Privacy Policy
Version 1.1 · 25 October 2026 · Deutsche Fassung weiter unten
Send a Scratch is built so that the contents of a card cannot be read by the people running it. That is not a promise about our conduct; it is how the software is put together, and the two places where it does not hold are named explicitly below.
1. Who is responsible
DonkeyCat GmbH, Lindengasse 43/19, A-1070 Vienna, Austria, is the controller within the meaning of Art. 4(7) GDPR. Full company details are in the imprint. For any question about this policy or to exercise a right listed in section 8, write to office@donkeycat.com.
We have not appointed a data protection officer; the thresholds in Art. 37 GDPR are not met.
2. How the encryption changes what we hold
When you build a card, your browser assembles the image, the message and any calendar event and
encrypts them with AES-256-GCM before anything is uploaded. The key is generated in your
browser, is never sent to us, and ends up in the fragment of the link — the part after the
#. Browsers do not transmit that part of a URL to servers, so the key cannot appear
in a request, a log file or a backup, even accidentally.
The practical consequence: we hold a block of bytes we cannot decrypt. We cannot tell you what a card contains, we cannot produce it in response to a request, and we cannot hand it to anyone else in a readable form. We can delete it.
The two exceptions, stated plainly
A link preview in WhatsApp is rendered by a crawler that holds no key and runs no JavaScript. For a preview to exist at all, some things must be readable by us. Those are:
- the occasion label you pick (for example
birthday), and - a custom preview image and preview wording, if you supply them.
These are stored unencrypted and are visible to anyone who receives the link, before they scratch anything. The builder says so at the point where you enter them. Nothing else about a card is readable.
3. What is stored, and why
| Data | Purpose | Legal basis |
|---|---|---|
| Encrypted card contents | Delivering the card you asked us to host | Art. 6(1)(b) — performance of the service you requested |
| Occasion, custom preview image and wording | Rendering the link preview | Art. 6(1)(b) |
| Language, size in bytes, creation and expiry time | Serving the card and deleting it on schedule | Art. 6(1)(b) |
| Unlock time and time zone, when you set one | Refusing to release the card before that moment | Art. 6(1)(b) |
| First and last open time, number of opens | Answering “has the page been opened?” for the sender | Art. 6(1)(b) |
| A hash of your five-character management code | Checking the code without being able to reconstruct it | Art. 6(1)(b) |
| A hash of the requesting IP address, plus an hourly counter | Rate limiting; stopping bulk abuse and code guessing | Art. 6(1)(f) — our legitimate interest in keeping the service usable |
The IP address is used as a hash and is not stored in readable form. We do not know who created a card, and there is nothing in the record that identifies you.
Anonymous totals and reactions
We count daily visits, creations, failures, share actions and completed reveals by language, occasion, mobile/desktop and action type to improve the service. We also count coarse source categories (search engine, recipient button, home or occasion page, other website, unknown) and builder steps. Only the category is carried to creation and sharing; raw referring URLs are not included in these metrics. We also count validation stages, reply categories (text, photo or both) and visits to the sender’s reply inbox, without linking those events to a card. These aggregate totals contain no visitor or card identifiers, IP addresses, message text, photos or encryption keys. There is no individual journey profile or cross-site tracking. Optional browser events respect Do Not Track and Global Privacy Control; operational server totals are still counted. Our basis for service measurement is our legitimate interest in understanding and improving its operation (Art. 6(1)(f)).
Recipients may send an anonymous reaction after revealing a card. Only per-card totals for each reaction are stored and shown to its sender (Art. 6(1)(b)); these are not unique-person counts. The reaction totals expire with the card. Opening counts measure page visits, not completed scratches.
Private replies to the sender
A recipient may send a short message and optional photo back to the sender. These are encrypted in the recipient’s browser with the card key; we store only ciphertext, its size and time, and its association with the card. The management code controls retrieval, and the sender’s browser decrypts the reply. This is part of providing the card service (Art. 6(1)(b)). Up to ten replies are allowed per card. Replies expire by the card’s expiry at submission time, so renewing a card does not extend existing replies. Deleting the card also removes its replies. A reply is anonymous unless its author identifies themselves in its encrypted contents.
Optional sender feedback
If you choose to send feedback, we store its category, language, time and optional comment as plain text for up to 90 days, separately from cards. This is readable by our team and used to improve the service (Art. 6(1)(f), legitimate interest). No name or email is requested. Please do not include card links or private card contents. Feedback is not linked to a card or visitor identifier. You may object by contacting office@donkeycat.com; quote your feedback and approximate submission time so we can locate it.
