Vertrag zur Auftragsverarbeitung

In deinem Konto stehen Namen und Rollen von Personen aus fremden Unternehmen. Für diese Daten bist du der Verantwortliche im Sinne der DSGVO; Bewirto verarbeitet sie ausschließlich in deinem Auftrag. Nach Art. 28 DSGVO braucht es dafür einen schriftlichen Vertrag zwischen dir und uns.

• Verantwortlicher: der Inhaber des Bewirto-Kontos mit den bei der Registrierung angegebenen Unternehmensdaten.
• Auftragsverarbeiter: Fiodor-Sebastian Balantaev, Max-Born-Straße 22, 40591 Düsseldorf (Bewirto).

Gegenstand ist das Speichern und Verarbeiten der von dir eingepflegten Stammdaten (Unternehmen, Projekte, Ansprechpartner) sowie der daraus erzeugten Beschreibungstexte, für die Dauer deines Kontos.

• Kategorien: Name, Rolle beziehungsweise Funktion, Zugehörigkeit zu einem Unternehmen, Beteiligung an einem Projekt und an einer dokumentierten Bewirtung.
• Betroffene: Ansprechpartner deiner Geschäftspartner sowie du selbst als bewirtende Person.
• Zusätzlich: die von dir hochgeladenen Belege selbst. Auf einer Restaurantrechnung können weitere Angaben stehen, etwa Uhrzeit, Tischnummer oder der Name der bedienenden Person.
• Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet.

• Strikte Mandantentrennung: jeder Datensatz trägt die Konto-Kennung, und jede Abfrage filtert serverseitig danach.
• Passwörter werden ausschließlich als scrypt-Hash mit zufälligem Salt gespeichert.
• Sitzungstoken liegen nur gehasht in der Datenbank; das Cookie ist httpOnly und SameSite=Lax.
• [Verschlüsselung im Transport und at rest, Zugriffskonzept, Protokollierung, Backup- und Wiederherstellungskonzept, Löschkonzept – abhängig vom gewählten Hoster ergänzen]

Feststehend: Anthropic für die Belegerkennung. Der hochgeladene Beleg wird an ein Bildmodell übermittelt, das Datum, Lokal, Ort und Betrag ausliest. Ohne diesen Dienst funktioniert die Anwendung weiter, die Angaben werden dann von Hand eingetragen. [Sitz, Vertragsgrundlage und Übermittlungsgrundlage für Anthropic eintragen]

[Übrige Unterauftragsverarbeiter (Hoster, Zahlungsanbieter, E-Mail-Versand) mit Sitz und Zweck eintragen, sobald sie feststehen. Ohne vollständige Liste ist der Vertrag nicht abschlussfertig.]

[Weisungsrecht, Unterstützungspflichten bei Betroffenenrechten, Meldepflichten bei Datenschutzverletzungen, Kontrollrechte sowie Rückgabe und Löschung nach Vertragsende ausformulieren lassen]

[Weg zum Abschluss festlegen: Bestätigung im Konto, unterschriebenes Dokument oder Einbindung in die AGB. Bis dahin darf in Produkt und Marketing nicht behauptet werden, ein AVV liege vor.]