Datenschutz

1. Informationspflicht

Gem. Art. 13 DSGVO besteht eine Informationspflicht, sobald personenbezogene Daten bei der betroffenen Person - hier Sie - erhoben werden.

Ab dem Aufruf einer Webseite werden bereits personenbezogene Daten verarbeitet. Dies beginnt mit der Übermittlung Ihrer IP-Adresse innerhalb der Datenpakete, die Sie mit allen Komponenten des Internet-Netzwerkes teilen. Nachdem Ihr Internetanbieter (ISP) oder ein anderer DNS-Service und die zahlreichen zwischengeschalteten Switches Ihre IP verarbeitet haben, landet das initiale Request-Packet bei dem Server dieser Webseite. Sofern Sie keine Anonymisierungstechnicken (VPN, TOR etc.) einsetzen, beginnt mit diesem IP-Packets die erstmalige Verarbeitung eines (theoretisch) personifizierbaren Merkmals innerhalb des Geltungsbereiches dieser Webseite. Zwar rotieren alle ISPs in Deutschland die IP-Adressen ihrer Privatkunden, die keine staatische IP gebucht haben, innerhalb von 24 Stunden, um Datensicherheit und Datenschutz zu fördern und eine Zuordnung des Pseudonyms IP-Adresse zu einer Person ist - unter Ausblendung juristischer Mittel - nur Ihrem ISP möglich, dennoch erachtet BMDb dies als Anlass zur Aufklärung über die Verabeitung und Ihrer damit verbunden Rechte.

Abs. 1: Daraus resultiert, dass der Verantwortliche - hier BMDb - der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten das Folgende mitzuteilen hat.
UAbs. a: Den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters.

	Verantwortungstyp Hauptverantwortlicher Name Drilon Berisha Kontaktdaten bmdb@berisha.in

UAbs. b: Gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten.

Keine der in Artikel 37 aufgeführten Konditionen für die Notwendigkeit eines entsprechenden Bauftragten trifft auf BMDb zu, daher wird diese Funktion nicht abgedeckt.
UAbs. c: Die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung.
UAbs. d: Wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden.
UAbs. e: Gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten.
UAbs. f: Gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

Die Anforderungen aus den UAbs. c, d, e und f werden über die Tabelle Verzeichnis von Verarbeitungstätigkeiten respektive über die Spalten Verarbeitungszeck & Rechtsgrundlage, Rechtsgrundlage, Datenempfänger und Übermittlungsabsicht bedient.

Abs. 2: Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten.
UAbs. a: Die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer.
UAbs. b: Das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit.

Sie verfügen Sie als betroffenen Person über ein Auskunftsrecht, welches auf dieser Seite unter dem Abschnitt Auskunftsrecht behandelt wird.
UAbs. c: Wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird.
UAbs. d: Das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde.

Sie haben ein Beschwerderecht, welches Sie regional (Landesdatenschutzbehörde NRW), national (Bundesdatenschutzbehörde) oder europaweit (EU-Datenschutzbehörde) geltend machen können.
UAbs. e: Ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte.

Es besteht keine gesetzliche oder vertragliche Pflicht die in der Tabelle Verzeichnis von Verarbeitungstätigkeiten aufgeführten Daten bereitzustellen.
UAbs. f: Das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Die Anforderungen aus den UAbs. c, d, e und f werden über die Tabelle Verzeichnis von Verarbeitungstätigkeiten bedient.

Abs. 3: Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
Abs. 4: Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

2. Auskunftsrecht

Gem. Art. 15 DSGVO verfügen Sie als betroffenen Person über ein Auskunftsrecht, welches folgende Bestandteile aufweist:
Abs. 1: Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
UAbs. a: die Verarbeitungszwecke;
UAbs. b: die Kategorien personenbezogener Daten, die verarbeitet werden;
UAbs. c: die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
UAbs. d: falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
UAbs. e: das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
UAbs. f: das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
UAbs. g: wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
UAbs. h: das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Abs. 2: Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
Abs. 3: Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. 2Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. 3Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.
Abs. 4: Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.

