Datenschutzerklärung

Stand: Juni 2026 — gilt für die Provisions-Verwaltungs-Anwendung

Der Schutz Ihrer persönlichen Daten ist uns ein besonderes Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, BDSG, TDDDG). In dieser Datenschutzerklärung informieren wir Sie über die wichtigsten Aspekte der Datenverarbeitung im Rahmen unserer internen Provisions-Verwaltungs-Anwendung.

1. Verantwortlicher

My Solar Express GmbH
Im Nahnerfeld 1
49082 Osnabrück
Deutschland
Telefon: 0541 96381260
E-Mail: info@mysolarexpress.de
Vertreten durch den Geschäftsführer: Sandi Lihovic
Handelsregister: HRB 222080, Amtsgericht Osnabrück
USt-IdNr.: DE364645881

Hinweis Multi-Firma: Verantwortlicher für die Datenverarbeitung in dieser Anwendung ist die My Solar Express GmbH. Wärmepumpen- Gutschriften werden von der verbundenen My SHK Express GmbH ausgestellt; deren Registerdaten sind in dieser Erklärung noch nicht hinterlegt.

2. Datenschutzbeauftragter

Wir haben Herrn Roland Arnold Musiol als betrieblichen Datenschutzbeauftragten bestellt.

Kontakt:
Roland Arnold Musiol
c/o My Solar Express GmbH
Sachsenweg 20
59073 Hamm
E-Mail: info@mysolarexpress.de

3. Zweck der Verarbeitung

Diese Anwendung dient ausschließlich der internen Verwaltung und Bestätigung von Vertriebsprovisionen zwischen der My Solar Express GmbH und ihren Vertriebspartnern im Rahmen des Gutschriftverfahrens nach § 14 Abs. 2 Satz 2 UStG. Sie ist nicht öffentlich zugänglich; Vertriebspartner erhalten Zugriff ausschließlich über individuelle, persönliche Benutzerkonten.

4. Erhobene Daten

4.1 Stammdaten der Vertriebspartner

• Name, Anschrift, E-Mail-Adresse
• Bankverbindung (IBAN, Bankname) — ausschließlich für die Auszahlung von Provisionen
• Steuernummer und/oder Umsatzsteuer-Identifikationsnummer — gesetzlich erforderlich nach § 14 UStG
• Lieferantennummer (intern)

4.2 Provisions- und Projektdaten

• Zugeordnete Projekte (ANG-Nummer, Kunde, Volumen, Kategorie)
• Provisionsberechnung (Prozent, Betrag, ggf. Auf-/Abschläge)
• Status der Beteiligung (offen, ausstehend, bestätigt, abgelehnt, abgerechnet)
• Erstellte Gutschriften (Nummer, Zeitraum, Betrag, PDF)

4.3 Bei Bestätigung/Ablehnung von Provisionen — rechtssicherer Nachweis

Bestätigt oder lehnt ein Vertriebspartner einzelne Positionen ab, speichern wir folgende Daten als Nachweis im Sinne des Gutschriftverfahrens:

• IP-Adresse zum Zeitpunkt der Aktion
• Browser-/Geräte-Information (User-Agent)
• Zeitstempel der Aktion
• Vollständiger JSON-Snapshot der bestätigten Daten (ANG-Nr., Betrag, Prozentsatz etc.)
• SHA-256-Hash über den Snapshot (Manipulationsschutz / Integritätsbeweis)
• Begründung bei Ablehnung (im Freitext, vom Vertriebspartner eingegeben)

5. Server-Logs / Zugriffsdaten

Bei jedem Aufruf der Anwendung werden technisch erforderliche Daten in den Server-Logs (Caddy Web-Server) erfasst: IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Browser-Information. Diese Daten werden zur Wahrung unseres berechtigten Interesses an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet und nach 30 Tagen automatisch gelöscht.

6. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Verarbeitung ist erforderlich zur Durchführung des Provisionsvertrags zwischen Vertriebspartner und My Solar Express GmbH.
• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Verpflichtung: Aufzeichnungs- und Aufbewahrungspflichten nach § 14 Abs. 2 Satz 2 UStG (Gutschriftverfahren), § 257 HGB, § 147 AO, GoBD.
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse: Speicherung von IP-Adresse, User-Agent und Hash zur rechtssicheren Dokumentation der Bestätigung sowie zum Schutz vor Missbrauch.

7. Speicherdauer

Provisionsdaten, Gutschriften und Bestätigungs-Nachweise werden für die Dauer der gesetzlichen Aufbewahrungsfristen gespeichert: 10 Jahre gemäß § 257 Abs. 4 HGB und § 147 AO. Der Beginn der Aufbewahrungsfrist richtet sich nach dem Ende des Kalenderjahres, in dem die Buchung erfolgte. Nach Ablauf werden die Daten gelöscht oder, soweit erforderlich, anonymisiert.

8. Empfänger und Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter im Sinne des Art. 28 DSGVO ein:

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland — Hosting der Anwendung im Rechenzentrum Falkenstein (Sachsen). Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO liegt vor.
• Supabase — Datenbank-, Authentifizierungs- und Storage-Dienst für die Anwendung. Das Hosting erfolgt in der EU-Region Frankfurt (AWS eu-central-1). Die Verarbeitung erfolgt auf Grundlage des Supabase Data Processing Agreement (DPA). Betreiber ist die Supabase Inc., ein Unternehmen mit Sitz außerhalb der EU; für die Datenübermittlung gelten ergänzend die EU-Standardvertragsklauseln (SCC).
• Brevo (Sendinblue GmbH), Köpenicker Straße 126, 10179 Berlin, Deutschland — Versand von Transaktions- und Lifecycle-E-Mails (z. B. Bestätigungs- und Statusbenachrichtigungen). Verarbeitung innerhalb der EU.

Die Provisions-Anwendung wird innerhalb der EU betrieben. Soweit eine Übermittlung an ein Drittland (insbesondere im Rahmen des Supabase-Dienstes) erfolgt, ist diese durch die EU-Standardvertragsklauseln und das jeweilige DPA abgesichert.

9. Cookies

Diese Anwendung setzt ausschließlich technisch notwendige Cookies ein. Dazu gehört das Authentifizierungs-Session-Cookie von Supabase Auth (z. B. sb-<projekt>-auth-token) zur Speicherung der Anmelde-Session. Für Administratoren kann zusätzlich ein signiertes Cookie zur „Portal-Ansicht“ (View-As) gesetzt werden. Es werden keine Tracking-, Marketing- oder Analyse-Cookies eingesetzt. Eine Einwilligung ist daher nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

10. SSL/TLS-Verschlüsselung

Diese Anwendung verwendet aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung (Let's Encrypt, mind. TLS 1.2). Sie erkennen eine verschlüsselte Verbindung am „https://“ in der Adresszeile Ihres Browsers sowie am Schloss-Symbol. Bestätigungs-Snapshots werden zusätzlich mit einem kryptografischen SHA-256-Hash gesichert, um nachträgliche Änderungen an gespeicherten Daten ausschließen zu können.

11. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten
• Löschung (Art. 17 DSGVO) — soweit gesetzliche Aufbewahrungsfristen dem nicht entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) in einem strukturierten, gängigen, maschinenlesbaren Format
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen richten Sie bitte an: info@mysolarexpress.de oder an unseren Datenschutzbeauftragten (Adresse siehe Abschnitt 2).

12. Zuständige Aufsichtsbehörde

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44, 40102 Düsseldorf
Kavalleriestraße 2-4, 40213 Düsseldorf
Telefon: 02 11/384 24-0
E-Mail: poststelle@ldi.nrw.de
Web: https://www.ldi.nrw.de

13. Gültigkeit und Änderungen

Diese Datenschutzerklärung ist gültig ab Juni 2026. Änderungen behalten wir uns vor, sofern sich die Rechtslage oder die Datenverarbeitung im Rahmen der Anwendung ändert. Die jeweils aktuelle Version ist über diese Seite jederzeit abrufbar.