Datenschutz

Verantwortliche Stelle

Verantwortlich für die Bearbeitung von Personendaten auf dieser Website im Sinne von Art. 5 lit. j des Bundesgesetzes über den Datenschutz (DSG, SR 235.1) ist:

Für alle Fragen zum Datenschutz und zur Ausübung der unten genannten Rechte genügt eine E-Mail an diese Adresse. Eine Datenschutzberaterin oder ein Datenschutzberater nach Art. 10 DSG ist nicht bestellt; das ist für private Verantwortliche freiwillig.

Was diese Website nicht tut

• Kein Analytics, keine Reichweitenmessung, keine Statistik-Software. Es gibt kein Google Analytics, kein Plausible, kein Matomo, keinen Tag-Manager.
• Keine Tracking-Pixel, keine Werbenetzwerke, kein Retargeting, keine Profilbildung, keine automatisierte Einzelentscheidung nach Art. 21 DSG.
• Keine Social-Media-Plugins, keine eingebetteten Videos von Drittanbietern, keine externen Kommentar- oder Chat-Dienste.
• Keine Schriftarten, Skripte oder Bilder, die der Browser bei Dritten abholt. Alles wird von dieser Domain ausgeliefert.
• Keine Datenbank. Es gibt keinen Ort, an dem diese Website Besucherdaten dauerhaft ablegt — der frühere Datenbank-Anbieter ist entfernt worden.
• Kein Newsletter, keine Werbe-E-Mails, keine Weitergabe oder gar Verkauf von Adressen an Dritte.

Serverprotokolle beim Hoster

Diese Website wird bei Vercel Inc. betrieben. Wie bei jedem Webserver fallen dabei technische Verbindungsdaten an, die der Browser von sich aus mitschickt und die für die Auslieferung einer Seite technisch nötig sind: IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge sowie die vom Browser gemeldete Kennung (User-Agent) und gegebenenfalls die verweisende Seite (Referrer).

Diese Daten entstehen beim Hoster, nicht in unserem Code. Sie dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen; sie werden nicht mit anderen Daten zusammengeführt und nicht ausgewertet, um Besucher wiederzuerkennen. Vercel ist damit Auftragsbearbeiter nach Art. 9 DSG; die Bearbeitung erfolgt auf Grundlage der Auftragsverarbeitungsvereinbarung (Data Processing Addendum), die Bestandteil der Nutzungsbedingungen ist.

Vercel ist ein US-Unternehmen. Ruhende Dateien wie Bilder und Schriften liefert ein weltweites Verteilnetz aus, das eine Anfrage meist von einem Standort in der Nähe des Besuchers beantwortet. Die Seiten selbst werden dagegen bei jedem Aufruf auf einem Server erzeugt, und dieser Serverteil läuft in genau einer Region: ohne besondere Einstellung ist das beim Hoster ein Rechenzentrum in den Vereinigten Staaten. Die oben genannten Verbindungsdaten fallen deshalb dort an. Was daraus folgt, steht im Abschnitt „Bekanntgabe ins Ausland“.

Cookies

Diese Website setzt vier Cookies, und zwar nur dann, wenn die zugehörige Funktion tatsächlich benutzt wird. Beim blossen Aufruf der Startseite wird KEIN Cookie gesetzt. Keines dieser Cookies dient der Werbung, der Analyse oder der Wiedererkennung über Websites hinweg.

Warum es keinen Cookie-Banner gibt

Alle vier Cookies sind technisch notwendig. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte versteht darunter Cookies, ohne die eine Website die vom Besucher gewünschte Funktion gar nicht erfüllen könnte, oder ohne die die Bearbeitung die Mindestanforderungen an die technische Sicherheit nicht einhalten würde. Genau das trifft hier zu: Ohne diese vier funktioniert die Funktion nicht, die der Besucher gerade selbst ausgelöst hat — Anmeldung, Navigation, Sprachwahl, Redaktion. Keines von ihnen beobachtet Verhalten.

