Zusammenarbeit mit Behörden und Auskunftsersuchen

1.Betreiber des Dienstes und Adressaten dieser Richtlinie

pik.li ist ein Dienst der InCloud S.r.l., einer Gesellschaft italienischen Rechts mit Sitz in Vignola (MO). Für die von ihr gespeicherten Kurzlinks ist InCloud ein Anbieter von Vermittlungsdiensten in Form eines Hostingdienstes im Sinne der Verordnung (EU) 2022/2065 über einen Binnenmarkt für digitale Dienste (Gesetz über digitale Dienste, „DSA“); der für Italien zuständige Koordinator für digitale Dienste ist die italienische Regulierungsbehörde für Kommunikation (Autorità per le garanzie nelle comunicazioni, AGCOM).

Diese Richtlinie richtet sich an Justizbehörden, Polizeibehörden, Verwaltungs- und Aufsichtsbehörden sowie nationale CERTs/CSIRTs, die nach dem für sie geltenden Recht befugt sind, Auskünfte, die Sicherung von Daten oder die Entfernung von Inhalten zu verlangen. Die hier angegebene Adresse ist zugleich die zentrale Kontaktstelle für die Behörden der Mitgliedstaaten, die Europäische Kommission und das Europäische Gremium für digitale Dienste (Art. 11 DSA).

Nutzer von pik.li, Rechteinhaber, Rechtsanwälte und sonstige Privatpersonen dürfen diesen Kanal nicht nutzen: Zur Meldung eines schädlichen Links steht das Meldeformular zur Verfügung, für Anliegen zum eigenen Konto der Kundensupport. InCloud übermittelt personenbezogene Daten an Privatpersonen nur auf gerichtliche Anordnung oder wenn das Gesetz dies vorschreibt.

2.Übermittlungsweg

Ersuchen sind an die oben auf dieser Seite angegebene Adresse zu richten. Das Postfach wird unmittelbar von der InCloud S.r.l. betreut und an Arbeitstagen abgerufen; dringende Ersuchen folgen dem im Abschnitt „Notfallersuchen“ beschriebenen Verfahren.

InCloud bestätigt den Eingang jedes Ersuchens unter Angabe einer Vorgangsnummer, die in der weiteren Korrespondenz anzugeben ist.

Ersuchen werden in italienischer und englischer Sprache angenommen; in anderen Sprachen abgefasste Ersuchen werden ebenfalls bearbeitet, die Übersetzung kann jedoch mehr Zeit in Anspruch nehmen.

3.Inhalt des Ersuchens

Für eine rasche und zutreffende Beantwortung muss das Ersuchen vollständig sein und folgende Angaben enthalten:

1. 1 Die ersuchende Behörde: Dienststelle, Name, Dienstbezeichnung und dienstliche Kontaktdaten des zuständigen Beamten oder Ermittlungsbeamten (Nummer der Telefonzentrale und dienstliche E-Mail-Adresse).
2. 2 Die Angaben zum Verfahren: Aktenzeichen des Strafverfahrens, der Akte oder des Vorgangs sowie, falls abweichend, die verfahrensführende Justizbehörde.
3. 3 Die Rechtsgrundlage: die Vorschrift, auf die das Ersuchen gestützt wird, und gegebenenfalls die Entscheidung der Justizbehörde (Verfügung der Staatsanwaltschaft oder Beschluss des Gerichts) oder die Europäische Anordnung.
4. 4 Die verlangten Daten in genauer Bezeichnung: zum Beispiel die Bestandsdaten des Kontos, die Anmeldungen mit den zugehörigen IP-Adressen, die Liste und den Verlauf der Links, die Aufrufe, die Zahlungen, die Meldungen; oder die Sicherung der Daten oder die Deaktivierung eines Links.
5. 5 Die betroffenen Links oder Konten: die Kurzlinks vollständig, einen pro Zeile, genau so, wie sie erscheinen (zum Beispiel https://lnkz.li/abc1234), oder die E-Mail-Adresse oder den Nutzernamen des Kontos, die Referenz einer Zahlung oder die Kennung eines Aufrufs. Allgemeine Suchen nach Inhalt oder Zieladresse sind nicht möglich.
6. 6 Den maßgeblichen Zeitraum unter Angabe der Zeitzone. Die Aufzeichnungen von InCloud werden in UTC geführt.
7. 7 Die Frist, innerhalb derer die Antwort erbeten wird, und gegebenenfalls die Gründe für die Eilbedürftigkeit.
8. 8 Die etwaige Vertraulichkeit des Ersuchens und den Zeitraum, während dessen der Kontoinhaber nicht informiert werden darf, unter Angabe der Vorschrift oder Entscheidung, die dies anordnet.

