Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

EnergyIQ GmbH
Opernplatz 14, 60313 Frankfurt am Main
Vertreten durch den Geschäftsführer Pascal Kober
Amtsgericht Frankfurt am Main, HRB 142673
Telefon: 069 34877432
E-Mail: [email protected]

Diese Datenschutzerklärung gilt für unsere Websites, das EnergyIQ-Cockpit und unsere Leistungen. Soweit wir Daten im Auftrag eines Kunden oder Vertriebspartners verarbeiten, ist dieser verantwortlich (siehe „Zusammenarbeit mit Vertriebspartnern“).

2. Potenzialprüfung und Durchführung unserer Leistungen

Wir verarbeiten Kontakt- und Unternehmensangaben, Lieferstellen-, Zähler- und Verbrauchsdaten, Energieverträge und Rechnungen sowie daraus ausgelesene Werte. Für beauftragte Verfahren kommen insbesondere Antragsangaben, Steuernummern, Bankverbindungen, Vollmachten und Unterschriften hinzu. Die Daten erhalten wir von Ihnen, von Personen Ihres Unternehmens, von einem Sie betreuenden Vertriebspartner oder aus den unter „Unternehmensrecherche“ genannten Quellen.

Zweck ist die Prüfung von Entlastungs- und Erstattungsmöglichkeiten, die Durchführung beauftragter Verfahren sowie Kommunikation und Abrechnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie selbst Vertragspartei sind. Bei Ansprechpartnern und Vertretern von Unternehmen ist es Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Anbahnung und Durchführung der Geschäftsbeziehung. Gesetzlich vorgeschriebene Verarbeitungen erfolgen nach Art. 6 Abs. 1 lit. c DSGVO. Ohne die erforderlichen Angaben können wir die jeweilige Leistung nicht erbringen.

Unsere Auswertungen erfolgen softwaregestützt, teilweise mit künstlicher Intelligenz, und liefern Einschätzungen; über Anträge entscheiden die zuständigen Stellen. Liegt das geschätzte Potenzial unter einer Mindesthöhe, kann ein Angebot ausbleiben. Fragen zu Ihrer Einschätzung richten Sie an [email protected].

3. Benutzerkonten und Berechtigungen

Für Benutzerkonten verarbeiten wir insbesondere Name, E-Mail-Adresse, Unternehmenszuordnung, Rollen, Berechtigungen und Anmeldeprotokolle, bei Passwortanmeldung einen Passwort-Hash und bei Anmeldung über Google die dafür freigegebenen Profildaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Nutzern, die für ein Unternehmen handeln, Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bereitstellung und Absicherung des Zugangs. Freigaben und Berechtigungsänderungen protokollieren wir zur Sicherheit und Nachvollziehbarkeit (Art. 6 Abs. 1 lit. f DSGVO, bei gesetzlichen Nachweispflichten lit. c).

4. Zusammenarbeit mit Vertriebspartnern

Vertriebspartner können uns Kundenunterlagen zur Potenzialprüfung bereitstellen. Erfolgt die Prüfung als Auftragsverarbeitung, verarbeiten wir die Unterlagen nach den Weisungen des Partners; verantwortlich ist dann der Partner, und es gelten seine Datenschutzhinweise. Eine spätere Beauftragung von EnergyIQ und die Weiterverwendung der Unterlagen werden gesondert geregelt.

Berechtigte Partnernutzer sehen im Cockpit Bearbeitungsstände, Potenziale und Abrechnungsinformationen der ihnen zugeordneten Kunden, je nach Betreuungsrechten auch Stammdaten und Kundenunterlagen einschließlich ihrer Bearbeitung. Soweit EnergyIQ hierfür selbst verantwortlich ist, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen sind die abgestimmte Kundenbetreuung und die Abrechnung der Vermittlung.

5. Unternehmensrecherche

Für Potenzialschätzungen und die Vorbereitung einer geschäftlichen Ansprache durch uns oder einen Vertriebspartner verarbeiten wir Unternehmensinformationen wie Firmenname, Anschrift, Branche, Vertretungsberechtigte und geschäftliche Kontaktdaten. Quellen sind öffentliche Register und Websites, handelsregister.ai der Fusionbase GmbH und Recherchen mit Anthropic, je nach Funktion ergänzt um Informationen von Creditsafe und Leadfeeder. Ergebnisse können für spätere Anfragen zum selben Unternehmen wiederverwendet und dem anfragenden Vertriebspartner bereitgestellt werden. Soweit personenbezogene Daten betroffen sind, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Unternehmen mit möglichen Entlastungspotenzialen zu finden und geschäftliche Kontakte vorzubereiten.