Massgeblich ist in der Schweiz Art. 45c lit. b des Fernmeldegesetzes (FMG, SR 784.10). Danach ist das Bearbeiten von Daten auf fremden Geräten zulässig, wenn die Nutzerinnen und Nutzer über die Bearbeitung und ihren Zweck informiert werden und darauf hingewiesen werden, dass sie sie ablehnen können. Das Schweizer Recht verlangt also Information und Widerspruchsmöglichkeit, keine vorherige Einwilligung — genau das leistet dieser Abschnitt. Auch die europäische ePrivacy-Richtlinie (2002/58/EG, Art. 5 Abs. 3) nimmt Cookies aus, die „unbedingt erforderlich“ sind, damit ein vom Nutzer ausdrücklich gewünschter Dienst erbracht werden kann.

Der Vollständigkeit halber, weil dieser Text ehrlich sein soll und nicht bequem: Die Stellungnahme der früheren Artikel-29-Datenschutzgruppe (WP 194 aus dem Jahr 2012) zählt Anmelde-Cookies zwar zu den ausgenommenen, nimmt aber solche aus, die eine Anmeldung über das Ende der Browser-Sitzung hinaus aufrechterhalten; für Cookies, die eine Sprachwahl merken, hält sie ebenfalls nur eine kurze Laufzeit für selbstverständlich. Beide Laufzeiten hier — 30 Tage für die Anmeldung, ein Jahr für die Sprache — sind Bequemlichkeitsentscheidungen: Sie ersparen Personen, die das Material über Wochen prüfen, das wiederholte Eintippen des Codes, und sie ersparen englischsprachigen Besuchern, die Sprache bei jedem Besuch neu zu wählen.

Wer das nicht möchte, löscht die Cookies im Browser oder benutzt ein privates Fenster; die Seite bleibt dabei vollständig benutzbar, nur der geschützte Bereich verlangt den Code erneut. Das ist die Ablehnungsmöglichkeit, auf die das Gesetz hinweisen lässt.

Cookies lassen sich jederzeit im Browser löschen oder von vornherein blockieren. Wer dc.zugang blockiert, kann den geschützten Bereich nicht mehr öffnen; wer dc.lang blockiert, bekommt bei jedem Aufruf wieder Deutsch. Der öffentliche Teil der Seite funktioniert ohne jedes Cookie.

Speicher im Browser

Neben Cookies benutzt die Seite den lokalen Speicher des Browsers (localStorage und sessionStorage). Der entscheidende Unterschied zu Cookies: Diese Einträge werden NICHT an den Server geschickt. Sie liegen auf dem Gerät und verlassen es nicht.

Die beiden Effekt-Merker enthalten je die Ziffer 1 und sonst nichts. Keiner dieser Einträge wird ausgelesen, um jemanden wiederzuerkennen, und keiner wird an einen Server geschickt.

Die Zugangsanfrage

Wer den geschützten Bereich betreten will, gibt auf der Startseite eine E-Mail-Adresse und einen Zugangscode ein. Beides geht an eine Schnittstelle auf dieser Domain (/api/zugang). Dort passiert Folgendes, und nur das:

• Der Code wird zu einem Hash umgerechnet und mit dem hinterlegten Vergleichswert geprüft. Der Code selbst wird nirgends gespeichert und nirgends protokolliert.
• Ist er richtig, schreibt der Server eine Zeile in sein Protokoll: die eingegebene E-Mail-Adresse, den Zeitstempel und die verweisende Seite. Diese Zeile landet im Serverlog des Hosters — es gibt keine Datenbank und keine Liste, in die sie sonst noch fliesst.
• Anschliessend werden die beiden oben beschriebenen Cookies gesetzt, und der Besucher ist angemeldet.
• Ist der Code falsch, wird gar nichts protokolliert.

Ehrlich gesagt heisst das: Aus diesen Zeilen lässt sich keine Interessentenliste erzeugen. Das ist eine bewusste Entscheidung und kein Versehen — die frühere Datenbank ist entfernt worden. Sollte das je wieder anders sein, gehört es zuerst hierher und dann in den Code.

Schutz vor Rateversuchen

Damit der Zugangscode nicht automatisiert durchprobiert werden kann, zählt der Server die Versuche pro IP-Adresse: höchstens zehn innerhalb einer Minute. Diese Zählung ist eine Bearbeitung von Personendaten und deshalb hier genannt. Sie findet ausschliesslich im Arbeitsspeicher des laufenden Serverprozesses statt, wird auf keine Festplatte geschrieben und ist beim nächsten Neustart des Prozesses vollständig weg — in der Praxis nach wenigen Minuten Leerlauf. Die Rechtsgrundlage ist das überwiegende private Interesse an der Sicherheit unveröffentlichten Materials (Art. 31 Abs. 1 DSG).

