Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Verpflichtungen zwischen dem Gewinnspielveranstalter und der CASE.DE GmbH für die Verarbeitung personenbezogener Daten von Gewinnspielteilnehmern über die Plattform Randomify. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und ergänzt unsere Datenschutzerklärung.

1. Vertragsparteien

Verantwortlicher (im Sinne von Art. 4 Nr. 7 DSGVO) ist der Nutzer von Randomify, der ein Gewinnspiel durchführt (nachfolgend „Veranstalter“). Der Veranstalter bestimmt Zwecke und Mittel der Verarbeitung der Teilnehmerdaten.

Auftragsverarbeiter (im Sinne von Art. 4 Nr. 8 DSGVO) ist:

CASE.DE GmbH
Wittestr. 60
53225 Bonn
Deutschland
E-Mail: info@randomify.de

Soweit die CASE.DE GmbH personenbezogene Daten der registrierten Nutzer (Registrierung, Authentifizierung, Abrechnung, Sicherheit) oder technische Zugriffsdaten wie IP-Adressen selbst verarbeitet, ist sie insoweit eigenständig Verantwortliche; dieser Teil unterfällt nicht diesem AVV, sondern unmittelbar der Datenschutzerklärung. Das gilt auch für die Zahlungsabwicklung über Stripe, die keine Teilnehmerdaten erhält.

2. Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten von Gewinnspielteilnehmern im Rahmen der Bereitstellung der Randomify-Plattform. Die Dauer des Auftrags entspricht der Laufzeit des Nutzungsverhältnisses. Der Vertrag endet mit Beendigung des Nutzungsverhältnisses, ohne dass es einer gesonderten Kündigung dieses AVV bedarf.

3. Art und Zweck der Verarbeitung

Die Verarbeitung dient der Erfassung von Kommentaren unter den Beiträgen des Veranstalters über die offizielle Instagram Graph API, der Ermittlung teilnahmeberechtigter Personen, der Durchführung einer nachvollziehbaren, fairen Gewinnziehung, dem Versand der vom Veranstalter veranlassten öffentlichen Antworten auf Kommentare sowie der öffentlichen Nachprüfbarkeit der Ziehung (Abschnitt 6). Direktnachrichten versendet Randomify nicht. Dazu gehört der stabile und sichere Betrieb des Dienstes einschließlich Fehleranalyse, Abwehr von Angriffen und Wiederherstellung nach einem Ausfall, soweit die nachfolgend genannten Daten dabei in Protokollen und Sicherungen enthalten sind. Im Einzelnen umfasst die Verarbeitung das Erheben, Speichern, Auslesen, Verwenden, Offenlegen, Anonymisieren und Löschen der nachfolgend genannten Daten.

4. Art der personenbezogenen Daten

Instagram-Benutzername der Teilnehmer
Plattform-User-ID
Kommentartext und externe Kommentar-ID
Zeitstempel des Kommentars
Teilnahmestatus: Ausschlüsse (bei manuellem Ausschluss mit dem vom Veranstalter formulierten Grund) und die Position im Lostopf
Antworten auf Kommentare: Antworttext, Benutzername der Person, deren Kommentar beantwortet wird, und Zustellstatus
Ziehungsdaten: Gewinner und alle zur Ziehung zugelassenen Teilnehmer im öffentlich überprüfbaren Ziehungsnachweis, jeweils mit einem Zufallswert (Salt) und dem daraus gebildeten kryptographischen Fingerabdruck
Benutzernamen, die in die öffentliche Teilnahmeprüfung eingegeben werden
Diese Angaben, soweit sie in Protokollen, Benachrichtigungen und Sicherungen enthalten sind (Abschnitte 8 und 10)

5. Kategorien betroffener Personen

Betroffen sind Personen, die unter einem in das Gewinnspiel einbezogenen Beitrag des Veranstalters auf Instagram kommentiert haben (Gewinnspielteilnehmer). Betroffen sind außerdem Personen, deren Benutzername jemand in die öffentliche Teilnahmeprüfung des Gewinnspiels eingibt; sie müssen nicht teilgenommen haben.

