Datenschutzerklärung

Einen Datenschutzbeauftragten haben wir nicht bestellt; es sind weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst (§ 38 BDSG). Fragen zum Datenschutz richtest du an klappe@filmzwerg.de.

• Wir setzen keine Analyse-Werkzeuge, kein Tracking und keine Werbung ein.
• Schriften, Skripte, Bilder und Videos kommen von dieser Domain. Eine Sicherheitsrichtlinie (Content-Security-Policy) verhindert, dass der Browser Inhalte von fremden Servern nachlädt. Einzige Ausnahme: Tippst du in Chrome auf den Chromecast-Knopf, lädt der Browser einen Baustein von Google (siehe „Auf dem Fernseher schauen“).
• Als Zuschauer bekommst du ein einziges Cookie, das deine Anmeldung hält. Ein Cookie-Banner brauchen wir deshalb nicht.
• Im Testbetrieb verlangen wir keine E-Mail-Adresse und kein Passwort. Ein Anzeigename genügt, er muss nicht dein echter Name sein.

Die Seite läuft auf einem eigenen virtuellen Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe; das Rechenzentrum steht in Nürnberg. Datenbank, Bilder und Videos liegen auf diesem Server. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Der Webserver (Caddy) schreibt ein Zugriffsprotokoll: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Datenmenge und die Browser-Kennung (User-Agent). Das brauchen wir, um den Betrieb zu sichern und Angriffe zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolldatei wird ab 20 MB Größe rotiert, es bleiben die letzten fünf Dateien; eine feste Löschfrist in Tagen gibt es derzeit nicht. Die Anwendung selbst speichert keine IP-Adressen in der Datenbank.

Die Verbindung ist verschlüsselt (https). Die Zertifikate stellt der Webserver automatisch aus.

Wir verwenden nur technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG). Dafür ist keine Einwilligung nötig.

• hk_session: hält dich angemeldet. Es enthält eine zufällige Zeichenfolge, keine Angaben zu dir. Es gilt 90 Tage, ist nur für unseren Server lesbar (httpOnly) und wird nicht an andere Seiten gesendet.
• Nur für Verwaltungskonten: ein Cookie, das einen frisch erzeugten Einladungslink fünf Minuten lang im Verwaltungsbereich anzeigt.

Im Browser (localStorage, sessionStorage) speichern wir nichts. Abmelden löscht das Cookie und die zugehörige Sitzung auf dem Server.

Wenn du einen Einladungslink einlöst, legen wir ein Konto an. Wir speichern: den Anzeigenamen, den du eingibst, deine Rolle (Zuschauerin oder Zuschauer, Verwaltung), die Sprache der Oberfläche, den Zeitpunkt deines letzten Besuchs und, nur wenn du es freiwillig einträgst, die ersten zwei Ziffern deiner Postleitzahl. Mit der Gegend zeigen wir dir Serien aus deiner Nähe zuerst.

Zur Sitzung gehören der Hash des Cookie-Wertes (nicht der Wert selbst), ein auf 200 Zeichen gekürzter Text deines Browsers (User-Agent), Anlage- und Ablaufzeit und der Zeitpunkt der letzten Nutzung. Vom Einladungslink speichern wir nur den Hash, nicht den Link, dazu die Bezeichnung, die der Einladende vergeben hat, und wie oft er benutzt wurde.

Rechtsgrundlage ist die Nutzung der Plattform auf deinen Wunsch (Art. 6 Abs. 1 lit. b DSGVO), bei der Sicherung der Sitzung unser Interesse an einem sicheren Betrieb (lit. f). Wir speichern die Angaben, solange das Konto besteht. Auf Wunsch per E-Mail löschen wir dein Konto samt Fortschritt und Liste.

Damit du dort weiterschaust, wo du aufgehört hast, speichern wir je Folge deine Position und ob du sie zu Ende gesehen hast. Deine Liste („Meine Liste“) speichern wir ebenfalls mit deinem Konto.

Außerdem zählt der Server Ereignisse: Start einer Folge, 25, 50 und 75 Prozent, Ende. Zu jedem Ereignis speichern wir deine Konto-Kennung, die Folge, den Zeitpunkt und eine grobe Geräteklasse (Handy, Tablet oder Rechner). Einen Fingerabdruck deines Geräts erstellen wir nicht. Daraus entstehen die Reihe „Gerade viel geschaut“ auf der Startseite und die Zahlen für die Verwaltung: wie viele Starts und Abschlüsse jede Folge hat und wo Zuschauer aussteigen. Das ist unser berechtigtes Interesse an einem besseren Programm (Art. 6 Abs. 1 lit. f DSGVO). Dem kannst du jederzeit widersprechen (siehe „Deine Rechte“).

