Hallo Marco Hallo Marco

Datenschutzerklärung

Diese Erklärung gilt für die Websites hallomarco.de und hallomarco.com und für den Dienst Hallo Marco unter app.hallomarco.com. Sie beschreibt, welche personenbezogenen Daten wir verarbeiten, wofür, auf welcher Rechtsgrundlage und wie lange. Fassung 1.1, Stand: 27. Oktober 2026.

1. Verantwortlicher

Bavarian Valley UG (haftungsbeschränkt)
Passauer Str. 21
81369 München
Deutschland
Geschäftsführer: Christian Moser
E-Mail: kontakt@hallomarco.de

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt. Fragen zum Datenschutz richten Sie bitte an kontakt@hallomarco.de.

3. Das Wichtigste in Kürze

  • Wir unterscheiden zwei Rollen. Für unsere Websites, Anfragen, die Demo-Nummer und Kundenkonten sind wir selbst verantwortlich. Gespräche und Nachrichten, die Marco für einen Betrieb führt, verarbeiten wir im Auftrag dieses Betriebs (Abschnitt 11).
  • Hosting und Datenspeicherung liegen in Deutschland. KI-Sprachmodell und Wissenssuche laufen bei Anbietern, die auch außerhalb der EU verarbeiten, auch in den USA. Die Telefonie läuft über einen Anbieter mit EU-Region; Spracherkennung und Sprachausgabe können dabei teilweise außerhalb der EU stattfinden, auch in den USA.
  • Gespräche werden nur aufgezeichnet, wenn der Betrieb das eingeschaltet hat, und erst nach einem Hinweis an den Anrufer.
  • Jeder Betrieb legt fest, wie lange Gespräche gespeichert bleiben: 30, 90 oder 365 Tage, voreingestellt sind 90 Tage.
  • Google Analytics nutzen wir auf der Website nur, wenn Sie einwilligen.

4. Bereitstellung der Website und Server-Protokolle

Die Websites werden in Rechenzentren in Deutschland gehostet. Bei jedem Aufruf verarbeitet der Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung. Diese Daten nutzen wir, um die Website auszuliefern, Fehler zu finden und Angriffe abzuwehren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Die Server-Protokolle löschen wir nach 14 Tagen. Protokolle, die wir zur Aufklärung eines konkreten Angriffs benötigen, bewahren wir bis zu dessen Abschluss auf. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung.

5. Cookies, lokaler Speicher und Einwilligung

Auf der Kontaktseite setzen wir zwei technisch notwendige Cookies (Sitzung und Schutz vor gefälschten Formularanfragen). Sie enthalten keine Angaben zu Ihrer Person und werden nach zwei Stunden gelöscht. Die Anwendung unter app.hallomarco.com setzt nach der Anmeldung ein Sitzungs-Cookie, ohne das die Anmeldung nicht funktioniert. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, für die damit verbundene Verarbeitung Art. 6 Abs. 1 lit. f DSGVO.

Ihre Entscheidung im Einwilligungs-Hinweis speichern wir im lokalen Speicher Ihres Browsers, damit wir nicht bei jedem Seitenaufruf erneut fragen. Sie können sie jederzeit unten auf jeder Seite unter „Cookie-Einstellungen“ ändern. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO (Nachweis der Einwilligung).

6. Google Analytics

Wenn Sie einwilligen, nutzen wir Google Analytics 4, um zu verstehen, welche Seiten besucht werden und wie Besucher unsere Website finden. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können Daten an Google LLC in den USA übertragen werden.

Google Analytics setzt Cookies (zum Beispiel „_ga“) und verarbeitet Angaben zu Ihrem Gerät und Browser, zu den aufgerufenen Seiten, zur Herkunft des Besuchs, zu Datum und Uhrzeit sowie Ihren ungefähren Standort. Ihre IP-Adresse wird nach Angaben von Google in Google Analytics 4 nicht gespeichert. Wir verwenden Google Analytics nicht für Werbung und verknüpfen die Daten nicht mit anderen Daten über Sie.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Einwilligung wird Google Analytics nicht geladen. Sie können die Einwilligung jederzeit unter „Cookie-Einstellungen“ widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf diesen Angemessenheitsbeschluss. Die Daten zu einzelnen Besuchern werden in Google Analytics nach 14 Monaten gelöscht. Google verarbeitet die Daten als unser Auftragsverarbeiter nach den Auftragsverarbeitungsbedingungen für Google Analytics.

