Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Hey Listen Technologies UG (haftungsbeschränkt)
Regensburger Straße 2, 28844 Weyhe, Deutschland
E-Mail: [email protected] · Datenschutz: [email protected] · Telefon: +49 421 40980751
Geschäftsführer: Daniel Wittig und Christian Kirsch
Vollständige Anbieter-Kennzeichnung siehe Impressum.

Diese Datenschutzerklärung gilt für die unter den Domains hey-gastroline.ai (Marketing-Webseite Hey-Gastroline) und allen Subdomains erreichbaren Angebote sowie für die Nutzung des Hey-Gastroline-Reservierungssystems durch Restaurant-Betriebe und deren Gäste.

2. Rollenverteilung

Hey Listen Technologies UG verarbeitet personenbezogene Daten in zwei unterschiedlichen Rollen:

• Verantwortlicher (Art. 4 Nr. 7 DSGVO) für die Marketing-Webseite, Demo-Anfragen, Vertragsabwicklung mit Restaurant-Kunden und Kommunikation mit potenziellen Interessenten.
• Auftragsverarbeiter (Art. 28 DSGVO) für die im Hey-Gastroline-Reservierungssystem verarbeiteten Daten der Gäste unserer Restaurant-Kunden (Reservierende, Anrufende, Bestellende). Verantwortlicher in diesem Sinn ist jeweils das Restaurant. Ein Auftragsverarbeitungsvertrag (AVV) wird mit jedem Restaurant-Kunden vor Inbetriebnahme abgeschlossen.

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. Newsletter, optionale Cookies, Marketing-SMS)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragsanbahnung und Vertragserfüllung (z. B. Kontaktanfragen, Reservierungs-Bestätigungen)
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Verpflichtungen (z. B. steuerrechtliche Aufbewahrung, AVV-Dokumentation)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (z. B. IT-Sicherheit, anonyme Reichweiten-Messung, Schutz vor Missbrauch)

4. Hosting und automatisch erfasste Daten

4.1 Hosting bei IONOS SE

Diese Webseite und das Hey-Gastroline-Reservierungssystem werden bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Server-Standort: Deutschland) gehostet. Für das Hosting besteht ein Auftragsverarbeitungs­vertrag mit IONOS; weitere Datenverarbeitungen durch Analyse- oder Kommunikationsdienste sind in den folgenden Abschnitten separat beschrieben.

4.2 Server-Logs

Beim Aufruf der Webseite werden technische Daten in Server-Logs verarbeitet, soweit dies für die Bereitstellung und Sicherheit der Webseite erforderlich ist: anonymisierte IP-Adresse, Zeitpunkt und Datum des Aufrufs, abgerufene URL, HTTP-Statuscode, Browser-Kennung und Betriebssystem. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: bis zu 30 Tage.

4.3 Web-Schriftarten

Die Marketing-Webseite nutzt System-Schriftarten beziehungsweise lokal ausgelieferte Schrift-Fallbacks. Es werden beim Laden der Webseite keine Schriftarten von Google Fonts oder einem vergleichbaren externen Font-CDN abgerufen.

5. Kontaktaufnahme und Demo-Anfragen

Wenn Sie unsere Kontakt- oder Demo-Formulare nutzen (z. B. unter /demo, /kontakt, Landingpages), verarbeiten wir die von Ihnen eingegebenen Daten zur Beantwortung Ihrer Anfrage. Übermittelt werden in der Regel: Name, Restaurant, E-Mail-Adresse, Telefonnummer, optionale Nachricht, sowie technische Metadaten (UTM-Parameter, Referrer, User-Agent, Zeitstempel) zur Quellen-Zuordnung der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wenn Sie über den Link „Demo buchen“ einen Termin auswählen, nutzen wir den Terminbuchungsdienst Cal.eu / Cal.com. Dabei werden insbesondere Name, E-Mail-Adresse, Telefonnummer, Restaurant- oder Unternehmensangaben, gewünschter Termin, Zeitzone, optionale Notizen sowie technische Metadaten verarbeitet. Zweck ist die Terminvereinbarung und Vorbereitung eines Demo- oder Beratungsgesprächs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit der Termin der Vertragsanbahnung dient, ergänzend Art. 6 Abs. 1 lit. f DSGVO.

Der Terminlink öffnet eine externe Seite. Für die dortige Datenverarbeitung, insbesondere Cookies und technische Dienste auf der Cal.eu-/Cal.com-Seite, gelten zusätzlich die Datenschutzinformationen des Anbieters.