6. Öffentliche Nachprüfbarkeit als Teil des Dienstes

Die öffentliche Nachprüfbarkeit ist dokumentierter Bestandteil des Dienstes und gilt daher als Weisung des Veranstalters an die CASE.DE GmbH. Sie umfasst:

Prüfseite: Jede abgeschlossene Ziehung lässt sich über ihren Verifizierungscode ohne Anmeldung öffentlich prüfen. Die Seite zeigt die Gewinner sowie Gewinner früherer Ziehungen, die für ungültig erklärt wurden.
Ziehungszertifikat: Das signierte Zertifikat (JSON und PDF) steht dort zum Download bereit. Es enthält bewusst Benutzername und Plattform-User-ID aller zur Ziehung zugelassenen Teilnehmer und der Gewinner, jeweils mit einem Zufallswert (Salt) und dem daraus gebildeten kryptographischen Fingerabdruck.
Teilnahmeprüfung: Auf der öffentlichen Seite eines Gewinnspiels kann jede Person ohne Anmeldung einen Instagram-Benutzernamen eingeben. Sie erfährt, ob dieser Name als Teilnehmer erfasst ist, ob er ausgeschlossen wurde und in welche allgemeine Kategorie der Grund fällt, und nach der Ziehung auch die Position im Lostopf. Es wird nicht geprüft, ob der eingegebene Name der eigene ist. Eine frei formulierte Begründung des Veranstalters wird nicht angezeigt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, gestützt auf das berechtigte Interesse des Veranstalters an einer nachweislich fairen Ziehung. Die Abwägung und die Information der Teilnehmer obliegen dem Veranstalter (Abschnitt 12). Die CASE.DE GmbH verarbeitet diese Daten nicht zu eigenen Zwecken.

Nach einer Anonymisierung (Abschnitt 8) enthalten Prüfseite und Zertifikat die Kennungen der betroffenen Personen nicht mehr, und die zugehörigen Salts sind gelöscht. Die Ziehung bleibt nachprüfbar und die Signatur bleibt gültig. Auf Zertifikate, die Dritte bereits heruntergeladen haben, hat die CASE.DE GmbH keinen Zugriff.

7. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Die CASE.DE GmbH verpflichtet sich:

Weisungsbindung: personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen des Veranstalters zu verarbeiten, sofern sie nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; eine solche Pflicht teilt sie ihm vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Die Konfiguration des Gewinnspiels sowie die Nutzung der Plattformfunktionen gelten als Weisung, ebenso die öffentliche Nachprüfbarkeit (Abschnitt 6) und der Betrieb des Dienstes nach Abschnitt 3. Eigene Zwecke regelt Abschnitt 9.
Hinweis bei rechtswidrigen Weisungen: den Veranstalter unverzüglich zu informieren, wenn sie der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 S. 3 DSGVO).
Vertraulichkeit: sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
Technische und organisatorische Maßnahmen: die erforderlichen Maßnahmen gemäß Art. 32 DSGVO zu treffen (Verschlüsselung der Übertragung via TLS, Feldverschlüsselung von Zugriffstokens und Zufallswerten (Salts) der Ziehungsnachweise mit AES-256-GCM, Zugriffsbeschränkung auf den Anwendungsserver, gehashte Passwörter, signierte und zeitlich begrenzte Sitzungen, vor der Übertragung verschlüsselte externe Sicherungen).
Unterstützung bei Betroffenenrechten: den Veranstalter mit geeigneten technischen Mitteln dabei zu unterstützen, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung und Einschränkung zu erfüllen (Art. 28 Abs. 3 lit. e DSGVO). Die Einzelheiten regelt Abschnitt 8.
Unterstützung bei Pflichten des Verantwortlichen: den Veranstalter bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit dies angemessen und erforderlich ist.
Meldung von Datenschutzverletzungen: den Veranstalter unverzüglich zu informieren, sobald der CASE.DE GmbH eine Verletzung des Schutzes der von diesem AVV erfassten personenbezogenen Daten bekannt wird.
Löschung und Rückgabe: die personenbezogenen Daten nach Abschluss der Verarbeitung nach Wahl des Veranstalters zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Eine Rückgabe erfolgt auf Anfrage an info@randomify.de. Löscht der Veranstalter sein Konto, werden seine Gewinnspiele ohne Ziehung mit den Teilnehmerdaten gelöscht; seine Gewinnspiele mit Ziehung werden anonymisiert und bleiben ohne Zuordnung zu seinem Konto erhalten, damit der Ziehungsnachweis gültig bleibt. Solange eine Ziehung läuft, ist die Kontolöschung nicht möglich. Unabhängig davon anonymisiert Randomify Teilnehmerdaten nach Ablauf der in Abschnitt 4.4 der Datenschutzerklärung genannten Frist automatisch. Für Aufzeichnungen außerhalb der Anwendungsdatenbank gelten die Fristen aus Abschnitt 8.
Nachweise: dem Veranstalter die zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen zu ermöglichen (Art. 28 Abs. 3 lit. h DSGVO).

