Es gilt Fassung 2026-08-19 · der hier stehende Text ist bereits die nächste, noch nicht angekündigte Fassung
Verantwortlich für die Datenverarbeitung auf dieser Website und der Plattform ist:
Corlis UG (haftungsbeschränkt) i. G.
vertreten durch den Geschäftsführer Sergej Sidorin
Im Venn 24a
49479 Ibbenbüren
Telefon: 05455 6932000
E-Mail: kontakt@corlis.de
Impressum: /legal/impressum
Ansprechpartner für Datenschutzfragen, Betroffenenanfragen und Datenschutzvorfälle ist Sergej Sidorin, erreichbar unter kontakt@corlis.de. Einen Datenschutzbeauftragten müssen wir nach Art. 37 DSGVO, § 38 BDSG nicht benennen.
Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Einkaufsplattform sowie unserer Inhalte und Leistungen erforderlich ist.
Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen:
Wir treffen angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:
Unsere Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Beim Besuch unserer Website werden automatisch Informationen (z.B. IP-Adresse, Browsertyp, Zugriffszeit) in Server-Logfiles erfasst. Die Verarbeitung erfolgt auf Grundlage unserer berechtigten Interessen an einer effizienten und sicheren Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO). Ein Auftragsverarbeitungsvertrag (AVV) mit Vercel wurde abgeschlossen. Der Datentransfer in die USA wird durch die EU-Standardvertragsklauseln sowie die Zertifizierung von Vercel unter dem EU-U.S. Data Privacy Framework abgesichert.
Für Datenbank, Authentifizierung und Dateispeicherung nutzen wir Supabase (Supabase, Inc., 970 Toa Payoh North #07-04, Singapore 318992). Alle Nutzerdaten, Einkaufsdaten und Dateien werden in einer PostgreSQL-Datenbank in einem Rechenzentrum innerhalb der Europäischen Union gespeichert. Die Verarbeitung erfolgt auf Grundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Ein Auftragsverarbeitungsvertrag wurde abgeschlossen. Soweit im Rahmen von Support- oder Wartungszugriffen Daten in Drittländer übermittelt werden, wird dies durch die EU-Standardvertragsklauseln abgesichert.
Wir verwenden Cookies und vergleichbare Technologien (z.B. localStorage und sessionStorage). Beim ersten Besuch können Sie über den Cookie-Banner wählen, welche Kategorien Sie zulassen. Ihre Auswahl können Sie jederzeit ändern oder widerrufen — über die Cookie-Einstellungen im Footer unserer Website oder, wenn Sie angemeldet sind, unter Einstellungen → Datenschutz.
Weitere Kategorien führen wir nicht: Marketing- oder Werbe-Cookies setzen wir nicht ein, auch keine von Drittanbietern. Ihre Cookie-Auswahl selbst wird im localStorage gespeichert, damit der Banner nicht bei jedem Besuch erneut erscheint und ein Widerspruch erhalten bleibt.
Wir verwenden ein selbst betriebenes Analytics-System ohne Einbindung externer Tracking-Dienstleister. Es arbeitet zweistufig:
Bei der Registrierung auf unserer Plattform werden folgende Daten erhoben:
Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden gespeichert, solange Ihr Nutzerkonto besteht. Nach Löschung des Kontos werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Ihre Zustimmung zu unseren Rechtsdokumenten (AGB, Datenschutzerklärung) protokollieren wir zu Nachweiszwecken mit Zeitpunkt, Dokumentversion und einem gehashten IP-Merkmal (Art. 6 Abs. 1 lit. c und f DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO); die IP-Adresse selbst wird dabei nicht im Klartext gespeichert.
Wer eine Anfrage, eine Ausschreibung oder eine Bestellung anlegt oder freigibt, erscheint dem beteiligten Geschäftspartner mit Vor- und Nachname sowie E-Mail-Adresse – in der Anfrage selbst, auf der Bestellung als PDF und in den Benachrichtigungen dazu. Ist am Profil eine geschäftliche Telefonnummer hinterlegt, wird sie als Rückrufnummer mit angezeigt; ohne Eintrag erscheint die Telefonnummer der Organisation. Innerhalb Ihrer eigenen Organisation sind Ihre Kontaktangaben für die übrigen Mitglieder sichtbar.
