Datenschutzerklärung

Stand: 25. Oktober 2026

Diese Erklärung gilt für die Website heylarry.de mit allen Unterseiten und für die Anwendungen von HeyLarry (Kunden-App, MyLarry, Perso mit Mitarbeiter-App und Terminal, Backoffice, Reservierungsseiten; zusammen „HeyLarry“). Geschäftsdaten unserer Kunden (Belege, Kontoumsätze, Kassendaten, Personaldaten, Gästedaten) verarbeiten wir im Auftrag des jeweiligen Kunden nach dem Auftragsverarbeitungsvertrag; dafür ist der Kunde Verantwortlicher. Beschäftigte unserer Kunden finden zusätzliche Hinweise unter Datenschutz für Beschäftigte (Perso).

1. Verantwortlicher

MARMELL HOME GmbH, Kaiser-Joseph-Straße 268, 79098 Freiburg im Breisgau, Geschäftsführer Nikolaos Komvolidis, E-Mail info@heylarry.de. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO, § 38 BDSG nicht zu benennen.

2. Hosting und Server-Logs

Website und Anwendungen werden bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Beim Aufruf verarbeitet Vercel IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser und Betriebssystem in Server-Logs (Art. 6 Abs. 1 lit. f DSGVO – sicherer Betrieb). Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Logs werden nach spätestens 30 Tagen gelöscht.

3. Datenbank und Dateiablage

Kunden-, Vertrags- und Anwendungsdaten sowie hochgeladene Dateien liegen bei Supabase Inc. im Rechenzentrum Frankfurt am Main (AWS eu-central-1). Belege, die Kunden aufbewahren müssen, kopieren wir zusätzlich in ein unveränderbares Archiv bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentrum Falkenstein, Deutschland), gesperrt bis zum Ende der gesetzlichen Aufbewahrungsfrist (§ 147 AO, GoBD). Beide sind Auftragsverarbeiter nach Art. 28 DSGVO.

4. Schriften und Programmbibliotheken

Schriften (Archivo Black, DM Sans) und Programmbibliotheken liegen auf unseren eigenen Servern. Beim Aufruf werden keine Daten an Google oder andere Schrift- oder CDN-Anbieter übertragen. Ausnahme: Die Reservierungsseiten laden Schriften über Bunny Fonts (BunnyWay d.o.o., Ljubljana, Slowenien, EU), ohne Cookies und ohne Speicherung der IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO).

5. Kontakt, Angebot, Bewerbung

Wenn Sie uns schreiben, ein Angebot anfordern oder sich bewerben, verarbeiten wir die mitgeteilten Daten zur Bearbeitung (Art. 6 Abs. 1 lit. b DSGVO). Bewerbungsdaten löschen wir sechs Monate nach Abschluss des Verfahrens (Schutz vor Ansprüchen nach dem AGG, Art. 6 Abs. 1 lit. f DSGVO), sofern Sie keiner längeren Speicherung zustimmen.

6. Anmeldung in den Anwendungen

Die Anmeldung erfolgt ohne Passwort per E-Mail-Code (Supabase Auth). Wir speichern E-Mail-Adresse, Zeitpunkt der Anmeldung und technische Sitzungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Für „angemeldet bleiben“ und Ihre Einstellungen nutzen wir den lokalen Speicher Ihres Browsers; das ist technisch notwendig, eine Einwilligung ist nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

7. E-Mail-Versand

System-Mails (Anmeldecode, Einladungen, Angebote, Vertragsunterlagen, Reservierungsbestätigungen) versenden wir über das Postfach larry@heylarry.de bei united-domains AG, Gautinger Straße 10, 82319 Starnberg, und über Supabase. Beide sind Auftragsverarbeiter.

8. Automatisierung und KI-Auswertung

Belege und Berichte werden mit n8n (n8n GmbH, Berlin, Cloud-Instanz in der EU) verarbeitet und zur Auslesung von Rechnungsdaten an die Anthropic-API (Anthropic PBC, San Francisco, USA) übermittelt. Anthropic verarbeitet die Daten nur als Auftragsverarbeiter, nutzt sie nicht zum Training und löscht sie nach der Auswertung; Grundlage der Übermittlung sind Standardvertragsklauseln und das EU-US Data Privacy Framework. Die KI schlägt nur vor (z. B. Kontierung); verbindliche Entscheidungen trifft der Kunde. Eine automatisierte Entscheidung nach Art. 22 DSGVO findet nicht statt.

