Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Version: v1.0-2026-10

Stand: 2026-10-18

Sprache: Deutsch (Primärversion)

Zwischen dem Händler, der Heartly nutzt („Verantwortlicher“), und der Heartly Apps UG (haftungsbeschränkt), Tschaikowskistraße 5, 04105 Leipzig, Deutschland, E-Mail: support@heartly.io („Heartly“ oder „Auftragsverarbeiter“).

---

1. Gegenstand und Geltung

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die Heartly im Auftrag des Händlers erbringt. Er ergänzt die Allgemeinen Geschäftsbedingungen für Händler (Ziffer 13.2) und gilt für die Dauer des Vertrags über die Nutzung von Heartly.

1.2 Der Vertrag kommt mit der Annahme der AGB zustande. Er liegt in elektronischer Form vor (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt Heartly ein unterzeichnetes Exemplar per E-Mail bereit.

1.3 Soweit Heartly Daten als eigener Verantwortlicher verarbeitet, etwa Konto-, Nutzungs- und Abrechnungsdaten des Händlers oder Daten von Nutzern der Heartly-App und von deals.heartly.io, gilt dieser Vertrag nicht. Dafür gilt die Datenschutzerklärung.

2. Art, Zweck und Umfang der Verarbeitung

Besondere Kategorien von Daten (Art. 9 DSGVO) verarbeitet Heartly in diesem Rahmen nicht.

3. Weisungen

3.1 Heartly verarbeitet die Daten nur auf dokumentierte Weisung des Händlers. Die Weisungen ergeben sich aus diesem Vertrag, aus den AGB und aus den Einstellungen, die der Händler im Dashboard für ein Gewinnspiel wählt. Weitere Weisungen erteilt der Händler in Textform an support@heartly.io.

3.2 Ist Heartly der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist Heartly den Händler unverzüglich darauf hin und kann die Ausführung bis zur Bestätigung aussetzen.

3.3 Ist Heartly gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt Heartly das dem Händler vorher mit, soweit das Gesetz es nicht verbietet.

4. Pflichten des Händlers

Der Händler ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Teilnahmebedingungen seines Gewinnspiels, die Information der Teilnehmer nach Art. 13 DSGVO und die Einholung von Einwilligungen in eigene Werbung. Nutzt der Händler E-Mail-Adressen, die er mit Einwilligung in Werbung erhält, ist er dafür allein verantwortlich.

5. Vertraulichkeit

Heartly setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff erhalten nur Personen, die ihn für den Betrieb brauchen.

6. Sicherheit der Verarbeitung

Heartly trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Heartly darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

7.1 Der Händler genehmigt die in der Anlage genannten Unterauftragsverarbeiter.

7.2 Heartly informiert den Händler mindestens 14 Tage vorher per E-Mail über einen neuen oder ersetzten Unterauftragsverarbeiter. Der Händler kann aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Händler den Vertrag zum Zeitpunkt des Wechsels kündigen.

7.3 Heartly verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. Für Übermittlungen in Drittländer gilt Ziffer 8.

8. Ort der Verarbeitung

Die Teilnehmerdaten werden in der EU gespeichert (Supabase, Irland; Vercel, Frankfurt am Main). Übermittlungen in Drittländer finden nur über die in der Anlage genannten Dienste statt. Sie stützen sich auf einen Angemessenheitsbeschluss (Schweiz), das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, oder auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

9. Löschung und Rückgabe

9.1 Der Händler kann Teilnehmerlisten jederzeit im Dashboard exportieren.

9.2 Löscht der Händler ein Gewinnspiel, löscht Heartly die zugehörigen Teilnehmerdaten. Nach Vertragsende oder Löschung des Kontos löscht Heartly die Daten innerhalb von 90 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im regulären Zyklus des Anbieters überschrieben.

10. Unterstützung des Händlers

10.1 Heartly unterstützt den Händler bei Anfragen von Betroffenen (Art. 15 bis 22 DSGVO). Wendet sich ein Teilnehmer direkt an Heartly, leitet Heartly die Anfrage an den Händler weiter oder bearbeitet sie in Abstimmung mit ihm. Eine Löschung, die ein Teilnehmer verlangt, kann Heartly unmittelbar ausführen und informiert den Händler darüber.

10.2 Heartly unterstützt den Händler bei der Sicherheit der Verarbeitung, bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit Heartly dazu Informationen hat.

11. Datenschutzverletzungen

Heartly meldet dem Händler eine Verletzung des Schutzes der Teilnehmerdaten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und ergriffene Maßnahmen.

12. Nachweise und Kontrollen

12.1 Heartly stellt dem Händler auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, in der Regel als schriftliche Auskunft und Beschreibung der Maßnahmen.

12.2 Darüber hinaus kann der Händler nach Ankündigung mit angemessener Frist, in der Regel 30 Tagen, Kontrollen während der Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber von Heartly ist. Kontrollen dürfen den Betrieb nicht unverhältnismäßig stören. Ab der zweiten Kontrolle im Kalenderjahr kann Heartly seinen Aufwand angemessen in Rechnung stellen, es sei denn, die Kontrolle hat einen Verstoß ergeben.

13. Haftung und Schlussbestimmungen

13.1 Für die Haftung gelten die AGB. Die Haftung gegenüber Betroffenen nach Art. 82 DSGVO bleibt unberührt.

13.2 Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

13.3 Heartly kann diesen Vertrag mit Wirkung für die Zukunft ändern, wenn sich Gesetz, Rechtsprechung oder die Verarbeitung ändern. Heartly informiert den Händler mindestens 30 Tage vorher per E-Mail. Widerspricht der Händler nicht bis zum Inkrafttreten, gilt die Änderung als angenommen; darauf weist Heartly in der Mitteilung hin.

13.4 Es gilt deutsches Recht. Gerichtsstand ist Leipzig, soweit gesetzlich zulässig.

---

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Hosting in Rechenzentren von Supabase (AWS, Irland) und Vercel (Frankfurt am Main); physischer Zugang wird von diesen Anbietern kontrolliert.
• Zugang zu Datenbank und Verwaltungsoberflächen nur mit persönlichem Konto; Verwaltungszugänge sind auf die Geschäftsführung beschränkt.
• Zeilenbasierte Zugriffskontrolle in der Datenbank (Row Level Security): Händler sehen nur Daten ihres eigenen Shops.
• E-Mail-Adressen der Teilnehmer werden verschlüsselt gespeichert; für die Erkennung von Mehrfachteilnahmen wird ein Hash verwendet.
• Zugangstoken zu Shops werden verschlüsselt gespeichert.

Integrität

• Übertragung ausschließlich verschlüsselt (TLS).
• Änderungen am Code laufen über Versionsverwaltung und Prüfung vor der Veröffentlichung.
• Fehlerüberwachung mit Entfernung von Zugangsdaten und Eingaben aus Fehlermeldungen.

Verfügbarkeit und Belastbarkeit

• Automatische Datensicherungen der Datenbank durch Supabase.
• Schutz vor automatisierten Anfragen und Begrenzung von Anfragen auf Teilnahmeformularen.

Verfahren zur Überprüfung

• Regelmäßige Prüfung von Abhängigkeiten auf bekannte Sicherheitslücken und Sicherheitsprüfung des Codes vor jeder Veröffentlichung.
• Prüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen.

Anlage 2: Unterauftragsverarbeiter

---

Stand und Versionierung

• Version: v1.0-2026-10
• Stand: 2026-10-18