Datenschutzerklärung

Stand: 1. Juni 2026

Allgemeines

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb unserer Website und App, Anfragen, Nutzerkonten, Profile, Cora Score, Matching, Intros, Cora's Circle, Awards, Kommunikation, Dokumentation der Erfolgsvergütung oder gesetzliche Pflichten erforderlich ist. Wir verkaufen keine personenbezogenen Daten. Auf der reinen Marketing-Website setzen wir nach aktuellem Stand keine Marketing-Cookies und keine Analytics-Drittdienste ein. Bei Profilen und Matches können ausgewählte Profil-, Score-, Kontakt- und Statusdaten für andere Teilnehmer:innen sichtbar werden. Vertrauliche Informationen solltest du daher nur freigeben, wenn du sie wirklich teilen möchtest.

1. Verantwortliche

Verantwortlich für die Datenverarbeitung sind derzeit, bis zur formellen Eintragung der geplanten Gesellschaft:

Florian Müller Caroline Klinger Stuwerstraße 28/23-24 1020 Wien Österreich

E-Mail: privacy@cora.community

Cora befindet sich in der Gründungsphase. Nach Eintragung der geplanten Flexiblen Kapitalgesellschaft (FlexKapG, „FlexCo") werden diese Angaben um Firma, Firmenbuchnummer, Firmenbuchgericht, UID und Geschäftsführung ergänzt.

Wenn wir von „Cora", „wir" oder „uns" sprechen, meinen wir die oben genannten Verantwortlichen bzw. nach Eintragung die dann verantwortliche Gesellschaft.

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde derzeit nicht bestellt. Anfragen zum Datenschutz richtest du bitte an privacy@cora.community.

2. Geltungsbereich und verarbeitete Daten

Diese Datenschutzerklärung gilt für die Cora-Website, die mobile oder webbasierte App, Anmeldeformulare, Nutzerkonten, Profile, Cora Score, Cora Verified, Cora's Circle, Matching, Intros, Pitches, Feed-, Insight-, Update-, Award-, Kommunikations- und Dokumentationsfunktionen sowie für die zugehörigen Cora-Dienste unter cora.community und ihren Subdomains (z. B. onboarding.cora.community, platform.cora.community, academy.cora.community, score.cora.community sowie Partner-Subdomains wie 2m2m.cora.community).

Je nach Nutzung können wir insbesondere folgende Daten verarbeiten:

• Technische Daten, z. B. IP-Adresse oder gekürzte IP-Adresse, Datum und Uhrzeit, Browser, Betriebssystem, aufgerufene Seite, Referrer, Fehler-, Log- und Sicherheitsinformationen.
• Kontakt-, Anmelde- und Login-Daten, z. B. Name, E-Mail-Adresse, Rolle, Organisation, freiwillige Nachricht, Website-, Profil- oder Pitch-Link sowie Authentifizierungsdaten. Bei Google Login können insbesondere Name, E-Mail-Adresse, Google-Konto-ID und gegebenenfalls Profilbild verarbeitet werden.
• Nutzerkonto- und App-Daten, z. B. Nutzer-ID, Konto-ID, Status, Freischaltungen, Aktivitäten, Nachrichten, Match-, Intro- und Zustimmungshistorien.
• Startup-, Pitch-, Investor:innen-, Partner:innen- und Expert:innen-Daten, z. B. Startup-Name, Website, Sektor, Stage, Standort, Team, Markt, Produkt, Technologie, Traktion, KPIs, Finanzierung, Investmentinteressen, Pitch-Links, Dokumente und Updates.
• Cora Score-, KI-, Klassifikations-, Badge- und Matching-Daten, soweit entsprechende Funktionen genutzt oder freigegeben werden.
• Daten zur Erfolgsvergütung, Abrechnung und zum Nachweis, z. B. Startup-ID, Investor-ID, Match-ID, Intro-ID, AGB-Version, akzeptierte Konditionen, Transaktionsstatus, Investitionssumme, Tranche, Rechnung, Zahlungsstatus und Korrespondenz.