Ist das Ersuchen unvollständig, lässt es die Behörde nicht zweifelsfrei erkennen oder nennt es keine eindeutige Rechtsgrundlage, bittet InCloud vor der Beantwortung um die erforderlichen Ergänzungen. Besteht in der Zwischenzeit die Gefahr, dass die Daten verloren gehen, sichert InCloud sie.

4.Prüfung der Echtheit

Bevor Daten übermittelt werden, prüft InCloud, ob das Ersuchen tatsächlich von der angegebenen Behörde stammt:

• InCloud prüft, ob das Ersuchen von einer dienstlichen Adresse oder einem der Dienststelle zuzuordnenden PEC-Postfach stammt und ob das Schriftstück unterzeichnet und in sich schlüssig ist;
• im Zweifel ruft InCloud die Dienststelle unter einer selbst aus amtlichen Quellen ermittelten Nummer an, niemals unter der in der Nachricht angegebenen, oder bittet schriftlich über deren öffentliche PEC-Adresse um Bestätigung;
• InCloud kann die Übermittlung des Originalschriftstücks per PEC oder die Bestätigung durch die verfahrensführende Justizbehörde verlangen.

Bis zum Abschluss der Prüfung werden keine Daten übermittelt; InCloud kann sie jedoch sichern, damit sie nicht verloren gehen. In Notfällen erfolgt die Prüfung so schnell wie möglich und parallel zur Bearbeitung des Ersuchens.

Wer sich fälschlich als Behörde ausgibt, begeht eine Straftat: InCloud meldet jedes eingegangene gefälschte Ersuchen den zuständigen Behörden.

5.Daten, die übermittelt werden können

InCloud übermittelt unverzüglich die ihr zum Zeitpunkt des Ersuchens vorliegenden Daten, die vom Gegenstand des Ersuchens erfasst sind. Je nach Fall kann es sich um Folgendes handeln:

• Kontodaten: E-Mail-Adresse, Nutzername, gegebenenfalls Wiederherstellungs-E-Mail, Sprache, Zeitpunkte der Registrierung, der Bestätigung und der letzten Aktivität, Status, Tarif, akzeptierte Version der Nutzungsbedingungen; hat das Konto Käufe getätigt, die vom Kontoinhaber angegebenen Rechnungsdaten (Name, Anschrift, Land, Firma, USt-IdNr., Steuernummer, Telefon, PEC-Adresse).
• Anmeldungen: die offenen Sitzungen mit vollständiger IP-Adresse, Beginn und letzter Aktivität, Browser, Betriebssystem und geschätztem Standort; das Aktivitätsprotokoll des Kontos (Anmeldungen, Passwortänderungen, Aktivierung der Zwei-Faktor-Authentifizierung, Änderungen) mit Datum und, soweit erfasst, IP-Adresse.
• Links und Kampagnen: Zieladresse, Titel, Tags, UTM-Parameter, Domain, Zeitpunkte der Erstellung und des letzten Aufrufs, Änderungsverlauf der Zieladresse, Importstapel, auch für Links, die der Kontoinhaber gelöscht hat, die aber noch gespeichert sind.
• Aufrufe der Links: Datum und Uhrzeit, vollständige IP-Adresse, Land, Region und Stadt (geschätzt), Gerät, Browser, Betriebssystem, Sprache, verweisende Seite, User-Agent und Herkunftsnetz (ASN) jedes Aufrufs, innerhalb der im Tarif des Linkinhabers vorgesehenen Speicherdauer.
• Zahlungen und Bestellungen: Zahlungsdienstleister, Transaktionsreferenz, Beträge, Zeitpunkte, ausgestellte Rechnungen und Quittungen, erworbene Domains.
• Missbrauch und Moderation: eingegangene Meldungen (mit der E-Mail-Adresse des Meldenden, sofern angegeben), Ergebnisse der automatischen Prüfungen, Entscheidungen des Personals von InCloud, Einsprüche des Kontoinhabers, gegen das Konto getroffene Maßnahmen.
• Supportanfragen und die Kommunikation zwischen dem Kontoinhaber und dem Personal von InCloud.

