Datenschutzerklärung
1. Verantwortlicher und Geltungsbereich
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Hey Listen Technologies UG (haftungsbeschränkt)
Regensburger Straße 2, 28844 Weyhe, Deutschland
E-Mail: info@hey-listen.ai · Datenschutz: datenschutz@hey-listen.ai · Telefon: +49 421 40980751
Geschäftsführer: Daniel Wittig und Christian Kirsch
Vollständige Anbieter-Kennzeichnung siehe Impressum.
Diese Datenschutzerklärung gilt für die unter den Domains hey-gastroline.ai (Marketing-Webseite Hey-Gastroline) und allen Subdomains erreichbaren Angebote sowie für die Nutzung des Hey-Gastroline-Reservierungssystems durch Restaurant-Betriebe und deren Gäste.
2. Rollenverteilung
Hey Listen Technologies UG verarbeitet personenbezogene Daten in zwei unterschiedlichen Rollen:
- Verantwortlicher (Art. 4 Nr. 7 DSGVO) für die Marketing-Webseite, Demo-Anfragen, Vertragsabwicklung mit Restaurant-Kunden und Kommunikation mit potenziellen Interessenten.
- Auftragsverarbeiter (Art. 28 DSGVO) für die im Hey-Gastroline-Reservierungssystem verarbeiteten Daten der Gäste unserer Restaurant-Kunden (Reservierende, Anrufende, Bestellende). Verantwortlicher in diesem Sinn ist jeweils das Restaurant. Ein Auftragsverarbeitungsvertrag (AVV) wird mit jedem Restaurant-Kunden vor Inbetriebnahme abgeschlossen.
3. Rechtsgrundlagen
- Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. Newsletter, optionale Cookies, Marketing-SMS)
- Art. 6 Abs. 1 lit. b DSGVO — Vertragsanbahnung und Vertragserfüllung (z. B. Kontaktanfragen, Reservierungs-Bestätigungen)
- Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Verpflichtungen (z. B. steuerrechtliche Aufbewahrung, AVV-Dokumentation)
- Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (z. B. IT-Sicherheit, anonyme Reichweiten-Messung, Schutz vor Missbrauch)
4. Hosting und automatisch erfasste Daten
4.1 Hosting bei IONOS SE
Diese Webseite und das Hey-Gastroline-Reservierungssystem werden bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Server-Standort: Deutschland) gehostet. Es findet kein Datentransfer in Drittländer statt. Mit IONOS besteht ein Auftragsverarbeitungsvertrag.
4.2 Server-Logs
Beim Aufruf der Webseite werden technische Daten in Server-Logs verarbeitet, soweit dies für die Bereitstellung und Sicherheit der Webseite erforderlich ist: anonymisierte IP-Adresse, Zeitpunkt und Datum des Aufrufs, abgerufene URL, HTTP-Statuscode, Browser-Kennung und Betriebssystem. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: bis zu 30 Tage.
4.3 Web-Schriftarten (Google Fonts)
Wir setzen Google Fonts der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland ein. Die Schriftarten werden über das Google-CDN (fonts.googleapis.com, fonts.gstatic.com) geladen. Dabei wird Ihre IP-Adresse an Google übermittelt; ein Transfer in die USA findet auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche Schrift-Darstellung als berechtigtes Interesse). Wir prüfen aktuell, ob Google Fonts mittelfristig selbst-gehostet wird.
5. Kontaktaufnahme und Demo-Anfragen
Wenn Sie unsere Kontakt- oder Demo-Formulare nutzen (z. B. unter /demo, /kontakt, Landingpages), verarbeiten wir die von Ihnen eingegebenen Daten zur Beantwortung Ihrer Anfrage. Übermittelt werden in der Regel: Name, Restaurant, E-Mail-Adresse, Telefonnummer, optionale Nachricht, sowie technische Metadaten (UTM-Parameter, Referrer, User-Agent, Zeitstempel) zur Quellen-Zuordnung der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Übermittlung erfolgt über einen Webhook an unseren Workflow-Dienstleister Make.com (Celonis SE, Theresienhöhe 11a, 80339 München, Server-Region EU) und wird in unserem CRM HubSpot, Inc. (USA, EU-US Data Privacy Framework, EU-Standardvertragsklauseln) gespeichert. Mit beiden Dienstleistern bestehen Auftragsverarbeitungsverträge. Speicherdauer: bis zur Erledigung Ihrer Anfrage, längstens jedoch bis zum Ablauf gesetzlicher Aufbewahrungspflichten.
