Datenschutzerklärung

1. Verantwortlicher

Bea und diese Website werden betrieben von:

Volve Solutions Pte Ltd
36 Robinson Road, #20-01 City House
Singapore 068877

E-Mail: hello@bea.today

„Wir“ bezeichnet in dieser Erklärung die Volve Solutions Pte Ltd.

2. Unsere Rolle: Verantwortlicher oder Auftragsverarbeiter

Für diese Website und für E-Mails, die Sie uns schicken, sind wir Verantwortlicher.

Für unseren Vertrag mit einem Unternehmen, das Bea nutzt, und für die Kontaktdaten unserer Ansprechpersonen dort sind wir ebenfalls Verantwortlicher.

Wenn die Beschäftigten eines Unternehmens mit Bea Spesen einreichen und freigeben, entscheidet das Unternehmen, was mit ihren Daten geschieht. Das Unternehmen ist Verantwortlicher. Wir verarbeiten die Daten in seinem Auftrag und nach seinen Weisungen, als Auftragsverarbeiter nach Art. 28 DSGVO, auf Grundlage eines Auftragsverarbeitungsvertrags mit dem Unternehmen.

Wenn Sie Bea über Ihren Arbeitgeber nutzen, wenden Sie sich mit Fragen zu Ihren Daten zuerst an ihn. Sie können auch uns schreiben. Wir leiten Ihre Anfrage weiter und helfen Ihrem Arbeitgeber, sie zu beantworten.

Daten aus Spesenabrechnungen nutzen wir nicht für Werbung.

3. Hosting dieser Website und der Web-App

Diese Website wird gehostet von

Vercel Inc.
440 N Barranca Avenue #4133
Covina, CA 91723
USA

Auch die Bea-Web-App, in der Sie sich anmelden, wird von Vercel gehostet. Wenn Sie die Website oder die Web-App aufrufen, verarbeitet Vercel technische Verbindungsdaten:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seite oder Datei
• Referrer-URL
• Browsertyp und -version
• Betriebssystem und Geräteinformationen
• HTTP-Statuscode

Das ist nötig, um die Website sicher und zuverlässig auszuliefern und Missbrauch zu verhindern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere, zuverlässige Website.

Vercel betreibt ein weltweites Servernetz. Diese Daten können daher auch außerhalb der EU verarbeitet werden, insbesondere in den USA (siehe Abschnitt 9). Mehr in der Datenschutzerklärung von Vercel.

4. Cookies und Webanalyse

Diese Website setzt keine Cookies und speichert nichts in Ihrem Browser. Die Schriften kommen von dieser Website, nicht von einem Drittanbieter.

Wir zählen Seitenaufrufe mit Vercel Web Analytics. Der Dienst arbeitet ohne Cookies. Er verarbeitet:

• Datum und Uhrzeit des Seitenaufrufs
• Aufgerufene Seite
• Referrer-URL
• Gefilterte URL-Parameter
• Ungefährer Standort
• Browser und Betriebssystem
• Gerätetyp

Um Besucher zu unterscheiden, bildet Vercel aus der eingehenden Anfrage einen Hash. Dieser wird nach 24 Stunden verworfen. Wir sehen nur Summen, keine einzelnen Besucher, und Besucher werden nicht über andere Websites hinweg verfolgt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist zu wissen, welche Seiten genutzt werden, um die Website zu verbessern. Mehr in den Datenschutzhinweisen zu Vercel Web Analytics.

5. Wenn Sie uns eine E-Mail schreiben

Wenn Sie uns schreiben, zum Beispiel um Zugang zu Bea anzufragen, nutzen wir Ihre E-Mail-Adresse, Ihren Namen und Ihre Nachricht, um Ihnen zu antworten und, wenn Ihr Unternehmen Bea nutzen möchte, den Zugang einzurichten. E-Mails an hello@bea.today empfangen wir über Google Workspace (siehe Abschnitte 8 und 9).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Nachricht einen Vertrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Nachrichten an uns zu beantworten.

6. Nutzung von Bea

Mit Bea laufen Spesenabrechnungen und Freigaben in Telegram. Sie schicken dem Bea-Bot einen Beleg, eine freigebende Person gibt die Abrechnung frei oder lehnt sie ab, und die Buchhaltung Ihres Unternehmens erhält ein PDF pro freigegebener Abrechnung. Außerdem melden Sie sich in der Bea-Web-App an, zum Beispiel einmal, um Telegram mit Ihrem Konto zu verbinden.

