 72 Stunden sind kurz, wenn man erst dann anfängt zu überlegen. Mit dem Betreiberwechsel ist das schwieriger geworden, nicht leichter: Ohne federführende Aufsichtsbehörde ist im Ernstfall zu klären, welchen Behörden zu melden ist, und der EU-Vertreter ist einzubinden.
• Kein Löschkonzept für inaktive Konten (geplant, Frist offen).
• Keine dokumentierte Prüfung der Wirksamkeit nach Art. 32 Abs. 1 lit. d DSGVO. Für einen Betrieb dieser Größe genügt eine jährliche Durchsicht dieses Verzeichnisses, sie muss aber stattfinden und datiert werden.
• Das Verzeichnis liegt nur auf Deutsch vor. Der Vertreter auf Malta muss es führen können (Art. 30 Abs. 1) und die maltesische Aufsichtsbehörde könnte es anfordern. Eine englische Fassung ist deshalb keine Kür — siehe HINWEISE.md, Punkt 11.

Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Weiterhin nicht erforderlich — auch nach Hinzukommen von V11.

Die erste Fassung nannte als Auslöser für eine Neuprüfung ausdrücklich, „wenn eine Werbe- oder Reichweitenmessung hinzukommt". Sie ist hinzugekommen, also ist die Prüfung fällig, und sie fällt so aus:

Art. 35 Abs. 1 verlangt eine Folgenabschätzung bei voraussichtlich hohem Risiko; Abs. 3 nennt als Regelfälle die systematische umfassende Bewertung persönlicher Aspekte, die umfangreiche Verarbeitung besonderer Datenkategorien und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. V11 erfüllt keinen davon. Der Grund liegt in zwei Eigenschaften: Es gibt keine Kennung, und seit dem Wegfall des Adressfeldes auch nichts, was eine ersetzen könnte. Ohne beides entsteht keine Beobachtung einer Person, sondern eine Strichliste. Es wird nichts bewertet, nichts vorhergesagt, nichts über jemanden entschieden.

Der gedachte Auslöser zielte auf etwas anderes: auf eine Reichweitenmessung mit Wiedererkennung, wie sie üblich ist, oder auf einen Dienst eines Dritten. Beides gibt es hier nicht.

Neu zu prüfen, wenn: die Meldungen aus V11 eine Kennung oder ein Adressfeld erhalten, eine neue Ereignisart in die Erlaubnisliste von messung.mjs aufgenommen wird, Empfehlungen aus dem Hörverhalten anderer Nutzer berechnet werden, Hörverhalten ausgewertet oder an Dritte übermittelt wird, Daten aus iyambae.fm mit denen anderer Angebote der Verantwortlichen zusammengeführt werden, oder Werbung hinzukommt.

Änderungen an diesem Verzeichnis

Stand: 21.08.2026 · Nächste Durchsicht: [Datum eintragen, spätestens in einem Jahr] · Geführt von: [Name] · Beim Vertreter nach Art. 27 hinterlegt am: [Datum]