Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website und in der Plattform Energiefundament im Sinne des Art. 4 Nr. 7 DSGVO ist:

Kadelo GmbH
Bebraer Weg 11
40627 Düsseldorf
Deutschland

Vertreten durch: Heike Kasper (Geschäftsführung)
Telefon: +49 151 65136076
E-Mail: info@energiefundament.de

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung dieser Website, für unsere Energieberatungsleistungen oder aufgrund einer gesetzlichen Pflicht erforderlich ist. Rechtsgrundlagen sind je nach Verarbeitung:

• Art. 6 Abs. 1 lit. a DSGVO – Ihre Einwilligung, etwa für optionale Cookies bzw. Speichervorgänge auf Ihrem Endgerät.
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen, etwa bei Anfragen, Nutzerkonten und der Beratung selbst.
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Pflichten, etwa handels- und steuerrechtlicher Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO – unsere berechtigten Interessen, etwa an einem sicheren und störungsfreien Betrieb der Plattform.

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die in den Formularen als erforderlich gekennzeichneten Angaben können wir Ihre Anfrage allerdings nicht bearbeiten.

Diese Website und die Plattform werden bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, gehostet. Vercel verarbeitet in unserem Auftrag alle Daten, die Sie beim Aufruf und bei der Nutzung der Plattform übermitteln. Wir haben mit Vercel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren und leistungsfähigen Bereitstellung unseres Online-Angebots. Soweit eine Einwilligung nach § 25 Abs. 1 TDDDG eingeholt wurde, erfolgt die Verarbeitung ausschließlich auf dieser Grundlage.

Eine Übermittlung von Daten in die USA lässt sich dabei nicht ausschließen. Sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter dort zertifiziert ist, im Übrigen auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. In den USA besteht kein dem europäischen Recht gleichwertiges Datenschutzniveau; insbesondere ist ein Zugriff durch US-Behörden nicht in jedem Fall ausgeschlossen.

Bei jedem Aufruf unserer Seiten erhebt unser Hosting-Anbieter automatisch Informationen, die Ihr Browser übermittelt (Server-Logfiles):

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• aufgerufene Seite bzw. Datei und übertragene Datenmenge
• Meldung über den Abrufstatus (HTTP-Statuscode)
• Browsertyp, Browserversion und verwendetes Betriebssystem
• zuvor besuchte Seite (Referrer)

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und dienen ausschließlich der technischen Bereitstellung, der Fehleranalyse und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logdaten werden nach spätestens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

Wir speichern Informationen auf Ihrem Endgerät bzw. lesen dort gespeicherte Informationen aus. Für unbedingt erforderliche Speichervorgänge ist das nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig; die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Alle übrigen Speichervorgänge setzen Ihre Einwilligung nach § 25 Abs. 1 TDDDG voraus, die Sie über unseren Cookie-Hinweis erteilen und jederzeit mit Wirkung für die Zukunft widerrufen können (Art. 7 Abs. 3 DSGVO).

Unbedingt erforderlich:

• authjs.session-token (in der verschlüsselten Auslieferung mit dem Präfix __Secure-) – hält Ihre Anmeldung im Kundenportal aufrecht. Laufzeit: 8 Stunden.
• cookie_consent – speichert Ihre Auswahl im Cookie-Hinweis, damit dieser nicht bei jedem Aufruf erneut erscheint. Laufzeit: 12 Monate.

Optional (nur mit Ihrer Einwilligung):

• i18nextLng – merkt sich die gewählte Sprache (Deutsch/Englisch). Laufzeit: 12 Monate.
• sidebar_state – merkt sich, ob die Seitenleiste im Portal ein- oder ausgeklappt ist. Laufzeit: 7 Tage.
• energieberatung-plus-theme – merkt sich die Wahl zwischen hellem und dunklem Design. Dieser Wert wird nicht als Cookie, sondern im lokalen Speicher (localStorage) Ihres Browsers abgelegt und bleibt dort, bis Sie ihn über die Browsereinstellungen löschen.