Bitte übermittle keine besonderen Kategorien personenbezogener Daten, z. B. Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen oder biometrische Daten, sofern dies nicht ausdrücklich erforderlich und rechtlich zulässig ist. Wenn du Daten Dritter an Cora übermittelst, musst du dazu berechtigt sein.

Cora richtet sich an ein unternehmerisches und berufliches Publikum (Gründer:innen, Startups, Investor:innen, Expert:innen, Partner:innen) und nicht an Kinder. Die Nutzung setzt die erforderliche Geschäftsfähigkeit voraus.

Daten über Dritte (Art. 14 DSGVO): In manchen Funktionen gibst du personenbezogene Daten über andere Personen ein, z. B. Mitgründer:innen, Teammitglieder oder Ansprechpartner:innen (etwa Name, Rolle bzw. Titel, LinkedIn-Profil oder Kontaktdaten). Diese Daten erhalten wir nicht direkt von der betroffenen Person, sondern von dir. Wir verarbeiten sie, um die jeweilige Funktion bereitzustellen (z. B. Team-Darstellung, Profil, Matching, Intro). Du bist dafür verantwortlich, zur Übermittlung berechtigt zu sein und die betroffenen Personen, soweit erforderlich, zu informieren. Betroffene Personen können ihre Rechte nach Abschnitt 10 jederzeit unter privacy@cora.community ausüben; Quelle solcher Daten sind die jeweils eingebenden Nutzer:innen.

3. Zwecke und Rechtsgrundlagen

Wir verwenden personenbezogene Daten vor allem für Betrieb, Sicherheit und Stabilität von Website, App und Plattform, Bearbeitung von Anfragen, Registrierung und Nutzerkonten, Profile, Pitches, Updates, Cora Score, KI-gestützte Klassifikation, Matching, Intros, Sichtbarkeit, Cora's Circle, Awards, Kommunikation, Dokumentation von Zustimmungen, Prüfung und Abrechnung der Erfolgsvergütung, Missbrauchsprävention, Rechtsverteidigung und gesetzliche Pflichten.

Die Verarbeitung erfolgt insbesondere auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO, wenn die Verarbeitung für vorvertragliche Maßnahmen, die Bereitstellung der Plattform, ein Nutzerverhältnis, Matches, Intros oder Vereinbarungen zur Erfolgsvergütung erforderlich ist.
• Art. 6 Abs. 1 lit. c DSGVO, wenn wir gesetzliche Pflichten erfüllen müssen, insbesondere Aufbewahrungs-, Rechnungslegungs-, Steuer- oder Auskunftspflichten.
• Art. 6 Abs. 1 lit. f DSGVO, wenn wir berechtigte Interessen verfolgen, z. B. sicheren Betrieb, Missbrauchsprävention, Nachweis, Abrechnung, Anspruchsdurchsetzung, Plattformqualität und Produktverbesserung.
• Art. 6 Abs. 1 lit. a DSGVO, wenn wir deine Einwilligung einholen, z. B. für bestimmte freiwillige Veröffentlichungen, Newsletter oder nicht notwendige Cookies.

Du kannst eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig.

4. Website, Login, Dienstleister und KI

Beim Besuch der Website verarbeiten wir technische Daten, damit die Website angezeigt, sicher betrieben, Fehler analysiert und Missbrauch verhindert werden kann.

