Datenschutzrichtlinie

1. Verantwortlicher

Der Verantwortliche für die Datenverarbeitung der Compabase-Plattform ist die Content Writer Sp. z o.o. mit Sitz in der ul. Strzelecka 29A/39, 61-846 Poznań, Polen.

KRS (Nationales Gerichtsregister): 0001088645

NIP (Steuernummer): 7792567297

Kontakt für Datenschutzangelegenheiten: [email protected]

Der Verantwortliche hat keinen Datenschutzbeauftragten benannt. Für DSGVO-bezogene Anliegen kontaktieren Sie uns bitte unter der obigen Adresse.

Compabase-Dienste werden unter der Marke Compabase (compabase.com) erbracht. Informationsbenachrichtigungen gemäß Art. 14 DSGVO können über die Domain compabase-legal.com versendet werden – beide Domains werden vom selben Verantwortlichen betrieben.

2. Geltungsbereich dieser Erklärung

Diese Datenschutzerklärung beschreibt:

• wie wir Daten von Nutzern verarbeiten, die ein Konto im Compabase-Portal nutzen,
• wie wir Daten von Nutzern verarbeiten, die Datensätze erwerben,
• wie wir Daten aus öffentlichen Wirtschaftsregistern (KRS, CEIDG) verarbeiten und veröffentlichen,
• wie wir die Informationspflicht gemäß Art. 14 DSGVO erfüllen,
• wie wir die eigenständige Aktualisierung und Korrektur der Daten im Unternehmensprofil ermöglichen (auch ohne Konto) — siehe § 14,
• wie der auf künstlicher Intelligenz (KI) basierende Assistent der Plattform funktioniert — siehe § 15,
• wie wir technische und transaktionsbezogene Daten schützen.

Compabase ist eine B2B-Plattform zur Analyse von Wirtschaftsdaten und ausschließlich für die professionelle Nutzung bestimmt. Der Zugriff auf Unternehmensprofile und der Datenexport unterliegen dieser Richtlinie.

3. Kategorien der verarbeiteten Daten

3.1. Daten des Portal-Nutzerkontos

Bei Registrierung und Nutzung des Kontos können wir verarbeiten:

• mit dem Konto verbundene E-Mail-Adresse,
• Nutzerkennung im Authentifizierungssystem,
• beim Onboarding angegebene Daten (z. B. vertretenes Unternehmen, Kontaktperson, Einstellungen),
• Inhalte von Anfragen an den Plattform-Assistenten (falls genutzt),
• Liste beobachteter Unternehmen (Watchlist).

3.2. Transaktions- und Abrechnungsdaten

Wir erheben nur Daten, die zur Vertragserfüllung, Erbringung der bestellten Dienstleistungen und Rechnungsstellung erforderlich sind:

• E-Mail-Adresse,
• Firmenname,
• Steueridentifikationsnummer (NIP/VAT),
• Rechnungsdaten.

3.3. Zahlungsdaten

Zahlungen werden von externen Zahlungsdienstleistern (z. B. Stripe) abgewickelt. Wir speichern keine Zahlungskartennummern oder Zugangsdaten zu Bankkonten.

3.4. Technische Daten

Grundlegende technische Protokolle können umfassen:

• IP-Adresse,
• Abfrage-Metadaten,
• Zeitstempel.

Diese Daten dienen ausschließlich der Gewährleistung der Sicherheit, Systemstabilität und der Verhinderung von Missbrauch.

3.5. Öffentliche Daten aus Wirtschaftsregistern

Compabase verarbeitet und strukturiert Daten aus öffentlich zugänglichen amtlichen Registern und Dokumenten, insbesondere aus:

