Datenschutz
Fassung admin · 15.10.2026
1. Verantwortlicher und Kontakt
Cors365 ist ein Service von sunlesh, Chadi Najjar, Luitpoldstr. 24, 85072 Eichstätt, Deutschland. Für Datenschutzanfragen: mail@cors365.com, Telefon +49 (0)8421 9071106.
Diese Hinweise beschreiben die Verarbeitung eigener Website-, Konto-, Vertrags- und Supportdaten durch den Betreiber. Für personenbezogene Geschäftsdaten innerhalb eines Kunden-Workspaces bestimmt grundsätzlich der Kunde die Zwecke und Rechtsgrundlagen. Die Auftragsverarbeitung hierfür ist vor Beginn gesondert zu vereinbaren.
2. Website, Hosting und Sicherheit
Der Hostingdienst verarbeitet technische Anfragen und Serverprotokolle einschließlich IP-Adresse, Zeitpunkt, angeforderter Seite und Browserangaben zur Bereitstellung und Sicherung des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist ein sicherer, verfügbarer Betrieb. Hostinganbieter, Standort und Protokollfristen: Host Europe GmbH, c/o Spaces, Gertrudenstraße 30–36, 50667 Köln, Deutschland. Serverstandort: Europa. Aufbewahrungsfrist für archivierte Apache-Zugriffsprotokolle: laut Anbieter 14 Tage..
In der Anwendung werden IP-Adresse und User-Agent zentral für Sicherheits- und Aktionsnachweise gespeichert und mit einer UUID referenziert. Die serverseitig konfigurierte Frist zur Anonymisierung beträgt standardmäßig 30 Tage ohne weitere Aktivität. Externe Serverprotokolle haben eigene Fristen. Diese Verbindungsdaten werden nicht zur Website-Statistik verwendet.
3. Anmeldung über ePassID
Zur Anmeldung über OAuth2/OpenID Connect werden Anbieterkennung (Issuer), Benutzerkennung (Subject) und, soweit freigegeben, Name und E-Mail verarbeitet. Cors365 speichert keine ePassID-Passwörter. Rechtsgrundlagen sind die Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO und, bei zugeordneten Beschäftigten, das berechtigte Interesse an einem kontrollierten Workspace-Zugriff nach lit. f. Die kostenlose Testphase wird benutzerbezogen gespeichert und bei Workspace-Löschung nicht erneut gewährt.
Informationen zum ePassID-Anbieter und dessen Verarbeitung: ePassID, bereitgestellt durch sunlesh, vertreten durch Chadi Najjar, Luitpoldstraße 24, 85072 Eichstätt, Deutschland.
4. Notwendige Cookies
Notwendige Session-Cookies ermöglichen Anmeldung, Rechteprüfung und CSRF-Schutz. Ein zusätzlicher, zufälliger Anmeldeschlüssel kann den Zugriff bis zu 30 Tage aufrechterhalten. Die Datenbank speichert dessen Prüfsumme; Wiederherstellung erneuert den Schlüssel, Abmelden widerruft ihn. Der notwendige Endgerätezugriff erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG. Weitere Verarbeitung beruht auf Art. 6 Abs. 1 lit. b bzw. f DSGVO. Optionale Werbe- oder Analyse-Cookies werden nicht gesetzt.
5. Vertrag, Abo und Zahlungsanbieter
Firmen-, Anschrift-, Kontakt-, Tarif- und Zahlungsstatusdaten werden zur Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO und für gesetzliche Nachweise nach lit. c verarbeitet. Cors365 speichert Referenzen auf Abo und Zahlungen, bestätigte Zeiträume und Abrechnungsbelege. Zahlungsdaten werden im Checkout beim eingerichteten Zahlungsanbieter eingegeben. Stripe erhält die erforderlichen Bestell- und Rechnungsdaten; PayPal erhält Tarif, Steuerbetrag und eine Organisationsreferenz. Statusmeldungen werden mit dem Anbieter abgeglichen. Es gelten zusätzlich die jeweiligen Datenschutzhinweise von Stripe (https://stripe.com/de/privacy) und PayPal (https://www.paypal.com/de/legalhub/paypal/privacy-full). Vertragsgesellschaften, Regionen und Übermittlungsgrundlagen der Zahlungsanbieter: Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland.
PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg..
6. Geschäftsdaten und Personalbereich
Die Anwendung speichert Kundendaten, Kontakte, Geschäftsaktivitäten, Finanzdokumente, Bankimporte, Belege, Projekte, Aufträge, Touren- und Beförderungsangaben sowie vom Kunden eingegebene Personal-, Arbeitszeit-, Abwesenheits- und Unterlagendaten. Inhalte und Rechtsgrundlagen bestimmt der Kunde. Besondere Kategorien personenbezogener Daten dürfen nur bei vorliegender Rechtsgrundlage und geeignetem Schutz verarbeitet werden.
Zugriffe sind rollen- und mandantenbezogen. Abteilungsleitungen und zeitlich begrenzte Vertretungen erhalten für Freigaben notwendige Antragsdaten; dadurch erhalten sie keine allgemeinen Gehalts- oder Personalaktenrechte. Medizinische Abwesenheitsanträge sind von den eingeschränkten Abteilungsfreigaben ausgeschlossen. Freigegebene Dokumente enthalten historische Kopien; Dateien werden privat gespeichert und mit Prüfsummen versehen.