6. Websitebetrieb und Reichweitenmessung

Beim Aufruf unserer Websites verarbeiten wir IP-Adresse, Zeitpunkt, aufgerufene und verweisende Seite sowie Browser- und Geräteangaben, um die Seiten auszuliefern und sicher zu betreiben (Art. 6 Abs. 1 lit. f DSGVO). Unbedingt erforderliche Speicherungen auf Ihrem Endgerät, etwa für die Anmeldung oder Ihre Cookie-Auswahl, erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG.

Mit Ihrer Einwilligung für Statistik erfassen wir Seitenaufrufe und die Nutzung unserer Websites und des Cockpits in unserem eigenen Ereignisprotokoll. Dazu zählen Klicks, sichtbare Seitenabschnitte, Tabellen und Diagramme, geöffnete und geschlossene Dialoge, der Beginn und Abschluss von Formularfeldern sowie Ergebnisse von Rechnern und Uploads. Eingaben, Passwörter, Einmalcodes, Suchbegriffe, Dateinamen und Dokumentinhalte werden nicht erfasst. Seitenadressen enthalten nur gekürzte Routenvorlagen ohne Firmen- oder Personenkennungen und ohne URL-Parameter. In unserem Ereignisprotokoll und bei Plausible werden Beträge und Verbrauch nur als Größenklassen erfasst.

Diese Nutzungsereignisse speichern wir in einem eigenen Ereignisprotokoll in unserer Datenbank bei unserem Hosting-Anbieter Railway. Gespeichert werden die Art und der Zeitpunkt des Ereignisses, seine Merkmale (etwa die angeklickte Schaltfläche, der geöffnete Dialog, die Seitenvariante, die Branche als zweistellige WZ-Abteilung oder eine Größenklasse), die gekürzte Seitenvorlage, der Bereich der Website oder des Cockpits, der Gerätetyp (Desktop oder Mobilgerät, ermittelt aus der Fensterbreite), der Kanal Ihres ersten Besuchs, im Cockpit die Art Ihres Zugangs (Kunde, Partner oder EnergyIQ) und Ihre Rolle, ob es sich um einen internen Besuch (unser Team, Test- oder Demokonten) handelt, eine pseudonyme Besuchskennung, die sich mit jedem Besuch und jedem Tag ändert, sowie ein mit einem geheimen Schlüssel gebildeter Prüfwert Ihrer Einwilligungsbelegkennung, der für diesen Browser gleich bleibt und mit dem wir Ihre Ereignisse bei einem Widerruf finden und löschen. IP-Adressen, Browserkennungen, Namen, E-Mail-Adressen sowie Konto- und Unternehmenskennungen speichern wir dort nicht. Einzelne Ereignisse löschen wir nach 60 Tagen; danach bleiben nur zusammengefasste Auswertungen mit Anzahlen und Dauern ohne Besucher- oder Sitzungskennungen erhalten, die wir spätestens zwölf Monate nach ihrer Erstellung löschen. Widerrufen Sie Ihre Statistikeinwilligung, löschen wir die bis dahin unter der Einwilligungsbelegkennung dieses Browsers gespeicherten Ereignisse; Ereignisse unter einer früheren Kennung, etwa nach dem Löschen der Browserdaten, sowie bereits erstellte zusammengefasste Auswertungen bleiben bis zum Ablauf der genannten Fristen bestehen.

Unabhängig von Ihrer Auswahl für optionale Cookies übermitteln wir Seitenaufrufe und ausgewählte Ereignisse, etwa Rechnerergebnisse, Klicks auf zentrale Schaltflächen wie Antragsstart, Terminbuchung und Kontakt, Kontoanlagen, Rechnungsuploads, Unterschriften und Zahlungen, zusammen mit Seitenbereich, Seitenvariante, Kanal und Art des Zugangs an Plausible Analytics der Plausible Insights OÜ, Estland. Plausible verwendet für diese Messung keine Cookies oder dauerhaften Browserkennungen. Plausible erfasst dabei zusätzlich Verweildauer und Scrolltiefe.

