Datenschutzerklärung
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:
Es ist kein Datenschutzbeauftragter bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.
2. Allgemeines zur Datenverarbeitung
Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur
Bereitstellung einer funktionsfähigen App sowie unserer Inhalte und Leistungen erforderlich
ist. Die App „Verloso" (ehemals „Community Creator Drops") nutzt für Betrieb, Sicherheit,
Stabilität, Reichweitenmessung und Werbung Dienste der Google Ireland Limited bzw. Google LLC
(Firebase einschließlich Crashlytics, Remote Config und Storage, Google Analytics für
Firebase, Google AdMob). Die zentrale Datenverarbeitung (Datenbank, Serverfunktionen)
erfolgt in einem Rechenzentrum in der Europäischen Union (Frankfurt, europe-west3).
Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzung der App), lit. f DSGVO (berechtigtes Interesse an Sicherheit, Missbrauchsvermeidung, Stabilität) sowie lit. a DSGVO (Einwilligung, z. B. für Push-Benachrichtigungen, Reichweitenmessung und Werbung) und ggf. § 25 TTDSG für den Zugriff auf Geräteinformationen. Einwilligungen für Reichweitenmessung und Werbung holen wir in der EU/im EWR über ein Einwilligungsbanner (Google User Messaging Platform) beim App-Start ein (siehe Abschnitt 7).
3. Bereitgestellte Daten / Geräte-Kennung
Beim Start der App wird eine pseudonyme Installations-Kennung (Firebase Installation ID, „installId") erzeugt sowie eine anonyme Nutzerkennung (anonyme Firebase-Authentifizierung). Diese Kennungen enthalten keinen Klarnamen und dienen dazu, Ihr Gerät der App-Nutzung zuzuordnen (z. B. tägliche/wöchentliche Teilnahme-Limits, Ticket-Konten, Empfehlungsprogramm).
Verarbeitet werden u. a.:
- Installations-Kennung (installId), anonyme Auth-ID
- Plattform (Android/iOS), App-Version, ungefähre Region
- Zeitpunkte der Nutzung (Erstellung, letzte Aktivität)
- Nutzungszähler (Teilnahmen je Tag/Woche/Monat, Streak)
- technische Risiko-Signale zur Missbrauchsabwehr (z. B. Hinweise auf manipulierte Geräte)
Zweck: Betrieb der App, Teilnahme an Aktionen, Limits,
Missbrauchs-/Betrugsabwehr.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Speicherdauer: für die Dauer der Installation; siehe Abschnitt 15.
4. Server-Funktionen & Datenbank (Firebase / Cloud Firestore & Functions)
Daten werden über Google-Firebase-Dienste (Cloud Firestore als Datenbank, Cloud Functions für Serverlogik) in der EU verarbeitet. Technisch bedingt verarbeitet Google bei jeder Verbindung allgemeine Verbindungsdaten (u. a. IP-Adresse, Zeitstempel) zur Auslieferung und Absicherung. Wir selbst speichern keine IP-Adressen in unserer Anwendung.
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4,
Irland.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
5. Sicherheit / Firebase App Check
Zur Abwehr von Missbrauch (z. B. automatisierte Anfragen, manipulierte Clients) setzen wir Firebase App Check ein. Dabei wird über Dienste wie Google Play Integrity (Android) bzw. App Attest (iOS) geprüft, ob Anfragen von einer echten, unveränderten App-Installation stammen. Hierbei werden geräte- und app-bezogene Attestierungs-Tokens an Google übermittelt.
Zweck: Integritäts-/Missbrauchsschutz.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
6. Push-Benachrichtigungen (Firebase Cloud Messaging)
Wenn Sie Benachrichtigungen erlauben, verarbeiten wir ein Push-Token (FCM-Token) Ihres Geräts, um Ihnen Mitteilungen zu senden (z. B. neue Aktionen, Erinnerungen, Gewinn-Benachrichtigungen). Das Token wird mit Ihrer Installations-Kennung verknüpft gespeichert. Für allgemeine Mitteilungen nutzen wir teils Themen-Abonnements (Topics). Einzelne Benachrichtigungs-Kategorien können Sie in den App-Einstellungen abbestellen.
