Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

Vertretungsberechtigte Gesellschafter:

Olaf Giese, Francois Bickel

Telefon:

+49 391 66099992

E-Mail:

info@ausweis-md.de

USt-IdNr.:

DE335233386

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Bestellpflicht (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Datenschutzanfragen richten Sie bitte an die oben genannten Kontaktdaten.

2. Das Wichtigste in Kürze

• Sie können auf ausweis-md.de Energieausweise ohne Kundenkonto bestellen (Gast-Checkout). Den Zugriff auf Ihren Vorgang (Status, Dokumente, Termine) erhalten Sie über personalisierte, geschützte Links in unseren E-Mails — Sie müssen kein Passwort anlegen (optional können Sie ein Kundenkonto mit Passwort anlegen, Abschnitt 8a). Weitere Hinweise in Abschnitt 8.
• Wir verarbeiten Ihre Daten in erster Linie zur Erfüllung Ihres Auftrags (Erstellung, Registrierung und Zustellung des Energieausweises) sowie zur Erfüllung gesetzlicher Pflichten (insb. Gebäudeenergiegesetz — GEG — und Steuerrecht).
• Ihren Energieausweis berechnen wir grundsätzlich mit unserer eigenen Berechnungssoftware, die wir auf Grundlage der DIN V 18599 bzw. DIN/TS 18599, der Vorgaben des Gebäudemodernisierungsgesetzes (GModG) und der amtlichen Bekanntmachungen entwickelt haben. Bedarfsausweise für Nichtwohngebäude und einzelne weitere Ausweise erstellen unsere Energieberater mit einer externen Fachsoftware (Abschnitt 7).
• Unsere Systeme laufen in einem EU-Rechenzentrum (Frankfurt am Main) (Abschnitt 3).
• Zahlungsdaten (z. B. Kartennummern) erheben nicht wir, sondern unser Zahlungsdienstleister Stripe auf dessen eigenen Bezahlseiten (Abschnitt 10).
• Analyse- oder Marketing-Cookies setzen wir nur mit Ihrer Einwilligung; ohne Einwilligung werden keine entsprechenden Dienste geladen (Abschnitt 5).
• Zwischengespeicherte, nicht abgeschlossene Bestellungen werden nach 90 Tagen automatisch gelöscht (Abschnitt 6).
• Nach Ihrer Bestellung unterstützt eine KI unsere Energieberater bei der Bearbeitung: Sie liest Ihre Angaben und Unterlagen, weist den Auftrag einer Energieberaterin oder einem Energieberater zu, bereitet die Prüfung vor und formuliert bei Bedarf Rückfragen an Sie (Verarbeitung in der EU, keine Nutzung zum KI-Training). Freigabe, Registrierung und Zustellung Ihres Energieausweises erfolgen immer durch einen Menschen (Abschnitt 7c). Im Bestellassistenten selbst werden hochgeladene Unterlagen nur gespeichert, nicht automatisch ausgewertet.

3. Hosting und Infrastruktur (Google Cloud / Firebase)

Zweck: Betrieb des Kundenportals (Webseiten-Auslieferung, Bestellstrecke, Datenhaltung, Serverlogik, Dateispeicher).

Dienstleister: Wir hosten unser Portal bei Google (Firebase Hosting, Cloud Functions, Firestore-Datenbank, Cloud Storage). Vertragspartner ist Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland. Sämtliche Datenbanken, Serverfunktionen und Dateispeicher sind fest auf die Region europe-west3 (Frankfurt am Main, Deutschland) konfiguriert.

Datenkategorien: Alle in dieser Erklärung beschriebenen Bestell-, Kontakt-, Gebäude-, Termin- und Zahlungs-Metadaten sowie technische Daten (IP-Adresse, Zeitstempel, aufgerufene Ressource, Browser-/Betriebssystem-Kennung) in Server-Protokollen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen und effizienten Betrieb).

Auftragsverarbeitung/Drittland: Mit Google besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Trotz EU-Datenresidenz kann ein Zugriff durch die US-Muttergesellschaft (Google LLC) nicht vollständig ausgeschlossen werden (u. a. US CLOUD Act). Google LLC ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Details: https://policies.google.com/privacy

Speicherdauer: Siehe die Übersicht in Abschnitt 16 sowie die jeweiligen Einzelabschnitte.

4. Technisch notwendige Verarbeitungen

4.1 Server-Protokolle

Beim Aufruf des Portals verarbeitet die Hosting-Infrastruktur automatisch technische Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Referrer, Browser- und Betriebssystem-Kennung). Diese Daten dienen der Auslieferung der Seite, der Fehleranalyse und der Abwehr von Angriffen; sie werden nicht mit anderen Datenbeständen zusammengeführt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit).

4.2 Schutz vor Missbrauch (Rate-Limiting)

Zur Abwehr automatisierten Missbrauchs unserer Bestell- und Vorgangsfunktionen begrenzen wir die Zahl der Aufrufe je Absender. Dazu speichern wir Ihre IP-Adresse nicht im Klartext, sondern ausschließlich als kryptographischen Hash-Wert (SHA-256) in kurzlebigen Zähler-Datensätzen. Diese Zähler werden 2 Stunden (Minutenfenster) bzw. 48 Stunden (Tagesfenster) nach dem letzten Aufruf zur Löschung vorgemerkt und anschließend automatisch gelöscht, in der Regel innerhalb eines Tages. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Missbrauchs- und Betrugsprävention).

4.3 Bot-Schutz: Firebase App Check mit reCAPTCHA Enterprise

Alle ohne Anmeldung erreichbaren Serverfunktionen (z. B. Bestellung absenden, Dokumente abrufen, Termin buchen) sind durch Firebase App Check mit Google reCAPTCHA Enterprise gegen automatisierten Missbrauch geschützt. Dabei erhebt Google Geräte- und Browsersignale sowie die IP-Adresse, um zu bewerten, ob die Anfrage von einem Menschen stammt.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, USA — DPF-zertifiziert, ergänzend Standardvertragsklauseln). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit unserer Systeme, Schutz vor Betrug und automatisiertem Missbrauch); der Zugriff auf Ihr Endgerät ist zur Bereitstellung des von Ihnen angeforderten Dienstes unbedingt erforderlich i. S. d. § 25 Abs. 2 Nr. 2 TDDDG und daher einwilligungsfrei. Weitere Informationen: https://policies.google.com/privacy

4.4 Fehlerüberwachung (Sentry)

Zweck: Wir setzen den Dienst Sentry ein, um Programmfehler und technische Störungen in unserem Portal frühzeitig zu erkennen und zu beheben, bevor sie Sie als Nutzer beeinträchtigen. Tritt beim Aufruf einer Seite ein unerwarteter Programmfehler auf, übermittelt Ihr Browser automatisch eine technische Fehlermeldung (Art des Fehlers, betroffene Programmzeile, Browser- und Betriebssystem-Kennung, aufgerufene Seite ohne Abfrageparameter) an Sentry.

Datensparsamkeit vorab: Bevor eine Fehlermeldung übermittelt wird, entfernt unser Portal automatisch alles, was wie eine E-Mail-Adresse, ein Zugangs- oder Sitzungs-Token oder ein sonstiger Abfrageparameter einer Internetadresse aussieht. Wir übermitteln keine Namen, E-Mail-Adressen, Postanschriften, Zahlungsdaten oder sonstigen Inhalte Ihrer Bestellung. Ihre IP-Adresse wird von uns nicht gespeichert (sendDefaultPii: false); eine Bild- oder Video-Aufzeichnung Ihrer Sitzung (Session Replay) findet nicht statt, ebenso wenig eine Leistungsmessung (Tracing). Eine Zuordnung zu Ihrer Person ist uns anhand der übermittelten Daten nicht möglich.

Keine Cookies, keine Einwilligung nötig: Sentry setzt auf unserem Portal keine Cookies und speichert nichts auf Ihrem Gerät; die Fehlerüberwachung läuft unabhängig von Ihrer Cookie-Auswahl (Abschnitt 5) im Hintergrund.

Dienstleister: Functional Software, Inc. (dba Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Die Datenverarbeitung erfolgt in der EU-Region von Sentry (ingest.de.sentry.io, Datenhaltung in der EU). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO); ein Zugriff der US-Muttergesellschaft ist trotz EU-Datenresidenz nicht vollständig auszuschließen — ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Übermittlungsgrundlage für einen solchen Zugriff sind die Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, fehlerfreien Portal).

Speicherdauer: siehe Abschnitt 16.

Weitere Informationen: https://sentry.io/privacy/

5. Cookies, lokale Speicherung und Einwilligungen (Consent-Verwaltung)

Unser Portal verwendet ein eigenes Einwilligungs-Banner mit den Kategorien Notwendig, Statistik und Marketing. Ihre Auswahl wird lokal in Ihrem Browser gespeichert (localStorage, inkl. Versionsstand der Einwilligung) und kann jederzeit über den Footer-Link „Cookie-Einstellungen" geändert oder widerrufen werden.

• Notwendig (einwilligungsfrei, § 25 Abs. 2 Nr. 2 TDDDG): lokale Speicherung Ihrer Einstellungen (z. B. Darstellungsmodus, Bestell-Zwischenstand im Browser, Einwilligungsstatus), Bot-Schutz (Abschnitt 4.3) und die Bezahlseite von Stripe (Abschnitt 10; wird erst beim Wechsel auf die Bezahlseite geladen).
• Statistik / Marketing (nur mit Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG): siehe Abschnitt 15. Ohne Ihre Einwilligung werden die entsprechenden Dienste nicht geladen — auch keine „cookielosen" Messsignale (Google Consent Mode v2, Grundeinstellung: alles verweigert).

Die Einzelheiten zu Kategorien, Laufzeiten und Bannergestaltung sind im begleitenden Consent-Dokument geregelt (intern: docs/recht/consent.md); die dortige Fassung ist für den Banner-Wortlaut maßgeblich.

Wir binden keine Schriftarten von fremden Servern, keine externen Einbettungen und keine Dritt-Skripte auf unseren Informationsseiten ein.

6. Zwischenspeicherung nicht abgeschlossener Bestellungen

Zweck: Wenn Sie den Bestellassistenten beginnen, speichern wir Ihre Eingaben serverseitig als Zwischenstand, damit Sie die Bestellung später fortsetzen können – automatisch, sobald Sie die Vorfrage „Welcher Ausweis passt?“ beantwortet haben und in den ersten Schritt „Gebäude“ wechseln. Unterlagen, die Sie vorher auf der Startseite abgelegt haben, übernehmen wir dabei in den Zwischenstand. Das gilt auch, wenn Sie auf der Startseite den Termin per Video oder vor Ort wählen: die abgelegten Unterlagen übernehmen wir dann beim Wechsel in den zweiten Schritt in den Zwischenstand. Beginnen Sie die Bestellung ohne diese Vorfrage (z. B. über eine Produktseite), speichern wir automatisch, sobald Sie vom ersten in den zweiten Schritt wechseln. Beim Bedarfsausweis speichern wir schon, sobald Sie im ersten Schritt die vollständige Gebäudeadresse (Straße, Postleitzahl und Ort) eingegeben haben. Vorher legen wir ihn nur an, wenn Sie selbst eine Funktion nutzen, die ihn braucht: wenn Sie Ihre Eingaben per E-Mail sichern (über das Angebot, den Stand per E-Mail zu sichern, oder über „Später fortsetzen“), eine Unterlage hochladen oder uns einen Hinweis zu einer Angabe senden. Er enthält dann die Eingaben, die Sie bis dahin gemacht haben. Sie erhalten hierfür bereits eine Vorgangsnummer.

Datenkategorien: Ihre Eingaben im Bestellassistenten (insb. Gebäude- und Verbrauchsdaten), hochgeladene Unterlagen, Vorgangsnummer und Bearbeitungsstand, dazu — wenn Sie bei einer schwierigen Frage „Zu kompliziert?“ nutzen und Ihre Unterlagen hochladen, damit Ihr Energieberater die Angaben einträgt — ein Vermerk mit der Stelle im Fragebogen, den Kennungen dieser Unterlagen und dem Zeitpunkt (auch dem Zeitpunkt, zu dem Sie die Angaben doch selbst ausfüllen). Ihre E-Mail-Adresse wird erst dann gespeichert, wenn Sie Ihre Eingaben aktiv per E-Mail sichern (Eintragen der Adresse und Klick auf „Link senden“ bzw. „Wiederaufnahme-Link senden“); ein bloßes Anzeigen dieses Angebots speichert nichts. Der Zugriffslink wird bei uns nur als Hash-Wert gespeichert. Damit bei einer Verbindungsstörung beim Anlegen kein zweiter Zwischenstand entsteht, vermerken wir zusätzlich eine zufällige, nicht rückführbare Kennung der Anlage (nur als Hash-Wert) zusammen mit der Kennung des Zwischenstands, ohne Ihre Eingaben; dieser Vermerk wird nach 24 Stunden zur Löschung vorgemerkt und anschließend automatisch gelöscht.