Rechtsgrundlage ist die Durchführung des Vertrags beziehungsweise die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie das berechtigte Interesse beider Seiten an einem erreichbaren Ansprechpartner (Art. 6 Abs. 1 lit. f DSGVO). Es handelt sich nicht um eine Einwilligung: Die Anzeige ist Voraussetzung der Nutzung und lässt sich nicht abwählen. Freiwillig sind Telefonnummer, Position und Abteilung – wer sie nicht hinterlegt, dessen Angaben werden auch nicht angezeigt.
Einzelne Funktionen der Plattform nutzen KI-Dienste, z.B. das Erstellen von Ausschreibungspositionen aus einer Beschreibung, das Erkennen von Warengruppen, das Auslesen hochgeladener Dokumente (Angebote, Lastenhefte, Rechnungen, Verträge), die Recherche und Bewertung passender Lieferanten sowie ein Unternehmensprofil aus der eigenen Website. Alle diese Funktionen laufen über eine zentrale Schnittstelle der Plattform, die für jede Funktion festlegt, welche Daten übermittelt werden dürfen, wer sie auslösen darf und wie oft. Wir setzen folgende Anbieter ein:
Um Lieferanten oder Unternehmen zu bewerten, ruft die Plattform deren öffentliche Websites selbst ab und lässt den Text durch den Azure OpenAI Service in der EU auswerten; übernommen werden nur die Ergebnisse, z.B. Firmenangaben und auf der Website genannte Ansprechpartner. Die KI-Dokumentenauslese ist optional: Sie wird nur ausgeführt, wenn sie im Abonnement enthalten ist und ein Administrator der Organisation sie eingeschaltet hat. Ausgewählte Dokumente werden dafür an den Azure OpenAI Service in der EU übermittelt und dort nicht abgelegt.
Jeder Vorgang wird ohne Inhalt protokolliert (Funktion, Zeitpunkt, Organisation, auslösende Person, Umfang und Kosten), um Missbrauch zu verhindern, Kontingente abzurechnen und Vorgänge nachweisen zu können; das Protokoll wird nach 13 Monaten gelöscht.
Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. auf Grundlage unseres berechtigten Interesses an einer effizienten Bereitstellung der Funktionen (Art. 6 Abs. 1 lit. f DSGVO). Die KI-Ausgaben dienen ausschließlich als Vorschläge; sämtliche Entscheidungen (z.B. Vergaben, Bestellungen) trifft stets ein Mensch. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt. Ihre Daten werden nicht zum Training der KI-Modelle verwendet.
Im Rahmen der Plattformnutzung versenden wir transaktionale E-Mails, insbesondere:
Diese E-Mails sind für den Betrieb der Plattform notwendig und erfolgen auf Grundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Versand erfolgt über Supabase Auth sowie über die IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland. Die Verarbeitung durch IONOS findet in Deutschland statt; ein Auftragsverarbeitungsvertrag wurde abgeschlossen.
Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, werden die von Ihnen mitgeteilten Daten (Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Nachricht) zur Bearbeitung Ihrer Anfrage verarbeitet. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO) bzw. zur vorvertraglichen Maßnahme (Art. 6 Abs. 1 lit. b DSGVO).
Betrifft Ihre Anfrage unser Leistungsangebot, übernehmen wir sie in unsere Vertriebsverwaltung, um den Kontakt weiterzuverfolgen (siehe Ziffer 13). Rechtsgrundlage ist unser berechtigtes Interesse an der Anbahnung einer Geschäftsbeziehung (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Weiterverarbeitung jederzeit widersprechen.
Anfragen, aus denen kein Vertriebsvorgang entsteht, löschen wir sechs Monate nach abschließender Bearbeitung, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Einkäufer können über die Plattform Lieferanten einladen, die noch kein Nutzerkonto besitzen. In diesem Fall verarbeiten wir die vom einladenden Nutzer angegebenen geschäftlichen Kontaktdaten (Firma, Name, E-Mail-Adresse) ausschließlich, um die Einladung zuzustellen. Verantwortlich für die Rechtmäßigkeit dieser Weitergabe ist der einladende Nutzer; wir handeln insoweit als Auftragsverarbeiter für dessen Organisation.
