Daten und Sicherheit

Diese Seite beschreibt, wie CORTELA OS mit den Daten der Betriebe umgeht, die damit arbeiten. Sie fasst unsere Vertragsunterlagen zusammen: den Vertrag zur Auftragsverarbeitung, die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter. Verbindlich ist der Vertrag.

Am Ende steht, was wir ausdrücklich nicht zusagen.

Wo die Daten liegen

Datenbank, Anmeldung und Dateiablage laufen bei Supabase im Rechenzentrum Frankfurt am Main (AWS-Region eu-central-1). Website und Anwendung liefert STRATO aus Deutschland aus.

Supabase, Inc. ist ein Unternehmen mit Sitz in den USA. Verarbeitet werden die Daten in der EU-Region Frankfurt.

Die Daten liegen also nicht auf einem Rechner bei CORTELA, sondern beim Anbieter. Sie sind damit unabhängig von CORTELA vorhanden.

Wer die Daten verarbeitet

Diese Dienstleister verarbeiten Daten in unserem Auftrag:

Supabase, Inc. Datenbank, Anmeldung, Dateiablage, Server-Funktionen. Frankfurt am Main (EU).
STRATO AG Hosting von Website und Anwendung, E-Mail-Versand, Postfach. Deutschland.
Mistral AI SAS KI-Funktionen: Assistenz, Transkription, Auslesen von Bestellunterlagen. Frankreich (EU).
Cal.com, Inc. Terminbuchung. USA. Nur verlinkt, auf cortela.de nicht eingebettet.
Produktions- und Versandpartner Fertigung, Veredelung, Konfektionierung und Versand, je Auftrag. Deutschland und EU.

Mit Supabase, STRATO und Cal.com bestehen Verträge zur Auftragsverarbeitung. Bei Mistral gilt dessen Vertrag zur Auftragsverarbeitung als Teil der Nutzungsbedingungen. Produktions- und Versandpartner erhalten nur die Daten, die sie für den jeweiligen Auftrag brauchen.

Soll ein Dienstleister hinzukommen oder ausgetauscht werden, informieren wir unsere Kunden vorher in Textform.

Wie die Daten geschützt sind

Trennung der Betriebe. Jeder Datensatz trägt die Kennung seines Betriebs. Zugriffsregeln in der Datenbank selbst sorgen dafür, dass ein Betrieb nur seine eigenen Daten sieht, auch wenn jemand die Oberfläche umgeht. Alle Betriebe teilen sich eine Datenbank; getrennt wird über diese Regeln, nicht über eigene Instanzen.
Gemessen statt behauptet. Am 10.10.2026 hatten alle 178 Tabellen der Anwendung Zugriffsregeln aktiviert. Ob anonyme Zugriffe wirklich abgewiesen werden, prüft ein Testlauf gegen jede einzelne Tabelle.
Anmeldung. Persönliche Zugänge, keine Sammelkonten. Passwörter werden nur als Hashwert gespeichert. Eine Selbstregistrierung gibt es nicht, Zugänge entstehen nur auf Einladung. Eine Zwei-Faktor-Anmeldung per App steht bereit; ist sie für ein Konto eingerichtet, verlangt die Datenbank sie bei jedem Zugriff.
Rechte. Rechte hängen am Profil auf dem Server, nie an Angaben, die jemand selbst setzen kann. Produktionspartner sehen nur die Aufträge, die sie ausführen, ohne Kalkulation und ohne Kundendetails.
Verschlüsselung. Alle Verbindungen laufen verschlüsselt (TLS). Gespeicherte Daten verschlüsseln die Rechenzentren. Unsere eigenen Sicherungen sind zusätzlich mit AES-256 verschlüsselt.
Sicherung. Datenbank und Dateiablage werden in der Regel täglich automatisch gesichert. Jede Sicherung wird im selben Lauf zurückgelesen. Die Wiederherstellung haben wir am 14.08.2026 geprobt.
Prüfung. Geprüft wird mit Prüfprogrammen, nicht per Zusicherung: unter anderem, ob anonyme Zugriffe abgewiesen werden, ob Einkaufspreise aus dem ausgelieferten Programm herausbleiben und was ohne Anmeldung erreichbar ist.

Export und Löschung

Ein Betrieb kann jederzeit einen vollständigen Export seiner Daten verlangen, nicht erst bei Vertragsende.

Admins lösen ihn in der Anwendung selbst aus: Admin → Datenschutz-Anfragen → „Alle Daten exportieren“. Heraus kommt eine ZIP-Datei mit jeder Tabelle des Betriebs als CSV und als JSON. Zugangsschlüssel und geheime Link-Kennungen sind nicht enthalten. Die zugehörigen Dateien (Druckdaten, Belege, Anhänge) stellt CORTELA auf Verlangen im Original bereit.

Der Export umfasst alle Daten des Betriebs, nicht nur die personenbezogenen: Kunden und Kontakte, Aufträge und Positionen, Angebote, Belege, Freigaben mit ihrem Verlauf, Preis- und Konditionslisten und die Einstellungen. Nicht enthalten sind Daten anderer Betriebe und die Systemvorgaben von CORTELA wie Textilkatalog, Hilfetexte und Programmcode.

Bei Vertragsende stellen wir den Export unaufgefordert und ohne gesonderte Vergütung bereit. Danach werden die Daten gelöscht. Was gesetzlich aufbewahrt werden muss, etwa Rechnungen, wird bis zum Ende der Frist gesperrt statt gelöscht.

Anfragen betroffener Personen (Auskunft, Löschung, Berichtigung und weitere) erfasst jeder Betrieb in einem eigenen Register in der Anwendung, mit Frist und Erinnerung. Löschanträge werden durch Anonymisieren umgesetzt.

Wenn CORTELA ausfällt

CORTELA ist ein Einzelunternehmen. Fällt der Inhaber dauerhaft aus, kann niemand den Betrieb der Software als Vertretung fortführen.

Was trotzdem trägt: Die Daten liegen bei Supabase in Frankfurt und sind damit unabhängig von CORTELA vorhanden. Wer den Export regelmäßig zieht, hängt von einem Ausfall nicht ab.

Was wir nicht zusagen

Eine Verfügbarkeitsgarantie (kein SLA).
Eine feste Reaktionszeit bei Störungen.
Die Fortführung des Betriebs durch Dritte.

Außerdem: Eine zusätzliche Sicherung durch den Plattformanbieter besteht derzeit nicht, vorgesehen ist sie mit dem ersten zahlenden Betrieb. Die Zwei-Faktor-Anmeldung ist nicht für jedes Konto Pflicht. Eine Zertifizierung, etwa nach ISO 27001, haben wir nicht.

Kontakt

Fragen zu Daten und Sicherheit beantwortet Jan Keur direkt: merch@cortela.de.

Wie wir mit Daten auf dieser Website umgehen, steht in der Datenschutzerklärung. Anbieterangaben: Impressum.

Stand: 12. Oktober 2026. Wir passen diese Seite an, wenn sich Dienstleister oder Maßnahmen ändern.