Diese Speichervorgänge dienen ausschließlich der Funktion der Plattform. Eine Nachverfolgung Ihres Verhaltens über mehrere Websites hinweg findet nicht statt. Sie können Ihren Browser zudem so einstellen, dass Cookies generell abgelehnt oder beim Schließen des Browsers gelöscht werden; die Funktionsfähigkeit des Kundenportals kann dadurch eingeschränkt sein.

Wir setzen keine Webanalyse-, Tracking-, Profiling- oder Werbedienste ein. Es findet insbesondere keine Reichweitenmessung, kein Retargeting und keine Einbindung von Social-Media-Plug-ins statt. Auch Schriftarten und Bilder werden ausschließlich von unserem eigenen Server ausgeliefert, sodass beim Seitenaufruf keine Verbindung zu Drittanbietern aufgebaut wird.

Sollten wir künftig einen Analysedienst einsetzen, werden wir diese Erklärung vorab anpassen und – soweit erforderlich – Ihre Einwilligung einholen.

Über unser Kontaktformular können Sie eine Beratung anfragen. Verarbeitet werden dabei Ihr Name, Ihre E-Mail-Adresse sowie – soweit angegeben – Ihre Telefonnummer, ein gewünschter Rückrufzeitpunkt und der Inhalt Ihrer Nachricht.

Wir verwenden diese Daten ausschließlich, um Ihre Anfrage zu bearbeiten und mit Ihnen Kontakt aufzunehmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf den Abschluss eines Vertrags gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen).

Zusammen mit Ihrer Anfrage – auch zum Energieausweis und aus dem Wärmepumpen-Check – speichern wir, über welchen Weg Sie auf unsere Website gekommen sind: die Kampagnenkennzeichnung im aufgerufenen Link (sogenannte UTM-Parameter, z. B. „google_business_profile“ für Links aus unserem Google-Unternehmensprofil) oder, wenn keine vorhanden ist, den Namen der verweisenden fremden Website (z. B. www.google.com). Im Kontaktformular können Sie außerdem freiwillig angeben, wie Sie uns gefunden haben. Diese Angaben werden erst beim Absenden ausgelesen und nicht auf Ihrem Endgerät gespeichert. Wir nutzen sie, um zu erkennen, über welche Wege Anfragen zu uns kommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Ausrichtung unseres Angebots); gespeichert und gelöscht werden sie zusammen mit der Anfrage.

Zur Abwehr von automatisierten Massenanfragen (Spam) begrenzen wir die Zahl der Anfragen je IP-Adresse innerhalb eines Zeitfensters. Dazu wird die IP-Adresse kurzzeitig in einem Zwischenspeicher (Vercel KV) vorgehalten und nach Ablauf des Zeitfensters automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Ihre Anfrage speichern wir, bis sie abschließend bearbeitet ist und keine Rückfragen mehr zu erwarten sind, längstens jedoch bis zum Ablauf etwaiger gesetzlicher Aufbewahrungsfristen. Sie können der Speicherung jederzeit widersprechen bzw. deren Löschung verlangen.

Für die Anforderung eines Energieausweises erheben wir zusätzlich gebäudebezogene Angaben: Art des gewünschten Ausweises, Gebäudetyp, Baujahr, Wohnfläche, Zahl der Wohneinheiten und Heizungsart sowie Ihre Kontaktdaten und eine optionale Nachricht.

Diese Angaben benötigen wir, um Ihre Anfrage einschätzen und ein Angebot erstellen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Nach Eingang erhalten Sie eine Eingangsbestätigung per E-Mail; parallel wird die für Sie zuständige Beratungsperson benachrichtigt.

Verfügen wir über einen für Sie ausgestellten Energieausweis, erinnern wir Sie vor dessen Ablauf einmalig per E-Mail an die anstehende Erneuerung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Fortführung der Kundenbeziehung); Sie können dieser Verarbeitung jederzeit widersprechen.