Gerätetyp und Neustart-Vermerk: Beim Anlegen des Zwischenstands speichern wir zusätzlich eine grobe Geräteklasse (Handy, Tablet oder Desktop-Computer). Unser Server leitet sie aus der Browser-Kennung (User-Agent) ab, die Ihr Browser bei jedem Aufruf mitsendet (Abschnitt 4.1), und – soweit Ihr Browser ihn mitsendet – aus dem Mobil-Hinweis des Browsers (Client-Hint Sec-CH-UA-Mobile); die Browser-Kennung selbst speichern wir dabei nicht, ebenso wenig den Mobil-Hinweis. Beginnen Sie eine Bestellung vermutlich neu, vermerken wir am neuen Zwischenstand die Vorgangsnummer des vorangegangenen, noch nicht abgesendeten Zwischenstands. Davon gehen wir aus, wenn Produkt, Postleitzahl-Bereich (die ersten zwei Ziffern) und Geräteklasse übereinstimmen und die letzte Eingabe dort höchstens 30 Minuten zurückliegt. Dafür speichern wir weder Ihre IP-Adresse noch eine Sitzungskennung oder ein Cookie. Beide Angaben dienen nur dazu, Probleme im Bestellablauf zu erkennen und Sie dabei zu unterstützen; sie werden ausschließlich intern ausgewertet und wie der Zwischenstand gelöscht. Ist auf Ihrem Gerät das Kennzeichen „intern“ unseres Teams gesetzt (siehe Abschnitt 15b), vermerken wir am Zwischenstand und an einer daraus entstehenden Bestellung „interner Test“; das dient nur dazu, eigene Tests in unseren Übersichten auszublenden, und ändert nichts an Preis, Prüfung oder Ablauf. Denselben Vermerk kann unser Team im Portal an einem offenen Zwischenstand setzen, wenn es sich um einen eigenen Test handelt. Ein so gekennzeichneter Zwischenstand wird ab der Kennzeichnung in unseren Übersichten und Auswertungen nicht mehr gezählt, und wir senden dazu keine Erinnerungs-E-Mail; an Preis und Prüfung ändert sich nichts.

Anzeige des Bestellablaufs im Büro: Für die interne Anzeige des Bestellablaufs auf Bildschirmen in unseren Büroräumen legen wir beim Anlegen eines Zwischenstands, beim Öffnen der Kasse und beim Zahlungseingang zusätzlich einen kurzen Vermerk an: Vorgangsnummer, Produkt, Postleitzahl-Bereich (die ersten zwei Ziffern), Geräteklasse, ob Sie die Bestellung vermutlich neu begonnen haben, ob Sie über den Link eines Partners oder über eine Anzeige zu uns kamen (Letzteres nur mit Ihrer Einwilligung „Marketing“) sowie Betrag und Zahlart. Beantworten Sie eine Rückfrage oder senden Sie uns einen Hinweis zu Ihrem Auftrag, vermerken wir ebenso Vorgangsnummer, Produkt und diesen Herkunftsweg sowie das Namenskürzel der bei uns zuständigen Person, damit wir zügig antworten. Namen, Kontaktdaten oder die Adresse enthält der Vermerk nicht; er wird nach 48 Stunden automatisch gelöscht.

Einstiegsweg: Am Zwischenstand vermerken wir, über welchen Einstieg Sie die Bestellung begonnen haben (zum Beispiel die Weg-Wahl auf der Startseite, eine Produktseite oder den Eignungs-Check); dass Sie über eine unserer Informationsseiten gekommen sind, reist bis dahin nur im Verlauf dieses Browser-Tabs mit. Der Vermerk enthält keine weiteren Angaben zu Ihrer Person; er dient nur dazu, unsere Einstiege zu verbessern, wird ausschließlich intern ausgewertet und wie der Zwischenstand gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an verständlichen Einstiegen in die Bestellung).

Ablauf-Protokoll: Sobald ein Zwischenstand besteht, vermerken wir daran, wo Sie im Bestellassistenten zuletzt waren: den Schritt und Abschnitt, die Kennung des zuletzt bearbeiteten Eingabefelds und der zuletzt angezeigten Fehlermeldung, wie lange Sie sich in den einzelnen Schritten und Abschnitten aufgehalten haben, und den Zeitpunkt Ihrer letzten Eingabe. Ihr Browser meldet dies höchstens alle 30 Sekunden sowie beim Wechsel eines Schritts oder Abschnitts und wenn Sie die Seite verlassen. Ihre Eingaben selbst, die Texte von Fehlermeldungen, Ihre IP-Adresse und Ihre Kontaktdaten sind darin nicht enthalten. Das Protokoll dient nur dazu, Stellen zu finden, an denen der Bestellassistent schwer verständlich ist, und ihn zu verbessern; es wird ausschließlich intern ausgewertet und wie der Zwischenstand gelöscht.

Hilfe-Signal bei Problemen: Kommen Sie im Bestellassistenten erkennbar nicht weiter – etwa wenn „Weiter“ zweimal ohne Erfolg bleibt, Sie die Seite kurz nach einem erfolglosen „Weiter“ verlassen, Angaben länger als zwei Minuten als fehlerhaft markiert sind oder eine Berechnung bzw. unser Server einen Fehler meldet –, meldet Ihr Browser dies an uns, damit unser Team Ihnen Hilfe anbieten kann (z. B. über „Chat & Hilfe“, Abschnitt 7b). Das geschieht nur, wenn bereits ein Zwischenstand besteht. Wir speichern dazu einen internen Hinweis mit der Vorgangsnummer, dem betroffenen Schritt und den Bezeichnungen der betroffenen Eingabefelder, dem Anlass, der Art des Fehlers, seit wann das Problem besteht und ob ein Chat geöffnet ist. Ihre Eingaben selbst, Ihre IP-Adresse und Ihre Kontaktdaten sind darin nicht enthalten. Der Hinweis wird 30 Tage nach der letzten Meldung automatisch gelöscht.

Rückruf bei Problemen: Kommen Sie im Bestellassistenten nicht weiter, können Sie uns freiwillig um einen Rückruf bitten. Dafür speichern wir an Ihrem Zwischenstand Ihre Telefonnummer, Ihren Wunschtermin (Tag und gegebenenfalls Zeitfenster), den Zeitpunkt der Bitte und die Stelle im Bestellassistenten, an der Sie waren (Schritt und Bezeichnungen der betroffenen Eingabefelder). Unser Team erhält einen internen Hinweis mit Vorgangsnummer, Wunschtermin und Stelle, ohne Ihre Telefonnummer; die Nummer sehen nur die Verwaltungsrollen, die für Ihren Zwischenstand zuständig sind (bei einer Bestellung über einen Partner auch dieser Partner). Wir nutzen die Angaben ausschließlich, um Sie zu diesem Zwischenstand bzw. dieser Bestellung anzurufen — keine Werbung, keine Weitergabe. Die Telefonnummer löschen wir, sobald der Rückruf erledigt ist, spätestens mit dem Zwischenstand; der interne Hinweis wird 30 Tage nach Ihrer Bitte automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Hilfe per E-Mail nach dem Hochladen: Nachdem Sie eine Unterlage hochgeladen haben, bieten wir Ihnen einmal an, den Link zu Ihrem Zwischenstand per E-Mail zu senden. Tragen Sie Ihre E-Mail-Adresse ein und klicken auf „Link senden“, gilt für die Adresse das zu den E-Mails zum Zwischenstand Gesagte (unten). Zusätzlich vermerken wir, dass Sie die Adresse über dieses Angebot hinterlegt haben: Kommen Sie bei diesem Zwischenstand erkennbar nicht weiter (Hilfe-Signal, oben), dürfen wir Ihnen dazu schreiben. Werbung senden wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; gespeichert wie der Zwischenstand.

Vorbelegung an der Kasse: Haben Sie in diesem Browser-Tab gerade eine E-Mail-Adresse für den Link oder eine Telefonnummer für den Rückruf eingegeben, tragen wir sie an der Kasse in das noch leere Feld ein; Sie können sie dort ändern oder löschen. Dafür speichern wir nichts zusätzlich in Ihrem Browser.

Angebote nicht wiederholen: Lehnen Sie eines dieser Angebote ab oder haben wir es Ihnen schon einmal gezeigt, vermerken wir nur den Zeitpunkt an Ihrem Zwischenstand, damit wir es nicht erneut zeigen; der Vermerk wird mit dem Zwischenstand gelöscht.

E-Mails zum Zwischenstand: Auf Ihre ausdrückliche Anforderung senden wir Ihnen einen Wiederaufnahme-Link (höchstens 3 Sendungen pro Vorgang und Tag) sowie einmalig nach 48 Stunden eine Erinnerung. Es handelt sich um transaktionale E-Mails auf Ihre Anfrage, nicht um Werbung. Jede dieser E-Mails enthält den Hinweis auf die automatische Löschung sowie einen Löschlink, mit dem Sie den Zwischenstand sofort selbst löschen können.

Vorschau Ihres Ausweises per Link: Auf der Seite „Prüfen & Bestellen“ können Sie sich eine Vorschau Ihres Energieausweises ansehen. Bei einem Teil der Bestellungen bitten wir dafür vorher um Ihre E-Mail-Adresse und senden Ihnen den Link zu Ihrem Zwischenstand, mit dem Sie später weitermachen können (Wiederaufnahme- und Vorschau-Link). Ihre E-Mail-Adresse speichern wir erst, wenn Sie sie eintragen und auf „Vorschau-Link senden“ klicken; Sie können ohne Angabe weiter zur Bestellung. Wir nutzen die Adresse nur für diesen Link — keine Werbung, kein Newsletter, und auf diesem Weg auch keine Erinnerung nach 48 Stunden. Ob die Bitte erscheint, entscheidet ein Zufallsmerkmal Ihres Zwischenstands; wir speichern am Zwischenstand, welche Variante Sie gesehen haben und dass der Link über die Vorschau angefordert wurde, um zu verstehen, ob die Bitte das Bestellen erschwert (Auswertung nur intern und ohne Kontaktdaten). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage); für das Variantenmerkmal Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem verständlichen Bestellablauf). Speicherdauer und Löschlink wie beim Zwischenstand.

Fortsetzen auf diesem Gerät: Damit Sie eine begonnene Bestellung auch in einem neuen Browser-Tab oder nach einem Neustart Ihres Browsers wiederfinden, merkt sich Ihr Browser im lokalen Speicher (Abschnitt 15b) die Referenz Ihres Zwischenstands: Kennung und Zugangsschlüssel, Produkt, den zuletzt geöffneten Schritt und wann Sie ihn begonnen und zuletzt gespeichert haben. Ihre Eingaben, Ihre Adresse und Angaben zu Ihrer Person liegen dort nicht. Rufen Sie unsere Startseite erneut auf, fragt Ihr Browser bei uns nach, ob der Zwischenstand noch offen ist, und bietet Ihnen dann „Dort weitermachen“ an; ist er bestellt, gelöscht oder abgelaufen, entfernt Ihr Browser den Eintrag ohne Hinweis. Der Eintrag wird gelöscht, sobald Sie die Bestellung absenden, neu beginnen oder Ihren Zwischenstand löschen, spätestens nach 90 Tagen. Wer dasselbe Gerät mit demselben Browser nutzt, kann Ihren Zwischenstand darüber ebenfalls öffnen; auf einem geteilten Gerät entfernen Sie den Eintrag mit „Ausblenden“ auf der Startseite oder, wie jeden lokalen Speicher, über die Einstellungen Ihres Browsers. Der Eintrag ist für die von Ihnen gewünschte Fortsetzung technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und hängt nicht von Ihrer Auswahl im Cookie-Banner ab; die Nachfrage bei uns dient wie der Zwischenstand selbst der Bestellung auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer: Nicht abgeschlossene Bestellungen werden 90 Tage nach Erstellung automatisch gelöscht (einschließlich hochgeladener Unterlagen); eine spätere Bearbeitung verlängert diese Frist nicht. Nach Abschluss der Bestellung wird der Zwischenstand innerhalb von 7 Tagen entfernt. Zusätzlich speichert Ihr Browser einen lokalen Zwischenstand (localStorage), den Sie über Ihre Browsereinstellungen löschen können; dazu gehört die Referenz für das Fortsetzen auf diesem Gerät (höchstens 90 Tage, siehe oben).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage); für Geräteklasse, Neustart-Vermerk, Ablauf-Protokoll, Hilfe-Signal, den Anzeige-Vermerk und den Vermerk „interner Test“ Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem funktionierenden und verständlichen Bestellablauf, an einer zügigen Bearbeitung und an der Unterstützung bei Problemen).

7. Bestellung und Auftragsabwicklung

Zweck: Abschluss und Durchführung des Vertrags über die Erstellung eines Energieausweises (Verbrauchs- und Bedarfsausweise für Wohn- und Nichtwohngebäude, einschließlich der Servicestufen mit Videoberatung bzw. Vor-Ort-Termin) sowie die Bearbeitung von Anfragen zum Bedarfsausweis für Nichtwohngebäude (Angebotsanfrage) und die Prüfung von Unterlagen, die Sie uns ohne Bestellung schicken, mit einem Festpreis-Angebot dazu (Unterlagen-Anfrage, unten).

