Datenschutzerklärung

Version: v2.0-2026-10 · Stand: 18. Oktober 2026 · Ersetzt: v1.1-2026-05

Sprache: Deutsch (maßgebliche Fassung). Die englische Übersetzung unter heartly.io/privacy dient der Information.

Für Heartly Listing (listing.heartly.io) gelten die gesonderten Datenschutzhinweise für Heartly Listing.

1. Verantwortlicher

Heartly Apps UG (haftungsbeschränkt) Tschaikowskistraße 5, 04105 Leipzig, Deutschland Vertreten durch den Geschäftsführer Markus Böhme E-Mail: support@heartly.io · Kontaktformular: heartly.io/contact

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu nicht verpflichtet sind. Datenschutzanfragen richtest du an support@heartly.io.

2. Überblick

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn du

• unsere Website heartly.io besuchst (Ziffer 3),
• als Händler die Heartly-App für Shopify oder WooCommerce nutzt (Ziffer 4),
• als Endkunde Heartly Deals (deals.heartly.io), die Heartly-App für iOS und Android, Flash-Sale-Seiten, Deal-Alerts oder Gewinnspiele nutzt (Ziffer 5),
• als Agentur am Partnerprogramm teilnimmst (Ziffer 6),
• als Agentur von uns recherchiert und angesprochen wirst (Ziffer 7).

Wir verkaufen keine personenbezogenen Daten.

3. Besuch der Website

a) Hosting und Server-Logs

Unsere Website läuft bei Vercel Inc. Serverfunktionen laufen in Frankfurt am Main (Region fra1), statische Inhalte werden über ein weltweites Netz ausgeliefert. Bei jedem Aufruf verarbeitet Vercel technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Seite, Referrer, Browser und Betriebssystem sowie das aus der IP-Adresse abgeleitete Land. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

b) Schutz vor Bots

Auf Formularen und Anmeldeseiten prüfen wir mit Vercel BotID technische Merkmale deines Browsers, um automatisierte Anfragen zu erkennen. Für die Begrenzung von Anfragen speichern wir IP-basierte Zähler kurzzeitig bei Upstash. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch); soweit dabei auf dein Endgerät zugegriffen wird, ist das nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich.

c) Eigene Reichweitenmessung ohne Cookies

Wir zählen Seitenaufrufe selbst, ohne Cookies und ohne Zugriff auf dein Endgerät. Gespeichert werden Seite, Domain des Referrers, Kampagnenparameter (utm_source, utm_medium, utm_campaign), Land und ein Besucher-Kennwert. Der Kennwert ist ein Hash aus IP-Adresse und Browserkennung mit einem täglich wechselnden Zufallswert; IP-Adresse und Browserkennung selbst speichern wir nicht, und der Kennwert lässt sich nach dem Tag nicht mehr zuordnen. Die Einträge löschen wir nach 90 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung).

Nutzt du die Suche auf deals.heartly.io, verarbeiten wir deinen Suchbegriff nur, um passende Deals anzuzeigen. Findet die Suche keinen Deal, zählen wir den Suchbegriff ohne Bezug zu dir (ohne IP-Adresse, Browserkennung oder Besucher-Kennwert), damit wir unser Angebot erweitern können; Begriffe, die wie eine E-Mail-Adresse, Telefonnummer oder ein Link aussehen, speichern wir nicht. Diese Zählung löschen wir 90 Tage nach der letzten Suche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

d) Fehlerüberwachung

Wir nutzen Sentry (Functional Software Inc.), um Fehler zu erkennen. Bei einem Fehler werden technische Daten wie Fehlermeldung, Browser, Seite und eine pseudonyme Nutzer-ID übermittelt. Bei einem Teil der Sitzungen und bei Fehlern zeichnet Sentry den Ablauf der Sitzung auf, wobei Texteingaben und Medien maskiert werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (stabiler Betrieb).

e) Cookies und Einwilligung

Notwendige Cookies setzen wir für Anmeldung, Sicherheit und die Speicherung deiner Cookie-Auswahl (§ 25 Abs. 2 Nr. 2 TDDDG). Alle anderen Dienste laden wir erst, wenn du im Cookie-Banner einwilligst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG):

• Statistik: Google Analytics 4 und Microsoft Clarity (Heatmaps und Sitzungsaufzeichnungen),
• Marketing: Google Ads Conversion-Tracking und Meta Pixel, auch auf den Flash-Sale-Seiten von Händlern.