Zweck: Versand von Benachrichtigungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die
Systemabfrage; jederzeit über die Geräteeinstellungen widerrufbar).
Anbieter: Google (Firebase Cloud Messaging).
Speicherdauer: bis zum Widerruf/zur Deinstallation; ungültige Tokens werden
automatisch entfernt.
7. Einwilligungsverwaltung (Google User Messaging Platform)
Beim ersten App-Start in der EU/im EWR zeigt die App ein Einwilligungsbanner der Google User Messaging Platform (UMP, „Consent Management Platform"). Erst nach Ihrer Entscheidung werden Werbung (Abschnitt 9) und Reichweitenmessung (Abschnitt 8) aktiviert; ohne Einwilligung bzw. bei Ablehnung bleiben beide deaktiviert. Im Rahmen des Banners verarbeitet Google technische Informationen (z. B. ungefähre Region zur Prüfung, ob eine Einwilligung erforderlich ist) und speichert Ihren Einwilligungsstatus auf dem Gerät.
Ihre Entscheidung können Sie jederzeit mit Wirkung für die Zukunft ändern oder widerrufen: in der App unter „Creators & Infos" → „Datenschutzoptionen".
Zweck: Einholung und Verwaltung von Einwilligungen (Art. 7 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Nachweis- und
Einwilligungspflichten) und lit. f DSGVO.
8. Reichweitenmessung (Google Analytics für Firebase / GA4)
Zur Verbesserung der App messen wir die Nutzung mit Google Analytics für Firebase. Dabei werden Ereignisse wie App-Starts und Bildschirmaufrufe sowie Geräte-/Nutzungsmerkmale (z. B. Plattform) erfasst und mit der pseudonymen Installations-Kennung verknüpft. Es findet keine Verknüpfung mit Ihrem Klarnamen statt.
Die Reichweitenmessung ist in der App standardmäßig deaktiviert und wird in der EU/im EWR erst aktiviert, wenn Sie über das Einwilligungsbanner (Abschnitt 7) eingewilligt haben.
Anbieter: Google.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw.
§ 25 Abs. 1 TTDSG. Außerhalb der EU/des EWR: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes
Interesse an Reichweitenmessung).
Widerruf: jederzeit über „Datenschutzoptionen" in der App (Abschnitt 7).
9. Werbung (Google AdMob)
Die App zeigt – im Zusammenhang mit freiwilligen „Support"-Aktionen – Werbung über Google AdMob (belohnte Videoanzeigen, „Rewarded Ads"). Hierbei kann Google werbebezogene Geräteinformationen (einschließlich der Werbe-ID) verarbeiten.
In der EU/im EWR wird das Werbe-SDK erst initialisiert und Werbung erst angefordert, nachdem Sie über das Einwilligungsbanner (Abschnitt 7) Ihre Entscheidung getroffen haben. Ohne die erforderliche Einwilligung wird in der EU/im EWR keine personalisierte Werbung ausgeliefert.
Anbieter: Google.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, über das
Einwilligungsbanner) für personalisierte Werbung; Art. 6 Abs. 1 lit. f DSGVO bei nicht
personalisierter Werbung. Weitere Informationen von Google:
policies.google.com/technologies/ads.
Widerruf: jederzeit über „Datenschutzoptionen" in der App (Abschnitt 7).
10. Absturzberichte (Firebase Crashlytics)
Um Abstürze und Fehler zu erkennen und die Stabilität der App zu verbessern, setzen wir Firebase Crashlytics ein. Bei einem Absturz oder Fehler werden u. a. folgende Daten an Google übermittelt: Absturzprotokoll (Stacktrace), Gerätemodell, Betriebssystem-Version, App-Version, Zeitpunkt des Absturzes sowie eine Crashlytics-Installations-Kennung. Es werden keine Klarnamen übermittelt.
Anbieter: Google.
Zweck: Fehlerdiagnose, Stabilität der App.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an
einer stabilen, fehlerfreien App).
Speicherdauer: Crash-Berichte werden bei Google nach 90 Tagen automatisch
gelöscht.
11. Weitere Firebase-Dienste (Remote Config, Storage)
Firebase Remote Config liefert Konfigurationswerte der App (z. B. Feature-Schalter, Textbausteine). Dabei werden technische Kennungen (Installations-Kennung) an Google übermittelt, um die passende Konfiguration auszuliefern; es werden keine Nutzungsprofile gebildet.
