Verloso

Datenschutzerklärung

Stand: 03.10.2026 · App „Verloso" (ehemals „Community Creator Drops")

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Sven Geitz
c/o ExpertFid & Audit SA
Hellgasse 28
6460 Altdorf
Schweiz
E-Mail support@verloso.app
Website verloso.app

Es ist kein Datenschutzbeauftragter bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

Der Anbieter hat seinen Sitz in der Schweiz. Für die Verarbeitung von Daten von Nutzerinnen und Nutzern aus der EU/dem EWR gilt die Datenschutz-Grundverordnung (DSGVO); für Nutzerinnen und Nutzer aus der Schweiz gilt ergänzend das schweizerische Datenschutzgesetz (revDSG). Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen App sowie unserer Inhalte und Leistungen erforderlich ist. Die App „Verloso" (ehemals „Community Creator Drops") nutzt für Betrieb, Sicherheit, Stabilität, Reichweitenmessung und Werbung Dienste der Google Ireland Limited bzw. Google LLC (Firebase einschließlich Crashlytics, Remote Config und Storage, Google Analytics für Firebase, Google AdMob mit den in Abschnitt 9 genannten Werbepartnern) sowie für die Auslieferung von Bildern den Dienst Cloudflare R2 (Abschnitt 11). Die zentrale Datenverarbeitung (Datenbank, Serverfunktionen) erfolgt in einem Rechenzentrum in der Europäischen Union (Frankfurt, europe-west3).

Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzung der App), lit. f DSGVO (berechtigtes Interesse an Sicherheit, Missbrauchsvermeidung, Stabilität) sowie lit. a DSGVO (Einwilligung, z. B. für Push-Benachrichtigungen, Reichweitenmessung und Werbung) und ggf. § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) für den Zugriff auf Geräteinformationen. Einwilligungen für Reichweitenmessung und Werbung holen wir in der EU/im EWR über ein Einwilligungsbanner (Google User Messaging Platform) beim App-Start ein (siehe Abschnitt 7).

3. Bereitgestellte Daten / Geräte-Kennung

Beim Start der App wird eine pseudonyme Installations-Kennung (Firebase Installation ID, „installId") erzeugt sowie eine anonyme Nutzerkennung (anonyme Firebase-Authentifizierung). Diese Kennungen enthalten keinen Klarnamen und dienen dazu, Ihr Gerät der App-Nutzung zuzuordnen (z. B. tägliche/wöchentliche Teilnahme-Limits, Ticket-Konten, Empfehlungsprogramm).

Verarbeitet werden u. a.:

Zweck: Betrieb der App, Teilnahme an Aktionen, Limits, Missbrauchs-/Betrugsabwehr.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Speicherdauer: für die Dauer der Installation; siehe Abschnitt 15.

4. Server-Funktionen & Datenbank (Firebase / Cloud Firestore & Functions)

Daten werden über Google-Firebase-Dienste (Cloud Firestore als Datenbank, Cloud Functions für Serverlogik) in der EU verarbeitet. Technisch bedingt verarbeitet Google bei jeder Verbindung allgemeine Verbindungsdaten (u. a. IP-Adresse, Zeitstempel) zur Auslieferung und Absicherung. Wir selbst speichern keine IP-Adressen in unserer Anwendung.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

5. Sicherheit / Firebase App Check

Zur Abwehr von Missbrauch (z. B. automatisierte Anfragen, manipulierte Clients) setzen wir Firebase App Check ein. Dabei wird über Dienste wie Google Play Integrity (Android) bzw. App Attest (iOS) geprüft, ob Anfragen von einer echten, unveränderten App-Installation stammen. Hierbei werden geräte- und app-bezogene Attestierungs-Tokens an Google übermittelt.

Zweck: Integritäts-/Missbrauchsschutz.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Push-Benachrichtigungen (Firebase Cloud Messaging)

Wenn Sie Benachrichtigungen erlauben, verarbeiten wir ein Push-Token (FCM-Token) Ihres Geräts, um Ihnen Mitteilungen zu senden (z. B. neue Aktionen, Erinnerungen, Gewinn-Benachrichtigungen). Das Token wird mit Ihrer Installations-Kennung verknüpft gespeichert. Einzelne Benachrichtigungs-Kategorien können Sie in den App-Einstellungen abbestellen.

Zweck: Versand von Benachrichtigungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Systemabfrage; jederzeit über die Geräteeinstellungen widerrufbar).
Anbieter: Google (Firebase Cloud Messaging).
Speicherdauer: bis zum Widerruf/zur Deinstallation; ungültige Tokens werden automatisch entfernt.