• Hosting und Auslieferung: Die Website und Apps werden über Vercel bereitgestellt. Dabei können technische Verbindungs-, Log- und Gerätedaten verarbeitet werden.
• Datenbank, Authentifizierung und Speicherung: Nutzerkonten, Profile und Inhalte werden in einer Datenbank von Supabase gespeichert; Supabase übernimmt auch die Authentifizierung.
• Medien: Bilder und Videos (z. B. Profilbilder, Logos, Pitch-Videos) werden über Cloudflare Images und Cloudflare Stream gespeichert und ausgeliefert. Zur Abwehr von Bots und Missbrauch setzen wir Cloudflare Turnstile ein; dabei können technische Daten einschließlich IP-Adresse verarbeitet werden.
• E-Mail-Versand: Transaktions-E-Mails (z. B. Bestätigungen, Sicherheitshinweise) versenden wir über Resend.
• Marketing-E-Mails: Nur mit deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) senden wir dir gelegentlich Produkt-Updates oder Angebote per E-Mail (ebenfalls über Resend). Du kannst diese Einwilligung jederzeit widerrufen – über den Schalter „Marketing-E-Mails" in den Einstellungen oder den Abmeldelink in jeder solchen E-Mail. Transaktions- und Sicherheits-E-Mails bleiben davon unberührt.
• Rate-Limiting: Zum Schutz vor Missbrauch nutzen wir Upstash; dabei werden kurzlebige Zähler auf Basis von Nutzer-ID oder IP verarbeitet.
• Fehler- und Sicherheitsmonitoring: Zur Stabilität und Fehleranalyse setzen wir Sentry ein. Wir übermitteln dabei grundsätzlich nur eine pseudonyme Nutzer-ID und bereinigte Fehlerdaten, keine E-Mail-Adresse.
• Cookies und Einwilligung: Schriftarten werden nach aktuellem Stand lokal bzw. über die von Cora genutzte Infrastruktur ausgeliefert. Über alle Cora-Properties hinweg nutzen wir eine gemeinsame Cookie-Einwilligung: Deine Auswahl wird in einem Cookie cora_consent auf der Domain .cora.community gespeichert, sodass sie für die Website und alle Subdomains (z. B. onboarding., platform.) gilt und der Hinweis nicht erneut erscheint; eine zufällige Kennung cora_anon_id ermöglicht die Zuordnung einer vor dem Login getroffenen Auswahl zu deinem Konto. Technisch notwendige Cookies (z. B. Anmeldung, Sicherheit, Speicherung deiner Cookie-Auswahl) sind immer aktiv. Funktionale Präferenz-Cookies (z. B. Sprache, Darstellung, „Angemeldet bleiben") werden gesetzt, wenn du die jeweilige Funktion nutzt, um deine Einstellungen zu merken; sie stammen ausschließlich von uns (First-Party) und dienen nicht der Nachverfolgung. Analyse- oder Marketing-Cookies setzen wir derzeit weder auf der Marketing-Website noch in den Apps; falls wir solche künftig einsetzen, holen wir vorher deine Einwilligung ein. Du kannst deine Auswahl jederzeit über „Cookie-Einstellungen" in den Einstellungen ändern.
• Google Login: Wenn du dich über Google anmeldest, nutzen wir Google Sign-In bzw. Google Identity Services. Dabei erhalten wir von Google jene Daten, die für Anmeldung, Kontoerstellung und Zugriffssicherung erforderlich sind, insbesondere Name, E-Mail-Adresse, Google-Konto-ID und gegebenenfalls Profilbild. Google kann dabei eigene Datenverarbeitungen durchführen, auf die wir keinen vollständigen Einfluss haben.
• KI-Dienstleister: Für bestimmte Funktionen, insbesondere zur Strukturierung von Profilangaben, KI-gestützten Klassifikation, Unterstützung des Cora Score, Textanalyse, Matching-Vorbereitung oder den KI-Assistenten, setzen wir KI-Dienstleister ein, derzeit insbesondere OpenAI und Anthropic, soweit die jeweilige Funktion genutzt wird. Dabei übermitteln wir nur jene Inhalte, die für die jeweilige Funktion erforderlich sind. Soweit möglich konfigurieren wir KI-Dienste so, dass Kundendaten nicht zum Training allgemeiner Modelle verwendet werden.
• Zahlungsabwicklung: Soweit kostenpflichtige Funktionen genutzt werden, kann die Zahlungsabwicklung über Paddle erfolgen.