Datenkategorien:

• Auftraggeberdaten: Anrede, Vor- und Nachname, ggf. Firma, E-Mail-Adresse (Pflicht), Telefonnummer (freiwillig), Rechnungsadresse;
• Objekt- und Gebäudedaten: Adresse des Gebäudes (bei mehreren Gebäuden unter einer Anschrift zusätzlich eine Bezeichnung des Gebäudes, z. B. „Halle 2“, die wir mit der Adresse auf Ihren Unterlagen und in unseren E-Mails nennen), Gebäudegeometrie, Baujahr, Anlagentechnik, Verbrauchsdaten und weitere für die Ausweiserstellung erforderliche Angaben;
• Unterlagen: von Ihnen hochgeladene Fotos, Pläne und Dokumente (zulässige Dateitypen, max. 25 MB je Datei). Unterlagen, die Sie zu einer Rückfrage hochladen, können Sie bis zum Absenden Ihrer Antwort mit „Entfernen“ wieder aus Ihrem Auftrag nehmen; Unterlagen, die Sie auf Ihrer Auftragsseite nachreichen, ebenso, bis wir mit der Prüfung beginnen. Eine entfernte Datei verwenden wir nicht mehr; Datei und Eintrag löschen wir nach 24 Stunden endgültig (spätestens nach zwei Tagen). Im Vorgangsprotokoll bleibt vermerkt, dass eine Datei hochgeladen und wieder entfernt wurde;
• Kommunikation: Rückfragen unserer Aussteller und Ihre Antworten;
• Extern erstellte Ausweise: Bedarfsausweise für Nichtwohngebäude und einzelne weitere Ausweise erstellen unsere Energieberater mit einer externen Fachsoftware (Abschnitt 2); Ihre Auftragsseite weist dann darauf hin. An Ihrem Auftrag legen wir den Ausweis und gegebenenfalls die Kontrolldatei ab (Abschnitt 13);
• Kontrollrechnung: Einzelne Ausweise rechnen unsere Energieberater zur Qualitätskontrolle stichprobenartig mit einer weiteren Berechnungssoftware nach. Dabei geben sie nur Gebäude- und Anlagendaten ein, höchstens mit der Postleitzahl für die Klimadaten, aber ohne Namen, Kontaktdaten und Straßenanschrift. Das Ergebnis halten wir an Ihrem Auftrag fest (Art. 6 Abs. 1 lit. f DSGVO);
• Anfragen zum Bedarfsausweis für Nichtwohngebäude (Anfrageformular oder telefonische Anfrage): Name, ggf. Firma und Ihre Rolle (z. B. Eigentümer, Hausverwaltung), E-Mail-Adresse, Telefonnummer (freiwillig), ggf. Rechnungsanschrift, der Anlass, Angaben und Unterlagen zum Gebäude sowie Ihre Bemerkung; dazu unser Bearbeitungsverlauf, interne Notizen unseres Teams und die E-Mails, die wir Ihnen zur Anfrage senden. Aus einer Anfrage kann ein Auftrag mit Angebot werden (unten „Angebote nach Aufwand“);
• Unterlagen-Anfrage („Unterlagen schicken, Angebot erhalten“ auf der Startseite und unter ausweis-md.de/unterlagen): die Unterlagen, die Sie hineinlegen (z. B. Heizkostenabrechnungen, Fotos von Haus und Heizung, Grundriss, alter Energieausweis; PDF und Fotos, höchstens 6 MB je Datei, 25 Dateien und 60 MB je Anfrage; große Fotos verkleinert Ihr Browser vorher), Ihre E-Mail-Adresse (Pflicht), freiwillig Gebäudeadresse, Name und Telefonnummer, Ihr Ausweis-Wunsch (Verbrauch, Bedarf oder „weiß ich nicht“, Nichtwohngebäude ja/nein), der Einstieg (Startseite oder Unterlagen-Seite), Datum und Uhrzeit sowie die Fassung dieser Datenschutzhinweise, die Sie mit dem Haken bestätigt haben; dazu die Anfragenummer, unser Bearbeitungsverlauf und die E-Mails zur Anfrage. Unser Team wird über jede neue Anfrage per E-Mail benachrichtigt (nur Anfragenummer, Anzahl der Unterlagen und Ausweis-Wunsch, keine Unterlagen im Anhang);
• Widerruf über die Widerrufsfunktion („Vertrag widerrufen“, § 356a BGB): Ihr Name, Ihre Angaben zum Vertrag (Vorgangsnummer bzw. Beschreibung), die E-Mail-Adresse für die Eingangsbestätigung sowie Datum und Uhrzeit des Eingangs. Wir speichern die Erklärung, bestätigen Ihnen den Eingang per E-Mail und ordnen sie Ihrem Auftrag zu (Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB);
• Vorgangsprotokoll: Statusänderungen und Ereignisse zu Ihrem Auftrag (z. B. Zeitpunkt der Dokumenten-Bereitstellung und des Downloads);
• Angebote nach Aufwand (Bedarfsausweis für Nichtwohngebäude): die Fassungen des Angebots mit Leistungspositionen, Preisen und den Annahmen, auf denen das Angebot beruht, der Name des vorgesehenen Energieberaters sowie Art und Zeitpunkt Ihrer Annahme (online über den Bestätigungslink oder außerhalb des Portals, dann mit Ihrem Nachweis, z. B. Ihrer E-Mail); das Angebot selbst als PDF-Dokument, das wir Ihnen mit der E-Mail zur Bestätigung senden (Abschnitt 10a). Unterlagen, die Sie mit Ihrer Anfrage eingereicht haben, übernehmen wir in Ihren Auftrag.

Unterlagen-Anfrage im Einzelnen: Wir nutzen Ihre Unterlagen nur, um zu prüfen, welcher Energieausweis für Ihr Gebäude in Frage kommt, Ihnen ein Festpreis-Angebot per E-Mail zu schicken und — wenn Sie annehmen — Ihren Ausweis zu erstellen; fehlt etwas, fragen wir per E-Mail nach. Pflicht sind nur die Unterlagen und Ihre E-Mail-Adresse. Haben Sie den Bestellassistenten begonnen und wählen „Nur Unterlagen schicken“, übernehmen wir eine Kopie Ihrer bisherigen Eingaben (Produkt, Schritt, Angaben, Vorgangsnummer) in die Anfrage; das können Sie vor dem Senden abwählen, und die Kopie wird mit der Anfrage gelöscht. Mit dem Haken bestätigen Sie, dass Sie diese Hinweise gelesen haben und dass wir Ihre Unterlagen dafür prüfen und Sie dazu per E-Mail kontaktieren dürfen; wir speichern Zeitpunkt und Fassung als Nachweis. Werbung oder ein Newsletter folgen daraus nicht. Unterlagen und Anfrage liegen verschlüsselt übertragen in unserem Rechenzentrum in Frankfurt am Main (Abschnitt 3). Schicken wir Ihnen ein Angebot, legen wir dafür einen vorbereiteten Auftrag mit Ihrem Namen, Ihrer E-Mail-Adresse, der Gebäudeadresse, dem gewählten Ausweis und dem Katalogpreis an und kopieren die Unterlagen dorthin. Bei der Annahme können Sie freiwillig verlangen, dass wir vor Ablauf der Widerrufsfrist beginnen (Widerrufsverzicht); wir speichern die Erklärung mit ihrer Textfassung. Löschung: Lehnen Sie das Angebot ab (oder können wir Ihnen keines machen), löschen wir Ihre Unterlagen und die Anfrage sofort, spätestens nach 24 Stunden; ohne Annahme 30 Tage nach Ablauf des Angebots; ohne Angebot 60 Tage nach Eingang. Die Löschung bestätigen wir Ihnen per E-Mail. Danach bleibt nur ein Zähler ohne Personenbezug (Status, Einstieg, Anzahl der Unterlagen, Zeitpunkte) für unsere Statistik. Einen vorbereiteten, nicht angenommenen Angebotsauftrag (ohne Unterlagen) bewahren wir als Nachweis des Angebots auf; auf Ihr Verlangen löschen wir ihn sofort (Abschnitte 17 und 18). Nehmen Sie an, gelten die Fristen der Auftragsdaten. Eine Ablage, die Sie nicht abschicken, löschen wir nach 7 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Empfänger: intern die mit Ihrem Auftrag befassten, ausstellungsberechtigten Energieberater und Erfasser nach unserem Rollen- und Berechtigungskonzept; im Übrigen die in dieser Erklärung genannten Dienstleister und Stellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für die anschließende Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten, insb. GEG und Abgabenordnung — Abschnitte 12, 16, 18).

Speicherdauer: Auftrags- und Berechnungsdaten einschließlich der Registriernummer bewahren wir für die Dauer der GEG-Gültigkeit des Ausweises und des behördlichen Kontrollverfahrens auf (in der Regel 10 Jahre); Einzelheiten und Ausnahmen in den Abschnitten 16 und 18.

7a. KI-Auswertung von Unterlagen bei Anfragen und im Portal

Im Bestellassistenten keine automatische Auswertung: Unterlagen, die Sie bei der Bestellung hochladen, speichern wir in unserem Dateispeicher (Abschnitte 3 und 6). Sie werden dort nicht automatisch durch eine KI ausgewertet und füllen keine Angaben vor. Was Sie eingeben, bleibt Ihre Angabe. Nach der Bestellung werden die Unterlagen im Rahmen der Bearbeitung Ihres Auftrags gelesen (Abschnitt 7c).

Wo wir weiterhin eine KI-Auswertung über Google Vertex AI nutzen: (1) bei einer Unterlagen-Anfrage („Unterlagen hineinlegen“, siehe unten), (2) bei der Aufwandsschätzung für Angebote (siehe unten) und (3) wenn unser Team im Portal eine einzelne Unterlage gezielt nachlesen lässt. Die Ergebnisse sind Vorschläge für unser Team; ein Mensch prüft sie, bevor sie verwendet werden.

Dienstleister und Verarbeitungsort: Diese Auswertungen erfolgen über Google Vertex AI (Google Cloud; Vertragspartner und Auftragsverarbeitungsvertrag wie in Abschnitt 3). Unsere Server rufen dabei ausschließlich die EU-Endpunkte von Vertex AI auf (EU-Multiregion) — die Verarbeitung der Anfragen erfolgt innerhalb der Europäischen Union. Für einen möglichen Zugriff der US-Muttergesellschaft gelten die Hinweise in Abschnitt 3 (DPF-Zertifizierung, Standardvertragsklauseln).

Keine Nutzung zum KI-Training: Nach dem mit Google bestehenden Vertragsrahmen (Cloud-Datenschutzbedingungen) werden Ihre Inhalte nicht zum Training der KI-Modelle verwendet. Ihre hochgeladenen Unterlagen verbleiben in unserem eigenen Dateispeicher (Abschnitte 3 und 6); an das Modell werden je Auswertung nur die dafür erforderlichen Dokumentinhalte bzw. Bilder übergeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage bzw. Vertragserfüllung). Soweit wir die Zahl der Auswertungsaufrufe begrenzen und technische Aufruf-Protokolle führen, geschieht dies auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Missbrauchs- und Kostenkontrolle, Nachvollziehbarkeit der Auswertung).

Unterlagen-Anfrage: Unterlagen, die Sie über „Unterlagen hineinlegen“ schicken (Abschnitt 7), liest unsere KI direkt nach dem Senden — also vor Ihrer Annahme. Dabei ermittelt sie nur, welcher Energieausweis in Frage kommt und welches Angebot wir Ihnen machen. Ein Energieberater prüft den Vorschlag und gibt das Angebot frei; eine Entscheidung allein durch die Maschine findet nicht statt (Abschnitt 19). In Ihren Auftrag übernehmen wir die erkannten Angaben erst, nachdem Sie das Angebot angenommen haben; danach prüft der Energieberater die Lücken, fehlt etwas, fragen wir per E-Mail nach. Die Auswertung läuft über Google Vertex AI in der EU-Multiregion; das Modell liest die Dateien direkt aus unserem Dateispeicher in Frankfurt am Main. Es gibt keine Kopie an Dritte und kein Training mit Ihren Daten. Das Protokoll der Auswertung (ohne den Text Ihrer Unterlagen) bewahren wir 90 Tage auf und löschen es mit der Anfrage — auch wenn Sie ablehnen oder die Anfrage automatisch gelöscht wird.

Aufwandsschätzung für Angebote: Für Angebote nach Aufwand (Bedarfsausweis für Nichtwohngebäude) schätzt eine KI-Unterstützung über denselben Dienst den Arbeitsaufwand ausschließlich aus Sachangaben zum Gebäude (z. B. Fläche, Nutzungen, Anlagentechnik); Namen, Kontaktdaten, die Adresse und Ihre Freitexte werden dabei nicht übergeben. Das Ergebnis ist ein Vorschlag: Jedes Angebot prüft und gibt ein Mitarbeiter frei, bevor Sie es erhalten.