7. Einwilligungsverwaltung (Google User Messaging Platform)

Beim ersten App-Start in der EU/im EWR zeigt die App ein Einwilligungsbanner der Google User Messaging Platform (UMP, „Consent Management Platform"). Erst nach Ihrer Entscheidung werden Werbung (Abschnitt 9) und Reichweitenmessung (Abschnitt 8) aktiviert; ohne Einwilligung bzw. bei Ablehnung bleiben beide deaktiviert. Im Rahmen des Banners verarbeitet Google technische Informationen (z. B. ungefähre Region zur Prüfung, ob eine Einwilligung erforderlich ist) und speichert Ihren Einwilligungsstatus auf dem Gerät.

Ihre Entscheidung können Sie jederzeit mit Wirkung für die Zukunft ändern oder widerrufen: in der App unter „Creators" → „Datenschutzoptionen".

Zweck: Einholung und Verwaltung von Einwilligungen (Art. 7 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Nachweis- und Einwilligungspflichten) und lit. f DSGVO.

8. Reichweitenmessung (Google Analytics für Firebase / GA4)

Zur Verbesserung der App messen wir die Nutzung mit Google Analytics für Firebase. Dabei werden Ereignisse wie App-Starts und Bildschirmaufrufe sowie Geräte-/Nutzungsmerkmale (z. B. Plattform) erfasst und mit der pseudonymen Installations-Kennung verknüpft. Es findet keine Verknüpfung mit Ihrem Klarnamen statt.

Die Reichweitenmessung ist in der App standardmäßig deaktiviert und wird in der EU/im EWR erst aktiviert, wenn Sie über das Einwilligungsbanner (Abschnitt 7) eingewilligt haben.

Anbieter: Google.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. § 25 Abs. 1 TDDDG. Außerhalb der EU/des EWR: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung).
Widerruf: jederzeit über „Datenschutzoptionen" in der App (Abschnitt 7).

9. Werbung (Google AdMob und Werbepartner)

Die App zeigt ausschließlich freiwillig gestartete belohnte Videoanzeigen („Rewarded Ads"), die zusätzliche kostenlose Tickets ermöglichen. Die Anzeigen werden über Google AdMob (Google Mobile Ads SDK) ausgeliefert. AdMob kann dabei weitere Werbenetzwerke einbeziehen („Mediation" beziehungsweise „Bidding"), die für die Auslieferung einer Anzeige werbebezogene Daten verarbeiten: insbesondere die Werbe-ID des Geräts (soweit Sie sie nicht zurückgesetzt oder eingeschränkt haben), die IP-Adresse und daraus abgeleitete ungefähre Region, Geräte- und App-Informationen sowie Interaktionen mit der Anzeige (Start, vollständige Wiedergabe, Klick).

In der EU/im EWR wird das Werbe-SDK erst initialisiert und Werbung erst angefordert, nachdem Sie über das Einwilligungsbanner (Abschnitt 7) Ihre Entscheidung getroffen haben. Ohne die erforderliche Einwilligung wird in der EU/im EWR keine personalisierte Werbung ausgeliefert. Ihre Entscheidung gilt für alle unten genannten Werbepartner.

Eingesetzte Werbepartner:

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, über das Einwilligungsbanner) und § 25 Abs. 1 TDDDG für personalisierte Werbung; Art. 6 Abs. 1 lit. f DSGVO bei nicht personalisierter Werbung.
Drittland: Unity Technologies und AppLovin haben ihren Sitz in den USA; Übermittlungen stützen sich auf das EU-US Data Privacy Framework beziehungsweise auf Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). InMobi verarbeitet Daten in Singapur auf Grundlage von Standardvertragsklauseln, sobald der Partner aktiviert ist.
Widerruf: jederzeit über „Datenschutzoptionen" in der App (Abschnitt 7). Die Werbe-ID können Sie außerdem in den Geräteeinstellungen zurücksetzen oder einschränken.

9a. Diagnose von Werbe-Gutschriften

Ein Ticket für eine angesehene Werbeanzeige schreiben wir ausschließlich gut, wenn Google die Belohnung per serverseitiger Bestätigung (Server-Side Verification) an unseren Server meldet. Bleibt diese Bestätigung aus, kann die App zur Fehleranalyse einen kurzen technischen Bericht über den Werbeversuch an unseren Server senden. Der Bericht bucht nie ein Ticket und ist keine Voraussetzung für eine Gutschrift.

