DATENSCHUTZERKLÄRUNG

Stand: 01.04.2026

VORBEMERKUNG: WAS DIESE ERKLÄRUNG LEISTET

Wer eine Anfrage zu einer Photovoltaikanlage oder einer Wärmepumpe stellt, vertraut uns eine ganze Reihe persönlicher Informationen an: den eigenen Namen, die Wohnadresse, Telefonnummer, E-Mail-Adresse und Angaben zum eigenen Haus. Wir nehmen das ernst. Diese Datenschutzerklärung soll Ihnen deshalb nicht nur die gesetzlich vorgeschriebenen Pflichtangaben liefern, sondern in verständlicher Sprache erklären, was mit Ihren Daten tatsächlich geschieht – von dem Moment, in dem Sie unsere Seite aufrufen, bis zu dem Zeitpunkt, an dem wir Ihre Daten wieder löschen.

Wir haben die Erklärung bewusst ausführlich gehalten. Wer nur die Kurzfassung möchte, findet sie in Abschnitt 1. Wer es genau wissen will, findet in den folgenden Abschnitten zu jedem einzelnen Verarbeitungsschritt die Antworten auf vier Fragen: Welche Daten sind betroffen? Wozu verarbeiten wir sie? Auf welcher Rechtsgrundlage? Und wie lange behalten wir sie?

Rechtlicher Rahmen ist die Verordnung (EU) 2016/679 – die Datenschutz-Grundverordnung, im Folgenden kurz „DSGVO". Für Cookies und vergleichbare Techniken auf Ihrem Endgerät gilt zusätzlich § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes („TDDDG"). Für die Zulässigkeit von Werbeanrufen und Werbe-E-Mails ist § 7 des Gesetzes gegen den unlauteren Wettbewerb („UWG") maßgeblich.

INHALTSÜBERSICHT

1. Das Wesentliche in Kürze
2. Verantwortlicher und Kontakt
3. Begriffe, die in dieser Erklärung vorkommen
4. Ihre Mitwirkung: Richtigkeit Ihrer Angaben und Daten Dritter
5. Die Rechtsgrundlagen im Überblick
6. Was beim Besuch der Website automatisch passiert
7. Cookies und ähnliche Techniken
8. Das Anfrageformular: Ablauf in fünf Schritten
9. Die Übergabe Ihrer Anfrage an den Partner, der Ihre Anfrage erhält
10. Das allgemeine Kontaktformular und E-Mail-Kontakt
11. Dienstleister, die für uns arbeiten
12. Weitere Empfänger
13. Wie lange wir Ihre Daten aufbewahren
14. Sicherheit der Verarbeitung
15. Keine automatisierte Entscheidungsfindung, kein Profiling
16. Ihre Rechte im Detail
17. Wie Sie Ihre Rechte ausüben
18. Beschwerderecht bei einer Aufsichtsbehörde
19. Pflicht zur Bereitstellung von Daten
20. Minderjährige
21. Änderungen dieser Datenschutzerklärung
22. Was wir bewusst nicht erheben
23. Wie Sie zu uns gelangen: Werbeanzeigen und Kampagnenparameter
24. Unser Sitz in der Europäischen Union und Dienstleister in Drittländern
25. Externe Links, Sprache und Formate dieser Erklärung
26. Woher Ihre Daten stammen – und woher nicht
27. Daten von Ansprechpartnern bei Geschäftspartnern und Dienstleistern
28. Weiterverarbeitung zu anderen Zwecken
29. Unerbetene Werbung an unsere Kontaktdaten
30. Übersicht: Datenkategorien und betroffene Personengruppen
31. Verhältnis zu anderen Dokumenten und Schlusswort

1. DAS WESENTLICHE IN KÜRZE

Wer wir sind: Die Limitbreakers EOOD mit Sitz in Sofia (Bulgarien) betreibt die Website sonnenwerke-solar.de. Wir sind ein Unternehmen der Lead-Generierung mit Sitz in der Europäischen Union: Wir gewinnen Anfragen von Interessenten und übergeben sie geprüft an Unternehmen, die Photovoltaikanlagen und Wärmepumpen anbieten oder vermitteln.

Was wir tun: Auf sonnenwerke-solar.de sammeln wir Anfragen von Hauseigentümern zu Photovoltaikanlagen und Wärmepumpen, prüfen sie auf Echtheit und übergeben sie an genau einen der fünf Fachpartner unserer Partnerliste – Fachbetriebe, die Sie direkt kontaktieren und Ihnen selbst ein Angebot machen. Welcher der fünf Fachpartner Ihre Anfrage erhält, bestimmt ein automatisches Zuteilungsverfahren nach vier sachlichen Kriterien: ob der Partner Ihre Region bedient, ob er freie Kapazität hat, welche Liefermenge er mit uns vereinbart hat – und ob er Ihre Anfrage bereits kennt (Dublette). Ihre Person wird dabei nicht bewertet. Die Partnerliste ist im Formular direkt am Einwilligungskästchen verlinkt und in Abschnitt 9.1 vollständig abgedruckt.

Wer wir sind – und wer nicht: Wir sind ein eigenständiges Unternehmen. Wir gehören zu keinem der Unternehmen der Partnerliste, keines von ihnen gehört zu uns, und es gibt keine gesellschaftsrechtliche Verbindung. Wir arbeiten für diese Unternehmen als externer Dienstleister auf Vertragsbasis – so wie eine Werbeagentur für ihre Kunden arbeitet. Einzelheiten in Abschnitt 9.

Was wir nicht tun: Wir beraten nicht selbst, wir installieren nichts, wir vermitteln keine Handwerker, und wir verkaufen Ihre Daten nicht. Ihre Anfrage geht ausschließlich an ein einziges Unternehmen der Partnerliste – nicht an mehrere gleichzeitig und an niemanden außerhalb der Liste. Alle acht möglichen Empfänger sind namentlich genannt.

Wie wir prüfen: Jede Anfrage wird zweifach bestätigt – durch einen Klick auf einen Link in einer E-Mail und durch die Eingabe eines Codes, den wir Ihnen per SMS (Mobilfunknummer) oder in einem automatischen Anruf (Festnetznummer) übermitteln. Unbestätigte Anfragen werden nach 72 Stunden gelöscht.

Kein Tracking: Auf sonnenwerke-solar.de laufen weder Analyse- noch Werbe-Tracker. Wir setzen ausschließlich technisch notwendige Cookies ein – deshalb fragt unser kurzer Cookie-Hinweis auch keine Einwilligung ab, denn es gibt nichts, worin Sie einwilligen müssten.

Wo Ihre Daten liegen: In der Europäischen Union. Wir sitzen in Bulgarien, einem Mitgliedstaat der Europäischen Union, unser Hosting-Dienstleister betreibt seine Rechenzentren in Deutschland, und der Empfänger Ihrer Anfrage sitzt in Deutschland. Nur zwei technische Dienstleister – das Content Delivery Network und ein Ausweich-Anbieter für die Telefonverifizierung – haben ihren Sitz in den USA (Abschnitt 24).

Ihre Rechte: Widerruf Ihrer Einwilligung und Widerspruch gegen die Kontaktaufnahme formlos per E-Mail an widerruf@sonnenwerke-solar.de; Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und alle sonstigen Datenschutzanliegen an info@limit-breakers.eu.

2. VERANTWORTLICHER UND KONTAKT

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Limitbreakers EOOD
ul. Shipka 36
1504 Sofia
Bulgarien

Vertreten durch die Geschäftsführerin Dr. Maya Neidenowa
Telefon: +359 895 500 755
E-Mail: info@limit-breakers.eu

E-Mail für Widerruf und Widerspruch: widerruf@sonnenwerke-solar.de
E-Mail für alle sonstigen Datenschutzanliegen: info@limit-breakers.eu

3. BEGRIFFE, DIE IN DIESER ERKLÄRUNG VORKOMMEN

Damit die folgenden Abschnitte auch ohne juristische Vorkenntnisse verständlich sind, erläutern wir vorab die wichtigsten Begriffe, so wie die DSGVO sie in Art. 4 definiert.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören offensichtliche Angaben wie Name, Adresse, E-Mail-Adresse und Telefonnummer, aber auch weniger offensichtliche wie die IP-Adresse Ihres Internetanschlusses, eine Cookie-Kennung oder Angaben zu Ihrem Gebäude, sobald sie mit Ihrer Adresse verknüpft sind.

Verarbeitung meint jeden Vorgang im Zusammenhang mit personenbezogenen Daten – das Erheben, Speichern, Ordnen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Einschränken, Löschen und Vernichten. Praktisch alles, was wir mit Ihren Daten tun, ist eine Verarbeitung.

Verantwortlicher ist die Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Für die Verarbeitungen, die auf dieser Website stattfinden, sind das wir.

Auftragsverarbeiter ist ein Unternehmen, das personenbezogene Daten in unserem Auftrag und nach unseren Weisungen verarbeitet – etwa der Anbieter, auf dessen Servern unsere Website läuft. Auftragsverarbeiter dürfen die Daten nicht für eigene Zwecke nutzen und sind uns gegenüber durch einen Vertrag nach Art. 28 DSGVO gebunden.

Empfänger ist jede Stelle, der personenbezogene Daten offengelegt werden. Ein Empfänger kann ein Auftragsverarbeiter sein oder ein eigenständiger Verantwortlicher, der die Daten nach der Übermittlung für eigene Zwecke verarbeitet. Das Unternehmen der Partnerliste, das Ihre Anfrage erhält, ist ein solcher eigenständiger Verantwortlicher.

Drittland ist jedes Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Die USA sind ein Drittland.

Einwilligung ist jede freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, mit der Sie zu verstehen geben, dass Sie mit der Verarbeitung Ihrer Daten einverstanden sind. Eine Einwilligung kann jederzeit widerrufen werden.

Pseudonymisierung ist die Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher, gesondert aufbewahrter Informationen keiner bestimmten Person mehr zugeordnet werden können. Bei uns ist die Lead-ID ein Pseudonym: Wer nur die Lead-ID kennt, kann daraus nicht auf Ihre Person schließen; die Zuordnung ist nur mit Zugang zu unserer Datenbank möglich.

Profiling ist eine automatisierte Verarbeitung, bei der personenbezogene Daten genutzt werden, um bestimmte persönliche Aspekte einer Person zu bewerten oder vorherzusagen. Wir betreiben kein Profiling (siehe Abschnitt 15).

4. IHRE MITWIRKUNG: RICHTIGKEIT IHRER ANGABEN UND DATEN DRITTER

Datenschutz ist keine Einbahnstraße. Einige Dinge können nur Sie sicherstellen, und wir bitten Sie, die folgenden Punkte zu beachten – nicht als Bedingung, sondern weil sie in Ihrem eigenen Interesse liegen.

4.1 Richtige und aktuelle Angaben

Wir übernehmen Ihre Angaben so, wie Sie sie eingeben, und prüfen inhaltlich nur, ob E-Mail-Adresse und Telefonnummer erreichbar sind. Ob Ihre Adresse stimmt, ob Sie tatsächlich Eigentümer sind oder ob der Stromverbrauch richtig geschätzt ist, können wir nicht kontrollieren. Falsche Angaben führen in der Praxis dazu, dass Fachbetriebe mit unpassenden Vorschlägen auf Sie zukommen oder Sie gar nicht erreichen. Bemerken Sie nach dem Absenden einen Fehler, schreiben Sie uns; wir berichtigen die Angabe und geben die Berichtigung an das Unternehmen weiter, das Ihre Anfrage erhalten hat (Abschnitt 16.2).

4.2 Nur eigene Kontaktdaten

Bitte tragen Sie ausschließlich Ihre eigene E-Mail-Adresse und Ihre eigene Telefonnummer ein. Wer die Daten einer anderen Person einträgt – etwa des Ehepartners, eines Elternteils oder eines Mieters –, verursacht, dass diese Person Anrufe und Nachrichten erhält, in die sie nicht eingewilligt hat. Unser zweistufiges Prüfverfahren (Abschnitt 8) fängt solche Fälle in der Regel ab, weil die betroffene Person weder den Bestätigungslink klickt noch den Code eingibt. Es gibt aber Konstellationen, in denen das nicht greift – zum Beispiel, wenn ein Haushalt eine gemeinsame E-Mail-Adresse nutzt. Deshalb die Bitte: Wenn eine andere Person angesprochen werden soll, lassen Sie diese Person die Anfrage selbst stellen.

4.3 Kein Ausfüllen im Namen von Unternehmen oder Vereinen

Unser Angebot richtet sich an private Hauseigentümer. Bitte nutzen Sie das Formular nicht für Gewerbeimmobilien, Vereinsheime, Wohnungseigentümergemeinschaften oder ähnliche Objekte: Unsere Abfrage ist auf Wohngebäude zugeschnitten, und Sie würden Angaben zu Ihrem Objekt in ein Raster zwingen, das dafür nicht gedacht ist – mit dem Ergebnis, dass die Fachbetriebe mit unpassenden Informationen arbeiten. Für solche Vorhaben wenden Sie sich am besten direkt an einen Fachbetrieb oder an eines der in Abschnitt 9 genannten Unternehmen.

4.4 Kontrolle über den E-Mail-Zugang und das Telefon

Unsere beiden Prüfungen setzen voraus, dass nur Sie Zugang zu dem E-Mail-Postfach und dem Telefon haben, das Sie angeben. Nutzen mehrere Personen dasselbe Postfach oder dasselbe Telefon, kann eine andere Person die Anfrage in Ihrem Namen bestätigen. Wir empfehlen deshalb, für die Anfrage ein Postfach und eine Nummer zu verwenden, die nur Sie selbst kontrollieren.

4.5 Aufbewahrung Ihrer eigenen Unterlagen

Die Bestätigungs-E-Mail, die Sie nach dem Absenden des Anfrageformulars erhalten (Abschnitt 8, Schritt 2), enthält eine Zusammenfassung Ihrer Angaben und den Einwilligungstext. Bewahren Sie diese E-Mail auf. Sie belegt Ihnen gegenüber uns und dem Unternehmen, das Ihre Anfrage erhalten hat, was Sie wann angefragt und wozu Sie eingewilligt haben, und sie erleichtert jede spätere Korrespondenz: Wenn Sie uns aus demselben Postfach schreiben, aus dem Sie die Bestätigung geklickt haben, können wir Ihr Anliegen in der Regel ohne weitere Identitätsprüfung zuordnen.

5. DIE RECHTSGRUNDLAGEN IM ÜBERBLICK

Jede Verarbeitung personenbezogener Daten braucht eine Erlaubnis. Die DSGVO kennt in Art. 6 Abs. 1 sechs mögliche Erlaubnistatbestände; vier davon sind für uns relevant. Wir nennen bei jedem Verarbeitungsschritt in dieser Erklärung, auf welchen wir uns stützen. Hier die Erklärung, was sie bedeuten:

Einwilligung – Art. 6 Abs. 1 Buchst. a DSGVO. Sie haben uns ausdrücklich erlaubt, Ihre Daten für einen bestimmten Zweck zu verarbeiten. Das ist der Fall bei der Übermittlung Ihrer Anfrage an ein Unternehmen der Partnerliste und bei dessen werblicher Kontaktaufnahme (Sie haken im Formular ein eigenes Kästchen für diese Werbeeinwilligung an). Auch Cookies, die nicht technisch notwendig sind, dürften nur mit Einwilligung gesetzt werden – solche Cookies setzen wir derzeit aber nicht ein (Abschnitt 7). Eine Einwilligung können Sie jederzeit widerrufen; die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

Vertrag und vorvertragliche Maßnahmen – Art. 6 Abs. 1 Buchst. b DSGVO. Die Verarbeitung ist nötig, um eine Anfrage zu bearbeiten, die Sie an uns gerichtet haben. Wenn Sie über unser Formular um Angebote bitten, verarbeiten wir Ihre Angaben auf dieser Grundlage, um Ihre Anfrage zu prüfen und weiterzugeben.

Rechtliche Verpflichtung – Art. 6 Abs. 1 Buchst. c DSGVO. Ein Gesetz verpflichtet uns zur Verarbeitung. Das wichtigste Beispiel bei uns: Art. 7 Abs. 1 DSGVO verlangt, dass wir eine erteilte Einwilligung nachweisen können. Deshalb müssen wir Zeitpunkt, Inhalt und Umstände Ihrer Einwilligung protokollieren. Auch die handels- und steuerrechtlichen Aufbewahrungspflichten, die für uns nach bulgarischem Recht gelten, fallen hierunter. Da Abrechnungsunterlagen bei uns nur Lead-IDs und keine Namen enthalten (Abschnitt 14), ist der Umfang personenbezogener Daten, der diesen Fristen unterliegt, gering.