Sie können Ihr Auskunftsrecht mit formlosem Antrag und ohne Begründung gegenüber dem Verantwortlichen über die oben genannten Kontaktdaten geltend machen. Der Verantwortliche hat jedoch sicherzustellen, dass Ihre personenbezogenen Daten nicht an unbefugte Dritte herausgegeben werden. Sofern der Verantwortliche objektiv begründete Zweifel an der Identität der Person hat, die eine Auskunft verlangt, kann er zusätzliche Informationen zur Bestätigung der Identität verlangen (Artikel 12 Abs. 6 DSGVO). Es kann sein, dass in Einzelfällen zur Legitimation die Kopie eines Personaldokuments verlangt wird, um eine eindeutige Zuordnung der gespeicherten Daten zu Ihrer Person vorzunehmen. Bestehen gute Gründe für die Vorlage einer solchen Ausweiskopie, werden regelmäßig nur Name, Anschrift, Geburtsdatum und Gültigkeitsdauer benötigt. Alle anderen auf dem Personaldokument befindlichen Daten (z. B. Ausweisnummer, Lichtbild, persönliche Merkmale, Staatsangehörigkeit) können auf der Kopie grundsätzlich geschwärzt werden. Die Daten auf der Ausweiskopie unterliegen zudem einer strengen Zweckbindung: Sie dürfen ausschließlich zur Identitätsprüfung verwendet werden, nicht aber in den Datenbestand der verantwortlichen Stelle einfließen. In der Regel ist jedoch das angelegte Benutzerkonto und die darin hinterlegten Kontaktdaten (E-Mail) für die Auskunft über Datenverarbeitungen ab diesem Zeitpunkt ausreichend. Im Auskunftsersuchen ist es ratsam, möglichst genau zu beschreiben, worüber Sie Auskunft wünschen. Dies erleichtert der verantwortlichen Stelle das Auffinden und die Zuordnung der Daten. Verarbeitet der Verantwortliche große Mengen von Daten über die betroffene Person, kann er verlangen, dass die betroffene Person präzisiert, auf welche Informationen oder Verarbeitungsvorgänge sich das Auskunftsersuchen bezieht. Sofern Sie den Antrag elektronisch stellen, ist der Verantwortliche verpflichtet, Ihnen die Auskunft in einem gängigen elektronischen Format zu erteilen, sofern Sie nicht ausdrücklich eine andere Form der Auskunftserteilung wünschen. Bei der Erteilung der Auskunft in elektronischer Form ist darauf zu achten, dass – in Abhängigkeit vom Schutzbedarf der Daten – bestimmte Datensicherheitsmaßnahmen getroffen werden sollten. Gegebenenfalls kann eine elektronische Auskunft nur auf einem Datenträger (z. B. CD, DVD) erfolgen, der per Post versandt wird. In der Regel wird jedoch ein Downloadlink angeboten.

3. Rechte der betroffenen Person

In der folgenden Tabelle Verzeichnis von Verarbeitungstätigkeiten finden Sie sämtliche Angaben über Ihre Rechte als betroffene Person gem. Kapitel 3 DSGVO.

