Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

BORE-ON LTD

Gladstonos 16, 8046 Pafos, Zypern

E-Mail für Datenschutzanfragen: info@boreon.one

Ansprechpartner für Datenschutz: Leon Letz.

Telefon: +357 99 059772

2. Grundsätze der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit hierfür eine Rechtsgrundlage besteht und die Verarbeitung für den jeweiligen Zweck erforderlich ist. Je nach Verarbeitung kommen insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) und – bei optionalen Technologien – Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Betracht. Für das Speichern von Informationen in Ihrem Endgerät oder den Zugriff auf dort gespeicherte Informationen gilt zusätzlich § 25 TDDDG.

3. Hosting, technische Bereitstellung und Server-Logs

Für Hosting und technische Infrastruktur nutzen wir Dienste der Hetzner Online GmbH, Deutschland. Beim Aufruf unserer Website fallen technisch erforderliche Verbindungs- und Protokolldaten an, insbesondere IP-Adresse, Zeitpunkt der Anfrage, angeforderte Ressource, Statusinformationen sowie – soweit vom Browser übermittelt – Angaben zu Browser, Betriebssystem und Referrer.

Die Verarbeitung erfolgt zur sicheren und stabilen Bereitstellung der Website, zur Fehleranalyse und zur Abwehr missbräuchlicher oder rechtswidriger Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb des Dienstes. Logdaten werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind. Eine längere Aufbewahrung erfolgt nur, soweit konkrete Sicherheitsvorfälle, gesetzliche Pflichten oder die Geltendmachung beziehungsweise Abwehr von Rechtsansprüchen dies erfordern.

4. Kundenkonto, Wizard, Energieausweiserstellung und Dokumente

Wenn Sie energieausweis.one nutzen, verarbeiten wir die von Ihnen eingegebenen Kontakt-, Bestell-, Objekt-, Gebäude-, Anlagen- und Verbrauchsdaten sowie hochgeladene Dokumente und die im Prozess erzeugten Prüf-, Berechnungs- und Statusdaten. Die konkreten Daten hängen von den für den jeweiligen Energieverbrauchsausweis erforderlichen Angaben ab.

Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen und zur Vertragserfüllung, insbesondere zur Datenerfassung, fachlichen Prüfung, Berechnung, Kommunikation, Erstellung und Bereitstellung des Energieverbrauchsausweises. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Daten zur Erfüllung gesetzlicher Pflichten des Ausstellers verarbeitet oder aufbewahrt werden müssen, ist zusätzlich Art. 6 Abs. 1 lit. c DSGVO einschlägig.

Entwürfe und noch nicht abgeschlossene Vorgänge werden nur so lange gespeichert, wie sie für die vom Nutzer gewünschte Fortsetzung des Vorgangs, den Kundenbereich, die Vertragsdurchführung oder erforderliche Nachweiszwecke benötigt werden. Vertrags- und Ausstellungsunterlagen werden nach Ablauf der jeweils einschlägigen gesetzlichen Aufbewahrungs- und Nachweisfristen gelöscht oder – soweit zulässig und sinnvoll – anonymisiert. Unterschiedliche Datenkategorien können unterschiedlichen Fristen unterliegen.

5. Gesetzliche Registrierung und Kontrollen nach dem GEG

Für jeden ausgestellten Energieausweis ist nach dem Gebäudeenergiegesetz eine Registriernummer zu beantragen. Dabei werden die gesetzlich vorgesehenen Registrierungsangaben an die zuständige Registrierstelle übermittelt. Hierzu gehören insbesondere Angaben zur ausstellenden Person sowie die im GEG für die Registrierung vorgesehenen Angaben zum Gebäude und zur Art des Energieausweises. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den gesetzlichen Vorgaben des GEG.

Im Rahmen gesetzlicher Stichprobenkontrollen können die zuständigen Kontrollstellen weitere Daten und Unterlagen zum Energieausweis anfordern. Personen- und Adressangaben werden hierbei nur im gesetzlich vorgesehenen Umfang übermittelt. Die Verarbeitung erfolgt zur Erfüllung der gesetzlichen Pflichten des Ausstellers auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

6. Bestellungen, Nachweis von Erklärungen und Widerruf

Zur Dokumentation des Vertragsschlusses und gesetzlich relevanter Erklärungen verarbeiten wir insbesondere Bestell- und Vertragsdaten, Zeitstempel und die jeweils abgegebene Erklärung, zum Beispiel ein ausdrückliches Verlangen zum vorzeitigen Leistungsbeginn und die Kenntnisbestätigung zum möglichen Erlöschen des Widerrufsrechts bei vollständiger Leistung. Wir dokumentieren außerdem elektronische Widerrufserklärungen und deren Eingangszeitpunkt. Zum Nachweis dieser Erklärungen speichern wir zusätzlich die Kennung Ihres Browsers (User-Agent) und einen pseudonymisierten Prüfwert (Hash) Ihrer IP-Adresse, nicht die IP-Adresse selbst. Die Bestellbestätigung mit Ihren Erklärungen, der Widerrufsbelehrung und den Vertragsdaten erhalten Sie per E-Mail.