Für alles in diesem Abschnitt handeln wir für das Unternehmen, das Bea nutzt, als dessen Auftragsverarbeiter (siehe Abschnitt 2). Für unseren eigenen Vertrag mit dem Unternehmen ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

6.1 Ihr Konto

Ihr Unternehmen legt Ihr Konto an oder lädt Sie ein. Das Konto kann enthalten:

• Name und E-Mail-Adresse
• Rolle, etwa Einreichende, Freigebende oder Admin
• Vorgesetzte, freigebende Person und eine Vertretung während einer Abwesenheit
• Abteilung, Ort und Eintrittsdatum
• Freigabegrenze
• Sprache und Zeitzone
• Ob das Konto aktiv ist, und wann Sie sich zuletzt angemeldet oder den Bot genutzt haben

Ihr Unternehmen entscheidet, welche dieser Angaben es hinterlegt.

Sie melden sich mit Ihrer E-Mail-Adresse an, per Anmeldelink oder Passwort. Supabase schickt die Anmelde- und Einladungs-E-Mails an diese Adresse. Passwörter speichern wir nur als Hash.

Um Telegram zu verbinden, melden Sie sich an und öffnen einen einmaligen Link zum Bot. Der Link gilt 15 Minuten, und wir speichern nur einen Hash davon. Danach ist Ihre Telegram-Nutzer-ID mit Ihrem Konto gespeichert.

Deaktiviert Ihr Unternehmen Ihr Konto, können Sie sich nicht mehr anmelden und den Bot nicht mehr nutzen. Das Konto und Ihre Abrechnungen bleiben gespeichert (siehe Abschnitt 10).

6.2 Der Chat in Telegram

Der Bea-Bot antwortet nur in privaten Chats. Von Telegram erhalten wir:

• Ihre Telegram-Nutzer-ID
• Die Nachrichten, die Sie dem Bot schicken
• Die Fotos und Dateien, die Sie schicken (Belegfotos, PDFs, E-Rechnungen als XML), mit ihren Dateinamen
• Welche Schaltflächen Sie antippen

Bea verwendet den Namen aus Ihrem Konto.

Während Sie an einer Abrechnung arbeiten, speichert der Bot auf unserem Server die letzten Nachrichten, die bisher erfassten Angaben und den Beleg, den er gerade bearbeitet. Diese Daten werden 24 Stunden nach Ihrer letzten Nachricht an den Bot automatisch gelöscht.

Telegram (Telegram Messenger Inc.) verarbeitet Ihre Nachrichten nach eigenen Bedingungen, als eigener Verantwortlicher. Darauf haben wir keinen Einfluss. Mehr in der Datenschutzerklärung von Telegram.

6.3 Abrechnungen und Belege

Eine Abrechnung enthält:

• Händler, Datum, Betrag und Währung
• Kategorie, Projekt, geschäftlicher Anlass und Notizen
• Wie die Ausgabe bezahlt wurde: privat, zur Erstattung, oder mit einer Firmenkarte, deren letzte vier Ziffern angezeigt werden
• USt-IdNr. und Rechnungsnummer des Lieferanten, wenn der Beleg sie zeigt
• Status, freigebende Person, einen etwaigen Ablehnungsgrund sowie wann erstattet wurde, mit Referenz

Den Beleg speichern wir genau so, wie Sie ihn geschickt haben, in einem privaten Speicher. Ein Foto kann Angaben enthalten, die Ihr Telefon hinzugefügt hat, etwa wo es aufgenommen wurde. Diese bleiben in der gespeicherten Datei.

Einen Beleg öffnen können Sie, die Personen, die Ihre Abrechnungen freigeben oder sie dabei vertreten, und die Personen, denen Ihr Unternehmen Admin- oder Prüfrechte gegeben hat.

Für eine Abrechnung in einer anderen Währung holt Bea den Kurs der Europäischen Zentralbank für das Datum beim Dienst Frankfurter ab. Diese Anfrage enthält nur das Datum und die Währungen, keine personenbezogenen Daten.

6.4 Belege und Nachrichten lesen

Bea nutzt Modelle von OpenAI, um Belege zu lesen und zu verstehen, was Sie dem Bot schreiben.

Für einen Beleg schicken wir das Bild, bei einem PDF eine neue Kopie der ersten drei Seiten, zusammen mit den Kategorienamen Ihres Unternehmens. Vorher entfernen wir Standort- und andere Metadaten aus JPEG- und WebP-Fotos und aus PDFs. E-Rechnungen (XML) lesen wir selbst; sie gehen nicht an OpenAI.