• dem Nationalen Gerichtsregister (KRS) und den in öffentlichen Repositorien hinterlegten Jahresabschlüssen,
• dem Zentralregister und Information über die Wirtschaftstätigkeit (CEIDG),
• dem Zentralen Register der wirtschaftlich Berechtigten (CRBR),
• dem Repositorium der Registerakten (RAR) — Gesellschafterlisten und ausgewählte Bestimmungen von Gesellschaftsverträgen,
• dem Nationalen Schuldnerregister (KRZ) und dem Gerichts- und Wirtschaftsanzeiger (MSiG),
• dem vom Finanzminister geführten Verzeichnis der Umsatzsteuerpflichtigen (sog. „weiße Liste“) — Umsatzsteuerstatus und Geschäftsbankkonten,
• Registern öffentlicher Aufträge und Verträge: dem Amtsblatt für öffentliche Aufträge (BZP), dem EU-TED, dem Zentralen Vertragsregister des Finanzministeriums sowie Verträgen des Nationalen Gesundheitsfonds (NFZ),
• weiteren amtlichen Registern: Marken des Polnischen Patentamts, staatliche Beihilfen (SUDOP), Konzessionen der Energieregulierungsbehörde, BDO, Register und öffentliche Warnliste der polnischen Finanzaufsicht (KNF) sowie Kurse der Warschauer Börse,
• Sanktionslisten (u. a. des polnischen Innenministeriums, der Europäischen Union, des Vereinigten Königreichs, OFAC SDN, BIS Entity List und der Weltbank).

Darüber hinaus erheben wir öffentlich zugängliche Informationen von den Websites der Unternehmen: Tätigkeitsbeschreibung, Website-Adresse, E-Mail-Adresse, Telefonnummer und Social-Media-Profile des Unternehmens. Eine Website wird einem Unternehmen nur zugeordnet, wenn sie dessen NIP, KRS-Nummer, REGON oder Sitzadresse enthält. E-Mail-Adressen werden technisch beim Mailserver überprüft; nicht existierende und Wegwerf-Adressen werden weder in Exporten noch über MCP bereitgestellt.

Die Plattform umfasst im KRS eingetragene Gesellschaften und sonstige Rechtsträger sowie Einzelunternehmen (CEIDG). In Profilen können u. a. dargestellt werden: Name, KRS, NIP, REGON, Rechtsform, Adresse, Status, Eintragungsdaten, Finanzdaten und algorithmisch berechnete Kennzahlen (einschließlich einer geschätzten Bewertung), Tätigkeitsbeschreibungen, Umsatzsteuerstatus und Geschäftsbankkonten, Restrukturierungs- und Insolvenzverfahren, Bekanntmachungen, öffentliche Aufträge, Verträge und Beihilfen, Marken, Konzessionen und Registereinträge, Angaben zu Sanktionslistungen, Kontaktdaten, Verflechtungen zwischen Unternehmen sowie — im in § 3.6 beschriebenen Umfang — personenbezogene Daten natürlicher Personen.

Sanktionslisten werden Unternehmen nur anhand einer eindeutigen Kennung (KRS, NIP oder REGON) aus dem Listeneintrag zugeordnet; Einträge werden Personen nicht allein anhand des Namens zugeordnet. Bei Einzelunternehmen werden Daten aus den genannten Quellen nur nach den in § 3.6 beschriebenen Grundsätzen dargestellt.

3.6. Veröffentlichung personenbezogener Daten aus Registern

Die Grundsätze für die Veröffentlichung personenbezogener Daten aus öffentlichen Registern unterscheiden sich je nach Quellregister:

Im KRS eingetragene Rechtsträger (Handelsgesellschaften, Vereine, Stiftungen und sonstige Rechtsträger):

• personenbezogene Daten von Mitgliedern der Vertretungs- und Aufsichtsorgane, Prokuristen, Liquidatoren, Gesellschaftern und Aktionären veröffentlichen wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Prüfung von Geschäftspartnern und Transparenz des Wirtschaftsverkehrs); die Informationspflicht erfüllen wir wie in § 6 beschrieben;
• wir zeigen Vor- und Nachnamen, Funktion und Funktionszeitraum, Anzahl und Wert der Anteile oder Aktien sowie das ungefähre Alter;
• deckt eine beim Repositorium der Registerakten eingereichte Gesellschafterliste das gesamte Stammkapital ab, ergänzen wir damit die Eigentümerstruktur — auch um Gesellschafter, die im KRS-Auszug nicht ausgewiesen sind (z. B. mit weniger als 10 % des Kapitals); wir zeigen nur Namen und Anteile, die Aktendateien selbst werden nicht bereitgestellt;
• personenbezogene Daten werden in den Modulen Vertretung, Eigentümerstruktur und Verflechtungen dargestellt, ausschließlich auf Unternehmensprofilen — wir führen keine eigenen Seiten über natürliche Personen.