Die Verarbeitung erfolgt, soweit erforderlich, zur Vertragserfüllung und zur Erfüllung gesetzlicher Nachweis- und Informationspflichten (Art. 6 Abs. 1 lit. b und c DSGVO) sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 6 Abs. 1 lit. f DSGVO). Nachweisdaten werden nur so lange gespeichert, wie der zugrunde liegende Nachweiszweck, gesetzliche Pflichten oder einschlägige Verjährungs- und Verteidigungszeiträume dies erfordern.

7. Transaktions-E-Mails über Brevo

Für technisch erforderliche E-Mails im Zusammenhang mit Konto, Bestellung, Rückfragen, Status, Widerruf und Dokumentbereitstellung nutzen wir Brevo, bereitgestellt durch die Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland. Dabei werden insbesondere E-Mail-Adresse, Name, Nachrichtinhalt sowie zur Zustellung erforderliche technische Informationen verarbeitet. Rechtsgrundlage für den Versand und die zustellbezogene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO; soweit Sicherheits- und Zustellnachweise erforderlich sind, kann Art. 6 Abs. 1 lit. f DSGVO hinzutreten.

Zustell-, Bounce- und technische Fehlermeldungen können unabhängig davon verarbeitet werden, soweit dies für den sicheren und zuverlässigen Versand der vom Nutzer erwarteten Transaktions-E-Mails erforderlich ist. Transaktionsmails werden nicht für Marketing-Newsletter-Kampagnen zweckentfremdet.

Weitere Informationen zur Datenverarbeitung durch Brevo finden Sie in den Datenschutzhinweisen von Brevo.

7a. E-Mail-Benachrichtigung über passende Energieausweise (Warteliste)

Wenn für Ihr Gebäude derzeit kein Verbrauchsausweis über unseren Assistenten möglich ist, können Sie sich auf der entsprechenden Hinweisseite für eine einmalige E-Mail-Benachrichtigung eintragen. Wir informieren Sie dann einmalig, sobald wir Bedarfsausweise anbieten (zum Beispiel für Neubauten).

Verarbeitete Daten: Ihre E-Mail-Adresse, der Zeitpunkt der Anmeldung und der Bestätigung, die Fassung des Einwilligungstextes sowie der Grund, warum kein Verbrauchsausweis möglich war (ohne Anschrift des Gebäudes). Zum Nachweis der Einwilligung speichern wir, sofern technisch eingerichtet, einen nicht umkehrbaren Prüfwert (HMAC-SHA256) Ihrer IP-Adresse, nicht die IP-Adresse selbst.

Double-Opt-in: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach der Bestätigung werden Sie eingetragen. Ohne Bestätigung innerhalb von 48 Stunden erfolgt keine Eintragung.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Die Einwilligung ist freiwillig und betrifft ausschließlich diese eine Benachrichtigung.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder E-Mail oder per E-Mail an info@boreon.one.

Speicherdauer: Wir löschen den Eintrag bei Widerruf sofort, im Übrigen spätestens 24 Monate nach der Anmeldung und spätestens 30 Tage nach Versand der Benachrichtigung. Zum Nachweis Ihrer Einwilligung bewahren wir danach nur noch Ihre E-Mail-Adresse, die Fassung und den Wortlaut des Einwilligungstextes sowie die Zeitpunkte von Anmeldung, Bestätigung und gegebenenfalls Widerruf getrennt auf und löschen diese Angaben nach drei Jahren (Art. 6 Abs. 1 lit. c und f DSGVO, Nachweispflicht nach Art. 7 Abs. 1 DSGVO). Für weitere E-Mails werden sie nicht verwendet.

Empfänger: Für den Versand nutzen wir Brevo (siehe Abschnitt 7), das die Daten in unserem Auftrag verarbeitet.

7b. Erinnerung an einen offenen Entwurf

Wenn Sie einen Energieausweis-Entwurf begonnen, aber noch nicht beauftragt haben, können Sie beim Start auf der Startseite oder beim Sichern Ihres Entwurfs per Häkchen zustimmen, dass wir Sie einmalig per E-Mail an Ihren offenen Entwurf erinnern. Das Häkchen ist nicht vorausgewählt.