8. Anfragen betroffener Personen und Löschung von Teilnehmerdaten

Über Anträge auf Auskunft, Berichtigung, Löschung (Art. 17 DSGVO) und Einschränkung sowie über Widersprüche (Art. 21 DSGVO) entscheidet der Veranstalter als Verantwortlicher. Wendet sich eine betroffene Person direkt an die CASE.DE GmbH, leitet sie die Anfrage, soweit sie den Veranstalter anhand der Angaben ermitteln kann, an den jeweiligen Veranstalter weiter und entscheidet nicht selbst darüber.

Randomify stellt dem Veranstalter dafür folgende Funktionen bereit:

Löschung einer einzelnen Person: Der Veranstalter kann die Daten einer Person anhand des Benutzernamens oder der Plattform-User-ID über alle seine Gewinnspiele hinweg löschen. Gehört ein Benutzername zu mehr als einem Instagram-Konto, wird nichts gelöscht; die Löschung erfolgt dann über die Plattform-User-ID. Die Löschung anonymisiert die Kennungen der Person in der Anwendungsdatenbank: Benutzername, Plattform-User-ID und Kommentartext, auch im Ziehungsnachweis und in Kommentar-Antworten. Noch nicht gesendete Antworten an die Person werden nicht mehr gesendet. In Gewinnspielen ohne abgeschlossene Ziehung wird die Person außerdem von der Auslosung ausgeschlossen. Eine abgeschlossene Ziehung ändert sich dadurch nicht und bleibt nachprüfbar. Gewinnspiele anderer Veranstalter bleiben unberührt; über sie entscheidet der jeweilige Veranstalter. Der Löschvorgang selbst protokolliert nur Anzahlen, nicht die Person. Kommentiert die Person später erneut, gilt das als neue Teilnahme.
Vorzeitige Anonymisierung eines ganzen Gewinnspiels: Der Veranstalter kann die Teilnehmerdaten eines Gewinnspiels mit abgeschlossener Ziehung vorzeitig anonymisieren, solange keine Ziehung läuft. Die Ziehung bleibt nachprüfbar. Ein Gewinnspiel ohne Ziehung kann er stattdessen löschen.
Löschung durch die CASE.DE GmbH: Auf Weisung des Veranstalters führt die CASE.DE GmbH dieselbe Löschung einer einzelnen Person für ihn aus und dokumentiert den Anlass.

Diese Funktionen wirken auf die Anwendungsdatenbank. Aufzeichnungen, die vorher an anderer Stelle entstanden sind, enden nach ihren eigenen Fristen:

Audit-Protokolleinträge zu Ausschluss, Wiederaufnahme, Gewinnerkontakt, Ziehung und Neuauslosung: Der Benutzername wird nach 180 Tagen entfernt, frei formulierte Begründungen bleiben. Einträge zu Teilnahmeprüfungen werden nach 30 Tagen gelöscht. Kommentar-IDs in Einträgen zu gesendeten Antworten werden nicht entfernt.
Betriebsprotokolle in Grafana Cloud: bis zum Ablauf ihrer Speicherdauer (Abschnitt 5 der Datenschutzerklärung).
Zugriffsprotokolle des Webservers, in denen auch ein bei der Teilnahmeprüfung eingegebener Benutzername stehen kann: Rotierte Dateien werden nach 30 Tagen gelöscht.
Sicherungen: Auf dem Server bleiben 14 tägliche, 4 wöchentliche und 6 monatliche Stände erhalten. Die verschlüsselte Kopie in Microsoft 365 SharePoint wird derzeit nicht automatisch rotiert; dorthin kopierte Stände bleiben erhalten, bis sie von Hand entfernt werden. Die automatischen Datenbanksicherungen in Microsoft Azure werden nach 14 Tagen entfernt.
Wenn während der Löschung eine Ziehung läuft: Diese kann die Person noch berücksichtigen und auswählen. Was sie dabei speichert, bleibt erhalten, bis die Teilnehmerdaten des Gewinnspiels insgesamt anonymisiert werden.
Bereits versandte E-Mails an den Veranstalter, die Benutzernamen von Gewinnern enthalten können.
Zertifikate, die Dritte bereits heruntergeladen haben (Abschnitt 6).
Der Kommentar auf Instagram selbst und dort gesendete Antworten: Diese löscht Randomify nicht.

9. Eigene Verarbeitung nur auf anonymisierter Basis

Eine Nutzung der Teilnehmerdaten durch die CASE.DE GmbH zu eigenen Zwecken (z. B. plattformweite Statistiken und Betriebskennzahlen) erfolgt ausschließlich auf anonymisierter bzw. aggregierter Datenbasis ohne Personenbezug. Eine Profilbildung über mehrere Veranstalter hinweg findet nicht statt. Hierdurch wird eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) ausgeschlossen.