Du kannst deine Auswahl jederzeit über die Schaltfläche „Cookie-Einstellungen“ unten links auf der Seite ändern oder widerrufen. Kommst du über einen Werbelink, zählen wir auf dem Server zusätzlich die Kampagnenparameter des Links mit Seite und Zeitpunkt, ohne Cookies und ohne IP-Adresse oder andere Kennungen.

f) Kontakt und Interesse am Partnerprogramm

Wenn du uns schreibst oder dich auf der Partnerseite einträgst, verarbeiten wir deine Angaben, um zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Die E-Mail-Adresse aus dem Partnerformular speichern wir verschlüsselt.

4. Händler: Heartly-App und Dashboard

a) Konto und Shop

Wir verarbeiten deine Kontodaten (E-Mail-Adresse, Name, Firma, Anschrift, USt-IdNr., Rolle im Team), die Verbindung zu deinem Shop (Shop-Domain, Zugangstoken, verschlüsselt gespeichert) und Shop-Daten wie Produkte, Preise, Bestände und Kampagnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Außerdem zählen wir, welche Seiten der Heartly-App und des Dashboards geöffnet werden: je Aufruf nur Shop, Seite und Zeitpunkt, ohne Bezug zu einer Person und ohne IP-Adresse. Diese Einträge löschen wir nach 13 Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Verbesserung unseres Angebots).

b) Bestellungen

Aus Bestellungen in deinem Shop übernehmen wir nur Daten, die wir für Auswertungen brauchen: Zeitpunkt, Produkte, Mengen, Preise und ob eine Bestellung von Heartly kam. Namen, E-Mail-Adressen, Anschriften oder Telefonnummern deiner Kunden speichern wir nicht.

c) Preisverlauf und Nachweise

Wir speichern Preisänderungen deiner Produkte bis zu 36 Monate, um den niedrigsten Preis der letzten 30 Tage (§ 11 PAngV) zu berechnen und gegenüber Behörden und Gerichten nachweisen zu können. Jede Zustimmung im Dashboard, etwa zu diesen Bedingungen oder zu Autopilot, protokollieren wir mit Zeitpunkt, Version des Textes, IP-Adresse und Browserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Vertrag, Nachweis).

d) Abrechnung

Bei Shopify rechnet Shopify ab; wir erhalten den Abo-Status. Bei WooCommerce rechnet Stripe ab; Zahlungsdaten speichert nur Stripe, wir erhalten Kunden-ID, Abo-Status und Rechnungen. Rechnungsdaten bewahren wir 10 Jahre auf (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB).

e) E-Mails

Wir senden dir E-Mails zu Konto, Sicherheit, Kampagnen, Zustimmungen und wöchentlichen Auswertungen über unser E-Mail-Postfach bei Proton (Art. 6 Abs. 1 lit. b DSGVO). Für Bestätigungslinks speichern wir nur einen Hash des Links für bis zu 90 Tage.

f) Messung von Installation und Abo

Haben wir auf der Website eine Einwilligung für Statistik erhalten, ordnen wir Installation, Testbeginn und Abo-Abschluss serverseitig der Google-Analytics-Kennung dieses Besuchs zu, um unsere Werbung auszuwerten. Dabei übermitteln wir keine E-Mail-Adresse, IP-Adresse oder Shop-Domain an Google.

g) KI-Funktionen

Für Vorschläge, Texte, Analysen und Wettbewerbsbeobachtung übermitteln wir Produkt-, Preis- und Kampagnendaten deines Shops an KI-Anbieter (Anthropic, Google Gemini). Daten deiner Kunden übermitteln wir dafür nicht. Für die Wettbewerbsbeobachtung rufen wir öffentliche Seiten anderer Shops über Cloudflare ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

h) Zuordnung zu einer Agentur

Hat eine Agentur deinen Shop vorgemerkt, fragen wir dich, ob sie dich betreut. Nur wenn du bestätigst, sieht die Agentur Shop-Domain, Plattform, Installationszeitpunkt, Status von Test und Abo und die daraus berechnete Provision (Art. 6 Abs. 1 lit. b DSGVO). Du kannst die Zuordnung ablehnen.