Die Übermittlung erfolgt über einen Webhook an unseren Workflow-Dienstleister Make.com (Celonis SE, Theresienhöhe 11a, 80339 München, Server-Region EU) und wird in unserem CRM HubSpot, Inc. (USA, EU-US Data Privacy Framework, EU-Standardvertragsklauseln) gespeichert. Mit beiden Dienstleistern bestehen Auftragsverarbeitungsverträge. Speicherdauer: bis zur Erledigung Ihrer Anfrage, längstens jedoch bis zum Ablauf gesetzlicher Aufbewahrungspflichten.

5.1 Verlinkungen zu Social-Media-Profilen

Auf dieser Webseite verlinken wir unsere Profile bei LinkedIn, YouTube, Instagram und TikTok. Wir binden keine Social-Plugins, externen Feeds oder Tracking-Skripte dieser Plattformen ein. Beim bloßen Aufruf unserer Webseite wird deshalb über diese Links keine Verbindung zu den Plattformen hergestellt. Erst wenn Sie einen Link bewusst anklicken, verlassen Sie unsere Webseite und der jeweilige Plattformanbieter verarbeitet insbesondere Ihre IP-Adresse, Browserinformationen und gegebenenfalls dort vorhandene Kontodaten nach seinen eigenen Datenschutzbestimmungen.

6. Hey-Gastroline-Reservierungssystem (Auftragsverarbeitung)

Wenn ein Restaurant Hey-Gastroline nutzt, verarbeiten wir die personenbezogenen Daten der Gäste dieses Restaurants ausschließlich nach Weisung des Restaurants und auf Grundlage des abgeschlossenen Auftragsverarbeitungsvertrages. Verantwortlicher gegenüber den Gästen ist in diesem Fall das Restaurant.

Folgende Sub-Auftragsverarbeiter setzen wir im Rahmen des Reservierungssystems ein:

6.1 Twilio (SMS)

Twilio Ireland Limited, 25-28 North Wall Quay, Dublin 1, Irland. Versand von transaktionalen SMS (Buchungsbestätigung, Reminder, Feedback-Anfrage, Wiedereinladung, Marketing-Opt-In). Verarbeitete Daten: Telefonnummer, Restaurant-Kennung, Nachrichten-Inhalt, Status-Metadaten. Server-Region EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. lit. a DSGVO (Marketing-SMS nur mit separater Einwilligung).

6.2 Stripe (Zahlungen und Vorautorisierungen)

Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Verarbeitung von Stripe-Vorautorisierungen für den No-Show-Schutz, Pay-by-Link-Zahlungen für Voice-Bestellungen sowie regulärer Online-Bestellungen. Kreditkartendaten werden ausschließlich von Stripe verarbeitet (PCI-DSS Level 1). Auf Hey-Gastroline-Servern werden lediglich Zahlungs-Tokens gespeichert.

6.3 E-Mail-Versand über Microsoft Graph oder SMTP

Transaktionale E-Mails (z. B. Reservierungs-Bestätigung, Stornierungs-Bestätigung, Umbuchungs-Bestätigung oder interne Benachrichtigungen) werden über Microsoft Graph oder einen vom Betreiber konfigurierten SMTP-Server versendet. Bei Microsoft Graph ist Anbieter die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Verarbeitete Daten: E-Mail-Adresse, Restaurant-Kennung, Nachrichten-Inhalt und technische Zustellmetadaten.

6.4 Sprachverarbeitung für den KI-Telefonassistenten

Für den KI-Telefonassistenten und den Menu-Concierge setzen wir OpenAI-kompatible Sprachmodelle und, je nach aktivierter Funktion, Anbieter für Sprach-Erkennung, Sprach-Ausgabe und Realtime-Sprachverarbeitung ein. Im aktuellen App-Stand sind OpenAI-kompatible Endpunkte sowie Anthropic als optionale KI-Anbieter vorgesehen. Diese Anbieter werden nur verarbeitet, soweit die jeweilige Funktion aktiviert und vertraglich abgedeckt ist. Anruferinnen und Anrufer werden zu Beginn jedes Gesprächs darüber informiert, dass sie mit einer digitalen Assistenz sprechen und das Gespräch zur Bearbeitung aufgezeichnet werden kann. Transkripte und Audiodaten werden für eine pro Restaurant einstellbare Aufbewahrungsfrist gespeichert und danach automatisch gelöscht.

