Datenschutzerklärung

1. Verantwortliche

Larily, Inhaberin: Emily Lechthaler, Kurzglend 8b, 6911 Lochau, Österreich
E-Mail: hello@larily.com. Weitere Angaben findest du im Impressum.

2. Hosting und Datenbank

Website, Studio und veröffentlichte Apps laufen bei Render (Render Services, Inc.) im Rechenzentrum Frankfurt am Main. Konten, Projekte und Einträge speichern wir bei Supabase (Supabase, Inc.) im Rechenzentrum Paris. Mit beiden Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Da beide Anbieter ihren Sitz in den USA haben, kann ein Zugriff aus den USA nicht ausgeschlossen werden. Eine solche Übermittlung erfolgt nur unter den Voraussetzungen der DSGVO, etwa auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder von Standardvertragsklauseln.

E-Mails (zum Beispiel Benachrichtigungen über neue Einträge, Bestätigungen und Anmelde-Links) verschicken wir über Resend (Resend, Inc.) mit Servern in der EU (Irland). Dafür verarbeitet Resend die Empfängeradresse und den Inhalt der E-Mail. Auch mit Resend besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; für einen möglichen Zugriff aus den USA gilt das oben Gesagte.

Beim Aufruf der Website verarbeitet der Server technisch notwendige Daten wie IP-Adresse, Zeitpunkt und aufgerufene Adresse in Protokollen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach kurzer Zeit automatisch gelöscht.

3. Konto und Anmeldung

Für ein Konto speichern wir deine E-Mail-Adresse, deinen Tarif und deine Projekte. Die Anmeldung läuft über Supabase Auth und setzt dafür technisch notwendige Cookies. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Ohne E-Mail-Adresse können wir kein Konto anlegen. Wenn du dein Konto löschst, löschen wir deine Daten, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

Wenn du einen Prompt freischaltest, speichern wir, welchen und wann, damit du ihn in deinem Konto wiederfindest (Art. 6 Abs. 1 lit. b DSGVO). Wir löschen das mit deinem Konto.

Schutz vor Missbrauch. Damit Larily nicht für verbotene Inhalte genutzt wird, prüft ein automatischer Wortfilter deinen Wunsch, den Projektnamen und deine Nachrichten, bevor wir bauen. Bei einem Treffer speichern wir Konto, Projekt, Zeitpunkt, die Art des Verstoßes und das erkannte Wort. So können wir die Sperre prüfen und Missbrauch verhindern (Art. 6 Abs. 1 lit. b und f DSGVO). Gesperrt wird nur vorläufig, bis ein Mensch entschieden hat. Du kannst deine Sicht schildern und widersprechen (Art. 22 Abs. 3 DSGVO). Wir löschen diese Einträge 6 Monate nach der Entscheidung, bei einem bestätigten schweren Verstoß nach 3 Jahren.

Anmelden mit Google. Du kannst dich statt mit E-Mail-Adresse und Passwort auch mit deinem Google-Konto registrieren und anmelden. Dafür leiten wir dich zu Google weiter. Google erfährt dabei, dass du dich bei Larily anmeldest, und verarbeitet deine Anmeldung in eigener Verantwortung nach der eigenen Datenschutzerklärung (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Wir fragen bei Google nur deine E-Mail-Adresse und dein öffentliches Basisprofil ab, also deinen Namen, den Link zu deinem Profilbild und eine Google-Kennung. Auf deine Kontakte, Termine, Dateien oder andere Google-Daten haben wir keinen Zugriff. Supabase Auth speichert diese Angaben bei deinen Anmeldedaten (siehe Abschnitt 2). Wir nutzen davon nur deine E-Mail-Adresse für dein Konto und, wenn du in deinem Konto noch keinen Namen eingetragen hast, deinen Vornamen, damit wir dich ansprechen können. Dein Profilbild verwenden wir nicht. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Anmeldung mit Google ist freiwillig, du kannst Larily genauso nur mit deiner E-Mail-Adresse nutzen. Die Verbindung zu Larily kannst du jederzeit in deinem Google-Konto trennen. Dein Larily-Konto bleibt dann bestehen, und du meldest dich mit deiner E-Mail-Adresse an. Wenn du dein Larily-Konto löschst, löschen wir auch diese Angaben.

