Datenschutzerklärung

Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten auf der Website kola-netzero.de, im Prüfformular für Eigentümer sowie im zugangsgeschützten Partner- und Anbieterbereich (zusammen „Plattform“).

1. Verantwortlicher

Kola Invest GmbH, Leo-Leistikow-Allee 2, 22081 Hamburg, Handelsregister HRB 193380 (Amtsgericht Hamburg), vertreten durch die Geschäftsführung. E-Mail: netzero@kola-invest.com. Kola NetZero ist eine Marke der Kola Invest GmbH (nachfolgend „wir“).

Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen. Datenschutzanfragen richten Sie bitte an netzero@kola-invest.com mit dem Betreff „Datenschutz“.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Plattform, zur Erfüllung unserer Leistungen oder aufgrund gesetzlicher Vorgaben erforderlich ist. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertrag und vorvertragliche Maßnahmen), lit. c (rechtliche Verpflichtung) und lit. f DSGVO (berechtigtes Interesse). Soweit wir uns auf ein berechtigtes Interesse stützen, benennen wir es bei der jeweiligen Verarbeitung.

Alle Datenübertragungen erfolgen verschlüsselt (TLS). Zugriffe auf Daten im Partner- und Anbieterbereich sind durch Rollen- und Rechtekonzepte beschränkt; jede Verwaltungsaktion wird protokolliert.

3. Hosting und Server-Logs

Die Plattform wird bei Netlify, Inc., 512 2nd Street, San Francisco, CA 94107, USA, betrieben. Beim Aufruf verarbeitet Netlify technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Browser- und Betriebssystemkennung). Diese Daten dienen der Auslieferung der Seiten, der Sicherheit und der Fehleranalyse und werden nach kurzer Zeit gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Netlify ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln der EU-Kommission und ein Auftragsverarbeitungsvertrag.

Datenbank, Nutzerverwaltung und Dateispeicher laufen bei Supabase, Inc., 970 Toa Payoh North, Singapur, mit Serverstandort in der Europäischen Union (Frankfurt am Main). Es besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

4. Website-Besuch, Sprache und Cookies

Die öffentliche Website verwendet keine Analyse-, Tracking- oder Werbe-Dienste. Schriften werden von unserem eigenen Server geladen, nicht von Google. Wir setzen folgende technisch notwendige Speicherungen ein:

• lang (Cookie, 12 Monate): merkt die gewählte Sprache (Deutsch/Englisch), wenn Sie den Sprachumschalter nutzen. Die automatische Spracherkennung wertet nur die vom Browser übermittelte Sprache aus.
• kn_ref (lokaler Browserspeicher): speichert den Empfehlungscode eines Vertriebspartners, wenn Sie über dessen Link kommen, damit Ihre Anfrage dem Partner zugeordnet werden kann.
• sb-…-auth-token (Cookie, Sitzung): Anmeldesitzung im Partner- und Anbieterbereich.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO, da diese Speicherungen für die von Ihnen gewünschte Funktion erforderlich sind. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist deshalb nicht erforderlich; ein Cookie-Banner wird nicht eingeblendet.

5. Kontaktformular und E-Mail-Kontakt

Über das Kontaktformular verarbeiten wir Name, E-Mail-Adresse und Nachricht, um Ihre Anfrage zu beantworten. Die Nachricht wird per E-Mail an uns zugestellt; eine Speicherung in der Datenbank erfolgt nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung) bzw. lit. f DSGVO (Beantwortung von Anfragen). Wir löschen Anfragen, sobald sie erledigt sind und keine Aufbewahrungspflichten entgegenstehen, spätestens nach 12 Monaten. Zur Abwehr von Missbrauch wird die IP-Adresse kurzzeitig im Arbeitsspeicher des Servers zur Begrenzung der Anfragehäufigkeit verwendet und nicht dauerhaft gespeichert.

6. Objektprüfung für Eigentümer (Prüfformular)

Wenn Sie ein Objekt zur kostenfreien Prüfung einreichen, verarbeiten wir:

• Kontaktdaten: Vorname, Nachname, Firma oder Gesellschaft, E-Mail, Telefon;
• Objektdaten: Wohneinheiten, Häuser, Geschosse, Energieträger, Energieklasse, Zeitpunkt, Prüfkriterien, Nachricht;
• hochgeladene Unterlagen: insbesondere Energieausweis und Heizkostenabrechnungen, optional Fotos der Heizzentrale und weitere Dokumente;
• Nachweis Ihrer Einwilligungen (Zeitpunkt, IP-Adresse) sowie ggf. den Empfehlungscode eines Vertriebspartners.

Zweck ist die Prüfung, ob Ihr Objekt für ein Wärmelieferangebot in Frage kommt, die Kontaktaufnahme dazu und die Vermittlung an den Anbieter (Ziffer 8). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage) sowie für die Verarbeitung der Unterlagen Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie im Formular erteilen und jederzeit mit Wirkung für die Zukunft per E-Mail widerrufen können.

