Datenschutzerklärung

Diese Datenschutzerklärung erläutert, wie die BevoraX LLC („BevoraX", „wir", „uns") personenbezogene Daten über unsere Website und die BevoraX-Anwendung (zusammen der „Dienst") verarbeitet.

1. Verantwortlicher

BevoraX LLC, eine Limited Liability Company nach dem Recht von New Mexico, USA 1209 Mountain Road Pl NE, Ste H, Albuquerque, NM 87110, USA E-Mail: privacy@bevorax.im

Für personenbezogene Daten über die Nutzerinnen und Nutzer unserer Kunden sowie über Website-Besucher ist BevoraX Verantwortlicher. Für personenbezogene Daten, die unsere Kunden über ihre eigenen Beschäftigten und Kontakte in den Dienst eingeben, wird BevoraX als Auftragsverarbeiter auf Weisung des Kunden tätig; siehe Ziffer 9 und die DPA.

2. Geltungsbereich

Diese Erklärung gilt für die öffentliche Marketing-Website und die angemeldete Anwendung. Sie gilt nicht für verlinkte Websites Dritter.

3. Welche personenbezogenen Daten wir erheben

Von Ihnen bereitgestellt:

• Kontodaten: Name, E-Mail-Adresse, Firmenname, verschlüsseltes Passwort bzw. Authentifizierungs-Token sowie Ihre Unternehmens- und Rollenzuordnung.
• Kontakt- und Support-Nachrichten: Name, E-Mail, Betreff und Nachrichtentext, die Sie uns senden, sowie die Oberflächensprache.
• Beta-Warteliste: E-Mail-Adresse und Sprache, die Sie eintragen, um zum Beta-Start einmalig erinnert zu werden.
• Abrechnungsdaten (nach der Beta): die für die Abrechnung eines kostenpflichtigen Plans erforderlichen Angaben, verarbeitet über unseren Zahlungsdienstleister.

Automatisch erhoben:

• Server-Logdaten: IP-Adresse, Datum und Uhrzeit, angeforderte URL, Referrer, Browsertyp und -version sowie Betriebssystem, die unser Hosting-Anbieter erfasst, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren.
• Cookies und lokale Speicherung: siehe Cookie-Richtlinie.

Über die Anwendung eingegeben:

• Nutzungsdaten des Betriebs: die Stamm- und Bewegungsdaten, die Sie und Ihr Team eingeben (Produkte, Bestände, Rezepturen, Verkäufe, Einkäufe, Lieferanten, Aktivitäten). Diese verarbeiten wir auf Ihre Weisung zur Bereitstellung des Dienstes.

4. Wie wir personenbezogene Daten nutzen

• Bereitstellung, Betrieb, Wartung und Support des Dienstes.
• Sicherheit des Dienstes und seiner Nutzer sowie Missbrauchsabwehr (einschließlich Ratenbegrenzung).
• Kommunikation mit Ihnen zu Ihrem Konto, zu Support-Anfragen und zur einmaligen Erinnerung über die Warteliste.
• Abrechnung kostenpflichtiger Pläne und Führung der gesetzlich erforderlichen Aufzeichnungen.
• Verbesserung des Dienstes anhand aggregierter, nicht identifizierender Nutzungsinformationen.

5. Rechtsgrundlagen (DSGVO)

Soweit die DSGVO anwendbar ist, stützen wir uns auf:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Anlegen und Betrieb Ihres Kontos, Bereitstellung des Dienstes, Bearbeitung von Support-Anfragen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Absicherung des Dienstes, kurzlebige Server-Logs, Fehlerüberwachung sowie Produktanalyse bei erteilter Einwilligung; unser Interesse gilt einem funktionsfähigen, sicheren und verbesserbaren Dienst.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Art. 5 Abs. 3 ePrivacy-Richtlinie): Analyse- und Marketing-Cookies sowie die Beta-Warteliste. Sie können die Einwilligung jederzeit widerrufen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): steuer- und handelsrechtliche Aufbewahrung.

6. Cookies und Analyse

Wir setzen unbedingt erforderliche und funktionale Speicherung ohne Einwilligung ein und, nur mit Ihrer Einwilligung, eine cookiefreie Reichweiten- und Ladezeitmessung (Vercel Web Analytics und Speed Insights) sowie Google Analytics 4 (setzt die _ga-Cookies und übermittelt Daten an Google, auch in die USA, gestützt auf das EU-US Data Privacy Framework). Cloudflare Turnstile wird auf unseren Formularen geladen, um Menschen von Bots zu unterscheiden, und ist für diese Formulare unbedingt erforderlich. Einzelheiten und Einstellmöglichkeiten finden Sie in der Cookie-Richtlinie.