Speicherdauer: Für die hochgeladenen Unterlagen selbst gelten die Fristen der Abschnitte 6 (nicht abgeschlossene Bestellungen: 90 Tage), 7 und 16. Zwischengespeicherte Auswertungsergebnisse (Cache, zur Vermeidung wiederholter identischer Auswertungen) werden nach 7 Tagen gelöscht; technische Protokolle der Auswertungsaufrufe nach 90 Tagen.

7b. Chat & Hilfe (KI-Assistenz mit Übergabe an unser Team)

Zweck: Über „Chat & Hilfe" können Sie uns Fragen zu unseren Produkten, zum Ablauf und — wenn Sie den Chat aus Ihrer Auftragsseite öffnen — zu Ihrem eigenen Auftrag stellen. Die erste Antwort gibt in der Regel eine KI-Assistenz; auf Ihren Wunsch oder wenn die Assistenz eine Frage nicht sicher beantworten kann, übernimmt ein Mitarbeiter unseres Teams und liest dazu den bisherigen Verlauf.

Kennzeichnung: Der Chat weist beim Öffnen darauf hin, dass Sie mit einer KI-Assistenz sprechen; Antworten der Assistenz sind als solche gekennzeichnet, Antworten unseres Teams tragen den Namen des Mitarbeiters. Die Assistenz trifft keine Entscheidungen mit rechtlicher Wirkung für Sie: Sie kann keine Bestellung, Zahlung, Erstattung oder Stornierung auslösen und keine Angaben in Ihrem Auftrag ändern.

Welche Daten verarbeitet werden: Ihre Nachrichten, ein optional angegebener Name, der Zeitpunkt, technische Sitzungsdaten (zufällige Chat-Kennung) und — nur bei einem Chat aus Ihrer Auftragsseite — der Status und das Produkt Ihres Auftrags. Liegt Ihre Anfrage bei unserem Team, bieten wir Ihnen im Chat an, die Antwort zusätzlich per E-Mail zu erhalten; die Angabe ist freiwillig. Nennen Sie uns eine E-Mail-Adresse, schicken wir Ihnen jede Antwort unseres Teams in diesem Chat mit einem persönlichen Link zurück in den Chat; Antworten, die wir schon vorher geschrieben haben und die Sie noch nicht gelesen haben, senden wir einmal gesammelt nach. Eine E-Mail-Adresse oder Telefonnummer, die Sie uns nennen, verwenden wir ausschließlich, um Ihnen in dieser Sache zu antworten. Bitte senden Sie keine Passwörter oder Zahlungsdaten im Chat.

KI-Dienstleister und Verarbeitungsort: Die KI-Antworten erzeugen wir über Google Vertex AI (Google Cloud, EU-Endpunkte; Vertragspartner, Auftragsverarbeitung und Hinweise zum Drittlandzugriff wie in Abschnitt 7a). An das Modell übergeben wir nur den Verlauf des jeweiligen Chats und unser freigegebenes Wissen (häufige Fragen, Produktkatalog, Ablaufhinweise). E-Mail-Adressen, IBAN-Nummern und Zugriffskennungen werden vor der Übergabe an das Modell maskiert. Ihre Inhalte werden nach dem mit Google bestehenden Vertragsrahmen nicht zum Training der KI-Modelle verwendet.

Missbrauchs- und Kostenschutz: Wir begrenzen die Zahl der Chats und Nachrichten je Absender (IP-Adresse nur als Hash-Wert, Abschnitt 4.2) sowie die Zahl der KI-Aufrufe je Chat und je Tag. Ist die Assistenz ausgelastet, erhalten Sie einen Hinweis, und Ihre Nachricht geht an unser Team.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage bzw. Vertragserfüllung bei Fragen zu Ihrem Auftrag) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem erreichbaren, missbrauchssicheren Kundenservice).

Speicherdauer: Damit Sie die Antwort unseres Teams auch nach dem Schließen des Browser-Tabs oder bei einem späteren Besuch auf demselben Gerät sehen, speichert Ihr Browser die zufällige Chat-Kennung, den Zugangsschlüssel und das Ablaufdatum im lokalen Speicher (Abschnitt 15b) — keine Nachrichten und keinen Namen. Der Eintrag entsteht erst, wenn Sie den Chat nutzen, und ist technisch erforderlich, um Ihnen den von Ihnen begonnenen Chat bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Solange eine unserer Seiten geöffnet ist und ein solcher Eintrag besteht, fragt Ihr Browser in Abständen nach neuen Antworten; „Chat & Hilfe“ zeigt dann „Neue Antwort“. Dabei erfahren wir, wann Sie zuletzt auf unserer Seite waren, und — sobald Sie den Chat öffnen — bis zu welcher Nachricht Sie ihn gelesen haben. Der Eintrag wird entfernt, sobald der Chat abgeschlossen ist und Sie alle Antworten gelesen haben, wenn Sie einen neuen Chat beginnen oder wenn der Zugang nicht mehr gilt; nach Ablauf des Zugangs, spätestens 30 Tage nach Beginn des Chats, verwendet Ihr Browser ihn nicht mehr und löscht ihn beim nächsten Besuch. Sie können ihn außerdem jederzeit über die Einstellungen Ihres Browsers löschen. Eine noch nicht gesendete Nachricht und einen optional angegebenen Namen hält Ihr Browser nur im Sitzungsspeicher des jeweiligen Tabs. Der Zugang zu einem Chat ist längstens 30 Tage möglich. Abgeschlossene Chats löschen wir 180 Tage nach ihrem Abschluss vollständig; offene Chats bleiben bis zur Erledigung erhalten. Technische Protokolle der KI-Aufrufe werden nach 90 Tagen gelöscht (Abschnitt 7a).

7c. KI-Unterstützung bei der Bearbeitung und Prüfung Ihres Auftrags

Zweck: Nach Vertragsschluss unterstützt eine KI unsere ausstellungsberechtigten Energieberaterinnen und Energieberater bei der Bearbeitung Ihres Auftrags. Sie liest Ihre Auftragsangaben sowie die zum Auftrag hinterlegten Unterlagen und Fotos, gleicht sie miteinander ab, bereitet Werte und Prüfschritte vor, erstellt einen Prüfbericht für unser Team, formuliert bei Bedarf Rückfragen an Sie und weist den Auftrag einer Energieberaterin oder einem Energieberater zu. Sie startet, wenn Ihre Zahlung eingegangen ist, wenn Ihr Auftrag in die Prüfung geht und wenn Sie neue Unterlagen oder Antworten schicken. Rückfragen, die mit KI-Unterstützung formuliert wurden, sind als solche gekennzeichnet („Diese Nachricht wurde mit KI-Unterstützung erstellt.“).

Zuweisung: Nach Eingang Ihrer Zahlung wählt die KI aus unserem Team eine ausstellungsberechtigte Energieberaterin oder einen ausstellungsberechtigten Energieberater, der für Ihr Gebäude zugelassen ist, und weist ihr oder ihm Ihren Auftrag zu. Dabei berücksichtigt sie nur die Zulassung, die Auslastung und den Standort im Verhältnis zu Ihrem Gebäude. Die Zuweisung kann unser Team jederzeit ändern.

Angebot, früher zu beginnen: Läuft bei Ihrem Auftrag noch die Widerrufsfrist, kann die KI Ihnen einmal per E-Mail anbieten, schon vorher mit der Bearbeitung zu beginnen. Das ist nur ein Angebot. Beginnen wir vorher, dann nur, wenn Sie das auf Ihrer Auftragsseite selbst ausdrücklich bestätigen (Abschnitt 10, „Nachweis des Widerrufsverzichts“). Wenn Sie nichts tun, bleibt Ihr Widerrufsrecht unverändert.

Suche nach Produktangaben: Um technische Werte einer Anlage zu belegen (zum Beispiel Hersteller, Typ und Baujahr eines Heizkessels laut Typenschild), kann die KI im Internet nach Produktangaben suchen. Dafür nutzen wir die Google-Suche in Google Vertex AI. Die Suchanfrage enthält nur diese Produktangaben, niemals Ihren Namen, Ihre Anschrift, die Gebäudeadresse oder andere Angaben aus Ihrem Auftrag; das prüfen unsere Server vor jeder Anfrage. Gefundene Quellen vermerken wir im Prüfbericht als Beleg.

Mensch entscheidet: Jeder Schritt wird protokolliert und kann von unserem Team zurückgenommen werden. Die Freigabe Ihres Energieausweises, seine Registrierung beim DIBt und die Zustellung erfolgen immer durch einen Menschen; eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt (Abschnitt 19).

KI-Modelle, Dienstleister und Verarbeitungsort: Wir nutzen KI-Modelle, die wir über Google Vertex AI (Google Cloud) aufrufen (derzeit Claude des Anbieters Anthropic oder Gemini von Google). Anbieter des Modells Claude ist Anthropic PBC (USA); es wird von Google in der Google-Cloud-Infrastruktur betrieben, die Verarbeitung Ihrer Anfragen erfolgt in Rechenzentren in der EU. Vertragspartner ist Google Cloud EMEA Limited; es gelten der Auftragsverarbeitungsvertrag und die Hinweise zum Drittlandzugriff aus Abschnitt 3. Unsere Server rufen ausschließlich den EU-Endpunkt von Vertex AI auf. An das jeweilige Modell übergeben wir nur, was für die Bearbeitung Ihres Auftrags nötig ist (Auftragsangaben, Unterlagen, Fotos). Ihre Inhalte werden nach dem mit Google bestehenden Vertragsrahmen nicht zum Training von KI-Modellen verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags). Soweit wir die Bearbeitungsläufe protokollieren und Kosten begrenzen, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachvollziehbarkeit und fachlichen Richtigkeit unserer Energieausweise).

Speicherdauer: Prüfbericht und Bearbeitungsschritte sind Teil Ihrer Auftragsakte und werden mit dieser aufbewahrt (Abschnitt 16). Das technische Protokoll eines Bearbeitungslaufs (Mitschnitt) löschen wir nach 90 Tagen.

8. Vorgangszugriff ohne Kundenkonto (geschützte Links)

Sie benötigen für ausweis-md.de kein Kundenkonto. Den Zugriff auf Ihre Status-, Dokumenten-, Storno-, Rückfragen-, Termin- und Bewertungsseiten erhalten Sie über personalisierte Links mit einem geheimen Zugriffsschlüssel (Token), die wir Ihnen per E-Mail zusenden.

Zu Ihrem Schutz gilt: Der Zugriffsschlüssel wird bei uns nur als kryptographischer Hash-Wert gespeichert (der Klartext existiert nur in Ihrer E-Mail); nach dem Seitenaufruf wird der Schlüssel aus der Browser-Adresszeile entfernt, damit er nicht im Verlauf oder in Verweisdaten auftaucht; Termin-Links verfallen mit dem Terminende. Bitte geben Sie diese Links nicht an Dritte weiter — wer den Link besitzt, kann den Vorgang einsehen. Download-Links für Dokumente sind zusätzlich nur wenige Minuten gültig (Abschnitt 16).

Optional können Sie ein Kundenkonto anlegen (Abschnitt 8a); die geschützten Links bleiben davon unberührt und funktionieren weiterhin gleichwertig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8a. Kundenkonto (optional)

Zusätzlich zum geschützten Link-Zugriff (Abschnitt 8) können Sie freiwillig ein Kundenkonto anlegen. Ein Konto ist zu keinem Zeitpunkt erforderlich — Bestellung, Zahlung und Vorgangszugriff funktionieren vollständig ohne Konto. Das Konto ist eine reine Komfort-Funktion.

Zweck: Übersicht über alle Ihre Aufträge und Dokumente an einem Ort sowie eine schnellere, vorbefüllte Bestellung. Aufträge, die Sie mit der E-Mail-Adresse Ihres Kontos aufgegeben haben, werden Ihrem Konto automatisch zugeordnet, sobald Sie Ihre E-Mail-Adresse bestätigt haben.

Anmeldewege: Sie können sich mit E-Mail-Adresse und Passwort oder mit Ihrem Google-Konto anmelden. Beide Wege sind gleichwertig; welchen Sie nutzen, entscheiden Sie.

Datenumfang: E-Mail-Adresse, bei der Anmeldung mit Passwort zusätzlich ein bei unserem Authentifizierungsdienst (Google Identity Platform, Google Cloud in der EU) gespeicherter Passwort-Hash (Ihr Passwort im Klartext erhalten wir zu keinem Zeitpunkt) sowie — soweit Sie diese hinterlegen — Ihre Profil-Stammdaten (Name, Anschrift, Telefon) für die Vorbefüllung künftiger Bestellungen. Die Bestätigung Ihrer E-Mail-Adresse ist Voraussetzung, bevor Aufträge mit dem Konto verknüpft oder Kontodaten angezeigt werden.