7. Kontaktformular, Demo-Anfrage und E-Mail

Wenn Sie uns über das Formular oder per E-Mail schreiben, verarbeiten wir die Angaben, die Sie machen: Name, Betrieb, Branche, Telefonnummer, E-Mail-Adresse, Wunschtermin und Nachricht. Wir nutzen sie, um Ihre Anfrage zu beantworten und ein Demo-Gespräch zu vereinbaren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung Ihrer Anfrage. Die Anfrage wird auf unserem Server gespeichert und uns über einen E-Mail-Dienst zugestellt. Wir löschen Anfragen sechs Monate nach ihrer abschließenden Bearbeitung. Wird daraus ein Vertrag, gelten die Fristen in Abschnitt 9; Geschäftsbriefe bewahren wir so lange auf, wie es Handels- und Steuerrecht verlangen.

Zum Schutz vor automatisierten Einsendungen enthält das Formular ein unsichtbares Feld und eine Zeitprüfung. Dafür werden keine zusätzlichen Daten über Sie erhoben.

8. Demo-Nummer

Rufen Sie unsere Demo-Nummer an, spricht Marco mit Ihnen. Hier sind wir selbst verantwortlich. Marco sagt zu Beginn, dass ein KI-Assistent spricht. Wir verarbeiten Ihre Rufnummer, Zeitpunkt und Dauer des Anrufs, den Gesprächsinhalt als Text und eine Zusammenfassung. Die Demo-Gespräche werden nicht aufgezeichnet. Für die technische Verarbeitung gelten die Schritte in Abschnitt 11 entsprechend.

Damit die Demo für alle verfügbar bleibt, begrenzen wir Dauer und Zahl der Anrufe je Rufnummer und Tag. Ist das Tagesbudget erreicht, hören Sie eine Ansage, und wir erhalten eine E-Mail mit Ihrer Rufnummer und der Uhrzeit, damit wir uns bei Interesse melden können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Interessenten den Dienst vorzuführen, Missbrauch zu verhindern und auf Anfragen zu reagieren. Demo-Gespräche löschen wir nach 30 Tagen.

9. Kundenkonto und Vertrag

Für die Nutzung von Hallo Marco legen Sie oder wir für Sie ein Konto an. Dabei verarbeiten wir Name, E-Mail-Adresse, Betrieb, Anschrift, Telefonnummer, Rolle im Betrieb, Anmeldedaten (Passwort nur als Prüfwert, Passkeys nur als öffentlicher Schlüssel), Rechnungs- und Zahlungsangaben sowie die Einstellungen Ihres Betriebs. Bei der Registrierung und bei neuen Fassungen speichern wir, wann Sie den AGB, dieser Datenschutzerklärung, dem Vertrag zur Auftragsverarbeitung und gegebenenfalls der Zusatzvereinbarung für Berufsgeheimnisträger zugestimmt haben, mit IP-Adresse und Browserkennung als Nachweis. Zum Schutz vor automatisierten Registrierungen löst Ihr Browser eine kleine Rechenaufgabe; dafür werden keine zusätzlichen Daten erhoben.

Wir senden Ihnen E-Mails und, wenn Sie das in der installierten App erlauben, Push-Benachrichtigungen, die für die Nutzung nötig sind, etwa Einladungen, Rückruf-Aufgaben, Hinweise auf verbrauchte Minuten und Rechnungen. Push-Benachrichtigungen stellt der Push-Dienst Ihres Browser-Herstellers zu (etwa Google, Apple oder Mozilla, auch in den USA). Ihr Inhalt, etwa Name oder Rufnummer eines Anrufers und eine Kurzfassung des Anliegens, ist Ende-zu-Ende verschlüsselt und für diese Dienste nicht lesbar. Sie können Push-Benachrichtigungen jederzeit in der App oder im Browser abschalten. Wir protokollieren, wer im Konto Daten einsieht, ändert, exportiert oder löscht, und wann unsere Mitarbeiter für Einrichtung oder Support auf ein Konto zugreifen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Rechnungen und Buchhaltung Art. 6 Abs. 1 lit. c DSGVO, für Sicherheitsprotokolle und Nachweise Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer Betrieb und die Nachweisbarkeit von Vereinbarungen.

