Prüfregel · RSC-PRV-024
CSP-Verstöße werden an einen Drittanbieter gemeldet
Liest `report-uri` und `report-to` aus der Content-Security-Policy (Header oder Meta-Tag) und meldet, wenn die Berichte an einen fremden Host gehen.
Warum das zählt
Eine Content-Security-Policy kann dem Browser sagen, wohin er Verstöße melden soll. Dienste wie report-uri.com, Sentry oder Datadog nehmen diese Berichte entgegen und werten sie aus — das ist nützlich und gehört zu einer gepflegten Policy. Nur: Jeder Bericht enthält die aufgerufene URL, den Referrer, den User-Agent und als Absender die IP-Adresse des Besuchers.
Damit verarbeitet der Dienst personenbezogene Daten in eurem Auftrag. Das ist kein Verstoß, aber eine Pflicht: Er gehört in die Datenschutzerklärung, und es braucht einen Vertrag zur Auftragsverarbeitung — bei Anbietern außerhalb der EU zusätzlich eine Grundlage für den Drittlandtransfer. Die meisten Dienste halten die Verträge bereit; sie müssen nur abgeschlossen sein. Technische Einordnung, keine Rechtsberatung.
Selbst nachprüfen: Im Browser die Antwort-Header der Startseite öffnen (Netzwerk-Tab), im `Content-Security-Policy`-Header nach `report-uri` oder `report-to` suchen und den Host mit der eigenen Domain vergleichen.
Prüfstufe
So behebt ihr es
Den Berichtsdienst als Auftragsverarbeiter in die Datenschutzerklärung aufnehmen und einen Vertrag zur Auftragsverarbeitung schließen — oder die Berichte an einen eigenen Endpunkt leiten.