Double-Opt-in: Ihre Zustimmung wird erst wirksam, wenn Sie sie über den Button „Erinnerung bestätigen“ in der anschließend versandten E-Mail bestätigen. Ein Klick auf den Login- oder Fortsetzungslink gilt nicht als Zustimmung.

Verarbeitete Daten: Ihre E-Mail-Adresse, Ihr Name (sofern angegeben), die Bezeichnung des Objekts bzw. die Adresse aus Ihrem Entwurf, der Zeitpunkt Ihrer Bestätigung sowie die Fassung des Einwilligungstextes.

Umfang: Wir senden höchstens eine Erinnerung je Entwurf, frühestens 24 Stunden nach Ihrer letzten Aktivität und nur zwischen 9 und 19 Uhr (deutsche Zeit). Hat ein Mitarbeiter Sie bereits manuell an diesen Entwurf erinnert, erfolgt keine weitere Erinnerung. Nach einer Beauftragung erhalten Sie keine Erinnerung.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Die Einwilligung ist freiwillig; Sie können den Assistenten auch ohne sie vollständig nutzen.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in der Erinnerung oder per E-Mail an info@boreon.one. E-Mails zu bestehenden Bestellungen bleiben davon unberührt.

Speicherdauer: Den Nachweis Ihrer Einwilligung (Zeitpunkt und Textfassung) speichern wir, solange der Entwurf besteht, und darüber hinaus bis zu drei Jahre zum Nachweis gegenüber Behörden oder bei Rechtsstreitigkeiten (Art. 6 Abs. 1 lit. c und f DSGVO).

Empfänger: Für den Versand nutzen wir Brevo (siehe Abschnitt 7), das die Daten in unserem Auftrag verarbeitet.

8. Zahlung über Stripe

Für die Zahlungsabwicklung nutzen wir Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Im Zahlungskontext verarbeitet Stripe je nach gewählter Zahlungsmethode insbesondere Zahlungs-, Transaktions-, Rechnungs-, Geräte-, Netzwerk- und Sicherheitsdaten. Stripe kann für einzelne Verarbeitungsvorgänge als Auftragsverarbeiter und für eigene gesetzliche, Sicherheits- oder Betrugspräventionszwecke als eigenständig Verantwortlicher tätig sein.

Wir binden Stripe nicht global beim bloßen Besuch unserer Website ein, sondern erst im unmittelbaren Zusammenhang mit einer vom Nutzer aufgerufenen beziehungsweise initiierten Zahlungsfunktion (Stripe Hosted Checkout / Redirect). Soweit Speicherung oder Zugriff auf Informationen im Endgerät für die vom Nutzer ausdrücklich gewünschte sichere Zahlungsfunktion unbedingt erforderlich sind, kann § 25 Abs. 2 Nr. 2 TDDDG einschlägig sein. Soweit eingesetzte Stripe-Technologien nicht unbedingt erforderlich sind, dürfen sie nur auf Grundlage einer wirksamen Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO aktiviert werden.

Weitere Informationen zur Datenverarbeitung durch Stripe finden Sie in den Datenschutzhinweisen und im Privacy Center von Stripe unter stripe.com/privacy und stripe.com/legal/privacy-center.

9. Google Places / eindeutige Adresszuordnung

Für die Erstellung eines Energieverbrauchsausweises ist eine eindeutige Adress- und Objektzuordnung erforderlich (Grundsatz: ein Objekt – ein Ausweis). Hierzu nutzen wir Google Maps Platform / Places-Dienste von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Die Nutzung von Google Places ist für diesen Kernprozess technisch erforderlich. Ohne eindeutige Adressauflösung (einschließlich der von Google bereitgestellten Ortskennung) kann der Bestellprozess für den gewünschten Ausweis nicht zuverlässig durchgeführt werden. Rechtsgrundlagen sind daher § 25 Abs. 2 TDDDG (unbedingte Erforderlichkeit für den vom Nutzer ausdrücklich gewünschten Dienst) sowie Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Vertragserfüllung).

Wir laden Google-Places-/Maps-JavaScript nicht bereits beim bloßen Besuch der Website. Die Technologie wird erst aktiviert, wenn Sie die Adresseingabe im Produktfluss starten (zum Beispiel durch Fokus oder Aktivierung des Adressfeldes). Dabei können insbesondere IP-Adresse, technische Geräte-/Browserinformationen und Ihre Sucheingaben an Google übermittelt werden. Bei der Anzeige von Vorschlägen werden die von Google geforderten Herkunfts- und Attributionshinweise beachtet.