Eingesetzte Cookies und Kennungen:

Zusätzlich protokollieren wir jede Einwilligungsentscheidung (gewählte Kategorien, Version, Zeitpunkt, IP-Adresse und Browserkennung) serverseitig, um die Einwilligung gemäß Art. 7 DSGVO nachweisen zu können. Auf der reinen Marketing-Website werden nach aktuellem Stand keine Tracking- oder Marketing-Cookies gesetzt.

Eine vollständige, laufend gepflegte Liste der eingesetzten Auftragsverarbeiter samt Zweck, Region und Übermittlungsgrundlage findest du in unserer Übersicht der Unterauftragsverarbeiter.

Wenn künftig Analytics, Marketing-Cookies, Pixel, Heatmaps, Social-Media-Plugins oder vergleichbare Technologien eingesetzt werden, aktualisieren wir diese Datenschutzerklärung und holen, soweit erforderlich, vorher eine Einwilligung ein.

5. Profile, Cora Score, KI-Klassifikation und Matching

Wenn du ein Profil, einen Pitch oder ein Update erstellst, verarbeiten wir die von dir bereitgestellten Angaben, um dein Profil darzustellen, Informationen zu strukturieren, Cora Score bereitzustellen, Cora Verified zu verwalten und passende Matches oder Intros zu ermöglichen.

Cora Score kann KI-gestützte Klassifikation und regelbasierte bzw. deterministische Bewertung nutzen. Score, Klassifikationen und Badges dienen der Orientierung und Strukturierung. Sie sind keine Garantie für Qualität, Erfolg, Finanzierbarkeit, Investmentwürdigkeit, Bonität, rechtliche Zulässigkeit oder wirtschaftliche Entwicklung eines Startups.

Nach aktuellem Stand treffen wir keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO. Wenn du der Ansicht bist, dass ein Score, eine Klassifikation oder ein Badge unrichtig ist, kannst du uns kontaktieren und eine Überprüfung oder Berichtigung verlangen.

Je nach Funktion und Sichtbarkeitseinstellung können Name, Rolle, Organisation, Kontaktdaten, Startup-Profil, Pitch, KPIs, Updates, Cora Score, Badge-Status, Matching-Signale und Kommunikationsstatus für ausgewählte Startups, Investor:innen, Partner:innen, Expert:innen, Jury-Mitglieder oder Community-Mitglieder sichtbar werden. Empfänger:innen, die Daten außerhalb der Cora-Plattform erhalten, handeln grundsätzlich eigenverantwortlich. Gib daher keine vertraulichen Informationen frei, wenn du diese nicht teilen möchtest.

Wenn du dein Profil oder deine Organisation für die Entdeckung sichtbar schaltest („Discovery"), können die freigegebenen Inhalte öffentlich – also auch für nicht angemeldete Besucher:innen – sichtbar und von Suchmaschinen indexiert werden. Diese Sichtbarkeit ist standardmäßig deaktiviert und kann jederzeit in den Einstellungen wieder deaktiviert werden.

Für Cora's Circle, Awards, Pilotprogramme oder Juryprozesse verarbeiten wir die dafür notwendigen Bewerbungs-, Profil-, Pitch-, Score-, Badge-, Kommunikations- und Teilnahmedaten.

6. Erfolgsvergütung, Abrechnung und Nachweis

Nach den Cora-AGB kann bei Matches, Intros oder sonstigen durch Cora ermöglichten Geschäftsanbahnungen eine Erfolgsvergütung entstehen. Die Verhandlung und Abwicklung von Investments, Finanzierungen, Beteiligungen oder Kooperationen erfolgt außerhalb der Cora-Plattform. Einzelheiten zur Höhe, Fälligkeit und zahlungspflichtigen Partei ergeben sich aus den jeweils anwendbaren AGB, Gebührenbedingungen oder gesonderten Vereinbarungen.