Berechtigtes Interesse – Art. 6 Abs. 1 Buchst. f DSGVO. Die Verarbeitung ist erforderlich, um ein berechtigtes Interesse von uns oder einem Dritten zu wahren, und Ihre Interessen überwiegen nicht. Wir stützen uns hierauf beim Betrieb und der Absicherung der Website (Server-Logs, Content Delivery Network), bei der Abwehr von Fake-Anfragen (Verifizierungs-SMS bzw. Verifizierungsanruf) und bei der Beantwortung allgemeiner Kontaktanfragen. In jedem Fall haben wir eine Abwägung vorgenommen und dokumentiert. Gegen Verarbeitungen auf dieser Grundlage können Sie Widerspruch einlegen (Abschnitt 16.7).

Für Cookies und den Zugriff auf Informationen in Ihrem Endgerät gilt zusätzlich § 25 TDDDG: Zugriffe, die für den Betrieb der Website unbedingt erforderlich sind, sind ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG); alle anderen brauchen Ihre Einwilligung (§ 25 Abs. 1 TDDDG).

5.1 Unsere Interessenabwägungen im Einzelnen

Wo wir uns auf ein berechtigtes Interesse stützen, verlangt die DSGVO, dass wir unser Interesse gegen Ihre Interessen, Grundrechte und Grundfreiheiten abwägen und die Verarbeitung nur vornehmen, wenn Ihre Seite nicht überwiegt. Wir haben diese Abwägung für jede betroffene Verarbeitung durchgeführt und dokumentiert. Damit Sie nachvollziehen können, wie wir zu unserem Ergebnis gekommen sind, legen wir die Überlegungen hier offen.

Server-Logs. Unser Interesse: Wir müssen Angriffe, Fehlfunktionen und Missbrauch erkennen können; ohne Protokolle wäre der Betrieb einer Website, die personenbezogene Daten entgegennimmt, fahrlässig. Ihr Interesse: Sie möchten unsere Seite besuchen, ohne dass Ihr Verhalten nachverfolgt wird. Abwägung: Die Logs enthalten keine Angaben, die wir Ihnen zuordnen könnten, sie werden nicht ausgewertet, um Besucherprofile zu bilden, und sie dienen ausschließlich der Sicherheit – also letztlich auch dem Schutz Ihrer eigenen Daten. Ihr Interesse überwiegt nicht.

Content Delivery Network. Unser Interesse: Schutz vor Überlastungsangriffen und schnelle Auslieferung. Ihr Interesse: Ihre IP-Adresse soll nicht an ein weiteres Unternehmen gelangen. Abwägung: Der Schutz vor Angriffen kommt unmittelbar Ihnen zugute, weil er verhindert, dass Angreifer unsere Systeme kompromittieren und an Ihre Daten gelangen; Cloudflare ist vertraglich streng gebunden, und die Verarbeitung beschränkt sich auf technische Verbindungsdaten. Ihr Interesse überwiegt nicht.

Verifizierungs-SMS und Verifizierungsanruf. Unser Interesse und das des empfangenden Unternehmens: keine gefälschten, fremden oder falsch eingegebenen Rufnummern weitergeben. Drittinteressen: Personen, deren Nummer ohne ihr Wissen eingetragen wird, sollen nicht von Fachbetrieben angerufen werden. Ihr Interesse: Sie möchten nicht mit unnötigen Nachrichten oder Anrufen belästigt werden. Abwägung: Die SMS bzw. der Anruf erfolgt genau einmal, unmittelbar nach Ihrer eigenen Handlung, ist kurz, enthält keine Werbung und schützt zugleich unbeteiligte Dritte. Ohne diese Prüfung wäre die Wahrscheinlichkeit, dass Unbeteiligte kontaktiert werden, deutlich höher. Ihr Interesse überwiegt nicht – zumal Sie die Nachricht bzw. den Anruf erwarten, weil wir sie auf der Bestätigungsseite ankündigen.

Allgemeines Kontaktformular. Unser Interesse: Fragen und Hinweise beantworten können. Ihr Interesse: Ihre Nachricht soll nur für ihren Zweck verwendet werden. Abwägung: Genau das tun wir; die Daten werden nicht weitergegeben, nicht mit Anfragedaten verknüpft und nach Erledigung gelöscht. Ihr Interesse überwiegt nicht – im Gegenteil: Die Verarbeitung dient Ihrem eigenen Anliegen.

Verteidigung gegen Rechtsansprüche. Unser Interesse: Wir müssen belegen können, dass eine Kontaktaufnahme rechtmäßig war, wenn dies bestritten wird. Ihr Interesse: Ihre Daten sollen nach Widerruf nicht länger gespeichert bleiben. Abwägung: Die Aufbewahrung des Einwilligungsnachweises nach Widerruf erfolgt gesperrt, also ohne jede weitere Nutzung, und endet mit Ablauf der Verjährungsfrist. Ohne diesen Nachweis wären wir gegen unbegründete Vorwürfe schutzlos. Ihr Interesse überwiegt nicht.

Gegen jede dieser Verarbeitungen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen (Abschnitt 16.7). Wir prüfen dann erneut, ob in Ihrem konkreten Fall etwas anderes gilt.

6. WAS BEIM BESUCH DER WEBSITE AUTOMATISCH PASSIERT

6.1 Server-Logs

Jeder Aufruf einer Seite auf sonnenwerke-solar.de hinterlässt Spuren auf unserem Webserver, ganz gleich, ob Sie ein Formular ausfüllen oder nur lesen. Ihr Browser übermittelt technisch bedingt eine Reihe von Informationen, die der Server in einer Protokolldatei festhält:

die IP-Adresse Ihres Internetanschlusses,
Datum und Uhrzeit des Zugriffs,
die konkret aufgerufene Seite oder Datei,
die Seite, von der Sie zu uns gekommen sind (sogenannter Referrer), sofern Ihr Browser sie übermittelt,
die übertragene Datenmenge,
den HTTP-Statuscode (etwa „200" für einen erfolgreichen Aufruf oder „404" für eine nicht gefundene Seite),
Typ und Version Ihres Browsers,
Ihr Betriebssystem.

Wir werten diese Protokolle nicht aus, um herauszufinden, wer Sie sind oder was Sie interessiert. Sie dienen ausschließlich dazu, den technischen Betrieb sicherzustellen, Fehler zu finden und Angriffe zu erkennen – etwa wenn eine einzelne IP-Adresse innerhalb weniger Sekunden hunderte Formulare abschickt. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und störungsfreien Betrieb der Website (Art. 6 Abs. 1 Buchst. f DSGVO). Wir bewahren die Server-Logs sieben Tage auf und löschen sie danach automatisch; nur wenn konkrete Anhaltspunkte für einen Angriff bestehen, bewahren wir die betreffenden Einträge bis zum Abschluss der Prüfung länger auf.

6.2 Die IP-Adresse

Wir weisen ausdrücklich darauf hin, dass die IP-Adresse nach ständiger Rechtsprechung des Europäischen Gerichtshofs ein personenbezogenes Datum ist, auch wenn wir selbst sie einer konkreten Person nicht zuordnen können. Ihr Internetanbieter kann das. Deshalb behandeln wir IP-Adressen mit derselben Sorgfalt wie alle anderen personenbezogenen Daten.

6.3 Content Delivery Network

Damit unsere Seite schnell lädt und gegen Überlastungsangriffe geschützt ist, wird der Datenverkehr zwischen Ihrem Browser und unserem Server über das Content Delivery Network von Cloudflare geleitet (Einzelheiten in Abschnitt 11.2). Dabei verarbeitet Cloudflare Ihre IP-Adresse und technische Verbindungsdaten, um Anfragen zu beantworten und Angriffe zu filtern. Rechtsgrundlage ist unser berechtigtes Interesse an Sicherheit und Verfügbarkeit (Art. 6 Abs. 1 Buchst. f DSGVO).

7. COOKIES UND ÄHNLICHE TECHNIKEN

7.1 Was Cookies sind

Cookies sind kleine Textdateien, die eine Website über Ihren Browser auf Ihrem Endgerät ablegt. Sie enthalten meist eine zufällig erzeugte Kennung, mit der der Server Ihren Browser bei einem späteren Aufruf wiedererkennt. Cookies können weder Programme ausführen noch Viren übertragen. Sie haben über Ihren Browser jederzeit die volle Kontrolle: Sie können vorhandene Cookies löschen, das Setzen neuer Cookies unterbinden oder sich vor jedem Cookie fragen lassen. Wie das geht, erklärt die Hilfe-Funktion Ihres Browsers. Bitte beachten Sie, dass bei vollständig deaktivierten Cookies einige Funktionen unserer Website – insbesondere das mehrstufige Anfrageformular – nicht mehr fehlerfrei arbeiten können.

Der Begriff „Cookies" steht in dieser Erklärung stellvertretend auch für vergleichbare Techniken wie Local Storage oder Session Storage, mit denen Informationen im Browser gespeichert werden.

7.2 Technisch notwendige Cookies und Browser-Speicher

Für den Betrieb der Website setzen wir bei Besuchern genau ein Cookie:

sw_consent – speichert, dass Sie unseren Cookie-Hinweis gesehen und bestätigt haben, damit er nicht bei jedem Besuch erneut erscheint. Es handelt sich um ein Erstanbieter-Cookie; es enthält nur Ihre Auswahl und keine Kennung, mit der Sie wiedererkannt oder Dritten gegenüber identifiziert werden könnten. Laufzeit: sechs Monate. Eine Kopie derselben Auswahl liegt zusätzlich im Local Storage Ihres Browsers.

Daneben nutzen wir den Session Storage Ihres Browsers – einen Speicher, der automatisch gelöscht wird, sobald Sie den Tab schließen – für drei Einträge:

pendingLead – Ihre Formulareingaben, damit die Bestätigungsseite nach dem Absenden Ihre Anfrage zusammenfassen kann;
kampagne – die Kampagnenparameter aus der Adresszeile, die wir für den Einwilligungsnachweis benötigen (Abschnitt 23);
sw_exit_shown – merkt sich, dass der Hinweis beim Verlassen der Seite bereits einmal angezeigt wurde, damit er nicht erneut erscheint.

Diese Einträge bleiben in Ihrem Browser; sie werden nur dann an uns übertragen, wenn Sie das Anfrageformular tatsächlich absenden.

Zwei weitere Cookies existieren ausschließlich für uns selbst als Betreiber: ein signiertes Sitzungs-Cookie für den passwortgeschützten Verwaltungsbereich und ein Cookie (sw_notrack), das verhindert, dass unsere eigenen Aufrufe in der Reichweitenzählung mitgezählt werden. Beide werden erst nach einer Anmeldung gesetzt, die nur wir vornehmen können; Besucher erhalten sie nie.

Für alle genannten Cookies und Speichereinträge brauchen wir keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG), weil sie für den von Ihnen gewünschten Dienst – den Aufruf der Seite und das Stellen einer Anfrage – erforderlich sind. Soweit dabei personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage unser berechtigtes Interesse an einer funktionierenden und sicheren Website (Art. 6 Abs. 1 Buchst. f DSGVO).

7.3 Unser Cookie-Hinweis – und warum er keine Einwilligung abfragt

Beim ersten Aufruf von sonnenwerke-solar.de sehen Sie einen kurzen Hinweis, der auf diese Erklärung und die Cookie-Richtlinie verweist. Er fragt keine Einwilligung ab – und zwar nicht, weil wir das vergessen hätten, sondern weil es nichts gibt, wozu wir Ihre Zustimmung einholen müssten.

Eine Einwilligung ist gesetzlich nur erforderlich, wenn eine Website Cookies oder vergleichbare Techniken einsetzt, die nicht unbedingt notwendig sind, um den vom Nutzer gewünschten Dienst bereitzustellen – typischerweise Analyse-, Werbe- oder Personalisierungs-Cookies (§ 25 Abs. 1 TDDDG). Für technisch erforderliche Speicherungen ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Wir setzen ausschließlich solche ein (Abschnitt 7.2). Ein Fenster mit Zustimmen- und Ablehnen-Schaltflächen wäre irreführend: Es würde eine Wahl suggerieren, die es rechtlich nicht gibt, und Sie zu einem Klick zwingen, der nichts ändert.

Dass Sie den Hinweis gesehen haben, speichern wir im Cookie sw_consent, damit er Sie nicht bei jedem Besuch erneut unterbricht. Sollten wir eines Tages Dienste einsetzen, die eine Einwilligung erfordern, würden wir diesen Hinweis zu einem echten Einwilligungsfenster ausbauen, es hier beschreiben und keinen dieser Dienste laden, bevor Sie zugestimmt haben.

7.4 Kein Analyse- und Werbe-Tracking, keine fremden Skripte

Wir möchten an dieser Stelle etwas ausdrücklich sagen, was viele Websites nicht sagen können: Auf sonnenwerke-solar.de sind derzeit keine Webanalyse-Dienste, keine Werbe-Pixel, keine Remarketing-Tags, keine Social-Media-Plugins, keine eingebetteten Videos externer Plattformen, keine Kartendienste, kein reCAPTCHA und keine sonstigen Drittinhalte eingebunden. Die Website lädt kein einziges Skript von fremden Servern; auch die verwendeten Schriftarten liegen auf unserem eigenen Server und werden nicht von Google oder einem anderen Anbieter abgerufen.

Das Einzige, was wir über die Nutzung der Website festhalten, ist eine anonyme Reichweitenzählung: In unserer eigenen Datenbank steht pro Tag, wie oft eine Seite aufgerufen und wie oft ein Formularschritt erreicht wurde – als bloße Zahl. Es wird keine Kennung vergeben, keine IP-Adresse gespeichert und nichts im Browser des Besuchers abgelegt. Diese Zähler lassen sich keiner Person zuordnen; sie sind keine personenbezogenen Daten und benötigen deshalb keine Einwilligung.

Sollten wir eines Tages Dienste einsetzen wollen, die darüber hinausgehen, würden wir vorher diese Datenschutzerklärung anpassen, die betreffenden Dienste hier im Detail beschreiben und ein Einwilligungsfenster einführen, das Ihre Zustimmung einholt, bevor irgendetwas geladen wird.

7.5 Übersicht der eingesetzten Cookies und Speichereinträge

Weil unser Hinweis keine Einstellungen enthält, in denen Sie nachsehen könnten, fassen wir hier vollständig zusammen, was derzeit in Ihrem Browser gespeichert werden kann:

Bezeichnung: sw_consent. Art: Cookie. Zweck: Speichert die Bestätigung des Cookie-Hinweises. Gesetzt von: sonnenwerke-solar.de. Speicherdauer: 6 Monate. Einwilligung nötig: Nein.

Bezeichnung: sw_consent. Art: Local Storage. Zweck: Kopie der Bestätigung des Cookie-Hinweises. Gesetzt von: sonnenwerke-solar.de. Speicherdauer: Bis zur Löschung durch Sie. Einwilligung nötig: Nein.

Bezeichnung: pendingLead. Art: Session Storage. Zweck: Formulareingaben für die Bestätigungsseite. Gesetzt von: sonnenwerke-solar.de. Speicherdauer: Bis zum Schließen des Tabs. Einwilligung nötig: Nein.

Bezeichnung: kampagne. Art: Session Storage. Zweck: Kampagnenparameter für den Einwilligungsnachweis. Gesetzt von: sonnenwerke-solar.de. Speicherdauer: Bis zum Schließen des Tabs. Einwilligung nötig: Nein.

Bezeichnung: sw_exit_shown. Art: Session Storage. Zweck: Merkt, dass der Hinweis beim Verlassen bereits gezeigt wurde. Gesetzt von: sonnenwerke-solar.de. Speicherdauer: Bis zum Schließen des Tabs. Einwilligung nötig: Nein.

Bezeichnung: Sitzungs-Cookie Verwaltungsbereich. Art: Cookie (nur Betreiber nach Anmeldung). Zweck: Signierte Anmeldesitzung. Gesetzt von: sonnenwerke-solar.de. Speicherdauer: Bis zum Abmelden. Einwilligung nötig: Nein.

Bezeichnung: sw_notrack. Art: Cookie (nur Betreiber nach Anmeldung). Zweck: Schließt eigene Aufrufe von der Zählung aus. Gesetzt von: sonnenwerke-solar.de. Speicherdauer: Bis zum Abmelden. Einwilligung nötig: Nein.

Bezeichnung: Analyse-, Marketing- oder Personalisierungs-Cookies. Art: keine. Zweck: keine. Gesetzt von: keine. Speicherdauer: keine. Einwilligung nötig: keine.

Diese Übersicht ist abschließend. Sollten Sie mit den Entwickler-Werkzeugen Ihres Browsers einen Eintrag entdecken, der hier nicht aufgeführt ist, bitten wir um einen Hinweis an info@limit-breakers.eu – wir prüfen das und berichtigen die Übersicht.

8. DAS ANFRAGEFORMULAR: ABLAUF IN FÜNF SCHRITTEN

Das Anfrageformular ist der Grund, warum es diese Website gibt. Deshalb beschreiben wir hier jeden einzelnen Schritt – von Ihrer Eingabe bis zur Übergabe an den Partner, der Ihre Anfrage erhält – und erläutern zu jedem Schritt, welche Daten anfallen, wozu und auf welcher Grundlage.

