Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten auf Coraize ist die bi2MEDIA LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, USA, vertreten durch Frieder Samuel Meyer (Member). Kontakt für alle Datenschutzanliegen: hello@coraize.com. Diese Erklärung informiert dich darüber, welche Daten wir verarbeiten, wozu wir sie verwenden, an wen sie gehen und welche Rechte du hast. Sie gilt für die Web-App unter coraize.com, die installierbare App (PWA) und die nativen Apps für iOS und Android.

Beim Aufruf von Coraize verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browser- und Gerätetyp sowie die Sprache des Browsers. Diese Protokolldaten dienen der sicheren Auslieferung, der Fehlersuche und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Sie werden nach kurzer Zeit gelöscht und nicht mit deinem Konto verknüpft. Zur Voreinstellung der Sprache werten wir serverseitig lediglich das aus deiner Anfrage abgeleitete Land aus — ohne externen Geodienst und ohne Speicherung deiner IP-Adresse.

Für die Nutzung von Coraize ist ein Konto erforderlich. Dabei verarbeiten wir deine E-Mail-Adresse, deinen Namen, ein Passwort (nur als gesalzener Hash gespeichert), den Zeitpunkt deiner Zustimmung zu AGB und Community-Richtlinien sowie technische Sitzungsdaten. Bei Anmeldung über Google, Apple oder Microsoft erhalten wir von diesem Anbieter deine E-Mail-Adresse, deinen Namen und ggf. dein Profilbild; dein Passwort beim jeweiligen Anbieter sehen wir nicht. Optional kannst du eine Zwei-Faktor-Authentifizierung (TOTP) einrichten; das Geheimnis dafür wird verschlüsselt gespeichert. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Zur Abwehr automatisierter Registrierungen kann ein CAPTCHA (Cloudflare Turnstile) eingesetzt werden; dabei wird deine IP-Adresse an Cloudflare übermittelt (Art. 6 Abs. 1 lit. f DSGVO).

Coraize ist eine Plattform, auf der du dich anderen Nutzer:innen präsentierst. Die Angaben in deinem Profil (Rolle, Name, Beschreibung, Standort, Links, Verifizierungsstatus) sowie die Daten deines Startups, deiner Investmentgesellschaft oder deines Unternehmens (Kennzahlen wie Umsatz und Mitarbeiterzahl, Geschäftsmodell, Pitch-Video, Pitch-Deck, Investment-Konditionen, Team) werden anderen angemeldeten Nutzer:innen angezeigt — im Umfang, den du in den Sichtbarkeitseinstellungen festlegst. Mit dem Stealth-Modus kannst du dein Startup anonymisieren; mit Zugriffsanfragen entscheidest du, wer gesperrte Bereiche wie Pitch-Deck oder Datenraum sehen darf. Ein öffentliches Kurzprofil ohne Anmeldung existiert nur, wenn du es ausdrücklich aktivierst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Sichtbarkeit gegenüber anderen steuerst du selbst.

Wenn du beim Ausfüllen eines Profils die Funktion „Profil automatisch ausfüllen“ nutzt, recherchieren wir öffentlich verfügbare Angaben zu dem von dir genannten Unternehmen, um dir Vorschläge für die Formularfelder zu machen. Dafür übermitteln wir ausschließlich den Firmennamen, die Domain der Website und – falls du eines hochlädst – den Text des Dokuments an unsere Dienstleister: Firecrawl (Abruf der Website und Websuche) sowie Lovable mit den KI-Diensten von Google bzw. OpenAI (Zusammenführung der Angaben). Personenbezogene Kontodaten werden dabei nicht übermittelt. Die Vorschläge werden erst in dein Profil übernommen, wenn du sie prüfst und speicherst. Hochgeladene Dokumente speichern wir in einem privaten Speicher, auf den nur du Zugriff hast, und löschen sie spätestens nach 30 Tagen; die Ergebnisse der Recherche bleiben mit deinem Konto verknüpft, bis du es löschst. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags auf deinen Wunsch (Art. 6 Abs. 1 lit. b DSGVO).