What is not collected
No accounts, and we do not ask for names or email addresses. No cookies, no localStorage, no
sessionStorage. No individual visitor analytics, no tracking pixels, no advertising, no profiling, no
automated decision-making within the meaning of Art. 22 GDPR. Web fonts are served from this
domain, so loading a page makes no request to any third party.
4. Retention
- Cards: between 7 and 365 days, chosen by the sender. Deletion is automatic.
- After a card is first opened: retention is at most another 14 days, never beyond the original expiry.
- At any time: whoever holds the management code can delete the card immediately.
- Daily aggregate totals: 90 days. Automatic physical deletion may follow expiry with a delay.
- Rate-limit counters: one hour.
- Server request logs at our hosting provider (timestamp, path, status code, truncated IP, user agent): 30 days.
5. Hosting and processors
The service runs on Google Cloud Run with Google Cloud Firestore, operated by Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Ireland, as our processor under Art. 28 GDPR. Compute is in region europe-west1 (Belgium) and storage in the EU multi-region eur3. Google's Data Processing Addendum and the EU Standard Contractual Clauses apply. No other processor is involved, and no data is sold, rented or shared for advertising.
6. Recipients
Anyone you send the link to can open the card — that is the point of it. We do not disclose data to anyone else, except where we are legally obliged to. Note that even under a legal obligation we could only produce ciphertext and the metadata in section 3, because we hold no key.
7. What you put in a card is your call
You choose what goes behind the foil, including whether it contains personal data about someone else. If it does, you are the one deciding that, and the same rules apply to you as to anyone handling another person's data. Please do not use a scratch card as a way of moving sensitive information around — it is a gift, not a vault, and the terms list what may not be uploaded.
8. Your rights
Under Art. 15–21 GDPR you have the right of access, rectification, erasure, restriction, data portability, and to object to processing based on legitimate interests. Write to office@donkeycat.com.
Two honest limits. First, a card record contains nothing that identifies you, so in most cases we cannot connect a request to a specific record — please include the card id from your link. Second, we cannot give you the contents of a card, because we cannot decrypt them; you already hold the only key, in your own link.
You may also complain to a supervisory authority, in Austria the Datenschutzbehörde, Barichgasse 40–42, 1030 Vienna, www.dsb.gv.at.
9. Children
The service is not directed at children and asks for no age information. It also asks for no personal data at all, so there is nothing to verify.
10. Changes
Material changes are published here with a new version number and date. The current version is shown at the top of this page.
Datenschutzerklärung
Fassung 1.1 · 25. Oktober 2026
Send a Scratch ist so gebaut, dass die Betreiber den Inhalt einer Karte nicht lesen können. Das ist kein Versprechen über unser Verhalten, sondern eine Eigenschaft der Software — und die beiden Stellen, an denen es nicht gilt, sind unten ausdrücklich benannt.
1. Verantwortlicher
DonkeyCat GmbH, Lindengasse 43/19, A-1070 Wien, Österreich, ist Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO. Die vollständigen Unternehmensdaten stehen im Impressum. Für Fragen zu dieser Erklärung oder zur Ausübung eines Rechts aus Punkt 8: office@donkeycat.com.
Ein Datenschutzbeauftragter wurde nicht bestellt; die Schwellen des Art. 37 DSGVO sind nicht erreicht.
2. Was die Verschlüsselung ändert
Beim Bauen einer Karte setzt dein Browser Bild, Text und einen allfälligen Termin zusammen und
verschlüsselt das Ganze mit AES-256-GCM, bevor irgendetwas hochgeladen wird. Der
Schlüssel entsteht in deinem Browser, wird nie an uns gesendet und landet im Fragment des Links —
dem Teil nach dem #. Diesen Teil einer Adresse übertragen Browser grundsätzlich nicht
an Server; er kann also weder in einer Anfrage noch in einem Logfile oder einem Backup auftauchen.
Praktische Folge: Wir haben einen Block Bytes, den wir nicht entschlüsseln können. Wir können dir nicht sagen, was in einer Karte steht, können sie auf Anfrage nicht herausgeben und niemandem in lesbarer Form weitergeben. Löschen können wir sie.