Hochgeladene Unterlagen enthalten mitunter Daten Dritter (z. B. Namen von Mietern in Abrechnungen). Bitte schwärzen Sie solche Angaben, soweit sie für die Prüfung nicht erforderlich sind. Wir verarbeiten Unterlagen ausschließlich zum Zweck der Prüfung und Angebotserstellung.

7. Partnerbereich (Vertriebspartner)

Vertriebspartner erhalten auf Einladung einen persönlichen Zugang. Wir verarbeiten:

• Stammdaten: Name, Firma, E-Mail, Telefon, Passwort (nur als Hash gespeichert), Einladungs- und Anmeldezeitpunkte, Annahme der AGB;
• Abrechnungsdaten: Rechnungsanschrift, USt-IdNr., Kleinunternehmerstatus, IBAN und BIC für die Auszahlung der Vergütung;
• Leistungsdaten: eingereichte Objekte mit Unterlagen, Statusverlauf, Vor-Ort-Termine, Vergütungen und Gutschriften, Platzierung in der internen Rangliste, Empfehlungscode und über diesen geworbene Partner (Partnerprogramm);
• vom Partner eingegebene Daten der Eigentümer (Name, E-Mail, Telefon, Objektadresse, Bestandsgröße, Notizen) sowie dessen Bestätigung, dass der Eigentümer die Weitergabe gestattet hat.

Zweck ist die Durchführung der Partnervereinbarung, die Abrechnung der Vergütung, die Betrugsvermeidung sowie die Vermittlung der Objekte an den Anbieter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Protokollierung von Verwaltungsaktionen und Sicherheitsmaßnahmen Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit, Missbrauchsabwehr); für die Aufbewahrung von Gutschriften Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

Der Partner ist für die rechtmäßige Erhebung der Eigentümerdaten verantwortlich und verpflichtet, den Eigentümer vor der Einreichung über die Weitergabe an uns und den Anbieter zu informieren. Wir informieren den Eigentümer zusätzlich bei der ersten Kontaktaufnahme.

Automatische Benachrichtigungen: Partner erhalten E-Mails zu Statusänderungen ihrer Objekte, zu vorliegenden Angeboten und Vergütungen sowie Erinnerungen bei fehlenden oder ablaufenden Unterlagen und bei ausstehenden Rückmeldungen. Diese Mails sind Bestandteil der Vertragsdurchführung und kein Newsletter.

8. Weitergabe an den Wärmelieferanten (Anbieter)

Zur Prüfung und Angebotserstellung übermitteln wir Objektdaten und die dazugehörigen Unterlagen an den Anbieter, derzeit die PAUL Tech AG, Frankfurt am Main. Übermittelt werden: Objektadresse, Gebäudedaten (Wohneinheiten, Geschosse, Energieträger, Energieklasse, Denkmalschutz), Name und Anschrift des Eigentümers, die hochgeladenen Unterlagen sowie unsere Prüfhinweise. Kontaktdaten des Eigentümers (E-Mail, Telefon) und Daten des Vertriebspartners werden dem Anbieter im Prüfportal nicht angezeigt; die Kommunikation mit dem Eigentümer läuft über uns, bis ein Angebot vorliegt.

Der Anbieter verarbeitet die Daten als eigenständig Verantwortlicher zum Zweck der Angebotserstellung und des späteren Wärmeliefervertrags; es gelten ergänzend dessen Datenschutzhinweise. Rechtsgrundlage der Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO (die von Ihnen gewünschte Vermittlung) und Ihre Einwilligung zur Weitergabe der Unterlagen.

Zur Zusammenarbeit mit dem Anbieter führen wir eine Portfolioliste in Google Sheets und übertragen die Unterlagen in einen Ordner bei Google Drive (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google verarbeitet diese Daten als Auftragsverarbeiter im Rahmen von Google Workspace; eine Übermittlung in Drittländer ist durch das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert.

9. Automatisierte Auslesung von Unterlagen (KI)

Beim Hochladen von Energieausweisen und Heizkostenabrechnungen im Partnerbereich bieten wir eine automatische Vorbefüllung des Formulars an. Dazu wird das Dokument an einen Sprachmodell-Dienst von Anthropic, PBC, San Francisco, USA, übermittelt, der Kennwerte wie Adresse, Energieklasse, Energieträger und Wohneinheiten ausliest. Die Ergebnisse werden dem Partner lediglich zur Kontrolle vorgeschlagen; eine Entscheidung mit rechtlicher Wirkung trifft die Software nicht (keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO). Anthropic verarbeitet die Daten als Auftragsverarbeiter, verwendet sie nach vertraglicher Zusicherung nicht zum Training von Modellen und ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (effiziente, fehlerarme Erfassung); der Partner kann die Felder jederzeit manuell ausfüllen.

