Datenschutzerklärung

1. Verantwortlicher

CASE.DE GmbH
Wittestr. 60
53225 Bonn
Deutschland
E-Mail: info@randomify.de

2. Überblick der Verarbeitung

Randomify ist eine Plattform zur fairen und transparenten Durchführung von Gewinnspielen auf sozialen Medien (derzeit Instagram). Wir nutzen ausschließlich offizielle Plattform-APIs und verzichten auf Scraping. Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten innerhalb unserer Anwendung.

3. Rechtsgrundlagen

Die Verarbeitung Ihrer Daten erfolgt auf Grundlage von:

  • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — insbesondere bei der Verknüpfung Ihres Instagram-/Facebook-Kontos.
  • Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — Bereitstellung unserer Dienste (Gewinnspiel-Erstellung, Kommentar-Erfassung, Ziehung).
  • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — Sicherheit, Betrugsprävention, Verbesserung unserer Dienste sowie die öffentliche Nachprüfbarkeit der Ziehungen (s. Abschnitt 4.6).

4. Welche Daten wir erheben

4.1 Registrierung & Anmeldung

Bei der Registrierung erheben wir:

  • Name
  • E-Mail-Adresse
  • Passwort (gehasht gespeichert, nicht im Klartext)

Bei jeder Sitzung speichern wir zusätzlich IP-Adresse und User-Agent zur Absicherung gegen unbefugten Zugriff (Art. 6 Abs. 1 lit. f DSGVO). Sitzungen laufen automatisch ab.

4.2 Instagram- / Facebook-Verbindung (OAuth)

Wenn Sie Ihr Instagram-Konto verknüpfen, werden Sie über den offiziellen OAuth-Flow von Meta Platforms Ireland Ltd. (Meta) weitergeleitet. Dabei erhalten wir:

  • Facebook-User-ID
  • Instagram-Account-ID und Benutzername
  • Langfristiges Zugriffstoken (verschlüsselt mit AES-256-GCM gespeichert)
  • Gewährte Berechtigungsscopes

Zweck: Abruf Ihrer Instagram-Beiträge und deren Kommentare über die offizielle Instagram Graph API, um Gewinnspielteilnehmer zu erfassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können die Verbindung jederzeit in den Einstellungen trennen.

Datenübermittlung an Meta: Bei jedem Abruf von Beiträgen und Kommentaren sowie beim Versand von Antworten und Direktnachrichten wird Ihre IP-Adresse an Meta-Server (ggf. in den USA) übermittelt. Meta verarbeitet diese Daten gemäß der Meta-Datenschutzrichtlinie. Die Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

4.3 Gewinnspiel-Daten

Für jedes Gewinnspiel speichern wir:

  • Titel, Beschreibung und Konfiguration des Gewinnspiels
  • Plattform, Beitrags-URL und Beitrags-ID
  • Status und Endzeitpunkt

4.4 Gewinnspiel-Teilnehmer (Kommentare)

Über die Instagram Graph API erfassen wir folgende Daten von Kommentatoren Ihrer Beiträge:

  • Instagram-Benutzername
  • Plattform-User-ID
  • Kommentartext
  • Externe Kommentar-ID
  • Zeitstempel des Kommentars

Zweck: Ermittlung der Teilnehmer und Durchführung einer fairen Ziehung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Gewinnspielveranstalter) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Veranstalters an der Ermittlung eines Gewinners).

Hinweis für Gewinnspielteilnehmer: Die Verarbeitung Ihrer Kommentardaten erfolgt durch den jeweiligen Gewinnspielveranstalter (unseren Nutzer). Randomify agiert insoweit als Auftragsverarbeiter gemäß Art. 28 DSGVO; die Einzelheiten regelt unser Vertrag zur Auftragsverarbeitung.

Speicherdauer: Teilnehmerdaten (Benutzername, Plattform-User-ID, Kommentartext) abgeschlossener Gewinnspiele werden bis zu 90 Tage nach dem Endzeitpunkt des Gewinnspiels gespeichert und danach automatisch anonymisiert. Bei Löschung des Gewinnspiels werden sie unmittelbar entfernt (Kaskadenlöschung). Auf Antrag eines Teilnehmers (Art. 17 DSGVO) anonymisieren wir dessen Daten bereits vorher.

