Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten Solar Client (solarclient.de) verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange, wer sie erhält und welche Rechte Sie haben. Sie ist für die Plattform geschrieben, wie sie tatsächlich funktioniert: Kundinnen und Kunden veröffentlichen eine Anfrage für eine Solar-Dienstleistung, geprüfte Fachbetriebe geben Angebote ab, und beide Seiten schließen den Vertrag untereinander. Sie gilt für die Website, das Kunden-, Firmen- und Verwaltungspanel, unsere E-Mails und die (künftige) mobile App, die dieselben Konten und Daten nutzt.

1. Verantwortlicher und Kontakt

⟨Betreibername — in den Einstellungen einzutragen⟩
⟨Betreiberanschrift — in den Einstellungen einzutragen⟩
Vertreten durch: ⟨Vertretungsberechtigte(r) — in den Einstellungen einzutragen⟩
Handelsregister: ⟨Handelsregister / Registernummer — in den Einstellungen einzutragen⟩ · USt-IdNr.: ⟨USt-IdNr. — in den Einstellungen einzutragen⟩

Datenschutzkontakt: datenschutz@solarclient.de · Datenschutzbeauftragte(r): ⟨Datenschutzbeauftragte(r) — in den Einstellungen einzutragen⟩
Allgemeiner Support: info@solarclient.de

Zuständige Aufsichtsbehörde: ⟨zuständige Datenschutzaufsichtsbehörde — in den Einstellungen einzutragen⟩. Sie können sich jederzeit bei dieser oder jeder anderen EU-Aufsichtsbehörde beschweren.

2. Wer wofür verantwortlich ist

Solar Client ist ein Marktplatz. Wir bringen eine Person, die eine Solar-Dienstleistung benötigt (die Kundin / der Kunde), mit Betrieben zusammen, die sie anbieten (die Firmen). Wir führen die Arbeiten nicht aus und sind nicht Partei des Vertrags zwischen Kunde und Firma.

• Für alles, was auf der Plattform geschieht (Konten, Anfragen, Zuordnung, Angebote, Nachrichten, Termine, Auftragsverfolgung, Bewertungen, Mitgliedschaften, Rechnungen, Sicherheit und Moderation), sind wir Verantwortliche.
• Sobald ein Kunde ein Angebot annimmt und die Kontaktdaten freigegeben werden, wird die Firma eigenständige Verantwortliche für ihre weitere Verarbeitung (Besichtigung, Ausführung, eigene Rechnung und Buchhaltung). Die Firma ist durch unsere Anbieterbedingungen verpflichtet, die Daten nur für diesen Auftrag zu nutzen, vertraulich zu behandeln und die DSGVO selbst einzuhalten.
• Kundinnen und Kunden, die eine Anfrage stellen, handeln privat und sind keine Verantwortlichen.

3. Welche Daten wir verarbeiten, woher sie stammen und wozu

3.1 Konto (Kunden und Firmen)

Daten: Vor- und Nachname, E-Mail-Adresse, Passwort (nur als bcrypt-Hash gespeichert), Telefon, Land, Region, Postleitzahl, Straße, bevorzugte Sprache, Zeitzone, Kontotyp, Status, Datum und Version der akzeptierten Bedingungen, Zwei-Faktor-Einstellung, IP-Adresse und Zeitpunkt der Registrierung, letzter Login mit IP, Zeitpunkt der letzten Aktivität.
Quelle: Sie, bei Registrierung und im Profil.
Zweck: Bereitstellung des Kontos, Anmeldung, Versand von Service-E-Mails (Bestätigungscode, Zwei-Faktor-Code, Passwort-Reset, Benachrichtigungen), Ortsbestimmung für die Zuordnung, Missbrauchsabwehr.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchsabwehr – unser berechtigtes Interesse an einem vertrauenswürdigen Marktplatz).