Zusätzlich bei der Anmeldung mit Google: Wenn Sie den Google-Weg wählen, stellt Ihr Browser beim Klick auf „Mit Google anmelden" eine direkte Verbindung zu Google her; dabei erhält Google Ihre IP-Adresse und die Information, dass Sie sich bei ausweis-md anmelden möchten. Von Google erhalten wir anschließend Ihre E-Mail-Adresse, die Bestätigung, dass diese Adresse verifiziert ist, Ihren Anzeigenamen sowie eine anbieterseitige Konto-Kennung. Ein Passwort erhalten wir in diesem Fall nicht und legen auch keines an. Den Anzeigenamen übernehmen wir einmalig als Vorbelegung in Ihre Profil-Stammdaten; Sie können ihn dort jederzeit ändern. Weil Google die Adresse bereits verifiziert hat, entfällt für Sie die zusätzliche Bestätigungs-E-Mail.

Anbieter der Google-Anmeldung: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern Google LLC, USA — DPF-zertifiziert, ergänzend Standardvertragsklauseln). Datenschutzerklärung: https://policies.google.com/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des von Ihnen angeforderten Kontos).

Speicherdauer / Löschung: Die Kontodaten speichern wir bis zu Ihrer Selbstlöschung. Sie können Ihr Konto jederzeit selbst löschen (im Kundenbereich unter „Profil"); dabei werden das Konto, sämtliche Anmeldewege (Passwort-Zugang und/oder die Verknüpfung mit Ihrem Google-Konto) und Ihre Profil-Stammdaten entfernt. Ihre Aufträge und Rechnungen bleiben davon unberührt — sie unterliegen den gesetzlichen Aufbewahrungsfristen (Abschnitte 10, 16, 18) und bleiben über die geschützten Links aus Ihren E-Mails erreichbar. Eine darüber hinausgehende vollständige Löschung Ihrer personenbezogenen Vorgangsdaten können Sie wie in Abschnitt 18 beschrieben beantragen (soweit keine Aufbewahrungspflichten entgegenstehen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Google Maps Platform (Adressdienste)

9.1 Serverseitige Adressprüfung und Objektansicht

Im Rahmen der Ausweiserstellung übermitteln unsere Server die Adresse des Gebäudes (bzw. deren Koordinaten) an Google Maps Platform-Dienste: an die Address Validation, um die Adresse bei der Bestellung zu prüfen, sowie für die Objektansicht unseres Teams an Static Maps/Street View und die Solar API; bei einem Vor-Ort-Termin außerdem an die Routes API, um die Fahrzeit unseres Beraters zum Gebäude zu planen (Abschnitt 12). Die Übermittlung erfolgt ausschließlich serverseitig; Ihr Browser stellt dabei keine Verbindung zu Google her, und es werden keine Namens- oder Kontaktdaten übermittelt.

Anbieter: Google Ireland Limited (Mutterkonzern Google LLC, USA — DPF-zertifiziert, ergänzend Standardvertragsklauseln). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (Interesse an korrekten Gebäudedaten und der Vermeidung fehlerhafter Ausweise).

Google-Inhalte und Verweise: Das Kundenportal enthält Funktionen und Inhalte der Google Maps Platform. Ergänzend zu dieser Datenschutzerklärung gelten für diese Inhalte die Zusätzlichen Nutzungsbedingungen für Google Maps/Google Earth (https://www.google.com/help/terms_maps/) und die Datenschutzerklärung von Google (https://policies.google.com/privacy).

Was wir speichern — und was nicht: Straßenansichten (Street View) speichern wir nicht; sie werden bei jeder Anzeige neu bei Google abgerufen und nur vorübergehend verarbeitet. Zu einer Adresse merken wir uns für höchstens 30 Tage die von Google gelieferten Koordinaten, die Kennung und das Aufnahmedatum des Straßenpanoramas sowie die Quellenangabe (Copyright-Zeile). Dach- und Luftbilddaten der Solar API speichern wir für höchstens 30 Tage. Aus diesen Inhalten leiten wir im Bestellassistenten keine Angaben zu Ihrem Gebäude mehr ab.

9.2 Adress-Autovervollständigung (Google Places) — soweit aktiviert

Soweit im Bestellassistenten aktiviert, schlägt das Adressfeld während der Eingabe Adressen vor (Google Places Autocomplete). Dabei werden Ihre Tastatureingaben im Adressfeld und Ihre IP-Adresse an Google übermittelt. Die Funktion ist optional: Sie können die Adresse stets vollständig manuell in Einzelfeldern eingeben, ohne dass Daten an Google fließen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (komfortable und fehlerarme Adresseingabe; manueller Fallback verfügbar). Anbieter: Google Ireland Limited (Mutterkonzern Google LLC, USA — DPF-zertifiziert, ergänzend Standardvertragsklauseln). Datenschutzerklärung: https://policies.google.com/privacy

10. Zahlungsabwicklung (Stripe)

Zweck: Abwicklung Ihrer Zahlung (Online-Checkout mit Karte, PayPal, Klarna, Apple Pay/Google Pay, SEPA) bzw. Rechnungsstellung an Geschäftskunden (Zahlung per Rechnung, Zahlungsziel regelmäßig 14 Tage), Erstellung der Rechnungen, Abwicklung etwaiger Erstattungen sowie Betrugsprävention.

Dienstleister: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland („Stripe").

Datenkategorien und Rollenverteilung:

• Ihre Zahlungsdaten (z. B. Kartennummer, PayPal-Konto) geben Sie direkt auf der gesicherten Bezahlseite von Stripe ein; wir erhalten und speichern diese Daten zu keinem Zeitpunkt. Für die Zahlungsabwicklung und die eigene Betrugsprävention ist Stripe eigenständiger Verantwortlicher; es gilt ergänzend die Datenschutzerklärung von Stripe: https://stripe.com/de/privacy
• Wir übermitteln an Stripe den Zahlbetrag, Ihre Vorgangs-Kennungen und — bei Rechnungskauf — Ihre Rechnungs- und Kontaktdaten. Bei uns verbleiben Zahlungs-Metadaten (Betrag, Status, Zahlart, Stripe-Referenzen) und die Rechnungsdaten.
• Nachweis des Widerrufsverzichts: Wenn Sie als Verbraucher bei Selbstservice-Produkten im Checkout ausdrücklich verlangen, dass wir vor Ablauf der Widerrufsfrist mit der Ausführung beginnen (§ 356 Abs. 5 Nr. 2 BGB), dokumentieren wir Ihre Erklärung mit Zeitpunkt und Textfassung. Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 312f BGB (Pflicht zur Bestätigung des Vertragsinhalts einschließlich der erteilten Erklärung auf einem dauerhaften Datenträger) sowie Art. 6 Abs. 1 lit. f DSGVO (Interesse am Nachweis der Erklärung für die Dauer der Verjährungsfristen). Bieten wir Ihnen per E-Mail an, früher zu beginnen (Abschnitt 7c), dokumentieren wir auch den Zeitpunkt dieses Angebots; ein Verzicht entsteht erst durch Ihre Bestätigung auf der Auftragsseite.

Drittland: Zahlungsdaten können durch Stripe auch in die USA übermittelt werden (Stripe, Inc.). Stripe, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung), Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten) und Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).

Speicherdauer: Rechnungen und Zahlungsbelege unterliegen der 8-jährigen Aufbewahrungspflicht (§ 147 Abs. 3 AO und § 14b Abs. 1 UStG, jeweils in der seit 01.01.2025 geltenden Fassung — Viertes Bürokratieentlastungsgesetz); Rechnungs-PDFs werden zusätzlich revisionssicher gespiegelt (GoBD-Archiv) und bis zum 31. Dezember des achten Folgejahres aufbewahrt. Soweit Unterlagen zugleich Bücher, Aufzeichnungen oder Jahresabschlüsse im Sinne des § 147 Abs. 1 Nr. 1 AO sind, gilt weiterhin die 10-jährige Frist. Diese Daten sind von der Löschung auf Ihren Wunsch ausgenommen (Abschnitt 18).

10a. Angebote und Rechnungen (Lexware Office)

Zweck: Erstellung von Angeboten für den Bedarfsausweis für Nichtwohngebäude, Erstellung und Versand von Rechnungen (insbesondere Rechnung per E-Mail oder per Post) sowie Zuordnung von Angeboten, Rechnungen und Zahlungseingängen zu Ihrem Auftrag.

So entsteht Ihr Angebot: Sobald wir ein Angebot nach Aufwand (Abschnitt 7) zur Freigabe geben, legen wir es in Lexware Office an. Dort prüfen wir es und stellen es fertig; erst die fertiggestellte Fassung übernehmen wir in Ihren Auftrag. Das Angebot als PDF-Dokument rufen wir aus Lexware Office ab, legen es bei Ihrem Auftrag ab und senden es Ihnen als Anhang der E-Mail, mit der Sie das Angebot bestätigen können (Abschnitt 11). Auf der Seite zur Bestätigung können Sie es ebenfalls abrufen.

Dienstleister: Lexware Office der Haufe-Lexware GmbH & Co. KG, Freiburg, als unser Auftragsverarbeiter nach Art. 28 DSGVO.

Datenkategorien: Wir übermitteln Ihren Namen bzw. Ihre Firma, bei Angeboten Ihre Anrede, Ihre Rechnungsanschrift, Ihre E-Mail-Adresse (soweit vorhanden), die Vorgangsnummer, die Objektadresse (ggf. mit der Bezeichnung des Gebäudes) und die Leistungspositionen mit Beträgen; bei Angeboten zusätzlich die Grundlagen des Angebots (Sachangaben zum Gebäude und zum Leistungsumfang) und den Namen des vorgesehenen Energieberaters. Aus Lexware Office lesen wir Angebots- und Rechnungsnummer, Status, Beträge, Positionen und den Empfängernamen, um ein Angebot oder eine Rechnung Ihrem Auftrag zuzuordnen, das fertiggestellte Angebot als PDF-Dokument sowie den Zahlungsstatus Ihrer Rechnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen auf Ihre Anfrage) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten).

Speicherdauer: Angebote einschließlich des Angebots-PDF bewahren wir wie die Auftragsdaten auf (Abschnitt 16); Rechnungen und Buchungsbelege nach den Fristen in Abschnitt 10 und 16.

11. E-Mail-Versand (Mailgun, EU-Region)

Zweck: Versand transaktionaler E-Mails zu Ihrem Vorgang: Bestell- und Zahlungsbestätigung, Rückfragen und Erinnerungen, Fertigstellungs- und Zustellungs-Benachrichtigung, Storno-Bestätigung, Terminbestätigung/-erinnerung (mit Kalenderdatei), Zahlungslink, Wiederaufnahme- und Download-Erinnerungen sowie eine einmalige Bewertungsbitte (Abschnitt 14). Zusätzlich verarbeiten wir Zustellstatus und Unzustellbarkeits-Meldungen (Bounces).

Dienstleister: Mailgun Technologies, Inc. (Konzern: Sinch AB) — wir nutzen ausschließlich die EU-Region von Mailgun (Verarbeitung/Datenresidenz in der EU); mit Mailgun besteht ein Auftragsverarbeitungsvertrag. Ein Zugriff durch die US-Konzernobergesellschaft ist nicht vollständig auszuschließen; hierfür gelten EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen.

Datenkategorien: Empfängername und E-Mail-Adresse, Betreff und Inhalt der jeweiligen E-Mail (auf das für die Vorlage Erforderliche beschränkt), Anhänge (z. B. Kalenderdatei, Angebot als PDF), Zustell-/Bounce-Status. Die Öffnungs- und Klickverfolgung von Mailgun ist ausgeschaltet: Wir erfassen nicht, ob Sie eine E-Mail öffnen oder einen Link darin anklicken.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Bewertungsbitte Abschnitt 14.

Speicherdauer: Versanddatensätze verbleiben als Nachweis in unserem System; bei einer Löschung nach Art. 17 DSGVO werden Empfängerdaten und Inhalte vollständig geschwärzt (Abschnitt 18). Technische Webhook-Marker werden nach 90 Tagen gelöscht.

12. Terminbuchung (Videoberatung und Vor-Ort-Termin)

Zweck: Anzeige freier Termine, verbindliche Buchung nach Zahlungseingang, Erzeugung des Videokonferenz-Links, Termin-Erinnerung (einmalig ca. 24 Stunden vorher), Umbuchung/Stornierung über Ihren Termin-Link (kostenfrei bis 24 Stunden vor Beginn) sowie — unabhängig von einer Bestellung — die kostenlose Erstberatung (15-minütiger Video-/Telefontermin).

Bitte beachten Sie: Ein im Bestellablauf gewählter Terminwunsch wird erst nach Zahlungseingang verbindlich gebucht; im Konfliktfall bieten wir Ihnen kostenfrei eine neue Terminauswahl an.

