Dieses Dokument ist eine Übersetzung des englischen Originals. Im Falle von Abweichungen zwischen beiden Fassungen hat die englische Fassung Vorrang.
Dieses Dokument stellt die Selbstbewertung des Nonli SDK anhand der von der CNIL veröffentlichten Kriterien für Lösungen zur Reichweitenmessung vor, die ohne Einholung einer Einwilligung eingesetzt werden können, wenn die Lösung korrekt konfiguriert ist.
Diese Selbstbewertung betrifft ausschließlich das Nonli SDK, das zur Messung der Reichweite redaktioneller Inhalte auf den Websites der Verlagskunden verwendet wird. Sie betrifft weder andere Analytics-Dienste, die der Verlag auf seiner eigenen Website installieren kann, noch URL-Tagging-Parameter, die der Kunde für seine eigenen Analytics-Werkzeuge konfigurieren kann.
Entsprechend der von der CNIL empfohlenen Formulierung erklärt Nonli Folgendes:
Auf Grundlage unserer Selbstbewertung entspricht das Nonli SDK den von der CNIL festgelegten Kriterien für einwilligungsfreie Lösungen zur Reichweitenmessung und kann ohne Einholung der Nutzereinwilligung eingesetzt werden, wenn es korrekt konfiguriert ist.
Diese Selbstbewertung ist keine Zertifizierung, Validierung oder Genehmigung durch die CNIL. Sie dokumentiert die eigene Analyse von Nonli, unbeschadet einer Analyse, die die CNIL im Rahmen ihrer Aufgaben durchführen kann.
1. Referenzen#
- CNIL-Seite: Cookies: Lösungen für Werkzeuge zur Reichweitenmessung
- CNIL-Selbstbewertungswerkzeug für die Einführung einer einwilligungsfreien Lösung zur Reichweitenmessung
- Artikel 82 des französischen Datenschutzgesetzes
- DSGVO-Vereinbarung von Nonli: DSGVO - Datenverarbeitung
2. Zusammenfassung#
| CNIL-Ziel | Bewertung durch Nonli | Begründung |
|---|---|---|
| Zweck streng auf die Reichweitenmessung beschränkt | Konform | Das SDK misst Aufrufe und nach Inhalt aggregierte redaktionelle Kennzahlen ausschließlich im Auftrag des Verlags. |
| DSGVO-Verarbeitungsbedingungen | Konform | Die Verpflichtungen zu Verarbeitung, Sicherheit, Vertraulichkeit, Unterstützung und Rückgabe von Daten sind in der DSGVO-Vereinbarung von Nonli dokumentiert. |
| Kein domainübergreifendes Tracking | Konform | Das SDK setzt kein Cookie, liest kein Cookie der Website, erzeugt keine Besucherkennung und führt Messungen zwischen Kunden nicht zusammen. |
| Anonyme statistische Daten | Konform | Die Ergebnisse sind aggregierte Zähler nach Inhalt, Marke oder Domain, ohne Nutzerkennung. |
| Widerspruchsmechanismus | Nicht anwendbar | Das SDK verarbeitet in den Reichweitenzählern keine personenbezogenen Daten; die Verarbeitung durch die technische Infrastruktur wird gesondert geregelt. |
3. Zweckbereich#
Das Nonli SDK beschränkt sich auf die redaktionelle Reichweitenmessung und auf die Vorgänge, die zur Erbringung dieses Dienstes erforderlich sind:
- Messung von Seitenaufrufen nach Inhalt;
- aggregierte redaktionelle Kennzahlen, wie Videoaufrufe, Kommentare, Paywall-Aufrufe oder Paywall-Klicks, die vom Verlag übermittelt werden;
- Erkennung von Navigations- oder Verfügbarkeitsproblemen, etwa Zähler für verfügbare oder nicht verfügbare Inhalte;
- technische Optimierung und Schätzung von Volumen;
- Analyse der aufgerufenen Inhalte auf Grundlage der kanonischen URL.
Das Nonli SDK wird nicht verwendet, um:
- Werbekampagnen zu messen;
- Nutzerkohorten zu bilden;
- einen individuellen Nutzungsverlauf zu personalisieren;
- Retargeting durchzuführen;
- eine einheitliche Reichweite über mehrere Domains hinweg zu erzeugen;
- Daten mit einem CRM, einer DMP, einer CDP oder einer Drittkennung anzureichern.
