Datenschutzerklärung
Diese Übersetzung dient nur der Information; maßgeblich ist die englische Fassung. English
Datum des Inkrafttretens: 2026-11-01
Version: v1.0
1. Einleitung
Diese Datenschutzerklärung beschreibt, wie AZWAUL LP, eine in Ontario, Kanada, eingetragene Kommanditgesellschaft (Limited Partnership, LP) mit eingetragenem Sitz in 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5 (der „Anbieter“, „wir“, „unser“), personenbezogene Daten im Zusammenhang mit Heraldly (der „Dienst“), erreichbar unter heraldlyapp.com, erhebt, verwendet, speichert und schützt.
Mit Heraldly können Creator, Unternehmen und Agenturen Inhalte in sozialen Netzwerken veröffentlichen und planen, diese Inhalte in Kampagnen bündeln und die Ergebnisse messen. Durch die Nutzung des Dienstes nehmen Sie (der „Nutzer“) die in dieser Erklärung beschriebenen Praktiken zur Kenntnis.
Kurz gesagt:
- Wir greifen auf Ihre Social-Media-Konten nur zu, um zu veröffentlichen, was Sie oder Ihr Team planen, und um die Statistiken dieser Konten abzurufen.
- Wir lesen niemals Ihre privaten Nachrichten, verkaufen Ihre Daten niemals und verwenden sie niemals für Werbung.
- Sie können jederzeit ein Konto trennen, Ihre Daten exportieren oder alles löschen (siehe unsere Seite Datenlöschung).
2. Anwendbarer Rechtsrahmen
Der Anbieter hat seinen Sitz in Kanada, und der Dienst wird international angeboten. Diese Erklärung wurde unter Bezugnahme auf folgende Regelwerke verfasst:
- den kanadischen Personal Information Protection and Electronic Documents Act (PIPEDA, kanadisches Bundesgesetz zum Schutz personenbezogener Informationen und über elektronische Dokumente) und, für Nutzer in Québec, die Loi sur la protection des renseignements personnels dans le secteur privé (Gesetz über den Schutz personenbezogener Informationen im Privatsektor, geändert durch das Gesetz 25 / Loi 25);
- die Datenschutz-Grundverordnung (DSGVO, EU 2016/679) für Nutzer im Europäischen Wirtschaftsraum sowie die UK-DSGVO (UK GDPR) für Nutzer im Vereinigten Königreich;
- sonstige Datenschutzgesetze, die für Nutzer an ihrem Wohnort gelten, einschließlich der Datenschutzgesetze der US-Bundesstaaten, soweit anwendbar.
Weichen diese Regelwerke voneinander ab, gilt der Standard, der dem Nutzer das höchste Schutzniveau bietet.
3. Rollen als Verantwortlicher und Auftragsverarbeiter
- Der Anbieter ist Verantwortlicher für die Daten, die zum Betrieb des Kontos des Nutzers erforderlich sind: Identitäts- und Anmeldedaten, die für verbundene Social-Media-Konten erteilten Zugriffe, Abonnementdaten sowie technische und Sicherheitsdaten.
- Für die Inhalte, die der Nutzer erstellt oder hochlädt (Beiträge, Beschriftungen, Medien, Kommentare im Freigabe-Workflow), die von den verbundenen Konten des Nutzers erhobenen Statistiken und die Klickdaten der Kurzlinks des Nutzers ist der Nutzer (oder die Organisation, für die er handelt) der Verantwortliche, und der Anbieter handelt als Auftragsverarbeiter, der diese Daten ausschließlich zur Erbringung des Dienstes verarbeitet.
- Soziale Netzwerke (LinkedIn, Google/YouTube, Meta für Facebook und Instagram, TikTok) sind eigenständige Verantwortliche für die bei ihnen gespeicherten Daten. Wenn der Nutzer über Heraldly veröffentlicht, werden die Inhalte auf Anweisung des Nutzers an sie übermittelt und unterliegen danach deren eigenen Bedingungen und Datenschutzrichtlinien.
- Paddle, unser Wiederverkäufer und Merchant of Record (Händler im eigenen Namen, der den Verkauf abwickelt; siehe Abschnitt 7), ist eigenständiger Verantwortlicher für die Daten, die es beim Bezahlvorgang erhebt, gemäß seiner eigenen Datenschutzerklärung (https://www.paddle.com/legal/privacy).