7. Kontaktformular

Wenn Sie uns über das Formular kontaktieren, speichern wir Name, E-Mail, Betreff, Nachricht und Sprache sowie, zur Missbrauchsabwehr, Ihre Browserkennung (User-Agent) und einen mit einem Geheimnis versehenen Hashwert Ihrer IP-Adresse. Die IP-Adresse selbst wird nicht gespeichert; der Hashwert dient ausschließlich dazu, die Zahl der Nachrichten pro Quelle und Stunde zu begrenzen, und lässt keinen Rückschluss auf Sie zu. Ihre Nachricht wird zusätzlich über unseren E-Mail-Dienstleister an unser Postfach zugestellt.

8. Beta-Warteliste (Double Opt-in)

Wenn Sie sich in die Warteliste eintragen, senden wir eine Bestätigungsmail; Ihre Adresse wird erst als bestätigt gespeichert, wenn Sie den Link darin anklicken. Unbestätigte Einträge werden nach 48 Stunden automatisch gelöscht. Wir speichern Ihre E-Mail-Adresse, die Sprache, die Zeitpunkte von Eintrag und Bestätigung, Ihre Browserkennung und einen mit einem Geheimnis versehenen IP-Hash (wie oben) als Nachweis der Einwilligung und zur Ratenbegrenzung. Bestätigte Adressen werden bis zum Beta-Start zzgl. einer kurzen Nachlauffrist für die Erinnerung aufbewahrt, danach gelöscht. Sie können jederzeit über den Abmeldelink in jeder E-Mail oder durch Kontaktaufnahme widerrufen.

9. Auftragsverarbeitung für Kunden

Personenbezogene Daten, die ein Kunde über seine eigenen Beschäftigten und Kontakte in den Dienst eingibt, verarbeiten wir ausschließlich zur Bereitstellung des Dienstes auf dokumentierte Weisung des Kunden nach Maßgabe der DPA. Verantwortlicher für diese Daten ist der Kunde; betroffene Personen wenden sich mit ihren Anliegen an den Kunden.

10. KI-Dokumentenscan

Wenn Sie den KI-Scan nutzen, wird das hochgeladene Foto oder PDF (etwa ein Lieferschein, eine Rechnung oder ein Verkaufsbericht) an Anthropic, PBC (USA) übermittelt, um die Positionen auszulesen. Solche Dokumente können personenbezogene Daten enthalten, etwa den Namen eines Ansprechpartners beim Lieferanten oder der Person, die eine Lieferung quittiert hat. Anthropic verarbeitet die Daten als unser Unterauftragsverarbeiter nur, um das Ergebnis zurückzugeben, nutzt sie nach seinen gewerblichen Bedingungen nicht zum Training seiner Modelle und löscht sie nach kurzer Zeit. Die hochgeladene Datei bewahren wir 12 Monate in unserem EU-Speicher auf (siehe Abschnitt 13). Die KI schlägt nur Werte vor; gebucht wird erst, wenn ein Nutzer bestätigt. Es finden daher keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung statt.

Mail-Eingang für Lieferanten-Dokumente. Kunden können eine eigene Eingangsadresse einrichten, an die Lieferanten Auftragsbestätigungen und andere Belege schicken. Solche Mails empfängt für uns Postmark (ActiveCampaign, LLC, USA) und leitet sie an den Dienst weiter. Wir speichern Absenderadresse, Betreff und die PDF- oder Bild-Anhänge; den übrigen Mailtext speichern wir nicht. Die Anhänge werden wie ein hochgeladenes Dokument mit dem KI-Scan ausgelesen (siehe oben). Verantwortlicher für diese Daten ist der Kunde, wir verarbeiten sie als Auftragsverarbeiter (siehe Abschnitt 9).

11. Weitergabe personenbezogener Daten

• Unterauftragsverarbeiter: Infrastruktur- und Dienstleister, die personenbezogene Daten in unserem Auftrag vertraglich verarbeiten. Die aktuelle Liste mit Zweck und Standort finden Sie unter Unterauftragsverarbeiter.
• Recht und Sicherheit: soweit gesetzlich erforderlich oder zum Schutz von Rechten, Sicherheit oder Integrität des Dienstes.
• Unternehmensübergang: im Zusammenhang mit einer Fusion, Übernahme oder einem Vermögensverkauf, vorbehaltlich dieser Erklärung.

Wir verkaufen keine personenbezogenen Daten und „teilen" sie nicht für kontextübergreifende verhaltensbasierte Werbung im Sinne des kalifornischen Rechts.

