Datenschutzerklärung

Der Schutz Ihrer persönlichen Daten ist uns ein besonderes Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, BDSG, TDDDG). In dieser Datenschutzerklärung informieren wir Sie über die wichtigsten Aspekte der Datenverarbeitung im Rahmen unserer internen Provisions-Verwaltungs-Anwendung.

1. Verantwortlicher

My Solar Express GmbH
Im Nahnerfeld 1
49082 Osnabrück
Deutschland
Telefon: 0541 96381260
E-Mail: info@mysolarexpress.de
Vertreten durch den Geschäftsführer: Sandi Lihovic
Handelsregister: HRB 222080, Amtsgericht Osnabrück
USt-IdNr.: DE364645881

Hinweis Multi-Firma: Verantwortlicher für die Datenverarbeitung in dieser Anwendung ist die My Solar Express GmbH. Wärmepumpen- Gutschriften werden von der verbundenen My SHK Express GmbH ausgestellt; deren Registerdaten sind in dieser Erklärung noch nicht hinterlegt.

2. Datenschutzbeauftragter

Wir haben Herrn Roland Arnold Musiol als betrieblichen Datenschutzbeauftragten bestellt.

Kontakt:
Roland Arnold Musiol
c/o My Solar Express GmbH
Sachsenweg 20
59073 Hamm
E-Mail: info@mysolarexpress.de

3. Zweck der Verarbeitung

Diese Anwendung dient ausschließlich der internen Verwaltung und Bestätigung von Vertriebsprovisionen zwischen der My Solar Express GmbH und ihren Vertriebspartnern im Rahmen des Gutschriftverfahrens nach § 14 Abs. 2 Satz 2 UStG. Sie ist nicht öffentlich zugänglich; Vertriebspartner erhalten Zugriff ausschließlich über individuelle, persönliche Benutzerkonten.

4. Erhobene Daten

4.1 Stammdaten der Vertriebspartner

• Name, Anschrift, E-Mail-Adresse
• Bankverbindung (IBAN, Bankname) — ausschließlich für die Auszahlung von Provisionen
• Steuernummer und/oder Umsatzsteuer-Identifikationsnummer — gesetzlich erforderlich nach § 14 UStG
• Lieferantennummer (intern)

4.2 Provisions- und Projektdaten

• Zugeordnete Projekte (ANG-Nummer, Kunde, Volumen, Kategorie)
• Provisionsberechnung (Prozent, Betrag, ggf. Auf-/Abschläge)
• Status der Beteiligung (offen, ausstehend, bestätigt, abgelehnt, abgerechnet)
• Erstellte Gutschriften (Nummer, Zeitraum, Betrag, PDF)

4.3 Bei Bestätigung/Ablehnung von Provisionen — rechtssicherer Nachweis

Bestätigt oder lehnt ein Vertriebspartner einzelne Positionen ab, speichern wir folgende Daten als Nachweis im Sinne des Gutschriftverfahrens:

• IP-Adresse zum Zeitpunkt der Aktion
• Browser-/Geräte-Information (User-Agent)
• Zeitstempel der Aktion
• Vollständiger JSON-Snapshot der bestätigten Daten (ANG-Nr., Betrag, Prozentsatz etc.)
• SHA-256-Hash über den Snapshot (Manipulationsschutz / Integritätsbeweis)
• Begründung bei Ablehnung (im Freitext, vom Vertriebspartner eingegeben)

4.4 Hochgeladene Angebote (Angebots-Upload)

Vertriebspartner können unterschriebene Angebote als PDF oder Foto hochladen. Dabei verarbeiten wir:

• das hochgeladene Dokument mit allen Seiten und den darin enthaltenen Angaben, insbesondere Name, Anschrift und Unterschrift des Kunden, Anlagen- und Preisangaben sowie Angaben auf beigefügten Seiten (z. B. einer Vollmacht)
• Dateiname, Dateigröße, Zeitpunkt des Hochladens und den Bearbeitungsstand (in Prüfung, angenommen, abgelehnt mit Begründung, zurückgezogen)
• die von einer KI ausgelesenen Vorschlagswerte (z. B. Angebotsnummer, Beträge, Unterschriftsdatum) und ein technisches Protokoll des Auslesens (z. B. verwendetes KI-Modell, Dauer, Fehlermeldungen — ohne Personendaten)