4. Erhobene Daten
4.1 Konto- und Identitätsdaten
| Kategorie | Daten | Zeitpunkt der Erhebung |
|---|---|---|
| Identifikation | Vorname, Nachname, E-Mail-Adresse | Registrierung |
| Authentifizierung | Passwort (mit bcrypt gehasht), 2FA-Geheimnis und Wiederherstellungscodes oder die Kennung des verwendeten Anmeldeanbieters | Registrierung / Sicherheitseinstellungen |
| Profil | Avatar (Bild), Sprache, Zeitzone | Profileinstellungen |
| Mitgliedschaft | Organisationen, denen der Nutzer angehört, Rolle in jeder davon | Einladung / Organisationseinstellungen |
4.2 Daten aus verbundenen Social-Media-Konten
Wenn der Nutzer ein Social-Media-Konto verbindet, bittet das Netzwerk den Nutzer, Heraldly bestimmte Berechtigungen zu erteilen. Wir verwenden nur die unten aufgeführten Berechtigungen und nur für die angegebenen Zwecke.
| Netzwerk | Worauf wir zugreifen | Warum |
|---|---|---|
| Name, Profilfoto und Mitgliedskennung; die vom Nutzer verwalteten Seiten (Name, Logo, Kennung); Statistiken veröffentlichter Beiträge und Seiten (Impressionen, Klicks, Anzahl der Reaktionen, Kommentare und geteilten Inhalte, Follower) | Veröffentlichung im Profil oder auf der Seite; Anzeige von Statistiken in Berichten | |
| YouTube (über YouTube API Services) | Kanalkennung, Titel und Miniaturbild; die Möglichkeit, Videos hochzuladen und deren Titel, Beschreibung, Miniaturbild, Playlist und Sichtbarkeit festzulegen; YouTube-Analytics-Statistiken der Videos des Kanals (Aufrufe, Wiedergabezeit, durchschnittliche Wiedergabedauer, Likes, Kommentare, gewonnene Abonnenten) | Hochladen und Planen von Videos; Anzeige von Statistiken in Berichten |
| Die vom Nutzer verwalteten Seiten (Name, Bild, Kennung) und jeweils ein Zugriffstoken; Insights der Seiten und ihrer Beiträge | Veröffentlichung auf der Seite; Anzeige von Statistiken in Berichten | |
| Instagram (professionelle Konten) | Kontokennung, Benutzername und Profilbild; Insights des Kontos und seiner Medien (Reichweite, Aufrufe, Likes, Kommentare, Speicherungen, geteilte Inhalte) | Veröffentlichung von Bildern, Karussells und Reels; Anzeige von Statistiken in Berichten |
| TikTok | Open-Kennung, Anzeigename und Avatar; die Veröffentlichungsoptionen des Kontos (verfügbare Privatsphärestufen, maximale Videolänge); Statistiken veröffentlichter Videos (Anzahl der Aufrufe, Likes, Kommentare und geteilten Inhalte) | Veröffentlichung von Videos und Fotos; Anzeige von Statistiken in Berichten |
Sofern ein Netzwerk sie bereitstellt, können wir auch aggregierte Aufschlüsselungen des Publikums erhalten (zum Beispiel Aufrufe nach Land). Diese Zahlen sind Statistiken und identifizieren keine einzelnen Zuschauer.
Wir lesen keine privaten Nachrichten, wir erheben keine Identität oder Inhalte von Personen, die die Beiträge des Nutzers kommentieren oder darauf reagieren, und wir veröffentlichen niemals etwas, das nicht vom Nutzer oder einem Mitglied seiner Organisation erstellt und geplant wurde.
Zugriffstokens verbundener Konten werden im Ruhezustand verschlüsselt (AES-256-GCM).
4.3 Inhalts- und Arbeitsbereichsdaten
Beiträge, Beschriftungen, Hashtags, Links, Mediendateien (Bilder und Videos), Miniaturbilder, Zeitpläne, Kampagnen, Tags, Freigabeverlauf (Kommentare, angeforderte Änderungen, Freigaben und deren Urheber) sowie der Verlauf der aus verbundenen Konten importierten Beiträge. Importiert der Nutzer einen LinkedIn-Datenexport (eine von LinkedIn heruntergeladene Tabelle), wird die Datei gelesen, um Beitragsstatistiken zu extrahieren, und anschließend gelöscht.
4.4 Klickdaten von Kurzlinks
Von Heraldly gekürzte Links (go.heraldlyapp.com) erfassen jeden Klick, um Kampagnen zu messen. Für jeden Klick speichern wir: Datum und Uhrzeit, den Kurzlink, das Land, den Gerätetyp und die Browserfamilie sowie die verweisende Website.
Die IP-Adresse des Besuchers wird nur im Moment des Klicks verwendet, um das Land zu bestimmen und automatisierten Datenverkehr herauszufiltern, und wird nicht gespeichert. Die Weiterleitung setzt kein Cookie und identifiziert den Besucher nicht.