6.5 Datei- und Bildspeicher

Für hochgeladene Dateien wie Speisekarten, Menü-Bilder oder Importdateien kann ein S3-kompatibler Objektspeicher eingesetzt werden. Der konkrete Speicheranbieter und die Region werden in der jeweiligen Produktivkonfiguration festgelegt. Verarbeitet werden Dateiname, Dateiinhalt, Restaurant-Kennung, technische Metadaten und Zugriffs-URLs.

6.6 Google Maps

Für Adresssuche, Standortdaten oder Kartenfunktionen kann Google Maps der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland eingesetzt werden. Dabei können IP-Adresse, Suchanfragen, Standortangaben und technische Nutzungsdaten an Google übermittelt werden. Google Maps wird nur dort geladen, wo eine Karten- oder Adressfunktion tatsächlich genutzt wird.

7. Backoffice-Dienste (Hey Listen Technologies UG als Verantwortlicher)

Für unsere internen Geschäftsprozesse setzen wir folgende Dienste ein:

• Microsoft 365 (Microsoft Ireland Operations Ltd., Dublin) — geschäftliche E-Mail, Office-Anwendungen, Microsoft Teams. EU-Standardvertragsklauseln, EU-US Data Privacy Framework.
• Cal.eu / Cal.com — Terminbuchung für Demo- und Beratungsgespräche. Verarbeitet werden Kontaktdaten, Telefonnummer, Termin- und Kalenderdaten sowie technische Nutzungsdaten zur Bereitstellung der Buchungsseite.
• Lexoffice (Haufe-Lexware GmbH & Co. KG, Freiburg) — Rechnungsstellung und Buchhaltung.
• Qonto (Qonto SAS, Paris, Frankreich) — Geschäftskonto und Zahlungsverkehr.
• APIUP / neXcube UG (Berlin) — Connector zwischen Stripe und Lexoffice.
• GitHub, Inc. (Microsoft-Tochter, USA) — Quellcode-Verwaltung und Deployment-Pipeline (GitHub Actions). EU-US Data Privacy Framework. Verarbeitete Daten: keine Endkunden-Daten, nur Build- und Deploy-Metadaten.
• Sentry (Functional Software, Inc., USA) — optionales Fehler-Monitoring für Server und Frontend. Verarbeitet werden technische Fehlerdaten, Request-Metadaten und gekürzte Diagnoseinformationen; keine bewusste Speicherung von Zahlungsdaten.

8. Reichweitenmessung

Für die Reichweitenmessung und Verbesserung unserer Marketing-Webseite können wir Google Analytics 4 und Microsoft Clarity einsetzen. Wir messen damit insbesondere Seitenaufrufe, Klicks auf zentrale Handlungsaufforderungen, erfolgreiche Formularanfragen und technische Nutzungsdaten, um Inhalte, Nutzerführung und Kampagnen zu verbessern.

Für Google Analytics 4 verwenden wir den erweiterten Google Consent Mode. Das Google-Tag wird mit standardmäßig verweigertem Speicherzugriff geladen. Solange Sie nicht in die Kategorie Analyse eingewilligt haben, setzt Google Analytics keine Analyse-Cookies und erhält von uns keine dauerhaft im Browser gespeicherte Analyse-Kennung. Es können begrenzte, cookielose Messsignale für aggregierte Berichte und Modellierungen übertragen werden. Microsoft Clarity wird weiterhin erst nach Ihrer aktiven Einwilligung in die Kategorie Analyse geladen.

Google Analytics 4 ist ein Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Verarbeitet werden unter anderem Seitenpfad, Referrer, Kampagnenparameter, technische Geräte- und Browserinformationen sowie gekürzte oder anderweitig geschützte IP-Informationen. Wir übermitteln keine Formularinhalte, Namen, E-Mail-Adressen oder Telefonnummern an Google Analytics.

Microsoft Clarity ist ein Dienst der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Clarity hilft uns, Klick- und Scrollverhalten, Heatmaps und technische Reibungspunkte auf der Webseite zu verstehen. Formularbereiche sind auf unserer Webseite zusätzlich zur Standard-Maskierung mit expliziten Maskierungs-Hinweisen versehen; Inhalte von Eingabefeldern werden nicht bewusst ausgewertet.

Rechtsgrundlage für die Speicherung oder das Auslesen nicht notwendiger Analyse-Kennungen sowie die einwilligungsbasierte Reichweitenmessung ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Die Übermittlung des Consent-Status und begrenzter, cookieloser Messsignale dient unserem berechtigten Interesse an datensparsamer, aggregierter Kampagnenmessung (Art. 6 Abs. 1 lit. f DSGVO). Datenübermittlungen in die USA können auf Grundlage des EU-US Data Privacy Framework und ergänzend auf Basis der EU-Standardvertragsklauseln erfolgen.