In der Regel werden die Bestandsdaten des Kontos auf schriftliches und begründetes Ersuchen der Gerichtspolizei (polizia giudiziaria) oder der Justizbehörde im Rahmen eines Verfahrens übermittelt; die IP-Adressen der Anmeldungen und Aufrufe, die übrigen Daten der Aufrufe und der Inhalt der Kommunikation werden, außer in Notfällen, auf begründete Anordnung der Justizbehörde übermittelt.

Sofern die Behörde nichts anderes angibt, werden die Daten per E-Mail oder PEC in einer strukturierten Datei (CSV, JSON oder PDF) mit Angabe der Quelle und des Zeitpunkts der Extraktion übermittelt. Die Dateien können verschlüsselt werden; das Passwort wird dann über einen gesonderten Kanal übermittelt.

6.Daten, die nicht übermittelt werden können

• Die Identität der Person, die einen Link aufgerufen hat: InCloud speichert deren IP-Adresse und die technischen Daten des Aufrufs, nicht aber den Namen oder sonstige Identifikationsdaten. Zur Ermittlung des Anschlussinhabers ist ein Ersuchen an den Internetzugangsanbieter zu richten, dem die IP-Adresse zugewiesen war.
• Der Inhalt der Zielseiten: pik.li speichert die Adresse, keine Kopie der Website. Wegen des Inhalts ist ein Ersuchen an denjenigen zu richten, der die Seite hostet.
• Daten, die nach Ablauf der in der Datenschutzerklärung angegebenen Speicherfristen bereits gelöscht wurden, einschließlich der IP-Adressen der Aufrufe: Einmal gelöscht, sind sie nicht wiederherstellbar, auch nicht aus den Sicherungskopien nach deren Ablauf.
• Daten, die InCloud nicht verarbeitet: Angaben zum PayPal-Konto oder zur Kryptowährungs-Wallet, Daten der Zahlungsmittel, Protokolle von Cloudflare, Daten, die beim Registrar oder beim E-Mail-Anbieter des Kontoinhabers vorliegen. InCloud nennt gern den Anbieter, an den sich die Behörde wenden kann.
• Abhörmaßnahmen oder Echtzeitüberwachung: InCloud ist kein Anbieter elektronischer Kommunikationsdienste. Auf behördliche Anordnung kann InCloud jedoch die Daten sichern und übermitteln, die künftig in Bezug auf ein bestimmtes Konto oder einen bestimmten Link entstehen.
• Passwörter im Klartext: Sie werden ausschließlich als nicht umkehrbarer Hash gespeichert.
• Eine verifizierte Identität: Name und Anschrift werden vom Kontoinhaber angegeben und von InCloud nicht überprüft, mit Ausnahme der USt-IdNr., die im System VIES geprüft wird.

7.Eilsicherung von Daten

Besteht die Gefahr, dass die Daten vor Erlass der förmlichen Anordnung verloren gehen, kann die Behörde ihre Sicherung verlangen: InCloud nimmt sie für 90 Tage, auf begründetes Ersuchen verlängerbar, von den automatischen Löschverfahren aus und übermittelt sie erst, wenn eine wirksame Anordnung eingeht.

InCloud führt Sicherungsanordnungen nach Art. 132 Abs. 4-ter des italienischen Datenschutzkodex (Codice in materia di protezione dei dati personali, gesetzesvertretendes Dekret Nr. 196/2003) für die angegebene Dauer, jedoch nicht länger als gesetzlich vorgesehen, sowie Europäische Sicherungsanordnungen nach der Verordnung (EU) 2023/1543 (60 Tage, verlängerbar um weitere 30 Tage) unverzüglich aus. InCloud wahrt für den von der Behörde angegebenen Zeitraum Stillschweigen über die erhaltene Anordnung und die durchgeführten Maßnahmen.