Schutz vor automatisierten Fake-Anmeldungen. Beim Registrieren, beim Anmelden, beim Anfordern eines Anmelde-Links und bei „Passwort vergessen?“ nutzen wir Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Turnstile prüft im Hintergrund, ob ein Mensch oder ein automatisiertes Programm (Bot) das Formular abschickt; meistens merkst du davon nichts, manchmal erscheint ein Kästchen zum Anklicken. Dafür lädt dein Browser nur auf diesen Seiten ein Skript von Cloudflare, und Cloudflare verarbeitet technische Daten: deine IP-Adresse, die Kennung deines Browsers (User-Agent), Merkmale der verschlüsselten Verbindung (TLS-Fingerabdruck) und die Adresse unserer Seite. Was du ins Formular einträgst (E-Mail-Adresse, Passwort, Name), bekommt Cloudflare nicht. Nach Angaben von Cloudflare dienen diese Daten nicht dazu, dich zu identifizieren, ein Profil über dich zu bilden oder dich gezielt anzusprechen, sondern nur dazu, Bots zu erkennen und abzuwehren. Das Ergebnis der Prüfung (ein Einmal-Code, der nach fünf Minuten verfällt) geht mit dem Formular an Supabase Auth (siehe Abschnitt 2), das ihn bei Cloudflare bestätigen lässt. Für die Bot-Erkennung verarbeitet Cloudflare die Daten in unserem Auftrag; soweit Cloudflare sie nutzt, um seine Bot-Erkennung zu verbessern, ist Cloudflare dafür selbst verantwortlich. Larily selbst setzt dafür keine Cookies. Ob Cloudflare im Prüffenster technisch notwendige Angaben in deinem Browser ablegt, beschreibt der Hinweis von Cloudflare. Rechtsgrundlage ist unser berechtigtes Interesse, Larily und die Zustellung unserer E-Mails vor automatisch angelegten Fake-Konten zu schützen (Art. 6 Abs. 1 lit. f DSGVO); der Zugriff auf deinen Browser ist dafür unbedingt erforderlich (§ 165 Abs. 3 TKG 2021). Cloudflare verarbeitet die Daten auch in den USA. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht; ersatzweise gelten Standardvertragsklauseln. Mehr dazu im Turnstile-Datenschutzhinweis von Cloudflare.

Damit wir Larily verbessern und dir bei Fragen helfen können, sieht das Larily-Team, wie du Larily in deinem Konto nutzt: wann du dich registriert und zuletzt angemeldet hast, an welchen Tagen du in deinem Konto warst, deine Projekte (Name, Art, deine erste Beschreibung, Anzahl der Versionen, ob und wo veröffentlicht), deinen Tarif, deine Zahlungen und deinen Credit-Verbrauch. Beim ersten Bau eines Projekts merken wir uns außerdem, welche Schritte du erreicht hast (Plan gesehen, Bauen gestartet oder „Einfach loslegen“ gewählt, erste Fassung in der Vorschau gesehen) und, falls ein Bau ohne Ergebnis endet, einen kurzen technischen Grund (zum Beispiel eine Zeitüberschreitung). Den Text deiner Beschreibung speichern wir dabei nicht mit. So sehen wir, wo der Weg zur ersten Seite hakt, und können ihn verbessern. Dafür speichern wir nichts auf deinem Gerät und verbinden diese Angaben nicht mit Werbe- oder Analyse-Tools. Die Tage, an denen du in deinem Konto warst, und diese Schritte löschen wir nach 13 Monaten, alles andere mit deinem Konto. Rechtsgrundlage ist die Erfüllung des Vertrags und unser berechtigtes Interesse, Larily zu verbessern (Art. 6 Abs. 1 lit. b und f DSGVO).

Um Larily zu verbessern, zählen wir anonym, welche Funktionen beim Erstellen von Seiten genutzt werden (z. B. welche Art von Element geändert oder welcher Baustein eingefügt wurde). Gespeichert werden dabei nur feste Kategorien und das Datum, keine Konto- oder Projektkennung, keine IP-Adresse und keine Inhalte; ein Rückschluss auf Personen oder Projekte ist nicht möglich. Rohdaten löschen wir nach 90 Tagen, danach bleiben nur Wochensummen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Verbesserung unseres Dienstes).

Tipps zum Start. Nach deiner Registrierung schicken wir dir in den ersten 14 Tagen bis zu sechs E-Mails, die dir beim Einstieg helfen. Welche Fassung du bekommst, richtet sich danach, ob du schon ein Projekt gebaut oder veröffentlicht hast und welchen Tarif du hast. Dafür nutzen wir Angaben aus deinem Konto (Vorname, Sprache, Name und Adresse deines Projekts, Besucherzahl deiner Seite). Die E-Mails enthalten keine Zählpixel und keine umgeleiteten Links. Die Links darin zeigen nur, aus welcher E-Mail sie stammen (zum Beispiel „mail-tag1“), und sind für alle gleich. Öffnest du Larily über einen solchen Link, während du angemeldet bist, speichern wir in deinem Konto, aus welcher E-Mail du gekommen bist und wann. So sehen wir, welche Tipps helfen. Wir werten das nur zusammengefasst aus, speichern dafür nichts auf deinem Gerät und löschen die einzelnen Einträge nach 90 Tagen. Hinweise auf Tarife und auf „Larily empfehlen“ bekommst du nur, wenn du „Neuigkeiten und Tipps von Larily“ eingeschaltet hast. Abbestellen kannst du die Tipps jederzeit über den Link in jeder E-Mail oder im Konto unter „E-Mails an dich“. Rechtsgrundlage ist die Erfüllung des Vertrags und unser berechtigtes Interesse, dir den Einstieg zu erleichtern (Art. 6 Abs. 1 lit. b und f DSGVO), für das Zählen der Rückkehr über die E-Mails unser berechtigtes Interesse, sie zu verbessern (lit. f; du kannst jederzeit per E-Mail widersprechen), für die Hinweise auf Tarife und Empfehlungen deine Einwilligung (lit. a).