4.5 Automatisch erhobene Daten
| Kategorie | Daten | Zweck |
|---|---|---|
| Verbindung | IP-Adresse, User-Agent | Sicherheit, Betrugserkennung |
| Audit | Durchgeführte Aktionen, betroffene Entität, HTTP-Methode, Pfad, Zeitstempel | Nachvollziehbarkeit, Sicherheit |
| Technisch | Browsertyp, Betriebssystem, Fehler | Kompatibilität, Diagnose |
Hinweis: Auf unseren Servern werden keine Zahlungskartendaten gespeichert. Zahlungen werden vollständig von Paddle eingezogen (siehe Abschnitt 7).
5. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung des Dienstes (Veröffentlichung, Planung, Kalender, Kampagnen, Berichte, Freigabe) | Vertragserfüllung |
| Verbinden von Social-Media-Konten und Abrufen ihrer Statistiken | Vertragserfüllung; die Autorisierung durch den Nutzer im jeweiligen Netzwerk |
| Klickmessung von Kurzlinks | Berechtigtes Interesse des Nutzers an der Messung seiner Kampagnen (kein Cookie, keine gespeicherte IP-Adresse) |
| Verwaltung von Abonnements und Zahlungen | Vertragserfüllung |
| Sicherheit, Betrugsprävention, Audit-Protokolle | Berechtigtes Interesse / rechtliche Verpflichtung |
| Transaktions-E-Mails | Vertragserfüllung |
| Produktneuigkeiten und Newsletter | Einwilligung (Opt-in, jederzeit widerrufbar) |
| Verbesserung des Dienstes | Berechtigtes Interesse, unter Verwendung aggregierter Nutzungsdaten |
6. YouTube API Services und Google-Daten
Heraldly nutzt YouTube API Services, um Videos hochzuladen und Kanalstatistiken abzurufen. Durch das Verbinden eines YouTube-Kanals erklärt sich der Nutzer damit einverstanden, an die Nutzungsbedingungen von YouTube gebunden zu sein. Der Umgang von Google mit Daten ist in der Datenschutzerklärung von Google beschrieben.
Die Nutzung und Weitergabe von Informationen, die Heraldly über Google-APIs erhält, entspricht der Google API Services User Data Policy (Richtlinie zu Nutzerdaten der Google API Services), einschließlich der Anforderungen zur Limited Use (eingeschränkten Nutzung). Insbesondere verwenden wir diese Informationen nicht zur Ausspielung von Werbung, verkaufen sie nicht und lassen sie nicht von Menschen lesen, außer mit Einwilligung des Nutzers, aus Sicherheitsgründen oder wenn das Gesetz es verlangt.
Der Nutzer kann den Zugriff von Heraldly auf sein Google-Konto jederzeit über die Seite mit den Sicherheitseinstellungen von Google widerrufen. Über YouTube API Services erhaltene Daten werden gelöscht:
- innerhalb von 7 Tagen, nachdem der Nutzer den Kanal in Heraldly getrennt hat;
- innerhalb von 30 Tagen, nachdem der Nutzer den Zugriff über die Einstellungen von Google widerrufen hat.
YouTube-Statistiken werden nur so lange aufbewahrt, wie Heraldly zum Zugriff auf den Kanal berechtigt bleibt; wir prüfen diese Berechtigung mindestens alle 30 Tage.
7. Weitergabe und Unterauftragsverarbeiter
Wir verkaufen oder vermieten keine personenbezogenen Daten. Wir geben Daten nur an die folgenden Unterauftragsverarbeiter weiter, soweit dies für den Betrieb des Dienstes erforderlich ist:
| Unterauftragsverarbeiter | Standort | Funktion | Betroffene Daten |
|---|---|---|---|
| Hetzner (Hetzner Online GmbH) | Deutschland / Finnland (EU) | Hosting der Anwendungsserver und Datenbanken | Alle vom Dienst verarbeiteten Daten |
| Cloudflare | Vereinigte Staaten (globales Netzwerk) | DNS, TLS-Terminierung, Netzwerkschutz, Auslieferung von Kurzlinks | IP-Adresse und Anfrage-Metadaten; Anfragen laufen über sein Netzwerk |
| Backblaze (B2-/S3-Objektspeicher) | Niederlande (EU) | Speicherung von Mediendateien und Backups | Hochgeladene Bilder und Videos, Miniaturbilder, Avatare, Backups |
| Paddle (Paddle.com Market Limited) | Vereinigtes Königreich | Wiederverkäufer und Merchant of Record für kostenpflichtige Pläne (eigenständiger Verantwortlicher) | Name, E-Mail, Rechnungsland, Abonnement- und Transaktionskennungen, Beträge |
| Brevo | Frankreich / EU | Versand von Transaktions-E-Mails | E-Mail-Adresse des Empfängers, Name |
| Bugsink | Selbst gehostet / EU | Fehlerüberwachung | Fehlerereignisse, technische Metadaten |
Soziale Netzwerke. Wenn der Nutzer veröffentlicht, werden die Inhalte und Medien an das vom Nutzer ausgewählte Netzwerk (LinkedIn, YouTube, Facebook, Instagram, TikTok) übermittelt. Bei Instagram ruft das Netzwerk jede Mediendatei über einen temporären, zeitlich begrenzten Link ab, den wir zu diesem Zweck erstellen. Nach der Veröffentlichung sind die Inhalte öffentlich oder privat, je nach den Einstellungen, die der Nutzer in diesem Netzwerk gewählt hat.
