Legal & Takedown — Abschaltung von Phishing-Seiten
Zwei juristische Arbeitsfelder, die die Plattform als vollwertige Daten führt: die Veranlassung der Löschung betrügerischer Inhalte, vom Antrag bis zur Kontrolle, dass sie wirklich offline sind, und die Einhaltung der LGPD, des brasilianischen Datenschutzgesetzes — Einwilligungsnachweis und Bearbeitung von Betroffenenanfragen.
Takedown: vom Antrag bis zur Kontrolle
Jeder Fall hält den Typ fest (vierzehn Optionen, von Phishing und gefälschtem Profil bis zu betrügerischer App, Datenabfluss, Verleumdung und Verletzung der Privatsphäre), die Zielplattform unter 23 kartierten Anbietern — darunter Registro.br, Locaweb, Mercado Livre, OLX und Shopee neben den globalen — sowie die Priorität.
Der Zyklus hat zehn Zustände: beantragt, gemeldet, bestätigt, in Bearbeitung, Antwort abwartend, eskaliert, abgeschlossen, teilweise entfernt, gescheitert und abgebrochen. Die beiden letzten gibt es aus einer bewussten Entwurfsentscheidung: Ein Takedown-Ablauf, der nur Erfolg abbilden kann, lügt über seine eigene Wirksamkeitsquote.
Die Rechtsgrundlage ist ein Pflichtfeld, keine Randnotiz. Die Optionen nennen das Gesetz beim Namen: DMCA, Marco Civil da Internet (Gesetz 12.965/2014, das brasilianische Internetgrundgesetz), LGPD (Gesetz 13.709/2018), ECA (das brasilianische Kinder- und Jugendstatut), Verbraucherschutzgesetzbuch, Urheberrechtsgesetz (Gesetz 9.610/1998), Strafgesetzbuch und die Nutzungsbedingungen der Plattform. Die Meldemethode wird getrennt erfasst, mit neun Optionen von E-Mail und Missbrauchsformular bis zur außergerichtlichen Abmahnung und zur gerichtlichen Anordnung.
Diese Trennung spiegelt das brasilianische Recht. Nach Art. 19 des Marco Civil haftet der Anbieter einer Internetanwendung für fremde Inhalte zivilrechtlich nur dann, wenn er einer spezifischen gerichtlichen Anordnung zur Entfernung nicht nachkommt; die Ausnahme in Art. 21 betrifft Aufnahmen von Nacktheit oder sexuellen Handlungen privater Natur, die auf Anzeige der abgebildeten Person selbst entfernt werden können. In der Praxis hängt fast jeder Takedown außerhalb dieser Fälle von den Nutzungsbedingungen der Plattform ab — und deshalb sind „Nutzungsbedingungen” im Formular eine legitime Rechtsgrundlage und keine Abkürzung.
Beweise und Infrastruktur
Der Fall bewahrt die Ziel-URL, weitere URLs desselben Inhalts, Beweis-URLs und Screenshots. Er bewahrt auch, was die technische Meldung trägt: DNS, WHOIS, Angaben zum SSL-Zertifikat und Hosting-Informationen — Provider, ASN, IP und Abuse-Kontakt. Für fünfzehn Plattformen gibt es einen Direktlink zum offiziellen Missbrauchskanal, was die Handsuche nach dem richtigen Formular erspart.
SLA und Eskalation
Die Frist wird mit berechnetem Zustand verfolgt: eingehalten, verletzt, kritisch (weniger als ein Tag), Achtung (weniger als drei Tage) oder innerhalb der Frist. Das Feld „SLA verletzt” existiert genau dafür, festzuhalten, was nicht eingehalten wurde.
Die Eskalation hat vier ausdrückliche Stufen — erste Ebene, Aufsicht, Rechtsabteilung und Gericht —, wobei bei jedem Sprung der Grund festgehalten wird. Nach dem Abschluss bleibt der Fall am Leben: Zahl der Nachkontrollen, Datum der letzten und das Feld „Inhalt weiterhin online”, denn abgeschaltetes Phishing kommt zurück.
