Die DSGVO-Compliance berührt mehr von der technischen Architektur eines Produkts, als die meisten Teams anfangs erwarten, und eine der konkreteren Anforderungen, auf die ein SaaS-Unternehmen stieß, war, zuverlässig und zu Beginn jeder Sitzung wissen zu müssen, ob ein Besucher sich von innerhalb der Europäischen Union verbindet. Diese Antwort entschied darüber, in welche Speicherregion die Daten eines neuen Kontos geleitet werden sollten und welcher Einwilligungsablauf angezeigt werden musste, bevor eine nicht notwendige Datenerhebung begann.
Selbst angegebene Standorte waren dafür nicht zuverlässig genug. Wenn Besucher bei der Registrierung ihr Land selbst angeben sollen, entstehen Antworten, die manchmal übersprungen, vertippt oder bei einer schnellen Registrierung schlicht falsch angegeben werden, und das Unternehmen brauchte ein Signal, das für eine compliance-relevante Entscheidung nicht davon abhing, dass ein Formularfeld korrekt ausgefüllt wurde.
/v1/ip gab dem Unternehmen dafür ein unabhängiges, serverseitiges Signal. Die IP-Adresse eines Besuchers wurde zu Beginn einer neuen Sitzung automatisch in ein Feld country aufgelöst, und dieses teilte dem Anwendungsserver des Unternehmens mit, ob EU-spezifische Regeln für Einwilligung und Datenverarbeitung anzuwenden waren, bevor der Besucher überhaupt mit etwas auf der Seite interagiert hatte, und nicht erst im Nachhinein, nachdem bereits Daten erhoben worden waren.
Das Unternehmen behandelte das erkannte Land für diesen Zweck als starkes operatives Signal, gerade weil die Schutzbestimmungen der DSGVO allgemein so verstanden werden, dass sie sich danach richten, wo sich eine Person bei der Verarbeitung ihrer Daten aufhält, und nicht nach ihrer Staatsangehörigkeit oder dem Hauptsitz eines Unternehmens. Das machte eine IP-basierte Standortprüfung zu einem wirklich relevanten Signal für genau diese Compliance-Frage, anders als es etwa bei der Bestimmung, welches nationale Steuerrecht für eine Transaktion gilt, unbedingt der Fall wäre. Die eigene Rechtsabteilung des Unternehmens prüfte diesen Ansatz gezielt und behandelte ihn als einen vernünftigen Baustein eines umfassenderen Compliance-Programms und nicht als vollständige Lösung für sich.
Sonderfälle wurden vorsichtig statt optimistisch behandelt. Ein Besucher, dessen IP-Adresse sich nicht eindeutig auflösen ließ oder bei dem über das mit mg_extras=1 oder dem Header X-MG-Extras verfügbare Feld extras ein VPN oder Proxy erkannt wurde, erhielt standardmäßig die strengere, EU-konforme Behandlung statt der leichteren Standardbehandlung. Die Überlegung dahinter: Stärkere Datenschutzmaßnahmen auf einen Besucher anzuwenden, der sie nicht brauchte, war ein weit kleineres Problem, als schwächere Maßnahmen auf einen anzuwenden, der sie brauchte. Dieser vorsichtige Standard war eine bewusste, mit rechtlicher Beratung getroffene Grundsatzentscheidung und nichts, was die Standortabfrage selbst festlegte.
Das Unternehmen protokollierte als Teil seiner eigenen Compliance-Dokumentation, welches Ländersignal die Entscheidung zur Datenverarbeitung jeder Sitzung bestimmt hatte, zusammen mit einem Zeitstempel. So hatte es eine konkrete, prüfbare Aufzeichnung darüber, wie diese Entscheidungen getroffen wurden, falls eine Aufsichtsbehörde oder ein Prüfer je danach fragen sollte, statt einer nicht überprüfbaren Behauptung darüber, wie sich das System im Allgemeinen verhielt.
Nichts davon ersetzt die umfassendere DSGVO-Compliance-Arbeit rund um Einwilligungstexte, Betroffenenrechte oder die zugrunde liegenden Auftragsverarbeitungsverträge eines Unternehmens, und das Unternehmen stellte intern klar, dass die IP-basierte Ländererkennung ein bestimmtes, eng umrissenes Teilstück eines viel größeren Compliance-Bildes löste: das Teilstück, das eine Sitzung im Moment ihres Beginns an die richtigen Verarbeitungsregeln weiterleitet.
Das Volumen entsprach dem Sitzungsvolumen, lag bei moderatem Traffic bequem innerhalb des kostenlosen Tageskontingents und ging mit dem Wachstum des Produkts planbar auf Prepaid-Guthaben über. Die Dokumentation zum Endpunkt finden Sie unter /docs/ipv4-lookup/ und /docs/ipv6-lookup/.