12. Drittlandübermittlung

Die Anwendungsdatenbank wird in der Europäischen Union gehostet (Supabase, eu-central-1). Einige Dienstleister sitzen in den USA. Soweit personenbezogene Daten außerhalb des EWR/UK übermittelt werden, stützen wir uns auf die EU-Standardvertragsklauseln und, soweit ein Anbieter zertifiziert ist, auf das EU-US Data Privacy Framework. Die BevoraX LLC selbst sitzt in den USA und ist nicht nach dem EU-US Data Privacy Framework zertifiziert; Übermittlungen an uns sind daher ebenfalls durch die Standardvertragsklauseln abgesichert (für Kunden als Teil der DPA). Für Übermittlungen aus dem Vereinigten Königreich und der Schweiz gelten das UK-Addendum und die Schweizer Anpassungen. Ein dem europäischen Recht entsprechendes Datenschutzniveau kann trotz dieser Maßnahmen nicht in jedem Fall garantiert werden; insbesondere kann ein Zugriff US-amerikanischer Behörden nicht vollständig ausgeschlossen werden.

13. Speicherdauer

• Kontodaten: für die Dauer des Vertragsverhältnisses, danach Löschung, sobald keine gesetzliche Aufbewahrungsfrist mehr entgegensteht.
• Unternehmensdaten nach Löschung des Firmenkontos: 180 Tage archiviert (in dieser Zeit wiederherstellbar), danach endgültige Löschung.
• Server-Logs: kurzer Zeitraum (Tage), danach Löschung oder Anonymisierung.
• Fehlerberichte (Sentry, Rechenzentrum in Deutschland): 90 Tage, danach automatische Löschung durch den Anbieter. Sie enthalten Fehlermeldung, Stacktrace, aufgerufene Route und Browsertyp, aber keine IP-Adresse, keine Cookies und keine Formularinhalte; sie setzen auch keine Cookies und bedürfen deshalb keiner Einwilligung.
• Kontaktnachrichten: bis die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.
• Für den KI-Scan hochgeladene Dokumente (Fotos und PDFs von Lieferscheinen, Rechnungen und Verkaufsberichten): 12 Monate ab Upload, danach automatische Löschung. Die daraus ausgelesenen Daten sowie daraus erzeugte Bestellungen und Lieferungen sind Unternehmensdaten und unterliegen dem ersten Punkt.
• Mail-Eingang: Absender und Betreff eingegangener Mails 90 Tage, danach automatische Löschung. Mails, aus denen kein Dokument wurde (etwa abgelehnt oder ohne verwertbaren Anhang), werden nach 90 Tagen samt Anhängen gelöscht; Anhänge, aus denen ein Dokument wurde, unterliegen der 12-Monats-Frist für KI-Scan-Dokumente.
• Warteliste: wie in Ziffer 8 beschrieben.

14. Datensicherheit

Wir setzen TLS-Verschlüsselung bei der Übertragung, Row-Level Security in der Datenbank, Zugriff nach dem Least-Privilege-Prinzip und eine verpflichtende Zwei-Faktor-Authentifizierung für administrative Zugänge ein und überprüfen diese Maßnahmen fortlaufend.

15. Ihre Rechte

Soweit die DSGVO für Sie gilt, haben Sie die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21), das Recht, eine Einwilligung mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3), und das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde.

Soweit ein US-bundesstaatliches Datenschutzgesetz für Sie gilt (etwa der California Consumer Privacy Act in der jeweils geltenden Fassung und vergleichbare Gesetze anderer Bundesstaaten), haben Sie das Recht, Auskunft über die von uns gespeicherten personenbezogenen Daten zu erhalten und darauf zuzugreifen, sie löschen und berichtigen zu lassen sowie wegen der Ausübung dieser Rechte nicht benachteiligt zu werden. Wir verkaufen oder „teilen" keine personenbezogenen Daten, daher gibt es hierfür kein Opt-out. Sie können eine bevollmächtigte Person mit der Antragstellung beauftragen. Signale der Global Privacy Control (GPC) behandeln wir als Widerspruch gegen einen Verkauf oder eine Weitergabe.

Zur Ausübung eines Rechts schreiben Sie an privacy@bevorax.im. Wir müssen ggf. Ihre Identität prüfen und antworten innerhalb der gesetzlich vorgeschriebenen Frist.

16. Kinder

Der Dienst ist ein Geschäftswerkzeug und richtet sich nicht an Kinder. Wir erheben wissentlich keine personenbezogenen Daten von Kindern.

17. Links zu Dritten

Unsere Website kann auf Websites Dritter verweisen, die wir nicht kontrollieren und für die wir nicht verantwortlich sind. Deren Datenschutzpraktiken sind ihre eigenen.

18. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren. Wir stellen die neue Fassung hier mit aktualisiertem Datum ein und weisen bei wesentlichen Änderungen per E-Mail oder im Dienst darauf hin.

19. Kontakt

BevoraX LLC, 1209 Mountain Road Pl NE, Ste H, Albuquerque, NM 87110, USA · privacy@bevorax.im