Mit Ihrer Statistikeinwilligung speichern wir für die Zuordnung der Ereignisse in unserem eigenen Protokoll zu einem Besuch eine zufällige Besuchskennung im Sitzungsspeicher Ihres Browsers; sie endet mit dem Tab, nach 30 Minuten ohne Aktivität oder mit dem Tageswechsel. Kanal und gekürzte Einstiegsseite Ihres ersten Besuchs sowie eine pseudonyme Sitzungskennung für den Antragsablauf speichern wir ohne festes Ablaufdatum im Browser, bis Sie die Einwilligung widerrufen. Bei Anlage eines Unternehmens speichern wir den Kanal und die gekürzte Einstiegsseite als Akquisequelle. Im Protokoll unseres Antragsablaufs speichern wir die Schritte vom Rechner bis zur Vollmacht mit dem errechneten Erstattungsbetrag und dem Verbrauch; nach Beginn eines Antrags ist es mit diesem verknüpft. Wir löschen es nach 90 Tagen. Einträge ab dem 7. Oktober 2026 enthalten weder IP-Hash noch Browserangaben; ältere Einträge enthalten zusätzlich einen Hash der IP-Adresse, Browserangaben und die verweisende Seite. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Ohne Statistikeinwilligung bleiben unsere eigenen Ereignisprotokolle und die in diesem Absatz beschriebenen Browserspeicherungen deaktiviert.

7. Statistik und Marketing mit Einwilligung

Weitere Dienste setzen wir nur mit Ihrer Einwilligung ein. In den Cookie-Einstellungen entscheiden Sie getrennt nach Zweck:

• Statistik: Unser eigenes Ereignisprotokoll (siehe „Websitebetrieb und Reichweitenmessung“). Google Analytics 4 der Google Ireland Limited setzt sowohl Statistik- als auch Marketing-Einwilligung voraus. Sitzungsaufzeichnungen sind deaktiviert. Außerdem speichern wir die pseudonyme Sitzungskennung für den Antragsablauf und den Kanal Ihres ersten Besuchs über den Seitenbesuch hinaus im Browser.
• Marketing: Google Ads der Google Ireland Limited, das Meta-Pixel der Meta Platforms Ireland Limited. Sie dienen der Auswertung unserer Anzeigen. Diese Dienste laden wir nur auf öffentlichen Seiten, nicht im Kunden- oder Partnerportal. Leadfeeder ist für die Website-Messung deaktiviert. Google-Ads-Klickkennungen können wir mit Ihrer Anfrage und einer zufälligen Einwilligungsbelegkennung verknüpfen. Vor jeder serverseitigen Übermittlung prüfen wir die aktuelle Marketingeinwilligung; Kennungen werden nach 90 Tagen gelöscht.

Verarbeitet werden insbesondere Kennungen, IP- und Geräteangaben, Seitenaufrufe und Ereignisse. Seitenadressen übermitteln wir gekürzt, ohne Firmennamen, Kennungen oder Zugangsschlüssel. Verbrauchs- und Erstattungsangaben erhalten Google und Meta nur als Größenklassen, Serverseitige Google-Ads-Konversionen können bei nachgewiesener Marketingeinwilligung den Konversionswert enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Ihre Einwilligung können Sie jederzeit über die Cookie-Einstellungen für jeden Zweck einzeln mit Wirkung für die Zukunft widerrufen.

Zum Nachweis Ihrer Entscheidung speichern wir eine zufällige Belegkennung, die Version der Cookie-Einstellungen, die gewählten Zwecke und den Zeitpunkt, ohne IP-Adresse, Browserangaben oder Nutzerkonto. Die Belege löschen wir nach drei Jahren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

8. Fehleranalyse und Terminbuchung

Zur Erkennung und Behebung technischer Fehler verwenden wir Sentry der Functional Software, Inc., USA, und New Relic, Inc., USA. Verarbeitet werden Fehler- und Leistungsdaten, die Nutzerkennungen, IP-Adressen sowie Browser- und Geräteangaben enthalten können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und funktionsfähiger Betrieb. Aufzeichnungen von Sitzungsabläufen durch Sentry sind deaktiviert.