Darüber hinaus recherchieren wir für suchende Einkäufer öffentlich verfügbare Unternehmensinformationen, um passende Lieferanten vorzuschlagen (siehe Ziffer 9). Nimmt ein Einkäufer einen Lieferanten in seinen Lieferantenstamm auf, erhalten Mitglieder dieses Lieferanten eine Meldung innerhalb der Plattform — vorausgesetzt, sie haben bereits ein Nutzerkonto. An Unternehmen ohne Nutzerkonto versenden wir hierzu keine E-Mails.
Firmenprofile aus der Lieferantenrecherche. Für die Recherche passender Lieferanten legen wir zu gefundenen Firmen ein Profil aus öffentlichen Firmenangaben an: Name, Rechtsform, Registergericht und -nummer, Umsatzsteuer-Identifikationsnummer, Anschrift, allgemeine Telefonnummer und E-Mail-Adresse, Leistungen, Branchen, Zertifikate, Referenzen, Standorte, Größe und Gründungsjahr — jede Angabe mit der Adresse und der wörtlichen Stelle, an der sie steht. Quellen sind die Website der Firma, die wir selbst abrufen (unser Abrufprogramm meldet sich als „CorlisBot“ und beachtet die Vorgaben der Website in der Datei robots.txt), sowie öffentliche Suchtreffer, Branchenlisten und Presseberichte. Namen von Ansprechpartnern enthält das Profil nicht; sie werden nur für die suchende Organisation ausgelesen. Das Profil ist 90 Tage lang für alle angemeldeten Nutzer der Plattform lesbar, damit dieselbe Website nicht für jede Suche erneut gelesen werden muss; danach wird es gelöscht oder bei einer erneuten Recherche neu angelegt. Profile von Firmen, deren Name eine Person bezeichnet (etwa eingetragene Kaufleute), zeigen wir nur der suchenden Organisation und speichern sie nicht plattformweit.
Ergebnisse der Lieferantenrecherche. Das Ergebnis einer Recherche — welche Firmen gefunden wurden, wie wir sie eingeordnet haben (etwa als Hersteller oder Einzelhandel) und mit welcher Begründung — speichern wir für die suchende Organisation, damit sie es später wieder öffnen und nachvollziehen kann. Namen von Ansprechpartnern enthält es nicht. Gehört die Recherche zu einer Ausschreibung, bleibt das Ergebnis so lange wie die Ausschreibung; sonst löschen wir es 90 Tage nach der Recherche (siehe Ziffer 20).
Rechtsgrundlage ist das berechtigte Interesse unserer Nutzer an der Anbahnung von Geschäftsbeziehungen (Art. 6 Abs. 1 lit. f DSGVO). Die Daten stammen vom einladenden Nutzer bzw. aus öffentlich zugänglichen Quellen (Art. 14 DSGVO). Widerspricht eine Firma ihrem Profil, löschen wir es und legen für ihre Website keines mehr an. Sie können der Verarbeitung jederzeit formlos per E-Mail an widersprechen.
Für die Gewinnung neuer Kunden führen wir eine Vertriebsverwaltung, in der wir Unternehmen und deren berufliche Ansprechpartner erfassen. Hierfür sind wir Verantwortlicher im Sinne der DSGVO — anders als beim Betrieb der Plattform für unsere Kunden, wo wir Auftragsverarbeiter sind.
Unternehmensname und -anschrift, Branche und Größe sowie zu einzelnen Ansprechpartnern Vor- und Nachname, Funktion im Unternehmen, geschäftliche E-Mail-Adresse und Telefonnummer, dazu unsere Notizen zum Kontaktverlauf. Wir verarbeiten ausschließlich berufliche Kontaktdaten in der beruflichen Rolle.