Datenkategorie	IP
Verarbeitungs­zweck	Grundsätzliche Kommunikation mit der Webseite / die Funktionalität des Server für die Dauer der aktiven Nutzung von BMDb
Rechts­grundlage	Einwilligung des Betroffenen durch Aufruf der Webseite; Berechtigtes Interesse in Form von Beweismaterial für Starfverfolgung bei Cyberangriffen, Rate-Limiting bei DDoS und allgemeine Funktionsfähigkeit der Webseite
Widerrufbarkeit	Widerruf möglich durch Verlassen der Webseite, die berechtigten Interessen bleiben unberührt
Löschfrist	Die Datenkategorie wird nach max. 24 Stunden in den Protokollen gelöscht, sofern kein Strafverfahren eingeleitet werden muss
Daten­empfänger	BMDb, bei Notwendigkeit einer Straganzeige gegen den Betroffenen auch Judikative
Übermittlungs­absicht	Es besteht keine Absicht zur Übermittlung abgesehen von der technisch Notwendigen Übermittlung an (europäische) DNS-Dienste
TOMs	Logging, Pseudonymisierung, Transport- (SSL) und Speicherverschlüsselung, Dateminimierung
Datenkategorie	Benutzerkonto (Kontoname, E-Mail, Bewertungen, Wunschlisten, Kennwort)
Verarbeitungs­zweck	Zugriff auf das Bewertungssystem, öffentliche Daten anderer Nutzer, und den Titledatenkatalog von BMDb; Einschränkung der Zugriffsmöglichkeiten auf (personenbezogene) Daten
Rechts­grundlage	Einwilligung des Betroffenen bei Kontoerstellung per Formular; Berechtigtes Interesse in Form von notwendiger Funktionsfähigkeit der Webseite für Kernfunktion des Bewertungssystems
Widerrufbarkeit	Widerruf durch Kontolöschung im Menü Profil möglich - siehe gesetzliche Möglichkeiten
Löschfrist	Die Datenkategorie wird nach max. 6 Monaten Inaktivität und fehlender Reaktion auf Hinweiseschreiben per E-Mail oder bei Auflösung des Benutzerkontos gelöscht
Daten­empfänger	BMDb
Übermittlungs­absicht	Es besteht keine Absicht zur Übermittlung
TOMs	Transport- (SSL) und Speicherverschlüsselung, Dateminimierung
Datenkategorie	Cookie (Account)
Verarbeitungs­zweck	Zugriff auf das Bewertungssystem; Benutzerauthentifizierung und -identifizierung; Rechteverwaltung; Einschränkung der Zugriffsmöglichkeiten auf (personenbezogene) Daten
Rechts­grundlage	Einwilligung des Betroffenen bei Kontoerstellung per Formular und bei jeder Anmeldung und Nutzung von BMDb; Berechtigtes Interesse in Form von notwendiger Funktionsfähigkeit der Webseite für Kernfunktion des Bewertungssystems
Widerrufbarkeit	Widerruf durch Kontolöschung im Menü Profil möglich - siehe gesetzliche Möglichkeiten
Löschfrist	Die Datenkategorie wird nach max. 6 Monaten Inaktivität und fehlender Reaktion auf Hinweiseschreiben per E-Mail oder bei Auflösung des Benutzerkontos, oder bei Löschung durch den Benutzer innerhalb von 24h aus dem Cache des Servers gelöscht
Daten­empfänger	BMDb
Übermittlungs­absicht	Es besteht keine Absicht zur Übermittlung
TOMs	Transport- (SSL) und Speicherverschlüsselung, Dateminimierung

4. Sicherheit der Verarbeitung

Gem Art. Art. 32 werden Anforderungen an die Sicherheit gestellt, welche von BMDb über die folgenden TOMs (Technisch-Organisatorische Maßnahmen) implementiert werden.

Gemäß Art. 32 DSGVO werden folgende technische und organisatorische Maßnahmen (TOMs) umgesetzt:

Technische Maßnahmen

Verschlüsselung der Datenübertragung: Sämtliche Datenübertragung zwischen Browser und Server erfolgt über TLS-verschlüsselte Verbindungen (HTTPS). Die Konfiguration verwendet ausschließlich TLSv1.2 und TLSv1.3 mit starken Chiffren. HTTP-Anfragen werden automatisch auf HTTPS umgeleitet.

Verschlüsselung der Datenspeicherung: PostgreSQL-Datenbankvolume wird auf dem Hostsystem über ein verschlüsseltes Dateisystem (LUKS/dm-crypt) gespeichert. Die Container-Plattform (Podman/Docker) gewährleistet Isolation der Datenbank-Instanz.

Zugangsschutz: Das System implementiert eine rollenbasierte Zugriffskontrolle (RBAC) mit zwei Stufen: Administrator (volle Berechtigungen) und Benutzer (eigene Bewertungen/Wunschliste). Alle Zugriffe auf geschützte Endpunkte erfordern eine authentifizierte Session.

Passwortschutz: Benutzerpasswörter werden ausschließlich als gehashte Werte (PBKDF2-SHA256) in der Datenbank gespeichert. Klartext-Passwörter werden zu keinem Zeitpunkt gespeichert oder verarbeitet. Die.Session-Verwaltung erfolgt über sichere, HttpOnly-Cookies mit SameSite-Schutz.

