Datenschutzerklärung

für heartstocks Operations, das interne Arbeitstool der heartstocks GmbH (Stand: 28. Oktober 2026). Diese Erklärung gilt für diese Anwendung. Für die Website www.heartstocks.com gilt die dortige Datenschutzerklärung.

1. Verantwortlicher

heartstocks GmbH, Neuer Wall 54, 20354 Hamburg, Deutschland
Geschäftsführer: Enno Johann Henke
Handelsregister: Amtsgericht Hamburg, HRB 182191
E-Mail für alle Datenschutzfragen: info@heartstocks.com

Das vollständige Impressum finden Sie auf www.heartstocks.com.

2. Wofür die Anwendung dient und wer sie nutzt

heartstocks Operations dient der internen Zusammenarbeit der heartstocks GmbH: Projektplanung, Aufgaben, Wochenrunde, Vertrieb und die Verwaltung des Kundenportals. Die Anwendung ist nicht öffentlich. Nutzen dürfen sie Mitarbeitende der heartstocks GmbH und von uns eingeladene externe Berater. Für Berater ist nur ein Teil der Anwendung freigeschaltet. Ohne Einladung gibt es keinen Zugang, ein Konto können Sie sich nicht selbst anlegen.

Kunden der heartstocks GmbH nutzen nicht diese Anwendung, sondern das separate Kundenportal. Für dessen Datenverarbeitung gelten die Hinweise, die Ihnen dort bereitgestellt werden.

3. Anmeldung mit Google

Sie können sich mit Ihrem Google-Konto anmelden. Die Anmeldung läuft über Google (OAuth 2.0) und unseren Authentifizierungsdienst Supabase. Wir fordern von Google ausschließlich die Standardangaben zur Anmeldung an (Bereiche „openid“, „email“ und „profile“). Wir erhalten dabei:

• Ihre E-Mail-Adresse,
• Ihren Namen,
• sofern Google es übermittelt, die Adresse Ihres Profilbilds.

Wofür wir diese Daten nutzen: allein, um Sie zu authentifizieren und Ihrem bestehenden Zugang zuzuordnen. Nach der Anmeldung prüft die Anwendung, ob zu Ihrer E-Mail-Adresse ein freigeschalteter Zugang besteht. Ist das nicht der Fall, werden Sie sofort wieder abgemeldet. Die Anmeldung legt keinen neuen Zugang an.

Was wir nicht tun: Wir verkaufen Ihre Google-Daten nicht, geben sie nicht an Werbenetzwerke oder Datenhändler weiter, nutzen sie nicht für Werbung oder Profiling und nutzen sie nicht zum Training von Modellen der künstlichen Intelligenz. Mitarbeitende lesen sie nur, soweit das für den Betrieb und die Sicherheit der Anwendung nötig ist.

Die Nutzung und Weitergabe der von Google-APIs erhaltenen Informationen durch heartstocks Operations entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Zugriff widerrufen: Sie können den Zugriff der Anwendung auf Ihr Google-Konto jederzeit in Ihren Google-Kontoeinstellungen unter „Sicherheit“, „Drittanbieter mit Kontozugriff“ entfernen (myaccount.google.com/connections). Eine Anmeldung mit Passwort bleibt davon unberührt.

4. Verknüpfung mit Google Workspace (nur Mitarbeitende)

Für Mitarbeitende der heartstocks GmbH nutzt die Anwendung außerdem Schnittstellen unseres Google-Workspace-Kontos. Sie laufen über ein technisches Dienstkonto, das die Administration von Google Workspace für unsere Domain freigegeben hat. Eine Einwilligungsabfrage an einzelne Nutzer gibt es dafür nicht. Es werden nur diese Daten verarbeitet:

• Google Kalender (nur Lesezugriff): Termine der Mitarbeitenden (Titel, Beginn, Ende, Organisator, Teilnehmer, Link zum Termin). Sie werden zu Projekten zugeordnet und in der Anwendung angezeigt. Beim Löschen eines Termins im Kalender verschwindet er auch hier.
• Google Drive: Auflistung der Ordner und Dateien unterhalb der freigegebenen Projektordner. Dateien werden verlinkt, nicht kopiert.
• Gmail (nur Senden): Versand von Benachrichtigungen des Kundenportals an Kunden. Postfächer werden nicht gelesen.

5. Weitere Daten in der Anwendung

Zur Nutzung speichert die Anwendung Ihre Kontodaten (Name, E-Mail-Adresse, Rolle), Ihre Eingaben (zum Beispiel Aufgaben, Kommentare, Projektdaten) und technische Protokolldaten (Zeitpunkt und Art von Zugriffen, Fehlermeldungen). Zur Anbindung unserer Fachsysteme verwendet die Anwendung außerdem HubSpot (Kundenbeziehungsdaten), Tinybird (Kennzahlen) und Slack (interne Benachrichtigungen an Mitarbeitende).

6. Cookies

Die Anwendung setzt nur technisch notwendige Cookies, die Ihre Anmeldung für die Dauer der Sitzung aufrechterhalten. Wir setzen keine Cookies zur Reichweitenmessung, zum Tracking oder für Werbung ein.

7. Rechtsgrundlagen

• Mitarbeitende: Durchführung des Beschäftigungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 26 BDSG).
• Externe Berater: Durchführung des mit Ihnen bestehenden Vertrags (Art. 6 Abs. 1 lit. b DSGVO), im Übrigen unser berechtigtes Interesse an einer sicheren und effizienten Zusammenarbeit (Art. 6 Abs. 1 lit. f DSGVO).
• Technische Protokolldaten und Anmeldesicherheit: berechtigtes Interesse am sicheren Betrieb der Anwendung (Art. 6 Abs. 1 lit. f DSGVO).

8. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten:

• Vercel Inc. (Hosting der Anwendung, Funktionen in der Region Frankfurt),
• Supabase (Datenbank und Authentifizierung, Region Frankfurt),
• Google Ireland Limited bzw. Google LLC (Google Workspace und Google-Anmeldung),
• HubSpot, Tinybird und Slack (siehe Ziffer 5).

Soweit Dienstleister ihren Sitz außerhalb der Europäischen Union haben oder Daten dorthin übermitteln, stützen wir uns auf Angemessenheitsbeschlüsse der EU-Kommission (EU-US Data Privacy Framework) oder Standardvertragsklauseln. Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt.

9. Speicherdauer

Wir speichern Ihre Daten, solange Ihr Zugang besteht und die Daten für die Zusammenarbeit gebraucht werden. Endet Ihr Zugang, deaktivieren wir ihn. Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen, bleiben bis zum Ablauf dieser Fristen gespeichert. Termine aus Google Kalender werden bei der nächsten Synchronisation entfernt, wenn sie in Google gelöscht wurden. Auf Ihr Verlangen löschen wir Ihre Daten, soweit keine Aufbewahrungspflicht entgegensteht.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Schreiben Sie dazu an info@heartstocks.com.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 7. OG, 20459 Hamburg (datenschutz-hamburg.de).

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.