4.5 Kommentar-Antworten und Direktnachrichten

Gewinnspielveranstalter können über Randomify öffentliche Antworten auf Kommentare und (bei entsprechender Berechtigung) private Direktnachrichten an Kommentatoren senden. Dabei werden folgende Daten verarbeitet:

  • Nachrichtentext (vom Veranstalter verfasst)
  • Externe Kommentar-ID (zur Zuordnung)
  • Zustellstatus (gesendet/fehlgeschlagen)
  • Zeitstempel des Versands

Zweck: Ermöglichung der Kommunikation zwischen Veranstalter und Gewinnspielteilnehmern, insbesondere zur Benachrichtigung von Gewinnern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Veranstalters an der Kontaktaufnahme mit dem Gewinner).

Hinweis: Direktnachrichten werden über die Instagram Messaging API versendet und sind auf eine Nachricht pro Kommentar beschränkt. Der Nachrichteninhalt wird nicht dauerhaft bei Randomify gespeichert — nur der Zustellstatus und die externe Nachrichten-ID.

4.6 Ziehungsdaten (Draw Engine)

Jede Ziehung erzeugt folgende Daten:

  • Kryptographisch zufälliger Seed (SHA-256-basiert)
  • Snapshot aller Kandidaten und ihrer Reihenfolge
  • Ausschlüsse mit Begründung und Regelreferenz
  • Gewinner mit Benutzername und Plattform-ID
  • Öffentlich überprüfbarer Verifizierungscode

Zweck: Nachvollziehbare, faire und überprüfbare Gewinnermittlung. Die Transparenz der Ziehung ist ein Kernmerkmal des Dienstes.

Öffentlicher Ziehungsnachweis und Offenlegung von Teilnehmer-Identitäten: Jede abgeschlossene Ziehung lässt sich über ihren Verifizierungscode ohne Anmeldung öffentlich prüfen. Die Prüfseite zeigt die Gewinner sowie Gewinner früherer Ziehungen, die für ungültig erklärt wurden. Zusätzlich stellen wir ein signiertes Ziehungszertifikat (JSON und PDF) zum Download bereit. Es enthält bewusst Benutzername und Plattform-User-ID aller zur Ziehung zugelassenen Teilnehmer und der Gewinner, jeweils mit einem individuellen Zufallswert (Salt) und dem daraus gebildeten kryptographischen Fingerabdruck. Nur so kann jeder — auch ohne Zugang zu Randomify — selbst nachprüfen, dass alle Teilnehmer berücksichtigt wurden und die Gewinner korrekt ermittelt wurden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse der Veranstalter, der Teilnehmer und der Öffentlichkeit an einer nachweislich fairen Ziehung überwiegt aus unserer Sicht, weil nur Daten offengelegt werden, die mit dem öffentlichen Kommentar ohnehin sichtbar sind (Benutzername), und die Offenlegung zeitlich begrenzt ist (s. unten). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

Speicherdauer: 90 Tage nach dem Endzeitpunkt des Gewinnspiels — bzw. für einen einzelnen Teilnehmer früher, wenn er die Löschung nach Art. 17 DSGVO verlangt — ersetzen wir Benutzernamen und Plattform-User-IDs im Ziehungsnachweis durch einen Platzhalter. Zugleich werden die zugehörigen Salts gelöscht, sodass der Fingerabdruck keiner Person mehr zugeordnet werden kann. Der kryptographische Nachweis (Seed, Reihenfolge, Hash) bleibt erhalten und die Signatur bleibt gültig, sodass die Ziehung dauerhaft überprüfbar bleibt, ohne dass Namen offengelegt werden. Ab diesem Zeitpunkt enthält auch das Zertifikat keine Identitäten mehr. Auf Zertifikate, die Dritte bereits heruntergeladen haben, haben wir keinen Zugriff; diese Kopien verbleiben bei der Person, die sie heruntergeladen hat.

4.7 Support-Chat

Angemeldeten Nutzern bieten wir einen Support-Chat an, den wir über den Dienst Zammad bereitstellen (s. Abschnitt 6). Die Schaltfläche „Chat mit uns“ wird nur angezeigt, wenn Sie angemeldet sind. Das Chat-Programm von Zammad wird erst geladen, wenn Sie auf „Chat mit uns“ klicken. Vorher werden keine Daten an Zammad übermittelt.