Registrierungen, deren E-Mail-Adresse nicht innerhalb von 48 Stunden bestätigt wird, löschen wir. Konto- und Betriebsdaten löschen wir 30 Tage nach Vertragsende. Nachweise über Zustimmungen und Zugriffsprotokolle bewahren wir bis zum Ablauf der Verjährungsfristen auf, in der Regel drei Jahre nach Ende des Jahres, in dem der Vertrag endet. Rechnungen und Buchungsbelege bewahren wir so lange auf, wie es Handels- und Steuerrecht verlangen (bis zu zehn Jahre).

10. Zahlungen, Kalender und Postfach

Zahlungen wickelt ein Zahlungsdienstleister ab. Er verarbeitet Ihre Zahlungsdaten teils in unserem Auftrag, teils als eigener Verantwortlicher, etwa zur Betrugsvorbeugung und für gesetzliche Prüfungen. Wir erhalten nur die Angaben, die wir für Abrechnung und Buchhaltung brauchen, etwa Zahlungsstatus, Zahlungsart und die letzten Ziffern einer Karte. Geben Sie eine Umsatzsteuer-Identifikationsnummer an, prüft der Zahlungsdienstleister sie im Mehrwertsteuer-Informationsaustauschsystem (VIES) der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO.

Verbinden Sie Ihren Kalender oder Ihr Postfach bei Google oder Microsoft, melden Sie sich dort selbst an und erlauben den Zugriff. Wir speichern die Zugangsschlüssel verschlüsselt und nutzen sie nur für die Funktionen, die Sie eingeschaltet haben. Sie können die Verbindung in Hallo Marco oder bei Ihrem Anbieter jederzeit trennen; dann löschen wir die Schlüssel. Termine, die Marco einträgt, liegen in Ihrem Kalender.

11. Gespräche und Nachrichten im Auftrag Ihres Betriebs

Marco nimmt für Betriebe Anrufe an und beantwortet Nachrichten über WhatsApp, E-Mail und den Website-Chat. Verantwortlich für diese Daten ist der jeweilige Betrieb. Wir verarbeiten sie in seinem Auftrag nach Art. 28 DSGVO auf Grundlage eines Vertrags zur Auftragsverarbeitung. Wenn Sie als Anrufer oder Kunde eines Betriebs Fragen zu Ihren Daten haben, wenden Sie sich bitte an diesen Betrieb; wir unterstützen ihn dabei.

Verarbeitet werden:

  • Rufnummer oder Absender, Datum, Uhrzeit und Dauer des Gesprächs
  • Inhalt des Gesprächs oder der Nachricht als Text, daraus eine Zusammenfassung mit Anliegen und nächstem Schritt
  • Angaben, die Marco je Anliegen erfragt, zum Beispiel Name, Adresse, Geburtsdatum oder Terminwunsch
  • Termine, Rückrufwünsche und Kontakte; ruft dieselbe Nummer erneut an, erkennt der Betrieb das
  • Anhänge, Fotos und Sprachnachrichten, wenn Sie sie senden
  • Aufzeichnungen, wenn der Betrieb sie eingeschaltet hat (Abschnitt 12)

So läuft ein Gespräch: Der Anruf kommt über einen Telefonie-Anbieter mit EU-Region an. Spracherkennung und Sprachausgabe laufen über diesen Anbieter und können teilweise außerhalb der EU stattfinden, auch in den USA. Das KI-Sprachmodell, das das Anliegen versteht und antwortet, und die Wissenssuche, für die Textabschnitte aus dem Wissen des Betriebs und Ihre Frage verarbeitet werden, laufen bei Anbietern, die auch außerhalb der EU verarbeiten, auch in den USA. Diese Anbieter verwenden die Daten nach ihren Bedingungen nicht zum Training ihrer Modelle. Wissen, Gesprächsverläufe, Zusammenfassungen und Kontakte speichern wir in Deutschland.