Das Kontaktformular

Das Kontaktformular auf der Startseite hat derzeit KEINEN Übertragungsweg. Es gibt keinen E-Mail-Versand, keine Schnittstelle und keine Datenbank dahinter. Wer es absendet, bewirkt genau eines: Die Eingaben werden als Entwurf im lokalen Speicher des eigenen Browsers gesichert (dc.contact.draft, siehe oben). Sie erreichen uns nicht.

Die Statuszeile im Formular sagt genau das und behauptet nichts anderes. Wer uns tatsächlich erreichen will, schreibt an die im Impressum genannte E-Mail-Adresse. Sobald es einen echten Übertragungsweg gibt, wird dieser Abschnitt vor der Freischaltung geändert.

Das Formular enthält ein für Menschen unsichtbares Zusatzfeld (ein „Honeypot“), das nur automatische Skripte ausfüllen. Ist es ausgefüllt, wird die Eingabe verworfen — auch der lokale Entwurf. Es wird dabei nichts protokolliert.

Schriftarten und externe Dienste

Die beiden verwendeten Schriften (Space Grotesk und JetBrains Mono) stammen ursprünglich aus dem Google-Fonts-Verzeichnis, werden aber NICHT zur Laufzeit von Google geholt. Sie werden beim Erstellen der Seite einmalig heruntergeladen, in das Auslieferungspaket kopiert und von dieser Domain ausgeliefert. Der Browser eines Besuchers baut also keine Verbindung zu Google auf, und es geht keine IP-Adresse dorthin.

Das ist nachgeprüft und nicht angenommen: Im erzeugten Auslieferungspaket liegen die Schriftdateien als lokale .woff2-Dateien, und der gesamte ausgelieferte Code enthält keine einzige Adresse von fonts.googleapis.com oder fonts.gstatic.com.

Darüber hinaus bindet diese Website keine fremden Dienste ein. Die einzigen Programmbibliotheken laufen im Browser des Besuchers und sprechen mit niemandem. Der einzige Dritte, der Daten sieht, ist der Hoster — siehe oben.

Bekanntgabe ins Ausland

Weil der Hoster ein US-Unternehmen ist und der Serverteil dieser Website ohne besondere Einstellung in einem US-Rechenzentrum läuft, gelangen die im Abschnitt „Serverprotokolle“ genannten technischen Verbindungsdaten in die Vereinigten Staaten. Eine Bekanntgabe ins Ausland ist nach Art. 16 DSG zulässig, wenn der Bundesrat für den Zielstaat einen angemessenen Datenschutz festgestellt hat; die entsprechende Länderliste steht in Anhang 1 der Datenschutzverordnung (DSV).

Für die USA hat der Bundesrat einen angemessenen Schutz für Unternehmen anerkannt, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Ist der Hoster nicht oder nicht mehr zertifiziert, stützt sich die Bekanntgabe auf die Standardvertragsklauseln, die Bestandteil seiner Auftragsverarbeitungsvereinbarung sind (Art. 16 Abs. 2 lit. d DSG).

Andere Empfänger gibt es nicht. Insbesondere werden keine Daten an Werbe-, Analyse- oder Social-Media-Anbieter im In- oder Ausland weitergegeben.

Wie lange etwas bleibt

• Cookies: die in der Tabelle genannte Laufzeit, oder kürzer, wenn sie im Browser gelöscht werden.
• Einträge im Browser-Speicher: bis sie gelöscht werden beziehungsweise bis der Tab geschlossen wird. Sie liegen auf dem Gerät des Besuchers, nicht bei uns.
• Serverprotokolle: Der Hoster löscht die Laufzeitprotokolle automatisch nach kurzer Zeit — je nach gebuchtem Tarif nach einer Stunde bis nach wenigen Tagen. Wir exportieren sie nicht und bewahren keine eigenen Kopien auf.
• Die Zählung der Anmeldeversuche: bis der Serverprozess neu startet, in der Praxis Minuten.
• E-Mails, die an die im Impressum genannte Adresse geschrieben werden: so lange, wie es die Bearbeitung des Anliegens erfordert, und danach nach den gesetzlichen Aufbewahrungsfristen.