9. Perso: Dienstplan, Zeiterfassung, Mitarbeiter-App und Terminal

Mit Perso verwalten Betriebe Dienstpläne, Arbeitszeiten, Abwesenheiten und Lohnvorbereitung ihrer Beschäftigten. Verantwortlicher ist der Betrieb; HeyLarry ist Auftragsverarbeiter. Das Stempel-Terminal ist ein Tablet im Betrieb, das die Betriebsleitung mit einem Einmal-Code verbindet; es speichert nur einen Geräteschlüssel. Das freiwillige Kalender-Abo nutzt einen geheimen Link, über den nur die eigenen Schichten und genehmigten Abwesenheiten abgerufen werden; der Link kann in der App jederzeit erneuert werden, der alte wird dann ungültig. Einzelheiten: Datenschutz für Beschäftigte.

10. Reservierungen (Gäste unserer Kunden)

Reserviert ein Gast über eine HeyLarry-Buchungsseite, ist der jeweilige Betrieb Verantwortlicher; HeyLarry verarbeitet Name, Kontaktdaten und Reservierungsdaten in dessen Auftrag. Anzahlungen und Kartenhinterlegungen laufen über Stripe Payments Europe Ltd., Dublin, oder Adyen N.V., Amsterdam; Kartendaten erhält nur der Zahlungsdienst. Hat der Betrieb Google Analytics oder das Meta Pixel eingerichtet, laden diese nur nach Einwilligung im Cookie-Hinweis der Buchungsseite (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); die Einwilligung ist dort über „Cookies“ jederzeit widerrufbar. Einzelheiten stehen auf der Bedingungen-Seite des jeweiligen Betriebs.

11. Bankanbindung

Kontoumsätze unserer Kunden rufen wir über EBICS direkt bei der Bank des Kunden oder über finAPI GmbH, Adams-Lehmann-Straße 44, 80797 München (BaFin-lizenzierter Kontoinformationsdienst) ab – nur lesend und nur nach Freigabe durch den Kunden.

12. Weitere Dienste in den Anwendungen

Für einzelne Funktionen ruft Ihr Browser oder unser Server öffentliche Dienste ab, ohne Namen oder Kontaktdaten zu übermitteln (Art. 6 Abs. 1 lit. f DSGVO):

Links zu Google Maps, Google Kalender, Outlook oder WhatsApp öffnen den jeweiligen Anbieter erst, wenn Sie darauf tippen; dann gilt dessen Datenschutzerklärung.

13. Keine Analyse- und Werbe-Tools auf heylarry.de

Auf heylarry.de und in unseren Anwendungen setzen wir keine Tracking-Cookies, keine Analyse-Tools und keine Werbe-Pixel ein. Deshalb gibt es hier kein Cookie-Banner. Zu den Reservierungsseiten siehe Abschnitt 10.

14. Speicherdauer

Vertragsdaten bewahren wir für die Dauer des Vertrags und danach nach den handels- und steuerrechtlichen Fristen (6 bzw. 8–10 Jahre, § 147 AO, § 257 HGB) auf. Kundendaten in der Anwendung werden 30 Tage nach Vertragsende gelöscht, soweit keine Aufbewahrungspflicht besteht; archivierte Belege werden nach Ablauf der Sperrfrist gelöscht.

15. Sicherheit

Alle Verbindungen sind TLS-verschlüsselt. Zugriffe sind nach Betrieb und Rolle getrennt (Row Level Security); Geheimnisse wie Kalender-Links und Terminal-Schlüssel werden zufällig erzeugt.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde, für uns: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart. Betrifft Ihre Anfrage Daten, die wir im Auftrag eines Betriebs verarbeiten, leiten wir sie an den Betrieb weiter. Anfragen bitte an info@heylarry.de.