Newsletter „Neuigkeiten und Tipps“. Wenn du bei der Registrierung oder in deinem Konto „Neuigkeiten und Tipps von Larily“ einschaltest, schicken wir dir etwa einmal im Monat eine E-Mail mit Neuigkeiten, Tipps und Angeboten von Larily. Dafür nutzen wir deine E-Mail-Adresse, deinen Vornamen und deine Sprache. Als Nachweis speichern wir, wann und wo du zugestimmt hast und welchen Text du dabei gesehen hast. Damit niemand eine Ausgabe doppelt bekommt, speichern wir 90 Tage lang, welche Ausgabe an welche Adresse ging. Versendet wird über Resend (siehe Abschnitt 2); die E-Mails enthalten keine Zählpixel und keine umgeleiteten Links. Du kannst dich jederzeit abmelden, über den Link in jeder E-Mail oder im Konto unter „E-Mails an dich“. Danach schicken wir dir keinen Newsletter mehr; den Nachweis über Zustimmung und Abmeldung bewahren wir noch drei Jahre auf. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021), für den Nachweis und die Versandliste unsere gesetzliche Pflicht und unser berechtigtes Interesse (Art. 6 Abs. 1 lit. c und f DSGVO).

4. KI-Funktionen

Wenn du Larily eine App bauen oder ändern lässt oder im Chat eine Frage dazu stellst („Besprechen“), senden wir deine Beschreibung bzw. Frage und den Code der App an unseren KI-Dienstleister Anthropic, PBC (548 Market Street, San Francisco, CA 94104, USA). Anthropic verarbeitet die Daten in unserem Auftrag nach einem Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) und nutzt sie nicht zum Training seiner Modelle. Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Bitte gib in Beschreibungen keine sensiblen personenbezogenen Daten ein.

Diktieren im Chat nutzt die Spracherkennung deines Browsers, und zwar nur, wenn du auf das Mikrofon tippst: In Chrome wird deine Aufnahme dafür von Google verarbeitet, in Safari von Apple. Larily selbst erhält nur den erkannten Text, wenn du ihn abschickst, keine Aufnahme.

Hilfe-Chat. Wenn du den Hilfe-Chat nutzt, verarbeiten wir deine Nachrichten, um eine Antwort zu erzeugen. Dafür nutzen wir denselben KI-Dienstleister wie beim Bauen deiner Projekte; Inhalte deiner Projekte bekommt er dabei nicht. Den Chatverlauf speichern wir 90 Tage in deinem Browser, auf unseren Servern nur, wenn du ihn mit einem Ticket mitschickst. Stellst du ein Ticket („Frag das Team“), speichern wir es mit deinem Namen und deiner E-Mail-Adresse, bis es erledigt ist, höchstens 12 Monate. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Qualitätsprüfung des Bau-Assistenten. Um den Bau-Assistenten zu verbessern, sehen wir uns Prompts und gebaute Fassungen deiner Projekte an. Löschst du ein Projekt, bewahren wir Projektname, Art, Prompt und die zuletzt gebaute Fassung noch höchstens 30 Tage auf und löschen sie dann automatisch. Einträge deiner Besucherinnen und Besucher, Dateien und Zahlungsdaten sind nicht dabei. Rechtsgrundlage ist unser berechtigtes Interesse an der Qualität unseres Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Du kannst jederzeit per E-Mail an hello@larily.com widersprechen; dann löschen wir diese Kopien sofort.

KI-Mitarbeiter (Kunden-Assistent). Bucht ein Betrieb bei Larily einen Kunden-Assistenten, beantwortet dieser auf der Webseite des Betriebs Fragen von Besucherinnen und Besuchern. Dabei sind wir Auftragsverarbeiter des Betriebs (Art. 28 DSGVO). Verantwortlich ist der Betrieb; seine Datenschutzerklärung gilt. Verarbeitet werden die Nachrichten im Chat und, wenn Sie sie angeben, Name, E-Mail-Adresse oder Telefonnummer, außerdem technisch nötige Daten (IP-Adresse, Zeitpunkt, Browser). Um Antworten zu erzeugen, senden wir die Nachrichten an Anthropic, PBC (USA), auf Grundlage von Standardvertragsklauseln. Gespeichert werden die Gespräche in der EU (Datenbank in Paris, Hosting in Frankfurt) und nach 12 Monaten gelöscht, früher, wenn der Betrieb sie löscht oder den Assistenten kündigt. Für den Betrieb selbst (Kontodaten, Einstellungen, Lern-Verlauf) gelten die Abschnitte zu Konto und Vertrag; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Auf Wunsch liest Larily öffentlich zugängliche Texte der angegebenen Webseite (höchstens 6 Seiten), um Öffnungszeiten, Preise und Kontaktdaten zu übernehmen. Gespeichert werden nur diese Angaben.

KI-Mitarbeiter (Belege-Assistent). Beim Belege-Assistenten verarbeitet Larily die hochgeladenen Rechnungen im Auftrag des Betriebs. Zum Auslesen gehen sie an Anthropic, PBC (USA, Standardvertragsklauseln). Gespeichert wird in der EU. Die Dateien werden 90 Tage nach dem Versand gelöscht, spätestens 30 Tage nach dem Ende des Abos. Belege zum Ausprobieren ohne Abo werden nach 30 Tagen gelöscht. Für die Erkennung doppelter Belege bleiben Datum, Firma, Rechnungsnummer und Betrag bis zum Ende des Abos gespeichert.