3.2 Anfragen (Kunden)

Daten: gewählte Leistung und Unterleistung, Antworten auf die kategoriespezifischen Fragen (z. B. Dachtyp, Anlagengröße, Modulzahl, Zeitrahmen, Budgetrahmen), Freitextbeschreibung, hochgeladene Fotos und Dokumente, Postleitzahl, Region, Straße, aus der PLZ abgeleitete ungefähre Koordinaten, Anfragenummer, Status und Daten.
Zweck: Zuordnung der Anfrage zu passenden Firmen und Ermöglichung von Angeboten; Dokumentation.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Was Firmen vor Ihrer Annahme eines Angebots sehen: die Leistungsdetails, die Antworten, die Beschreibung, die Fotos, Ihre Postleitzahl und Region sowie Ihren Namen nur als Initialen (außer Sie haben im Profil „vollen Namen anzeigen“ aktiviert). Straße, Telefonnummer und E-Mail werden in diesem Stadium nicht angezeigt.
Was die Firma sieht, deren Angebot Sie annehmen: vollständiger Name, Straße, Telefon und E-Mail, damit sie den Auftrag ausführen kann. Diese Freigabe wird protokolliert.
Bitte schreiben Sie keine Kontaktdaten in die Freitextbeschreibung; die Plattform weist Beschreibungen mit Telefonnummern oder E-Mail-Adressen zu Ihrem Schutz zurück.

3.3 Zuordnung (Matching)

Bei Veröffentlichung einer Anfrage ermittelt die Plattform automatisch, welche Firmen sie sehen dürfen. Kriterien: die Leistungskategorie und der Anlagentyp, für die die Firma registriert ist; das Einsatzgebiet der Firma (PLZ-Präfixe oder Radius um eine Basis-PLZ) im Vergleich zur Anfrage-PLZ; ob die Firma die für diese Kategorie in diesem Land gesetzlich erforderlichen Nachweise hält; ob ihre Mitgliedschaft aktiv ist; ob sie geprüft und zugelassen wurde. Zugeordnete Firmen werden benachrichtigt. Es handelt sich um eine automatisierte Auswahl der Empfänger; sie entfaltet Ihnen gegenüber keine rechtliche Wirkung und bewertet Sie nicht als Person, sodass Art. 22 DSGVO nicht einschlägig ist. In der Anfrageliste der Firmen werden Anfragen nach Veröffentlichungsdatum sortiert; Anfragen von Kunden, die einen Werbekampagnen-Code genutzt haben, erscheinen zeitlich befristet zuerst („hervorgehoben“/„Priorität“). Keine Firma kann bezahlen, um Ihre Anfrage früher zu sehen.

3.4 Angebote, Verträge, Termine und Auftragsverfolgung

Daten: Angebotsinhalt (Preis, Umfang, Bedingungen, Gültigkeit), Ihre Entscheidungen (Merkliste, Annahme), der bei Annahme erzeugte Dienstleistungsvertrag (Text mit Ihrem Namen, der Auftragsadresse, den Firmendaten und dem Angebot; mit Prüfsumme gespeichert, damit er nicht unbemerkt geändert werden kann), Ihre Annahme (Name, Zeitstempel, IP-Adresse), Widerrufsinformationen und ggf. Ihre Bestätigung zum vorzeitigen Beginn, Termine, Zugangshinweise, Auftragsphasen und von der Firma hochgeladene Fotos, Endbetrag.
Zweck: Zustandekommen, Dokumentation und Durchführung der Vereinbarung zwischen Ihnen und der Firma; Beweis im Streitfall.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung des Vertragstexts nach Art. 6 Abs. 1 lit. c und f DSGVO (gesetzliche Aufbewahrung, Beweissicherung).

3.5 Nachrichten

Daten: Text der Nachrichten zwischen Kunde und Firma, Anhänge, Sende- und Lesezeitpunkt, Sprache, und – nur wenn ein Administrator während eines Support-Zugriffs in Ihrem Konto geschrieben hat – eine entsprechende Kennzeichnung.
Zweck: Kommunikation beider Seiten über Anfrage und Auftrag.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Automatische Übersetzung: Weicht die Sprache des Lesers von der des Schreibers ab, wird der Nachrichtentext an die DeepL SE (Köln) zur Übersetzung gesendet; die Übersetzung wird neben dem Original zwischengespeichert. DeepL handelt als unser Auftragsverarbeiter (Art. 28 DSGVO), verarbeitet den Text nur zur Rückgabe der Übersetzung und nutzt ihn nicht zum Training. Nachrichtentexte, Vorschauen und Übersetzungen werden in unserer Datenbank verschlüsselt gespeichert (siehe Abschnitt 8).