Schritt 1: Sie füllen das Formular aus

Welche Daten wir abfragen. Das Formular führt Sie in mehreren Schritten durch folgende Angaben:

Art des Vorhabens: Photovoltaikanlage oder Wärmepumpe
Gebäudetyp (etwa Einfamilienhaus, Doppelhaushälfte, Reihenhaus, Mehrfamilienhaus)
Ob Sie Eigentümer des Gebäudes sind
Ihr jährlicher Stromverbrauch in Kilowattstunden
Die Dachform (etwa Satteldach, Flachdach, Pultdach, Walmdach)
Vor- und Nachname
Straße und Hausnummer
Postleitzahl und Ort
E-Mail-Adresse
Telefonnummer

Welche Daten automatisch mitlaufen. Beim Absenden erfassen wir zusätzlich Ihre IP-Adresse, Datum und Uhrzeit auf die Sekunde, Typ und Version Ihres Browsers, Ihr Betriebssystem, die Bildschirmauflösung und – soweit in der Adresszeile vorhanden – Kampagnenparameter, aus denen wir ablesen können, über welche Anzeige oder welchen Link Sie zu uns gekommen sind. Diese Angaben brauchen wir, um Ihre Einwilligung später zweifelsfrei einem konkreten Vorgang zuordnen zu können und um zu erkennen, ob eine Anfrage von einem Menschen oder von einem automatisierten Skript stammt.

Pflichtangaben und freiwillige Angaben. Alle Felder, die mit einem Sternchen gekennzeichnet sind, sind Pflichtangaben. Ohne sie können weder wir noch das Unternehmen, das Ihre Anfrage erhält, sie bearbeiten: Ohne Adresse lässt sich kein Fachbetrieb in Ihrer Region finden, ohne Telefonnummer und E-Mail-Adresse kann niemand Kontakt mit Ihnen aufnehmen, ohne die Angaben zum Gebäude kann niemand einschätzen, ob und welche Anlage überhaupt in Frage kommt. Die Angabe, ob Sie Eigentümer sind, benötigen wir, weil Fachbetriebe nur mit Eigentümern oder von diesen Bevollmächtigten sinnvoll planen können.

Die drei Kästchen am Ende des Formulars. Unmittelbar über der Schaltfläche zum Absenden finden Sie drei getrennte Kästchen, keines davon vorangekreuzt. Wir trennen sie bewusst, weil es sich um drei verschiedene Erklärungen handelt, die nichts miteinander zu tun haben:

Kenntnisnahme der Datenschutzerklärung. Mit diesem Haken bestätigen Sie, dass Sie diese Erklärung lesen konnten. Das ist keine Einwilligung – eine Datenschutzerklärung wird nicht „akzeptiert", sondern zur Kenntnis genommen –, sondern dient uns als Beleg, dass wir unsere Informationspflicht erfüllt haben.
Annahme der Nutzungsbedingungen. Mit diesem Haken schließen Sie den Nutzungsvertrag über den Anfrageservice (Abschnitt 5 der Nutzungsbedingungen).
Werbeeinwilligung. Mit diesem Haken erklären Sie sich damit einverstanden, dass wir Ihre Anfrage an einen der fünf Fachpartner der Partnerliste übermitteln und dieser Sie zu Ihrer Anfrage für eine Photovoltaikanlage bzw. Wärmepumpe telefonisch, per E-Mail, per SMS und per Messenger-Dienst kontaktieren darf. Der vollständige Text steht direkt neben dem Kästchen; er nennt den Gegenstand (nur Photovoltaik bzw. Wärmepumpe – keine anderen Waren oder Dienstleistungen), die Kanäle und Ihr Widerrufsrecht, und er verlinkt die Partnerliste, die alle fünf möglichen Empfänger mit Anschrift aufführt. Die Partnerliste öffnet sich direkt am Kästchen, ohne dass Sie die Seite verlassen müssen; sie ist außerdem in Abschnitt 9.1 abgedruckt.

Ohne die drei Haken lässt sich das Formular nicht absenden – nicht, weil wir Sie zwingen wollen, sondern weil eine Anfrage nach Angeboten ohne Übermittlung an ein Unternehmen und ohne dessen Möglichkeit zur Kontaktaufnahme keinen Sinn hätte.

Rechtsgrundlagen für Schritt 1. Die Entgegennahme und Speicherung Ihrer Formulardaten erfolgt zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 Buchst. b DSGVO). Die Erfassung der technischen Begleitdaten dient dem Nachweis der Einwilligung (Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 7 Abs. 1 DSGVO) und der Missbrauchsabwehr (Art. 6 Abs. 1 Buchst. f DSGVO).

Schritt 2: Sie bestätigen Ihre E-Mail-Adresse (Double-Opt-in)

Sofort nach dem Absenden erhalten Sie von uns eine E-Mail an die angegebene Adresse. Sie enthält eine Zusammenfassung Ihrer Angaben, den vollständigen Einwilligungstext und einen Bestätigungslink. Erst wenn Sie diesen Link anklicken, gilt Ihre Anfrage als tatsächlich von Ihnen gestellt und Ihre Einwilligung als wirksam erteilt. Dieses Verfahren – in der Fachsprache Double-Opt-in – stellt sicher, dass niemand eine Anfrage in Ihrem Namen abschicken kann, ohne Zugang zu Ihrem E-Mail-Postfach zu haben.

Beim Klick auf den Link protokollieren wir Datum und Uhrzeit, Ihre IP-Adresse und Ihre Browserkennung. Der Bestätigungslink enthält eine zufällige, nicht erratbare Kennung, die genau einem Vorgang zugeordnet ist, und verfällt nach Ablauf der Bestätigungsfrist.

Wenn Sie nicht bestätigen. Klicken Sie den Link nicht innerhalb von 72 Stunden an, löschen wir Ihre gesamte Anfrage einschließlich aller Formular- und Begleitdaten automatisch und vollständig aus unseren Systemen. Es findet keine Weitergabe statt, es gibt keine SMS und keinen Anruf, und es bleibt nichts zurück – lediglich in der wöchentlichen Sicherungskopie unseres Hosting-Dienstleisters kann der Datensatz noch bis zu zwei Wochen enthalten sein, bevor die Sicherung überschrieben wird (Abschnitt 13). Wollen Sie danach doch eine Anfrage stellen, füllen Sie das Formular einfach erneut aus.

Rechtsgrundlage für Schritt 2. Der Versand der Bestätigungs-E-Mail und die Protokollierung des Klicks dienen dem Nachweis Ihrer Einwilligung (Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 7 Abs. 1 DSGVO). Die Bestätigungs-E-Mail selbst ist keine Werbung; sie enthält ausschließlich Ihre eigenen Angaben und den Bestätigungslink.

Schritt 3: Wir verifizieren Ihre Telefonnummer

Nach der E-Mail-Bestätigung erfolgt eine zweite Prüfung, die auf Ihre Telefonnummer zielt. Fehlerhafte, veraltete oder fremde Telefonnummern sind das größte Ärgernis in unserem Geschäft – für die Personen, die unerwartet angerufen werden, für die Fachbetriebe, die ins Leere telefonieren, und für uns. Deshalb verifizieren wir jede Nummer, bevor wir sie weitergeben. Der Weg hängt von der Art Ihrer Nummer ab: Mobilfunknummern prüfen wir per SMS, Festnetznummern per automatischem Anruf. Welcher Weg genutzt wird, erkennt unser System an der Vorwahl; Sie müssen nichts auswählen. Für den technischen Versand setzen wir spezialisierte Kommunikationsdienstleister ein, die wir bei Störungen auch wechseln können; welche das sind, steht in Abschnitt 11.4.

So läuft die Verifizierung ab. Nach dem Klick auf den Bestätigungslink gelangen Sie auf eine Bestätigungsseite mit einem Eingabefeld für einen sechsstelligen Zahlencode. Kurz darauf – in der Regel innerhalb weniger Sekunden – erhalten Sie den Code auf der von Ihnen angegebenen Nummer:

Bei einer Mobilfunknummer als SMS. Die SMS nennt den Namen unserer Website und den Zweck der Nachricht und enthält den sechsstelligen Code; sie enthält keinen Link und keine Werbung.
Bei einer Festnetznummer als automatischer Anruf. Eine aufgezeichnete Ansage begrüßt Sie, nennt den Namen unserer Website, erklärt den Zweck des Anrufs und liest Ihnen den sechsstelligen Code vor.

Diesen Code geben Sie anschließend in das Eingabefeld auf der Bestätigungsseite ein. Mit der korrekten Eingabe bestätigen Sie zweierlei: dass die Nummer tatsächlich Ihnen gehört – denn nur wer die SMS empfangen oder den Anruf entgegennehmen konnte, kennt den Code – und dass Sie mit der Übermittlung an ein Unternehmen der Partnerliste und dessen Kontaktaufnahme einverstanden sind. Geben Sie den Code nicht oder falsch ein, wird die Anfrage nicht freigegeben; Sie können über die Bestätigungsseite eine neue SMS bzw. einen neuen Anruf mit einem neuen Code anfordern. Der Code ist zehn Minuten gültig und verfällt danach. Wird die Verifizierung nicht abgeschlossen, löschen wir Ihre Anfrage – obwohl die E-Mail-Adresse bereits bestätigt war – 72 Stunden nach dem letzten Verifizierungsversuch automatisch aus unseren laufenden Systemen; es gilt dasselbe wie bei einer nicht bestätigten E-Mail (Schritt 2).

Was wir protokollieren. Zu jeder Verifizierung speichern wir: die angerufene bzw. angeschriebene Rufnummer, den genutzten Weg (SMS oder Anruf), Datum und Uhrzeit, den vom Dienstleister zurückgemeldeten Zustellstatus – beim Anruf zusätzlich, ob er angenommen wurde und wie lange er dauerte –, den Wortlaut der Nachricht bzw. der Ansage, den übermittelten Code, den auf der Website eingegebenen Code, Zeitpunkt und IP-Adresse der Eingabe sowie das Ergebnis der Prüfung.

Was wir nicht tun. SMS und Anruf sind reine Einwegübermittlungen: Antworten auf die SMS werden nicht entgegengenommen, nicht gespeichert und nicht ausgewertet; beim Anruf wird Ihre Stimme nicht aufgezeichnet, es wird nichts erkannt und nichts ausgewertet, was Sie eventuell in den Hörer sprechen. Die Eingabe des Codes erfolgt ausschließlich auf unserer Website, nicht per Antwort-SMS und nicht über die Telefontastatur. SMS und Anruf sind zudem keine Werbung: Sie dienen allein der Prüfung, erfolgen ein einziges Mal – ein weiteres Mal nur, wenn Sie selbst einen neuen Code anfordern –, stehen in unmittelbarem zeitlichem Zusammenhang mit Ihrer soeben gestellten Anfrage und enthalten keine Werbebotschaft. Nach abgeschlossener Verifizierung senden wir Ihnen keine weiteren SMS und rufen Sie nicht an.

Wenn Ihre Nummer ohne Ihr Wissen eingetragen wurde. Die Verifizierung schützt auch Personen, die gar keine Anfrage gestellt haben. Trägt jemand versehentlich oder absichtlich Ihre Telefonnummer in unser Formular ein, erhalten Sie zwar die SMS oder den Anruf mit dem Code – Sie wissen aber nichts von einer Anfrage und geben den Code nirgends ein. Die Anfrage wird dann nicht freigegeben, Ihre Nummer wird an niemanden weitergegeben, und der Datensatz wird nach Ablauf der 72-Stunden-Frist gelöscht. Melden Sie uns eine solche SMS oder einen solchen Anruf unter info@limit-breakers.eu, kennzeichnen wir den Datensatz zusätzlich sofort als gesperrt und prüfen, ob es sich um einen Missbrauchsversuch handelt, den wir technisch unterbinden können.

Rechtsgrundlagen für Schritt 3. Verifizierungs-SMS und Verifizierungsanruf dienen unserem berechtigten Interesse und dem des empfangenden Unternehmens, keine Anfragen mit falschen oder fremden Rufnummern zu bearbeiten und Dritte vor unerwünschten Anrufen zu schützen (Art. 6 Abs. 1 Buchst. f DSGVO). Die Protokollierung des Ergebnisses dient dem Nachweis Ihrer Einwilligung (Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 7 Abs. 1 DSGVO). SMS und Anruf sind, weil sie ohne werblichen Inhalt und in Erfüllung Ihres eigenen Anliegens erfolgen, keine Werbung im Sinne des § 7 UWG.

Schritt 4: Wir erstellen den Einwilligungsnachweis

Sind E-Mail-Bestätigung und Telefonverifizierung erfolgreich, fassen wir alle Belege zu einem Einwilligungsnachweis zusammen und versehen ihn mit der eindeutigen Lead-ID, die Ihre Anfrage bei Eingang erhalten hat. Der Nachweis enthält:

eine Abbildung des Formulars in dem Zustand, in dem Sie es abgesendet haben, einschließlich der drei angehakten Kästchen, des daneben stehenden Einwilligungstextes und der zu diesem Zeitpunkt geltenden Partnerliste,
die technischen Begleitdaten des Absendens (Zeitstempel, IP-Adresse, Browserkennung),
eine Kopie der an Sie versandten Bestätigungs-E-Mail und das Protokoll Ihres Klicks auf den Bestätigungslink,
das vollständige Protokoll der Telefonverifizierung (SMS oder Anruf) einschließlich des Nachrichten- bzw. Ansagetextes,
die Fassung dieser Datenschutzerklärung und der Einwilligungserklärung, die zum Zeitpunkt Ihrer Anfrage galt.

Dieser Nachweis erfüllt die Pflicht aus Art. 7 Abs. 1 DSGVO, eine Einwilligung belegen zu können, und schützt Sie zugleich: Sollten Sie später Zweifel haben, ob und wozu Sie eingewilligt haben, können wir Ihnen den Nachweis vorlegen. Der Nachweis wird dem Unternehmen, das Ihre Anfrage erhalten hat, auf Anfrage zur Verfügung gestellt, damit auch dieses seiner eigenen Nachweispflicht nachkommen kann.

Rechtsgrundlage für Schritt 4. Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 7 Abs. 1 DSGVO sowie unser berechtigtes Interesse, uns gegen unberechtigte Vorwürfe verteidigen zu können (Art. 6 Abs. 1 Buchst. f DSGVO).

Schritt 5: Wir übergeben Ihre Anfrage an ein Unternehmen der Partnerliste

Erst jetzt – nach zwei erfolgreichen Prüfungen und mit vollständigem Nachweis – geben wir Ihre Anfrage weiter, und zwar an genau einen der fünf Fachpartner der Partnerliste. Wie wir dieses eine Unternehmen bestimmen, was bei einer Dublettenmeldung geschieht und was nach der Übergabe passiert, beschreibt der folgende Abschnitt.

9. DIE ÜBERGABE IHRER ANFRAGE AN EIN UNTERNEHMEN DER PARTNERLISTE

Dieser Abschnitt ist der wichtigste dieser Erklärung, denn er beschreibt, wohin Ihre Anfrage geht, wie wir den Empfänger bestimmen und wer danach dafür verantwortlich ist. Der Kreis der möglichen Empfänger ist fest: Es sind die fünf Fachpartner der Partnerliste, die Sie vor dem Absenden am Einwilligungskästchen einsehen und die hier in Abschnitt 9.1 vollständig abgedruckt ist. Aus diesen fünf erhält genau einer Ihre Anfrage.

9.0 Wer wir im Verhältnis zu den Partnern sind – und wer nicht

Wir sind ein eigenständiges Unternehmen. Die Limitbreakers EOOD ist eine nach bulgarischem Recht gegründete Gesellschaft mit beschränkter Haftung mit Sitz in Sofia, mit eigenen Gesellschaftern, eigener Geschäftsführung und eigener Buchführung. Wir gewinnen Anfragen für Unternehmen, die Photovoltaikanlagen und Wärmepumpen anbieten oder vermitteln. Die in Abschnitt 9.1 genannten Unternehmen sind unsere Auftraggeber für sonnenwerke-solar.de. Wir sind weder Tochter- noch Muttergesellschaft eines dieser Unternehmen, weder Zweigniederlassung noch Betriebsstätte, weder Gemeinschaftsunternehmen noch Marke eines von ihnen. Kein Gesellschafter der Limitbreakers EOOD ist an einem dieser Unternehmen beteiligt und umgekehrt. Es gibt keine Personalunion in der Geschäftsführung und keine sonstige Konzernverbindung im Sinne der §§ 15 ff. AktG oder vergleichbarer Vorschriften. Keines dieser Unternehmen hat Zugriff auf unsere Systeme, und wir haben keinen Zugriff auf deren Systeme.

