Datenschutzerklärung
Stand: 6. Oktober 2026
1. Worum es hier geht
Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten die heydash GmbH verarbeitet, wenn du
- unsere Website heydash.de besuchst,
- dich als Agentur registrierst und die heydash-Plattform nutzt (Agentur-Cockpit),
- mit uns per E-Mail oder Telefon Kontakt aufnimmst.
Wichtig — wofür wir nicht verantwortlich sind: Agenturen verwalten in heydash die Daten ihrer Kunden, deren Portal-Nutzer und deren Leads bzw. Bewerber. Für diese Daten ist die jeweilige Agentur (bzw. deren Kunde) Verantwortlicher im Sinne der DSGVO. heydash verarbeitet sie nur im Auftrag und nach Weisung auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Wenn du dich im Kundenportal einer Agentur anmeldest oder dich über ein Formular oder eine Anzeige beworben bzw. angefragt hast, gilt vorrangig die Datenschutzerklärung dieser Agentur bzw. ihres Kunden. Anfragen zu diesen Daten richtest du bitte dorthin — wir leiten Anfragen, die bei uns eingehen, weiter.
2. Verantwortlicher
heydash GmbH Ludwig-Erhard-Platz 1, 51373 Leverkusen Geschäftsführerin: Jana Rabzewitsch E-Mail: hey@heydash.de
Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) nicht vorliegen.
3. Website heydash.de
Hosting und Server-Logs
Die Website läuft auf Google Cloud Run in der Region Frankfurt (europe-west3). Anbieter ist die Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland. Beim Aufruf verarbeitet der Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Diese Daten brauchen wir, um die Seite auszuliefern und Angriffe abzuwehren.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb)
- Speicherdauer: Logdaten höchstens 30 Tage
- Mit Google besteht ein Auftragsverarbeitungsvertrag. Ein Zugriff aus den USA kann nicht vollständig ausgeschlossen werden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten Standardvertragsklauseln.
Keine Cookies, kein Tracking
Die Website setzt keine Cookies, verwendet keine Analyse- oder Marketing-Tools und lädt keine Inhalte von Drittanbietern. Schriftarten werden von unserem eigenen Server ausgeliefert. Deshalb gibt es auf heydash.de kein Cookie-Banner.
Kontakt und Demo-Anfragen
Wenn du uns per E-Mail oder Telefon kontaktierst oder eine Demo anfragst, verarbeiten wir deine Angaben (Name, Firma, E-Mail, Telefon, Inhalt der Anfrage), um die Anfrage zu beantworten.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage), sonst lit. f (Beantwortung von Anfragen)
- Speicherdauer: bis die Anfrage erledigt ist; kommt ein Vertrag zustande, gelten die Fristen aus Abschnitt 4. Geschäftsbriefe bewahren wir 6 Jahre auf (§ 257 HGB).
4. heydash-Plattform (für Agenturen)
Registrierung und Konto
Für die Registrierung und Nutzung verarbeiten wir: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Profilbild (freiwillig), Rolle, Firmendaten der Agentur (Name, Anschrift, Telefon, USt-IdNr., Support-Adresse, Branding) sowie Kontaktpersonen, die die Agentur hinterlegt.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag)
- Speicherdauer: für die Dauer des Vertrags; danach Löschung nach Abschnitt 7
Schutz der Registrierung (Friendly Captcha)
Um automatisierte Massen-Registrierungen zu verhindern, setzen wir auf der Registrierungsseite Friendly Captcha ein: Friendly Captcha GmbH, Am Anger 3–5, 82237 Wörthsee, Deutschland. Dein Browser löst dabei eine kleine Rechenaufgabe; Friendly Captcha verarbeitet hierfür deine IP-Adresse und technische Browserdaten. Es werden keine Cookies gesetzt und keine Nutzerprofile gebildet. Das Skript liefern wir von unserem eigenen Server aus.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch)
- Datenschutzerklärung des Anbieters: https://friendlycaptcha.com/legal/privacy-end-users/
Anmeldung, Sitzungen und Sicherheitsprotokolle
Bei jeder Anmeldung speichern wir IP-Adresse, Browser/Gerätetyp sowie Zeitpunkt von Anmeldung, letzter Aktivität und Abmeldung. Das dient dem Schutz vor Missbrauch und dem Nachweis von Zugriffen.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit)
- Speicherdauer: 90 Tage
Cookies in der Plattform
Die Plattform setzt ausschließlich technisch notwendige Cookies:
| Cookie | Zweck | Laufzeit |
|---|---|---|
heydash-session | Anmeldung und Sitzung | 120 Minuten |
XSRF-TOKEN | Schutz vor gefälschten Anfragen | Sitzung |
remember_* | „Angemeldet bleiben" (nur wenn angehakt) | bis zu 400 Tage oder bis zur Abmeldung |
Einstellungen wie Hell-/Dunkel-Modus oder Sidebar-Zustand speichern wir nur lokal in deinem Browser (localStorage). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO. Eine Einwilligung ist dafür nicht erforderlich.