Wirtschaftlich Berechtigte (CRBR). Name, ungefähres Alter, Staatsangehörigkeit, Wohnsitzland und Art der Kontrolle eines wirtschaftlich Berechtigten stellen wir ausschließlich angemeldeten Nutzern der Plattform sowie API- und MCP-Kunden mit Zugangsschlüssel bereit. Für nicht angemeldete Nutzer und Suchmaschinen sind diese Daten nicht verfügbar. Jede Anzeige oder jeder Abruf dieser Daten wird protokolliert (Nutzer oder API-Schlüssel, Kanal, Unternehmen, Zeitpunkt, IP-Adresse), sodass feststellbar ist, wem die Daten offengelegt wurden. Auf Grundlage von CRBR-Daten bilden wir keine Verflechtungen zwischen Personen.

Im CEIDG eingetragene Unternehmen (Einzelunternehmen):

• da das CEIDG die Geschäftsadresse offenlegt, wird das Profil eines Einzelunternehmens — einschließlich des Namens des Inhabers — erst veröffentlicht, nachdem eine Mitteilung nach Art. 14 DSGVO an eine im Register angegebene aktive E-Mail-Adresse gesendet wurde;
• enthält das Register keine oder eine inaktive E-Mail-Adresse, wird das Profil auf der Plattform weder veröffentlicht noch dargestellt (auch nicht in der Suche, über API, MCP, in Exporten und im KI-Assistenten);
• nach einem stattgegebenen Widerspruch des Inhabers wird das Profil ausgeblendet und seine Daten werden von der Plattform gelöscht; wir speichern nur die NIP mit einem Vermerk über den Widerspruch, damit die Daten nicht erneut aus dem Register übernommen werden.

Verknüpfungen von Einzelunternehmen mit Personen aus dem KRS. Da das CEIDG keine PESEL-Nummer offenlegt, ermitteln wir die Verknüpfung zwischen dem Inhaber eines Einzelunternehmens und einer im KRS eingetragenen Person anhand übereinstimmender Vor- und Nachnamen, ihrer Häufigkeit in Polen (Daten des Statistischen Hauptamts), des Standorts sowie gemeinsamer Kontaktdaten (E-Mail, Telefon, Domain, Bankkonto aus der weißen Liste, Adresse). Wir zeigen nur Verknüpfungen mit hoher Wahrscheinlichkeit, gekennzeichnet mit dem Grad der Sicherheit („Wahrscheinlich dieselbe Person“ bzw. „Dieselbe Person (hohe Sicherheit)“), und nur für Unternehmen, gegenüber denen wir die Pflicht nach Art. 14 DSGVO erfüllt haben. Eine fehlerhafte Verknüpfung kann an [email protected] gemeldet werden — nach Prüfung schließen wir sie dauerhaft aus.

Kennzeichnung als Familienstruktur. Tragen Gesellschafter, die natürliche Personen sind, denselben Nachnamen, weist die Karte der Eigentümerstruktur darauf hin, dass die Anteilsstruktur auf eine Familienkontrolle hindeutet. Die Kennzeichnung betrifft das Unternehmen, beruht ausschließlich auf den im Profil sichtbaren Nachnamen und ist ein Hinweis, keine Tatsachenfeststellung. Eine fehlerhafte Kennzeichnung kann an [email protected] gemeldet werden.

Verfahren, Bekanntmachungen und Sanktionen. Angaben aus dem KRZ spiegeln den aktuellen Stand des Registers wider — ein aus dem KRZ entfernter Eintrag verschwindet bei der nächsten Aktualisierung aus dem Profil. Bekanntmachungen aus dem MSiG werden im Wortlaut des amtlichen Anzeigers dargestellt. Angaben zu einer Sanktionslistung werden zusammen mit der Quellliste aktualisiert.

Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO). Um den Umfang der dargestellten personenbezogenen Daten auf das erforderliche Maß zu beschränken, gilt für natürliche Personen:

• wir zeigen weder die PESEL-Nummer noch das vollständige Geburtsdatum; zur Unterscheidung von Personen mit identischem Namen zeigen wir ausschließlich das ungefähre Alter, berechnet aus dem Geburtsjahr im KRS oder dem Geburtsdatum im CRBR (z. B. „47 J.“). Vollständiges Geburtsdatum und PESEL-Nummer werden weder in der Plattformoberfläche noch über API oder MCP, in Exporten oder im KI-Assistenten bereitgestellt;
• wir beschränken personenbezogene Daten auf Angaben, die sich aus der Rolle im Unternehmen ergeben; Wohnadressen, private Telefonnummern oder Daten aus privaten Social-Media-Profilen natürlicher Personen erheben wir nicht;
• auf einen begründeten Widerspruch hin können wir das ungefähre Alter oder den CRBR-Eintrag einer bestimmten Person ausblenden sowie eine E-Mail-Adresse oder Telefonnummer aus dem Profil entfernen.

Kontaktdaten von Unternehmen. E-Mail-Adresse und Telefonnummer des Unternehmens — aus dem Register oder von der Website des Unternehmens — sind für nicht angemeldete Nutzer und Suchmaschinen nicht sichtbar; wir stellen sie nur angemeldeten Nutzern, über die API und in Exporten bereit. Dies ist eine zusätzliche Sicherheitsmaßnahme (Art. 32 DSGVO), die das automatisierte Abgreifen von Adressen und Missbrauch einschränkt. Kontaktdaten stellen wir für die geschäftliche Kontaktaufnahme mit Unternehmen bereit, einschließlich der Prüfung von Geschäftspartnern und der Kundengewinnung. Compabase versendet keine Nachrichten im Namen von Nutzern. Ein Nutzer, der diese Daten zur Kontaktaufnahme verwendet, handelt als eigenständiger Verantwortlicher und ist allein für die Rechtsgrundlage der Kontaktaufnahme verantwortlich, einschließlich der Einholung einer Einwilligung in elektronische Werbung und Telefonmarketing, soweit das polnische Gesetz über elektronische Kommunikation dies verlangt. Auf Antrag entfernen wir eine E-Mail-Adresse oder Telefonnummer aus dem Profil, insbesondere eine Adresse, die den Namen einer natürlichen Person enthält.

4. Datenquellen

Daten aus den in § 3.5 genannten Registern, Jahresabschlüssen, Verzeichnissen und Listen stammen aus öffentlich zugänglichen amtlichen Quellen und werden nicht direkt bei den betroffenen Personen erhoben. Tätigkeitsbeschreibungen, Kontaktdaten und Social-Media-Profile von Unternehmen stammen von deren öffentlich zugänglichen Websites.

Nutzerkonto- und Transaktionsdaten stammen direkt vom Nutzer oder entstehen im Zusammenhang mit der Nutzung der Dienste.

Darüber hinaus können im Unternehmensprofil dargestellte Daten direkt von einer zur Vertretung des Unternehmens berechtigten oder mit ihm verbundenen Person stammen, die die Funktion zur eigenständigen Aktualisierung und Korrektur der Profildaten genutzt hat (siehe § 14). Solche Daten werden als gesonderte Ebene ergänzender Informationen gespeichert und verändern den Inhalt amtlicher öffentlicher Register nicht.

5. Zwecke und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten Daten auf folgenden Rechtsgrundlagen:

5.1. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Zweck:

• Führung des Portalkontos und Bereitstellung der Plattformdienste,
• Vertragsabwicklung und Bereitstellung bestellter Leistungen (einschließlich Exporten aus der Plattform),
• Zahlungsbestätigung.

5.2. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
Zweck:

• Ausstellung von Rechnungen,
• Führung der Buchhaltungsunterlagen.

5.3. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)
Zweck:

• strukturierter Zugang zu öffentlichen Wirtschaftsinformationen aus amtlichen Registern zur Prüfung von Geschäftspartnern und zur Sicherheit des Geschäftsverkehrs (u. a. Due Diligence, KYC/AML-Verfahren, Kreditrisikobewertung, Marktanalyse),
• Ermöglichung der geschäftlichen Kontaktaufnahme mit Unternehmen anhand ihrer Kontaktdaten (im Rahmen von § 3.6),
• Aufbau und Darstellung von Verflechtungen zwischen Unternehmen und Personen sowie von Kennzeichnungen der Eigentümerstruktur (im Rahmen von § 3.6),
• Protokollierung des Zugriffs auf Daten wirtschaftlich Berechtigter (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO),
• Gewährleistung der Plattformsicherheit und Missbrauchsverhinderung,
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen,
• Aufrechterhaltung der technischen Integrität der Datenverarbeitungssysteme.