Wir arbeiten für diese Unternehmen als externer Dienstleister. Jedes der genannten Unternehmen hat uns beauftragt, für es Anfragen von Hauseigentümern zu gewinnen, die sich für eine Photovoltaikanlage oder eine Wärmepumpe interessieren – in der Fachsprache: Leads zu generieren. Wir betreiben dazu diese Website, schalten Werbung, prüfen die eingehenden Anfragen und übergeben jede Anfrage an eines dieser Unternehmen. Das jeweilige Unternehmen vergütet uns dafür. Damit ist unsere Rolle vergleichbar mit der einer Werbeagentur oder eines Vertriebspartners, der für Kunden Interessenten gewinnt, ohne selbst Teil dieser Kunden zu sein.

Warum wir das so ausdrücklich sagen. Aus Ihrer Sicht ist es ein wesentlicher Unterschied, ob Sie Ihre Daten einem Unternehmen anvertrauen, das sie selbst verwendet, oder einem Unternehmen, das sie für einen Dritten sammelt. Im zweiten Fall müssen Sie wissen, wer dieser Dritte ist, dass er rechtlich selbständig ist und dass Sie Ihre Rechte gegebenenfalls gegenüber zwei verschiedenen Stellen ausüben müssen. Wir wollen nicht, dass Sie beim Ausfüllen des Formulars glauben, Sie hätten es mit einem der Partner selbst zu tun – und ebenso wenig, dass wir Ihre Anfrage selbst bearbeiten. Beides wäre falsch.

Was daraus datenschutzrechtlich folgt. Weil wir und das empfangende Unternehmen zwei getrennte Unternehmen sind, sind wir auch zwei getrennte Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Wir sind verantwortlich für alles, was auf dieser Website und in unseren Systemen mit Ihren Daten geschieht – von der Erhebung über die Prüfung bis zur Übergabe. Das empfangende Unternehmen ist verantwortlich für alles, was nach der Übergabe geschieht. Jeder hat Ihnen gegenüber eigene Informations-, Auskunfts- und Löschpflichten. Diese Datenschutzerklärung erfüllt unsere Pflichten; die Datenschutzhinweise des empfangenden Unternehmens erfüllen dessen Pflichten.

Wir sind keine gemeinsam Verantwortlichen. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO läge vor, wenn wir mit einem dieser Unternehmen gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden würden. Das ist nicht der Fall: Wir entscheiden allein, wie unsere Website gestaltet ist, welche Prüfungen wir durchführen und welche Dienstleister wir einsetzen; die Unternehmen geben uns lediglich vor, welche Datenfelder sie benötigen und in welchen Regionen sie Anfragen abnehmen. Jedes Unternehmen entscheidet allein, wie es Ihre Anfrage bearbeitet. Die Schnittstelle ist allein die Übergabe der geprüften Anfrage; für die Übergabe sind wir verantwortlich, für die Entgegennahme das empfangende Unternehmen.

Wir sind auch kein Auftragsverarbeiter dieser Unternehmen. Ein Auftragsverarbeiter verarbeitet Daten ausschließlich auf Weisung eines Verantwortlichen und ohne eigenen Entscheidungsspielraum. Wir hingegen erheben Ihre Daten in eigener Verantwortung, mit eigener Website, eigenem Prüfverfahren und eigener Einwilligungsdokumentation. Deshalb sind wir gegenüber Ihnen nicht bloß verlängerter Arm eines Empfängers, sondern selbst voll verantwortlich.

9.0a Ausschließliche Zweckbindung: Ihre Anfrage geht an genau ein Unternehmen der Partnerliste

Wir erheben Ihre Anfragedaten zu einem einzigen Zweck: ihrer Übergabe an einen der fünf Fachpartner der Partnerliste. Dass fünf Unternehmen in Frage kommen, heißt nicht, dass fünf sie erhalten – es ist immer genau eines. Das ist keine Floskel, sondern eine Selbstbindung mit konkreten Folgen:

Kein eigener Vertrieb. Wir nutzen Ihre Anfrage nicht, um Ihnen selbst etwas anzubieten. Wir haben keine eigenen Produkte und werden Sie nicht anrufen oder anschreiben, um Ihnen andere Leistungen zu verkaufen.
Kein Mehrfachverkauf. Ihre Anfrage geht an einen einzigen Fachpartner der Partnerliste und an niemanden sonst – nicht an mehrere Partner gleichzeitig und nicht an Unternehmen außerhalb der Liste. Ein Verkauf derselben Anfrage an mehrere Abnehmer, wie er in der Branche vorkommt, findet bei uns nicht statt.
Nur Photovoltaik und Wärmepumpe. Die Übergabe erfolgt ausschließlich für das Vorhaben, das Sie angefragt haben. Der Partner darf Sie zu Ihrer Photovoltaik- bzw. Wärmepumpenanfrage kontaktieren – nicht zu anderen Waren oder Dienstleistungen „rund um Haus und Energie". Das steht so im Einwilligungstext, und weiter reicht die Einwilligung nicht – der Partner hat für eine Kontaktaufnahme zu anderen Themen keine Rechtsgrundlage, gleich was in seinem Vertrag mit uns steht.
Weitergabe nur innerhalb der Liste, und nur bis zur ersten Annahme. Lehnt der zugeteilte Partner Ihre Anfrage ab, geht sie – soweit unsere Vereinbarungen mit diesem Partner das zulassen – an den nächsten Partner der Liste, sonst wird sie gelöscht (Abschnitt 9.1). Sobald ein Partner sie angenommen hat, geht sie an niemanden mehr. An Unternehmen außerhalb der Partnerliste geht sie in keinem Fall.
Kein Adresshandel. Wir bauen aus Ihren Daten keine Adressbestände auf, die wir später vermarkten könnten, und speisen sie in keine gemeinsam genutzte Datenbank ein.
Keine Verwertung nach Widerruf. Widerrufen Sie Ihre Einwilligung, sperren wir Ihre Kontaktdaten und übergeben sie nicht an andere Stellen, um den Ausfall zu kompensieren.
Keine Erweiterung der Liste ohne neue Einwilligung. Nehmen wir ein weiteres Unternehmen in die Partnerliste auf, betrifft das nur Anfragen, die nach dieser Änderung gestellt werden. Bereits erhobene Anfragen werden nicht an neu aufgenommene Unternehmen übergeben; maßgeblich ist die Fassung der Partnerliste, die zum Zeitpunkt Ihrer Anfrage galt und in Ihrem Einwilligungsnachweis archiviert ist.

Diese Zweckbindung ist Ihnen gegenüber verbindlich. Sie entspricht dem Grundsatz der Zweckbindung aus Art. 5 Abs. 1 Buchst. b DSGVO und dem, was Sie im Formular tatsächlich bestätigen: Der Einwilligungstext verweist auf genau diese Liste, und die Liste ist abschließend.

9.1 Die Partnerliste

Ihre Anfrage kann an genau einen der folgenden fünf Fachpartner gehen. Die Liste ist abschließend; es gibt keine weiteren, nicht genannten Empfänger. Alle fünf sind Fachbetriebe, die Photovoltaikanlagen und Wärmepumpen selbst planen, liefern und installieren. Sie kontaktieren Sie direkt und erstellen Ihnen ein eigenes Angebot; eine Weiterleitung an Dritte findet nicht statt.

Enpal B.V., Bödikerstraße 25, 10245 Berlin
Energiekonzepte Deutschland GmbH, Torgauer Straße 336, 04347 Leipzig
Energieversum GmbH & Co. KG, Dompfaffenstraße 54, 33335 Gütersloh
BSH GmbH & Co. KG, Bamberger Straße 44, 97631 Bad Königshofen
1KOMMA5° GmbH, Neuer Wall 35, 20354 Hamburg

Die Datenschutzhinweise jedes Fachpartners sind in der Partnerliste am Formular verlinkt und auf dessen Website abrufbar. Wir empfehlen, sie zu lesen, bevor Sie Ihre Anfrage bestätigen.

Wie wir den Empfänger bestimmen. Die Partnerliste beschreibt den Kreis der Unternehmen, an die Ihre Anfrage gehen darf. Welches davon sie tatsächlich erhält, entscheidet ein automatisches Zuteilungsverfahren in unserem System anhand von vier Kriterien, die nichts mit Ihrer Person zu tun haben:

Region: Jeder Partner hat uns mitgeteilt, in welchen Postleitzahlgebieten er Anfragen annimmt. Nur Partner, die Ihre Region bedienen, kommen in Betracht.
Kapazität: Partner begrenzen die Zahl der Anfragen, die sie pro Tag oder Monat annehmen. Ein Partner, dessen Kontingent erschöpft ist, erhält keine weitere Anfrage.
Vereinbarte Liefermenge: Mit jedem Partner haben wir vereinbart, wie viele Anfragen er in einem Zeitraum abnimmt. Die Zuteilung verteilt die Anfragen entsprechend dieser Vereinbarungen.
Dublettenprüfung: Der so bestimmte Partner erhält Ihre Anfrage und prüft, ob er Sie bereits kennt – etwa weil Sie bei ihm oder über eine andere Plattform schon einmal angefragt haben. Ist das der Fall, hat er Ihre Daten aus dieser früheren Anfrage bereits; unsere Anfrage bringt ihm nichts Neues, und er meldet sie uns als Dublette zurück.

Dublettenprüfung und Ablehnung. Meldet der zugeteilte Partner eine Dublette oder lehnt er Ihre Anfrage aus anderen Gründen ab – etwa weil sie für ihn nicht in Betracht kommt –, richtet sich das weitere Vorgehen nach unseren Vereinbarungen mit dem ablehnenden Partner: Ist eine weitere Zuteilung danach zulässig, bestimmt das Zuteilungsverfahren nach denselben Kriterien den nächsten Partner der Liste, und Ihre Anfrage geht an diesen; ist sie nicht zulässig, wird Ihre Anfrage gesperrt und nach Abschnitt 13 gelöscht. In beiden Fällen gilt: Ihre Anfrage geht an kein Unternehmen außerhalb der Partnerliste, und ein Partner, der sie abgelehnt hat, darf sie nicht verwenden.

Sobald ein Partner Ihre Anfrage angenommen hat, ist die Zuteilung abgeschlossen: Die Anfrage geht an kein weiteres Unternehmen mehr – weder an einen anderen Partner der Liste noch an irgendjemanden sonst. Genau ein Unternehmen bearbeitet Ihre Anfrage.

Das Verfahren bewertet nicht Sie: Es prüft weder Kaufkraft noch Abschlusswahrscheinlichkeit noch sonst ein persönliches Merkmal, und es trifft keine Entscheidung mit rechtlicher Wirkung Ihnen gegenüber (Abschnitt 15). Es beantwortet allein die Frage, welcher der fünf Fachpartner Ihre Anfrage annehmen kann. Der Partner nennt sich bei seiner ersten Kontaktaufnahme; wollen Sie es vorher wissen, teilen wir es Ihnen auf eine kurze Nachricht an info@limit-breakers.eu jederzeit mit.

Unser Verhältnis zu den Partnern. Mit jedem dieser Unternehmen arbeiten wir auf Grundlage eines Kooperationsvertrags, der Lieferung und Vergütung der Anfragen regelt und uns verpflichtet, Anfragen nur mit wirksamer Einwilligung und unter Einhaltung von DSGVO und UWG zu erheben und den Einwilligungsnachweis auf Verlangen vorzulegen. Welche Pflichten der Partner Ihnen gegenüber hat, ergibt sich nicht aus unserem Vertrag mit ihm, sondern unmittelbar aus dem Gesetz und aus seinen eigenen Datenschutzhinweisen: Er darf Ihre Daten nur im Rahmen der Einwilligung, die Sie erteilt haben, für Werbung nutzen – also nur zu Ihrer Photovoltaik- bzw. Wärmepumpenanfrage –, muss Ihren Widerruf beachten und ist Ihnen gegenüber selbst auskunfts- und löschpflichtig.

9.2 Welche Daten wir übergeben

Wir übermitteln an den Fachpartner, der Ihre Anfrage erhält:

alle Angaben aus dem Anfrageformular (Abschnitt 8, Schritt 1) – Name, Adresse, E-Mail-Adresse, Telefonnummer und Ihre Angaben zum Vorhaben,
den Zeitpunkt Ihrer Anfrage und der beiden Bestätigungen,
den Wortlaut der Einwilligung, die Sie erteilt haben,
die Lead-ID, unter der der Einwilligungsnachweis bei uns hinterlegt ist.

Die technische Übermittlung an den Fachpartner erfolgt nicht unmittelbar von unseren Servern aus, sondern über einen von uns beauftragten Übermittlungsdienstleister in der Europäischen Union, der die bestehenden Schnittstellen zu den Partnern betreibt (Abschnitt 11.6). Dieser Dienstleister handelt ausschließlich in unserem Auftrag; er entscheidet nicht selbst, wohin Ihre Anfrage geht, und darf sie an kein Unternehmen außerhalb der Partnerliste weitergeben.

Wir übermitteln nicht: Ihre IP-Adresse, Ihre Browserkennung, die Kampagnenparameter und die Rohdaten der Telefonverifizierung. Diese bleiben bei uns im Einwilligungsnachweis und werden nur herausgegeben, wenn der Partner sie im Einzelfall zur Erfüllung seiner Nachweispflicht anfordert. Die übrigen vier Fachpartner erfahren nichts von Ihrer Anfrage – auch nicht, dass es sie gibt.

9.3 Was der Fachpartner mit Ihren Daten tut

Der Fachpartner nimmt selbst Kontakt mit Ihnen auf – telefonisch, per E-Mail, SMS oder Messenger, so wie Sie es in der Einwilligung erlaubt haben –, klärt Einzelheiten zu Ihrem Vorhaben, vereinbart in der Regel einen Termin zur Besichtigung Ihres Gebäudes und erstellt Ihnen ein eigenes Angebot. Eine Weitergabe an weitere Unternehmen findet nicht statt, soweit der Fachpartner nicht in seinen eigenen Datenschutzhinweisen etwas anderes angibt (etwa den Einsatz eines regionalen Installationspartners für die Montage).

Ob Sie das Angebot annehmen, entscheiden allein Sie. Ein Vertrag über Lieferung oder Installation kommt unmittelbar zwischen Ihnen und dem Fachpartner zustande, ohne unsere Beteiligung. Wie lange der Fachpartner Ihre Daten speichert, welche Dienstleister er einsetzt und wie Sie Ihre Rechte ihm gegenüber wahrnehmen, regelt er in seinen eigenen Datenschutzhinweisen.

9.4 Verantwortlichkeit nach der Übergabe

Mit der Übergabe endet unsere Kontrolle über Ihre Daten. Der Partner, der Ihre Anfrage erhalten hat, ist ab diesem Zeitpunkt eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Es entscheidet selbst darüber, wie es Ihre Anfrage bearbeitet, und ist Ihnen gegenüber selbst zur Auskunft, Berichtigung und Löschung verpflichtet. Wir sind keine gemeinsam Verantwortlichen im Sinne von Art. 26 DSGVO, weil wir weder die Zwecke noch die Mittel der weiteren Verarbeitung bestimmen.

9.5 Rechtsgrundlagen der Übergabe

Die Übermittlung Ihrer Anfrage an einen Partner stützt sich auf Ihre Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO): Sie haben die Partnerliste vor dem Absenden einsehen können und die Übermittlung an eines dieser Unternehmen durch Anhaken des Werbeeinwilligungs-Kästchens ausdrücklich erlaubt. Zugleich dient die Übermittlung der Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 Buchst. b DSGVO), denn Sie haben um ein Angebot gebeten, und die Übergabe ist der Weg, auf dem Sie es erhalten. Dass wir dafür vergütet werden, ändert daran nichts – entscheidend ist, dass die Übergabe dem Zweck dient, den Sie selbst verfolgen, und dass Sie den Kreis der möglichen Empfänger vor dem Absenden kannten. Die werbliche Kontaktaufnahme durch den Partner – Anruf, E-Mail, SMS oder Messenger-Nachricht – ist rechtlich Direktwerbung und stützt sich auf die von Ihnen erteilte Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 1 und Nr. 2 UWG).

9.6 Keine weiteren Empfänger

Wir geben Ihre Anfragedaten an kein Unternehmen außerhalb der Partnerliste weiter und innerhalb der Liste nur an eines. Wir betreiben keinen Handel mit Adressen, speisen Ihre Daten in keine Datenbank ein, aus der andere Anbieter sich bedienen könnten, und nutzen sie nicht für eigene Werbung – auch nicht für Werbung zu anderen Produkten, die zu Ihrem Vorhaben passen könnten. Ausgenommen sind allein Fälle, in denen wir gesetzlich zur Herausgabe verpflichtet sind (Abschnitt 12).