Ihre Rechte

Nach dem revidierten Datenschutzgesetz stehen betroffenen Personen insbesondere die folgenden Rechte zu:

• Auskunft darüber, ob und welche Personendaten über sie bearbeitet werden (Art. 25 DSG). Die Auskunft ist in der Regel kostenlos und wird innerhalb von 30 Tagen erteilt.
• Berichtigung unrichtiger Daten (Art. 32 Abs. 1 DSG).
• Löschung oder Vernichtung der Daten sowie ein Verbot der Bearbeitung, unter den Voraussetzungen von Art. 32 Abs. 2 DSG.
• Widerspruch gegen eine Bearbeitung (Art. 30 Abs. 2 lit. b DSG).

Für all das genügt eine E-Mail an die im Impressum genannte Adresse. Um Auskunft nicht an die falsche Person zu erteilen, können wir einen Identitätsnachweis verlangen. Ehrlicherweise ist der Umfang hier klein: Ausser einer möglichen Protokollzeile mit einer E-Mail-Adresse und den Verbindungsdaten beim Hoster gibt es nichts, was wir gespeichert hätten.

Nicht aufgeführt ist das Recht auf Datenherausgabe oder -übertragung (Art. 28 DSG), und zwar bewusst: Es setzt eine Bearbeitung voraus, die auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt. Die Verbindungsdaten beim Hoster sind weder das eine noch das andere — das Recht ginge hier ins Leere. Es hier trotzdem zu versprechen, wäre der bequemere, aber unehrliche Weg.

Aufsichtsbehörde

Zuständig ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern. Er eröffnet Untersuchungen von Amtes wegen oder auf Anzeige hin (Art. 49 DSG); eine Anzeige steht jeder Person offen.

Besucherinnen und Besucher aus der EU

Diese Website wird von einem Schweizer Unternehmen betrieben und richtet sich an die Film- und Serienbranche im deutschsprachigen Raum. Sie ist aus der EU abrufbar und in Teilen auf Englisch verfügbar.

Die Datenschutz-Grundverordnung gilt für ein Unternehmen ohne Niederlassung in der EU nur unter den Voraussetzungen ihres Art. 3 Abs. 2: wenn Waren oder Dienstleistungen gezielt Personen in der EU angeboten werden, oder wenn deren Verhalten beobachtet wird. Erwägungsgrund 23 stellt ausdrücklich klar, dass die blosse Abrufbarkeit einer Website — auch mit E-Mail-Adresse oder in einer anderen Sprache — dafür nicht genügt; es braucht eine erkennbare Absicht, sich an Personen in der EU zu wenden. Diese Website verkauft nichts, wirbt nicht in der EU, nennt keine EU-Währung und beobachtet kein Verhalten. Ein Vertreter in der EU nach Art. 27 DSGVO ist deshalb nach heutigem Stand nicht zu bestellen; Art. 27 Abs. 2 lit. a nimmt gelegentliche und risikoarme Bearbeitungen zusätzlich ausdrücklich aus.

Diese Einordnung ist eine Einschätzung und wird hier offen als solche benannt. Sie ändert praktisch ohnehin wenig: Die Punkte, die die Verordnung in ihrem Art. 13 verlangt — wer verantwortlich ist, was bearbeitet wird, wozu, wie lange, an wen es geht und welche Rechte bestehen — stehen vollständig in dieser Erklärung. Wer aus der EU zugreift, kann die oben genannten Rechte auf demselben Weg geltend machen.

Änderungen

Diese Erklärung beschreibt einen konkreten Stand der Software. Ändert sich, was die Seite tut — kommt ein Übertragungsweg für das Kontaktformular, ein Speicher oder ein externer Dienst hinzu —, wird dieser Text vorher geändert. Es gilt jeweils die hier veröffentlichte Fassung.

Quellen

• DSG (SR 235.1) — Bundesgesetz über den Datenschutz
• DSV (SR 235.11) — Datenschutzverordnung
• FMG (SR 784.10) Art. 45c — Bearbeiten von Daten auf fremden Geräten
• UWG (SR 241) Art. 3 — unlautere Werbe- und Verkaufsmethoden
• EDÖB — Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter
• EDÖB — Merkblatt zu Cookies (dort die Abgrenzung „technisch notwendig“ und das Widerspruchsmodell)
• Vercel — Data Processing Addendum (Auftragsbearbeitung)
• Verordnung (EU) 2016/679 (DSGVO)