Nicht personenbezogene Daten aus Registern (Unternehmensdaten, Finanzen, Adressen, PKD-Codes usw.) verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO für einen strukturierten Zugang zu öffentlichen Wirtschaftsinformationen.

Personenbezogene Daten (Vor- und Nachname, Funktion, Anteile einer natürlichen Person, ungefähres Alter, Status als wirtschaftlich Berechtigter, Inhaber eines Einzelunternehmens) verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO nach den Grundsätzen und im Umfang von § 3.6.

Der Verantwortliche hat eine Interessenabwägung (Legitimate Interest Assessment) durchgeführt und aktualisiert sie regelmäßig — zuletzt im Oktober 2026. Das Ergebnis teilen wir betroffenen Personen auf Anfrage mit.

6. Informationspflicht (Art. 14 DSGVO)

Werden personenbezogene Daten nicht direkt bei der betroffenen Person erhoben, erfüllen wir die Pflicht nach Art. 14 DSGVO wie folgt:

• Im KRS eingetragene Rechtsträger: da das Quellregister keine Kontaktdaten natürlicher Personen enthält und deren individuelle Ermittlung einen unverhältnismäßigen Aufwand erfordern würde (Art. 14 Abs. 5 lit. b DSGVO), wird die Informationspflicht durch die öffentliche Bereitstellung dieser Datenschutzerklärung auf der Website erfüllt. Ist im Register eine E-Mail-Adresse des Unternehmens angegeben, senden wir zusätzlich eine Informationsmitteilung an diese Adresse (von der Domain compabase-legal.com);
• Im CEIDG eingetragene Unternehmen: vor der Veröffentlichung eines Profils senden wir eine Informationsmitteilung an eine im Register angegebene aktive E-Mail-Adresse (von der Domain compabase-legal.com) mit Verweis auf diese Erklärung; ohne eine solche Mitteilung wird das Profil nicht veröffentlicht;
• bei natürlichen Personen, die uns direkt kontaktieren, verarbeiten wir die in der Korrespondenz enthaltenen Daten und erfüllen die Informationspflicht durch Bereitstellung dieser Erklärung.

Informationsmitteilungen nach Art. 14 sind keine Werbung und dienen ausschließlich der Erfüllung gesetzlicher Pflichten.

7. Automatisierte Verarbeitung und Datentransformation

Compabase erhebt, normalisiert und analysiert öffentlich zugängliche Daten automatisiert.

Finanzkennzahlen (z. B. EBITDA, Wachstums- und Stabilitätskennzahlen) sowie die geschätzte Bewertung können algorithmisch abgeleitet, berechnet, geschätzt oder interpretiert werden und stellen eine analytische Darstellung der öffentlichen Finanzdaten des Unternehmens dar.

Die Plattform kann Tätigkeitsbeschreibungen auf Grundlage öffentlich zugänglicher Informationen erstellen, einen Verflechtungsgraphen zwischen Unternehmen und Personen aufbauen und Kennzeichnungen der Eigentümerstruktur ermitteln (im Rahmen von § 3.6). Verknüpfungen von Einzelunternehmen mit Personen aus dem KRS werden probabilistisch ermittelt und mit einem Sicherheitsgrad gekennzeichnet.

Die Plattform kann Maßnahmen ergreifen, um die Aktualität und Qualität der Daten sicherzustellen, einschließlich ihrer technischen Überprüfung.

Compabase setzt keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO ein und erzeugt keine Rechtswirkungen gegenüber natürlichen Personen.

8. Datenweitergabe und Empfänger

Wir verkaufen personenbezogene Daten nicht als eigenständige Produkte. Analyse- und Werbetools (Google Analytics, Meta Pixel) setzen wir nur mit Einwilligung des Nutzers ein. Die Plattform bietet Nutzern Zugang zu öffentlich verfügbaren Unternehmensdaten (Profilansicht, API, MCP-Server, Dateiexporte und KI-Assistent), einschließlich in öffentlichen Registern offengelegter personenbezogener Daten (gemäß § 3.6). Daten wirtschaftlich Berechtigter stellen wir nur identifizierbaren Empfängern bereit (angemeldeten Nutzern sowie API- und MCP-Kunden), und jeder solche Zugriff wird protokolliert.