9.7 Ihre Einwilligung widerrufen

Sie können die Einwilligung in die Übermittlung und die Kontaktaufnahme jederzeit widerrufen – ohne Begründung, ohne Formvorgaben und ohne dass Ihnen dafür andere Kosten entstehen als die für die Übermittlung Ihrer Nachricht nach den Basistarifen. Der Widerruf wirkt für die Zukunft; was bis zum Widerruf auf Grundlage der Einwilligung geschehen ist, bleibt rechtmäßig.

Richten Sie den Widerruf an widerruf@sonnenwerke-solar.de. Diese Adresse haben wir eigens für Widerrufe und Widersprüche eingerichtet, damit sie noch am Tag des Eingangs bearbeitet werden können. Auch ein Widerruf, der an info@limit-breakers.eu gesendet wird, ist wirksam; er wird intern weitergeleitet. Haben wir Ihre Anfrage bereits übergeben, informieren wir den Partner unverzüglich über Ihren Widerruf, so dass auch dort keine weitere Kontaktaufnahme erfolgt. Sie können den Widerruf selbstverständlich auch direkt gegenüber dem Partner erklären; welcher das ist, teilen wir Ihnen auf Anfrage mit, und seine Anschrift finden Sie in Abschnitt 9.1. Ein Widerruf uns gegenüber gilt als auch gegenüber dem Partner erklärt, sobald wir ihn weitergeleitet haben, worüber wir Sie per E-Mail informieren.

Nach Eingang Ihres Widerrufs kennzeichnen wir Ihren Datensatz als gesperrt; ab diesem Zeitpunkt wird er für keine Kontaktaufnahme und keine Übergabe mehr verwendet. Bitte beachten Sie: Ein Widerruf beendet die weitere Verwendung Ihrer Daten für die Kontaktaufnahme, führt aber nicht automatisch zur Löschung des Einwilligungsnachweises (Abschnitt 13). Diesen müssen wir aufbewahren, um belegen zu können, dass die bis zum Widerruf erfolgte Übermittlung und Kontaktaufnahme rechtmäßig war.

10. DAS ALLGEMEINE KONTAKTFORMULAR UND E-MAIL-KONTAKT

Neben dem Anfrageformular bieten wir ein allgemeines Kontaktformular an, über das Sie uns Fragen stellen, Hinweise geben oder Anliegen mitteilen können, die nichts mit einer konkreten Angebotsanfrage zu tun haben. Sie können uns außerdem jederzeit direkt per E-Mail schreiben.

Welche Daten anfallen. Im Kontaktformular fragen wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht ab; die Angabe einer Telefonnummer ist freiwillig. Beim Absenden erfassen wir Datum und Uhrzeit sowie Ihre IP-Adresse, um Missbrauch des Formulars erkennen zu können. Bei E-Mails verarbeiten wir die Angaben, die in der E-Mail enthalten sind, einschließlich der technischen Kopfzeilen.

Wozu. Wir verwenden diese Daten ausschließlich, um Ihr Anliegen zu bearbeiten und Ihnen zu antworten. Nachrichten über das Kontaktformular werden an keines der in Abschnitt 9 genannten Unternehmen weitergegeben und nicht mit einer eventuell vorhandenen Angebotsanfrage von Ihnen zusammengeführt, es sei denn, Sie bitten uns ausdrücklich darum – etwa weil Ihre Nachricht sich auf eine laufende Anfrage bezieht.

Rechtsgrundlage. Für allgemeine Anfragen ist Rechtsgrundlage unser berechtigtes Interesse, mit Besuchern unserer Website in Kontakt treten und ihre Fragen beantworten zu können (Art. 6 Abs. 1 Buchst. f DSGVO). Bezieht sich Ihre Nachricht auf eine Angebotsanfrage – etwa weil Sie Angaben korrigieren oder den Stand erfragen möchten –, ist Rechtsgrundlage Art. 6 Abs. 1 Buchst. b DSGVO. Machen Sie Ihre Betroffenenrechte geltend, gilt Abschnitt 17.

Speicherdauer. Wir löschen die Korrespondenz, sobald Ihr Anliegen abschließend bearbeitet ist und keine Rückfragen mehr zu erwarten sind, spätestens jedoch drei Monate nach dem letzten Kontakt – sofern nicht gesetzliche Aufbewahrungspflichten oder ein laufender Rechtsstreit eine längere Aufbewahrung erfordern.

Vertraulichkeit. Bitte beachten Sie, dass unverschlüsselte E-Mails auf dem Transportweg grundsätzlich mitgelesen werden könnten. Für vertrauliche Mitteilungen empfehlen wir das Kontaktformular, dessen Übertragung durchgehend verschlüsselt ist.

11. DIENSTLEISTER, DIE FÜR UNS ARBEITEN

Wir betreiben unsere Infrastruktur nicht vollständig mit eigenen Servern und eigenem Personal. Für klar abgegrenzte technische Aufgaben setzen wir spezialisierte Dienstleister ein, die als Auftragsverarbeiter im Sinne von Art. 28 DSGVO für uns tätig werden. Das bedeutet: Sie verarbeiten Ihre Daten nur in dem Umfang, den wir vorgeben, nur zu den Zwecken, die wir bestimmen, und nur so lange, wie wir es anordnen. Sie dürfen die Daten nicht für eigene Zwecke nutzen, nicht an Dritte weitergeben und müssen sie nach Beendigung des Auftrags löschen oder an uns zurückgeben. Mit jedem dieser Dienstleister haben wir einen Auftragsverarbeitungsvertrag geschlossen, der diese Pflichten und die erforderlichen technischen und organisatorischen Sicherheitsmaßnahmen festschreibt. Wir überprüfen regelmäßig, ob die Dienstleister diese Pflichten einhalten.

Sitzt ein Dienstleister in einem Drittland, haben wir zusätzlich die Standarddatenschutzklauseln der Europäischen Kommission mit ihm vereinbart (siehe Abschnitt 24.2).

11.1 Hosting der Website und der Datenbank

Die Website sonnenwerke-solar.de und die Datenbank, in der Ihre Anfragedaten und die Einwilligungsnachweise gespeichert sind, werden auf Servern der ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, betrieben. ALL-INKL.COM ist ein deutscher Webhosting-Anbieter; die von uns genutzten Server stehen in Deutschland. Ihre Anfragedaten werden also in Deutschland gespeichert und von uns innerhalb der Europäischen Union verarbeitet. Der Dienstleister stellt die Rechenleistung, den Speicherplatz und die Netzwerkanbindung bereit und sorgt für die physische Sicherheit der Rechenzentren; er hat keinen inhaltlichen Zugriff auf Ihre Daten, die auf den Speichermedien verschlüsselt abgelegt sind. Verarbeitet werden sämtliche in dieser Erklärung genannten Daten, soweit sie auf unseren Systemen gespeichert sind. Rechtsgrundlage ist Art. 28 DSGVO in Verbindung mit der jeweiligen Rechtsgrundlage der zugrunde liegenden Verarbeitung.

11.2 Content Delivery Network (Cloudflare)

Der gesamte Datenverkehr zwischen Ihrem Browser und unserem Server läuft über das Netzwerk von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Cloudflare betreibt weltweit verteilte Server, die Inhalte unserer Website zwischenspeichern und schädliche Zugriffe – etwa Überlastungsangriffe oder automatisierte Formularspam-Skripte – herausfiltern, bevor sie unseren Server erreichen. Die Server, über die Ihre Anfrage geleitet wird, können auch außerhalb Europas liegen. Cloudflare verarbeitet dabei Ihre IP-Adresse, technische Verbindungsdaten und die aufgerufene Adresse; Formularinhalte werden über Cloudflare nur verschlüsselt durchgeleitet und dort nicht gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, stabilen und schnellen Website (Art. 6 Abs. 1 Buchst. f DSGVO). Cloudflare speichert Verbindungsprotokolle nach eigenen Angaben für einen kurzen Zeitraum zur Sicherheitsanalyse. Weitere Informationen finden Sie in den Datenschutzhinweisen von Cloudflare unter www.cloudflare.com/privacypolicy.

11.3 Versand der Bestätigungs-E-Mail

Die Bestätigungs-E-Mail aus Schritt 2 versenden wir über die Mailserver unseres Hosting-Dienstleisters ALL-INKL.COM (Anschrift siehe Abschnitt 11.1). Der Mailserver verarbeitet dafür Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der Nachricht und protokolliert, ob die E-Mail zugestellt werden konnte. Der Klick auf den Bestätigungslink wird nicht vom Mailserver, sondern von unserer eigenen Anwendung erfasst. Zustellprotokolle werden vom Dienstleister für einen begrenzten Zeitraum vorgehalten und anschließend gelöscht; eine Nutzung Ihrer E-Mail-Adresse für eigene Zwecke ist ihm vertraglich untersagt. Dass Hosting und Mailversand beim selben Dienstleister liegen, hat für Sie den Vorteil, dass Ihre Daten für den Versand nicht an ein weiteres Unternehmen übermittelt werden müssen. Rechtsgrundlage ist Art. 28 DSGVO in Verbindung mit Art. 6 Abs. 1 Buchst. c und Art. 7 Abs. 1 DSGVO.

11.4 Versand der Verifizierungs-SMS und Durchführung des Verifizierungsanrufs

Die SMS und den automatischen Anruf aus Schritt 3 wickeln wir über spezialisierte Kommunikationsdienstleister ab. Derzeit nutzen wir hierfür die Xtreme Internet Solutions, Rijksweg 428, 3650 Dilsen-Stokkem, Belgien. Weil solche Dienstleister zeitweise Störungen haben können – etwa bei der Verfügbarkeit ihrer Rufnummern oder der Zustellung in einzelne Mobilfunknetze –, halten wir als Alternative den Dienst Twilio Verify der Twilio, Inc., 101 Spear Street, Fifth Floor, San Francisco, CA 94105, USA, bereit und setzen ihn ein, wenn der primäre Dienstleister nicht verfügbar ist oder wir zwischen den Anbietern wechseln. Für Sie ändert sich dadurch nichts am Ablauf; welcher Dienstleister eine einzelne Verifizierung ausgeführt hat, protokollieren wir im Einwilligungsnachweis. Wir übergeben dem jeweiligen Dienstleister Ihre Rufnummer und – je nach Weg – den Nachrichtentext oder den Ansagetext einschließlich des sechsstelligen Codes, den unsere eigene Anwendung erzeugt; der Dienstleister stellt die SMS über die Mobilfunknetze zu bzw. baut die Telefonverbindung auf und spielt die Ansage ab und meldet uns zurück, ob und wann die Zustellung erfolgt ist bzw. ob der Anruf angenommen wurde und wie lange er dauerte. Den von Ihnen auf unserer Website eingegebenen Code prüfen wir in unserer eigenen Anwendung; der Dienstleister ist an dieser Prüfung nicht beteiligt und erfährt nicht, ob die Verifizierung erfolgreich war. Eine Aufzeichnung von Sprache findet weder bei uns noch bei den Dienstleistern statt. Die Dienstleister speichern Verbindungs- und Zustelldaten für einen begrenzten Zeitraum zu Abrechnungs- und Betrugspräventionszwecken; eine Nutzung Ihrer Rufnummer für eigene Zwecke ist ihnen vertraglich untersagt. Mit beiden Dienstleistern besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Xtreme Internet Solutions hat ihren Sitz in Belgien und damit in der Europäischen Union; bei ihr findet keine Drittlandübermittlung statt. Twilio hat ihren Sitz in den USA; soweit wir Twilio einsetzen, erfolgt die Übermittlung Ihrer Rufnummer auf Grundlage der Standarddatenschutzklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchst. c DSGVO), ergänzt um Verschlüsselung der Übertragung und Beschränkung der übermittelten Daten auf Rufnummer und Code (Abschnitt 24.2). Weitere Informationen zum Datenschutz bei Twilio finden Sie unter www.twilio.com/legal/privacy. Rechtsgrundlage ist Art. 28 DSGVO in Verbindung mit Art. 6 Abs. 1 Buchst. f DSGVO.

11.5 Adress-Vervollständigung (Komoot)

Wenn Sie im Anfrageformular Ihre Adresse eingeben, schlägt das Formular passende Straßen und Orte vor, damit Tippfehler vermieden werden. Diese Vorschläge liefert der Geokodierungsdienst der komoot GmbH, Friedrich-Ebert-Straße 8, 14467 Potsdam, Deutschland. Die Abfrage läuft ausschließlich über unseren eigenen Server: Ihr Browser sendet den bisher eingegebenen Adresstext an uns, unser Server fragt damit bei Komoot an und reicht die Vorschläge an Ihren Browser zurück. Ihr Browser nimmt zu keinem Zeitpunkt selbst Verbindung zu Komoot auf; Komoot erhält weder Ihre IP-Adresse noch Ihren Namen, Ihre Kontaktdaten oder sonstige Angaben aus dem Formular, sondern allein die eingegebenen Adressbestandteile. Der Dienstleister hat seinen Sitz in Deutschland; eine Drittlandübermittlung findet nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse an fehlerfreien Adressangaben (Art. 6 Abs. 1 Buchst. f DSGVO) – eine falsche Adresse führt dazu, dass kein Fachbetrieb in Ihrer Region gefunden wird.

11.6 Übermittlung an den Partner (Übermittlungsdienstleister in der EU)

Die Übergabe Ihrer geprüften Anfrage an den Partner führen wir nicht mit eigener Infrastruktur durch, sondern über einen Übermittlungsdienstleister mit Sitz in der Europäischen Union. Dieser Dienstleister betreibt bereits die technischen Schnittstellen (API-Anbindungen und Partnerzugänge) zu den Unternehmen der Partnerliste und stellt sie uns zur Verfügung; wir nutzen diese vorhandene Infrastruktur, statt für jeden Partner eine eigene Anbindung aufzubauen. Der Dienstleister erhält von uns die in Abschnitt 9.2 genannten Übergabedaten zusammen mit der Angabe, an welchen Partner sie zu übermitteln sind, leitet sie an genau diesen Partner weiter und meldet uns die Annahme oder eine Dublettenmeldung zurück; bei einer Ablehnung übermittelt er die Anfrage nur auf unsere erneute Weisung an den nächsten von unserem Zuteilungsverfahren bestimmten Partner (Abschnitt 9.1).

Der Dienstleister ist Auftragsverarbeiter im Sinne von Art. 28 DSGVO und uns durch einen Auftragsverarbeitungsvertrag gebunden. Wir nennen ihn hier als Kategorie und nicht namentlich; das ist bei Auftragsverarbeitern zulässig (Art. 13 Abs. 1 Buchst. e DSGVO), weil er keine eigene Rolle Ihnen gegenüber hat, sondern ausschließlich als unser technischer Erfüllungsgehilfe tätig wird. Seine Identität teilen wir Ihnen im Rahmen einer Auskunft nach Art. 15 DSGVO auf Anfrage mit. Auftragsverarbeitung bedeutet: Er handelt ausschließlich nach unseren Weisungen, ohne eigene Interessen an Ihren Daten, trifft keine eigene Entscheidung darüber, welcher Partner Ihre Anfrage erhält, darf Ihre Daten nicht für eigene Zwecke nutzen, nicht an andere Unternehmen – auch nicht an weitere Abnehmer, mit denen er selbst in Geschäftsbeziehung steht – weitergeben und muss sie nach der Übermittlung löschen, sobald die Annahme durch den Partner bestätigt ist; eine Kopie zu Abrechnungszwecken enthält nur die Lead-ID. Der Kreis der zulässigen Empfänger ist für ihn vertraglich auf die Partnerliste in Abschnitt 9.1 beschränkt. Da der Dienstleister in der Europäischen Union sitzt, findet auf diesem Weg keine Drittlandübermittlung statt; Ihre Daten gelangen von unserem Server in Deutschland (Abschnitt 11.1) über den Dienstleister zum Partner, ohne die Europäische Union zu verlassen. Rechtsgrundlage ist Art. 28 DSGVO in Verbindung mit Art. 6 Abs. 1 Buchst. a und b DSGVO.

12. WEITERE EMPFÄNGER

Über die in Abschnitt 9 beschriebene Übergabe an den Partner, der Ihre Anfrage erhalten hat und die in Abschnitt 11 genannten Dienstleister hinaus können Ihre Daten in eng begrenzten Fällen an weitere Stellen gelangen:

Berater. Steuerberater, Wirtschaftsprüfer und Rechtsanwälte, soweit sie Zugang zu Unterlagen benötigen, in denen personenbezogene Daten enthalten sind – etwa Rechnungen an die Unternehmen aus Abschnitt 9, in denen Lead-IDs aufgeführt sind, oder Korrespondenz in einem Streitfall. Diese Berufsgruppen unterliegen eigenen gesetzlichen Verschwiegenheitspflichten.
Behörden und Gerichte. Wenn wir gesetzlich zur Herausgabe verpflichtet sind, etwa aufgrund einer richterlichen Anordnung oder einer Anfrage einer Datenschutzaufsichtsbehörde. Wir prüfen jede solche Anfrage auf ihre Rechtmäßigkeit und geben nur heraus, was wir herausgeben müssen.
Rechtsnachfolger. Sollte die Limitbreakers EOOD oder der Geschäftsbereich, zu dem sonnenwerke-solar.de gehört, verkauft oder umstrukturiert werden, könnten Ihre Daten an den Erwerber übergehen. Dieser wäre an dieselben Zwecke und dieselbe Datenschutzerklärung gebunden, und wir würden Sie über einen solchen Übergang informieren.