Kartenanzeige. Nach Auswahl einer Adresse können Sie auf größeren Bildschirmen eine externe Karte mit der Lage des Gebäudes laden. Mit Ihrer Einwilligung laden wir hierfür die Maps JavaScript API von Google Ireland Limited. Dabei übermittelt Ihr Browser insbesondere Ihre IP-Adresse, den Kartenausschnitt einschließlich der Koordinaten der gewählten Adresse, technische Browserinformationen und die aufrufende Seite an Google. Die Karte wird nur nach Ihrer Einwilligung in die Kategorie „Externe Karten“ oder nach Ihrer ausdrücklich für die laufende Sitzung erteilten Einwilligung geladen. Rechtsgrundlage sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können eine gespeicherte Einwilligung jederzeit über „Cookie-Einstellungen“ mit Wirkung für die Zukunft widerrufen. Soweit Google Daten in den USA verarbeitet, gilt Abschnitt 12.

Weitere Informationen: policies.google.com/privacy sowie die Nutzungsbedingungen der Google Maps Platform.

10. Postalischer Versand

Ein postalischer Versand von Dokumenten wird derzeit nicht angeboten.

11. Cookies und ähnliche Technologien

Wir unterscheiden zwischen unbedingt erforderlichen Technologien und optionalen Technologien.

Unbedingt erforderlich können insbesondere sein: Sicherheits-, Sitzungs- und Authentifizierungsspeicher, Consent-Speicher (Ihre Entscheidung zu optionalen Kategorien), sowie – sobald Sie die Adresseingabe starten – Google Places zur eindeutigen Objektzuordnung (siehe Abschnitt 9). Für diese Zugriffe ist nach § 25 Abs. 2 TDDDG keine Einwilligung erforderlich. Die anschließende Verarbeitung personenbezogener Daten richtet sich nach den jeweils einschlägigen Rechtsgrundlagen der DSGVO.

Im unmittelbaren Zahlungskontext können First-Party-Conversion-Kennungen zur Zuordnung des Checkout-Vorgangs gesetzt werden, soweit dies für die vom Nutzer ausdrücklich gewünschte Zahlung/Zuordnung erforderlich ist (Secure, HttpOnly, SameSite=Lax).

Partner-Zuordnung nach Affiliate-Link: Wenn Sie unsere Website über einen gültigen Affiliate-Tracking-Link eines Partners aufrufen (Parameter ref mit einem aktiven Link-Code) und in die Kategorie „Analyse und Statistik“ eingewilligt haben, setzen wir die First-Party-Cookies ea_cnv_aid (pseudonyme Langzeitkennung, Speicherdauer bis zu 395 Tage) und ea_cnv_sid (Sitzungskennung, Speicherdauer bis zu 30 Tage). Zweck ist die Zuordnung Ihres späteren Bestellvorgangs zu dem vermittelnden Partner (Partnerprovision und gegebenenfalls Kundenrabatt aus dem Partnerprogramm) innerhalb eines Click→Pay-Fensters von 30 Tagen ab dem letzten gültigen Link-Aufruf. Die Cookies sind First-Party, Secure, HttpOnly und SameSite=Lax; sie werden nicht an den Affiliate-Partner als Endkunden-Identität weitergegeben. Die Abrechnung gegenüber Partnern erfolgt mit anonymisierten Vermittlungsreferenzen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Ihre Einwilligung setzen wir diese Cookies nicht; eine Zuordnung über mehrere Besuche hinweg ist dann nicht möglich. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ widerrufen.

Optionale Technologien – insbesondere Analyse- und Marketingtechnologien – werden erst nach Ihrer Einwilligung aktiviert. Dazu können gehören:

Google Analytics 4 (nur wenn eine Mess-ID konfiguriert ist), nach Einwilligung in die Kategorie „Analyse und Statistik“;
Google Ads (Conversion-Messung), nur nach Einwilligung in „Analyse und Statistik“ und „Marketing – Google Ads“;
First-Party-Conversion-Cookies ea_cnv_aid und ea_cnv_sid für allgemeine Funnel- und Nutzungsauswertung außerhalb eines Affiliate-Link-Aufrufs – nur nach Einwilligung in „Analyse und Statistik“.
das Analyse-Pixel von Opinly (siehe unten), nach Einwilligung in die Kategorie „Analyse und Statistik“.
das Skript der Bewertungsplattform Trustpilot (siehe Abschnitt 11c), nur nach Einwilligung in die Kategorie „Bewertungsplattform (Trustpilot)“.