9. Cookies

Die Webseite nutzt technisch notwendige Cookies und vergleichbare Browser-Speicherungen. Für die Verwaltung der Einwilligungen setzen wir CookieYes ein, einen Dienst der CookieYes Limited, 3 Warren Yard Warren Park, Wolverton Mill, Milton Keynes, MK12 5NW, Vereinigtes Königreich. CookieYes speichert Ihre Consent-Entscheidung und dokumentiert sie zum Nachweis der Einwilligung. Rechtsgrundlage für technisch notwendige Cookies ist Art. 6 Abs. 1 lit. f DSGVO; Rechtsgrundlage für Analyse-Cookies ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Nicht notwendige Cookies oder vergleichbare Technologien von Google Analytics 4 und Microsoft Clarity werden erst nach Ihrer Zustimmung zur Kategorie Analyse gesetzt. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen im Footer widerrufen oder ändern.

Cookie	Kategorie	Anbieter	Zweck	Laufzeit
cookieyes-*	Notwendig	CookieYes	Speicherung und Nachweis Ihrer Cookie- und Consent-Einstellungen.	bis zu 1 Jahr
_ga	Analyse	Google Analytics 4	Unterscheidung von Besuchern und Erstellung aggregierter Nutzungsstatistiken.	ca. 13 Monate
_ga_*	Analyse	Google Analytics 4	Speicherung und Zählung von Seitenaufrufen für eine konkrete GA4-Mess-ID.	ca. 13 Monate
_clck	Analyse	Microsoft Clarity	Speicherung einer Clarity-Nutzerkennung für wiederkehrende Besuche derselben Webseite.	bis zu 1 Jahr
_clsk	Analyse	Microsoft Clarity	Zusammenfassung mehrerer Seitenaufrufe zu einer Sitzung.	bis zu 1 Tag

10. Drittland-Transfers

Soweit Daten an Empfänger außerhalb der EU/EWR übermittelt werden (insbesondere HubSpot, GitHub, Sentry, Google, Microsoft oder KI-Anbieter), erfolgt dies auf Basis des EU-US Data Privacy Framework und ergänzend auf Basis der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Eine aktuelle Übersicht der Empfänger erhalten Sie auf Anfrage unter [email protected].

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es zur Erfüllung des jeweiligen Zwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Konkrete Fristen:

• Server-Logs: bis zu 30 Tage
• Demo-/Kontaktanfragen: bis zur Erledigung, längstens 24 Monate
• Gastdaten im Reservierungssystem: pro Restaurant einstellbar (Standardwert 24 Monate ab letztem Besuch), danach automatische Löschung
• Voice-Transkripte: pro Restaurant einstellbar (Standardwert konfigurierbar pro Vertrag), danach automatische Löschung
• Rechnungsbelege: 10 Jahre (§ 147 AO)

12. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Ihre Anfragen richten Sie bitte an [email protected]. Wir antworten innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist für uns die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

13. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um Ihre Daten zu schützen: Transportverschlüsselung (TLS 1.3) zwischen Browser und Server, Verschlüsselung im Ruhezustand (AES-256) für sensible Datenbestände, Zugriffsbeschränkungen nach Need-to-Know, regelmäßige Backups in der EU, Mehr-Faktor-Authentifizierung für Administrations-Zugänge.

14. KI-Hinweise nach Art. 50 EU-KI-Verordnung

Der KI-Telefonassistent von Hey-Gastroline ist ein digitales Sprach-Assistenzsystem. Anruferinnen und Anrufer werden im zweiten Gesprächs-Turn aktiv darüber informiert, dass sie mit einer digitalen Assistenz sprechen und das Gespräch zur Bearbeitung ihrer Reservierung aufgezeichnet wird. Wenn sie nicht einverstanden sind, wird das Gespräch an eine hinterlegte Handoff-Telefonnummer des Restaurants weitergeleitet, ohne dass Inhalte gespeichert werden.

Der KI-Telefonassistent improvisiert nicht — bei Unsicherheit über den Anrufer-Wunsch oder bei Beschwerden wird das Gespräch ohne weitere Inhaltsspeicherung an die Handoff-Nummer des Restaurants übergeben (sofern dieses Verhalten aktiviert ist; Standard: aktiv).

15. Aktualisierungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund neuer rechtlicher Vorgaben oder Änderungen unserer Verarbeitung erforderlich wird. Die jeweils aktuelle Fassung ist auf dieser Webseite abrufbar.

Stand: 2. Juli 2026.