In keinem dieser Fälle geben wir Daten zu Werbezwecken weiter.

13. WIE LANGE WIR IHRE DATEN AUFBEWAHREN

Wir speichern personenbezogene Daten nicht länger, als es für den jeweiligen Zweck erforderlich ist oder gesetzliche Vorschriften es verlangen. Weil die Zwecke unterschiedlich sind, gelten unterschiedliche Fristen:

Datenkategorie: Unbestätigte Anfragen (kein Klick auf den Bestätigungslink). Aufbewahrungsdauer: Löschung nach 72 Stunden. Grund: Ohne Bestätigung gibt es keinen Zweck mehr.

Datenkategorie: Bestätigte Anfragen, die durch die Telefonverifizierung gefallen sind. Aufbewahrungsdauer: Löschung nach 72 Stunden ab letztem Verifizierungsversuch. Grund: wie oben.

Datenkategorie: Bestätigte, verifizierte und übergebene Anfragen einschließlich Einwilligungsnachweis. Aufbewahrungsdauer: Bis zum Ablauf der gesetzlichen Verjährungsfristen für Ansprüche aus der Kontaktaufnahme, in der Regel drei Jahre ab Ende des Jahres, in dem die Anfrage gestellt wurde; bei laufenden Verfahren bis zu deren Abschluss. Grund: Nachweispflicht aus Art. 7 Abs. 1 DSGVO; Verteidigung gegen Ansprüche.

Datenkategorie: Widerrufs- und Widerspruchserklärungen. Aufbewahrungsdauer: Der betroffene Datensatz wird manuell als gesperrt gekennzeichnet und bleibt so lange gesperrt gespeichert wie der zugehörige Einwilligungsnachweis. Grund: Sicherstellung, dass Sie nach einem Widerruf nicht erneut kontaktiert werden; Nachweis des Widerrufs.

Datenkategorie: Korrespondenz über das Kontaktformular und per E-Mail. Aufbewahrungsdauer: Drei Monate nach dem letzten Kontakt. Grund: Bearbeitung des Anliegens.

Datenkategorie: Dokumentation von Betroffenenanfragen (Abschnitt 17). Aufbewahrungsdauer: Drei Jahre ab Abschluss der Bearbeitung. Grund: Nachweis der Erfüllung unserer Pflichten.

Datenkategorie: Server-Logs. Aufbewahrungsdauer: Sieben Tage. Grund: Sicherheit und Fehleranalyse.

Datenkategorie: Buchhaltungs- und Geschäftsunterlagen, in denen personenbezogene Daten enthalten sind (z. B. Abrechnungen mit den Unternehmen aus Abschnitt 9, in denen Lead-IDs aufgeführt sind). Aufbewahrungsdauer: Für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen, die für uns nach bulgarischem Recht gelten (bis zu zehn Jahre ab Ende des Kalenderjahres). Grund: Gesetzliche Aufbewahrungspflichten.

Löschung und Sperrung. Nach Ablauf der Frist löschen wir die Daten unwiderruflich oder anonymisieren sie so, dass kein Bezug zu Ihrer Person mehr herstellbar ist. Daten, die wir wegen einer Aufbewahrungspflicht noch behalten müssen, deren eigentlicher Zweck aber entfallen ist, sperren wir: Sie sind dann nur noch für den Zweck der Aufbewahrung zugänglich und werden für nichts anderes mehr verwendet.

Sicherungskopien. Unsere Datenbank wird wöchentlich durch unseren Hosting-Dienstleister gesichert; jede Sicherung wird nach zwei Wochen überschrieben. Die in dieser Erklärung genannten Löschfristen gelten für unsere laufenden Systeme. Daten, die dort gelöscht wurden, können in einer Sicherungskopie noch bis zu zwei Wochen enthalten sein und verschwinden dann mit deren Überschreibung endgültig. Aus Sicherungen wird nur im Fall eines technischen Ausfalls wiederhergestellt; Sicherungen werden nicht durchsucht, ausgewertet oder für andere Zwecke geöffnet.

14. SICHERHEIT DER VERARBEITUNG

Art. 32 DSGVO verpflichtet uns, technische und organisatorische Maßnahmen zu treffen, die dem Risiko der Verarbeitung angemessen sind. Was wir konkret tun:

Verschlüsselte Übertragung. Die gesamte Kommunikation zwischen Ihrem Browser und unserer Website ist über TLS verschlüsselt (erkennbar am Schloss-Symbol und an „https" in der Adresszeile). Bitte achten Sie darauf, unsere Seite über die Adresse https://sonnenwerke-solar.de aufzurufen. Die Übergabe Ihrer Anfrage an den Partner erfolgt über API-Schnittstellen, also verschlüsselte Verbindungen von System zu System (über unseren Übermittlungsdienstleister, Abschnitt 11.6) – nicht per E-Mail und nicht über Dateiexporte, die auf dem Weg abgefangen oder versehentlich weitergeleitet werden könnten. Auch der Datenaustausch mit unseren Dienstleistern läuft ausschließlich über verschlüsselte Verbindungen.

Verschlüsselte Speicherung. Die Datenbank, in der Ihre Anfragedaten und die Einwilligungsnachweise liegen, ist verschlüsselt. Ein Diebstahl oder unbefugter Zugriff auf die Datenträger würde keine lesbaren Daten offenbaren.

Zugriffsbeschränkung. Auf Ihre Daten haben nur diejenigen Personen Zugriff, die sie für ihre Aufgabe zwingend benötigen. Jede dieser Personen hat einen eigenen, persönlichen Zugang, der zusätzlich zum Passwort durch eine Zwei-Faktor-Authentifizierung gesichert ist; geteilte Sammelzugänge gibt es nicht. So lässt sich jederzeit nachvollziehen, wer mit Ihren Daten arbeiten darf.

Pseudonymisierung. Jede Anfrage erhält bei Eingang eine eindeutige Lead-ID. Intern und in der gesamten Kommunikation mit den Unternehmen aus Abschnitt 9 – bei Rückfragen, Abrechnungen und Widerrufen – wird ausschließlich diese Lead-ID verwendet, nicht Ihr Name. Wer eine Nachricht mit einer Lead-ID mitliest, kann daraus allein nicht erkennen, um wen es geht.

Trennung. Nachrichten aus dem allgemeinen Kontaktformular laufen in ein eigenes Postfach und werden nicht in der Datenbank mit den Anfragedaten gespeichert. Beide Bestände werden nicht zusammengeführt.

Überwachung. Auffällige Muster – etwa ungewöhnlich viele Anfragen in kurzer Zeit oder aus demselben Netz – lösen eine automatische Alarmierung aus, so dass wir Angriffsversuche und Massenanfragen zeitnah erkennen und unterbinden können.

Datenschutz durch Technikgestaltung und Voreinstellungen. Art. 25 DSGVO verlangt, den Datenschutz nicht nachträglich aufzusetzen, sondern von Anfang an in die Gestaltung von Verfahren einzubauen und die datenschutzfreundlichste Einstellung zum Standard zu machen. Bei sonnenwerke-solar.de zeigt sich das an mehreren Stellen, die in dieser Erklärung bereits beschrieben sind und hier nur zugeordnet werden: Das Formular fragt ausschließlich die für eine Angebotsanfrage nötigen Felder ab; das Einwilligungskästchen ist nicht vorangekreuzt; unbestätigte Anfragen verfallen von selbst, ohne dass jemand aktiv löschen muss; die Website kommt ohne einwilligungspflichtige Cookies aus, so dass die datenschutzfreundlichste Einstellung nicht gewählt werden muss, sondern die einzige ist; und die Kommunikation mit den Empfängerunternehmen läuft über Lead-IDs, so dass Namen dort nicht auftauchen, wo sie nicht gebraucht werden. Diese Entscheidungen wurden beim Aufbau der Plattform getroffen, nicht nachträglich ergänzt.

Regelmäßige Überprüfung. Wir überprüfen unsere Maßnahmen regelmäßig und passen sie an den Stand der Technik an. Unsere Dienstleister sind vertraglich zu vergleichbaren Maßnahmen verpflichtet und müssen uns deren Einhaltung auf Verlangen nachweisen.

Meldung von Verletzungen. Sollte es trotz aller Vorkehrungen zu einer Verletzung des Schutzes Ihrer Daten kommen, die voraussichtlich ein Risiko für Ihre Rechte und Freiheiten zur Folge hat, melden wir dies gemäß Art. 33 DSGVO binnen 72 Stunden der zuständigen Aufsichtsbehörde. Besteht ein hohes Risiko, informieren wir Sie gemäß Art. 34 DSGVO auch persönlich.

Vollständige Sicherheit gibt es im Internet nicht. Wir tun aber alles, was von einem verantwortungsvollen Betreiber erwartet werden kann, um Ihre Daten zu schützen, und entwickeln unsere Maßnahmen fortlaufend weiter.

15. KEINE AUTOMATISIERTE ENTSCHEIDUNGSFINDUNG, KEIN PROFILING

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die automatischen Prüfungen in unserem Verfahren – die Bestätigungs-E-Mail und die Telefonverifizierung per SMS oder Anruf – bewerten nicht Sie als Person, sondern prüfen ausschließlich, ob die angegebene E-Mail-Adresse und Telefonnummer erreichbar sind und von Ihnen kontrolliert werden. Ihre Anfrage wird nicht nach Wert, Wahrscheinlichkeit eines Abschlusses oder sonstigen Kriterien bewertet, sortiert oder aussortiert. Jede Anfrage, die beide Prüfungen besteht, wird gleich behandelt und weitergegeben. Auch das automatische Zuteilungsverfahren, das bestimmt, welcher Partner Ihre Anfrage erhält (Abschnitt 9.1), bewertet nicht Sie, sondern prüft nur Region, Kapazität, vereinbarte Liefermenge und Dublette; es entfaltet Ihnen gegenüber keine rechtliche Wirkung, denn Sie erhalten in jedem Fall ein Angebot von einem der Partner, die Sie vorab kannten.

Wir erstellen keine Profile über Sie. Wir verknüpfen Ihre Angaben nicht mit Informationen aus anderen Quellen, wir kaufen keine Daten über Sie hinzu, wir bewerten weder Ihre Bonität noch Ihr Kaufverhalten, und wir bilden keine Zielgruppen für Werbung.

16. IHRE RECHTE IM DETAIL

Die DSGVO räumt Ihnen als betroffener Person eine Reihe von Rechten ein, die Sie uns gegenüber jederzeit geltend machen können. Wir erläutern jedes einzelne, damit Sie wissen, was Sie von uns verlangen können.

16.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie können von uns eine Bestätigung verlangen, ob wir personenbezogene Daten über Sie verarbeiten. Ist das der Fall, haben Sie Anspruch auf Auskunft über diese Daten und auf folgende Informationen: die Verarbeitungszwecke, die Kategorien der verarbeiteten Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer oder die Kriterien für deren Festlegung, das Bestehen Ihrer weiteren Rechte, das Beschwerderecht bei einer Aufsichtsbehörde, die Herkunft der Daten, sofern wir sie nicht bei Ihnen erhoben haben, das Bestehen einer automatisierten Entscheidungsfindung sowie – bei Übermittlung in ein Drittland – die geeigneten Garantien. Wir stellen Ihnen auf Wunsch eine Kopie der Daten zur Verfügung. Die erste Kopie ist kostenlos; für weitere Kopien können wir ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen.

16.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sind Daten über Sie unrichtig, können Sie verlangen, dass wir sie unverzüglich berichtigen. Sind Daten unvollständig, können Sie deren Vervollständigung verlangen – auch mittels einer ergänzenden Erklärung. Haben wir Ihre Anfrage bereits übergeben, leiten wir die Berichtigung an den Partner, der Ihre Anfrage erhalten hat weiter.

16.3 Recht auf Löschung (Art. 17 DSGVO)

Sie können verlangen, dass wir Ihre Daten unverzüglich löschen, wenn einer der folgenden Gründe zutrifft: Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig; Sie haben Ihre Einwilligung widerrufen und es gibt keine andere Rechtsgrundlage; Sie haben Widerspruch eingelegt und es liegen keine vorrangigen berechtigten Gründe vor; die Daten wurden unrechtmäßig verarbeitet; die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.

Das Recht auf Löschung besteht nicht, soweit die Verarbeitung erforderlich ist zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Aus diesem Grund können wir den Einwilligungsnachweis zu einer übergebenen Anfrage erst nach Ablauf der Verjährungsfristen löschen (Abschnitt 13); bis dahin wird er gesperrt. Alle Daten, die dieser Ausnahme nicht unterfallen, löschen wir auf Ihren Wunsch.

16.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie können verlangen, dass wir die Verarbeitung Ihrer Daten einschränken – das heißt, sie nur noch speichern, aber nicht mehr anderweitig verwenden –, wenn Sie die Richtigkeit der Daten bestreiten (für die Dauer unserer Prüfung), wenn die Verarbeitung unrechtmäßig ist, Sie aber statt der Löschung die Einschränkung wünschen, wenn wir die Daten nicht mehr benötigen, Sie sie aber zur Geltendmachung von Rechtsansprüchen brauchen, oder wenn Sie Widerspruch eingelegt haben und noch nicht feststeht, ob unsere Gründe überwiegen.

16.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten – bei uns in der Regel als CSV- oder JSON-Datei. Sie können auch verlangen, dass wir diese Daten direkt an einen anderen Verantwortlichen übermitteln, soweit das technisch machbar ist.

16.6 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Jede Einwilligung, die Sie uns erteilt haben, können Sie jederzeit widerrufen. Der Widerruf muss so einfach sein wie die Erteilung; bei uns genügt eine formlose E-Mail an widerruf@sonnenwerke-solar.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Einzelheiten zum Widerruf der Kontaktaufnahme-Einwilligung finden Sie in Abschnitt 9.7. Eine Cookie-Einwilligung gibt es bei uns nicht, weil wir keine einwilligungspflichtigen Cookies setzen (Abschnitt 7.3).

16.7 Recht auf Widerspruch (Art. 21 DSGVO)

Allgemeiner Widerspruch. Gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 6 Abs. 1 Buchst. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Wir stellen die Verarbeitung dann ein, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch gegen Direktwerbung. Soweit Ihre Daten zum Zweck der Direktwerbung verarbeitet werden, können Sie dem jederzeit und ohne Angabe von Gründen widersprechen – am einfachsten per E-Mail an widerruf@sonnenwerke-solar.de. Wir verarbeiten Ihre Daten dann nicht mehr für diesen Zweck und informieren der Partner, der Ihre Anfrage erhalten hat, sofern Ihre Anfrage bereits übergeben wurde. Da die Kontaktaufnahme durch das Unternehmen auf Ihrer Einwilligung beruht, hat ein solcher Widerspruch dieselbe Wirkung wie ein Widerruf.

17. WIE SIE IHRE RECHTE AUSÜBEN

Der Weg. Für Widerruf und Widerspruch nutzen Sie bitte widerruf@sonnenwerke-solar.de, für alle anderen Rechte – Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit – info@limit-breakers.eu. Verwechseln Sie die Adressen, ist das unschädlich: Wir leiten Ihr Anliegen intern an die richtige Stelle weiter. Sie brauchen keine besondere Form einzuhalten und keinen Grund anzugeben (außer beim allgemeinen Widerspruch nach Abschnitt 16.7, der sich auf Ihre besondere Situation stützt). Nennen Sie uns nach Möglichkeit die E-Mail-Adresse oder Telefonnummer, die Sie bei Ihrer Anfrage verwendet haben – das beschleunigt die Zuordnung.

Identitätsprüfung. Wir müssen sicherstellen, dass wir Auskünfte nur an die Person erteilen, die sie betreffen, und Daten nur auf Wunsch der berechtigten Person löschen oder ändern. Bestehen begründete Zweifel an Ihrer Identität, können wir zusätzliche Informationen anfordern – in der Regel bitten wir um eine Bestätigung über die bei uns hinterlegte E-Mail-Adresse oder Telefonnummer. Wir verlangen keine Ausweiskopien, wenn es eine weniger eingriffsintensive Möglichkeit der Prüfung gibt.

Frist. Wir beantworten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats nach Eingang. In komplexen Fällen oder bei einer großen Zahl von Anfragen kann diese Frist um weitere zwei Monate verlängert werden; darüber informieren wir Sie innerhalb des ersten Monats unter Angabe der Gründe.