4. Ziel 1 - Ein einziger Zweck der Reichweitenmessung#
Das Nonli SDK stellt nur die für die redaktionelle Messung erforderlichen Aufrufe bereit:
| Aufruf | Rolle | Verarbeitete Daten |
|---|---|---|
sdk.js | Laden des Tags | Konfiguration von Domain und Marke. |
pv.js | Zählung von Seitenaufrufen | Kanonische URL, Sampling, Marke, Veröffentlichungs- oder Änderungsdaten, sofern verfügbar. |
mcs.js | Zählung redaktioneller Kennzahlen | Aggregierte numerische Kennzahlen, wie Videoaufrufe, Kommentare, Paywall-Ereignisse, Menge, Betrag und Währung. |
Das SDK bietet keine Funktionen für Marketing- oder Werbemessung. Die erhobenen Parameter stehen ausschließlich im Zusammenhang mit der Analyse des aufgerufenen Inhalts.
Kampagnen- oder Analytics-Tagging-Parameter, die Ziel-Links hinzugefügt werden können, wie utm_*, at_*, mtm_* oder xtor, sind von Nonli standardmäßig nicht aktiviert. Wenn der Kunde sie konfiguriert, gehören sie zum eigenen Tagging-Plan und zu den eigenen Analytics-Werkzeugen des Kunden und nicht zur hier bewerteten Reichweitenmessung des SDK.
4.1. Minimierung der HTTP-Header#
HTTP-Header werden nicht erhoben, um Reichweitenzähler zu erzeugen. Der mit der Anfrage empfangene User-Agent wird vorübergehend verwendet, um Bots von der Zählung auszuschließen. Aus dem User-Agent abgeleitete Informationen, wie Browserversion, Betriebssystem oder Plattform, werden nicht in den Zählern gespeichert.
Kein Header wie Sprache, Bildschirmauflösung, IP-Adresse, Plattform oder Browserkennung wird in den Messdaten gespeichert.
5. Ziel 2 - DSGVO-Verarbeitungsbedingungen#
Nonli handelt bei der Bereitstellung des SDK im Auftrag des Verlagskunden. Die geltenden Verpflichtungen sind in der DSGVO-Vereinbarung beschrieben, einschließlich:
- Vertraulichkeit der Daten;
- technische und organisatorische Maßnahmen;
- Unterstützung des Verlags bei Anfragen zu Betroffenenrechten;
- Meldung von Verletzungen des Schutzes personenbezogener Daten;
- Regeln für Unterauftragsverarbeiter;
- Rückgabe oder Löschung der Daten am Ende des Dienstes.
Die SDK-Daten sind nach Kunde, Marke und Domain getrennt. Nonli führt Rohdaten verschiedener Verlage nicht zusammen und verwendet Kundendaten nicht für eigene Zwecke weiter.
Bei Fragen oder Beschwerden kann sich der Verlag an [email protected] wenden.
5.1. Infrastruktur, TLS und CDN#
Die für das SDK verwendeten Kurzdomains werden auf dedizierten Subdomains bereitgestellt. Nonli nutzt Cloudflare als technischen Dienstleister für die Verwaltung von TLS-Zertifikaten für benutzerdefinierte Domains und, je nach Domainkonfiguration, für die CDN-Auslieferung der Datei sdk.js.
Die Erzeugung von TLS-Zertifikaten beruht auf einer Domainvalidierung und übermittelt Cloudflare die für diesen Vorgang erforderlichen Informationen, einschließlich des Hostnamens und der Zertifikatseinstellungen. Dieser Vorgang übermittelt keine Daten der Reichweitenmessung.
Die Datei sdk.js ist eine öffentliche, zwischenspeicherbare JavaScript-Ressource. Die Messaufrufe pv.js und mcs.js werden von der Nonli-Anwendung mit privaten Cache-Headern und CDN-Headern no-store ausgeliefert, und die Cloudflare-Konfiguration schließt sie vom gemeinsam genutzten CDN-Caching aus. Cloudflare-Schutzmaßnahmen, die eine Browser-Challenge oder ein Bot-Management-Cookie erzeugen könnten, sind von den SDK-Routen sdk.js, pv.js und mcs.js ausgeschlossen. Sie können auf anderen technischen Datenflüssen aktiv bleiben, auch zum Schutz der Kurzdomains, ohne für die Reichweitenmessung des SDK verwendet zu werden.