5. Endkunden: Heartly Deals, App, Deal-Alerts und Gewinnspiele

a) Heartly-App für iOS und Android

Die App funktioniert ohne Konto. Beim ersten Start legen wir eine zufällige Geräte-ID an und speichern einen Hash deines Geräte-Tokens, deine gewählten Kategorien, gespeicherte Deals und ausgeblendete Händler. Wenn du Mitteilungen erlaubst, speichern wir deinen Push-Token und versenden Mitteilungen über Expo (650 Industries Inc.). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Statistik (Firebase Analytics, Google), Absturzberichte und personalisierte Inhalte sind in der App ausgeschaltet, bis du sie beim Start oder in den Einstellungen erlaubst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst das jederzeit in den Einstellungen ändern.

Ask Heartly: Wenn du in der App per Sprache oder Text nach Deals fragst, wandelt der Spracherkennungsdienst deines Geräts (Apple oder Google) deine Sprache in Text um; Audio erhalten wir nicht. Den Text deiner Frage senden wir an Google (Gemini über Vertex AI), um passende Deals zu finden. Google verarbeitet ihn als Auftragsverarbeiter und nutzt ihn nicht zum Training. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Damit wir Missbrauch und Manipulationsversuche erkennen und die Suche verbessern können, speichern wir deine Frage, die erkannten Suchfilter, welche Deals als Ergebnis angezeigt wurden, und einen Hash deiner Geräte-ID 30 Tage lang und löschen sie dann automatisch (Art. 6 Abs. 1 lit. f DSGVO). Gib in deine Fragen bitte keine persönlichen Daten ein.

b) Likes, Teilen und Klick-Referenz

Wenn du einen Deal speicherst oder teilst, speichern wir das, damit die App deine gespeicherten Deals anzeigen kann. Händler sehen nur Summen je Deal. Öffnest du einen Shop aus der App oder von deals.heartly.io, enthält der Link eine zufällige Klick-Referenz. Zum Klick speichern wir außerdem Land und Region (zum Beispiel DE-BY), die unser Hosting-Anbieter aus der IP-Adresse ableitet; die IP-Adresse selbst und den Ort speichern wir nicht. Bestellst du, gibt der Shop sie an uns zurück, damit wir dem Händler zeigen können, dass die Bestellung über Heartly kam. Name, E-Mail-Adresse oder andere Kundendaten werden dabei nicht übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Reichweite gegenüber Händlern).

c) Deal-Alerts

Wenn du Deal-Alerts per E-Mail abonnierst, speichern wir deine E-Mail-Adresse und deine Auswahl. Das Abo wird erst nach Klick auf den Bestätigungslink aktiv. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst dich in jeder E-Mail abmelden; danach löschen wir deine Adresse.

d) Gewinnspiele

Veranstalter eines Gewinnspiels ist der auf der Gewinnspiel-Seite genannte Händler. Wir verarbeiten die Daten der Teilnehmer in seinem Auftrag (Art. 28 DSGVO). Gespeichert werden Name, E-Mail-Adresse (verschlüsselt und als Hash zur Erkennung von Mehrfachteilnahmen), Zeitpunkt, Land und Browserkennung zur Erkennung von Missbrauch sowie Gewinnerstatus, Rabattcode und ob der Gewinn eingelöst wurde. Wir senden die Bestätigungs-E-Mail und die Benachrichtigung über das Ergebnis. Willigst du zusätzlich in Werbung des Händlers ein, erhält der Händler deine E-Mail-Adresse für eigene Werbung; dafür ist der Händler verantwortlich. Die Daten bleiben gespeichert, bis der Händler das Gewinnspiel löscht oder sein Konto beendet; du kannst die Löschung jederzeit beim Händler oder bei uns verlangen.

e) Flash-Sale-Seiten und Schnittstellen

Auf Flash-Sale-Seiten zählen wir Aufrufe und Klicks ohne Zuordnung zu einer Person. Flash-Sale-Ereignisse löschen wir nach 90 Tagen. Öffentliche Deal-Daten stellen wir auch Software-Agenten zur Verfügung (MCP und UCP); dabei werden keine Daten von Endkunden übermittelt.