Auf einzelnen Seiten ist ein Terminkalender von Cal.com, Inc., USA, eingebunden. Er wird erst geladen, wenn Sie auf „Kalender laden“ klicken; dabei werden IP-Adresse, Browser- und Geräteangaben sowie die aufgerufene Seite an Cal.com übertragen. Für das Laden der optionalen Einbettung ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und §25 Abs. 1 TDDDG erforderlich. Mit „Kalender schließen“ beenden Sie sie; die Seite wird neu geladen. Bei jedem Besuch ist eine neue Freigabe erforderlich. Bei einer Buchung verarbeiten wir Name, E-Mail-Adresse, Termin und Ihre Angaben zum Anliegen (Art. 6 Abs. 1 lit. b DSGVO, bei Unternehmensvertretern lit. f). Alternativ erreichen Sie uns per E-Mail oder Telefon.

9. Dienstleister und weitere Empfänger

• Anthropic, PBC: Auslesen und Auswertung von Unterlagen sowie Unternehmensrecherche über die kommerzielle Schnittstelle. Dabei können vollständige Dokumentinhalte übermittelt und in den USA verarbeitet werden. Die Daten werden standardmäßig nicht zum Modelltraining verwendet; Ein- und Ausgaben werden grundsätzlich innerhalb von 30 Tagen gelöscht, vorbehaltlich gesetzlicher oder sicherheitsbedingter Ausnahmen.
• Railway (Hosting), Cloudflare (Netzwerk, Auslieferung und Schutz), Twilio SendGrid (E-Mail-Versand).
• IT-Dienstleister für Softwareentwicklung, Wartung und technischen Betrieb mit Sitz in der EU, die im Rahmen ihrer Tätigkeit administrativen Zugriff auf personenbezogene Daten erhalten können.
• die unter „Unternehmensrecherche“, „Websitebetrieb und Reichweitenmessung“, „Statistik und Marketing mit Einwilligung“ sowie „Fehleranalyse und Terminbuchung“ genannten Anbieter.

Dienstleister, die in unserem Auftrag tätig sind, sind als Auftragsverarbeiter gebunden. Für beauftragte Verfahren übermitteln wir die erforderlichen Daten außerdem an zuständige Behörden, Netz- und Messstellenbetreiber, Lieferanten sowie mandatierte Kanzleien und Wirtschaftsprüfungsgesellschaften. Eigenständig verantwortliche Empfänger informieren über ihre Verarbeitung gesondert.

10. Datenübermittlung in Drittländer

Bei US-Anbietern und internationalen Unternehmensgruppen können Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, auch bei Support- und Administrationszugriffen. Wir stützen solche Übermittlungen auf das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, oder auf EU-Standardvertragsklauseln. Eine Kopie der Garantien erhalten Sie unter [email protected].

11. Speicherdauer

Wir speichern personenbezogene Daten, solange der jeweilige Zweck es erfordert:

• Anfragen und Potenzialprüfungen: bis zum Abschluss der Bearbeitung, sofern keine Zusammenarbeit folgt.
• Partner-Prüfphase als Auftragsverarbeitung: nach den mit dem Partner vereinbarten Löschfristen.
• Benutzerkonten: für die Dauer des Zugangs, danach nur, soweit für offene Vorgänge oder gesetzliche Pflichten erforderlich.
• Beauftragte Verfahren und Abrechnung: für die Dauer der Bearbeitung, danach entsprechend den gesetzlichen Aufbewahrungspflichten.
• Technische Protokolle und Rechercheergebnisse: solange sie für Fehlerklärung, Sicherheit oder den Recherchezweck erforderlich sind.
• Nutzungsstatistik: einzelne Ereignisse 60 Tage, zusammengefasste Auswertungen ohne Besucher- oder Sitzungskennungen bis zu zwölf Monate nach ihrer Erstellung, Protokoll des Antragsablaufs 90 Tage.

Zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen können wir Daten bis zum Ablauf der Verjährungsfristen oder bis zum Abschluss eines Rechtsstreits aufbewahren.

12. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht: Einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen. Einer Verarbeitung für Direktwerbung einschließlich eines damit verbundenen Profilings können Sie jederzeit ohne Begründung widersprechen.

Wenden Sie sich hierzu an [email protected]. Betrifft Ihre Anfrage eine Verarbeitung im Auftrag eines Kunden oder Vertriebspartners, unterstützen wir den Verantwortlichen bei der Bearbeitung. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für EnergyIQ zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wilhelmstraße 7, 65185 Wiesbaden, https://datenschutz.hessen.de.