Die zwei Ausnahmen, deutlich gesagt
Die Linkvorschau in WhatsApp wird von einem Programm erzeugt, das keinen Schlüssel hat und kein JavaScript ausführt. Damit es überhaupt eine Vorschau geben kann, muss etwas für uns lesbar sein. Das sind:
- der gewählte Anlass (etwa
birthday) und - ein eigenes Vorschaubild samt Vorschautext, falls du eines hinterlegst.
Beides wird unverschlüsselt gespeichert und ist für alle sichtbar, die den Link bekommen — bevor gerubbelt wird. Im Baukasten steht das direkt bei den Eingabefeldern. Sonst ist an einer Karte nichts lesbar.
3. Was gespeichert wird und wozu
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Verschlüsselter Karteninhalt | Bereitstellung der Karte, die du hosten lassen wolltest | Art. 6 Abs. 1 lit. b — Erbringung der gewünschten Leistung |
| Anlass, eigenes Vorschaubild und Vorschautext | Erzeugung der Linkvorschau | Art. 6 Abs. 1 lit. b |
| Sprache, Größe in Bytes, Erstellungs- und Ablaufzeitpunkt | Ausliefern und fristgerechtes Löschen | Art. 6 Abs. 1 lit. b |
| Öffnungszeitpunkt und Zeitzone, falls gesetzt | Verweigerung der Herausgabe vor diesem Moment | Art. 6 Abs. 1 lit. b |
| Erstes und letztes Öffnen, Anzahl der Öffnungen | Beantwortung der Frage „schon geöffnet?“ für den Absender | Art. 6 Abs. 1 lit. b |
| Prüfsumme des fünfstelligen Codes | Prüfung des Codes, ohne ihn rekonstruieren zu können | Art. 6 Abs. 1 lit. b |
| Hashwert der IP-Adresse samt Stundenzähler | Ratenbegrenzung gegen Massenmissbrauch und Code-Raten | Art. 6 Abs. 1 lit. f — berechtigtes Interesse an einem benutzbaren Dienst |
Die IP-Adresse wird nur als Hashwert verwendet und nicht im Klartext gespeichert. Wir wissen nicht, wer eine Karte erstellt hat; im Datensatz steht nichts, was dich identifiziert.
Anonyme Summen und Reaktionen
Wir zählen tägliche Besuche, Erstellungen, Fehler, Teilaktionen und abgeschlossene Enthüllungen nach Sprache, Anlass, Mobilgerät/Computer und Aktionsart, um den Dienst zu verbessern. Wir zählen außerdem grobe Herkunftskategorien (Suchmaschine, Empfänger-Schaltfläche, Start- oder Anlassseite, andere Website, unbekannt) und Schritte beim Erstellen. Nur die Kategorie wird bis zum Erstellen und Teilen weitergegeben; ursprüngliche Verweis-URLs sind nicht in diesen Messdaten enthalten. Wir zählen auch Validierungsschritte, Antwortarten (Text, Foto oder beides) und Aufrufe des Antwortfachs, ohne diese Ereignisse einer Karte zuzuordnen. Die Summen enthalten keine Besucher- oder Karten-IDs, IP-Adressen, Nachrichtentexte, Fotos oder Schlüssel. Es gibt keine individuellen Nutzungsprofile und kein websiteübergreifendes Tracking. Optionale Browser-Ereignisse berücksichtigen Do Not Track und Global Privacy Control; betriebliche Server-Zähler bleiben aktiv. Grundlage ist unser berechtigtes Interesse an Verständnis und Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f).
Empfänger können nach dem Aufdecken anonym reagieren. Nur Summen je Reaktion und Karte werden gespeichert und dem Absender angezeigt (Art. 6 Abs. 1 lit. b); sie zählen keine einzelnen Personen. Die Reaktionssummen verfallen mit der Karte. Öffnungszähler messen Seitenaufrufe, nicht fertig freigerubbelte Karten.
Private Antworten an den Absender
Empfänger können eine kurze Nachricht und optional ein Foto zurücksenden. Beides wird im Browser des Empfängers mit dem Kartenschlüssel verschlüsselt. Wir speichern nur Geheimtext, Größe, Zeitpunkt und Zuordnung zur Karte. Der Verwaltungscode schützt den Abruf; entschlüsselt wird im Browser des Absenders. Grundlage ist die Bereitstellung des Kartendienstes (Art. 6 Abs. 1 lit. b). Pro Karte sind bis zu zehn Antworten möglich. Antworten verfallen zum beim Senden gültigen Ablaufdatum der Karte; eine spätere Verlängerung verlängert bestehende Antworten nicht. Beim Löschen der Karte werden auch die Antworten gelöscht. Antworten sind anonym, soweit sich ihr Verfasser nicht selbst im verschlüsselten Inhalt zu erkennen gibt.