KI-Mitarbeiter (Auftrags-Assistent). Beim Auftrags-Assistenten verarbeitet Larily Anfragen, Angebote und Rechnungen im Auftrag des Betriebs. Zum Formulieren von Entwürfen gehen Anfragen an Anthropic, PBC (USA, Standardvertragsklauseln). Gespeichert wird in der EU. Auf der Angebots-Seite speichern wir, wann sie zum ersten Mal geöffnet und wann das Angebot angenommen wurde.

5. Zahlungen

Für Tarife und Credit-Pakete nutzen wir Stripe (Stripe Payments Europe, Ltd., Dublin, Irland). Deine Zahlungsdaten gibst du direkt bei Stripe ein, wir sehen sie nicht. Klickst du im Studio oder unter „Tarif wechseln“ auf „Jetzt loslegen“, öffnet sich das Bezahlfenster von Stripe direkt bei uns. Erst dann laden wir dafür Programmcode von Stripe (js.stripe.com). Stripe setzt dabei eigene Cookies und erfasst Merkmale deines Geräts, um Betrug zu verhindern. Das ist für die Zahlung nötig, die du ausgelöst hast (Art. 6 Abs. 1 lit. b und f DSGVO). Dabei können Daten auch in die USA übertragen werden. Mehr dazu in der Datenschutzerklärung von Stripe. Wir speichern nur, welchen Tarif du hast, und eine Kundennummer von Stripe. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen bewahren wir so lange auf, wie es das Gesetz verlangt.

Wenn du den Rabatt für Schüler und Studenten beantragst, speichern wir, ob du zur Schule gehst oder studierst, den Namen der Schule oder Hochschule und deinen Nachweis (zum Beispiel eine Schul- oder Studienbestätigung). Den Nachweis sieht nur das Larily-Team, er liegt in einem nicht öffentlichen Speicher in Paris und wird gelöscht, sobald über den Antrag entschieden ist. Das Ergebnis und die Daten des Antrags bewahren wir auf, solange der Rabatt gilt und es für die Abrechnung nötig ist. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Black Week 2026. Öffnest du während der Black Week (22. bis 30. November 2026) die Kasse für das Black-Week-Angebot und schließt den Kauf nicht ab, speichern wir das (dein Konto, den gewählten Tarif und den Zeitpunkt), aber nur, wenn du in deinem Konto „Neuigkeiten und Tipps von Larily“ eingeschaltet hast. Damit schicken wir dir höchstens zwei Erinnerungen per E-Mail. Die Angaben löschen wir kurz nach dem Ende der Aktion, spätestens am 31. Dezember 2026. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst dich jederzeit abmelden, über den Link in jeder dieser E-Mails oder in deinem Konto unter „E-Mails an dich“.

Empfehlungen und Partnerprogramm. Meldest du dich über einen Empfehlungs- oder Partner-Link oder mit einem Empfehlungscode an (siehe auch Empfehlungslink), speichern wir, über wessen Link du gekommen bist, und ein verschlüsseltes Kürzel deiner IP-Adresse (nicht die Adresse selbst), um Selbst-Empfehlungen zu erkennen. Aus demselben Grund vergleichen wir ein Merkmal deiner Zahlungskarte, das uns Stripe mitteilt (nicht die Kartennummer). Wer dich empfohlen hat, sieht weder deinen Namen noch deine E-Mail-Adresse. Partner sehen nur eine laufende Nummer („Kundin 1, 2, 3“), deinen Tarif, den Betrag deiner Zahlungen ohne Umsatzsteuer und bis wann sie zählen. Bewirbst du dich selbst als Partner, speichern wir deine Angaben aus der Bewerbung und wann du den Partner-Bedingungen zugestimmt hast, für die Auszahlung außerdem den Namen auf dem Konto, deine Anschrift, deine IBAN, die Art der Abrechnung und gegebenenfalls deine UID-Nummer. Die IBAN sieht nur das Larily-Team. Klicks auf Partner-Links zählen wir nur als Zahl je Tag. Kommst du über einen Partner-Link, fragt die Seite bei uns nach, ob der Code zu einem freigeschalteten Partner gehört, und zeigt dann eine Einladung; dabei speichern wir nichts. Den Namen des Partners zeigt die Einladung nur, wenn der Partner das im Partner-Bereich selbst eingeschaltet hat; dann sehen ihn alle, die seinen Link öffnen. Rechtsgrundlage dafür ist seine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die er jederzeit durch Ausschalten widerrufen kann. Gutschriften bewahren wir sieben Jahre auf (§ 132 BAO). Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), für die Prüfung auf Missbrauch unser berechtigtes Interesse (lit. f) und für die Aufbewahrung die gesetzliche Pflicht (lit. c).

6. Kontakt, Kündigung und Widerruf

Wenn du uns über das Kontaktformular schreibst, speichern wir Name, E-Mail-Adresse, Thema und Nachricht, um dir zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder f DSGVO. Wir löschen die Anfrage, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.