Jede Handlung wird zum Eintrag in der Fallhistorie: Anlegen, Zustandswechsel (mit altem und neuem Wert), gesendete Meldung, eingegangene Antwort, Eskalation, Nachkontrolle, Notiz, Beweismittel und Zuweisung der Zuständigkeit.
LGPD: Einwilligung und Betroffenenanfragen
Einwilligungsnachweis. Vier Kategorien — notwendig, Präferenzen, Analytik und Marketing — mit der Handlung erteilt oder widerrufen, der geltenden Fassung der Richtlinie und der Herkunft (Banner, Modal, API, administrative Korrektur, Migration oder Zurücksetzen wegen Änderung der Richtlinie). Notwendige Kategorien erzeugen keinen Eintrag, weil sie nicht von einer Einwilligung abhängen.
IP-Adresse und User-Agent werden als gesalzener Hash gespeichert, nie im Klartext. Diese Entscheidung löst einen echten Zielkonflikt: Das Gesetz legt dem Verantwortlichen die Beweislast dafür auf, dass die Einwilligung wirksam eingeholt wurde (Gesetz 13.709/2018, Art. 8, § 2), aber die IP-Adresse im Klartext aufzubewahren, um Konformität zu belegen, schafft einen neuen Bestand personenbezogener Daten. Der Hash belegt die Zuordnung, ohne die Kennung aufzubewahren.
Die IP-Adresse der anfragenden Seite wird im Header X-Forwarded-For von rechts nach links aufgelöst, mit konfigurierbarer Zahl vertrauenswürdiger Proxys — denn die Gegenseite kann links eine beliebige IP-Adresse voranstellen.
Betroffenenanfrage (DSAR). Öffentliches Formular, ohne Anmeldung, mit sechs Typen: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerruf der Einwilligung und Anonymisierung. Geschützt durch Cloudflare Turnstile und durch eine Grenze von fünf Einsendungen je IP-Adresse und Stunde; der Einwilligungsnachweis hat eine eigene Grenze von dreißig Schreibvorgängen je IP-Adresse und fünf Minuten.
Beim Eingang startet die Anfrage bereits mit einer Frist von 15 Tagen — der Frist aus Art. 19, II der LGPD für die klare und vollständige Auskunft an die betroffene Person — und mit einem Token zur Identitätsprüfung.
Was das Modul nicht tut
- Es versendet die Meldung nicht selbst. Es hält den gesendeten Text fest, den genutzten Abuse-Kontakt, die Ticketnummer und die Antwort der Plattform. Der Versand ist die Handlung der Analystin.
- Es bringt keine Bibliothek fertiger Vorlagen je Anbieter mit. Der Text der Meldung wird von Fall zu Fall verfasst und archiviert.
- Es garantiert weder die Entfernung noch eine Frist dafür. Das SLA ist die mit dem Kunden vereinbarte Frist, keine Zusage der Zielplattform.
- Es ersetzt keine anwaltliche Beratung, erstellt kein Gutachten und verfasst keinen Schriftsatz.
- Die Bestätigungs-E-Mail für die öffentliche Betroffenenanfrage wird noch nicht automatisch versendet — das Token wird erzeugt und die Anfrage reiht sich zur Prüfung ein.
- Die Fallhistorie ist eine vollständige Aufzeichnung der Handlungen, mit Urheber und Datum. Kryptografische Verkettung und WORM-Export sind Aufgaben des Moduls Audit & Compliance.
Integrationen
- Cloudflare Turnstile im öffentlichen Formular
- Missbrauchskanäle von 15 Plattformen, mit Direktlink
- OODA URLs (technische Analyse des Ziels), OODA Investigate, OODA Reports und OODA Audit
SLA & Garantien
Rechtsgrundlage und Meldemethode je Fall festgehalten · SLA mit ausdrücklichem Verletzungszustand · wiederkehrende Nachkontrolle nach der Entfernung