Zu Beginn jedes Gesprächs sagt Marco, dass ein KI-Assistent spricht; im Chat steht es im Kopf des Fensters, in Nachrichten in der ersten Antwort. Marco trifft keine Entscheidungen mit rechtlicher Wirkung für Sie im Sinne von Art. 22 DSGVO; verbindliche Entscheidungen trifft der Betrieb.

WhatsApp: Nachrichten über WhatsApp verarbeitet zusätzlich Meta, auch außerhalb der EU; unser Telefonie-Anbieter leitet WhatsApp-Nachrichten über die USA. Für Praxen, Kanzleien und Steuerkanzleien ist WhatsApp deshalb standardmäßig ausgeschaltet und lässt sich vom Betrieb bewusst einschalten.

E-Mail: Leitet ein Betrieb seine E-Mails an Hallo Marco weiter oder verbindet er sein Postfach bei Microsoft oder Google, liest Marco eingehende E-Mails und legt Antworten als Entwurf an oder sendet sie, je nach Einstellung des Betriebs. Der Empfang und Versand läuft über einen E-Mail-Dienst in der EU. Hat der Betrieb seine eigene Domain bestätigt, sendet Marco Antworten unter der Adresse des Betriebs, und Links in Marcos SMS und WhatsApp-Nachrichten führen über eine Subdomain des Betriebs zu Hallo Marco.

Website-Chat: Der Chat auf der Website eines Betriebs setzt keine Cookies. Er legt nur eine Gesprächskennung im Speicher des Browser-Tabs ab, die beim Schließen des Tabs gelöscht wird (§ 25 Abs. 2 Nr. 2 TDDDG). Zum Schutz vor Missbrauch verarbeiten wir die IP-Adresse kurzzeitig für Anfragebegrenzungen.

Kalender und Fahrzeit: Verbindet ein Betrieb seinen Kalender, liest Marco freie Zeiten und trägt Termine ein. Schaltet der Betrieb Einsatzgebiet und Fahrzeit ein, wird Ihre Adresse an den Kartendienst von Google übermittelt, um sie in Koordinaten umzurechnen und die Fahrzeit zu berechnen; dabei können Daten in die USA gelangen.

Sprachnachrichten: Sprachnachrichten wandeln wir auf unseren eigenen Servern in Deutschland in Text um. Nur wenn das ausfällt, übernimmt der Anbieter der Wissenssuche die Umwandlung, auch in den USA.

12. Aufzeichnung von Gesprächen

Ob Gespräche aufgezeichnet werden, entscheidet jeder Betrieb selbst. Die Vorlage der jeweiligen Branche gibt einen Standard vor; bei Berufen mit Schweigepflicht, etwa Praxen und Kanzleien, ist die Aufzeichnung ausgeschaltet. Bevor eine Aufzeichnung beginnt, hört der Anrufer einen Hinweis und kann das Gespräch beenden. Die Rechtsgrundlage für die Aufzeichnung bestimmt der Betrieb als Verantwortlicher; in der Regel ist das die Einwilligung des Anrufers. Aufzeichnungen liegen bei unserem Telefonie-Anbieter in der Region Irland, werden nur über unsere Anwendung abgespielt und mit dem Gespräch gelöscht.