Eigene Reichweiten- und Funnelanalyse. Nach Ihrer Einwilligung in „Analyse und Statistik“ verarbeiten wir auf unseren Servern Sitzungs-, Einstiegs-, Kampagnen- und Conversiondaten, einschließlich gegebenenfalls vorhandener Kampagnenparameter und Klickkennungen. Verknüpfbare Rohdaten löschen wir spätestens nach 90 Tagen oder fassen sie so zusammen, dass kein Personenbezug mehr besteht; zusammengefasste Kampagnenstatistiken bewahren wir bis zu 14 Monate auf. Daten zur Partnerabrechnung (siehe Abschnitt 11a) sind davon ausgenommen und werden für die dort genannten Zwecke und nach den gesetzlichen Aufbewahrungsfristen gespeichert.

Google Analytics 4. In Google Analytics 4 speichern wir nutzer- und ereignisbezogene Daten für 14 Monate. Aggregierte Standardberichte können hiervon abweichen. Google kann Daten auch in den USA verarbeiten. Soweit Daten an Google LLC in den USA übermittelt werden, stützen wir die Übermittlung – soweit anwendbar – auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework; im Übrigen gelten die von Google vorgesehenen Standardvertragsklauseln. Informationen zu den Garantien erhalten Sie auf Anfrage oder unter business.safety.google/adsdatatransfers.

Google Ads (Conversion-Messung). Wir schalten Anzeigen über Google Ads, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Mit Ihrer Einwilligung messen wir, ob ein Klick auf eine unserer Anzeigen zu einer Bestellung führt. Damit erkennen wir, welche Anzeigen und Suchbegriffe sich lohnen, und steuern unser Werbebudget.

Klicken Sie auf eine Anzeige, hängt Google eine Klick-Kennung (gclid) an die Adresse unserer Seite an. Haben Sie sowohl in „Analyse und Statistik“ als auch in „Marketing – Google Ads“ eingewilligt, speichert der Google-Tag diese Kennung in den Cookies _gcl_au, _gcl_aw und gegebenenfalls _gcl_dc (Speicherdauer jeweils bis zu 90 Tage). Schließen Sie eine Bestellung ab, übermittelt Google Analytics 4 das Ereignis purchase mit Transaktionskennung, Betrag und Währung an unser Google-Ads-Konto, wo Google es dem Anzeigenklick zuordnet. Google erhält dabei pseudonyme Einzelereignisse wie Klick- und Transaktionskennung. Wir erhalten von Google nur zusammengefasste Auswertungen; unmittelbar identifizierende Daten wie Name, E-Mail-Adresse, Telefonnummer oder Anschrift übermitteln wir nicht, auch nicht verschlüsselt oder gehasht.

Haben Sie nur in „Marketing – Google Ads“, nicht aber in „Analyse und Statistik“ eingewilligt, findet keine Conversion-Messung statt: Es werden dann keine Daten für die Conversion-Messung an Google übermittelt und keine _gcl-Cookies gesetzt.

Wir nutzen diese Daten nicht für personalisierte Werbung oder Remarketing. Die Signale ad_storage und ad_user_data bleiben auf „abgelehnt“, solange nicht sowohl die Einwilligung in „Analyse und Statistik“ als auch in „Marketing – Google Ads“ vorliegt. ad_personalization bleibt stets auf „abgelehnt“.

Soweit Daten zur Conversion-Messung in Google Ads verarbeitet werden, verarbeitet Google diese als eigenständiger Verantwortlicher nach den für Google Ads geltenden Datenschutzbedingungen. Rechtsgrundlage für die Messung ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Sie können sie jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ widerrufen. Beim Widerruf setzen wir die Signale wieder auf „abgelehnt“ und löschen die Cookies _gcl_au, _gcl_aw und _gcl_dc. Da die Messung beide Einwilligungen voraussetzt, löschen wir diese Cookies auch, wenn Sie „Analyse und Statistik“ widerrufen.

Opinly. Das Analyse-Pixel von Opinly Software, Inc. (Delaware, USA; erreichbar über support@opinly.ai) laden wir von static.opinly.ai nur nach Einwilligung in „Analyse und Statistik“. Es dient der Inhalts- und Reichweitenmessung, insbesondere unserer redaktionellen Beiträge unter „Wissen“. Das Pixel kann auf unserer Website lokale Speicher-Einträge setzen (insbesondere _opinly_anon, _opinly_utm, _opinly_first_visit_sent und in der Sitzung _opinly_session). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Eine Übermittlung in die USA ist möglich (siehe Abschnitt 12). Kundendaten übermitteln wir nicht an Opinly: keine Kunden-E-Mail, keine Nutzerkennung und keine Kaufmeldung.