Paddle verkauft dem Nutzer kostenpflichtige Pläne als Merchant of Record. Für die Daten, die es beim Bezahlvorgang erhebt (einschließlich der Zahlungskartendaten, die unsere Server nie erreichen), handelt es als eigenständiger Verantwortlicher. Wir erhalten von Paddle nur, was zur Verwaltung des Abonnements erforderlich ist: Kunden- und Abonnementkennungen, Plan, Beträge und Zahlungsstatus.
Kein Dritter spielt Werbung im Dienst aus.
Internationale Übermittlungen (in die Europäische Union, das Vereinigte Königreich und die Vereinigten Staaten) unterliegen geeigneten Garantien, einschließlich Standardvertragsklauseln, soweit anwendbar.
8. Cookies und ähnliche Technologien
Der Dienst verwendet ausschließlich unbedingt erforderliche Cookies: Authentifizierungs-Cookies (httpOnly-Zugriffs- und Aktualisierungstokens) und Präferenz-Cookies (Sprache, Design). Er verwendet keine Werbe-Cookies oder Tracking-Cookies von Drittanbietern. Weiterleitungen über Kurzlinks setzen kein Cookie.
9. Speicherdauer
| Datenart | Speicherdauer |
|---|---|
| Konto- und Profildaten | Bestehensdauer des Kontos |
| Zugriffstokens verbundener Konten | Bis das Konto getrennt oder der Zugriff widerrufen wird; sofortige Löschung beim Trennen |
| Entwürfe, geplante Beiträge, Kampagnen | Bis zur Löschung durch den Nutzer oder bis zur Löschung der Organisation |
| Original-Mediendateien | 90 Tage nach Veröffentlichung des letzten Beitrags, der sie verwendet (veröffentlichte Beiträge und ihre Statistiken bleiben erhalten); nicht veröffentlichte Medien bis zur Löschung, im Rahmen des Speicherkontingents des Plans |
| Statistiken von YouTube | Solange Heraldly berechtigt bleibt (siehe Abschnitt 6) |
| Statistiken anderer Netzwerke | Bestehensdauer der Organisation, sofern der Nutzer sie nicht beim Trennen des Kontos löscht |
| LinkedIn-Datenexportdateien | Nach dem Import gelöscht, innerhalb von 24 Stunden |
| Klickereignisse von Kurzlinks | 13 Monate, danach nur noch als aggregierte Zählwerte aufbewahrt |
| Audit-Protokolle | 365 Tage |
| Backups | Rollierend, bis zu 30 Tage |
| Zahlungsreferenzen (Paddle) | Wie nach Buchhaltungs- und Steuerrecht erforderlich |
Bei Löschung des Kontos:
- werden die personenbezogenen Identitätsdaten des Nutzers anonymisiert (Vorname, Nachname und E-Mail-Adresse werden durch generische Werte ersetzt);
- werden Zugriffstokens gelöscht und, soweit das Netzwerk dies zulässt, widerrufen;
- werden die Inhalte, Medien, Statistiken und Klickdaten einer Organisation bei Löschung der Organisation innerhalb von 30 Tagen gelöscht (einschließlich Backups);
- verbleiben bereits in einem sozialen Netzwerk veröffentlichte Inhalte dort: Ihre Löschung erfolgt im Netzwerk selbst.
10. Datensicherheit
- Verschlüsselung bei der Übertragung: Die gesamte Kommunikation erfolgt über HTTPS/TLS.
- Passwort-Hashing: bcrypt mit Salt.
- Verschlüsselung im Ruhezustand der Zugriffstokens von Social-Media-Konten: AES-256-GCM.
- Zwei-Faktor-Authentifizierung (TOTP) mit Wiederherstellungscodes.
