Auftragsverarbeitung (AVV)
Stand: 25. Oktober 2026
Vereinbarung über die Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und der MARMELL HOME GmbH, Kaiser-Joseph-Straße 268, 79098 Freiburg im Breisgau (Auftragsverarbeiter, „HeyLarry“). Sie ist Bestandteil jedes HeyLarry-Vertrags und gilt mit dessen Unterzeichnung als geschlossen.
§ 1 Gegenstand und Dauer
HeyLarry verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit das für die Bereitstellung der Software HeyLarry nötig ist. Die Dauer entspricht der Laufzeit des Hauptvertrags.
§ 2 Art, Zweck, Daten, Betroffene
| Zweck | Belegerfassung, Bank- und Kassenabgleich, Monatsakte, Übergabe an den Steuerberater, gebuchte Module (Einkauf, Kalkulation, Management/Personal, Reservierung, Verträge, Marketing, Kassenbuch) |
|---|---|
| Datenarten | Rechnungs- und Lieferantendaten, Kontoumsätze, Kassendaten, Vertragsdaten, Kontaktdaten; bei Modul Management: Stammdaten, Arbeitszeiten, Abwesenheiten und Lohndaten des Personals; bei Modul Reservierung: Name, Kontakt und Reservierungen der Gäste |
| Betroffene | Mitarbeiter, Lieferanten, Geschäftspartner, Gäste und Ansprechpartner des Kunden |
§ 3 Weisungen
HeyLarry verarbeitet nur auf dokumentierte Weisung des Kunden; der Hauptvertrag und die Einstellungen in der Anwendung sind Weisungen. Hält HeyLarry eine Weisung für rechtswidrig, teilt es das mit. Weisungsberechtigt ist der im Vertrag genannte Ansprechpartner; Änderungen in Textform.
§ 4 Pflichten von HeyLarry
- Verarbeitung nur in der EU bzw. im EWR, außer bei den in § 6 genannten Unterauftragnehmern mit genannter Übermittlungsgrundlage.
- Vertraulichkeit: alle eingesetzten Personen sind verpflichtet.
- Technische und organisatorische Maßnahmen nach § 5.
- Unterstützung bei Betroffenenrechten, Datenschutz-Folgenabschätzung und Anfragen von Aufsichtsbehörden.
- Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
- Löschung oder Rückgabe aller Daten nach Vertragsende (Export bis 30 Tage danach, dann Löschung, soweit keine Aufbewahrungspflicht besteht).
- Nachweis der Einhaltung dieser Vereinbarung auf Anfrage; Kontrollen nach Ankündigung während der Geschäftszeiten, höchstens einmal jährlich, sofern kein konkreter Anlass besteht.
§ 5 Technische und organisatorische Maßnahmen (TOM)
| Zutritt / Zugang | Rechenzentren mit Zutrittskontrolle (AWS Frankfurt); Anmeldung nur per E-Mail-Code, keine Passwörter; Rollen Kunde, Vertrieb, Innendienst, Geschäftsführung mit Rechten je Rolle (Row Level Security in der Datenbank) |
|---|---|
| Zugriff / Trennung | Mandantentrennung je Betrieb auf Datenbankebene; Zugriff auf Bank, Kasse, Personal-Software nur lesend; Zugangsdaten zu Fremdsystemen nur verschlüsselt im Automatisierungssystem, nie in der Datenbank |
| Weitergabe | Transportverschlüsselung TLS für alle Verbindungen; E-Mail-Versand über TLS |
| Eingabe | Protokollierung von Änderungen (Aktivitäten je Betrieb), Zeitstempel und Nutzer |
| Verfügbarkeit | Tägliche Backups der Datenbank (7 Tage), redundante Infrastruktur beim Hoster, Wiederherstellung getestet |
| Organisation | Datensparsamkeit (Personaldaten nur so weit nötig), Löschkonzept, Verpflichtung der Mitarbeiter, jährliche Überprüfung der Maßnahmen |
§ 6 Unterauftragnehmer
Der Kunde stimmt den folgenden Unterauftragnehmern zu. Änderungen teilt HeyLarry vier Wochen vorher mit; der Kunde kann aus wichtigem Grund widersprechen.
| Unternehmen | Leistung | Ort / Grundlage |
|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung, Dateiablage | AWS Frankfurt (EU) |
| Vercel Inc. | Hosting der Anwendungen | USA – EU-US DPF, SCC; Auslieferung über EU-Standorte |
| n8n GmbH | Automatisierung (Belegeingang, Kasse, Bank) | Berlin, Cloud in der EU |
| Anthropic PBC | KI-Auslesung von Belegen (kein Training, keine Speicherung) | USA – EU-US DPF, SCC |
| united-domains AG | Belegadressen und E-Mail-Versand | Starnberg (EU) |
| finAPI GmbH | Kontoinformationsdienst (nur bei Banken ohne EBICS) | München (EU) |
| Stripe Payments Europe Ltd. | Anzahlungen im Modul Reservierung | Dublin (EU) |
| Adyen N.V. | Anzahlungen im Modul Reservierung (wenn vom Kunden gewählt) | Amsterdam (EU) |
| Hetzner Online GmbH | Unveränderbares Belegarchiv (GoBD, § 147 AO) | Falkenstein (Deutschland) |
§ 7 Pflichten des Kunden
Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und die Information der Betroffenen verantwortlich, insbesondere gegenüber seinem Personal und seinen Gästen. Er gibt nur Zugänge frei, zu deren Weitergabe er berechtigt ist.
§ 8 Haftung, Schluss
Die Haftung richtet sich nach Art. 82 DSGVO und dem Hauptvertrag. Im Übrigen gelten die AGB. Deutsches Recht, Gerichtsstand Freiburg im Breisgau.