Entweder von Ihnen selbst (Kontaktformular, Gespräch, Visitenkarte), aus Adresslisten, die wir importieren, oder aus öffentlich zugänglichen Quellen — insbesondere Ihrer Unternehmenswebsite, dem Impressum und öffentlichen Verzeichnissen. Für diese Recherche setzen wir die unter Ziffer 9 genannten Dienste ein. Zu jedem recherchierten Kontakt halten wir die Fundstelle fest, damit die Herkunft nachprüfbar bleibt.
Wir verarbeiten diese Daten, um Unternehmen anzusprechen, für die unsere Leistung in Frage kommt. Rechtsgrundlage ist unser berechtigtes Interesse an der Anbahnung von Geschäftsbeziehungen (Art. 6 Abs. 1 lit. f DSGVO). Werbliche Ansprache per E-Mail erfolgt nur, wenn Sie zuvor ausdrücklich eingewilligt haben oder wenn Sie oder Ihr Unternehmen den Kontakt zu uns aufgenommen haben; zu jedem Kontakt dokumentieren wir, worauf sich die Ansprache stützt.
Haben wir Ihre Daten nicht bei Ihnen selbst erhoben, informieren wir Sie spätestens mit unserer ersten Nachricht an Sie über Herkunft, Zweck und Ihre Rechte — mit einem Verweis auf diese Erklärung.
Sie können der Verarbeitung jederzeit und ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO) — formlos per E-Mail an kontakt@corlis.de. Wir löschen Ihre Daten dann unverzüglich und sprechen Sie nicht erneut an. Unabhängig davon löschen wir Kontakte, aus denen keine Geschäftsbeziehung entsteht, spätestens zwei Jahre nach der letzten Aktivität.
Wir betreiben eine Unternehmensseite auf Facebook und ein Profil auf Instagram. Anbieter beider Dienste ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta"). Daneben führen wir eine Unternehmensseite auf LinkedIn; Anbieter ist die LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland (Mutterkonzern Microsoft Corporation, USA). Welche Profile das sind, steht im Impressum.
Wenn Sie unsere Seite oder unser Profil aufrufen, verarbeitet der jeweilige Anbieter personenbezogene Daten — unter anderem, um uns zusammengefasste Statistiken zur Nutzung bereitzustellen (Insights bzw. Seiten-Analysen). Für diese Verarbeitung sind wir gemeinsam mit dem Anbieter verantwortlich (Art. 26 DSGVO). Meta hat in einer Vereinbarung die vorrangige Verantwortung für die Verarbeitung der Insights-Daten und für die Erfüllung der Betroffenenrechte übernommen: facebook.com/legal/terms/page_controller_addendum. Für LinkedIn gilt Entsprechendes: legal.linkedin.com/pages-joint-controller-addendum.
Wir selbst erhalten aus diesen Statistiken ausschließlich zusammengefasste Auswertungen — etwa Reichweite, Interaktionen sowie ungefähre Altersgruppen und Regionen. Einzelne Personen können wir daraus nicht erkennen. Wie lange der Anbieter die zugrunde liegenden Daten speichert, bestimmt er selbst.
Rechtsgrundlage ist unser berechtigtes Interesse an der Kommunikation mit Interessenten und Kunden über diese Kanäle (Art. 6 Abs. 1 lit. f DSGVO). Senden Sie uns dort einen Kommentar oder eine Nachricht, verarbeiten wir deren Inhalt, um Ihre Anfrage zu beantworten; betrifft sie unser Leistungsangebot, gilt Ziffer 11 entsprechend.
Die Anbieter können Daten auch in die USA übermitteln; beide sind nach dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen zur Verarbeitung durch Meta: facebook.com/privacy/policy. Ihre Rechte können Sie gegenüber dem jeweiligen Anbieter und gegenüber uns geltend machen — an uns formlos per E-Mail an kontakt@corlis.de. Rechte, die nur der Anbieter erfüllen kann — etwa die Löschung der Insights-Daten —, machen Sie am besten direkt dort geltend.
Wenn Sie uns über ein Formular in einer unserer Anzeigen auf Facebook oder Instagram eine Anfrage senden, verarbeiten wir die dort angegebenen Daten — Name, geschäftliche E-Mail-Adresse, Telefonnummer, Unternehmen sowie Ihre Antworten auf die Formularfragen —, um Ihre Anfrage zu beantworten und einen Gesprächstermin abzustimmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).