Datenkategorien: Name, E-Mail-Adresse, ggf. Telefonnummer; beim Vor-Ort-Termin zusätzlich die Objektadresse (ggf. mit der Bezeichnung des Gebäudes) als Terminort; Terminzeit, gewähltes Video-Tool und Terminhistorie. Bei der Verfügbarkeitsprüfung werden keine Kundendaten übermittelt (reine Frei/Belegt-Abfrage der Beraterkalender). Beim Vor-Ort-Termin berechnen wir die Fahrzeit unseres Beraters zu Ihrem Gebäude; dafür geht nur die Objektadresse ohne Namen oder Kontaktdaten an Google Maps Platform (Abschnitt 9.1), und im Kalender des Beraters werden Anfahrt und Rückfahrt eingetragen.

Empfänger/Dienste: Der Termin wird im Kalender des zuständigen Beraters angelegt. Je nach eingesetztem System erfolgt dies über:

• Google Calendar / Google Meet (Google Ireland Limited; Videokonferenz-Link über Google Meet), oder
• Microsoft 365 / Microsoft Teams (Microsoft Ireland Operations Ltd.; Videokonferenz-Link über Microsoft Teams).

Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge; die US-Muttergesellschaften (Google LLC, Microsoft Corporation) sind unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Kalendereintrag und Kalenderdatei (ICS) enthalten Ihre Termindaten, Sie als Teilnehmer und beim Vor-Ort-Termin die Objektadresse (ggf. mit der Bezeichnung des Gebäudes) als Ort. Wenn Sie an einer Videokonferenz über Google Meet oder Microsoft Teams teilnehmen, verarbeiten diese Anbieter Ihre Daten (z. B. Meeting-Metadaten, Audio/Video) nach ihren eigenen Datenschutzbestimmungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen bei der kostenlosen Erstberatung).

Speicherdauer: Termindatensätze verbleiben zur Vorgangsdokumentation; bei einer Löschung nach Art. 17 DSGVO werden Ihre personenbezogenen Daten aus Terminen und Kalendereinträgen entfernt (vergangene Termine verbleiben als anonyme Zeitblöcke).

13. Übermittlung an das DIBt (gesetzliche Pflicht)

Zweck: Jeder Energieausweis benötigt eine Registriernummer des Deutschen Instituts für Bautechnik (DIBt), Berlin; das DIBt führt zudem stichprobenartige Kontrollen durch (§§ 98–100 GEG).

Übermittelte Daten:

• Bei der Registrierung: Ausstellungsdatum, Bundesland und Postleitzahl des Gebäudes, Gebäudeart (Wohn-/Nichtwohngebäude), Ausweisart (Bedarf/Verbrauch), Neubau-Kennzeichen sowie die Daten des Ausstellers. Von Ihren Daten wird dabei nur die Postleitzahl des Objekts übermittelt — keine Namen, keine vollständige Adresse.
• Im Kontrollfall (Stichprobe): die vollständige Kontrolldatei mit den der Ausweiserstellung zugrunde liegenden Gebäudedaten einschließlich der Gebäudeadresse.

Empfänger: Deutsches Institut für Bautechnik (DIBt), Berlin — eine Behörde in eigener datenschutzrechtlicher Verantwortlichkeit.

Extern erstellte Ausweise: Erstellt und registriert der Energieberater einen Ausweis mit einer Fachsoftware außerhalb dieses Portals (z. B. bei Nichtwohngebäuden nach Angebot), übermittelt das Portal nichts an das DIBt; eine dabei entstandene Kontrolldatei legen wir nur als Archiv an Ihrem Auftrag ab.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 79 ff., 98–100 GEG (gesetzliche Registrierungs- und Kontrollpflichten).

Speicherdauer: Die für das Kontrollverfahren erforderlichen Berechnungs- und Gebäudedaten (einschließlich Objektadresse) bewahren wir für die Dauer der 10-jährigen Gültigkeit des Energieausweises auf und schwärzen die Adressdaten danach.

14. Bewertungen

Etwa 2 Tage nach Zustellung Ihres Ausweises bitten wir Sie einmalig per E-Mail um eine Bewertung unseres Service; einen entsprechenden Link finden Sie auch unter Ihrem Ausweis auf der Statusseite. Der Link in dieser E-Mail und unter Ihrem Ausweis führt — unabhängig von Ihrer Zufriedenheit — direkt zum Google-Bewertungsformular (die dortige Verarbeitung liegt in der Verantwortung von Google). Alternativ können Sie uns über unsere eigene Bewertungsseite direkt Rückmeldung geben; dort speichern wir Sternewertung, optionalen Text und Ihre Angabe, ob wir Sie kontaktieren dürfen, und bieten ebenfalls jedem den Weg zu Google an. Die Abgabe ist in beiden Fällen freiwillig.

Sie können dem Erhalt von Bewertungsbitten jederzeit widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen — per Abmeldelink in der E-Mail selbst oder formlos an die in Abschnitt 1 genannten Kontaktdaten. Auf dieses Widerspruchsrecht weisen wir Sie in jeder Bewertungsbitte erneut hin.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Qualitätssicherung und Außendarstellung); für die E-Mail-Bitte stützen wir uns auf § 7 Abs. 3 UWG (Bestandskundenwerbung für eigene ähnliche Leistungen mit Widerspruchsmöglichkeit).

15. Reichweitenmessung mit Google Analytics 4 (nur mit Einwilligung)

Auf ausweis-md.de setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Zweck ist die pseudonyme Auswertung, wie Besucher unsere Website und den Bestellassistenten nutzen (z. B. aufgerufene Seiten, Schritte im Bestellablauf, Gerätetyp, ungefähre Herkunft), um Inhalte und Bestellablauf zu verbessern.

Nur mit Ihrer Einwilligung. Google Analytics wird ausschließlich geladen, wenn Sie im Einwilligungs-Banner die Kategorie „Statistik" aktivieren (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne diese Einwilligung wird kein Google-Skript geladen und es findet keinerlei Messung statt — auch keine cookielosen Messsignale (Google Consent Mode v2, Grundeinstellung „abgelehnt"). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Fußbereich widerrufen; dann werden bereits gesetzte Analytics-Cookies entfernt, soweit technisch möglich (Art. 7 Abs. 3 DSGVO).

Welche Daten verarbeitet werden. Google Analytics setzt Cookies (_ga, _ga_…) mit einer zufälligen Kennung, um wiederkehrende Besuche zu erkennen, und verarbeitet technische Daten (gekürzte IP-Adresse, Browser- und Gerätetyp, Bildschirmgröße, Sprache, Verweisquelle, Zeitpunkt). Wir übermitteln keine Namen, E-Mail-Adressen, Telefonnummern oder Gebäudeadressen an Google. Seitenaufrufe werden als Seitentyp gemeldet (z. B. „Bestellstatus-Seite"), nicht mit den vollständigen Adressen unserer Links; Ereignisse enthalten nur Produkt-Kennungen, Schrittnummern, Beträge, Dokument-Arten und die geschätzte Effizienzklasse. Beim Abschluss einer Bestellung wird die Vorgangsnummer als pseudonyme Transaktionsreferenz sowie der Bestellwert übermittelt — erst nach serverseitig bestätigter Zahlung. Wir nutzen keine Google-Signale und keine geräteübergreifende Nutzerkennung; die IP-Anonymisierung ist aktiviert.

Eignungs-Check: Nutzen Sie die Vorfrage „Welcher Ausweis passt?“, melden wir — nur mit dieser Einwilligung — ihren Beginn (mit der Angabe, von wo aus Sie sie begonnen haben: Weg-Wahl der Startseite, Seite zum Eignungs-Check oder Bestellknopf), jede beantwortete Frage (nur welche Frage und die wievielte — nicht Ihre Antwort), das Ergebnis (welche Ausweisart in Frage kommt) und den Wechsel in den Bestellassistenten.

Unterlagen-Anfrage: Übermitteln Sie eine Unterlagen-Anfrage, melden wir — nur mit dieser Einwilligung — das Ereignis „Unterlagen-Anfrage übermittelt“ mit dem Einstieg (Startseite, Weg-Wahl der Startseite oder Unterlagen-Seite), der Anzahl der Unterlagen und Ihrem Ausweis-Wunsch; keine Kontaktdaten, keine Dateinamen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

Empfänger und Drittlandtransfer: Google Ireland Limited; eine Übermittlung an die Google LLC in den USA ist möglich. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Mit Google besteht ein Vertrag zur Auftragsverarbeitung (Google Ads Data Processing Terms).

Kennung unserer Messung: Google-Analytics-Datenstrom G-S9PX08DV2D (Property „ausweis-md.de – Kunden-App"). Die Aufbewahrung der Ereignis- und Nutzerdaten in Google Analytics ist auf 14 Monate eingestellt.

Speicherdauer: Die Analytics-Cookies (_ga, _ga_S9PX08DV2D) sind bis zu 14 Monate gültig. Ereignisdaten auf Google-Servern werden nach 14 Monaten automatisch gelöscht; aggregierte Berichte enthalten keine Personenbezüge mehr.

Widerspruch/Widerruf: über „Cookie-Einstellungen" im Fußbereich; zusätzlich über das Browser-Add-on zur Deaktivierung von Google Analytics (https://tools.google.com/dlpage/gaoptout).

Weitere Informationen: https://policies.google.com/privacy und https://support.google.com/analytics/answer/6004245.

15a. Google Ads (Conversion-Messung, nur mit Einwilligung)

Wir schalten Anzeigen über Google Ads, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"; Kundennummer 136-304-0621, Conversion-Kennung AW-17856806694). Um zu messen, ob eine Anzeige zu einer Bestellung geführt hat, setzen wir auf ausweis-md.de das Google-Ads-Conversion-Tag ein.

Nur mit Ihrer Einwilligung. Das Conversion-Tag wird ausschließlich geladen, wenn Sie im Einwilligungs-Banner die Kategorie „Marketing" aktivieren (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne diese Einwilligung wird kein Ads-Skript geladen, kein Ads-Cookie gesetzt und nichts an Google Ads übermittelt — auch keine cookielosen Signale (Google Consent Mode v2: ad_storage, ad_user_data und ad_personalization bleiben auf „abgelehnt"). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Fußbereich widerrufen; dann werden bereits gesetzte Ads-Cookies entfernt, soweit technisch möglich (Art. 7 Abs. 3 DSGVO).

Welche Daten verarbeitet werden. Mit Ihrer Einwilligung setzt das Tag auf ausweis-md.de das Cookie _gcl_au (Laufzeit 90 Tage), mit dem Google einen vorherigen Klick auf eine unserer Anzeigen einer späteren Bestellung zuordnen kann. Kommen Sie über eine Google-Anzeige zu uns, kann Google zusätzlich die Klick-Kennung aus dem Anzeigen-Link (gclid) in den Cookies _gcl_aw/_gcl_gs ablegen. Beim Abschluss einer Bestellung — erst nach serverseitig bestätigter Zahlung — übermitteln wir genau ein Conversion-Ereignis an Google Ads mit dem Bestellwert, der Währung und der Vorgangsnummer als pseudonymer Transaktionsreferenz. Wir übermitteln keine Namen, E-Mail-Adressen, Telefonnummern oder Gebäudeadressen; weitere Ereignisse werden nicht an Google Ads gemeldet. Personalisiertes Remarketing und die Bildung von Werbe-Zielgruppen finden nicht statt. Unser Google-Ads-Konto ist außerdem mit Google Analytics (Abschnitt 15) verknüpft; Analytics-Daten fallen dabei nur mit Ihrer Einwilligung in „Statistik" an.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

Empfänger und Drittlandtransfer: Google Ireland Limited; eine Übermittlung an die Google LLC in den USA ist möglich. Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Für die Conversion-Messung gelten die Google Ads Data Processing Terms.

Speicherdauer: Das Cookie _gcl_au ist 90 Tage gültig; _gcl_aw/_gcl_gs ebenfalls höchstens 90 Tage. Die Klick-Kennung aus dem Anzeigen-Link speichern wir nur mit Ihrer Einwilligung und nur zur Meldung eines Kaufs (Abschnitt 15c). Die Conversion-Daten im Google-Ads-Konto bewahrt Google nach seinen Fristen auf.

Widerspruch/Widerruf: über „Cookie-Einstellungen" im Fußbereich; zusätzlich über die Einstellungen für Werbung in Ihrem Google-Konto (https://adssettings.google.com).

Weitere Informationen: https://policies.google.com/privacy und https://policies.google.com/technologies/ads.

15c. Messung von Werbeerfolgen ohne Browser-Tag (Offline-Conversions, nur mit Einwilligung)

Kommen Sie über eine unserer Google-Anzeigen auf ausweis-md.de, enthält der Link der Anzeige eine zufällige Klick-Kennung von Google (gclid, auf Apple-Geräten auch gbraid oder wbraid) sowie Angaben zur Kampagne (utm_source, utm_medium, utm_campaign, utm_content, utm_term, z. B. „google / cpc / Suche Energieausweis").