Kosten. Die Ausübung Ihrer Rechte ist kostenlos. Nur bei offenkundig unbegründeten oder – insbesondere wegen häufiger Wiederholung – exzessiven Anträgen können wir ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern; in diesem Fall müssen wir den offenkundig unbegründeten oder exzessiven Charakter nachweisen.

Verarbeitung Ihrer Anfrage. Die Daten, die Sie uns im Zusammenhang mit der Ausübung Ihrer Rechte mitteilen, verwenden wir ausschließlich zur Bearbeitung des Anliegens und zur Dokumentation, dass wir unseren Pflichten nachgekommen sind (Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit Art. 12 bis 22 DSGVO). Diese Dokumentation bewahren wir drei Jahre auf.

Weiterleitung an den Partner, der Ihre Anfrage erhalten hat. Betrifft Ihr Anliegen Daten, die wir bereits übergeben haben, informieren wir der Partner, der Ihre Anfrage erhalten hat über Ihre Berichtigung, Löschung, Einschränkung oder Ihren Widerspruch (Art. 19 DSGVO), soweit dies nicht unmöglich oder mit unverhältnismäßigem Aufwand verbunden ist. Auf Wunsch teilen wir Ihnen mit, dass wir dies getan haben.

18. BESCHWERDERECHT BEI EINER AUFSICHTSBEHÖRDE

Wenn Sie der Ansicht sind, dass wir Ihre Daten unter Verstoß gegen die DSGVO verarbeiten, haben Sie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Sie können sich an die Aufsichtsbehörde des Mitgliedstaats wenden, in dem Sie Ihren Aufenthaltsort oder Arbeitsplatz haben oder in dem der mutmaßliche Verstoß begangen wurde. Für uns zuständig ist die bulgarische Kommission für den Schutz personenbezogener Daten (Комисия за защита на личните данни), Bul. Prof. Tsvetan Lazarov 2, 1592 Sofia, Bulgarien (www.cpdp.bg). Sie können sich aber auch an die Aufsichtsbehörde des Bundeslandes wenden, in dem Sie wohnen; eine Übersicht aller deutschen Aufsichtsbehörden mit Kontaktdaten stellt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit unter www.bfdi.bund.de bereit.

Das Beschwerderecht besteht unbeschadet anderer Rechtsbehelfe. Wir würden uns allerdings freuen, wenn Sie sich mit Ihrem Anliegen zunächst an uns wenden – in den meisten Fällen lässt sich ein Problem im direkten Gespräch schneller lösen.

19. PFLICHT ZUR BEREITSTELLUNG VON DATEN

Weder gesetzlich noch vertraglich sind Sie verpflichtet, uns personenbezogene Daten zur Verfügung zu stellen. Der Besuch unserer Website ist ohne jede Angabe möglich; die dabei anfallenden technischen Daten (Abschnitt 6) entstehen automatisch und werden nicht zur Identifizierung genutzt.

Wenn Sie allerdings eine Angebotsanfrage stellen möchten, kommen wir ohne die als Pflichtangaben gekennzeichneten Daten nicht aus: Sie sind erforderlich, damit der Partner, der Ihre Anfrage erhält, Sie erreichen, Ihr Vorhaben einschätzen und ein Angebot erstellen oder passende Fachbetriebe in Ihrer Region finden kann. Die Folge der Nichtbereitstellung ist schlicht, dass keine Anfrage gestellt werden kann. Nachteile darüber hinaus entstehen Ihnen nicht.

Dasselbe gilt für die Werbeeinwilligung in Übermittlung und Kontaktaufnahme: Ohne sie kann keine Anfrage weitergegeben werden, weil der Zweck der Anfrage – Angebote zu erhalten – ohne Kontaktaufnahme nicht erreichbar ist. Die Einwilligung ist dennoch freiwillig im Sinne der DSGVO, weil Sie in Ihrer Entscheidung, überhaupt eine Anfrage zu stellen, vollkommen frei sind und Ihnen bei Verzicht keine Nachteile drohen.

20. MINDERJÄHRIGE

Unser Angebot richtet sich an Eigentümer von Wohngebäuden und damit an Erwachsene. Wir erheben wissentlich keine Daten von Personen unter 16 Jahren. Sollten wir feststellen, dass eine Anfrage von einer minderjährigen Person stammt, löschen wir die zugehörigen Daten unverzüglich. Wenn Sie als Elternteil oder Erziehungsberechtigter den Eindruck haben, dass ein Minderjähriger uns Daten übermittelt hat, bitten wir um eine Nachricht an info@limit-breakers.eu.

21. ÄNDERUNGEN DIESER DATENSCHUTZERKLÄRUNG

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verfahren, unsere Dienstleister, die Partnerliste oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter sonnenwerke-solar.de/datenschutz abrufbar und trägt das Datum ihres Inkrafttretens im Kopf. Wesentliche Änderungen, die Ihre Rechte berühren, kündigen wir auf der Website an.

Für Ihre konkrete Anfrage gilt stets die Fassung, die zum Zeitpunkt der Anfrage veröffentlicht war. Diese Fassung ist Bestandteil Ihres Einwilligungsnachweises (Abschnitt 8, Schritt 4) und wird dort archiviert. Sie können sie jederzeit im Rahmen Ihres Auskunftsrechts anfordern.

22. WAS WIR BEWUSST NICHT ERHEBEN

Eine Datenschutzerklärung listet üblicherweise auf, was verarbeitet wird. Ebenso aufschlussreich ist, was nicht verarbeitet wird. Wir erheben, speichern und verarbeiten auf sonnenwerke-solar.de nicht:

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO – also keine Angaben zu Gesundheit, ethnischer Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben oder sexueller Orientierung und keine genetischen oder biometrischen Daten. Unser Formular enthält kein Feld, in dem solche Angaben abgefragt werden, und wir bitten Sie, solche Angaben auch nicht in Freitextfelder des Kontaktformulars einzutragen.
Finanzdaten. Keine Kontonummern, keine Kreditkartendaten, keine Angaben zu Einkommen, Vermögen oder Kreditwürdigkeit. Auf sonnenwerke-solar.de wird nichts bezahlt; wir haben deshalb keinen Grund, solche Daten zu erheben, und tun es nicht.
Ausweis- und Identifikationsdaten. Keine Ausweisnummern, keine Steuer-Identifikationsnummern, keine Geburtsdaten.
Standortdaten Ihres Endgeräts. Wir fragen Ihren Browser nicht nach Ihrer Geoposition. Die einzige Ortsangabe ist die Adresse, die Sie selbst in das Formular eintragen.
Daten aus sozialen Netzwerken. Es gibt keinen Login über Facebook, Google oder andere Plattformen und keine Verknüpfung mit dort hinterlegten Profilen.
Daten Dritter. Wir fragen nicht nach Angaben zu Familienangehörigen, Nachbarn oder anderen Personen. Sollten Sie im Kontaktformular Daten Dritter mitteilen, verarbeiten wir sie nur, soweit dies zur Bearbeitung Ihres Anliegens unumgänglich ist.
Verhaltensdaten. Wir zeichnen nicht auf, wie lange Sie auf welcher Seite verweilen, wohin Sie scrollen, worauf Sie klicken oder welche Seiten Sie vor und nach uns besucht haben. Die einzige Auswertung ist eine anonyme Tageszählung von Seitenaufrufen ohne jede Kennung (Abschnitt 7.4).
Newsletter- oder Marketing-Verteiler. Wir betreiben keinen Newsletter und führen keine Verteilerliste. Ihre E-Mail-Adresse wird ausschließlich für die Bestätigungs-E-Mail und die Beantwortung Ihrer Anliegen verwendet, nicht für regelmäßige Zusendungen.
Fotos, Dokumente oder Uploads. Unser Formular bietet keine Möglichkeit, Dateien hochzuladen. Pläne, Fotos Ihres Dachs oder Stromrechnungen werden – wenn überhaupt – erst später von dem Fachbetrieb angefordert, der Ihnen ein Angebot erstellt.

Diese Aufzählung ist kein Zufall, sondern Ergebnis des Grundsatzes der Datenminimierung: Wir haben uns bei jedem Feld gefragt, ob es für eine Angebotsanfrage erforderlich ist, und alles weggelassen, was diese Frage nicht klar mit Ja beantwortet.

23. WIE SIE ZU UNS GELANGEN: WERBEANZEIGEN UND KAMPAGNENPARAMETER

Die meisten Besucher kommen nicht über eine Suchmaschine oder eine direkt eingetippte Adresse zu uns, sondern über eine Werbeanzeige – etwa auf einer Suchmaschine, in einem sozialen Netzwerk oder auf einer anderen Website. Weil dieser Weg für den Datenschutz eine eigene Rolle spielt, erläutern wir ihn gesondert.

23.1 Was vor dem Klick auf die Anzeige geschieht

Ob und welche Anzeige Ihnen ein Werbenetzwerk zeigt, entscheidet dieses Netzwerk auf Grundlage der Daten, die es selbst über Sie hat – Ihre Suchanfrage, Ihr Nutzerprofil, Ihren ungefähren Standort. An dieser Entscheidung sind wir nicht beteiligt, und wir haben keinen Zugriff auf diese Daten. Wir buchen Anzeigen nach Themen und Regionen („Photovoltaik", „Wärmepumpe", Deutschland), nicht nach einzelnen Personen. Für alles, was auf der Plattform geschieht, bevor Sie unsere Anzeige anklicken, ist allein der Betreiber der jeweiligen Plattform verantwortlich; Auskunft dazu erteilt dieser in seinen eigenen Datenschutzhinweisen.

23.2 Was beim Klick auf die Anzeige geschieht

Klicken Sie auf eine unserer Anzeigen, leitet die Plattform Sie auf sonnenwerke-solar.de weiter. Die Adresse, die Sie dabei aufrufen, enthält in der Regel sogenannte Kampagnenparameter – kurze Zusätze nach einem Fragezeichen, die angeben, über welche Kampagne, welche Anzeigengruppe und welches Werbemittel Sie gekommen sind. Ein typisches Beispiel wäre eine Adresse, die auf „?utm_source=…&utm_campaign=…" endet. Diese Parameter enthalten keine Angaben zu Ihrer Person und keine Kennung, die Sie auf der Plattform identifiziert. Sie sagen uns nur: „Dieser Besuch stammt aus Kampagne X."

Wir lesen diese Parameter beim Aufruf aus, halten sie bis zum Absenden im Session Storage Ihres Browsers vor (Eintrag „kampagne", Abschnitt 7.2) und speichern sie beim Absenden zusammen mit Ihrer Anfrage (Abschnitt 8, Schritt 1). Schließen Sie den Tab, ohne anzufragen, verschwinden sie mit ihm. Das hat zwei Gründe. Erstens müssen wir wissen, welche unserer Anzeigen zu echten Anfragen führen, um unser Werbebudget sinnvoll einzusetzen; ohne diese Zuordnung könnten wir nicht erkennen, ob eine Kampagne funktioniert. Zweitens gehört die Herkunft eines Besuchs zu den Umständen, die wir im Einwilligungsnachweis dokumentieren – sie belegt, dass Sie über einen von uns kontrollierten Weg auf das Formular gekommen sind und nicht etwa über eine manipulierte Kopie unserer Seite.

23.3 Was nach Ihrer Anfrage nicht geschieht

An dieser Stelle unterscheiden wir uns von vielen anderen Anbietern: Wir melden der Werbeplattform nicht zurück, dass Sie eine Anfrage gestellt haben. Dafür bräuchten wir ein sogenanntes Conversion-Pixel der Plattform auf unserer Seite, und ein solches Pixel setzen wir nicht ein (Abschnitt 7.4). Die Plattform weiß also nur, dass jemand auf die Anzeige geklickt hat – nicht, wer anschließend ein Formular ausgefüllt hat. Unsere Auswertung, welche Kampagne wie viele Anfragen gebracht hat, erfolgt ausschließlich in unseren eigenen Systemen anhand der gespeicherten Kampagnenparameter, ohne dass dafür Daten an die Plattform zurückfließen.

Wir laden auch keine Zielgruppenlisten mit Ihren Kontaktdaten zu Werbeplattformen hoch, um Sie dort erneut anzusprechen oder ähnliche Personen zu finden. Ihre E-Mail-Adresse und Telefonnummer verlassen unsere Systeme ausschließlich in Richtung des einen Partners, der Ihre Anfrage erhält.

23.4 Rechtsgrundlage

Das Auslesen und Speichern der Kampagnenparameter stützt sich auf unser berechtigtes Interesse an einer wirtschaftlichen Steuerung unserer Werbung und an der Dokumentation der Umstände Ihrer Anfrage (Art. 6 Abs. 1 Buchst. f DSGVO). Da die Parameter für sich genommen keinen Personenbezug haben und erst durch die Verknüpfung mit Ihrer Anfrage zu personenbezogenen Daten werden, ist der Eingriff gering; die Parameter werden mit der Anfrage gelöscht und nicht separat ausgewertet. Ein Widerspruch ist nach Abschnitt 16.7 möglich.

24. UNSER SITZ IN DER EUROPÄISCHEN UNION UND DIENSTLEISTER IN DRITTLÄNDERN

24.1 Verarbeitung in der Europäischen Union

Die Limitbreakers EOOD hat ihren Sitz in Sofia (Bulgarien) und damit in einem Mitgliedstaat der Europäischen Union, in dem die DSGVO unmittelbar gilt. Unser Hosting-Dienstleister betreibt seine Rechenzentren in Deutschland (Abschnitt 11.1), die Adress-Vervollständigung läuft über einen Dienstleister in Deutschland (Abschnitt 11.5), die Übergabe an den Partner über einen Dienstleister in der Europäischen Union (Abschnitt 11.6), und alle Fachpartner der Partnerliste haben ihren Sitz oder ihre Niederlassung in Deutschland (Abschnitt 9.1). Die Übergabe Ihrer Anfrage ist deshalb keine Drittlandübermittlung, sondern eine Übermittlung innerhalb der Europäischen Union.

24.2 Dienstleister in Drittländern

Zwei der Unternehmen, die für uns technische Leistungen erbringen, haben ihren Sitz in den Vereinigten Staaten: Cloudflare (Content Delivery Network, Abschnitt 11.2) und Twilio (Telefonverifizierung, nur als Ausweichdienstleister, Abschnitt 11.4). Die Telefonverifizierung läuft im Regelfall über einen Dienstleister in Belgien und ist dann keine Drittlandübermittlung.

Die Europäische Kommission hat für die Vereinigten Staaten einen Angemessenheitsbeschluss erlassen (EU-US Data Privacy Framework), der für Unternehmen gilt, die sich unter dem Framework zertifiziert haben. Unabhängig davon haben wir mit Cloudflare und Twilio die von der Europäischen Kommission erlassenen Standarddatenschutzklauseln (Art. 46 Abs. 2 Buchst. c DSGVO) vereinbart. Diese Klauseln verpflichten die Dienstleister vertraglich auf ein Schutzniveau, das dem der DSGVO entspricht, und geben Ihnen als betroffener Person eigene, einklagbare Rechte gegen den Dienstleister. Ergänzend haben wir geprüft, ob zusätzliche Schutzmaßnahmen erforderlich sind, und diese – Verschlüsselung der Daten während der Übertragung und Beschränkung der übermittelten Daten auf das technisch Notwendige – umgesetzt. Bei Cloudflare sind das ausschließlich technische Verbindungsdaten, bei Twilio ausschließlich Ihre Rufnummer und der Verifizierungscode.

Sie haben das Recht, eine Kopie der von uns verwendeten Standarddatenschutzklauseln zu erhalten. Schreiben Sie uns dazu einfach an info@limit-breakers.eu.

24.3 Ansprechstelle für Datenschutzanliegen

Bitte richten Sie Datenschutzanliegen ausschließlich an die in Abschnitt 2 genannten Adressen. So stellen wir sicher, dass Ihr Anliegen unmittelbar bei den zuständigen Personen landet und innerhalb der gesetzlichen Fristen bearbeitet wird. Anliegen, die über das allgemeine Kontaktformular oder andere Kanäle eingehen, leiten wir intern weiter; die Frist beginnt aber erst mit Eingang bei der zuständigen Stelle zu laufen.

25. EXTERNE LINKS, SPRACHE UND FORMATE DIESER ERKLÄRUNG

25.1 Verweise auf Websites Dritter

Diese Erklärung und unsere Website enthalten Verweise auf Websites anderer Anbieter – die Datenschutzhinweise der in Abschnitt 9.1 genannten Unternehmen, von Cloudflare und von Twilio sowie die Übersicht der deutschen Aufsichtsbehörden. Für den Inhalt dieser Websites und die Datenverarbeitung, die bei ihrem Aufruf stattfindet, sind allein deren Betreiber verantwortlich. Wir prüfen die verlinkten Seiten bei der Aufnahme des Verweises, können aber spätere Änderungen nicht überwachen. Die Verweise sind als Service gedacht und stellen keine Übernahme fremder Inhalte dar. Beim Klick auf einen solchen Verweis verlassen Sie unsere Website; ab diesem Moment gelten die Regeln des jeweiligen Anbieters, und wir erhalten keine Information darüber, dass Sie den Link angeklickt haben.