Zustimmung zu AGB, Datenschutz und AVV
Wenn du unsere Vertragsdokumente bestätigst, speichern wir als Nachweis Name, E-Mail, Zeitpunkt, IP-Adresse, Browser und die bestätigte Dokumentversion.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (Nachweis)
- Speicherdauer: Vertragsdauer plus 3 Jahre (Verjährungsfrist)
Zahlungsabwicklung (Stripe)
Bezahlte Tarife rechnen wir über Stripe ab: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe erhält Firmenname, Rechnungsanschrift, USt-IdNr., Rechnungs-E-Mail und die Zahlungsdaten, die du im Checkout eingibst. Kartendaten sehen wir nicht — wir speichern nur Kartentyp, die letzten vier Ziffern und den Abo-Status. Rechnungen erstellen wir selbst.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO
- Speicherdauer: Rechnungen und Buchungsbelege 8 Jahre (§ 147 AO, § 14b UStG)
- Stripe kann Daten in die USA übermitteln (Data Privacy Framework, Standardvertragsklauseln). Datenschutzerklärung: https://stripe.com/de/privacy
E-Mails der Plattform
Systemmails (E-Mail-Bestätigung, Einladungen, Passwort-Links, Rechnungen) versenden wir über den Mailserver unseres Hosting-Anbieters Domain-Offensive (Greenmark IT GmbH, Leinstraße 3, 31061 Alfeld (Leine), Deutschland). Verarbeitet werden Empfänger- adresse, Name und der Inhalt der jeweiligen Mail.
Hat die Agentur ein eigenes Postfach angebunden (Microsoft 365, Gmail oder SMTP), gehen Mails an Kunden und Leads über dieses Postfach. Dafür ist die Agentur verantwortlich.
KI-Funktionen (Anthropic)
Für Funktionen wie „Briefing & Content" senden wir Texte an die Claude-API der Anthropic Ireland, Limited, 6th Floor South Bank House, Barrow Street, Dublin 4, Irland. Übermittelt werden nur die Inhalte, die für den jeweiligen Lauf nötig sind: Firmen- und Kampagnennamen, Briefing-Antworten, hochgeladene Gesprächsmitschriften und Landingpage-Texte, beim Onboarding-Brief zusätzlich Name, Anrede und Ort der Kontaktperson. Daten von Leads oder Bewerbern werden nicht an die KI übermittelt.
Anthropic verwendet API-Inhalte nicht zum Training seiner Modelle und löscht sie nach einer begrenzten Aufbewahrungsfrist zur Missbrauchserkennung gemäß den Anthropic Commercial Terms.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit es um Daten der Kunden der Agentur geht, verarbeiten wir sie im Auftrag (Art. 28 DSGVO)
- Drittlandübermittlung: Eine Verarbeitung durch die Muttergesellschaft Anthropic, PBC in den USA kann nicht ausgeschlossen werden; sie erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission.
Anbindungen, die du selbst aktivierst
Wenn du in heydash Dienste mit deinem eigenen Konto verbindest, tauschen wir mit diesen Diensten Daten aus. Für deine Vertragsbeziehung zu diesen Anbietern gelten deren Bedingungen und Datenschutzerklärungen.
| Anbindung | Was wir abrufen oder senden |
|---|---|
| Google Kalender, Microsoft Outlook-Kalender | nur belegte Zeiten (frei/belegt), alle 15 Minuten |
| Google Drive, OneDrive, Dropbox | nur Lesezugriff auf freigegebene Dateien für den Medien-Eingang; nicht zugeordnete Dateien löschen wir nach 30 Tagen |
| Webflow, WordPress | Seiten- und CMS-Inhalte lesen, optional Inhalte in Webflow schreiben |
| Meta (Werbekonto) | Kennzahlen der Anzeigen (nur Lesezugriff) |
| Meta Conversions API | Qualifizierungs-Ereignisse zu Leads, Kontaktdaten nur als Hash (SHA-256) |
| WhatsApp Business (Meta) | Nachrichten und Medien an Leads und von Leads |
| n8n, Slack oder eigene Webhooks | Inhalte, die du für die Übergabe festlegst |
Zugangsschlüssel zu diesen Diensten speichern wir verschlüsselt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Keine externen Inhalte
Schriftarten und Skripte der Plattform liefern wir von unserem eigenen Server aus. Beim Aufruf werden keine Daten an Schrift- oder Skript-Anbieter übermittelt.
5. Weitere Empfänger
Deine Daten geben wir nur weiter, wenn es für den Vertrag nötig ist, eine gesetzliche Pflicht besteht oder du eingewilligt hast. Empfänger sind die oben genannten Dienstleister sowie ggf. Steuerberater und Behörden im Rahmen gesetzlicher Pflichten.
6. Datensicherheit
Alle Verbindungen sind TLS-verschlüsselt. Daten und Dateien liegen in Rechenzentren der Google Cloud in Frankfurt am Main und sind im Ruhezustand verschlüsselt. Die Datenbank wird täglich gesichert; die Sicherungen liegen verschlüsselt in Rechenzentren der Google Cloud innerhalb der EU und werden nach 7 Tagen automatisch gelöscht. Gelöschte Dateien sind noch 7 Tage wiederherstellbar und werden danach endgültig entfernt. Details regelt unser AVV mit den technischen und organisatorischen Maßnahmen.
7. Speicherdauer und Löschung
Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist. Nach Vertragsende stellen wir der Agentur 30 Tage lang einen Export bereit und löschen danach alle Daten der Agentur, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
8. Deine Rechte
Du hast das Recht auf
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Schreib uns dafür an hey@heydash.de.
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.
9. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen ändern. Es gilt die jeweils hier veröffentlichte Fassung.