Zur Nachvollziehbarkeit, Prüfung und Abrechnung können wir insbesondere Nutzerkonto, Startup-ID, Investor-ID, Match-ID, Intro-ID, beteiligte Personen und Organisationen, Zeitpunkt der Registrierung oder Match-Annahme, AGB-Version, akzeptierte Konditionen, IP-Adresse, Status von Gesprächen oder Transaktionen, Transaktionsart, Transaktionsbetrag, Tranche, Rechnung, Zahlungsstatus und Korrespondenz verarbeiten.

Diese Daten nutzen wir zur Dokumentation der Einbeziehung der AGB und Bedingungen zur Erfolgsvergütung, zur Prüfung, Berechnung und Abrechnung berechtigter Ansprüche, zur Geltendmachung oder Abwehr von Ansprüchen sowie zur Erfüllung steuerlicher und unternehmensrechtlicher Pflichten.

7. Empfänger, Dienstleister und Drittlandübermittlungen

Je nach Funktion können Daten verarbeitet oder sichtbar werden für intern zuständige Personen bei Cora, technische Dienstleister, Hosting-, Datenbank-, Sicherheits-, Monitoring-, Formular-, E-Mail-, Kommunikations-, Authentifizierungs-, CRM-, KI-, Zahlungs-, Rechnungs- oder Buchhaltungsdienstleister, Steuer- und Rechtsberatung sowie Behörden oder Gerichte, soweit dies erforderlich oder gesetzlich vorgeschrieben ist.

Zu den eingesetzten oder möglichen Dienstleistern können insbesondere Supabase, Vercel, Cloudflare, Upstash, Sentry, Resend, Google, OpenAI, Anthropic und Paddle gehören, soweit die jeweilige Funktion genutzt wird. Eine laufend aktualisierte Übersicht (Dienstleister, Zweck, Region, Übermittlungsgrundlage) findest du in unserer Liste der Unterauftragsverarbeiter. Außerdem können Daten für ausgewählte Startups, Investor:innen, Business Angels, Fonds, Partner:innen, Expert:innen, Talente, Jury-Mitglieder oder Community-Mitglieder sichtbar werden, wenn dies für Profile, Matches, Intros, Awards oder freigegebene Funktionen erforderlich ist.

Einige Dienstleister können ihren Sitz außerhalb der EU bzw. des EWR haben oder Daten dort verarbeiten, insbesondere in den USA (derzeit vor allem die KI-Dienstleister OpenAI und Anthropic, Google sowie Cloudflare). Unsere Datenbank- und Authentifizierungsinfrastruktur (Supabase), das Rate-Limiting (Upstash), das Monitoring (Sentry), der E-Mail-Versand (Resend) und die Zahlungsabwicklung (Paddle) werden nach aktuellem Stand in der EU betrieben. Soweit personenbezogene Daten in Drittländer übermittelt werden, stützen wir uns auf geeignete Garantien nach Art. 44 ff. DSGVO, z. B. Angemessenheitsbeschlüsse, das EU-U.S. Data Privacy Framework, Standardvertragsklauseln und ergänzende Schutzmaßnahmen. Dienstleister, die als Auftragsverarbeiter tätig sind, werden auf Grundlage eines Auftragsverarbeitungsvertrags eingesetzt, soweit dies erforderlich ist.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten, berechtigte Nachweisinteressen oder mögliche Ansprüche bestehen. Danach löschen oder anonymisieren wir die Daten, sofern keine weitere Rechtsgrundlage besteht.