Nach dem Klick verarbeitet Zammad Ihre IP-Adresse und technische Verbindungsdaten, den Chat-Inhalt sowie Namen und E-Mail-Adresse, sofern Sie diese im Chat angeben.

Zweck: Beantwortung Ihrer Support-Anfragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Unterstützung im Rahmen des Nutzungsvertrags).

Ist gerade kein Mitarbeiter im Chat erreichbar, verweisen wir Sie stattdessen auf unsere E-Mail-Adresse info@randomify.de.

5. Speicherdauer

  • Kontodaten: Bis zur Löschung Ihres Kontos.
  • Sitzungsdaten: Bis zum Ablauf der Sitzung (automatisch).
  • Instagram-Zugriffstoken: Bis zum Ablauf des Tokens oder bis Sie die Verbindung trennen — je nachdem, was zuerst eintritt.
  • Gewinnspiel- und Teilnehmerdaten: Bis zur Löschung des Gewinnspiels durch den Veranstalter, spätestens jedoch bis zur automatischen Anonymisierung 90 Tage nach dem Endzeitpunkt des Gewinnspiels.
  • Ziehungsergebnisse und Ziehungszertifikat: Personenbezogene Identifikatoren (Benutzernamen, Plattform-User-IDs) und Salts werden 90 Tage nach dem Endzeitpunkt des Gewinnspiels anonymisiert bzw. gelöscht. Der kryptographische Verifizierungsnachweis (ohne Personenbezug) bleibt dauerhaft erhalten.
  • Audit-Protokolle: Protokolleinträge zu betrieblichen Vorgängen werden geführt; darin enthaltene personenbezogene Daten werden nach 180 Tagen entfernt. Protokolleinträge zu Abfragen der öffentlichen Teilnahmeprüfung werden bereits nach 30 Tagen vollständig gelöscht.

6. Empfänger und Auftragsverarbeiter

  • Meta Platforms Ireland Ltd. — Über die Instagram Graph API zur Abrufung von Beiträgen und Kommentaren (Drittland-Übermittlung, s. Abschnitt 4.2).
  • Microsoft Ireland Operations Ltd. (Microsoft Azure) — Hosting unserer Server und Datenbank in einem Rechenzentrum innerhalb der EU. Microsoft verarbeitet dabei technische Daten (z. B. IP-Adressen, Logs) als Auftragsverarbeiter gemäß Art. 28 DSGVO.
  • Resend (Plus Five Five, Inc.) — Versand von E-Mails (z. B. Anmeldecodes und Benachrichtigungen). Verarbeitet werden E-Mail-Adresse und Nachrichteninhalt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Eine Übermittlung in die USA ist möglich (s. Abschnitt 7).
  • Grafana Labs — Betriebsüberwachung (Server-Logs und Systemmetriken) über Grafana Cloud. Die Logs können IP-Adressen und technische Kennungen enthalten. Zweck ist die Sicherstellung eines stabilen und sicheren Betriebs; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Eine Übermittlung in die USA ist möglich (s. Abschnitt 7).
  • PostgreSQL-Datenbank — Alle personenbezogenen Daten werden in einer verschlüsselten PostgreSQL-Datenbank gespeichert. Sensible Felder (Zugriffstokens) sind zusätzlich mit AES-256-GCM feldverschlüsselt.
  • Stripe Payments Europe, Ltd. — Zur Abwicklung des Kaufs von Gewinnspiel-Guthaben nutzen wir den Zahlungsdienstleister Stripe. Verarbeitet werden dabei Abrechnungs- und Zahlungsdaten (z. B. Name, E-Mail-Adresse, Rechnungsanschrift sowie Zahlungsmetadaten; vollständige Zahlungsmitteldaten verarbeitet ausschließlich Stripe, nicht Randomify). Zweck ist die Zahlungsabwicklung, Rechnungsstellung und Betrugsprävention. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Eine Übermittlung in die USA ist möglich (s. Abschnitt 7).
  • Zammad GmbH (Berlin) — Bereitstellung des Support-Chats (s. Abschnitt 4.7). Verarbeitet werden IP-Adresse, technische Verbindungsdaten, der Chat-Inhalt sowie Name und E-Mail-Adresse, sofern Sie diese im Chat angeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zammad verarbeitet die Daten als Auftragsverarbeiter gemäß Art. 28 DSGVO ausschließlich in Rechenzentren in Deutschland.