Der Wärmepumpen-Check auf unserer Startseite wird vollständig in Ihrem Browser ausgewertet. Ihre Antworten werden dabei weder an uns übertragen noch auf Ihrem Endgerät gespeichert; nach dem Schließen oder Neuladen der Seite sind sie verworfen.

Nur wenn Sie sich das Ergebnis per E-Mail zusenden lassen, übermitteln Sie uns Ihren Vornamen, Ihre E-Mail-Adresse und Ihre Antworten aus dem Check. Wir verwenden diese Angaben, um Ihnen das Ergebnis mit den zugehörigen Hinweisen zuzusenden; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zusätzlich wird die Anfrage der für Sie zuständigen Beratungsperson angezeigt, damit sie bei einer späteren Kontaktaufnahme darauf zurückgreifen kann; Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO, und Sie können dem jederzeit widersprechen. Einen Newsletter oder Werbung senden wir Ihnen nicht.

Wechseln Sie aus dem Ergebnis in das Kontaktformular, übernehmen wir Ihre Antworten als Text in das Nachrichtenfeld. Sie können ihn vor dem Absenden ändern oder löschen. Für die Begrenzung von Massenanfragen, die Speicherdauer und das Kontaktformular gilt das unter Ziffer 7 Gesagte entsprechend.

Für den Versand von E-Mails aus der Plattform – etwa Eingangsbestätigungen, Zugangseinladungen, Links zum Zurücksetzen des Passworts, Benachrichtigungen über neue Nachrichten oder Dokumente sowie Fristerinnerungen – nutzen wir den E-Mail-Dienst „Domain-Offensive“ (do.de) der Greenmark IT GmbH, Leinstraße 3, 31061 Alfeld (Leine), Deutschland, als Auftragsverarbeiterin im Sinne des Art. 28 DSGVO.

Übermittelt werden dabei Ihre E-Mail-Adresse, Ihr Name sowie der Inhalt der jeweiligen Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Nachrichten, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Da es sich um ein deutsches Unternehmen handelt, findet für den E-Mail-Versand keine Übermittlung in ein Drittland statt.

Bitte beachten Sie, dass die Übertragung von E-Mails im Internet nicht durchgängig verschlüsselt erfolgt und Sicherheitslücken nicht vollständig ausgeschlossen werden können. Für vertrauliche Unterlagen empfehlen wir daher den Upload über Ihr Kundenkonto.

Für die Zusammenarbeit richten wir Ihnen ein persönliches Konto ein. Gespeichert werden Ihr Name, Ihre E-Mail-Adresse, Ihr Passwort (ausschließlich als nicht rückrechenbarer Hashwert nach dem bcrypt-Verfahren), der Zeitpunkt Ihrer Zustimmung zu Datenschutzerklärung und Nutzungsbedingungen, Ihre Benachrichtigungseinstellungen sowie – falls Sie die Zwei-Faktor-Authentifizierung aktivieren – das zugehörige Geheimnis.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Einladungs-, Verifizierungs- und Passwort-Zurücksetzen-Links sind zeitlich befristet und verlieren nach Ablauf automatisch ihre Gültigkeit. Ihr Konto können Sie jederzeit über uns löschen lassen; wir löschen es anschließend einschließlich der zugehörigen Projektdaten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Im Rahmen der Beratung verarbeiten wir die für die jeweilige Leistung erforderlichen Daten. Dazu gehören insbesondere:

• Angaben zum Gebäude (Adresse, Baujahr, Flächen, Bauteile, Aufbauten, Fotos)
• Angaben zur Anlagentechnik (Heizung, Warmwasser, Lüftung, erneuerbare Energien)
• Verbrauchs- und Abrechnungsdaten aus Energierechnungen
• Angaben, die für Förderanträge erforderlich sind (etwa Haushaltsgröße oder Einkommensangaben, soweit ein Förderprogramm dies voraussetzt)
• Ihre Nachrichten, hochgeladenen Dokumente, Termine sowie den Bearbeitungsstand Ihrer Vorhaben

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Um Änderungen an Ihren Vorgängen nachvollziehbar zu halten, protokollieren wir wesentliche Bearbeitungsschritte in einem Aktivitätsprotokoll (Art. 6 Abs. 1 lit. f DSGVO).