Für eine Nachricht schicken wir Ihre Nachricht, die letzten 20 Nachrichten des Gesprächs und die Abrechnung in Arbeit, mit den Kategorien, Projekten und Gesellschaften Ihres Unternehmens. Ihr Name ist nicht Teil der Anweisungen, die wir schicken, eine Nachricht kann ihn aber enthalten.

OpenAI nutzt diese Daten, um uns das Ergebnis zurückzuschicken. Nach Angaben von OpenAI werden Daten, die an seine API gesendet werden, nicht zum Training oder zur Verbesserung seiner Modelle verwendet. OpenAI bewahrt Protokolle zur Missbrauchserkennung bis zu 30 Tage auf, sofern das Gesetz keine längere Aufbewahrung verlangt.

Sie sehen die Angaben, die Bea gelesen hat, bevor Sie eine Abrechnung einreichen, und können sie korrigieren.

6.5 Freigaben und Benachrichtigungen

Wenn Sie eine Abrechnung einreichen, schickt Bea sie Ihrer freigebenden Person in Telegram. Die Nachricht zeigt Referenz, Händler, Betrag, Kategorie, Datum, Ihren Namen und wer bezahlt hat. Gegebenenfalls enthält sie auch einen Hinweis auf ein mögliches Duplikat oder den Grund einer früheren Ablehnung. Die freigebende Person kann den Beleg öffnen.

Ist der Betrag im Vergleich zu Ihren freigegebenen Abrechnungen der letzten 12 Monate ungewöhnlich hoch, sieht die freigebende Person in Telegram einen kurzen Hinweis darauf. Der Hinweis wird beim Versand der Nachricht berechnet und nicht gespeichert.

Bea teilt Ihnen in Telegram mit, wenn eine Abrechnung freigegeben oder abgelehnt wird, mit Begründung. Wartet eine Abrechnung länger, als Ihr Unternehmen festgelegt hat, erhält die freigebende Person täglich eine Erinnerung in Telegram. Ihr Unternehmen kann diese Erinnerungen abschalten.

Ihr Unternehmen kann eine Grenze für die automatische Freigabe festlegen. Über Abrechnungen, die nicht automatisch freigegeben werden können, entscheidet eine Person. Eine Abrechnung, die ein Duplikat sein könnte, der ein vom Unternehmen verlangter Beleg fehlt oder die schon einmal abgelehnt wurde, wird nie automatisch freigegeben.

6.6 Die E-Mail an die Buchhaltung

Wenn Ihr Unternehmen sie einschaltet, schickt Bea jede danach freigegebene Abrechnung als ein PDF an die Buchhaltungsadresse Ihres Unternehmens. Admins können eine Abrechnung erneut senden. Das PDF enthält die Angaben der Abrechnung, wer sie wann eingereicht und freigegeben hat, den geschäftlichen Anlass und den Beleg. Standortdaten werden aus Belegfotos im PDF entfernt. Als Antwortadresse ist die E-Mail-Adresse der Person eingetragen, die den Versand aktiviert hat.

Wir versenden diese E-Mail über Resend, aus Irland. Resend teilt uns mit, ob die E-Mail zugestellt, verzögert oder abgewiesen wurde, und wir speichern diesen Status mit Zeitpunkt. Ob die E-Mail geöffnet oder ein Link darin geklickt wird, erfassen wir nicht.

6.7 Das Änderungsprotokoll

Jede Änderung an einer Abrechnung wird protokolliert: wer sie wann vorgenommen hat und die Abrechnung vorher und nachher. Änderungen an Nutzern und Unternehmenseinstellungen werden ebenso protokolliert. Einträge werden nur hinzugefügt, nie bearbeitet, damit die Historie vollständig bleibt. Ein alter Wert, etwa eine später korrigierte E-Mail-Adresse, bleibt daher im Protokoll.

Das Öffnen einer Abrechnung oder eines Belegs wird nicht protokolliert.

7. Logs und Sicherheit

Unsere Server schreiben technische Logs, damit wir Fehler finden und Bea sicher betreiben können. Eine Logzeile enthält die Uhrzeit, die Art des Ereignisses, eine etwaige Fehlermeldung und interne Kennungen. Manche Logzeilen enthalten Ihre Telegram-Nutzer-ID oder Ihre interne Nutzer-ID. E-Mail-Adressen werden in Logs maskiert, Belege und Buchhaltungs-PDFs werden nie in Logs geschrieben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein zuverlässiger und sicherer Betrieb von Bea. Wir bewahren Server-Logs 30 Tage auf und nutzen sie für nichts anderes.

8. Dienstleister

Wir setzen diese Dienstleister ein. Jeder verarbeitet Daten nur nach unseren Weisungen, auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Wo wir für Ihr Unternehmen handeln, sind sie unsere Unterauftragsverarbeiter.