Kontakt- und Formularanfragen speichern wir grundsätzlich bis zur abschließenden Bearbeitung und für eine angemessene Nachweisfrist. Nutzerkonto-, Profil-, Pitch-, Score- und Match-Daten speichern wir für die Dauer der aktiven Nutzung oder Sichtbarkeit und danach nur, soweit dies für Nachweis, Sicherheit, Rechtsverteidigung oder gesetzliche Pflichten erforderlich ist.

Konkret löschen wir Konten, deren Einrichtung nie abgeschlossen wurde, spätestens 18 Monate nach der Registrierung und länger inaktive Konten spätestens 36 Monate nach der letzten Aktivität. Vor einer solchen Löschung informieren wir dich per E-Mail und räumen eine Frist von mindestens 30 Tagen ein, in der du dein Konto durch eine Anmeldung erhalten kannst; jede Aktivität setzt die Frist zurück. Support- und Feedback-Meldungen löschen wir grundsätzlich 36 Monate nach Erledigung. Einwilligungs- und Audit-Protokolle bewahren wir zu Nachweiszwecken in der Regel bis zu drei Jahre auf.

Daten zur Erfolgsvergütung, Rechnungen und steuerrelevante Unterlagen speichern wir grundsätzlich für die gesetzlich vorgesehenen Aufbewahrungsfristen, in Österreich regelmäßig sieben Jahre, und darüber hinaus, solange sie für anhängige Verfahren, Prüfungen oder offene Ansprüche erforderlich sind. Einwilligungs- und Zustimmungshistorien speichern wir so lange, wie dies zum Nachweis der Einwilligung oder Zustimmung und zur Abwehr oder Geltendmachung von Ansprüchen erforderlich ist.

9. Datensicherheit und Bereitstellungspflicht

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten gegen Verlust, Missbrauch, unbefugten Zugriff, Veränderung oder Offenlegung zu schützen. Dazu gehören insbesondere verschlüsselte Übertragung über HTTPS/TLS, Zugriffsbeschränkungen, rollenbezogene Berechtigungen und technische Sicherheitsmaßnahmen unserer Infrastruktur- und Plattformanbieter. Trotzdem kann keine Datenübertragung oder Speicherung im Internet vollständig risikofrei garantiert werden.

Du bist grundsätzlich nicht verpflichtet, personenbezogene Daten bereitzustellen. Bestimmte Daten sind jedoch erforderlich, damit wir deine Anfrage bearbeiten, ein Nutzerkonto anlegen, Profile bereitstellen, Cora Score berechnen, Matches ermöglichen, Intros dokumentieren oder Prozesse zur Erfolgsvergütung und Abrechnung durchführen können. Ohne diese Daten können einzelne Funktionen nicht oder nur eingeschränkt genutzt werden.

10. Deine Rechte

Dir stehen nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen sowie Widerruf einer Einwilligung mit Wirkung für die Zukunft zu. Außerdem hast du das Recht, nicht einer ausschließlich automatisierten Entscheidung nach Art. 22 DSGVO unterworfen zu werden, soweit die gesetzlichen Voraussetzungen erfüllt sind.

In den eingeloggten Bereichen kannst du außerdem unter „Einstellungen → Datenschutz" eine Kopie deiner Daten exportieren und dein Konto selbst löschen.

Zur Ausübung deiner Rechte genügt eine formlose E-Mail an privacy@cora.community. Wir können zusätzliche Informationen anfordern, wenn dies zur eindeutigen Identifikation erforderlich ist.

11. Beschwerderecht

Wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen Datenschutzrecht verstößt, kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren. Für Cora ist grundsätzlich die österreichische Datenschutzbehörde zuständig:

Österreichische Datenschutzbehörde Barichgasse 40-42 1030 Wien Österreich Website: www.dsb.gv.at E-Mail: dsb@dsb.gv.at

12. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Website, App, Plattformfunktionen, Dienstleister, rechtliche Anforderungen oder tatsächliche Datenverarbeitungen ändern. Die jeweils aktuelle Fassung stellen wir auf unserer Website bereit.