Unsere Beiträge unter „Wissen“ werden mit Opinly redaktionell erstellt und serverseitig von Opinly bezogen. Die Bilder dieser Beiträge liefern wir von unseren eigenen Servern aus; beim Lesen der Beiträge werden keine Daten an Opinly übermittelt, solange Sie nicht in „Analyse und Statistik“ eingewilligt haben.

Optionale Einwilligungen sind freiwillig, nicht vorangekreuzt und können jederzeit mit Wirkung für die Zukunft über den dauerhaft erreichbaren Link „Cookie-Einstellungen“ geändert oder widerrufen werden. Der Widerruf verhindert, dass künftig neue optionale Drittanbieter-Skripte geladen werden. Widerrufen Sie Ihre Einwilligung in „Analyse und Statistik“, löschen wir zusätzlich die von uns gesetzten Analyse-Cookies und -Speichereinträge (insbesondere _ga, _ga_*, _gid, _gat und opinly_anon) sowie die Cookies _gcl_au, _gcl_aw und _gcl_dc. Widerrufen Sie Ihre Einwilligung in „Analyse und Statistik“, löschen wir zusätzlich die Cookies ea_cnv_aid und ea_cnv_sid; eine weitere Partnerzuordnung über diese Cookies findet nicht statt.

Die Kategorien im Dialog sind „Essenziell“ (immer aktiv), „Analyse und Statistik“, „Marketing“, „Externe Karten“ und „Bewertungsplattform (Trustpilot)“. Unter „Marketing“ gibt es einen eigenen Schalter „Google Ads (Conversion-Messung)“. Ein Meta-/Facebook-Pixel setzen wir nicht ein. „Alle akzeptieren“ erlaubt Analyse, Google Ads, externe Karten und das Trustpilot-Skript. Die Google-Ads-Conversion-Messung setzt zusätzlich die Einwilligung in „Analyse und Statistik“ voraus. Widerrufen Sie „Externe Karten“, laden wir die Karte nicht mehr. Widerrufen Sie „Bewertungsplattform (Trustpilot)“, laden wir das Trustpilot-Skript nicht mehr.

Die aktuelle Consent-Policy-Version ist 7. Eine Entscheidung nach Version 4, 5 oder 6 gilt nicht als Einwilligung in die Affiliate-Zuordnung und die eigene Reichweiten- und Funnelanalyse; Sie werden dann erneut gefragt.

Die konkret eingesetzten Technologien, Anbieter, Zwecke und Speicherdauern werden im Consent-Dialog in der jeweils aktuellen technischen Fassung angezeigt. Ändern sich Zwecke oder Anbieter wesentlich, wird die Consent-Policy-Version erhöht und – soweit erforderlich – eine neue Einwilligung eingeholt.

11a. Affiliate- und Partnerprogramm

Wenn Sie sich als Affiliate-Partner bewerben oder im Partnerprogramm tätig sind, verarbeiten wir die für die Partnerbeziehung und die korrekte Abrechnung von Partnerprovisionen erforderlichen Daten. Dazu gehören insbesondere Unternehmensart, Sitzland, Name und Geschäftsanschrift, Ihre Selbstauskunft zum Kleinunternehmerstatus sowie – sofern angegeben – Ihre USt-IdNr. und/oder EX-Nummer.

Eine angegebene USt-IdNr. prüfen wir automatisch über das EU-System VIES. Eine angegebene EX-Nummer prüfen wir über den offiziellen EU-SME-Verifikationsdienst der Europäischen Kommission (TAXUD), insbesondere darauf, ob die Befreiung für Zypern gilt. Dabei werden nur die für die jeweilige Prüfung erforderlichen Daten übermittelt. Die Ergebnisse (Status, Zeitpunkt, Quelle) speichern wir nachvollziehbar und datensparsam; vollständige externe Antwortpayloads speichern wir nicht dauerhaft.

Auf Grundlage dieser Angaben und Prüfungen erfolgt eine automatisierte steuerliche Klassifikation für die Partnerabrechnung. Solange Angaben fehlen, ungültig sind oder eine externe Prüfung aussteht, können Freigabe, Tracking und Auszahlung gesperrt bleiben. Steuerliche Einstufungen werden nicht manuell durch Administratoren überschrieben.