Eine Weitergabe an Fördermittelgeber (etwa BAFA oder KfW), an ausführende Fachbetriebe oder an weitere Beteiligte erfolgt nur, soweit dies zur Durchführung des Auftrags erforderlich ist oder Sie uns hierzu beauftragt haben.

Die Daten der Plattform werden in einer PostgreSQL-Datenbank bei der Supabase Inc. (USA) gespeichert; der genutzte Datenbank-Server steht in der Region Frankfurt am Main (Deutschland). Hochgeladene Dateien werden über den Dienst Vercel Blob der Vercel Inc. gespeichert. Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; für Übermittlungen in die USA gilt das unter Ziffer 3 Gesagte entsprechend.

Hochgeladene Dateien sind nicht öffentlich abrufbar. Der Zugriff erfolgt ausschließlich über angemeldete Sitzungen; Kundinnen und Kunden sehen dabei nur die Dokumente ihrer eigenen Vorhaben.

Innerhalb des Kundenportals bieten wir Funktionen an, mit denen sich hochgeladene Unterlagen automatisiert auswerten lassen – etwa das Auslesen von Verbrauchswerten aus Energierechnungen, das Erfassen von Kennwerten aus Energieausweisen, das Erkennen von Fristen in Förderbescheiden, die Auswertung von Bauplänen sowie die Erstellung von Sanierungsvorschlägen.

Diese Auswertungen werden ausschließlich dann ausgelöst, wenn eine berechtigte Person sie im Portal aktiv startet. Dabei wird der Inhalt des jeweiligen Dokuments bzw. die betreffenden Gebäudedaten an einen der folgenden Anbieter übermittelt:

• Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA
• OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland (mit Verarbeitung auch in den USA)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Auswertung der Erbringung der beauftragten Beratungsleistung dient. Nach Angaben der Anbieter werden über die Programmierschnittstelle übermittelte Inhalte nicht zum Training ihrer Modelle verwendet und nur für einen begrenzten Zeitraum (nach Anbieterangaben bis zu 30 Tage) zur Erkennung von Missbrauch vorgehalten. Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge; für die Übermittlung in die USA gilt das unter Ziffer 3 Gesagte entsprechend.

Die Ergebnisse dieser Auswertungen werden stets durch eine fachkundige Person geprüft. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung Ihnen gegenüber im Sinne des Art. 22 DSGVO findet nicht statt. Wenn Sie eine solche Auswertung nicht wünschen, teilen Sie uns das bitte mit – wir werten Ihre Unterlagen dann manuell aus.

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Danach löschen wir sie, es sei denn, gesetzliche Aufbewahrungspflichten – insbesondere aus dem Handels- und Steuerrecht (§ 257 HGB, § 147 AO) – stehen dem entgegen. In diesem Fall werden die betroffenen Daten für die Dauer der jeweiligen Frist gesperrt und nach deren Ablauf gelöscht.

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS (TLS). Passwörter werden nur als Hashwert gespeichert, optional lässt sich der Zugang durch eine Zwei-Faktor-Authentifizierung zusätzlich absichern. Ergänzend setzen wir technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, unter anderem eine strenge Content-Security-Policy, rollenbasierte Zugriffskontrollen und eine Begrenzung der Anfragehäufigkeit.

Ihnen stehen gegenüber uns folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten, soweit keine Aufbewahrungspflicht besteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose Nachricht an info@energiefundament.de.

Sofern wir Ihre Daten auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden Ihre Daten zum Zweck der Direktwerbung verarbeitet, können Sie dem jederzeit ohne Angabe von Gründen widersprechen; die Daten werden anschließend nicht mehr zu diesem Zweck verwendet.

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf

Wir passen diese Erklärung an, sobald sich die Rechtslage oder unsere Verarbeitungen ändern – etwa bei der Einführung neuer Funktionen. Für Ihren erneuten Besuch gilt jeweils die dann abrufbare Fassung.