• Hetzner Online GmbH, Deutschland: der Server, auf dem der Bot läuft und das Gespräch gehalten wird. Der Server steht in Helsinki, Finnland.
• Supabase Pte. Ltd., Singapur: Datenbank, Belegspeicher, Anmeldung sowie die Anmelde- und Einladungs-E-Mails. Die Daten liegen in Irland.
• OpenAI OpCo, LLC, USA: Belege und Nachrichten lesen (Abschnitt 6.4).
• Plus Five Five, Inc. (Resend), USA: die E-Mail an die Buchhaltung (Abschnitt 6.6), Versand aus Irland.
• Vercel Inc., USA: Hosting dieser Website und der Bea-Web-App sowie Webanalyse dieser Website (Abschnitte 3 und 4).
• Google Asia Pacific Pte. Ltd., Singapur: Google Workspace, über das wir E-Mails an hello@bea.today empfangen (Abschnitt 5). Die E-Mails verarbeitet Google LLC in den USA.

Telegram ist nicht unser Dienstleister. Telegram verarbeitet Ihre Nachrichten als eigener Verantwortlicher (Abschnitt 6.2).

9. Übermittlungen außerhalb der EU

Die Datenbank und die Belege von Bea liegen in Irland, der Bot läuft in Finnland. Einige Daten verlassen die EU trotzdem:

• Unser eigener Zugriff aus Singapur. Wir sitzen in Singapur, und unser Team kann von dort auf die Daten zugreifen. Für Singapur gibt es keinen Angemessenheitsbeschluss der Europäischen Kommission. Wo wir für ein Unternehmen in der EU handeln, ist dieser Zugriff durch die EU-Standardvertragsklauseln in unserem Auftragsverarbeitungsvertrag mit dem Unternehmen abgesichert (Art. 46 Abs. 2 lit. c DSGVO).
• Supabase Pte. Ltd. (Singapur) und OpenAI OpCo, LLC (USA): EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Vercel Inc. und Google LLC (beide USA): Beide sind nach dem EU-US Data Privacy Framework zertifiziert. Übermittlungen an sie beruhen daher auf dem Angemessenheitsbeschluss der Europäischen Kommission dazu (Art. 45 DSGVO).
• Plus Five Five, Inc. (Resend, USA): das EU-US Data Privacy Framework (Art. 45 DSGVO); ersatzweise die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

10. Speicherdauer

• Das Gespräch mit dem Bot: 24 Stunden nach Ihrer letzten Nachricht.
• Der Link zum Verbinden mit Telegram: gilt 15 Minuten.
• Der Analyse-Hash auf dieser Website: 24 Stunden.
• Server-Logs: 30 Tage.
• Konten, Abrechnungen, Belege, das Änderungsprotokoll und das Protokoll der E-Mails an die Buchhaltung: solange der Vertrag Ihres Unternehmens mit uns läuft. In dieser Zeit löscht Bea keine eingereichte Abrechnung. Auch eine zurückgezogene Abrechnung bleibt gespeichert, damit die Historie vollständig ist. Ein deaktiviertes Konto bleibt mit seinen Abrechnungen gespeichert.
• Wir löschen diese Daten innerhalb von 90 Tagen nach Vertragsende. Ihr Unternehmen kann vorher einen Export anfordern.
• Wenn Ihr Unternehmen die Löschung seiner Daten verlangt, löschen wir sie innerhalb von 30 Tagen.
• E-Mails, die Sie uns schicken: bis Ihre Anfrage erledigt ist, höchstens 2 Jahre.

Unterlagen für die gesetzlichen Fristen aufzubewahren, ist Aufgabe Ihres Unternehmens als Verantwortlicher.

11. Ihre Rechte

Sie haben das Recht:

• auf Auskunft (Art. 15 DSGVO)
• auf Berichtigung (Art. 16 DSGVO)
• auf Löschung (Art. 17 DSGVO)
• auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• auf Datenübertragbarkeit (Art. 20 DSGVO)
• auf Widerspruch gegen eine Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)

Eine formlose E-Mail an hello@bea.today genügt. Wo wir für Ihr Unternehmen handeln, leiten wir Ihre Anfrage an Ihr Unternehmen weiter und helfen ihm, sie zu beantworten.

12. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Land, in dem Sie wohnen oder arbeiten oder in dem der mutmaßliche Verstoß stattfand (Art. 77 DSGVO).

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich Bea oder die Rechtslage ändert. Das Datum oben zeigt die aktuelle Fassung.