Was wir damit tun. Haben Sie in der Kategorie „Marketing" eingewilligt, merken wir uns die Klick-Kennung und die Kampagnen-Angaben bis zu 90 Tage in Ihrem Browser (lokaler Speicher ausweis-md-kunde.werbe-herkunft, Abschnitt 15b) und speichern sie zusammen mit Ihrer Bestellung. Sobald Ihre Zahlung bei uns eingegangen ist, melden wir Google Ads genau einmal den Kauf: die Klick-Kennung, den Zeitpunkt des Zahlungseingangs, den Bestellwert mit Währung und eine interne Auftragsnummer als pseudonyme Transaktionsreferenz. So erfahren wir, welche Anzeige zu einer Bestellung geführt hat. Das gilt auch dann, wenn die Zahlung erst Tage später eingeht, etwa bei Überweisung oder Lastschrift. Wir übermitteln keine Namen, E-Mail-Adressen, Telefonnummern oder Gebäudeadressen. Personalisiertes Remarketing und die Bildung von Werbe-Zielgruppen finden nicht statt.

Bestellung begonnen. Mit derselben Einwilligung melden wir Google Ads außerdem einmal, dass nach dem Klick auf unsere Anzeige eine Bestellung begonnen wurde, sobald Ihr Zwischenstand im Bestellassistenten angelegt ist (Abschnitt 6). Übermittelt werden nur die Klick-Kennung, der Zeitpunkt der Anlage und eine aus der Klick-Kennung gebildete pseudonyme Referenz, kein Bestellwert und keine Ihrer Eingaben. So sehen wir, welche Anzeigen zu begonnenen Bestellungen führen.

Unterlagen-Anfrage: Mit derselben Einwilligung speichern wir die Klick-Kennung und die Kampagnen-Angaben auch mit Ihrer Unterlagen-Anfrage. Nehmen Sie unser Angebot an, gehen sie auf Ihren Auftrag über, und es gilt die Kaufmeldung wie oben beschrieben. Die Anfrage selbst melden wir Google Ads derzeit nicht. Wird die Anfrage gelöscht, löschen wir die Angaben mit.

Ohne Ihre Einwilligung werden weder die Klick-Kennung noch die Kampagnen-Angaben in Ihrem Browser gespeichert oder an uns oder an Google übermittelt. Beim Aufruf der Seite liest unsere Website die Angaben nur flüchtig im Arbeitsspeicher Ihres Browsers; wählen Sie „Nur notwendige", werden sie verworfen.

Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Empfänger und Drittlandtransfer: Google Ireland Limited (Google Ads). Eine Übermittlung an die Google LLC in den USA ist möglich (EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln; Google Ads Data Processing Terms).

Speicherdauer: im Browser höchstens 90 Tage. Bei uns löschen wir die Klick-Kennung, sobald die Meldung an Google erledigt oder endgültig gescheitert ist, spätestens 90 Tage nach dem Klick; die Meldung „Bestellung begonnen“ verlängert diese Frist nicht, und den Vermerk, ob und wann wir sie gesendet haben, löschen wir mit dem Zwischenstand (Abschnitt 6); die Kampagnen-Angaben bleiben bei der Bestellung (Abschnitt 16). Die Conversion-Daten im Google-Ads-Konto bewahrt Google nach seinen Fristen auf.

Widerruf: jederzeit über „Cookie-Einstellungen" im Fußbereich. Mit dem Widerruf löschen wir die im Browser gemerkte Klick-Kennung samt Kampagnen-Angaben und entfernen beides aus Ihrer noch nicht abgeschickten Bestellung sowie aus Bestellungen, die Sie in diesem Browser mit Ihrer Einwilligung abgeschickt haben; noch ausstehende Meldungen an Google unterbleiben dann. Haben Sie in einem anderen Browser oder auf einem anderen Gerät bestellt, genügt eine Nachricht an uns (Kontakt in Abschnitt 1) — wir entfernen die Angaben dann aus dieser Bestellung. Bereits erfolgte Meldungen bleiben vom Widerruf unberührt (Art. 7 Abs. 3 Satz 2 DSGVO).

15d. Freiwillige Angabe zur Herkunft

Bei Ihrer Bestellung, bei der Bestätigung eines Angebots oder danach auf der Statusseite können Sie freiwillig angeben, wie Sie auf uns aufmerksam geworden sind (zum Beispiel Google-Suche oder Empfehlung). Nehmen wir Ihren Auftrag telefonisch oder vor Ort auf oder sprechen wir später mit Ihnen über Ihren Auftrag, fragen wir Sie danach und vermerken Ihre Antwort oder „weiß nicht“, auch nachträglich; eine Angabe, die Sie selbst gemacht haben, ändern wir dabei nicht. Wir speichern nur die gewählte Antwort, den Zeitpunkt und wo die Angabe gemacht wurde zu Ihrem Auftrag und werten sie ausschließlich zusammengefasst aus, um den Nutzen unserer Werbung zu beurteilen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; ohne Angabe entstehen Ihnen keine Nachteile. Die Angabe wird mit den Auftragsdaten gelöscht.

15e. Anonyme Zählung der Einstiegsschritte (ohne Cookies, ohne Personenbezug)

Damit wir erkennen, an welcher Stelle Besucher den Einstieg in die Bestellung verlassen, zählen wir — auch ohne Einwilligung — für jeden Kalendertag, wie oft einzelne Schritte des Einstiegs erreicht wurden: Startseite aufgerufen und bedient, „Weiter“ nach der Adresseingabe, Weg-Wahl angezeigt und gewählter Weg, Klick auf einen Bestellknopf unserer Informationsseiten zu Kosten, Verkauf, Vermietung und Hauskauf, unserer Seiten „Bedarfs- oder Verbrauchsausweis?“ und „Welcher Energieausweis passt?“ sowie unserer Seite für Magdeburg, Beginn der Vorfrage „Welcher Ausweis passt?“ (mit der Angabe, ob sie über die Weg-Wahl der Startseite, die Seite zum Eignungs-Check oder einen Bestellknopf begonnen wurde), jede beantwortete Frage (nur ihre Nummer, nicht Ihre Antwort), das Ergebnis, die Bitte um die Gebäudeadresse und der Wechsel in den Bestellassistenten. Zusätzlich zählen wir je Art der Seite, mit der Sie unser Angebot geöffnet haben (Startseite, Kosten-, Verkaufs-, Vermietungs-, Haus- oder Magdeburg-Seite, Seite „Bedarfs- oder Verbrauchsausweis?“, Seite „Welcher Energieausweis passt?“, Preise, Produktseite, Eignungs-Check, Unterlagen, Häufige Fragen oder eine andere Seite — nur diese Einordnung, nicht die Adresse der Seite): dass die Seite geladen und bedient wurde, dass die Cookie-Abfrage beantwortet wurde (nicht Ihre Wahl), welche Art von Hauptknopf Sie zuerst angetippt haben (Weiter nach der Adresse, Verbrauchsausweis, Bedarfsausweis, Eignungs-Check, Unterlagen oder ein anderer) und dass ein Vorschlag der Adress-Suche gewählt wurde (nicht welcher). Am Ende des Bestellwegs zählen wir außerdem, wie oft ein Zwischenstand angelegt wurde (mit dem Weg, über den Sie eingestiegen sind), wie oft „Prüfen & Bestellen“ erreicht und wie oft die Bezahlseite geöffnet wurde — als reine Tagessummen, ohne Verbindung zu Ihrem Zwischenstand oder Ihrer Bestellung. Ebenso zählen wir im Bestellassistenten je Stelle des Fragebogens, wie oft das Angebot „Zu kompliziert?“ angezeigt, genutzt und wieder zurückgenommen wurde. Außerdem zählen wir, wie oft der Fragebogen je Ausweisart geöffnet wurde und wie oft „Weiter“ im ersten Schritt dort geblieben ist, weil eine Angabe fehlte — nur welche Frage, nicht Ihre Antwort. Auf der Startseite zählen wir zusätzlich, in welcher Fassung sie angezeigt wurde, ob sie mit einem vorgewählten Ausweis (Bedarfs- oder Verbrauchsausweis) aufgerufen wurde und ob die Angaben zu unseren Energieberatern aufgeklappt, das Muster des Energieausweises geöffnet oder der Kurz-Check „Nicht sicher, welcher passt?“ gestartet wurde und, wenn auf Ihrem Gerät ein begonnener Fragebogen liegt, ob die Auswahl unter „Keine Lust auf Fragen?“ geöffnet und welcher Weg gewählt wurde. Jeder Zähler wird nur danach unterschieden, ob ein Handy, ein Tablet oder ein Desktop-Computer genutzt wurde und ob die Seite über einen Anzeigen-Link aufgerufen wurde (ja/nein).

Kein Personenbezug, nichts auf Ihrem Gerät. Gespeichert wird nur die Summe je Tag und Schritt — keine IP-Adresse, keine Kennung, keine Uhrzeit, keine Adresse, keine Eingaben, keine Klick-Kennung der Anzeige und keine Verbindung zu einem Zwischenstand oder einer Bestellung. Für die Zählung setzen wir kein Cookie und speichern oder lesen nichts in Ihrem Browser; dass ein Schritt je Seitenaufruf nur einmal gezählt wird, merkt sich die Seite nur, solange sie geöffnet ist. Die Zählaufrufe sind wie unsere anderen Serverfunktionen gegen automatisierten Missbrauch geschützt (Abschnitte 4.2 und 4.3); die dabei verarbeiteten Daten fließen nicht in die Zähler ein. Aufrufe bekannter Suchmaschinen und Prüfprogramme zählen wir nicht.

Zweck und Rechtsgrundlage: Wir wollen unsere Einstiege in die Bestellung verständlicher machen. Soweit bei der Übermittlung überhaupt personenbezogene Daten anfallen (etwa die IP-Adresse beim Verbindungsaufbau, Abschnitt 4.1), ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an verständlichen Einstiegen in die Bestellung). Speicherdauer: Die Tageszähler löschen wir nach 13 Monaten.

15b. Übersicht: Cookies und lokale Speicher auf ausweis-md.de

Die folgende Tabelle nennt alle Speicher, die unsere Website in Ihrem Browser anlegt oder anlegen lässt. „Lokaler Speicher" bezeichnet localStorage (bleibt bis zur Löschung), „Sitzungsspeicher" sessionStorage (wird beim Schließen des Browser-Tabs gelöscht). Einträge mit „{Vorgang}" oder „{Partner}" tragen die jeweilige Vorgangsnummer bzw. Partner-Kennung im Namen.

Die Google-Ads-Cookies werden erst gesetzt, wenn Sie in „Marketing" eingewilligt haben; ohne diese Einwilligung wird das Ads-Tag nicht geladen (Abschnitt 15a). Bei Widerruf werden sie entfernt, soweit technisch möglich.

16. Speicherdauern im Überblick

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

17. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten, einschließlich einer Kopie;
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten oder sonstigen Ausnahmen entgegenstehen (Abschnitt 18);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format;
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) jederzeit mit Wirkung für die Zukunft — z. B. über die „Cookie-Einstellungen" im Footer; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

Beschwerderecht (Art. 77 DSGVO): Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für den Datenschutz Sachsen-Anhalt, Leiterstraße 9, 39104 Magdeburg (https://datenschutz.sachsen-anhalt.de).

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die in Abschnitt 1 genannten Kontaktdaten. Soweit Ihr Vorgang ohne Kundenkonto geführt wird, ordnen wir Anfragen über Ihre E-Mail-Adresse und/oder Vorgangsnummer zu; führen Sie ein Kundenkonto (Abschnitt 8a), erfolgt die Zuordnung über dieses Konto. Zur Sicherheit können wir in beiden Fällen eine Identitätsbestätigung über die hinterlegte E-Mail-Adresse verlangen.

18. Auskunft und Löschung im Portal (Verfahren und Ausnahmen)

Auskunft/Export: Auf Anfrage stellen wir Ihnen einen strukturierten Export (JSON) Ihrer bei uns gespeicherten Daten bereit (Kundendaten, Aufträge, Gebäudedaten, Rückfragen, Vorgangsereignisse, E-Mail-Metadaten, Termine, Zahlungs- und Rechnungs-Metadaten, Unterlagen-Verzeichnis, Angebote nach Aufwand, Anfragen zum Bedarfsausweis für Nichtwohngebäude und Unterlagen-Anfragen; interne Vermerke unseres Teams zu Ihrem Vorgang sind beschriftet enthalten, Mitarbeitende erscheinen als „Team“). Sicherheitsschlüssel (Token-Hashes) sind nicht enthalten. Jede Auskunftserteilung wird protokolliert.

Löschung: Auf Ihren Löschantrag hin entfernen bzw. anonymisieren wir Ihre personenbezogenen Daten, sobald keine aktiven Aufträge bestehen: Kontaktdaten werden entfernt, hochgeladene Unterlagen endgültig gelöscht, Rückfragen, E-Mail-Inhalte, Begründungen und interne Vermerke geschwärzt, die bei uns gespeicherte Kopie eines Angebots-PDF gelöscht (das Original in Lexware Office unterliegt den Aufbewahrungsfristen, Abschnitt 10a), Anfragen zum Bedarfsausweis für Nichtwohngebäude und Unterlagen-Anfragen anonymisiert (deren Unterlagen gelöscht), Termindaten anonymisiert und Vorgangsereignisse pseudonymisiert.