In Registern offengelegte personenbezogene Daten von Vertretern (z. B. Name, Funktion) sind Bestandteil der Registerdaten des Unternehmens und für Nutzer bei der Profilansicht, über die API und in Datenexporten als Teil dieser Registerdaten verfügbar (gemäß § 3.6). Personenbezogene Daten sind jedoch kein eigenständiges kommerzielles Produkt — sie werden nicht als gesonderte Datenbank personenbezogener Daten verkauft oder bereitgestellt.

Daten können folgenden Kategorien von Empfängern (Auftragsverarbeitern oder kooperierenden Stellen) anvertraut oder offengelegt werden:

• Zahlungsdienstleistern (z. B. Stripe),
• dem Hosting-Anbieter — Hetzner Online GmbH (Server in Deutschland und Finnland), auf dessen Infrastruktur wir die Anwendung und die Datenbank betreiben,
• Anbietern von Tools zum Versand der Informationsmitteilungen nach Art. 14 DSGVO,
• Anbietern von KI-Modellen und -Diensten für den KI-Assistenten (u. a. OpenAI Ireland Ltd; siehe § 15), die als Auftragsverarbeiter tätig sind und übermittelte Inhalte nicht zum Training von Modellen verwenden dürfen,
• Anbietern von Analyse- und Werbetools (Google Analytics, Meta Pixel) — nur mit Einwilligung des Nutzers,
• Buchhaltungs- und Steuerdienstleistern,
• Stellen, die Sicherheit, Wartung und Entwicklung der Plattform unterstützen.

Alle Auftragsverarbeiter handeln, soweit erforderlich, auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO).

9. Datenübermittlung außerhalb des EWR

Aufgrund der globalen Natur einiger Infrastrukturanbieter (z. B. Zahlungen) können Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Es werden angemessene Garantien, wie EU-Standardvertragsklauseln, angewendet. Die primäre Infrastruktur wird in der EU betrieben.

10. Aufbewahrungsfrist

Buchhaltungs- und Abrechnungsunterlagen: für die steuerrechtlich vorgeschriebene Dauer.

Daten des Portal-Nutzerkontos: solange das Konto aktiv ist und nach seiner Löschung bis zum Ablauf der allgemeinen Verjährungsfristen für zivilrechtliche Ansprüche (in der Regel 3 oder 6 Jahre nach polnischem Zivilgesetzbuch).

Transaktionsbezogene E-Mail-Adresse: nur so lange, wie es für die Lieferung und die Lösung technischer Probleme erforderlich ist.

Technische Protokolle: für einen begrenzten, für Sicherheit und Integrität des Systems erforderlichen Zeitraum.

Protokoll der Zugriffe auf Daten wirtschaftlich Berechtigter: 3 Jahre ab dem Zugriff.

Öffentliche Registerdaten (nicht personenbezogen): solange sie in amtlichen öffentlichen Registern verbleiben oder für die Kontinuität der Wirtschaftsinformation erforderlich sind.

Personenbezogene Daten aus Registern: solange sie im jeweiligen öffentlichen Register offengelegt sind, sofern nicht früher Gründe für die Einstellung der Veröffentlichung eintreten (z. B. ein stattgegebener Widerspruch der betroffenen Person). Beendete Funktionen werden wie im Register als historisch dargestellt. Daten aus dem CRBR, dem KRZ und Sanktionslisten spiegeln den aktuellen Stand der Quelle wider und werden von der Plattform entfernt, sobald sie in der Quelle entfernt werden. Nach der Entfernung von der Plattform können Daten nur für die Dauer der Verjährungsfristen archiviert werden.

Kontaktdaten von Unternehmen: solange sie aktiv und dem Unternehmen zugeordnet sind; auf Antrag entfernte Daten werden nicht erneut veröffentlicht.

Von der Plattform ermittelte Verflechtungen und Kennzeichnungen: werden laufend neu berechnet und entfallen zusammen mit den Daten, aus denen sie abgeleitet wurden.