10. Karten und Geokodierung

Für die Kartendarstellung im Partner-, Anbieter- und Verwaltungsbereich ermitteln wir aus der Objektadresse Koordinaten über den Dienst Nominatim der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Großbritannien). Übermittelt wird ausschließlich die Objektadresse, keine Personendaten. Kartenkacheln werden von OpenStreetMap-Servern geladen; dabei wird Ihre IP-Adresse an die OpenStreetMap Foundation übermittelt. Für Großbritannien besteht ein Angemessenheitsbeschluss der EU-Kommission.

In der Objektansicht binden wir zusätzlich eine Karte von Google Maps (Google Ireland Limited) ein. Beim Laden der Karte werden Ihre IP-Adresse und die Objektadresse an Google übermittelt; Google kann eigene Cookies setzen. Die Einbindung erfolgt nur in den eingeloggten Bereichen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Orientierung bei Objekten und Begehungen). Informationen von Google: policies.google.com/privacy.

11. E-Mail-Versand

Benachrichtigungen, Einladungen, Links zum Zurücksetzen des Passworts und Wochenübersichten versenden wir über Google Workspace (Google Ireland Limited). Google verarbeitet dabei E-Mail-Adresse, Betreff und Inhalt als Auftragsverarbeiter. Antworten auf Benachrichtigungen erreichen uns in unserem Postfach bei Google Workspace.

12. Anbieterportal

Mitarbeitende des Anbieters erhalten auf Einladung einen Zugang zum Prüfportal. Wir verarbeiten Name, E-Mail, Passwort-Hash, Anmeldezeitpunkte sowie die im Portal getroffenen Entscheidungen (Freigabe, Ablehnung mit Begründung, Rückfragen, Vor-Ort-Termine, hochgeladene Angebote). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Abwicklung der Zusammenarbeit, Nachvollziehbarkeit).

13. Empfänger und Auftragsverarbeiter

Mit folgenden Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO: Netlify, Inc. (Hosting, Funktionsausführung, zeitgesteuerte Aufgaben), Supabase, Inc. (Datenbank, Authentifizierung, Dateispeicher, Region EU), Google Ireland Limited (Google Workspace: E-Mail, Sheets, Drive), Anthropic, PBC (Dokumentenauslesung). Eigenständige Verantwortliche sind der Anbieter (Ziffer 8), Google für die Kartendarstellung (Ziffer 10) und die OpenStreetMap Foundation. Soweit Daten in die USA übermittelt werden, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) und ergänzend der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder dies zur Durchsetzung unserer Rechte erforderlich ist (z. B. an Steuerberater, Rechtsanwälte, Behörden).

14. Speicherdauer

• Anfragen zur Objektprüfung ohne Vermittlung: Löschung spätestens 12 Monate nach der letzten Kontaktaufnahme; bei Ablehnung spätestens 12 Monate nach Ablehnung.
• Vermittelte Objekte, Angebote und Vergütungen: für die Dauer der Zusammenarbeit und anschließend für die gesetzlichen Aufbewahrungsfristen (6 bzw. 10 Jahre nach § 257 HGB, § 147 AO).
• Partnerkonten: bis zur Beendigung der Partnervereinbarung; danach Sperrung und Löschung nach Ablauf der Aufbewahrungsfristen für Gutschriften. Auf Wunsch entfernen wir Stammdaten sofort und behalten nur die buchhalterisch erforderlichen Belege.
• Protokoll der Verwaltungsaktionen: 24 Monate.
• Server-Logs: in der Regel 30 Tage.
• Backups: tägliche Sicherungen der Datenbank, die nach 7 Tagen überschrieben werden; gelöschte Daten können bis dahin in Sicherungen enthalten sein.

15. Sicherheit

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, insbesondere: Verschlüsselung aller Verbindungen, Verschlüsselung der Datenbank und des Dateispeichers im Ruhezustand, Zugriffsbeschränkung auf Datensatzebene (Row Level Security), getrennte Rollen für Partner, Anbieter und Verwaltung, zeitlich begrenzte Download-Links für Unterlagen, Passwort-Hashing, Zugang nur per Einladung, Protokollierung aller Verwaltungsaktionen, regelmäßige Sicherungen sowie Begrenzung von Anfragen zur Missbrauchsabwehr.

16. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an netzero@kola-invest.com. Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg, mailbox@datenschutz.hamburg.de.

17. Keine Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben; ohne die im Prüfformular als Pflicht gekennzeichneten Angaben können wir die Prüfung jedoch nicht durchführen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die Bewertung, ob ein Objekt geeignet ist, trifft eine Person bei uns oder beim Anbieter.

18. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Datum der letzten Änderung steht oben.