Endkunden über Partner-Links: Rufen Sie unsere Website über einen Partner-Tracking-Link auf, speichern wir die Partner-Zuordnung technisch wie in Abschnitt 11 beschrieben. Der Partner erhält keine Klartext-Identität von Endkunden (Name, E-Mail, Adresse), sondern nur anonymisierte Vermittlungsnachweise und aggregierte Abrechnungsinformationen. Soft-gelöschte Tracking-Links werben nicht mehr neu; innerhalb von 30 Tagen nach einem bereits erfassten Besuch können Rabatt und Provision für diesen Besuch fortgelten.

Bei der Registrierung stellen wir die jeweils geltende Fassung dieser Datenschutzerklärung bereit und protokollieren Version und Zeitpunkt der Bereitstellung. Die Partnerbedingungen werden separat akzeptiert. Eine Einwilligung in diese Datenschutzerklärung ist für die notwendige Partnerdatenverarbeitung nicht erforderlich; Einwilligungen holen wir nur für tatsächlich optionale Verarbeitungen ein.

11b. Firmenlizenzen (Pro-Partner) und elektronische Vertragsunterzeichnung

Unternehmen können bei uns Firmenlizenzen (Pro-Partner) abschließen. Den Lizenzvertrag unterzeichnet eine vertretungsberechtigte Person elektronisch in ihrem Kundenkonto.

Verarbeitete Daten: Name der unterzeichnenden Person, E-Mail-Adresse des Kundenkontos, die gezeichnete Unterschrift (als Bilddatei), Ihre Bestätigungen (Vertrag gelesen, Vertretungsberechtigung, Handeln als Unternehmer), Zeitpunkt der Unterzeichnung, die unterzeichnete Vertragsfassung mit Prüfsumme, Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent). Für die Verwaltung der Lizenz verarbeiten wir außerdem Unternehmensdaten, Ansprechpartner, Sitze, Nutzungszeiträume sowie Kündigungserklärungen.

Zweck: Abschluss und Durchführung des Lizenzvertrags sowie der Nachweis, wer den Vertrag wann unterzeichnet oder gekündigt hat. IP-Adresse und User-Agent nutzen wir ausschließlich als Beweismittel und nicht zur Analyse oder Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsschluss und -durchführung) sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, den Vertragsschluss bei Bestreiten nachweisen und Ansprüche geltend machen oder abwehren zu können.

Speicherdauer: Die vollständige IP-Adresse speichern wir 12 Monate ab Unterzeichnung. Danach kürzen wir sie automatisch, sodass sie keinem Anschluss mehr zugeordnet werden kann (bei IPv4 entfällt der letzte Block, bei IPv6 alles nach den ersten 48 Bit). Die übrigen Vertragsnachweise speichern wir für die Dauer des Vertrags und danach bis zum Ablauf der Verjährungsfristen für Ansprüche aus dem Vertrag. Da der Vertrag zyprischem Recht unterliegt, sind das in der Regel sechs Jahre ab dem Ende des Jahres, in dem der Vertrag endet. Längere gesetzliche Aufbewahrungspflichten bleiben unberührt. Danach löschen wir die Daten automatisch.

Empfänger: Die Daten werden auf unseren Servern in Deutschland gespeichert (siehe Abschnitt 3). Eine Weitergabe an Dritte erfolgt nur, soweit dies zur Rechtsverfolgung erforderlich ist, zum Beispiel an Rechtsberater oder Gerichte.

11c. Bewertungsplattform Trustpilot

Bewertungslink im Kundenbereich. Nach Bereitstellung eines fertigen Energieausweises zeigen wir im Kundenbereich einen Link zu unserem Unternehmensprofil bei der Bewertungsplattform Trustpilot (Trustpilot A/S, Dänemark). Der Link wird erst geöffnet, wenn Sie ihn aktiv anklicken. Der Link selbst lädt kein Skript und übermittelt Trustpilot vor Ihrem Klick weder Ihren Namen noch Ihre E-Mail-Adresse oder Bestelldaten. Nach dem Klick öffnet sich die Website von Trustpilot in einem neuen Tab, und Trustpilot verarbeitet Daten ab diesem Zeitpunkt als eigenständiger Verantwortlicher nach seinen eigenen Datenschutzhinweisen (legal.trustpilot.com). Die Abgabe einer Bewertung ist freiwillig und wird allen Kunden gleich angeboten.