Davon zu unterscheiden sind Betriebsprotokolle, Zugriffsprotokolle und Sicherungen. Soweit sie Teilnehmerdaten enthalten, verarbeitet die CASE.DE GmbH diese auf Weisung des Veranstalters als Teil des Betriebs des Dienstes (Abschnitte 3 und 7): zur Fehleranalyse, zur Abwehr von Angriffen und zur Wiederherstellung nach einem Ausfall, nicht für Statistiken oder die Auswertung einzelner Personen. Für die übrigen Angaben darin, etwa IP-Adressen und Kontodaten, ist sie eigenständig Verantwortliche (Abschnitt 1). Einzelheiten stehen in Abschnitt 4.10 der Datenschutzerklärung.

10. Unterauftragsverarbeiter

Der Veranstalter stimmt der Einschaltung der nachfolgenden Unterauftragsverarbeiter zu. Die CASE.DE GmbH stellt durch vertragliche Vereinbarungen sicher, dass diese den Anforderungen der DSGVO entsprechen (Art. 28 Abs. 4 DSGVO):

Microsoft Ireland Operations Ltd. (Microsoft Azure) — Betrieb der Server und der Datenbank in einem Rechenzentrum innerhalb der EU (Frankreich), einschließlich der automatischen Datenbanksicherungen.
Microsoft Ireland Operations Ltd. (Microsoft 365 SharePoint) — Ablage der externen Kopie der Sicherungen. Die Sicherungen werden vor der Übertragung verschlüsselt; Microsoft erhält nur die verschlüsselten Daten.
Grafana Labs — Betriebsüberwachung (Betriebsprotokolle und Systemmetriken) über Grafana Cloud, gespeichert in einer EU-Region. Die Betriebsprotokolle können Benutzernamen und weitere Kennungen von Teilnehmern enthalten (Drittland-Bezug siehe Abschnitt 11).
Resend (Plus Five Five, Inc.) — Versand von E-Mails. Benachrichtigungen an den Veranstalter können Benutzernamen von Gewinnern enthalten (Drittland-Übermittlung siehe Abschnitt 11).

Meta Platforms Ireland Ltd. ist kein Unterauftragsverarbeiter. Instagram ist die Quelle der Beiträge und Kommentare und Empfänger der vom Veranstalter veranlassten Antworten; Meta handelt dabei als Betreiber der Plattform in eigener Verantwortung.

Über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern informiert die CASE.DE GmbH den Veranstalter und räumt ihm die Möglichkeit zum Widerspruch ein.

11. Datenübermittlung in Drittländer

Durch die Nutzung der Instagram Graph API werden Daten an Meta-Server übermittelt, die sich teilweise in den USA befinden. Beim E-Mail-Versand über Resend können Daten in die USA übermittelt werden. Die Daten bei Grafana Cloud liegen in einer EU-Region; ein Zugriff des Anbieters aus den USA lässt sich jedoch nicht ausschließen. Eine Übermittlung erfolgt jeweils auf Grundlage des EU-U.S. Data Privacy Framework bzw. auf Basis von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Einzelheiten ergeben sich aus der Datenschutzerklärung.

12. Pflichten des Veranstalters

Der Veranstalter ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er verpflichtet sich insbesondere, die Teilnehmer seiner Gewinnspiele in seinen eigenen Teilnahmebedingungen über die Datenverarbeitung durch Randomify einschließlich der öffentlichen Nachprüfbarkeit (Abschnitt 6) zu informieren, eine gültige Rechtsgrundlage für die Verarbeitung sicherzustellen und über Anfragen betroffener Personen zu entscheiden (Abschnitt 8).

13. Zustandekommen des Vertrags

Dieser AVV ist Bestandteil der AGB. Er kommt zustande, wenn der Veranstalter die AGB einschließlich dieses AVV annimmt: bei der Registrierung oder, bei einem bestehenden Konto, in dem dafür angezeigten Dialog. Zeitpunkt und Fassung der Annahme werden am Konto gespeichert. Der AVV gilt für die gesamte Dauer des Nutzungsverhältnisses.

Änderungen bedürfen der Textform. Die jeweils aktuelle Fassung ist stets auf dieser Seite abrufbar. Wesentliche Änderungen legt die CASE.DE GmbH zur Annahme vor. Bis zur Annahme kann der Veranstalter keine Gewinnspiele erstellen oder starten, keine Ziehung durchführen und kein Guthaben kaufen; laufende Gewinnspiele laufen weiter, und für sie gilt bis dahin die zuvor vereinbarte Fassung.

Stand: 6. November 2026