Vermerk über einen stattgegebenen Widerspruch (Kennung des Unternehmens oder der Person und Datum): ohne zeitliche Begrenzung, da er erforderlich ist, um eine erneute Erhebung und Veröffentlichung der Daten zu verhindern.

11. Rechte der betroffenen Personen

Alle Personen, deren personenbezogene Daten wir verarbeiten (sowohl Nutzer der Plattform als auch in Unternehmensprofilen offengelegte Personen), haben folgende Rechte:

• Auskunft über ihre Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) — in den gesetzlichen Grenzen, insbesondere wenn die Daten weiterhin in einem öffentlichen Register enthalten sind,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) — für automatisiert auf Vertragsgrundlage verarbeitete Daten,
• Widerspruch gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung (Art. 21 DSGVO).

Jeder Antrag und jeder Widerspruch wird einzeln geprüft. Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO), vorbehaltlich der in der DSGVO vorgesehenen Fälle. Ist ein Widerspruch oder Antrag begründet, kann die Verarbeitung eingeschränkt oder geändert werden oder — soweit technisch möglich — können personenbezogene Daten aus der Darstellung auf der Plattform entfernt werden (wobei die nicht personenbezogenen Registerdaten des Unternehmens erhalten bleiben).

Insbesondere: nach einem stattgegebenen Widerspruch des Inhabers eines Einzelunternehmens blenden wir das Profil aus und löschen die Daten; bei im KRS offengelegten Personen können wir — bei Darlegung einer besonderen Situation — das ungefähre Alter oder den CRBR-Eintrag ausblenden; auf Antrag entfernen wir eine E-Mail-Adresse oder Telefonnummer aus dem Profil und schließen eine fehlerhafte Verknüpfung aus. Auf einen Auskunftsantrag nach Art. 15 DSGVO nennen wir auch die Empfänger, denen CRBR-Daten der Person offengelegt wurden (anhand des Zugriffsprotokolls).

Anträge können an [email protected] gerichtet werden (Betreff: „DSGVO“).

Sie haben das Recht, Beschwerde beim Präsidenten des polnischen Amtes für den Schutz personenbezogener Daten (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warschau, uodo.gov.pl, einzulegen.

12. Cookies

Compabase verwendet Cookies in zwei Kategorien:

• Notwendig (immer aktiv): Sitzung, Anmeldung, Zahlungen, Sprache, Währung und der Betrieb der Website.
• Analyse und Marketing (nur mit Zustimmung): Google Analytics (Reichweitenmessung) und Meta Pixel (Wirksamkeitsmessung und Kommunikation). Die Skripte und Cookies dieser Tools werden erst nach der Annahme im Cookie-Banner geladen.

Ohne Zustimmung bleiben ausschließlich die für den Betrieb der Website erforderlichen Cookies. Die Einwilligung kann jederzeit in der Fußzeile („Cookie-Einstellungen“) geändert werden.

13. Sicherheitsmaßnahmen

Wir setzen geeignete organisatorische und technische Maßnahmen zum Schutz der Daten ein, darunter eine sichere Infrastruktur, Zugriffskontrollen, Verschlüsselung der Datenübertragung sowie Überwachung zur Verhinderung unbefugter Zugriffe und von Missbrauch.

Zur Risikominimierung gehören u. a.: das Ausblenden von E-Mail-Adressen und Telefonnummern für nicht angemeldete Nutzer (siehe § 3.6), die Bereitstellung von CRBR-Daten nur an identifizierbare Empfänger mit Zugriffsprotokoll, die Begrenzung der dargestellten personenbezogenen Daten (keine PESEL-Nummer und kein vollständiges Geburtsdatum, nur ein ungefähres Alter) sowie technische Beschränkungen des Datenzugriffs über API, MCP-Server, Exporte und den KI-Assistenten.

14. Eigenständige Aktualisierung und Korrektur der Profildaten

Wir bieten eine Funktion, mit der zur Vertretung des Unternehmens berechtigte oder mit ihm verbundene Personen die im Unternehmensprofil dargestellten Daten (z. B. Tätigkeitsbeschreibung, Logo, Kontaktdaten) eigenständig ergänzen, aktualisieren und korrigieren können. Diese Funktion dient der Richtigkeit und Aktualität der Daten (Art. 5 Abs. 1 lit. d DSGVO) und erleichtert die Ausübung des Rechts auf Berichtigung (Art. 16 DSGVO).