E-Mails an hello@larily.com empfangen wir über Microsoft 365 (Microsoft Ireland Operations Limited, Dublin, Irland); eine Kopie geht an unser Postfach bei Resend (Server in Irland, siehe Abschnitt 2). Mit Microsoft besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; Microsoft kann Daten auch in die USA übermitteln und ist nach dem EU-US Data Privacy Framework zertifiziert. Einfache Fragen zu Larily beantwortet unser KI-Assistent direkt; seine Antworten sind als solche gekennzeichnet, und unser Team bekommt jede Antwort in Kopie. Dafür schicken wir deine E-Mail (Absender, Betreff, Text) an denselben KI-Dienstleister wie in Abschnitt 4; er nutzt sie nicht zum Training. Damit die Antwort zu dir passt, sieht der Assistent nach, ob es zu deiner Absenderadresse ein Larily-Konto gibt, und liest dann deinen Tarif und deinen Credit-Stand (nur lesen, keine Inhalte deiner Projekte). Erklärst du eine Kündigung, einen Rücktritt oder einen Widerruf, antwortet immer unser Team. Möchtest du lieber von einem Menschen eine Antwort, schreib einfach „Team“ zurück. Rechtsgrundlage ist die Erfüllung des Vertrags und unser berechtigtes Interesse an schnellen, passenden Antworten (Art. 6 Abs. 1 lit. b und f DSGVO). Wir löschen E-Mails, wenn die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

Kündigst du über „Verträge hier kündigen“ oder widerrufst du über „Vertrag widerrufen“, schicken wir deine Angaben (Name, E-Mail-Adresse, Vertrag, freiwillige Angaben, Zeitpunkt des Eingangs) per E-Mail an unser Team und dir sofort eine Bestätigung. Wir bewahren sie zum Nachweis auf, solange Ansprüche aus dem Vertrag möglich sind, höchstens drei Jahre. Rechtsgrundlage ist die Erfüllung des Vertrags und unsere gesetzliche Pflicht (Art. 6 Abs. 1 lit. b und c DSGVO).

Meldest du uns über „Inhalt melden“ einen Inhalt, den du für rechtswidrig hältst, verarbeiten wir deinen Namen, deine E-Mail-Adresse und die Angaben der Meldung, um sie zu prüfen und zu beantworten. Rechtsgrundlage ist unsere gesetzliche Pflicht aus dem Digital Services Act (Art. 6 Abs. 1 lit. c DSGVO). Wir bewahren die Meldung drei Jahre auf und löschen sie dann.

Um Agenturen, Kanzleien, Treuhandbüros, Verbände sowie Creatorinnen und Creator als Partner zu gewinnen, verarbeiten wir geschäftliche Kontaktdaten (Firma, Name, Funktion, Geschäftsadresse, geschäftliche E-Mail-Adresse oder LinkedIn-Profil), die wir aus öffentlichen Quellen wie Webseiten, LinkedIn, Branchenverzeichnissen oder dem Kontakt für Kooperationsanfragen auf Social-Media-Profilen haben. Wir notieren dazu die Quelle, wann und wie wir Kontakt aufgenommen haben und ob eine Antwort kam. Rechtsgrundlage ist unser berechtigtes Interesse, Larily geschäftlich bekannt zu machen (Art. 6 Abs. 1 lit. f DSGVO). Kommt keine Antwort, löschen wir die Daten nach sechs Monaten. Du kannst jederzeit widersprechen (Art. 21 DSGVO); dann löschen wir deine Daten und merken uns nur Name und Firma, damit wir dich nicht erneut anschreiben.

Larily auf Instagram. Wir haben ein Instagram-Konto (larily.app). Für die Statistiken zu unserem Konto (Seiten-Insights) sind wir und Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland) gemeinsam verantwortlich (Art. 26 DSGVO). Meta hat sich verpflichtet, die Hauptverantwortung für diese Daten zu übernehmen und deine Rechte zu erfüllen; mehr dazu bei Meta unter „Informationen zu Seiten-Insights“. Für alles andere, was Instagram mit deinen Daten macht, ist Meta allein verantwortlich (Datenschutzrichtlinie von Instagram). Kommentierst du unter einem Beitrag ein Stichwort, schicken wir dir automatisch eine Direktnachricht mit dem versprochenen Link. Dafür nutzen wir ManyChat (Manychat, Inc., USA) als Auftragsverarbeiter. ManyChat verarbeitet deinen Instagram-Namen, dein Profilbild, das Stichwort, die Nachrichten und den Zeitpunkt. Bevor wir den Link schicken, prüft ManyChat über Instagram, ob du unserem Konto folgst. Mit ManyChat besteht ein Vertrag zur Auftragsverarbeitung mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist dein Wunsch, den Link zu bekommen, und unser berechtigtes Interesse, auf Instagram zu antworten (Art. 6 Abs. 1 lit. b und f DSGVO). Schreibst du uns zwölf Monate nicht mehr, löschen wir deine Daten bei ManyChat. Du kannst jederzeit widersprechen, eine kurze Nachricht genügt.

7. Daten in deinen veröffentlichten Apps

Wenn Besucherinnen und Besucher in einer mit Larily gebauten App etwas eintragen (z. B. eine Anmeldung), speichern wir diese Einträge im Auftrag der Betreiberin oder des Betreibers der App. Verantwortlich ist dann die Betreiberin oder der Betreiber; Larily ist Auftragsverarbeiter.