Löschst du dein Konto, löschen wir Fortschritt und Liste. Die gezählten Ereignisse bleiben ohne Bezug zu deinem Konto erhalten.

Wir treffen keine Entscheidungen, die allein auf automatisierter Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Die Reihen auf der Startseite folgen festen Regeln (zuletzt gesehen, neu, am häufigsten gestartet), kein Profil über dich.

AirPlay in Safari ist eine Funktion deines Geräts. Wir binden dafür nichts von Apple ein; was dein Gerät dabei mit Apple austauscht, liegt außerhalb dieser Seite.

Für Chromecast braucht Chrome einen Baustein von Google (Google Cast). Der Player lädt ihn nicht beim Öffnen einer Folge, sondern erst, wenn du in Chrome auf den Chromecast-Knopf tippst. Dann ruft dein Browser die Datei cast_sender.js von www.gstatic.com ab, einem Server von Google. Dabei erhält Google deine IP-Adresse, die Browser-Kennung (User-Agent), den Zeitpunkt und die Adresse unserer Seite, von der der Abruf kommt. Der Baustein sucht anschließend Chromecast-Geräte in deinem Netz.

Wählst du ein Gerät, holt der Fernseher die Folge mit einer zeitlich begrenzten, nur für diese Folge gültigen Adresse direkt von unserem Server. An das Gerät gehen dabei Serientitel, Folgentitel und Vorschaubild. Die Wiedergabe auf dem Fernseher steuert die Standard-Empfänger-App von Google auf dem Chromecast.

Rechtsgrundlage ist die von dir angeforderte Funktion (Art. 6 Abs. 1 lit. b DSGVO); der Zugriff auf dein Gerät dafür ist unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Verantwortlich für die Verarbeitung bei Google ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google kann Daten in die USA übermitteln. Wer nicht tippt, schickt Google über unsere Seite nichts.

Wer über das Formular unter „Rechtswidrigen Inhalt melden“ etwas meldet, gibt die betroffene Adresse, einen Grund und eine Erklärung an; Name und E-Mail-Adresse sind freiwillig. Wir speichern genau diese Angaben mit dem Zeitpunkt und dem Stand der Bearbeitung. IP-Adresse und Cookie-Daten speichern wir dafür nicht. Wir nutzen sie, um die Meldung zu prüfen und zu beantworten (Art. 6 Abs. 1 lit. c und f DSGVO, in Verbindung mit den Pflichten zum Umgang mit Meldungen). Wir löschen eine Meldung (wird ergänzt).

Heute erhält niemand außer unserem Hoster netcup Zugriff auf Daten aus dem Betrieb. Wir geben keine Daten an Werbe- oder Analysefirmen. Eine Übermittlung in Länder außerhalb der EU findet durch uns nicht statt. Nur wenn du in Chrome den Chromecast-Knopf nutzt, ruft dein Browser selbst einen Baustein bei Google ab (siehe „Auf dem Fernseher schauen“).

Die folgenden Dienste laufen noch nicht. Wir ergänzen diese Erklärung, bevor sie starten.

• künftigVideoauslieferung über bunny.net (BunnyWay d.o.o., Slowenien): Ein Netzwerk zur Auslieferung (CDN) in der EU soll Folgen schneller zu dir bringen. Beim Abruf eines Videos sähe Bunny deine IP-Adresse und die abgerufene Datei. Dafür schließen wir einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und begrenzen die Auslieferung auf EU-Standorte.
• künftigBezahlung über Stripe (Stripe Payments Europe, Ltd., Dublin, Irland): Für ein Abo gäbest du Zahlungsdaten direkt bei Stripe ein; wir sehen sie nicht. Wir speicherten Betrag, Zeitraum, Status, die Kennungen von Stripe und die Rechnung (Art. 6 Abs. 1 lit. b und c DSGVO; Rechnungen bewahren wir nach § 147 AO bis zu zehn Jahre auf). Stripe verarbeitet Daten teils als eigener Verantwortlicher und kann sie in die USA übermitteln.
• künftigAnmeldung per E-Mail-Link und Passkey: Dann speichern wir deine E-Mail-Adresse. Der Versand läuft über einen E-Mail-Dienst, den wir noch auswählen (Brevo oder eigener Server bei netcup). (wird ergänzt)
• künftigDatenauskunft und Konto löschen per Knopfdruck im Konto. Bis dahin per E-Mail.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib dazu an klappe@filmzwerg.de.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns ist zuständig: Landesbeauftragte für den Datenschutz Sachsen-Anhalt, Otto-von-Guericke-Straße 34a, 39104 Magdeburg, https://datenschutz.sachsen-anhalt.de