Trustpilot-Skript (nur nach Einwilligung). Wenn Sie in die Kategorie „Bewertungsplattform (Trustpilot)“ einwilligen, laden wir von invitejs.trustpilot.com ein Skript der Trustpilot A/S und registrieren es mit dem Integrationsschlüssel unseres Trustpilot-Geschäftskontos. Zweck ist die technische Verifizierung unserer Domain gegenüber Trustpilot. Beim Laden des Skripts werden Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite sowie technische Angaben zu Ihrem Browser und Gerät an Trustpilot übermittelt. Trustpilot kann dabei Cookies oder ähnliche Speichereinträge auf Ihrem Endgerät setzen oder auslesen. Durch diese Einbindung übermitteln wir Trustpilot weder Ihren Namen noch Ihre E-Mail-Adresse noch Bestelldaten. Rechtsgrundlage sind Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird das Skript nicht geladen, und es werden keine Daten an Trustpilot übermittelt. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ widerrufen; danach laden wir das Skript nicht mehr. Von Trustpilot bereits gesetzte Einträge können Sie in Ihrem Browser löschen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Bewertungseinladungen per E-Mail versenden wir erst, wenn hierfür eine gesonderte Einwilligung eingeholt und diese Datenschutzerklärung entsprechend ergänzt wurde.

12. Drittlandübermittlungen

Bei einzelnen Dienstleistern kann nicht ausgeschlossen werden, dass personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Eine solche Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa aufgrund eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien. Soweit ein Anbieter am EU-US Data Privacy Framework teilnimmt, wird dessen aktuelle Zertifizierung und Anwendungsbereich vor der darauf gestützten Übermittlung geprüft. Soweit Standardvertragsklauseln oder andere Garantien verwendet werden, richten sich die Informationen nach der konkret eingesetzten Vertrags- und Dienstleisterkonfiguration.

13. Empfänger und Auftragsverarbeiter

Personenbezogene Daten erhalten nur Stellen, die sie für die genannten Zwecke benötigen. Hierzu können insbesondere Hosting- und IT-Dienstleister, Kommunikationsdienstleister, Zahlungsdienstleister sowie gesetzlich zuständige Registrier- und Kontrollstellen gehören. Soweit ein Dienstleister personenbezogene Daten ausschließlich in unserem Auftrag verarbeitet, wird er nach den gesetzlichen Anforderungen als Auftragsverarbeiter eingebunden. Eigenständige Verantwortlichkeiten von Dienstleistern bleiben hiervon unberührt.

Microsoft Teams (interne Benachrichtigung). Nach einem Auftrag können wir eine interne Nachricht an unser Prüfungsteam über einen Microsoft-Teams-Webhook senden. Empfänger und Auftragsverarbeiter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Die Nachricht kann die Objektadresse (Straße, Postleitzahl, Ort), eine Bezeichnung des Objekts, den Bearbeitungsstand und einen internen Link zur Prüfung enthalten. Sie geht nicht an Sie als Kundennachricht und nicht an öffentliche Kanäle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Auftrags) und Art. 6 Abs. 1 lit. f DSGVO (interne Arbeitsorganisation der Prüfung). Microsoft kann Daten auch in den USA verarbeiten und ist nach dem EU-US Data Privacy Framework zertifiziert.

14. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nicht pauschal für eine einheitliche Dauer. Die Speicherdauer richtet sich nach dem jeweiligen Zweck, dem Stand des Vertrags- oder Ausstellungsprozesses, gesetzlichen Aufbewahrungs- und Nachweispflichten sowie erforderlichen Zeiträumen zur Geltendmachung oder Abwehr von Rechtsansprüchen. Daten werden gelöscht oder anonymisiert, sobald kein Erforderlichkeitsgrund mehr besteht und keine vorrangige gesetzliche Pflicht einer Löschung entgegensteht. Für technische Daten wie Logs und Consent-Daten gelten gesonderte, zweckbezogene Löschkriterien.

Wir speichern den Nachweis Ihrer Einwilligung mit Einwilligungs-ID, Zeitpunkt, Kategorien, Text- und Policy-Version sowie einem etwaigen Widerruf für drei Jahre ab Widerruf oder Ablösung der betreffenden Consent-Policy-Version.

15. Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO).

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht. Der Widerruf muss so einfach möglich sein wie die Erteilung der Einwilligung; für optionale Website-Technologien steht hierfür insbesondere der Link „Cookie-Einstellungen“ zur Verfügung.

16. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für die BORE-ON LTD ist insbesondere das Office of the Commissioner for Personal Data Protection in Zypern zuständig. Sie können sich außerdem an eine nach Art. 77 DSGVO zuständige Aufsichtsbehörde wenden, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

17. Sicherheit

Wir treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Aus Sicherheitsgründen veröffentlichen wir in dieser Datenschutzerklärung keine Details, die Schutzmaßnahmen selbst beeinträchtigen könnten.