Erlaubt die Betreiberin in einem Formular Fotos, speichern wir die hochgeladenen Fotos in einem nicht öffentlichen Speicher bei Supabase (Server in Paris, siehe Abschnitt 2). Beim Hochladen entfernen wir Zusatzdaten wie den Aufnahmeort (GPS). Sehen kann die Fotos nur die Betreiberin. Fotos, die nicht abgeschickt werden, löschen wir nach 24 Stunden. Alle anderen löschen wir, wenn die Betreiberin sie selbst löscht oder die Anfrage löscht, spätestens wenn ihr Konto gelöscht wird. Auch hier ist die Betreiberin verantwortlich und Larily Auftragsverarbeiter.

Für die Betreiberin zählen wir außerdem, wie oft ihre veröffentlichte Seite besucht wird, ohne Cookies und ohne etwas auf dem Gerät der Besucherinnen und Besucher zu speichern. Aus IP-Adresse und Browser-Kennung bilden wir mit einem täglich wechselnden Zufallswert einen Kurzwert (Hash), damit ein Besuch pro Tag nur einmal zählt; IP-Adresse und Browser-Kennung speichern wir dabei nicht, den Kurzwert löschen wir spätestens nach 24 Stunden. Gespeichert bleiben nur Tagessummen (Aufrufe, Besucher, Ansicht, Herkunfts-Website, Geräteart, gegebenenfalls Land), die keiner Person zugeordnet werden können. Bei „Do Not Track“ oder „Global Privacy Control“ zählen wir nicht. Verantwortlich ist auch hier die Betreiberin oder der Betreiber der Seite (Art. 6 Abs. 1 lit. f DSGVO).

8. Schriften, Cookies und Werbung

Schriften laden wir von unserem eigenen Server, nicht von Google. Technisch notwendige Cookies setzen wir für Anmeldung und Spracheinstellung (§ 165 Abs. 3 TKG 2021).

Empfehlungslink. Kommst du über einen persönlichen Empfehlungs- oder Partner-Link oder das Abzeichen „Gebaut mit Larily“ zu uns, merkt sich die geöffnete Seite den Code des Links nur im Arbeitsspeicher deines Browsers, solange du sie nicht neu lädst oder schließt, damit er bei einer Registrierung im selben Besuch im Feld „Empfehlungscode“ steht. Auf deinem Gerät speichern wir dafür nichts. Nur wenn du im Cookie-Banner zustimmst (mit „Alle akzeptieren“ oder unter „Einstellungen“ in der Kategorie „Empfehlungslink merken“), merkt sich ein Cookie (larily_ref) den Code für 90 Tage, damit die Empfehlung auch zählt, wenn du dich später registrierst. Es enthält nur den Code des Links. Deine Wahl merkt sich ein technisch notwendiges Cookie (larily_einwilligung) für 12 Monate. Ohne Zustimmung kannst du den Code bei der Registrierung selbst eintragen. Rechtsgrundlage für das Cookie ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021). Du kannst sie jederzeit unten auf jeder Seite unter „Cookie-Einstellungen“ widerrufen; dann löschen wir das Cookie.

Kommst du über einen Link von uns, der einen Kampagnenwert enthält (zum Beispiel „meta“ oder „social-ki“), und registrierst du dich im selben Besuch, speichern wir diesen Wert in deinem Konto. So sehen wir, welche Werbung und welche Beiträge zu Registrierungen führen. Der Wert wird dafür nur in der Adresse der Seite weitergegeben; wir speichern dafür nichts auf deinem Gerät. Wir übernehmen nur Werte unserer eigenen Kampagnen, keine Klick-Kennungen von Werbenetzwerken, und übermitteln den Wert nicht gezielt an Werbenetzwerke. Hast du Werbe-Cookies erlaubt, sehen deren Pixel wie bei jeder Seite die Seitenadresse und damit auch diesen Wert. Er bleibt gespeichert, solange dein Konto besteht. Rechtsgrundlage ist unser berechtigtes Interesse zu erkennen, welche Werbung wirkt (Art. 6 Abs. 1 lit. f DSGVO). Du kannst jederzeit widersprechen, dann löschen wir den Wert. Hast du im Cookie-Banner Werbe-Cookies erlaubt, merkt sich zusätzlich ein Cookie (larily_herkunft) den Wert für 30 Tage, damit er auch zählt, wenn du dich später registrierst. Ohne deine Zustimmung setzen wir dieses Cookie nicht; widerrufst du sie, löschen wir es (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021).