25.2 Sprache

Diese Erklärung ist in deutscher Sprache verfasst, weil sich unser Angebot an Personen in Deutschland richtet. Sollten wir künftig Übersetzungen anbieten, dienen diese nur der Verständlichkeit; verbindlich ist die deutsche Fassung. Gesetzeszitate beziehen sich auf die jeweils geltende deutsche bzw. europäische Fassung der genannten Vorschriften.

25.3 Barrierefreie Formate

Auf Anfrage stellen wir Ihnen diese Erklärung in einem anderen Format zur Verfügung – etwa als reine Textdatei ohne Formatierung, in größerer Schrift oder als PDF. Schreiben Sie dazu an info@limit-breakers.eu. Art. 12 Abs. 1 DSGVO verpflichtet uns, Informationen in leicht zugänglicher Form bereitzustellen; wenn die Darstellung auf unserer Website für Sie ein Hindernis ist, finden wir eine Lösung.

26. WOHER IHRE DATEN STAMMEN – UND WOHER NICHT

Art. 14 DSGVO verpflichtet Verantwortliche, die Daten nicht direkt bei der betroffenen Person erheben, zu besonderen Informationen über die Herkunft dieser Daten. Wir nutzen diesen Abschnitt, um klarzustellen, dass dieser Fall bei uns nicht eintritt – und um zu beschreiben, welche in der Branche üblichen Datenquellen wir bewusst nicht nutzen.

26.1 Ausschließlich Sie selbst

Sämtliche personenbezogenen Daten, die wir über Sie verarbeiten, stammen aus einer einzigen Quelle: von Ihnen. Sie haben sie in unser Anfrage- oder Kontaktformular eingegeben, sie sind beim Aufruf unserer Website technisch bedingt angefallen, oder sie sind das Ergebnis der beiden Prüfschritte, die Sie selbst ausgelöst haben. Es gibt keine weitere Quelle.

26.2 Keine Anreicherung aus fremden Quellen

Anbieter in unserem Geschäftsfeld ergänzen Anfragen mitunter um Informationen, die der Anfragende nicht selbst angegeben hat – um die Anfrage für Abnehmer wertvoller zu machen oder um ihre Plausibilität zu prüfen. Wir tun das nicht. Konkret:

Wir gleichen Ihre Adresse nicht mit Luftbild- oder Kartendiensten ab, um Dachfläche, Dachausrichtung, Verschattung oder den Zustand Ihres Hauses zu beurteilen. Was wir über Ihr Dach wissen, ist das, was Sie im Formular angegeben haben.
Wir holen keine Auskünfte von Wirtschaftsauskunfteien ein und prüfen weder Ihre Bonität noch Ihre Zahlungsfähigkeit. Für eine Angebotsanfrage ist das nicht erforderlich, und die Entscheidung über eine Finanzierung liegt ohnehin allein zwischen Ihnen und dem Fachbetrieb bzw. Ihrer Bank.
Wir gleichen Ihre Angaben nicht mit Grundbuch-, Melde-, Kataster- oder anderen öffentlichen Registern ab, um Ihre Eigentümerstellung zu prüfen. Wir verlassen uns auf Ihre Angabe.
Wir kaufen keine Daten von Adresshändlern hinzu und reichern Ihren Datensatz nicht mit soziodemografischen Merkmalen wie geschätztem Einkommen, Haushaltsgröße oder Kaufkraftklasse an.
Wir durchsuchen keine sozialen Netzwerke, Bewertungsportale oder Suchmaschinen nach Informationen über Sie.
Wir übernehmen keine Daten aus früheren Anfragen, die Sie möglicherweise bei anderen Anbietern gestellt haben, und wir erhalten von keinem der Unternehmen aus Abschnitt 9 Daten über Sie, die diese aus anderen Quellen haben.
Wir übernehmen auch keine Daten aus Anfragen, die Sie möglicherweise über eine andere unserer Plattformen in einem anderen europäischen Land gestellt haben. Jede unserer Plattformen ist ein eigener, abgeschlossener Datenbestand.

Der Grund ist einfach: Jede dieser Quellen würde Daten in Ihre Anfrage einbringen, die Sie uns nicht gegeben haben und von denen Sie nicht wissen, dass wir sie haben. Das wäre mit dem Grundsatz der Transparenz schwer vereinbar und würde unsere Informationspflichten erheblich erweitern. Wir halten uns stattdessen an das, was Sie uns anvertrauen.

26.3 Was daraus für Sie folgt

Weil wir nur Daten von Ihnen haben, können Sie sicher sein, dass eine Auskunft nach Art. 15 DSGVO Ihnen nichts offenbart, was Sie nicht ohnehin wissen – abgesehen von den technischen Begleitdaten und Protokollen, die in dieser Erklärung beschrieben sind. Und weil wir nichts anreichern, gibt es auch keine „Bewertung" Ihrer Anfrage, die Sie nicht selbst beeinflusst hätten: Ihre Anfrage ist genau so gut oder so unvollständig, wie Sie sie ausgefüllt haben.

27. DATEN VON ANSPRECHPARTNERN BEI GESCHÄFTSPARTNERN UND DIENSTLEISTERN

Diese Erklärung richtet sich in erster Linie an Hauseigentümer, die über unsere Website anfragen. Wir verarbeiten aber auch personenbezogene Daten von Personen, die uns in einer beruflichen Rolle begegnen – etwa Mitarbeiter der in Abschnitt 9 genannten Unternehmen, mit denen wir die Zusammenarbeit abstimmen, oder Ansprechpartner bei unseren technischen Dienstleistern. Für diese Personen gilt Folgendes.

Welche Daten. Name, berufliche Kontaktdaten (E-Mail-Adresse, Telefonnummer, Funktion, Arbeitgeber) sowie der Inhalt der geschäftlichen Korrespondenz mit uns.

Woher. Diese Daten erhalten wir von den Personen selbst, von ihrem Arbeitgeber oder aus öffentlich zugänglichen beruflichen Quellen wie der Website des jeweiligen Unternehmens.

Wozu. Zur Anbahnung, Durchführung und Abwicklung der Geschäftsbeziehung mit dem jeweiligen Unternehmen – Vertragsverhandlungen, Abstimmung technischer Fragen, Abrechnung.

Rechtsgrundlage. Unser berechtigtes Interesse an einer funktionierenden Kommunikation mit unseren Geschäftspartnern (Art. 6 Abs. 1 Buchst. f DSGVO) sowie, soweit die Person selbst Vertragspartei ist, die Durchführung des Vertrags (Art. 6 Abs. 1 Buchst. b DSGVO).

Speicherdauer. Für die Dauer der Geschäftsbeziehung und anschließend im Rahmen der handels- und steuerrechtlichen Aufbewahrungsfristen für die Unterlagen, in denen die Daten enthalten sind.

Rechte. Auch diesen Personen stehen die in Abschnitt 16 beschriebenen Rechte zu; sie können sie über dieselbe Adresse geltend machen.

28. WEITERVERARBEITUNG ZU ANDEREN ZWECKEN

Art. 6 Abs. 4 DSGVO regelt, unter welchen Voraussetzungen personenbezogene Daten für einen anderen Zweck verarbeitet werden dürfen als den, für den sie erhoben wurden. Wir haben uns in Abschnitt 9.0a bereits für die Anfragedaten festgelegt, dass wir eine solche Zweckänderung nicht vornehmen. Hier ergänzen wir die allgemeine Regel, die für alle in dieser Erklärung beschriebenen Daten gilt.

Eine Verarbeitung zu einem anderen Zweck kommt nur in Betracht, wenn eine der folgenden Voraussetzungen erfüllt ist: Sie haben in den neuen Zweck eingewilligt; eine Rechtsvorschrift verpflichtet oder ermächtigt uns dazu; oder der neue Zweck ist mit dem ursprünglichen vereinbar, wobei wir insbesondere den Zusammenhang zwischen beiden Zwecken, den Zusammenhang, in dem die Daten erhoben wurden, die Art der Daten, die möglichen Folgen für Sie und die vorhandenen Schutzmaßnahmen berücksichtigen müssen.

Sollten wir eine solche Weiterverarbeitung jemals vornehmen, würden wir Sie vor Beginn der Verarbeitung darüber informieren und Ihnen alle Angaben machen, die Art. 13 Abs. 3 DSGVO verlangt – insbesondere den neuen Zweck, die neue Rechtsgrundlage, die neue Speicherdauer und Ihre Rechte in Bezug auf die Weiterverarbeitung. Eine stillschweigende Zweckänderung, die Sie erst bei einer Auskunft bemerken würden, findet nicht statt.

Nicht als Zweckänderung gilt die Verwendung von Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen sowie zur Erfüllung gesetzlicher Pflichten, die uns nach der Erhebung auferlegt werden – etwa eine behördliche Anordnung.

29. UNERBETENE WERBUNG AN UNSERE KONTAKTDATEN

Die im Impressum unserer Website und in dieser Erklärung veröffentlichten Kontaktdaten dienen ausschließlich der Kontaktaufnahme in Angelegenheiten, die unsere Website, unser Angebot oder den Datenschutz betreffen. Der Verwendung dieser Kontaktdaten für die Zusendung nicht ausdrücklich angeforderter Werbung, Informationsmaterialien oder Angebote widersprechen wir hiermit ausdrücklich. Das gilt insbesondere für automatisierte Massen-E-Mails, Anrufe zu Werbezwecken und den Eintrag unserer Adressen in Verteiler.

Wir behalten uns vor, im Fall unverlangt zugesandter Werbung rechtliche Schritte einzuleiten. Die Absenderdaten solcher Zusendungen verarbeiten wir zu diesem Zweck auf Grundlage unseres berechtigten Interesses an der Abwehr unerwünschter Werbung (Art. 6 Abs. 1 Buchst. f DSGVO).

30. ÜBERSICHT: DATENKATEGORIEN UND BETROFFENE PERSONENGRUPPEN

Die vorstehenden Abschnitte sind nach Verarbeitungsvorgängen gegliedert – vom Seitenaufruf über das Formular bis zur Übergabe. Wer stattdessen wissen möchte, welche Arten von Daten insgesamt bei uns vorkommen und welche Personengruppen betroffen sind, findet hier eine Zuordnung. Sie enthält keine neuen Angaben, sondern verweist auf die Abschnitte, in denen die jeweilige Verarbeitung beschrieben ist.

30.1 Kategorien personenbezogener Daten

Kategorie: Identifikations- und Bestandsdaten. Beispiele: Vor- und Nachname, Anschrift. Wo beschrieben: Abschnitt 8, Schritt 1.

Kategorie: Kontaktdaten. Beispiele: E-Mail-Adresse, Telefonnummer. Wo beschrieben: Abschnitt 8, Schritt 1; Abschnitt 10.

Kategorie: Angaben zum Vorhaben (Inhaltsdaten). Beispiele: Gebäudetyp, Eigentümerstellung, Stromverbrauch, Dachform, gewünschtes Produkt. Wo beschrieben: Abschnitt 8, Schritt 1.

Kategorie: Einwilligungs- und Nachweisdaten. Beispiele: Zeitpunkt und Text der Einwilligung, Bestätigungsklick, Verifizierungsergebnis, Einwilligungsnachweis. Wo beschrieben: Abschnitt 8, Schritte 2 bis 4.

Kategorie: Technische Zugriffs- und Verbindungsdaten. Beispiele: IP-Adresse, Browser, Betriebssystem, Zeitstempel, Referrer. Wo beschrieben: Abschnitt 6; Abschnitt 8, Schritt 1.

Kategorie: Herkunftsdaten des Besuchs. Beispiele: Kampagnenparameter in der Aufrufadresse. Wo beschrieben: Abschnitt 23.

Kategorie: Kommunikationsdaten. Beispiele: Inhalt von Nachrichten über das Kontaktformular oder per E-Mail. Wo beschrieben: Abschnitt 10.

Kategorie: Verwaltungs- und Statusdaten. Beispiele: Lead-ID, Sperrvermerk, Datum der Übergabe. Wo beschrieben: Abschnitte 9, 13 und 14.

Kategorie: Daten zur Ausübung von Betroffenenrechten. Beispiele: Inhalt und Bearbeitung von Auskunfts-, Lösch- oder Widerrufsanfragen. Wo beschrieben: Abschnitt 17.

Kategorie: Geschäftliche Kontaktdaten von Ansprechpartnern. Beispiele: Name, Funktion, berufliche Erreichbarkeit bei Empfängerunternehmen und Dienstleistern. Wo beschrieben: Abschnitt 27.

Nicht vorkommende Kategorien – besondere Datenkategorien nach Art. 9 DSGVO, Finanz-, Ausweis-, Standort- und Verhaltensdaten – sind in Abschnitt 22 aufgeführt.

30.2 Betroffene Personengruppen

Personengruppe: Besucher der Website ohne Anfrage. Betroffen durch: Server-Logs, Cookie-Hinweis und Browser-Speicher, Content Delivery Network, Adress-Vervollständigung bei Eingabe im Formular. Wo beschrieben: Abschnitte 6, 7 und 11.5.

Personengruppe: Personen, die eine Angebotsanfrage stellen. Betroffen durch: Das vollständige Anfrageverfahren und die Übergabe an einen Partner über den Übermittlungsdienstleister. Wo beschrieben: Abschnitte 8, 9 und 11.6.

Personengruppe: Personen, deren Anfrage unbestätigt bleibt. Betroffen durch: Kurzzeitige Speicherung bis zur automatischen Löschung nach 72 Stunden. Wo beschrieben: Abschnitt 8, Schritte 2 und 3; Abschnitt 13.

Personengruppe: Personen, deren Kontaktdaten ohne ihr Wissen eingetragen wurden. Betroffen durch: Bestätigungs-E-Mail und Verifizierungs-SMS bzw. -Anruf, die ins Leere laufen; Löschung nach 72 Stunden. Wo beschrieben: Abschnitt 8, Schritt 3.

Personengruppe: Personen, die das Kontaktformular nutzen oder uns schreiben. Betroffen durch: Bearbeitung ihres Anliegens. Wo beschrieben: Abschnitt 10.

Personengruppe: Personen, die Betroffenenrechte ausüben. Betroffen durch: Bearbeitung und Dokumentation der Anfrage. Wo beschrieben: Abschnitte 2, 16 und 17.

Personengruppe: Ansprechpartner bei Empfängerunternehmen und Dienstleistern. Betroffen durch: Geschäftliche Korrespondenz. Wo beschrieben: Abschnitt 27.

Regionale Installationspartner, die ein Fachpartner gegebenenfalls für die Montage einsetzt, sind von unseren Verarbeitungen nicht betroffen; wir erhalten keine Daten über sie und haben keinen Kontakt zu ihnen.

31. VERHÄLTNIS ZU ANDEREN DOKUMENTEN UND SCHLUSSWORT

Impressum. Die Anbieterkennzeichnung nach den gesetzlichen Vorgaben finden Sie im Impressum der Website. Diese Datenschutzerklärung ersetzt das Impressum nicht und wird von ihm nicht ersetzt.

Einwilligungstext im Formular. Der Text, den Sie im Anfrageformular durch Anhaken bestätigen, ist die eigentliche Einwilligungserklärung. Diese Datenschutzerklärung erläutert ihn und ergänzt ihn um die gesetzlichen Informationspflichten; im Fall eines Widerspruchs zwischen beiden gilt der Einwilligungstext, weil er das ist, dem Sie tatsächlich zugestimmt haben.

Datenschutzhinweise des Partners. Für alles, was nach der Übergabe Ihrer Anfrage geschieht, gelten die Datenschutzhinweise des Partners, der sie erhalten hat. Beide Dokumente zusammen ergeben das vollständige Bild; keines von beiden ist ohne das andere vollständig.

Datenschutzhinweise des Fachpartners. Der Fachpartner, der Ihre Anfrage erhält, ist Ihnen gegenüber selbst informationspflichtig und stellt Ihnen seine eigenen Datenschutzhinweise zur Verfügung.

Schlusswort. Wir sind uns bewusst, dass diese Erklärung lang ist. Wir haben uns für Ausführlichkeit entschieden, weil wir lieber zu viel erklären als zu wenig – und weil das Geschäft, in dem wir tätig sind, nicht überall einen guten Ruf hat. Wer Anfragen sammelt und weitergibt, muss besonders deutlich machen, was er tut und was nicht. Wenn nach der Lektüre eine Frage offen bleibt, schreiben Sie uns. Wir antworten, und wir ergänzen diese Erklärung, wenn sich zeigt, dass ein Punkt unklar war.

Limitbreakers EOOD · ul. Shipka 36 · 1504 Sofia · Bulgarien · Betreiberin von sonnenwerke-solar.de

Stand dieser Datenschutzerklärung: 01.04.2026