Die ausgelesenen Werte sind nur Vorschläge für unser Back-Office. Ob und mit welchen Werten ein Projekt angelegt wird, entscheidet immer ein Mitarbeiter nach Prüfung des Dokuments; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Für einen Vorschlag zum Soll-Betrag gleicht die Anwendung die Angebotsdaten mit unserem CRM-System ab; dabei werden keine Personendaten aus dem Dokument an das CRM-System übermittelt. Für die Prüfung des Eigenlead-Bonus stellt die Anwendung im CRM-System fest, welcher Nutzer den Lead angelegt hat (Eintrag im Aktivitätenprotokoll), und sucht frühere Anfragen derselben Person; maßgeblich ist, wer den Lead angelegt hat, nicht die angegebene Lead-Quelle. Auch dieses Ergebnis ist nur ein Hinweis — über den Eigenlead-Bonus entscheidet das Back-Office. Zum KI-Dienst siehe Abschnitt 8.

5. Server-Logs / Zugriffsdaten

Bei jedem Aufruf der Anwendung werden technisch erforderliche Daten in den Server-Logs (Caddy Web-Server) erfasst: IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Browser-Information. Diese Daten werden zur Wahrung unseres berechtigten Interesses an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet und nach 30 Tagen automatisch gelöscht.

6. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Verarbeitung ist erforderlich zur Durchführung des Provisionsvertrags zwischen Vertriebspartner und My Solar Express GmbH.
• Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Verpflichtung: Aufzeichnungs- und Aufbewahrungspflichten nach § 14 Abs. 2 Satz 2 UStG (Gutschriftverfahren), § 257 HGB, § 147 AO, GoBD.
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse: Speicherung von IP-Adresse, User-Agent und Hash zur rechtssicheren Dokumentation der Bestätigung sowie zum Schutz vor Missbrauch.

7. Speicherdauer

Provisionsdaten, Gutschriften und Bestätigungs-Nachweise werden für die Dauer der gesetzlichen Aufbewahrungsfristen gespeichert: 10 Jahre gemäß § 257 Abs. 4 HGB und § 147 AO. Der Beginn der Aufbewahrungsfrist richtet sich nach dem Ende des Kalenderjahres, in dem die Buchung erfolgte. Nach Ablauf werden die Daten gelöscht oder, soweit erforderlich, anonymisiert.

Hochgeladene Angebote (Abschnitt 4.4): Nicht eingereichte Entwürfe löschen wir nach 24 Stunden automatisch. Abgelehnte und zurückgezogene Einreichungen löschen wir samt Dokumenten sechs Monate nach der Ablehnung bzw. dem Zurückziehen. Angenommene Einreichungen gehören zu den Projekt- und Provisionsunterlagen und werden wie diese für die Dauer der gesetzlichen Aufbewahrungsfristen gespeichert.

8. Empfänger und Auftragsverarbeiter

Wir setzen folgende Auftragsverarbeiter im Sinne des Art. 28 DSGVO ein:

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland — Hosting der Anwendung im Rechenzentrum Falkenstein (Sachsen). Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO liegt vor.
• Supabase — Datenbank-, Authentifizierungs- und Storage-Dienst für die Anwendung. Das Hosting erfolgt in der EU-Region Frankfurt (AWS eu-central-1). Die Verarbeitung erfolgt auf Grundlage des Supabase Data Processing Agreement (DPA). Betreiber ist die Supabase Inc., ein Unternehmen mit Sitz außerhalb der EU; für die Datenübermittlung gelten ergänzend die EU-Standardvertragsklauseln (SCC).
• Brevo (Sendinblue GmbH), Köpenicker Straße 126, 10179 Berlin, Deutschland — Versand von Transaktions- und Lifecycle-E-Mails (z. B. Bestätigungs- und Statusbenachrichtigungen). Verarbeitung innerhalb der EU.
• Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland — KI-Dienst „Claude“ zum Auslesen hochgeladener Angebote (Abschnitt 4.4). Zweck: Das Back-Office erhält Vorschlagswerte (z. B. Angebotsnummer, Beträge, Unterschriftsdatum), statt sie abzutippen. Übermittelt wird das hochgeladene Dokument mit allen darin enthaltenen Angaben. Die Anwendung löscht das Dokument bei Anthropic unmittelbar nach dem Auslesen; endgültig entfernt Anthropic gelöschte Dokumente nach seinen Aufbewahrungsregeln. Anfragen und Ergebnisse löscht Anthropic nach eigenen Angaben innerhalb von 30 Tagen. Nur wenn ein Verstoß gegen die Nutzungsrichtlinien von Anthropic vermutet wird, können sie bis zu zwei Jahre aufbewahrt werden. Nach den Geschäftsbedingungen für Geschäftskunden (Commercial Terms) darf Anthropic diese Daten nicht zum Training seiner KI-Modelle verwenden. Anthropic speichert die Daten in den USA und kann sie auch in weiteren Ländern verarbeiten (u. a. in Europa, Asien und Australien). Grundlage ist der Auftragsverarbeitungsvertrag von Anthropic (Data Processing Addendum) einschließlich der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Provisionsvertrags), für die Angaben der Kunden Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen und fehlerarmen Erfassung der Projektdaten).

Die Anwendung selbst, ihre Datenbank und die hochgeladenen Dokumente werden in der EU betrieben bzw. gespeichert (Hetzner in Falkenstein, Supabase in Frankfurt). In ein Drittland übermittelt werden Daten, wenn Anthropic ein hochgeladenes Angebot ausliest (USA, siehe oben), sowie gegebenenfalls im Rahmen des Supabase-Dienstes. Diese Übermittlungen sind durch die EU-Standardvertragsklauseln im jeweiligen Auftragsverarbeitungsvertrag (DPA) abgesichert.

9. Cookies

Diese Anwendung setzt ausschließlich technisch notwendige Cookies ein. Dazu gehört das Authentifizierungs-Session-Cookie von Supabase Auth (z. B. sb-<projekt>-auth-token) zur Speicherung der Anmelde-Session. Für Administratoren kann zusätzlich ein signiertes Cookie zur „Portal-Ansicht“ (View-As) gesetzt werden. Es werden keine Tracking-, Marketing- oder Analyse-Cookies eingesetzt. Eine Einwilligung ist daher nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

10. SSL/TLS-Verschlüsselung

Diese Anwendung verwendet aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung (Let's Encrypt, mind. TLS 1.2). Sie erkennen eine verschlüsselte Verbindung am „https://“ in der Adresszeile Ihres Browsers sowie am Schloss-Symbol. Bestätigungs-Snapshots werden zusätzlich mit einem kryptografischen SHA-256-Hash gesichert, um nachträgliche Änderungen an gespeicherten Daten ausschließen zu können.

11. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten
• Löschung (Art. 17 DSGVO) — soweit gesetzliche Aufbewahrungsfristen dem nicht entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) in einem strukturierten, gängigen, maschinenlesbaren Format
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen richten Sie bitte an: info@mysolarexpress.de oder an unseren Datenschutzbeauftragten (Adresse siehe Abschnitt 2).

12. Zuständige Aufsichtsbehörde

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44, 40102 Düsseldorf
Kavalleriestraße 2-4, 40213 Düsseldorf
Telefon: 02 11/384 24-0
E-Mail: poststelle@ldi.nrw.de
Web: https://www.ldi.nrw.de

13. Gültigkeit und Änderungen

Diese Datenschutzerklärung ist gültig ab Oktober 2026. Änderungen behalten wir uns vor, sofern sich die Rechtslage oder die Datenverarbeitung im Rahmen der Anwendung ändert. Die jeweils aktuelle Version ist über diese Seite jederzeit abrufbar.