Auf larily.com selbst zählen wir ohne Cookies und ohne etwas auf deinem Gerät zu speichern, welche Seiten besucht werden, woher die Besuche kommen (z. B. eine Anzeige, eine verweisende Website oder ein Empfehlungslink) und ob eine Registrierung abgeschickt wurde. So sehen wir, an welcher Stelle Besuche enden, und können die Website verbessern. Aus IP-Adresse und Browser-Kennung bilden wir dafür mit einem täglich wechselnden Zufallswert einen Kurzwert (Hash), der nur innerhalb eines Tages gleich bleibt; IP-Adresse und Browser-Kennung speichern wir nicht, den Zufallswert löschen wir nach einem Tag. Gespeichert werden Tag, Kurzwert, Seite (ohne Parameter), Herkunft und Uhrzeit, höchstens 90 Tage lang. Wir werten nur Summen und Durchschnitte aus, keine einzelnen Besuche, und verbinden diese Angaben nicht mit einem Konto. Wer angemeldet ist, wird nicht gezählt, ebenso Browser mit „Do Not Track“ oder „Global Privacy Control“. Rechtsgrundlage ist unser berechtigtes Interesse, die Website zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Nur wenn du im Cookie-Banner „Statistik“ erlaubst (mit „Alle akzeptieren“ oder unter „Einstellungen“ in der Kategorie „Statistik“ bzw. „Marketing und Statistik“), misst die geöffnete Seite zusätzlich, wie lange sie aktiv genutzt wird (sichtbar im Vordergrund), wie weit auf ihr gescrollt wird und welche Links und Knöpfe angeklickt werden, und wir leiten aus der Browser-Kennung die Geräteart ab (Handy, Tablet oder Computer). Bei einem Klick erfassen wir nur, welcher Link oder Knopf es war (seine Beschriftung, die Zielseite ohne Parameter oder bei fremden Websites nur deren Domain), nie, was du in Formularfelder eingibst. Zeit und Scrolltiefe hält die Seite nur im Arbeitsspeicher deines Browsers und schickt sie beim Seitenwechsel oder beim Verlassen an uns; Cookies setzen wir dafür keine. Diese Angaben speichern wir zum selben Tages-Kurzwert, ebenfalls höchstens 90 Tage lang, und werten auch sie nur als Summen und Durchschnitte aus. Deine Wahl merkt sich ein technisch notwendiges Cookie (larily_einwilligung) für 12 Monate. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021). Du kannst sie jederzeit unten auf jeder Seite unter „Cookie-Einstellungen“ widerrufen; ab dann misst die Seite nichts mehr davon.

Google Analytics nutzen wir nicht. Um zu messen, wie gut unsere Werbung wirkt, und um zu verstehen, wie Besucherinnen und Besucher unsere Website nutzen, setzen wir auf larily.com die unten genannten Tools ein, und zwar nur, wenn du im Cookie-Banner zustimmst (mit „Alle akzeptieren“ oder unter „Einstellungen“ in der Kategorie „Marketing und Statistik“). Vorher lädt keines dieser Tools, und es geht keine Anfrage an den Anbieter. Deine Wahl merkt sich ein technisch notwendiges Cookie (larily_einwilligung) für 12 Monate. In den Apps und Webseiten, die mit Larily gebaut und veröffentlicht werden, setzen wir keines dieser Tools ein.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, unten auf jeder Seite unter „Cookie-Einstellungen“. Danach laden die Tools nicht mehr, und wir löschen ihre Cookies auf larily.com, soweit der Browser das zulässt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Für das Erheben der Daten auf unserer Website und ihre Übermittlung an den jeweiligen Anbieter eines Werbe-Tools sind wir gemeinsam mit dem Anbieter verantwortlich (Art. 26 DSGVO). Für die weitere Verarbeitung nach der Übermittlung ist der Anbieter allein verantwortlich. Mit Ausnahme von Reddit (siehe „Reddit Pixel“) ist im Kern vereinbart: Wir informieren dich hier über das Erheben und Übermitteln, der Anbieter in seiner eigenen Datenschutzerklärung über seine weitere Verarbeitung. Deine Rechte kannst du bei uns und beim Anbieter geltend machen; Anfragen, die den Anbieter betreffen, leiten wir an ihn weiter. Namen und Telefonnummern übermitteln wir den Anbietern nicht. E-Mail-Adressen übermitteln wir nur an Meta und nur gehasht, wie unter „Meta Pixel“ beschrieben. Die Anbieter können Daten auch in die USA übermitteln. Grundlage dafür ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, nach dem die Muttergesellschaften der Anbieter zertifiziert sind, ergänzend Standardvertragsklauseln. Für Reddit gilt stattdessen, was unter „Reddit Pixel“ steht.

8.1 Meta Pixel (Facebook, Instagram)

Anbieter ist Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland. Mit dem Meta Pixel messen wir, ob unsere Anzeigen auf Facebook und Instagram zu Besuchen, Anmeldungen und Käufen führen, und können unsere Werbung Menschen zeigen, die Larily schon besucht haben. Dabei verarbeitet Meta deine IP-Adresse, Angaben zu Browser und Gerät, die besuchten Seiten auf larily.com sowie Ereignisse wie Registrierung, Beginn eines Kaufs, Abschluss eines Abos oder Kaufs (mit Betrag) und eine Kontaktanfrage (ohne Inhalt). Meta speichert dazu Kennungen in den Cookies _fbp (bis zu 90 Tage) und, wenn du über eine Anzeige kommst, _fbc (bis zu 90 Tage). Hast du zugestimmt, meldet außerdem unser Server Meta direkt, wenn du dein Konto bestätigt oder ein Abo oder Credits gekauft hast (Conversions API). Dabei übermitteln wir die Art des Ereignisses, den Zeitpunkt, die Seite, auf der es passiert ist, beim Kauf Betrag und Währung, die Kennungen aus _fbp und _fbc, die Kennung deines Browsers (User-Agent) und deine E-Mail-Adresse in gehashter Form (SHA-256, eine Art Prüfsumme, aus der man die Adresse nicht direkt ablesen kann). Meta gleicht diesen Wert mit den E-Mail-Adressen seiner Konten ab, um die Anmeldung oder den Kauf einer Anzeige zuzuordnen, und löscht ihn nach eigenen Angaben nach dem Abgleich. Wir senden nur, wenn deine Zustimmung beim Registrieren oder Kauf vorlag und du sie nicht widerrufen hast. Nach einem Widerruf senden wir nichts mehr. Bereits Gesendetes können wir bei Meta nicht zurückholen. Bist du bei Facebook oder Instagram angemeldet, kann Meta den Besuch deinem Konto zuordnen. Die gemeinsame Verantwortung regelt Metas Zusatz für Verantwortliche („Controller Addendum“, facebook.com/legal/controller_addendum). Mehr dazu: facebook.com/privacy/policy.