Zur Sicherheit und Nachvollziehbarkeit protokollieren wir Änderungen an Profil-, Startup-, Investor-, Unternehmens-, Deal- und Finanzierungsrundendaten (Zeitpunkt, geändertes Feld, alter und neuer Wert, verantwortliche:r Nutzer:in). Der Zugriff auf diese Protokolle ist auf unser Team mit erhöhter Anmeldesicherheit (2FA) beschränkt. Aufbewahrungsdauer: 24 Monate; danach werden Einträge automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb und der Nachverfolgung von Änderungen).

Zur Betrugsprävention und Plattformsicherheit nutzen wir Stripe Identity (Ausweisdaten und Selfie werden bei Stripe verarbeitet; wir speichern Status, Name, Geburtsdatum und einen Hash der Dokumentnummer), Twilio (Handynummer zur Code-Zustellung) und nach Einwilligung LinkedIn (Profil-ID, Name, E-Mail und Bild). Rechtsgrundlagen sind Art. 6 Abs. 1 b/f DSGVO. Angaben zur Speicherdauer werden ergänzt.

Nachrichten, Dateianhänge und Sprachnachrichten im Messenger werden gespeichert und dem jeweiligen Gegenüber zugestellt. Sprachnachrichten können auf deinen Wunsch automatisch transkribiert und Texte übersetzt werden; dazu werden die Audiodaten bzw. Texte an unseren KI-Dienstleister übermittelt (siehe Abschnitt KI-Funktionen). Investment- und Kooperationsanfragen, Bewerbungen auf Ausschreibungen (Challenges) sowie Vorschläge, Klauseln und Zustimmungen im Verhandlungsraum werden mit Zeitstempel und Verlauf gespeichert, damit beide Seiten den Stand nachvollziehen können. Verbindliche Zustimmungen im Verhandlungsraum werden mit Namen, Rolle, Zeitpunkt und einem Prüfsummen-Hash des Dokumentstands festgehalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Videos, Logos, Profilbilder, Pitch-Decks, Datenraum-Dateien und Verifizierungsdokumente werden in privaten Speicherbereichen abgelegt und ausschließlich über zeitlich begrenzte, signierte Links ausgeliefert. Der Zugriff ist durch Berechtigungsregeln auf Datenbankebene abgesichert: Datenraum-Dateien sehen nur dein Team und Personen, deren Zugriffsanfrage du genehmigt hast; Verifizierungsdokumente sehen nur du und unser Support-Team. Für Stealth-Startups wird auf Wunsch eine unkenntlich gemachte Fassung des Pitch-Videos erzeugt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Einige Funktionen von Coraize nutzen Sprachmodelle: die KI-Suche und das Profil-Matching, die Vorprüfung von Verifizierungsanträgen, die automatische Prüfung von Profil- und Ausschreibungstexten auf Verstöße gegen die Community-Richtlinien, die Transkription von Sprachnachrichten, Übersetzungen sowie der Formulierungsassistent im Verhandlungsraum. Dafür übermitteln wir die jeweils benötigten Inhalte (z. B. deine Suchanfrage, Profiltexte, Audiodateien) an das Lovable AI Gateway, das Modelle von Google (Gemini) und OpenAI einsetzt. Die KI trifft keine Entscheidungen mit rechtlicher Wirkung für dich: Verifizierungen entscheidet immer ein Mensch, Moderationshinweise werden von unserem Team geprüft, und Vorschläge im Verhandlungsraum werden nur auf deine Bestätigung übernommen. Die KI-Suche ist auf ein Tageskontingent pro Konto begrenzt; dazu speichern wir lediglich einen Zähler, nicht den Suchinhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir ausgelöste Funktionen) bzw. lit. f DSGVO (Moderation zum Schutz der Community).