Die Funktion kann auf zwei Wegen genutzt werden:

• nach Anmeldung im Portal und Bestätigung der Berechtigung zur Verwaltung des Profils (Verifizierung anhand der Domain der geschäftlichen E-Mail-Adresse, die mit den Registerdaten übereinstimmt),
• ohne Konto — im Modus der einmaligen Bearbeitung, nach Bestätigung der Kontrolle über die geschäftliche E-Mail-Adresse (Domain-Verifizierung über einen einmaligen, zeitlich begrenzten Link an eine Adresse in der Domain des Unternehmens).

Die Domain-Verifizierung stellt sicher, dass die Daten nur von einer das Unternehmen kontrollierenden Person geändert werden. Die über diese Funktion übermittelten Daten verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Auf diesem Weg eingegebene Daten bilden eine Ergänzungsschicht und ändern den Inhalt der amtlichen öffentlichen Register nicht.

15. KI-Assistent (künstliche Intelligenz)

Auf der Plattform stellen wir einen auf künstlicher Intelligenz (KI) basierenden Assistenten bereit, der Fragen in natürlicher Sprache zu den im Dienst verfügbaren Wirtschaftsdaten ermöglicht und Antworten, Visualisierungen und Dateien auf deren Grundlage bereitstellt.

• Kein Training von Modellen mit Nutzerdaten. Wir trainieren, optimieren oder erstellen keine eigenen KI-Modelle auf Basis von Nutzerdaten, Anfrageinhalten oder Plattformdaten. Wir nutzen Modelle externer Anbieter (u. a. OpenAI), die als Auftragsverarbeiter tätig sind; die an das Modell übermittelten Inhalte werden vom Anbieter nicht zum Training seiner Modelle verwendet. Hinterlegt ein Nutzer einen eigenen Schlüssel eines KI-Anbieters, werden Anfragen an den vom Nutzer gewählten Anbieter zu den Bedingungen des Vertrags zwischen Nutzer und Anbieter übermittelt.
• Begrenzter, kontrollierter Datenzugriff. Der Assistent greift auf Daten ausschließlich über von uns definierte Werkzeuge (MCP-Schnittstelle) zu, die vordefinierte, parametrisierte und ausschließlich lesende Datenbankabfragen darstellen. Diese Werkzeuge arbeiten auf einem begrenzten Datenbestand und auf Ansichten, die die in dieser Erklärung beschriebenen Beschränkungen für personenbezogene Daten bereits berücksichtigen (u. a. die Schranke nach Art. 14 DSGVO, kein Zugriff auf PESEL-Nummer und vollständiges Geburtsdatum sowie CRBR-Daten nur für identifizierbare Nutzer).
• Vom Assistenten erstellte Dateien. Der Assistent kann eine CSV-, Excel- oder JSON-Datei mit auf der Plattform verfügbaren Daten erstellen. Die Datei enthält nur Daten, die der Nutzer im Dienst sehen kann, mit denselben Beschränkungen für personenbezogene Daten.
• Keine automatisierte Entscheidungsfindung. Der KI-Assistent hat ausschließlich informativen und unterstützenden Charakter. Er trifft gegenüber natürlichen Personen keine Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Bedeutung im Sinne von Art. 22 DSGVO. Die generierten Ergebnisse können Ungenauigkeiten enthalten und erfordern eine eigenständige Überprüfung.
• Inhalt der Interaktionen. Der Inhalt der an den Assistenten gerichteten Anfragen, der Inhalt der Antworten und die zugehörigen technischen Metadaten (Chatverlauf) werden zur Erbringung des Dienstes, zur Gewährleistung seiner Sicherheit, zur Qualitätssicherung, zur Auditierung, zur Missbrauchsverhinderung sowie zur Dokumentation etwaiger Versuche der Umgehung oder Manipulation von Schutzmaßnahmen erfasst und gespeichert (Art. 6 Abs. 1 lit. b und f DSGVO). Der Chatverlauf wird nicht zum Training von KI-Modellen verwendet; er kann jedoch als Beweismittel in Verfahren wegen Verstößen gegen die Nutzungsbedingungen dienen, einschließlich Versuchen, Schutzmaßnahmen zu umgehen.