13. Speicherdauer im Dienst

Jeder Betrieb legt fest, wie lange Gespräche, Nachrichten, Zusammenfassungen, Aufzeichnungen, Rückruf-Aufgaben und Termine gespeichert bleiben: 30, 90 oder 365 Tage nach der letzten Aktivität. Voreingestellt sind 90 Tage. Danach werden die Daten automatisch gelöscht, auch beim Telefonie-Anbieter, einschließlich der Benachrichtigungen per SMS oder WhatsApp, die zu einem Gespräch gehören. Kontakte, etwa Name und Rufnummer, bleiben gespeichert, bis der Betrieb sie löscht, Sie die Löschung verlangen oder der Vertrag des Betriebs endet. Was ein Betrieb in der Anwendung löscht, liegt 30 Tage in einem Papierkorb, aus dem er es wiederherstellen kann; danach wird es gelöscht. Verlangen Sie die Löschung Ihrer Daten, wirkt sie sofort, ohne Papierkorb. Endet der Vertrag eines Betriebs, löschen wir seine Daten 30 Tage nach dem Vertragsende. Aus unseren Datensicherungen verschwinden gelöschte Daten nach höchstens 14 weiteren Tagen.

14. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit das für den Dienst nötig ist. Folgende Kategorien von Dienstleistern arbeiten in unserem Auftrag:

  • Hosting und Datenspeicherung (Deutschland)
  • Server-Verwaltung (USA, ohne Zugriff auf Inhalte im Regelbetrieb)
  • Überwachung von Fehlern und Leistung der Anwendung (USA, technische Daten ohne Gesprächsinhalte)
  • Telefonie mit EU-Region, einschließlich Spracherkennung und Sprachausgabe (teilweise außerhalb der EU), SMS und WhatsApp-Versand (USA)
  • KI-Sprachmodell und Wissenssuche, dazu Ausweichweg für Sprachnachrichten (USA)
  • E-Mail-Empfang und -Versand (in der EU)
  • Kartendienst von Google für Einsatzgebiet und Fahrzeit (auch USA), nur wenn der Betrieb das einschaltet
  • Google Analytics auf der Website, nur mit Ihrer Einwilligung (Abschnitt 6)

Benachrichtigungen an die installierte App stellen die Push-Dienste der Browser-Hersteller zu; den Inhalt können sie nicht lesen (Abschnitt 9). Teilweise eigener Verantwortlicher ist der Zahlungsdienstleister (Abschnitt 10). Dienste, die ein Betrieb selbst verbindet und mit deren Anbietern er eigene Verträge hat, etwa WhatsApp, sein Kalender oder sein Postfach, arbeiten im Auftrag des Betriebs. Die einzelnen Anbieter mit Namen, Sitz, Ort der Verarbeitung und Grundlage nennt Anlage 2 zum Vertrag zur Auftragsverarbeitung. Dieselben Anbieter setzen wir ein, soweit wir selbst verantwortlich sind (Demo-Nummer, Kundenkonten).

15. Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb der EU und des EWR findet statt beim KI-Sprachmodell, bei der Wissenssuche, bei Teilen der Spracherkennung und Sprachausgabe, bei SMS, WhatsApp, dem Kartendienst und dem Ausweichweg für Sprachnachrichten (Abschnitt 11), bei der Server-Verwaltung, bei der Fehler- und Leistungsüberwachung und bei Google Analytics nach Ihrer Einwilligung (Abschnitt 6). Wir übermitteln nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: für Anbieter, die nach dem EU-US Data Privacy Framework zertifiziert sind, auf Grundlage dieses Angemessenheitsbeschlusses, im Übrigen auf Grundlage der Standardvertragsklauseln der EU-Kommission. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an kontakt@hallomarco.de.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Schreiben Sie dazu an kontakt@hallomarco.de. Betrifft Ihre Anfrage ein Gespräch mit einem Betrieb, leiten wir sie an diesen weiter.

Widerspruchsrecht: Verarbeiten wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

17. Pflicht zur Bereitstellung

Für die Nutzung der Website müssen Sie keine personenbezogenen Daten angeben, außer den technisch nötigen Daten nach Abschnitt 4. Für eine Anfrage brauchen wir eine Möglichkeit, Sie zu erreichen. Für ein Kundenkonto und den Vertrag brauchen wir die Angaben nach Abschnitt 9; ohne sie können wir keinen Vertrag schließen.

18. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst, unsere Anbieter oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Kunden informieren wir über wesentliche Änderungen per E-Mail.