Über neue Nachrichten, Anfragen, Verifizierungsergebnisse, Treffer deiner gespeicherten Suchen und Updates aus deiner Watchlist informieren wir dich in der App und — je nach deinen Einstellungen — per E-Mail und Push-Nachricht. E-Mails versenden wir über den Dienstleister Resend; jede E-Mail enthält einen Abmeldelink. Push-Nachrichten werden über die Dienste von Google (Firebase Cloud Messaging) bzw. Apple (APNs) zugestellt; dazu speichern wir ein Geräte-Token, das du in den Einstellungen jederzeit widerrufen kannst. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du in den Kontoeinstellungen jederzeit für die Zukunft widerrufen kannst; Benachrichtigungen, die für die Nutzung des Dienstes erforderlich sind (z. B. Sicherheitshinweise, Antworten auf deine Anfragen), beruhen auf Art. 6 Abs. 1 lit. b DSGVO.

Die Kartenansicht nutzt Mapbox. Beim Laden der Karte werden deine IP-Adresse und die angeforderten Kartenkacheln an Mapbox übermittelt. Standorte, die du in deinem Profil oder als Zielregionen hinterlegst, werden über die Mapbox-Ortssuche in Koordinaten aufgelöst und bei uns gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Karte wird nur geladen, wenn du sie aufrufst.

Wir setzen keine Werbe- oder Tracking-Cookies und keine Drittanbieter-Analysetools ein. Für Anmeldung, Sprach- und Design-Einstellungen sowie lokale Entwürfe nutzen wir den lokalen Speicher deines Browsers (Local Storage) — technisch notwendig, Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TDDDG. Innerhalb der Plattform erfassen wir, welche Startup-Profile und Pitch-Videos angesehen wurden, damit Gründer:innen anonymisierte Statistiken (Anzahl Aufrufe, eindeutige Betrachter pro Tag) erhalten; Namen einzelner Betrachter werden Gründer:innen nicht angezeigt. Unser Hosting-Anbieter stellt uns cookielose, aggregierte Zugriffsstatistiken (Seitenaufrufe, Länder, Gerätetypen) zur Verfügung.

Wenn du Nutzer:innen, Organisationen oder Nachrichten meldest, speichern wir die Meldung, den Kontext und den Verlauf der Klärung mit unserem Support-Team. Blockierungen speichern wir, um sie serverseitig durchzusetzen; die blockierte Person wird darüber nicht informiert. Zum Schutz der Plattform protokollieren wir sicherheitsrelevante Ereignisse (z. B. Anmeldungen, Änderungen durch unser Team im revisionssicheren Protokoll). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchsvermeidung) sowie unsere rechtlichen Pflichten (lit. c).

Wir geben deine Daten nur weiter, soweit es für den Betrieb von Coraize erforderlich ist, an folgende Dienstleister, die für uns auf Grundlage von Auftragsverarbeitungsverträgen tätig sind: • Lovable (Hosting, Auslieferung der Anwendung, KI-Gateway) — EU/USA • Supabase (Datenbank, Authentifizierung, Dateispeicher) — Rechenzentrum in der EU • Resend (E-Mail-Versand) — USA • Google Firebase / Apple (Push-Benachrichtigungen) — USA • Mapbox (Karten, Ortssuche) — USA • Cloudflare (CAPTCHA) — USA/EU • Google (Gemini) und OpenAI über das Lovable AI Gateway (KI-Funktionen) — USA Die bi2MEDIA LLC hat ihren Sitz in den USA; deine Daten können daher auch von uns selbst in den USA verarbeitet werden. Für Übermittlungen in Drittländer stützen wir uns auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit anwendbar, auf das EU-US Data Privacy Framework. Eine Weitergabe an sonstige Dritte erfolgt nur mit deiner Einwilligung, zur Durchsetzung unserer Rechte oder wenn wir gesetzlich dazu verpflichtet sind. An andere Nutzer:innen gehen nur die Daten, die du gemäß Abschnitt 4 sichtbar gemacht hast.