Gespeicherte Angaben: Plattform und Build-Nummer der App, Ergebnis des Versuchs (z. B. angesehen, geschlossen, nicht geladen), Ladezeit und Zeitpunkte von Belohnung und Schließen (auf 0,1 Sekunden gerundet, ab Anzeigebeginn), Fehlercode und Fehlerbereich des Werbe-SDK als Zahl bzw. Kurzbezeichnung, Name des ausliefernden Werbenetzwerks, Antwort-Kennung der Anzeige (responseId), ob die Bestätigungsdaten gesetzt waren, unter Android zusätzlich nur als Ja/Nein, ob privates DNS oder ein VPN aktiv ist (kein Anbieter, keine Adresse), sowie serverseitig der Prüfstatus von Firebase App Check und der Gutschriftsstand. Die Zuordnung erfolgt über einen Hashwert der Bestätigungskennung des Versuchs und einen gekürzten Hashwert der Installations-Kennung; die Kennungen selbst, IP-Adressen, Gerätemodell und Werbe-ID werden nicht gespeichert. Gespeichert werden Versuche ohne Gutschrift und eine zufällige Stichprobe von 5 % der gutgeschriebenen Versuche als Vergleichsgruppe.

Zweck: Ursachen ausbleibender Gutschriften finden und beheben, berechtigte Supportanfragen prüfen.
Zugriff: nur der Betreiber über gesicherte Serverwerkzeuge; kein Zugriff aus der App oder dem Adminbereich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (korrekte Gutschrift im Rahmen der Teilnahme) und lit. f DSGVO (berechtigtes Interesse an einer fehlerfreien, missbrauchssicheren Gutschrift).
Speicherdauer: 14 Tage, danach automatische Löschung.

10. Absturzberichte (Firebase Crashlytics)

Um Abstürze und Fehler zu erkennen und die Stabilität der App zu verbessern, setzen wir Firebase Crashlytics ein. Bei einem Absturz oder Fehler werden u. a. folgende Daten an Google übermittelt: Absturzprotokoll (Stacktrace), Gerätemodell, Betriebssystem-Version, App-Version, Zeitpunkt des Absturzes sowie eine Crashlytics-Installations-Kennung. Es werden keine Klarnamen übermittelt.

Anbieter: Google.
Zweck: Fehlerdiagnose, Stabilität der App.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen, fehlerfreien App).
Speicherdauer: Crash-Berichte werden bei Google nach 90 Tagen automatisch gelöscht.

11. Weitere Dienste (Remote Config, Bildauslieferung über Cloudflare R2)

Firebase Remote Config liefert Konfigurationswerte der App (z. B. Feature-Schalter, Textbausteine). Dabei werden technische Kennungen (Installations-Kennung) an Google übermittelt, um die passende Konfiguration auszuliefern; es werden keine Nutzungsprofile gebildet.

Cloudflare R2 dient ausschließlich der Speicherung und Auslieferung öffentlicher Bilddateien der App und der Website (z. B. Produkt- und Gewinnerbilder, App-Icon) über die Adresse img.verloso.com. Es werden dort keine Nutzerkonten, Profile oder Teilnahmedaten gespeichert. Beim Abruf eines Bildes verarbeitet Cloudflare technisch bedingt Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, angeforderte Datei) zur Auslieferung und zur Abwehr von Angriffen. Der Upload der Bilder erfolgt durch uns über Serverfunktionen; Firebase Storage wird für Uploads aus dem Adminbereich weiterhin als Zwischenspeicher genutzt.

Anbieter: Google (Remote Config, Firebase Storage); Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, EU-Vertretung Cloudflare Germany GmbH, München. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. cloudflare.com/privacypolicy
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (berechtigtes Interesse an einer schnellen, sicheren Auslieferung der Inhalte).

12. Empfehlungsprogramm (Referrals)

Wenn Sie über einen Empfehlungslink/-code eingeladen werden oder selbst einladen, verarbeiten wir den Empfehlungscode sowie die Verknüpfung zwischen werbender und geworbener Installation (jeweils pseudonyme Kennungen), um Empfehlungs-Belohnungen zuzuordnen und Missbrauch (z. B. Selbst-Einladung) zu verhindern. Über die Funktion „Play Install Referrer" kann der Code nach der Installation aus den Store-Parametern übernommen werden.

Zweck: Durchführung des Empfehlungsprogramms, Missbrauchsabwehr.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

13. Gewinnerdaten (Versand von Gewinnen)

Im Gewinnfall bitten wir Sie, zur Kontaktaufnahme und Zustellung des Gewinns Kontakt- und ggf. Versanddaten anzugeben (in der App: E-Mail-Adresse, Telefonnummer oder Instagram-Name – eine Angabe genügt; für den Versand anschließend Name und Anschrift). Diese Daten sind ausschließlich für die Abwicklung der Gewinnübergabe zugänglich (kein öffentlicher Zugriff). Bei Minderjährigen kann die Einwilligung/Mitwirkung der Erziehungsberechtigten erforderlich sein.