6. Agenturpartner

Für das Partnerprogramm verarbeiten wir die E-Mail-Adressen und Rollen der Teammitglieder, Agenturprofil (Name, Firma, Website, Land), Rechnungsdaten (Anschrift, Umsatzsteuer-Status, USt-IdNr. oder Steuernummer), Zustimmungen zu den Partnerbedingungen und zur Gutschrift, vorgemerkte Shops und die Provisionsberechnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

• Auszahlung: Für die Auszahlung legen wir bei Stripe ein verbundenes Konto mit E-Mail-Adresse, Name und Land an. Identitäts- und Bankprüfung führt Stripe selbst durch; Ausweis- und Bankdaten erhalten wir nicht.
• Provision: Die Provision berechnen wir aus den Zahlungen, die Shopify uns für den Shop meldet (Shopify Partner API), und rechnen Fremdwährungen zum Kurs der Europäischen Zentralbank um.
• Gutschrift: Die Gutschrift erstellen wir als E-Rechnung in unserem eigenen Dienst bei Google Cloud in Frankfurt und senden sie per E-Mail. Gutschriften und Rechnungsdaten bewahren wir 10 Jahre auf (§ 147 AO).

7. Recherche und Ansprache von Agenturen (Art. 14 DSGVO)

Um Agenturen für unser Partnerprogramm zu gewinnen, recherchieren wir Shopify-Agenturen in öffentlich zugänglichen Quellen: über eine Websuche mit Google Gemini und auf der Website der Agentur, insbesondere im Impressum und auf Kontaktseiten.

• Gespeicherte Daten: Name der Agentur, Domain, Ort, die veröffentlichte Kontakt-E-Mail-Adresse, unsere Bewertung der Passung und Notizen. Ist die Kontaktadresse einer Person zugeordnet, ist das ein personenbezogenes Datum.
• Zweck und Rechtsgrundlage: Wir nutzen diese Daten, um zu prüfen, ob eine Zusammenarbeit passt, und um die Agentur anzusprechen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Anbahnung einer geschäftlichen Zusammenarbeit).
• Speicherdauer: Wir speichern die Daten, solange eine Ansprache in Frage kommt.
• Widerspruch: Du kannst jederzeit an support@heartly.io widersprechen. Dann löschen wir die Kontaktdaten und vermerken nur die Domain, damit wir die Agentur nicht erneut ansprechen.

Ebenso rufen wir öffentliche Produkt- und Shopdaten von Onlineshops ab, um ihre Angebote zu prüfen oder auf Heartly Deals darzustellen. Dabei erfassen wir die im Impressum veröffentlichten Angaben des Shopbetreibers, um ihn zu benachrichtigen und Löschungswünsche zu bearbeiten (Art. 6 Abs. 1 lit. f DSGVO). Du kannst auch hier jederzeit widersprechen.

8. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Außerdem geben wir Daten weiter an Händler, soweit in Ziffer 5 d beschrieben, an Agenturen nach Ziffer 4 h, an Behörden, wenn wir dazu verpflichtet sind, und im Fall eines Unternehmensverkaufs an den Erwerber.

9. Übermittlung in Drittländer

Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Übermittlungen in die USA stützen wir auf das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

10. Speicherdauer

Gesetzliche Aufbewahrungspflichten gehen vor; Daten, die wir nur noch deshalb aufbewahren, sperren wir für andere Zwecke.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Eine Kopie deiner protokollierten Zustimmungen schicken wir dir auf Anfrage.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Gegen Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.

Wende dich dafür an support@heartly.io. Wir antworten innerhalb eines Monats.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden, post@sdtb.sachsen.de, www.datenschutz.sachsen.de [blocked]

12. Automatisierte Entscheidungen

Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO treffen wir nicht. Das Deal-Gate prüft Kampagnen von Händlern automatisiert und kann offensichtlich fehlerhafte Rabatte zurückhalten; Händler können dagegen widersprechen. Autopilot ändert Preise nur nach Regeln, die der Händler selbst festlegt.

13. Pflicht zur Bereitstellung, Minderjährige

Für die Nutzung der Heartly-App als Händler, für das Partnerprogramm, für Deal-Alerts und Gewinnspiele brauchen wir die jeweils als Pflicht markierten Angaben; ohne sie ist die Nutzung nicht möglich. Unsere Angebote richten sich nicht an Personen unter 16 Jahren, Gewinnspiele nur an Personen ab 18 Jahren.

14. Sicherheit und Änderungen

Wir übertragen Daten verschlüsselt (TLS), verschlüsseln gespeicherte Daten und Zugangstoken und beschränken Zugriffe nach Rollen. Bei einer Datenpanne informieren wir die Aufsichtsbehörde nach Art. 33 DSGVO innerhalb von 72 Stunden und Betroffene nach Art. 34 DSGVO.

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert. Die aktuelle Version steht unter heartly.io/legal/privacy; über wesentliche Änderungen informieren wir Händler und Partner per E-Mail.