Die Sicherung erfasst die zum Zeitpunkt des Ersuchens vorhandenen Daten und, sofern angegeben, die bis zum Fristablauf entstehenden Daten.

8.Notfallersuchen

Bei unmittelbarer Gefahr für Leben oder körperliche Unversehrtheit einer Person (zum Beispiel Suizidgefahr, Entführung, Anschlagsdrohung, Ausbeutung eines Minderjährigen) muss der Betreff der Nachricht mit der englischen Kennzeichnung „URGENT – DANGER TO LIFE“ (dringend – Lebensgefahr) beginnen, und die ersten Zeilen müssen die Lage beschreiben: wer in Gefahr ist, aus welchem Grund, welche Daten benötigt werden und weshalb eine reguläre Anordnung nicht abgewartet werden kann.

Solche Ersuchen werden mit absolutem Vorrang behandelt. Im gesetzlich zulässigen Rahmen kann InCloud die zur Abwendung des Notfalls unbedingt erforderlichen Daten bereits vor Erlass der förmlichen Anordnung übermitteln (Art. 6 Abs. 1 lit. d DSGVO) und einen Link sofort deaktivieren; das förmliche Schriftstück ist so bald wie möglich nachzureichen. Bei Europäischen Herausgabeanordnungen in Notfällen hält InCloud die in der Verordnung (EU) 2023/1543 vorgesehene Frist von 8 Stunden ein.

Erlangt InCloud selbst Kenntnis von Informationen, die den Verdacht einer Straftat begründen, die eine Gefahr für das Leben oder die Sicherheit von Personen darstellt, unterrichtet InCloud von sich aus die zuständigen Behörden (Art. 18 DSA).

9.Entfernung und Deaktivierung von Links

Ein Link, der gegen die Regeln von pik.li verstößt, wird deaktiviert, sobald InCloud davon Kenntnis erlangt, ohne dass eine Anordnung abgewartet wird: Die Zieladresse ist nicht mehr erreichbar, und wer den Link aufruft, sieht eine Seite, die die Deaktivierung erläutert. Jeder kann einen solchen Link über die Seite Missbrauch melden melden; eine Behörde kann seine Deaktivierung über die auf dieser Seite angegebene Adresse verlangen.

InCloud befolgt Anordnungen zum Vorgehen gegen rechtswidrige Inhalte (Art. 9 DSA) und Anordnungen zur Bereitstellung von Informationen (Art. 10 DSA) und unterrichtet die erlassende Behörde unverzüglich über die ergriffenen Maßnahmen und den Zeitpunkt ihrer Umsetzung.

Auf Ersuchen deaktiviert InCloud den Link, ohne ihn zu löschen, damit die Daten für die Ermittlungen verfügbar bleiben.

10.Ersuchen von Behörden anderer Staaten

• Behörden anderer Mitgliedstaaten der Europäischen Union: InCloud befolgt Europäische Herausgabeanordnungen und Europäische Sicherungsanordnungen nach der Verordnung (EU) 2023/1543, die ab dem 18. August 2026 gilt, sowie Anordnungen nach Art. 9 und 10 DSA. Sonstige Ersuchen sind im Wege einer Europäischen Ermittlungsanordnung (Richtlinie 2014/41/EU) oder über die italienischen Behörden zu übermitteln.
• Behörden von Drittländern: InCloud übermittelt Daten nur über die Kanäle der Rechtshilfe (internationales Rechtshilfeersuchen, Rechtshilfeabkommen – MLAT, Budapester Übereinkommen über Computerkriminalität) oder über die zuständigen italienischen Behörden, da die Entscheidung einer ausländischen Behörde für sich genommen eine Übermittlung nicht rechtfertigt (Art. 48 DSGVO). InCloud kann die Daten jedoch bis zum Eingang des förmlichen Ersuchens sichern, auch auf Hinweis der Kontaktstellen des im Budapester Übereinkommen vorgesehenen 24/7-Netzwerks.
• In Notfällen, in denen das Leben einer Person in Gefahr ist, prüft InCloud im gesetzlich zulässigen Rahmen im Einzelfall auch unmittelbare Ersuchen ausländischer Behörden.