Firebase Storage (Cloud Storage for Firebase) dient der Auslieferung von Inhalten der App (z. B. Produkt- und Gewinnerbilder). Beim Abruf verarbeitet Google technisch bedingt Verbindungsdaten (u. a. IP-Adresse).
Anbieter: Google.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
12. Empfehlungsprogramm (Referrals)
Wenn Sie über einen Empfehlungslink/-code eingeladen werden oder selbst einladen, verarbeiten wir den Empfehlungscode sowie die Verknüpfung zwischen werbender und geworbener Installation (jeweils pseudonyme Kennungen), um Empfehlungs-Belohnungen zuzuordnen und Missbrauch (z. B. Selbst-Einladung) zu verhindern. Über die Funktion „Play Install Referrer" kann der Code nach der Installation aus den Store-Parametern übernommen werden.
Zweck: Durchführung des Empfehlungsprogramms, Missbrauchsabwehr.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
13. Gewinnerdaten (Versand von Gewinnen)
Im Gewinnfall bitten wir Sie, zur Kontaktaufnahme und Zustellung des Gewinns Kontakt- und ggf. Versanddaten anzugeben (in der App: E-Mail-Adresse, Telefonnummer oder Instagram-Name – eine Angabe genügt; für den Versand anschließend Name und Anschrift). Diese Daten sind ausschließlich für die Abwicklung der Gewinnübergabe zugänglich (kein öffentlicher Zugriff). Bei Minderjährigen kann die Einwilligung/Mitwirkung der Erziehungsberechtigten erforderlich sein.
Zweck: Identifizierung und Zustellung des Gewinns, Abwicklung der
Teilnahmebedingungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Gewinnspiels)
und ggf. lit. c DSGVO (gesetzliche Aufbewahrungspflichten).
Speicherdauer: bis zur Abwicklung des Versands; anschließend Löschung nach
90 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
14. Wünsche / freiwillige Eingaben
Sie können Produktwünsche als Freitext einreichen. Bitte geben Sie dort keine
personenbezogenen Daten an. Eingaben werden mit Ihrer pseudonymen Kennung gespeichert und zur
Produktauswahl und statistischen Auswertung genutzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
15. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Teilnahme-/Ticket-Daten werden automatisch nach Ablauf gelöscht (z. B. Teilnahmen nach 90 Tagen, Monats-Ticket-Konten nach 180 Tagen). Die Installations-Stammdaten, Empfehlungs- und Gewinnerdaten werden bis zur Zweckerreichung bzw. bis zu einer Löschanfrage aufbewahrt. Bei Deinstallation der App werden lokale Daten auf dem Gerät entfernt; serverseitige Daten können Sie über die oben genannte Kontaktadresse löschen lassen.
16. Empfänger / Drittland
Empfänger der Daten ist im Wesentlichen Google (Firebase einschließlich Firestore, Cloud Functions, App Check, Cloud Messaging, Crashlytics, Remote Config und Storage sowie Google Analytics und AdMob) als Auftragsverarbeiter. Auch wenn die Datenbank in der EU betrieben wird, kann es im Rahmen einzelner Google-Dienste zu Datenübermittlungen in die USA kommen. Google ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln der EU-Kommission als geeignete Garantien (Art. 46 DSGVO).
17. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen. Erteilte Einwilligungen (z. B. Push, Reichweitenmessung, Werbung) können Sie jederzeit mit Wirkung für die Zukunft widerrufen – für Reichweitenmessung und Werbung direkt in der App über „Datenschutzoptionen" (Abschnitt 7), für Push über die Geräteeinstellungen.
Zur Ausübung genügt eine formlose Nachricht an developer@communitycreatordrops.app. Da wir Sie nur über eine pseudonyme Kennung identifizieren, geben Sie zur Zuordnung bitte Ihre Installations-Kennung an (diese können wir Ihnen auf Anfrage zuordnen).
Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu – in der EU/im EWR bei der Aufsichtsbehörde Ihres Aufenthaltsmitgliedstaats, in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).
18. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung ändert. Es gilt die jeweils unter verloso.app/datenschutz veröffentlichte Fassung.