Brute-Force-Schutz: Der Login-Endpunkt implementiert eine IP-basierte Rate-Limitierung (maximal 5 Versuche pro Minute). Bei Überschreitung wird die Anmeldung temporär blockiert. Zusätzlich schützt die nginx-Konfiguration vor automatisierten Angriffen (30 Anfragen/Sekunde).

CSRF-Schutz: Alle state-changing Operationen (Bewertungen, Wunschliste, Admin-Funktionen) verwenden CSRF-Token zur Verhinderung von Cross-Site-Request-Forgery-Angriffen.

Datenminimierung: Es werden nur die für den Betrieb erforderlichen personenbezogenen Daten erhoben (E-Mail, Name, Passwort). IMDb-Daten sind keine personenbezogenen Daten im Sinne der DSGVO. Bewertungen und Wunschlisten werden dem jeweiligen Benutzer zugeordnet und sind für andere Benutzer nicht sichtbar.

Backup und Wiederherstellung: Regelmäßige Datenbank-Backups werden automatisch erstellt und auf verschlüsselten Speichermedien aufbewahrt. Ein Wiederherstellungsverfahren ist dokumentiert und getestet.

Container-Isolation: Die Anwendungsläuft in isolierten Containern mit eingeschränkten Berechtigungen. Der Flask-Container Betriebssystemzugriffe sind minimal gehalten. Die Datenbank ist nur über das interne Netzwerk erreichbar.

Protokollierung: Sicherheitsrelevante Ereignisse (Login-Versuche, administrative Operationen, Fehler) werden protokolliert. Die Logs werden zeitlich begrenzt aufbewahrt (7 Tage rotation).

Organisatorische Maßnahmen

Zugriffskonzept: Der Zugriff auf das System erfolgt über rollenbasierte Berechtigungen. Administratoren haben vollen Zugriff auf alle Funktionen, Benutzer nur auf ihre eigenen Daten. Die Verwaltung von Benutzerkonten erfolgt ausschließlich durch Administratoren.

Verantwortlichkeitszuordnung: Der Systembetreiber (Verantwortlicher im Sinne der DSGVO) ist für die Einhaltung der Datenschutzbestimmungen verantwortlich. Die technische Umsetzung erfolgt durch den Entwickler/Dienstleister.

Datenschutz-Folgenabschätzung: Für die Verarbeitung personenbezogener Daten (Bewertungen, Wunschlisten) wird eine Datenschutz-Folgenabschätzung durchgeführt, insbesondere bei der Einführung neuer Verarbeitungstätigkeiten.

Verarbeitungsverzeichnis: Es wird ein Verzeichnis aller Verarbeitungstätigkeiten gemäß Art. 30 DSGvo geführt, das die Zwecke, Kategorien der Daten, Empfänger und Löschfristen dokumentiert.

Mitarbeiterschulung: Personen mit Zugang zum System werden über die Datenschutzbestimmungen und den sicheren Umgang mit personenbezogenen Daten geschult. Die Schulung erfolgt bei Einrichtung des Zugangs und regelmäßig danach.

Incident-Response: Bei Datenschutzverletzungen (z.B. unbefugter Zugriff, Datenleck) wird ein Verfahren zur Meldung an die Aufsichtsbehörde gemäß Art. 33 DSGVO innerhalb von 72 Stunden implementiert. Betroffene Benutzer werden unverzüglich informiert.

Löschkonzept: Personenbezogene Daten werden gelöscht, wenn der Verarbeitungszweck entfällt oder die Aufbewahrungsfrist abgelaufen ist. Benutzer können die Löschung ihres Kontos beantragen. Bewertungen und Wunschlisten werden mit dem Benutzerkonto gelöscht.

Datenübermittlung: Eine Übermittlung personenbezogener Dritter erfolgt nicht. Die IMDb-Daten werden aus öffentlich zugänglichen Quellen bezogen und enthalten keine personenbezogenen Daten im Sinne der DSGVO.

Vertragliche Regelungen: Sofern Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt werden (z.B. Hosting-Anbieter), werden Verarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen.

Regelmäßige Überprüfung: Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird regelmäßig überprüft und bei Bedarf angepasst. Dies umfasst auch die Überprüfung der Sicherheitskonfiguration der eingesetzten Software.