Freiwilliges Absender-Feedback
Wenn du Feedback sendest, speichern wir Kategorie, Sprache, Zeitpunkt und optionalen Kommentar als Klartext bis zu 90 Tage, getrennt von Karten. Unser Team kann es lesen und nutzt es zur Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f, berechtigtes Interesse). Name und E-Mail werden nicht abgefragt. Bitte keine Karten-Links oder privaten Karteninhalte einfügen. Das Feedback wird keiner Karten- oder Besucher-ID zugeordnet. Du kannst über office@donkeycat.com widersprechen; nenne den Text und ungefähren Zeitpunkt, damit wir es finden können.
Was nicht erhoben wird
Keine Konten; Namen oder E-Mail-Adressen werden nicht abgefragt. Keine Cookies, kein localStorage, kein
sessionStorage. Keine individuellen Besucherprofile, keine Tracking-Pixel, keine Werbung, kein Profiling,
keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO. Schriftarten liegen auf
dieser Domain — beim Aufruf einer Seite geht keine Anfrage an Dritte.
4. Speicherdauer
- Karten: 7 bis 365 Tage, vom Absender gewählt. Die Löschung erfolgt automatisch.
- Nach dem ersten Öffnen: Höchstens weitere 14 Tage, nie über das ursprüngliche Ablaufdatum hinaus.
- Jederzeit: Wer den Verwaltungscode hat, kann die Karte sofort löschen.
- Tägliche Summen: 90 Tage. Die automatische physische Löschung kann nach Ablauf verzögert erfolgen.
- Zähler der Ratenbegrenzung: eine Stunde.
- Server-Protokolle beim Hoster (Zeitpunkt, Pfad, Statuscode, gekürzte IP, User-Agent): 30 Tage.
5. Hosting und Auftragsverarbeiter
Der Dienst läuft auf Google Cloud Run mit Google Cloud Firestore, betrieben von Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland, als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt in der Region europe-west1 (Belgien), die Speicherung in der EU-Mehrfachregion eur3. Es gelten der Datenverarbeitungszusatz von Google und die EU-Standardvertragsklauseln. Weitere Auftragsverarbeiter gibt es nicht; Daten werden weder verkauft noch vermietet noch für Werbung weitergegeben.
6. Empfänger
Wer den Link bekommt, kann die Karte öffnen — das ist ihr Zweck. Darüber hinaus geben wir nichts weiter, außer wir sind gesetzlich dazu verpflichtet. Auch dann könnten wir nur den Geheimtext und die Metadaten aus Punkt 3 herausgeben, weil wir keinen Schlüssel haben.
7. Was du in eine Karte legst, entscheidest du
Du wählst, was hinter der Folie steckt — auch, ob darin personenbezogene Daten anderer Personen vorkommen. Wenn ja, ist das deine Entscheidung, und es gelten für dich dieselben Regeln wie für jeden, der fremde Daten verarbeitet. Bitte benutze ein Rubbellos nicht, um heikle Informationen zu transportieren — es ist ein Geschenk, kein Tresor. Was nicht hochgeladen werden darf, steht in den AGB.
8. Deine Rechte
Nach Art. 15–21 DSGVO hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen. Wende dich an office@donkeycat.com.
Zwei ehrliche Einschränkungen. Erstens enthält ein Kartendatensatz nichts, was dich identifiziert — wir können eine Anfrage meist keinem Datensatz zuordnen. Bitte gib die Karten-ID aus deinem Link an. Zweitens können wir dir den Inhalt einer Karte nicht geben, weil wir ihn nicht entschlüsseln können; den einzigen Schlüssel hast du selbst, in deinem Link.
Du kannst dich auch bei einer Aufsichtsbehörde beschweren, in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.
9. Kinder
Der Dienst richtet sich nicht an Kinder und fragt kein Alter ab. Er fragt überhaupt keine personenbezogenen Daten ab, es gibt also nichts zu prüfen.
10. Änderungen
Wesentliche Änderungen werden hier mit neuer Fassungsnummer und neuem Datum veröffentlicht. Die aktuelle Fassung steht oben auf dieser Seite.