Gesetzliche Ausnahmen (Art. 17 Abs. 3 lit. b DSGVO) — folgende Daten müssen wir trotz Löschantrags aufbewahren:

1. Rechnungen und Zahlungsbelege einschließlich Name und Rechnungsadresse sowie das revisionssichere Rechnungsarchiv — 8 Jahre (§ 147 Abs. 3 AO, § 14b Abs. 1 UStG, jeweils Fassung seit 01.01.2025; GoBD); für Bücher, Aufzeichnungen und Jahresabschlüsse gilt die 10-jährige Frist des § 147 Abs. 1 Nr. 1, Abs. 3 AO;
2. Berechnungsgrundlagen des Energieausweises, Registriernummer und Objektadresse — bis zum Ablauf der DIBt-Kontrollfrist (§§ 98–100 GEG), danach Schwärzung der Adressdaten;
3. die Auftragshistorie ohne Personenbezug (anonymisierte Vorgangsdaten) als Integritätsnachweis.

Hinweis zu Stripe: Für die bei Stripe selbst gespeicherten Zahlungsdaten ist Stripe eigenständiger Verantwortlicher; Lösch- und Auskunftsersuchen hierzu richten Sie an Stripe oder an uns — wir leiten sie weiter bzw. stoßen die Löschung im Rahmen der Möglichkeiten manuell an.

19. Keine automatisierte Entscheidungsfindung; keine Pflicht zur Bereitstellung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt; jeder Energieausweis wird durch einen nach § 88 GEG ausstellungsberechtigten Energieberater geprüft und verantwortet. Das gilt auch für die KI-Unterstützung (Abschnitte 7a und 7c): Sie erzeugt ausschließlich Vorschläge, Prüfberichte und Rückfragen; über Ihren Energieausweis entscheidet ein Mensch. Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben; ohne die als Pflichtfelder gekennzeichneten Angaben (z. B. E-Mail-Adresse, Rechnungsadresse, Gebäudedaten) können wir den Vertrag jedoch nicht schließen oder erfüllen.

20. Datensicherheit

Die Übertragung zwischen Ihrem Browser und unserem Portal erfolgt durchgehend verschlüsselt (TLS/HTTPS). Zugriffe auf Vorgangsdaten sind durch geheime, gehashte Zugriffsschlüssel, kurzlebige Download-Links, ein internes Rollen- und Berechtigungskonzept sowie standardmäßig geschlossene Datenbankregeln geschützt. Zahlungsdaten werden ausschließlich beim zertifizierten Zahlungsdienstleister verarbeitet (PCI DSS).

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 23.10.2026 — Fassung 2.27.1 (Abschnitt 15b: Sitzungsspeicher zur Absicherung des Speicherns beim Verlassen); Fassung 2.27 vom 20.10.2026 (Abschnitt 7c: Zuweisung, Angebot „früher beginnen“, Suche nach Produktangaben; Abschnitte 2 und 10 angepasst); Fassung 2.26.1 vom 20.10.2026 (Abschnitt 6: beim Bedarfsausweis Zwischenstand schon nach Eingabe der vollständigen Gebäudeadresse; Abschnitt 15e: Zählung „Fragebogen geöffnet“ und „Weiter“ im ersten Schritt wegen fehlender Angabe); Fassung 2.26 vom 19.10.2026 (Abschnitt 7c: KI-Unterstützung nach der Bestellung mit KI-Modellen über Google Vertex AI in der EU; Abschnitt 7a: keine automatische Auswertung von Unterlagen im Bestellassistenten mehr; Abschnitte 2, 9.1, 16 und 19 angepasst); Fassung 2.25 vom 11.10.2026 (Abschnitt 15e: Zählung auch auf den Seiten „Bedarfs- oder Verbrauchsausweis?“ und „Welcher Energieausweis passt?“; Abschnitt 6: Hinweis auf eine Informationsseite nur im Verlauf des Browser-Tabs); Fassung 2.24 vom 10.10.2026 (Abschnitt 6: Hilfe-Signal auch beim Verlassen der Seite kurz nach einem erfolglosen „Weiter“); Fassung 2.23 vom 10.10.2026 (Abschnitt 6: Vermerk „interner Test“ auch durch unser Team im Portal an einem offenen Zwischenstand); Fassung 2.22 vom 07.10.2026 (Abschnitt 7b: Chat-Zugang auf diesem Gerät, Anzeige neuer Antworten bei späteren Besuchen, freiwillige E-Mail bei der Übergabe an unser Team; Abschnitt 15b: lokaler Speicher des Chat-Zugangs); Fassung 2.21 vom 07.10.2026 (Abschnitt 2: Berechnung mit unserer eigenen Berechnungssoftware; Abschnitt 7: extern erstellte Ausweise und Kontrollrechnung; Abschnitte 16 und 18 angepasst); Fassung 2.20 vom 06.10.2026 (Abschnitt 6: Rückruf bei Problemen, Hilfe per E-Mail nach dem Hochladen, Vorbelegung an der Kasse; Abschnitt 16 angepasst); Fassung 2.19 vom 06.10.2026 (Abschnitt 6: Vermerk „Zu kompliziert?“ am Zwischenstand; Abschnitt 7: Übernahme begonnener Eingaben in die Unterlagen-Anfrage; Abschnitt 15b: Sitzungsspeicher auch auf der Unterlagen-Seite; Abschnitt 15e: Zählung des Angebots „Zu kompliziert?“ und der Auswahl „Keine Lust auf Fragen?“); Fassung 2.18 vom 06.10.2026 (Abschnitt 15d: Angabe zur Herkunft auch nachträglich im Gespräch über Ihren Auftrag); Fassung 2.17 vom 05.10.2026 (neuer Abschnitt 7c: KI-Unterstützung bei der Bearbeitung und Prüfung Ihres Auftrags; Abschnitt 2 ergänzt); Fassung 2.16 vom 05.10.2026 (Abschnitt 15c: Meldung „Bestellung begonnen“ an Google Ads; Abschnitt 15e: Merkmale der neuen Startseite; Abschnitt 16 angepasst); Fassung 2.15 vom 05.10.2026 (Abschnitt 6: Fortsetzen einer begonnenen Bestellung auf diesem Gerät; Abschnitt 15b: lokaler Speicher ausweis-md-kunde.offeneBestellung); Fassung 2.14 vom 04.10.2026 (Abschnitt 6: Vermerk „interner Test“, Unterlagen von der Startseite auch beim Termin; Abschnitt 7: Entfernen hochgeladener Unterlagen und endgültige Löschung nach 24 Stunden; Abschnitt 15b: Zweck der Kennzeichnung interner Besuche, Speicher für Name und E-Mail-Adresse an der Kasse und technischer Vermerk des Firebase-SDK; Abschnitt 4.2: genauere Löschangabe; Abschnitt 6: Vermerk gegen einen doppelten Zwischenstand; Abschnitt 16 angepasst); Fassung 2.13 vom 04.10.2026 (Abschnitt 15: Ereignisse des Eignungs-Checks; neuer Abschnitt 15e: anonyme Zählung der Einstiegsschritte; Abschnitt 16 angepasst); Fassung 2.12 vom 04.10.2026 (Abschnitt 6: Zeitpunkt der Zwischenspeicherung beim neuen Einstieg, Einstiegsweg; Abschnitt 15: Einstieg „Weg-Wahl der Startseite“; Abschnitt 15b: Sitzungsspeicher für die Übergabe von der Startseite; Abschnitt 16 angepasst); Fassung 2.11 vom 03.10.2026 (Abschnitt 6: Vorschau Ihres Ausweises per Link; Abschnitt 16 angepasst); Fassung 2.10 vom 02.10.2026 (Abschnitt 15d: freiwillige Angabe zur Herkunft auch bei der Bestellung, bei der Bestätigung eines Angebots und bei telefonischer oder Vor-Ort-Aufnahme; Abschnitt 16 angepasst); Fassung 2.9 vom 01.10.2026 (Abschnitt 7: Unterlagen-Anfrage — Zweck, Angaben, Haken zu den Datenschutzhinweisen, Speicherort Frankfurt am Main, automatische Löschung mit Bestätigung per E-Mail, freiwilliger Widerrufsverzicht bei der Annahme; Abschnitt 7a: maschinelle Auswertung der Unterlagen-Anfrage nach dem Senden (Ausweisart und Angebot, Freigabe durch einen Energieberater, Übernahme in den Auftrag erst nach der Annahme, Protokoll 90 Tage); Abschnitt 15: Ereignis „Unterlagen-Anfrage übermittelt“; Abschnitt 15c: Werbe-Herkunft an der Anfrage; neuer Abschnitt 15d: freiwillige Angabe zur Herkunft nach der Bestellung; Abschnitt 16: Löschfristen; Abschnitt 18: Umfang von Auskunft und Löschung); Fassung 2.8 vom 30.09.2026 (Markenname der Fachsoftware entfernt, sonst unverändert); Fassung 2.7 vom 30.09.2026 (Abschnitt 6: Zeitpunkt der Zwischenspeicherung präzisiert — automatisch beim Wechsel in den zweiten Schritt, im ersten Schritt nur, wenn Sie Ihre Eingaben selbst per E-Mail sichern, eine Unterlage hochladen oder einen Hinweis senden; Ablauf-Protokoll am Zwischenstand und Hilfe-Signal bei Problemen ergänzt; Abschnitt 7: Angaben bei Anfragen zum Bedarfsausweis für Nichtwohngebäude und weitere Datenkategorien ergänzt; Abschnitt 16 angepasst; Abschnitt 18: Umfang von Auskunft und Löschung ergänzt); Fassung 2.6 vom 30.09.2026 (Abschnitt 10a: Angebote für Nichtwohngebäude entstehen in Lexware Office, Angebot als PDF am Auftrag und in der Bestätigungs-E-Mail; Abschnitte 7 und 12: Bezeichnung des Gebäudes; Abschnitte 9.1 und 12: Fahrzeit zum Vor-Ort-Termin; Abschnitt 11: keine Öffnungs- und Klickverfolgung; Abschnitt 16 angepasst); Fassung 2.5 vom 30.09.2026 (Abschnitt 14: Link der Bewertungsbitte führt direkt zu Google, eigene Bewertungsseite als alternativer Rückmeldeweg); Fassung 2.4 vom 30.09.2026 (Abschnitt 7: Angebote nach Aufwand; Abschnitt 7a: KI-gestützte Aufwandsschätzung ohne Personendaten; neuer Abschnitt 10a: Angebote und Rechnungen über Lexware Office; Abschnitt 13: Kontrolldatei extern erstellter Ausweise nur als Archiv; Abschnitt 16 angepasst); Fassung 2.3 vom 29.09.2026 (Abschnitt 6: Anzeige-Vermerk Bestellablauf für die Büro-Bildschirme ergänzt, Quelle der Geräteklasse präzisiert, Abschnitt 16 angepasst; Abschnitt 14: Bewertungsbitte etwa 2 statt 7 Tage nach Zustellung); Fassung 2.2 vom 29.09.2026 (Abschnitt 6: Geräteklasse und Neustart-Vermerk am Zwischenstand ergänzt, Abschnitt 16 angepasst); Fassung 2.1 vom 29.09.2026 (Abschnitt 15b: Speicher zum Fortsetzen der laufenden Bestellung gilt auch für die Rückkehr in den Bestellassistenten im selben Tab); Fassung 2.0 vom 29.09.2026 (Abschnitt 15c — Messung von Werbeerfolgen ohne Browser-Tag — ergänzt, Abschnitte 15a, 15b und 16 angepasst); Fassung 1.9 vom 29.09.2026 (Abschnitt 15b: Speicher zum Fortsetzen der laufenden Bestellung nach Neuladen ergänzt); Fassung 1.8 vom 28.09.2026 (Abschnitt 15b: Speicher für Gutschein-Links und die Kennzeichnung interner Besuche ergänzt); Fassung 1.7 vom 25.09.2026 (Widerrufsfunktion § 356a BGB in Abschnitt 7 und 16, Normzitat § 356 Abs. 5 BGB in Abschnitt 10; Fassung 1.6 verbindlich seit 13.09.2026; Fassung 1.5 vom 10.09.2026; Abschnitt 7b — Chat & Hilfe mit KI-Assistenz — und Abschnitt 9.1 — Google-Inhalte und Speicherung — ergänzt am 13.09.2026; v1 vom 08.07.2026; Abschnitt 7a — Automatische Dokumentenauswertung — ergänzt am 30.08.2026; Abschnitte 15/15a — Google Analytics und Google Ads — aufgenommen am 31.08.2026; Abschnitt 15b — Übersicht der Cookies und lokalen Speicher — ergänzt am 02.09.2026; Abschnitt 4.4 — Fehlerüberwachung — ergänzt am 04.09.2026; Abschnitte 15a/15b — Google-Ads-Conversion-Tag und Ads-Cookies — angepasst am 10.09.2026)