Nutzungsbedingungen & Datenschutz
Stand: 27. Juli 2026 · English version below
Noch einzutragen: Betreiber, Anschrift, Vertretungsberechtigte, Firmenbuch-/UID-Nummer und die E-Mail-Adresse für Missbrauchsmeldungen. Ohne diese Angaben ist die Seite in Österreich und Deutschland nicht rechtskonform veröffentlichbar (§ 5 ECG, § 5 TMG, Art. 13 DSGVO).
1. Was der Dienst tut
Send a Scratch erzeugt digitale Rubbellose. Du gestaltest im Browser eine Karte aus Bild, Text und
optional einem Termin. Der Browser verschlüsselt diese Karte, lädt ausschließlich den
Geheimtext hoch und gibt dir einen Link zurück. Der Schlüssel steht im Fragment des Links
(der Teil nach dem #) und wird von Browsern nicht an Server übertragen.
2. Was gespeichert wird
- Der Geheimtext deiner Karte. Wir können ihn nicht entschlüsseln.
- Zeitpunkt der Erstellung, Ablaufzeitpunkt, gewählte Sprache, Größe in Bytes.
- Der Öffnungszeitpunkt, falls du ein Zeitschloss gesetzt hast, sowie ein Zähler, wie oft die Karte geöffnet wurde.
- Der gewählte Anlass (z. B. „Geburtstag“) und, falls du eines hochlädst, dein eigenes Vorschaubild — beides unverschlüsselt. Das muss so sein: Die Linkvorschau in WhatsApp wird von einem Programm erzeugt, das keinen Schlüssel hat und kein JavaScript ausführt. Wer den Link bekommt, sieht beides, bevor gerubbelt wird. Alles andere — Bild, Text, Termin — bleibt verschlüsselt.
- Eine Prüfsumme deines fünfstelligen Codes. Der Code selbst wird nicht gespeichert und kann von uns weder nachgeschlagen noch neu ausgestellt werden.
- Ein Zähler pro Stunde und Absender gegen Massenmissbrauch. Die IP-Adresse wird dabei nur als Hashwert verwendet und nicht im Klartext gespeichert.
Nicht gespeichert werden: Namen, E-Mail-Adressen, Konten, Cookies, Tracking-Pixel, Analyse-Skripte. Es gibt keine Registrierung, weil es nichts zu registrieren gibt.
3. Wie lange
Du wählst beim Erstellen zwischen 7 und 365 Tagen. Danach löscht sich die Karte automatisch. Nach dem ersten Öffnen verkürzt sich die Aufbewahrung auf 14 weitere Tage. Wer den Link samt Löschschlüssel hat, kann die Karte jederzeit sofort löschen. Serverseitige Betriebsprotokolle (Zugriffszeitpunkt, Statuscode, gekürzte IP) entstehen bei Google Cloud und werden nach 30 Tagen gelöscht.
4. Auftragsverarbeitung
Betrieb auf Google Cloud Run und Google Cloud Firestore in der Region europe-west1 (Belgien) beziehungsweise eur3 (EU-Mehrfachregion). Es findet keine Übermittlung in Drittstaaten statt, die über die Standardverträge von Google hinausgeht. Schriftarten liegen auf unserem eigenen Server — es werden keine Ressourcen von Dritten nachgeladen, also auch keine IP-Adresse an Dritte weitergegeben.
5. Was du nicht hochladen darfst
Auch wenn wir die Inhalte nicht sehen können, gelten Regeln — und dass wir etwas nicht lesen können, entbindet uns nicht von der Pflicht, Missbrauchsmeldungen nachzugehen. Verboten sind insbesondere:
- Darstellungen sexuellen Missbrauchs von Kindern sowie jede Form sexualisierter Inhalte mit Minderjährigen,
- Inhalte, die zu Gewalt oder Hass aufstacheln, sowie nationalsozialistische Wiederbetätigung,
- Aufnahmen von Personen, die deren Rechte verletzen, insbesondere intime Aufnahmen ohne Einwilligung,
- fremde Urheberrechte, Marken- oder Geschäftsgeheimnisse ohne Berechtigung,
- Phishing, Schadsoftware, betrügerische Gutscheine, sowie die Nutzung als anonymer Ablageort für Daten Dritter.
Meldungen über eine konkrete Karte bearbeiten wir mit der Karten-ID aus dem Link. Wir können den Inhalt nicht prüfen, aber wir können die Karte löschen und tun das bei begründeten Meldungen.
6. Gewährleistung
Der Dienst wird kostenlos und ohne Zusicherung von Verfügbarkeit bereitgestellt. Karten können durch technische Fehler früher verloren gehen als angegeben. Verwende ihn für Geschenke, nicht als Archiv und nicht als einzigen Aufbewahrungsort für etwas Wichtiges.
7. Änderungen
Wesentliche Änderungen werden auf dieser Seite mit neuem Datum veröffentlicht.
Terms & Privacy
Last updated 27 July 2026 · Deutsche Fassung oben
Still to fill in: operator, postal address, authorised representative, company register and VAT number, and the email address for abuse reports.
1. What the service does
Send a Scratch makes digital scratch cards. You build a card in your browser from an image, text and
optionally an event. The browser encrypts that card, uploads the ciphertext only, and hands you a
link. The key lives in the link's fragment — the part after the # — which browsers
never transmit to a server.
2. What is stored
- The ciphertext of your card. We cannot decrypt it.
- Creation time, expiry time, chosen language, size in bytes.
- The unlock time if you set one, and a counter of how often the card was opened.
- The chosen occasion (e.g. "birthday") and, if you upload one, your custom preview image — both unencrypted. They have to be: a WhatsApp link preview is built by a crawler that holds no key and runs no JavaScript. Anyone who gets the link sees both before scratching. Everything else — image, text, event — stays encrypted.
- A checksum of your five-character code. The code itself is not stored; we can neither look it up nor reissue it.
- A per-hour, per-sender counter to stop bulk abuse. The IP address is used as a hash and never stored in the clear.
Not stored: names, email addresses, accounts, cookies, tracking pixels, analytics scripts. There is no sign-up because there is nothing to sign up to.
3. For how long
You choose between 7 and 365 days when creating the card. It deletes itself afterwards. Once opened, retention shortens to 14 further days. Anyone holding the link and the delete token can remove the card immediately. Operational logs at Google Cloud (timestamp, status code, truncated IP) are deleted after 30 days.
4. Processors
Operated on Google Cloud Run and Google Cloud Firestore in region europe-west1 (Belgium) and eur3 (EU multi-region). Fonts are served from our own server — no third-party resources are loaded, so no IP address is handed to anyone else.
5. What you may not upload
We cannot see the content, and that does not relieve us of the duty to act on abuse reports. Prohibited in particular:
- child sexual abuse material and any sexualised content involving minors,
- content inciting violence or hatred,
- images of people that violate their rights, in particular intimate images without consent,
- third-party copyright, trade marks or trade secrets without permission,
- phishing, malware, fraudulent vouchers, or use as an anonymous drop for other people's data.
Reports about a specific card are handled using the card id from its link. We cannot inspect the content, but we can delete the card, and we do when a report is substantiated.
6. Warranty
The service is free and provided without any availability guarantee. Cards may be lost earlier than stated through technical failure. Use it for gifts — not as an archive, and not as the only copy of anything that matters.
7. Changes
Material changes are published on this page with a new date.