6. Hey-Gastroline-Reservierungssystem (Auftragsverarbeitung)
Wenn ein Restaurant Hey-Gastroline nutzt, verarbeiten wir die personenbezogenen Daten der Gäste dieses Restaurants ausschließlich nach Weisung des Restaurants und auf Grundlage des abgeschlossenen Auftragsverarbeitungsvertrages. Verantwortlicher gegenüber den Gästen ist in diesem Fall das Restaurant.
Folgende Sub-Auftragsverarbeiter setzen wir im Rahmen des Reservierungssystems ein:
6.1 Twilio (SMS)
Twilio Ireland Limited, 25-28 North Wall Quay, Dublin 1, Irland. Versand von transaktionalen SMS (Buchungsbestätigung, Reminder, Feedback-Anfrage, Wiedereinladung, Marketing-Opt-In). Verarbeitete Daten: Telefonnummer, Restaurant-Kennung, Nachrichten-Inhalt, Status-Metadaten. Server-Region EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. lit. a DSGVO (Marketing-SMS nur mit separater Einwilligung).
6.2 Stripe (Zahlungen und Vorautorisierungen)
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Verarbeitung von Stripe-Vorautorisierungen für den No-Show-Schutz, Pay-by-Link-Zahlungen für Voice-Bestellungen sowie regulärer Online-Bestellungen. Kreditkartendaten werden ausschließlich von Stripe verarbeitet (PCI-DSS Level 1). Auf Hey-Gastroline-Servern werden lediglich Zahlungs-Tokens gespeichert.
6.3 E-Mail-Versand über Microsoft Graph oder SMTP
Transaktionale E-Mails (z. B. Reservierungs-Bestätigung, Stornierungs-Bestätigung, Umbuchungs-Bestätigung oder interne Benachrichtigungen) werden über Microsoft Graph oder einen vom Betreiber konfigurierten SMTP-Server versendet. Bei Microsoft Graph ist Anbieter die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Verarbeitete Daten: E-Mail-Adresse, Restaurant-Kennung, Nachrichten-Inhalt und technische Zustellmetadaten.
6.4 Sprachverarbeitung für den KI-Telefonassistenten
Für den KI-Telefonassistenten und den Menu-Concierge setzen wir OpenAI-kompatible Sprachmodelle und, je nach aktivierter Funktion, Anbieter für Sprach-Erkennung, Sprach-Ausgabe und Realtime-Sprachverarbeitung ein. Im aktuellen App-Stand sind OpenAI-kompatible Endpunkte sowie Anthropic als optionale KI-Anbieter vorgesehen. Diese Anbieter werden nur verarbeitet, soweit die jeweilige Funktion aktiviert und vertraglich abgedeckt ist. Anruferinnen und Anrufer werden zu Beginn jedes Gesprächs darüber informiert, dass sie mit einer digitalen Assistenz sprechen und das Gespräch zur Bearbeitung aufgezeichnet werden kann. Transkripte und Audiodaten werden für eine pro Restaurant einstellbare Aufbewahrungsfrist gespeichert und danach automatisch gelöscht.
6.5 Datei- und Bildspeicher
Für hochgeladene Dateien wie Speisekarten, Menü-Bilder oder Importdateien kann ein S3-kompatibler Objektspeicher eingesetzt werden. Der konkrete Speicheranbieter und die Region werden in der jeweiligen Produktivkonfiguration festgelegt. Verarbeitet werden Dateiname, Dateiinhalt, Restaurant-Kennung, technische Metadaten und Zugriffs-URLs.
6.6 Google Maps
Für Adresssuche, Standortdaten oder Kartenfunktionen kann Google Maps der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland eingesetzt werden. Dabei können IP-Adresse, Suchanfragen, Standortangaben und technische Nutzungsdaten an Google übermittelt werden. Google Maps wird nur dort geladen, wo eine Karten- oder Adressfunktion tatsächlich genutzt wird.
7. Backoffice-Dienste (Hey Listen Technologies UG als Verantwortlicher)
Für unsere internen Geschäftsprozesse setzen wir folgende Dienste ein:
- Microsoft 365 (Microsoft Ireland Operations Ltd., Dublin) — geschäftliche E-Mail, Office-Anwendungen, Microsoft Teams. EU-Standardvertragsklauseln, EU-US Data Privacy Framework.