Eine Weitergabe an sonstige Dritte erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet (z. B. auf Anordnung einer Behörde).

Soweit Sie als Gewinnspielveranstalter über Randomify personenbezogene Daten Ihrer Teilnehmer verarbeiten lassen, agieren wir als Auftragsverarbeiter. Die Rechte und Pflichten beider Seiten regelt unser Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

7. Datenübermittlung in Drittländer

Durch die Nutzung der Instagram Graph API werden Daten an Meta-Server übermittelt, die sich teilweise in den USA befinden. Die Übermittlung erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) bzw. auf Basis von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Bei der Zahlungsabwicklung über Stripe können Daten an die Stripe Inc. mit Sitz in den USA übermittelt werden. Die Übermittlung erfolgt auf Grundlage der von der EU-Kommission erlassenen Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO bzw. – soweit anwendbar – des EU-U.S. Data Privacy Framework. Stripe ergreift zusätzliche technische und organisatorische Maßnahmen zum Schutz der übermittelten Daten.

Beim E-Mail-Versand über Resend sowie bei der Betriebsüberwachung über Grafana Cloud können Daten in die USA übermittelt werden. Die Übermittlung erfolgt auf Grundlage des EU-U.S. Data Privacy Framework bzw. der Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

8. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies:

  • Sitzungs-Cookie — Zur Authentifizierung und Aufrechterhaltung Ihrer Anmeldung. Verfällt mit dem Ende der Sitzung.
  • OAuth-State-Cookie (ig_oauth_state) — Zum Schutz gegen Cross-Site-Request-Forgery beim Instagram-Verbindungsvorgang. HttpOnly, kurzlebig.

Für den Support-Chat (s. Abschnitt 4.7) legt das Chat-Programm von Zammad erst nach dem Klick auf „Chat mit uns“ zwei technisch notwendige Einträge im sessionStorage Ihres Browsers an: eine Kennung der laufenden Chat-Sitzung (sessionId) und eine noch nicht abgeschickte Nachricht (unfinished_message). Beide werden gelöscht, sobald Sie den Browser-Tab schließen. Cookies setzt der Chat nicht.

Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein.

9. Ihre Rechte

Nach der DSGVO stehen Ihnen folgende Rechte zu:

  • Auskunft (Art. 15 DSGVO) — Sie können Auskunft über Ihre bei uns gespeicherten Daten verlangen.
  • Berichtigung (Art. 16 DSGVO) — Sie können die Berichtigung unrichtiger Daten verlangen.
  • Löschung (Art. 17 DSGVO) — Sie können die Löschung Ihrer Daten verlangen, sofern keine Aufbewahrungspflichten entgegenstehen.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO) — Sie können die Einschränkung der Verarbeitung verlangen.
  • Datenübertragbarkeit (Art. 20 DSGVO) — Sie können Ihre Daten in einem gängigen, maschinenlesbaren Format erhalten.
  • Widerspruch (Art. 21 DSGVO) — Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
  • Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — Erteilte Einwilligungen können Sie jederzeit widerrufen (z. B. Instagram-Verbindung trennen in den Einstellungen).

Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an: info@randomify.de

10. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
www.ldi.nrw.de

11. Technische und organisatorische Maßnahmen

Wir setzen umfangreiche technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

  • Verschlüsselte Übertragung aller Daten via HTTPS/TLS.
  • Feldverschlüsselung sensibler Daten (Zugriffstokens) mit AES-256-GCM vor der Speicherung in der Datenbank.
  • Passwörter werden ausschließlich gehasht gespeichert (bcrypt).
  • OAuth-Verbindungen verwenden kryptographisch sichere State-Parameter (CSRF-Schutz).
  • Sitzungen sind zeitlich begrenzt und signiert.
  • Zugriff auf die Datenbank ist auf den Anwendungsserver beschränkt.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Die aktuelle Fassung finden Sie stets auf dieser Seite.

Stand: Oktober 2026