Wir speichern deine Daten, solange dein Konto besteht. Löschst du dein Konto — in der App unter Einstellungen → Daten & Löschen oder über die öffentliche Löschseite —, werden dein Profil, deine Inhalte, Nachrichten, Dateien und Videos unverzüglich gelöscht; Konversationen mit anderen Nutzer:innen werden entfernt, Verlaufseinträge werden anonymisiert. Ausgenommen sind Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten (z. B. steuer- und handelsrechtlich) oder zur Verteidigung von Rechtsansprüchen weiter aufbewahren müssen; diese werden für die Restdauer gesperrt. Technische Protokolle werden nach spätestens 30 Tagen gelöscht, Benachrichtigungs-Warteschlangen nach Zustellung bereinigt.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Einen vollständigen Export deiner Daten im JSON-Format erstellst du selbst in den Einstellungen unter „Daten & Löschen"; dort kannst du dein Konto auch löschen. Für alle weiteren Anliegen erreichst du uns unter hello@coraize.com. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere bei der Behörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Coraize richtet sich an Unternehmer:innen und ist nur für Personen ab 18 Jahren bestimmt. Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die Rechtslage ändern; die jeweils aktuelle Fassung findest du immer unter dieser Adresse. Bei wesentlichen Änderungen informieren wir dich in der App oder per E-Mail.

Wir speichern Daten nur so lange wie nötig: Änderungsverlauf 24 Monate, SMS-Bestätigungsversuche 30 Tage, Anmeldeverknüpfungs-Zwischenstände einen Tag, technische Versandprotokolle 90 Tage. Bei Stripe Identity veranlassen wir 30 Tage nach erfolgreicher Prüfung die Schwärzung der Ausweisdaten beim Dienstleister. Nach einer Kontolöschung entfernen wir deine privaten Daten (Name, Geburtsdatum, Telefonnummer, Identitäts- und LinkedIn-Daten, Vertrauenshinweise, Anhänge) sofort. Nachrichten und Klärungsfälle, die deine Gesprächspartner:innen bereits sehen konnten, bewahren wir sofort anonymisiert („Gelöschtes Konto“, ohne Namen oder Bild) für zwölf Monate auf und löschen sie danach endgültig. Zur Verhinderung von Mehrfachkonten bewahren wir höchstens 36 Monate nur Prüfstatus und einen verschlüsselten Prüfwert des Ausweises auf.

Zum Schutz der Community bewerten wir Konten automatisiert anhand nachvollziehbarer Hinweise (z. B. bestätigte Identität, Alter, Wegwerf-E-Mail-Adresse, doppelte Telefonnummer oder doppeltes Dokument, Website- und Profilangaben) mit einer Ampel. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Plattform (Art. 6 Abs. 1 lit. f DSGVO). Führt die Bewertung zu einer Prüfung oder Einschränkung, entscheidet zusätzlich ein Mensch aus unserem Team; du kannst deine Angaben jederzeit ergänzen, deinen Standpunkt darlegen und eine erneute Prüfung verlangen. Deine eigenen Hinweise sind im Datenexport enthalten.

Zur Betrugs- und Bot-Abwehr verarbeiten wir gehashte IP-, Netzwerk- und Geräte-Merkmale sowie Muster von Telefonnummern und E-Mail-Adressen. IP-Adressen speichern wir ausschließlich als HMAC-Hash, niemals im Klartext. Geräte-Merkmale beschränken sich auf Browsertyp, Sprache, Zeitzone und Bildschirmgröße; kein Canvas- oder Audio-Fingerprinting. Cloudflare Turnstile prüft im Hintergrund, ob Anfragen automatisiert sind; dabei werden technisch notwendige Daten an Cloudflare übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an Betrugsprävention und einer sicheren Plattform (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47). Die Signale werden nach 90 Tagen gelöscht, Tageszähler nach 30 Tagen. Es erfolgt keine ausschließlich automatisierte Ablehnung: Auffälligkeiten werden durch Menschen geprüft; du kannst eine manuelle Überprüfung verlangen.