8.2 Google Ads

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beteiligte Anbieter: Google Ireland Limited (Irland); Google LLC (USA, Data Privacy Framework). Mit Google Ads (Conversion-Tracking und Remarketing über gtag.js) messen wir, ob unsere Anzeigen bei Google zu Anmeldungen und Käufen führen, und können unsere Werbung Menschen zeigen, die Larily schon besucht haben. Dabei verarbeitet Google deine IP-Adresse, Angaben zu Browser und Gerät, die besuchten Seiten auf larily.com sowie Ereignisse wie Registrierung und Kauf (mit Betrag) und eine zufällige Bestellnummer ohne Name oder E-Mail-Adresse, damit ein Kauf nicht doppelt gezählt wird. Google speichert dazu Kennungen in Cookies wie _gcl_au (bis zu 90 Tage). Wir nutzen den Einwilligungsmodus von Google: Ohne deine Zustimmung lädt gtag.js gar nicht; mit Zustimmung erlauben wir nur Werbezwecke (Messung und personalisierte Werbung), keine Analyse. Widerrufst du deine Zustimmung, lädt gtag.js nicht mehr und wir löschen die Cookies _gcl_*. Google kann Daten an Google LLC in den USA übermitteln. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO; für die Schweiz das Swiss-US Data Privacy Framework); ergänzend gelten Standardvertragsklauseln. Für die weitere Verarbeitung ist Google eigenständig verantwortlich; dafür gelten die Google Ads Controller-Controller Data Protection Terms (business.safety.google/adscontrollerterms). Mehr dazu: policies.google.com/privacy.

8.3 Reddit Pixel

Anbieter ist Reddit, Inc., 1455 Market Street, Suite 1600, San Francisco, CA 94103, USA. Mit dem Reddit Pixel messen wir, ob unsere Anzeigen auf Reddit zu Besuchen, Anmeldungen und Käufen führen, und können unsere Werbung Menschen zeigen, die Larily schon besucht haben. Dabei verarbeitet Reddit deine IP-Adresse, Angaben zu Browser und Gerät, die besuchten Seiten auf larily.com sowie Ereignisse wie Registrierung, Abschluss eines Abos oder Kaufs (mit Betrag) und eine Kontaktanfrage (ohne Inhalt). E-Mail-Adresse und Telefonnummer übermitteln wir nicht. Reddit speichert dazu Kennungen in den Cookies _rdt_uuid und _rdt_cid (je bis zu 90 Tage). Reddit verarbeitet die Daten in den USA. Für die Übermittlung gelten die Standardvertragsklauseln der EU-Kommission, die Reddit in seinen Werbebedingungen (Advertiser Measurement Program Terms) vereinbart hat. Für das Erheben auf unserer Website und die Übermittlung an Reddit sind wir mit Reddit gemeinsam verantwortlich. Eine eigene Vereinbarung dazu bietet Reddit nicht an. Deine Rechte kannst du bei uns geltend machen. Anfragen, die Reddit betreffen, leiten wir an Reddit weiter. Mehr dazu: reddit.com/policies/privacy-policy.

8.4 Microsoft Clarity

Anbieter ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Mit Microsoft Clarity verstehen wir, wie Besucherinnen und Besucher unsere Website nutzen, etwa wo sie klicken, wie weit sie scrollen und an welcher Stelle sie die Seite verlassen, damit wir sie verbessern können. Dazu erfasst Clarity Klicks, Scrollen und Mausbewegungen und erstellt daraus Heatmaps und Aufnahmen einzelner Besuche (Session Recordings). Eingaben in Formularfeldern werden dabei verdeckt; auf den Anmeldeseiten und im Kontomenü verdecken wir zusätzlich alle Inhalte. Clarity verarbeitet außerdem deine IP-Adresse, Angaben zu Browser und Gerät und die besuchten Seiten auf larily.com. Clarity läuft nur auf der Website und den Anmeldeseiten, nie im Mitgliederbereich, im Studio oder in den mit Larily gebauten Apps, und erhält keine Ereignisse wie Registrierung oder Kauf. Wir teilen Clarity mit, dass deine Zustimmung nur für diese Auswertung gilt, nicht für Werbung. Clarity speichert dazu Kennungen in den Cookies _clck (bis zu 1 Jahr) und _clsk (1 Tag); auf Domains von Microsoft (etwa clarity.ms) können weitere Cookies wie MUID hinzukommen. Microsoft kann Daten auch in die USA übermitteln; Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr dazu: privacy.microsoft.com/privacystatement.

9. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16) und Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf einer Einwilligung, jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), in Österreich bei der Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, dsb.gv.at).

Schreib uns dafür an hello@larily.com oder über das Kontaktformular.

Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.