6. Ziel 3 - Kein domainübergreifendes Tracking#
Das Nonli SDK ist ohne Cookies und ohne Besucherkennungen konzipiert:
- es wird kein Cookie gesetzt;
- es wird kein Cookie der Website gelesen;
- es wird keine domainübergreifende Kennung erzeugt;
- es werden keine CRM-, DMP-, CDP- oder Werbedaten importiert;
- es wird kein Fingerprinting durchgeführt;
- es wird keine individuelle Sitzung rekonstruiert.
Das SDK wird auf einer Subdomain der Hauptdomain des Kunden bereitgestellt. Die Messung für eine Marke oder Domain wird niemals mit einer anderen Marke oder einem anderen Kunden zusammengeführt.
6.1. IP-Adresse und Protokolle#
Der Anwendungspfad des SDK liest die IP-Adresse des Besuchers nicht zur Reichweitenmessung aus. Er führt weder eine Geolokalisierung noch eine Pseudonymisierung oder Speicherung von IP-Adressen in den SDK-Zählern durch.
Auf Ebene des Reverse-Proxys der Nonli-Produktion ist die Zugriffsprotokollierung für die Domains deaktiviert, die das SDK ausliefern. Technische Transportdaten können dennoch von Infrastrukturdienstleistern verarbeitet werden, darunter Cloudflare für TLS, Routing, Sicherheit und Cache, sowie in Ausnahmefällen bei Fehlern durch Anwendungsprotokolle. Diese technischen Verarbeitungsvorgänge werden nicht zur Erzeugung von Reichweitenzählern verwendet und müssen durch die geltenden Verarbeitungsvereinbarungen, Speicherdauern und Sicherheitsmaßnahmen geregelt sein.
6.2. HTTP-Referrer#
Der HTTP-Referrer kann vorübergehend verwendet werden, um zu überprüfen, dass der Aufruf von derselben Subdomain stammt wie die angegebene kanonische URL. Diese Prüfung begrenzt Missbrauch und fließt nicht in die Reichweitenzähler ein.
7. Ziel 4 - Anonyme statistische Daten#
Die von Nonli aus dem SDK erzeugten Berichte enthalten ausschließlich anonyme und aggregierte Statistiken:
- Anzahl der Aufrufe;
- Aufrufe verfügbarer oder nicht verfügbarer Inhalte;
- vom Verlag übermittelte numerische redaktionelle Kennzahlen;
- Aggregationen nach Inhalt, Marke oder Domain.
Mit diesen Zählern werden weder eine Nutzerkennung oder Browserkennung noch ein Cookie, eine IP-Adresse oder ein technischer Fingerabdruck gespeichert. Die in der Nonli-Oberfläche verfügbaren Filter können daher keine Person isolieren oder deren Nutzungsverlauf rekonstruieren.
Das Nonli SDK bietet kein Session Replay, keine Bildschirmaufzeichnung, keine individuellen Heatmaps und kein namentliches Verhaltenstracking.
8. Ziel 5 - Widerspruchsrecht#
Die CNIL stellt klar, dass ein Widerspruchsmechanismus eingerichtet werden muss, soweit eine Verarbeitung personenbezogener Daten im Sinne der DSGVO vorliegt.
Das Nonli SDK verarbeitet in seinem Pfad der Reichweitenmessung keine personenbezogenen Daten:
- kein Cookie;
- keine Verwendung der IP-Adresse für Reichweitenzähler;
- kein Fingerprinting;
- keine Besucherkennung;
- keine domainübergreifende Zusammenführung;
- nach Inhalt und nach Kunde aggregierte Zähler.
Folglich ist für die SDK-Messung kein spezifischer Widerspruchsmechanismus erforderlich. Ein Nutzer, der dennoch nicht gezählt werden möchte, kann die SDK-Domain über seinen Browser, sein Netzwerk oder einen Skript-Blocker blockieren.
9. Operative Konfiguration#
Um im in dieser Selbstbewertung beschriebenen Rahmen zu bleiben, muss der Verlag das Nonli SDK in seiner Standardkonfiguration verwenden:
- Bereitstellung auf der für seine Marke vorgesehenen Subdomain;
- keine Änderung des Tags mit dem Ziel, Kennungen oder personenbezogene Daten hinzuzufügen;
- Information der Nutzer in seiner Datenschutzerklärung oder Cookie-Richtlinie;
- keine Kombination mit anderen Verarbeitungsvorgängen zur Identifizierung von Besuchern.
Die Installationsbedingungen sind in den FAQ zum SDK beschrieben: Nonli SDK (Analytics-Tag) - Fragen und Antworten.