11.Information des Kontoinhabers

In der Regel informiert InCloud den Kontoinhaber über das ihn betreffende Ersuchen oder die ihn betreffende Anordnung und über die ergriffenen Maßnahmen, wie es Art. 9 und 10 DSA für behördliche Anordnungen vorsehen.

InCloud sieht von der Information ab oder schiebt sie auf, wenn das Gesetz oder die Behörde sie untersagt (zum Beispiel bei Sicherungsanordnungen nach Art. 132 Abs. 4-ter des Datenschutzkodex oder bei Europäischen Anordnungen, bei denen die Information der betroffenen Person der Behörde obliegt), wenn die Behörde dies mit Begründung verlangt, um die Ermittlungen nicht zu gefährden, oder wenn die Information die Sicherheit einer Person gefährden würde. Das Ersuchen sollte die Dauer der Geheimhaltungspflicht angeben: Nach deren Ablauf informiert InCloud den Kontoinhaber, sofern keine Verlängerung erfolgt.

12.Register und Transparenz

InCloud erfasst jedes Ersuchen und jede Anordnung: Eingangsdatum, Behörde, Aktenzeichen, durchgeführte Prüfungen, übermittelte Daten und Datum der Antwort. Das Register ist vertraulich und wird nach Maßgabe der Datenschutzerklärung aufbewahrt.

InCloud ist ein Kleinunternehmen und daher, solange sie diese Eigenschaft behält, nicht verpflichtet, den im DSA vorgesehenen Transparenzbericht zu veröffentlichen (Art. 15 Abs. 2); sie kann jedoch freiwillig eine Zusammenfassung veröffentlichen.

13.Hinweise

• Diese Richtlinie beschreibt die Verfahren von InCloud: Sie stellt keine Rechtsberatung dar, begründet keine Rechte Dritter und erweitert nicht die Pflichten, die InCloud nach dem Gesetz obliegen.
• InCloud übermittelt ausschließlich die zum Zeitpunkt des Ersuchens in ihren Systemen vorhandenen Daten in ihrem jeweiligen Zustand: InCloud erzeugt keine Daten, über die sie nicht verfügt, und rekonstruiert keine gelöschten Daten.
• InCloud übernimmt keine Gewähr für die Richtigkeit und Vollständigkeit der Daten: Namen, Anschriften und Kontaktdaten werden von den Kontoinhabern angegeben; der Standort ist eine aus der IP-Adresse abgeleitete Schätzung; eine IP-Adresse kann zu einem VPN, einem Proxy, dem Tor-Netzwerk oder einem Betreiber gehören, der sie mehreren Nutzern gemeinsam zuweist; die Zeitangaben sind die der Server von InCloud in UTC.
• InCloud kann ein Ersuchen ablehnen, beanstanden oder um Klarstellung bitten, wenn es rechtswidrig oder unverhältnismäßig erscheint, keine eindeutige Rechtsgrundlage hat, nicht überprüfbar ist oder Daten betrifft, die InCloud nicht verarbeitet. Keine Bestimmung dieser Richtlinie bedeutet einen Verzicht auf die Rechte und Rechtsbehelfe, die InCloud oder den Kontoinhabern zustehen.
• InCloud unterliegt keiner allgemeinen Verpflichtung zur Überwachung der Links oder zur aktiven Nachforschung nach rechtswidrigen Tätigkeiten (Art. 8 DSA); die freiwillig ergriffenen Maßnahmen ändern an diesem Grundsatz nichts.
• Eine an diese Adresse gesandte E-Mail ersetzt nicht die gesetzlich vorgeschriebenen Formen der Zustellung: Für Schriftstücke, die einer förmlichen Zustellung bedürfen, ist die PEC-Adresse zu verwenden.
• Die Adresse ist Behörden vorbehalten: Nachrichten anderer Absender werden nicht beantwortet.
• InCloud kann diese Richtlinie aktualisieren; es gilt die auf dieser Seite veröffentlichte Fassung mit dem oben angegebenen Datum. Maßgeblich ist der italienische Text.