Datenschutz

1. Worum es hier geht

Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten die heydash GmbH i. G. verarbeitet, wenn du

• unsere Website heydash.de besuchst,
• dich als Agentur registrierst und die heydash-Plattform nutzt (Agentur-Cockpit),
• mit uns per E-Mail oder Telefon Kontakt aufnimmst.

Wichtig — wofür wir nicht verantwortlich sind: Agenturen verwalten in heydash die Daten ihrer Kunden, deren Portal-Nutzer und deren Leads bzw. Bewerber. Für diese Daten ist die jeweilige Agentur (bzw. deren Kunde) Verantwortlicher im Sinne der DSGVO. heydash verarbeitet sie nur im Auftrag und nach Weisung auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Wenn du dich im Kundenportal einer Agentur anmeldest oder dich über ein Formular oder eine Anzeige beworben bzw. angefragt hast, gilt vorrangig die Datenschutzerklärung dieser Agentur bzw. ihres Kunden. Anfragen zu diesen Daten richtest du bitte dorthin — wir leiten Anfragen, die bei uns eingehen, weiter.

2. Verantwortlicher

heydash GmbH
Ludwig-Erhard-Platz 1, 51373 Leverkusen
Geschäftsführerin: Jana Rabzewitsch
E-Mail: service@heydash.de

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen.

3. Website heydash.de

Hosting über Webflow

Unsere Website wird mit dem Website-Baukasten Webflow erstellt und gehostet. Anbieter ist die Webflow, Inc., 398 11th Street, Floor 2, San Francisco, CA 94103, USA. Beim Aufruf der Website verarbeitet Webflow technisch notwendige Daten in Server-Logfiles: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Referrer, Browsertyp und Betriebssystem. Webflow liefert die Website dafür über eigene Rechenzentren und ein Content Delivery Network (CDN) aus. Diese Daten brauchen wir, um die Seite schnell und sicher auszuliefern und Angriffe abzuwehren.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere, stabile und schnelle Bereitstellung der Website)
• Speicherdauer: Webflow löscht die Logdaten, sobald sie für Betrieb und Sicherheit der Website nicht mehr erforderlich sind.
• Mit Webflow besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum). Webflow ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.
• Datenschutzerklärung von Webflow: https://webflow.com/legal/privacy

Keine Tracking-Cookies

Die Website setzt keine Analyse- oder Marketing-Cookies und verwendet keine Tracking-Tools. Deshalb gibt es auf heydash.de kein Cookie-Banner.

Externe Skripte und Icons

Für einzelne Funktionen und die Darstellung lädt die Website Programmbibliotheken und Icons über die Content Delivery Networks jsDelivr und unpkg, etwa für Akkordeons, Slider, Tabs, weiches Scrollen und Symbole. Dabei überträgt dein Browser technisch bedingt deine IP-Adresse an den jeweiligen Anbieter. Cookies werden dabei nicht gesetzt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche und funktionsfähige Darstellung der Website)
• Eine Übermittlung in Drittländer, insbesondere in die USA, kann nicht ausgeschlossen werden.

Kontakt und Demo-Anfragen

Wenn du uns per E-Mail oder Telefon kontaktierst oder eine Demo anfragst, verarbeiten wir deine Angaben (Name, Firma, E-Mail, Telefon, Inhalt der Anfrage), um die Anfrage zu beantworten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage), sonst lit. f (Beantwortung von Anfragen)
• Speicherdauer: bis die Anfrage erledigt ist; kommt ein Vertrag zustande, gelten die Fristen aus Abschnitt 4. Geschäftsbriefe bewahren wir 6 Jahre auf (§ 257 HGB).

4. heydash-Plattform (für Agenturen)

Registrierung und Konto

Für die Registrierung und Nutzung verarbeiten wir: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Profilbild (freiwillig), Rolle, Firmendaten der Agentur (Name, Anschrift, Telefon, USt-IdNr., Support-Adresse, Branding) sowie Kontaktpersonen, die die Agentur hinterlegt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
• Speicherdauer: für die Dauer des Vertrags; danach Löschung nach Abschnitt 7

Anmeldung, Sitzungen und Sicherheitsprotokolle

Bei jeder Anmeldung speichern wir IP-Adresse, Browser/Gerätetyp sowie Zeitpunkt von Anmeldung, letzter Aktivität und Abmeldung. Das dient dem Schutz vor Missbrauch und dem Nachweis von Zugriffen.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit)
• Speicherdauer: 90 Tage

Cookies in der Plattform

Die Plattform setzt ausschließlich technisch notwendige Cookies:

• heydash-session: Anmeldung und Sitzung – 120 Minuten
• XSRF-TOKEN: Schutz vor gefälschten Anfragen – Sitzung
• remember_*: „Angemeldet bleiben“ (nur wenn angehakt) – bis zur Abmeldung

Einstellungen wie Hell-/Dunkel-Modus oder Sidebar-Zustand speichern wir nur lokal in deinem Browser (localStorage). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO. Eine Einwilligung ist dafür nicht erforderlich.