Zweck: Identifizierung und Zustellung des Gewinns, Abwicklung der Teilnahmebedingungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Gewinnspiels) und ggf. lit. c DSGVO (gesetzliche Aufbewahrungspflichten).
Speicherdauer: bis zur Abwicklung des Versands; anschließend Löschung nach 90 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

13a. Öffentliche Live-Ziehung und dauerhafter Gewinnernachweis

Gewinne können in einer öffentlich übertragenen Live-Ziehung gezogen werden. Der Gewinner steht vor Beginn der Präsentation fest. Am Ende der Präsentation zeigen wir zur Nachvollziehbarkeit genau drei Angaben zum gezogenen Konto: die vollständige Installations-Kennung, den Einladungscode und die Anzahl der Tickets, die dieses Konto bei genau dieser Ziehung hatte. Name, Kontaktdaten oder weitere Nutzungsdaten werden dabei nicht gezeigt. Ist eine dieser Angaben nicht gespeichert, wird „nicht belegt" angezeigt.

Mit gesonderter Einwilligung veröffentlichen wir Gewinner zusätzlich in der Gewinnerliste der App, z. B. mit gekürztem Namen. Diese Einträge bleiben als historischer Gewinnernachweis dauerhaft bestehen; ein Widerruf der Einwilligung ist jederzeit möglich, danach erscheint der Eintrag nur noch neutral ohne Namen. Getrennt davon werden Kontakt- und Versanddaten nach Abschnitt 13 gelöscht.

Zweck: transparente, überprüfbare Durchführung der Verlosung, Nachweis der ordnungsgemäßen Ziehung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren Ziehung); für die namentliche Veröffentlichung Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Speicherdauer: Ziehungs- und Gewinnernachweise dauerhaft, soweit nicht wegen eines Widerrufs oder einer Löschpflicht etwas anderes gilt. Für Aufzeichnungen der Live-Übertragung gelten zusätzlich die Bedingungen der jeweiligen Streaming-Plattform.

14. Wünsche / freiwillige Eingaben

Sie können Produktwünsche als Freitext einreichen. Bitte geben Sie dort keine personenbezogenen Daten an. Eingaben werden mit Ihrer pseudonymen Kennung gespeichert und zur Produktauswahl und statistischen Auswertung genutzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Teilnahme-/Ticket-Daten werden automatisch nach Ablauf gelöscht (z. B. Teilnahmen nach 90 Tagen, Monats-Ticket-Konten nach 180 Tagen). Diagnoseberichte zu Werbe-Gutschriften werden nach 14 Tagen gelöscht (Abschnitt 9a). Die Installations-Stammdaten und Empfehlungsdaten werden bis zur Zweckerreichung bzw. bis zu einer Löschanfrage aufbewahrt. Kontakt- und Versanddaten von Gewinnern werden nach Abschnitt 13 gelöscht; Ziehungs- und öffentliche Gewinnernachweise bleiben dauerhaft bestehen (Abschnitt 13a). Bei Deinstallation der App werden lokale Daten auf dem Gerät entfernt; serverseitige Daten können Sie über die oben genannte Kontaktadresse löschen lassen.

16. Empfänger / Drittland

Empfänger der Daten ist im Wesentlichen Google (Firebase einschließlich Firestore, Cloud Functions, App Check, Cloud Messaging, Crashlytics, Remote Config und Storage sowie Google Analytics und AdMob) als Auftragsverarbeiter. Auch wenn die Datenbank in der EU betrieben wird, kann es im Rahmen einzelner Google-Dienste zu Datenübermittlungen in die USA kommen. Google ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln der EU-Kommission als geeignete Garantien (Art. 46 DSGVO).

Weitere Empfänger sind Cloudflare (Bildauslieferung, USA, Data Privacy Framework, Abschnitt 11) sowie die in Abschnitt 9 genannten Werbepartner Unity Ads (USA) und, sobald aktiviert, InMobi (Singapur), AppLovin (USA) und Meta Platforms Ireland (Irland). Werbepartner erhalten Daten nur im Rahmen einer von Ihnen gestarteten Anzeige und in der EU/im EWR nur nach Ihrer Einwilligung.

17. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen. Erteilte Einwilligungen (z. B. Push, Reichweitenmessung, Werbung) können Sie jederzeit mit Wirkung für die Zukunft widerrufen – für Reichweitenmessung und Werbung direkt in der App über „Datenschutzoptionen" (Abschnitt 7), für Push über die Geräteeinstellungen.

Zur Ausübung genügt eine formlose Nachricht an support@verloso.app. Da wir Sie nur über eine pseudonyme Kennung identifizieren, geben Sie zur Zuordnung bitte Ihre Installations-Kennung an (diese können wir Ihnen auf Anfrage zuordnen).

Ihnen steht zudem ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu – in der EU/im EWR bei der Aufsichtsbehörde Ihres Aufenthaltsmitgliedstaats, in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung ändert. Es gilt die jeweils unter verloso.app/datenschutz veröffentlichte Fassung.