- Lexoffice (Haufe-Lexware GmbH & Co. KG, Freiburg) — Rechnungsstellung und Buchhaltung.
- Qonto (Qonto SAS, Paris, Frankreich) — Geschäftskonto und Zahlungsverkehr.
- APIUP / neXcube UG (Berlin) — Connector zwischen Stripe und Lexoffice.
- GitHub, Inc. (Microsoft-Tochter, USA) — Quellcode-Verwaltung und Deployment-Pipeline (GitHub Actions). EU-US Data Privacy Framework. Verarbeitete Daten: keine Endkunden-Daten, nur Build- und Deploy-Metadaten.
- Sentry (Functional Software, Inc., USA) — optionales Fehler-Monitoring für Server und Frontend. Verarbeitet werden technische Fehlerdaten, Request-Metadaten und gekürzte Diagnoseinformationen; keine bewusste Speicherung von Zahlungsdaten.
8. Reichweitenmessung
Derzeit ist auf dieser Webseite keine Reichweitenmessung aktiv. Sobald wir eine cookieless Lösung (geplant: Plausible.io, EU-Hosting) einsetzen, aktualisieren wir diese Datenschutzerklärung entsprechend und informieren über die Verarbeitung.
9. Cookies
Die Webseite nutzt aktuell keine eigenen Cookies und kein Tracking, das eine Einwilligung erfordern würde. Lediglich technisch notwendige Browser-Speicherungen (z. B. für die Theme-Auswahl) werden lokal in Ihrem Browser abgelegt. Sobald wir eine cookie-basierte Lösung ergänzen, wird ein Consent-Banner integriert.
10. Drittland-Transfers
Soweit Daten an Empfänger außerhalb der EU/EWR übermittelt werden (insbesondere HubSpot, GitHub, Sentry oder KI-Anbieter), erfolgt dies auf Basis des EU-US Data Privacy Framework und ergänzend auf Basis der EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Eine aktuelle Übersicht der Empfänger erhalten Sie auf Anfrage unter info@hey-listen.ai.
11. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es zur Erfüllung des jeweiligen Zwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Konkrete Fristen:
- Server-Logs: bis zu 30 Tage
- Demo-/Kontaktanfragen: bis zur Erledigung, längstens 24 Monate
- Gastdaten im Reservierungssystem: pro Restaurant einstellbar (Standardwert 24 Monate ab letztem Besuch), danach automatische Löschung
- Voice-Transkripte: pro Restaurant einstellbar (Standardwert konfigurierbar pro Vertrag), danach automatische Löschung
- Rechnungsbelege: 10 Jahre (§ 147 AO)
12. Ihre Rechte
Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:
- Recht auf Auskunft (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Löschung (Art. 17 DSGVO)
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
- Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft
Ihre Anfragen richten Sie bitte an datenschutz@hey-listen.ai. Wir antworten innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).
Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist für uns die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.
13. Datensicherheit
Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um Ihre Daten zu schützen: Transportverschlüsselung (TLS 1.3) zwischen Browser und Server, Verschlüsselung im Ruhezustand (AES-256) für sensible Datenbestände, Zugriffsbeschränkungen nach Need-to-Know, regelmäßige Backups in der EU, Mehr-Faktor-Authentifizierung für Administrations-Zugänge.
14. KI-Hinweise nach Art. 50 EU-KI-Verordnung
Der KI-Telefonassistent von Hey-Gastroline ist ein digitales Sprach-Assistenzsystem. Anruferinnen und Anrufer werden im zweiten Gesprächs-Turn aktiv darüber informiert, dass sie mit einer digitalen Assistenz sprechen und das Gespräch zur Bearbeitung ihrer Reservierung aufgezeichnet wird. Wenn sie nicht einverstanden sind, wird das Gespräch an eine hinterlegte Handoff-Telefonnummer des Restaurants weitergeleitet, ohne dass Inhalte gespeichert werden.
Der KI-Telefonassistent improvisiert nicht — bei Unsicherheit über den Anrufer-Wunsch oder bei Beschwerden wird das Gespräch ohne weitere Inhaltsspeicherung an die Handoff-Nummer des Restaurants übergeben (sofern dieses Verhalten aktiviert ist; Standard: aktiv).
15. Aktualisierungen
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund neuer rechtlicher Vorgaben oder Änderungen unserer Verarbeitung erforderlich wird. Die jeweils aktuelle Fassung ist auf dieser Webseite abrufbar.
Stand: 20. Mai 2026.