- Isolation: strikte Trennung zwischen Konten und Organisationen; Rollen innerhalb jeder Organisation.
- Vorsignierte URLs: temporärer, sicherer Zugriff auf gespeicherte Dateien.
- Ratenbegrenzung und Audit-Protokollierung von Zugriffen und Aktionen.
Meldung von Datenschutzverletzungen
Im Falle einer Verletzung der Sicherheitsvorkehrungen, die personenbezogene Daten betrifft, benachrichtigen wir die zuständigen Behörden und die betroffenen Nutzer, wie es das anwendbare Recht verlangt: das Office of the Privacy Commissioner of Canada, wenn ein reales Risiko eines erheblichen Schadens besteht, und, soweit die DSGVO anwendbar ist, die zuständige Aufsichtsbehörde innerhalb von 72 Stunden.
11. Rechte der Nutzer
Je nach Ihrem Wohnort haben Sie folgende Rechte:
| Recht | Ausübung |
|---|---|
| Auskunft | Datenexport in den Kontoeinstellungen |
| Berichtigung | Bearbeitung der Profil- und Organisationseinstellungen |
| Löschung | Konten trennen, eine Organisation löschen oder das Konto löschen (siehe Datenlöschung) |
| Datenübertragbarkeit | JSON-Export über die Kontoeinstellungen |
| Widerspruch / Einschränkung | Kontakt über privacy@heraldlyapp.com |
| Widerruf der Einwilligung | Kontoeinstellungen, der Abmeldelink in E-Mails oder privacy@heraldlyapp.com |
Wir beantworten Anfragen innerhalb der nach anwendbarem Recht vorgeschriebenen Frist (in der Regel dreißig (30) Tage).
12. Personenbezogene Daten in den Inhalten des Nutzers
Die vom Nutzer veröffentlichten Inhalte können personenbezogene Daten anderer Personen enthalten (zum Beispiel eine in einem Video gezeigte oder in einem Beitrag genannte Person). Der Nutzer ist für diese Daten Verantwortlicher und dafür verantwortlich, über die für ihre Veröffentlichung erforderlichen Rechte und Einwilligungen zu verfügen. Besucher von Kurzlinks, die ihre Rechte ausüben möchten, können sich an den Nutzer wenden, der den Link veröffentlicht hat, oder an uns unter privacy@heraldlyapp.com; wir leiten die Anfrage dann weiter.
13. Daten von Kindern
Der Dienst ist für die berufliche Nutzung bestimmt und richtet sich nicht an Personen unter 18 Jahren. Wir erheben nicht wissentlich personenbezogene Daten von Minderjährigen als Kontoinhaber.
14. Kommunikation
Wir versenden Transaktions-E-Mails, die für den Betrieb des Dienstes erforderlich sind (Kontoaktivierung, Zurücksetzen des Passworts, Einladungen, Freigabeanfragen, fehlgeschlagene Veröffentlichungen, Zahlungshinweise und Sicherheitswarnungen). Produktneuigkeiten und Newsletter versenden wir nur mit Einwilligung des Nutzers.
15. Änderungen dieser Erklärung
Wir können diese Erklärung ändern. Im Falle einer wesentlichen Änderung werden die Nutzer mindestens dreißig (30) Tage im Voraus per E-Mail oder im Dienst benachrichtigt, und das oben angegebene „Datum des Inkrafttretens“ wird aktualisiert.
16. Aufsichtsbehörden
Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten nicht dem anwendbaren Recht entspricht, können Sie Beschwerde einlegen bei:
- Kanada: Office of the Privacy Commissioner of Canada — priv.gc.ca
- Québec: Commission d’accès à l’information — cai.gouv.qc.ca
- Europäische Union: der Datenschutzbehörde Ihres Wohnsitzlandes (zum Beispiel der CNIL in Frankreich)
- Vereinigtes Königreich: Information Commissioner’s Office — ico.org.uk
Wir empfehlen Ihnen, sich zunächst an uns zu wenden, damit wir ein etwaiges Anliegen klären können.
17. Kontakt
Bei Fragen zu dieser Datenschutzerklärung oder zur Ausübung Ihrer Rechte:
- Kontakt für Datenschutz: privacy@heraldlyapp.com
- E-Mail: legal@heraldlyapp.com
- Telefon: +230 54 81 00 52
- BIN: 1001668734
- Postanschrift: AZWAUL LP, 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5, Ontario, Kanada
AZWAUL LP — BIN 1001668734 — 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5 — Ontario, Kanada — Tel.: +230 54 81 00 52 — Heraldly (heraldlyapp.com)