7. Kontakt, Support und E-Mail
Kontaktformulare und Tickets speichern Name, E-Mail, Kategorie, Nachrichten und freiwillige Anhänge. Bearbeitungsnotizen sind nur für berechtigten Betreibersupport bestimmt. Rechtsgrundlage ist bei Vertragsanfragen Art. 6 Abs. 1 lit. b DSGVO, sonst lit. f mit dem Interesse an Bearbeitung und Missbrauchsschutz. Geschlossene Tickets werden bei regelmäßiger Bereinigung nach der konfigurierten Frist (standardmäßig 90 Tage ohne Bearbeitung) gelöscht; offene Anfragen bleiben zur Bearbeitung gespeichert. Gesetzlich erforderliche Vertragsnachweise können länger aufbewahrt werden.
Benachrichtigungen werden über Microsoft Graph / Exchange Online gesendet oder bis zum Versand in einer privaten Warteschlange gehalten. Dienstleisterinformationen: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland.. Externe Postfachaufbewahrung ist gesondert zu konfigurieren. Vertrauliche Portal-Links gelten sieben Tage, Supportlinks haben eine eigene begrenzte Gültigkeit; gespeichert werden nur Prüfsummen der Zugriffsschlüssel.
8. Dokumentauslesen und Auswertungen
PDF-Text wird in der Anwendung gelesen; Bild-OCR wird mit lokal bereitgestellten Bibliotheken im Browser ausgeführt. Dokumentinhalte werden hierfür nicht an einen externen OCR-Dienst übertragen. Extraktion und Zuordnung sind Vorschläge, die der Kunde bestätigt. Website-Statistik zählt Seitenaufrufe nach Tag und Kategorie ohne Tracking-Cookies, IP-Adressen oder einzelne Besuchsverläufe. Interne Auswertungen nutzen die jeweiligen Workspace-Daten bzw. aggregierte Betreiberkennzahlen. Statistik kann abgeschaltet werden; die standardmäßige Bereinigungsfrist beträgt 395 Tage.
9. Aufbewahrung, Export, Löschung und Sicherungen
Verarbeitung endet, wenn der Zweck entfällt und keine Aufbewahrungspflicht oder andere zulässige Grundlage entgegensteht. Finanzunterlagen können gesetzlichen Fristen unterliegen. Workspace-Eigentümer können den Abschluss und eine Löschprüfung beantragen. Spesenunterlagen und übrige Geschäftsdaten werden gesondert auf notwendige Fristen und Rechtsstreitigkeiten geprüft. Die technische Mindestfrist für Finanzdokumente beträgt acht Jahre ab Jahresende; im Einzelfall können längere Pflichten bestehen.
Private Dateien und Datenbank werden verschlüsselt gesichert, sofern die Sicherung eingerichtet ist. Der empfohlene lokale Sicherungszyklus beträgt 30 Tage; externe Sicherungskopien benötigen eigene Fristen. Sicherungen werden nicht als aktive Geschäftsdaten genutzt. Nach Wiederherstellung sind bereits freigegebene Löschungen erneut umzusetzen. Exporte enthalten sensible Daten und sind vom Empfänger zu schützen.
10. Empfänger, Übermittlungen und Auftragsverarbeitung
Empfänger sind berechtigte Betreiber, beauftragte Hosting-, E-Mail-, Authentifizierungs- und Zahlungsdienstleister sowie berechtigte Workspace-Nutzer im vereinbarten Umfang. Die beauftragten Dienstleister, Regionen und Übermittlungsgrundlagen werden in diesen Hinweisen und der veröffentlichten Dienstleisteranlage genannt. Für vom Kunden bestimmte Workspace-Daten ist die Vereinbarung zur Auftragsverarbeitung maßgeblich.
11. Rechte
Betroffene Personen können unter den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen. Erteilte Einwilligungen können für die Zukunft widerrufen werden. Anfragen zu Workspace-Daten richten Sie vorrangig an das verantwortliche Kundenunternehmen; der Betreiber unterstützt dieses im vereinbarten Rahmen. Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständige Behörde für den Betreiber: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), https://www.lda.bayern.de/.
Es erfolgt keine automatisierte Entscheidung über Betroffene mit rechtlicher oder vergleichbar erheblicher Wirkung allein durch die Anwendung.
Elektronische Vertragserklärungen
Für Widerrufs- und Kündigungserklärungen verarbeitet Cors365 Namen/Firma, E-Mail, Vertragsreferenz, gegebenenfalls Kündigungsart, gewünschten Termin und Begründung sowie den Inhalt und den Zeitpunkt des Eingangs. Zweck sind Entgegennahme, Bearbeitung, Eingangsbestätigung und Nachweis der Vertragserklärung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, gegebenenfalls lit. c DSGVO und das berechtigte Interesse am Nachweis nach lit. f. Der Eingangsbeleg wird unabhängig vom Supportticket gespeichert; die allgemeine Ticketbereinigung löscht ihn nicht. Aufbewahrung wird nach den tatsächlich anwendbaren Vertrags-, Nachweis- und gesetzlichen Fristen beurteilt. Ein vertraulicher Downloadlink gilt 30 Tage. Die E-Mail-Bestätigung wird sofort zuzustellen versucht; fehlgeschlagener Versand wird erneut eingeplant. Die Anwendung entscheidet dadurch nicht automatisch über das Bestehen eines Widerrufsrechts und ändert ohne Zuordnung keine fremden Abonnements.