Das Formular wird von Meta bereitgestellt; Ihre Angaben werden über die Systeme von Meta an uns übermittelt. Für diesen Schritt gilt zusätzlich die Datenschutzerklärung von Meta (siehe Ziffer 14). Wir rufen die Angaben ab, sobald sie vorliegen, und verarbeiten sie anschließend in unseren eigenen Systemen.
Betrifft Ihre Anfrage unser Leistungsangebot, übernehmen wir sie — wie jede andere Kontaktanfrage — in unsere Vertriebsverwaltung (siehe Ziffer 13). Entsteht daraus kein Vertriebsvorgang, löschen wir die Daten, sobald Ihre Anfrage abschließend bearbeitet ist, spätestens sechs Monate danach, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Koordinaten zu Anschriften in Deutschland, Österreich und der Schweiz ermittelt die Plattform selbst aus Postleitzahl oder Ortsnamen (Datenbestand von GeoNames, ohne Übermittlung an Dritte). Darüber hinaus nutzen wir Dienste der Google Maps Platform (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mutterkonzern Google LLC, USA):
Die Standortermittlung erfolgt auf Grundlage unseres berechtigten Interesses an der Bereitstellung der Suchfunktionen (Art. 6 Abs. 1 lit. f DSGVO), die Kartendarstellung auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ein etwaiger Datentransfer in die USA wird durch die EU-Standardvertragsklauseln und die Zertifizierung von Google unter dem EU-U.S. Data Privacy Framework abgesichert.
Wir geben personenbezogene Daten nur an die in dieser Erklärung genannten Empfänger weiter (Vercel, Supabase, IONOS, Microsoft, Google) und nur, soweit dies für die jeweilige Funktion erforderlich ist. Serper erhält nur Suchbegriffe, aus denen personenbezogene Angaben vorher entfernt werden, und für Firmenprofile den Namen der recherchierten Firma (siehe Ziffern 9 und 12). Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Soweit Daten in Länder außerhalb der EU bzw. des EWR übermittelt werden, erfolgt dies auf Grundlage von Angemessenheitsbeschlüssen (EU-U.S. Data Privacy Framework) oder der EU-Standardvertragsklauseln. Sprachmodelle verarbeiten Daten ausschließlich in der EU; an Such- und Kartendienste außerhalb der EU übermitteln wir nur Suchbegriffe, Ortsangaben, Kartenausschnitte und Geschäftsadressen; aus Suchbegriffen werden personenbezogene Angaben vorher automatisch entfernt (zur Kartendarstellung im Browser siehe Ziffer 16). Eine Übermittlung an sonstige Dritte findet nur statt, wenn wir gesetzlich dazu verpflichtet sind.
Anders gelagert sind unsere Profile in sozialen Netzwerken: Meta und LinkedIn handeln dort nicht als unsere Auftragsverarbeiter. Für die Seiten-Statistik sind wir mit ihnen gemeinsam verantwortlich (Art. 26 DSGVO), und bei einer Anfrage über ein Anzeigenformular erhalten wir die Daten von Meta, statt sie dorthin zu geben. Einzelheiten stehen in den Ziffern 14 und 15.
Ihnen stehen folgende Rechte in Bezug auf Ihre personenbezogenen Daten zu:
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an kontakt@corlis.de.
Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Aufsichtsbehörde des Bundeslandes, in dem Sie Ihren Wohnsitz haben, oder die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:
Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert. Daten in Sicherungskopien werden spätestens mit Ablauf der Backup-Aufbewahrungsfrist überschrieben; wird eine Sicherung wiederhergestellt, vollziehen wir die Löschung unverzüglich erneut.
Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte Rechtslagen oder Änderungen unserer Plattform anzupassen. Die jeweils aktuelle Version ist auf dieser Seite abrufbar. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert.
Seiten, deren Adresse sicherheitsrelevante Zugangs-Token enthält (z.B. Einladungslinks), werden grundsätzlich nicht erfasst.