Zustimmung zu AGB, Datenschutz und AVV

Wenn du unsere Vertragsdokumente bestätigst, speichern wir als Nachweis Name, E-Mail, Zeitpunkt, IP-Adresse, Browser und die bestätigte Dokumentversion.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis)
• Speicherdauer: Vertragsdauer plus 3 Jahre (Verjährungsfrist)

Zahlungsabwicklung (Stripe)

Bezahlte Tarife rechnen wir über Stripe ab: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe erhält Firmenname, Rechnungsanschrift, USt-IdNr., Rechnungs-E-Mail und die Zahlungsdaten, die du im Checkout eingibst. Kartendaten sehen wir nicht — wir speichern nur Kartentyp, die letzten vier Ziffern und den Abo-Status. Rechnungen erstellen wir selbst.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO
• Speicherdauer: Rechnungen und Buchungsbelege 8 Jahre (§ 147 AO, § 14b UStG)
• Stripe kann Daten in die USA übermitteln (Data Privacy Framework, Standardvertragsklauseln). Datenschutzerklärung: https://stripe.com/de/privacy

E-Mails der Plattform

Systemmails (Einladungen, Passwort-Links, Benachrichtigungen) versenden wir über Microsoft 365 (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Mit Microsoft besteht ein Auftragsverarbeitungsvertrag; Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert.

Hat die Agentur ein eigenes Postfach oder einen eigenen Versanddienst angebunden (SMTP, Microsoft 365, Gmail, Brevo), gehen Mails an Kunden und Leads über diesen Dienst. Dafür ist die Agentur verantwortlich.

KI-Funktionen (Anthropic)

Für Funktionen wie „Briefing & Content“ senden wir Texte an die Claude-API der Anthropic, PBC, 548 Market Street, San Francisco, CA 94104, USA. Übermittelt werden nur die Inhalte, die für den jeweiligen Lauf nötig sind: Firmen- und Kampagnennamen, Briefing-Antworten, hochgeladene Gesprächsmitschriften und Landingpage-Texte, beim Onboarding-Brief zusätzlich Name, Anrede und Ort der Kontaktperson. Daten von Leads oder Bewerbern werden nicht an die KI übermittelt.

Anthropic verwendet API-Inhalte nicht zum Training seiner Modelle und löscht sie nach einer kurzen Aufbewahrungsfrist zur Missbrauchserkennung.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit es um Daten der Kunden der Agentur geht, verarbeiten wir sie im Auftrag (Art. 28 DSGVO)
• Drittlandübermittlung: auf Grundlage der Standardvertragsklauseln der EU-Kommission

Anbindungen, die du selbst aktivierst

Wenn du in heydash Dienste mit deinem eigenen Konto verbindest, tauschen wir mit diesen Diensten Daten aus. Für deine Vertragsbeziehung zu diesen Anbietern gelten deren Bedingungen und Datenschutzerklärungen.

• Google Kalender, Microsoft Outlook-Kalender: nur belegte Zeiten (frei/belegt), alle 15 Minuten
• Google Drive, OneDrive, Dropbox: nur Lesezugriff auf freigegebene Dateien für den Medien-Eingang; nicht zugeordnete Dateien löschen wir nach 30 Tagen
• Webflow, WordPress: Seiten- und CMS-Inhalte lesen, optional Inhalte in Webflow schreiben
• Meta (Werbekonto): Kennzahlen der Anzeigen (nur Lesezugriff)
• Meta Conversions API: Qualifizierungs-Ereignisse zu Leads, Kontaktdaten nur als Hash (SHA-256)
• WhatsApp Business (Meta): Nachrichten und Medien an Leads und von Leads
• n8n, Slack oder eigene Webhooks: Inhalte, die du für die Übergabe festlegst

Zugangsschlüssel zu diesen Diensten speichern wir verschlüsselt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Externe Inhalte in der Plattform

Die Plattform lädt Schriftarten von Bunny Fonts (BunnyWay d.o.o., Ljubljana, Slowenien) und einzelne Skripte von jsDelivr. Dabei wird deine IP-Adresse an diese Anbieter übermittelt.

5. Weitere Empfänger

Deine Daten geben wir nur weiter, wenn es für den Vertrag nötig ist, eine gesetzliche Pflicht besteht oder du eingewilligt hast. Empfänger sind die oben genannten Dienstleister sowie ggf. Steuerberater und Behörden im Rahmen gesetzlicher Pflichten.

6. Datensicherheit

Alle Verbindungen sind TLS-verschlüsselt. Daten und Dateien liegen in Rechenzentren der Google Cloud in Frankfurt am Main und sind im Ruhezustand verschlüsselt. Die Datenbank wird täglich gesichert; die Sicherungen liegen verschlüsselt in Rechenzentren der Google Cloud innerhalb der EU und werden nach 7 Tagen automatisch gelöscht. Gelöschte Dateien sind noch 7 Tage wiederherstellbar und werden danach endgültig entfernt. Details regelt unser AVV mit den technischen und organisatorischen Maßnahmen.

7. Speicherdauer und Löschung

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist. Nach Vertragsende stellen wir der Agentur 30 Tage lang einen Export bereit und löschen danach alle Daten der Agentur, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

8. Deine Rechte

Du hast das Recht auf

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Schreib uns dafür an hey@heydash.de.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

9. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen ändern. Es gilt die jeweils hier veröffentlichte Fassung.