3.6 Firmenprüfung (KYB)

Daten: Firmenname, Handelsname, Rechtsform, Geschäftsadresse, Handelsregisternummer und -gericht, USt-IdNr. und Steuernummer, Gründungsjahr, Mitarbeiterklasse, Ansprechperson mit Funktion, Geschäfts- und Mobiltelefon, Geschäfts-E-Mail, Website, bediente Kategorien und Anlagentypen, Einsatzgebiete, Nachweise und Zertifikate mit Gültigkeit, hochgeladene Dokumente (Registerauszug, Gewerbeanmeldung, Versicherung, Zertifikate) mit Datei-Prüfsumme, Prüfergebnisse, Teammitglieder (Name, Funktion, Foto, E-Mail, Telefon, Panel-Berechtigungen), Logo, Titelbild, Referenzfotos, Katalogdateien, Beiträge und Produkte.
Zweck: Zulassung nur echter, lizenzierter Betriebe (Art. 30 Digital Services Act – Rückverfolgbarkeit von Unternehmern), öffentliches Firmenprofil, Betrieb des Firmenpanels.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbietervertrag) und Art. 6 Abs. 1 lit. c DSGVO (DSA Art. 30). USt-IdNrn. werden über den VIES-Dienst der Europäischen Kommission geprüft; übermittelt werden nur Nummer und Land.
Öffentliches Profil: Firmenname, Adresse, Registernummer und Geschäfts-E-Mail werden angemeldeten Nutzern angezeigt, weil der DSA die Identifizierbarkeit von Unternehmern verlangt. Die Firma wählt im Profil, ob Telefon, Mobil, Team, Zertifikate, Referenzen und Katalog öffentlich, nur für Follower oder privat sind.

3.7 Mitgliedschaften, Zahlungen und Rechnungen (Firmen)

Daten: gewähltes Paket, Laufzeit, Preis, USt, Zahlungsreferenz, von Ihnen eingegebene Überweisungsdaten (Name des Auftraggebers, Überweisungsdatum, letzte vier Stellen der IBAN), hochgeladener Beleg, Prüfentscheidung, Rechnungsdaten (Nummer, Daten, Beträge, USt-Behandlung, Empfänger), XRechnung-XML, Mitgliedschaftsvertrag und Ihre elektronische Annahme (Name, Zeitstempel, IP).
Zweck: Verkauf und Verwaltung der Mitgliedschaft, Rechnungsstellung, Buchführung, steuerliche Pflichten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (§ 14 UStG, §§ 146–147 AO, § 257 HGB). Wir betreiben keine Karten- oder Lastschriftzahlung; Zahlungen erfolgen per Überweisung. Ihre vollständige IBAN wird nie gespeichert; der Beleg liegt in einem geschützten Speicher, jeder Zugriff eines Administrators wird protokolliert.

3.8 Bewertungen

Daten: Sterne, Titel und Text Ihrer Bewertung eines abgeschlossenen Auftrags, Antwort der Firma, Ihre Initialen (oder voller Name, falls gewählt), Avatar, Ort, Datum, Moderationsstatus.
Zweck: Einschätzung der Firmen durch andere Kunden; DSA-konforme Moderation.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Bewertungen sind nur nach einem auf der Plattform als abgeschlossen markierten Auftrag möglich und werden nach Moderation veröffentlicht.

3.9 Benachrichtigungen, E-Mail und Push

Daten: In-App-Benachrichtigungen (Typ, Kurztext, Link, Lesestatus), Ihre Benachrichtigungseinstellungen, E-Mail-Versand und – nur für die mobile App – der registrierte Push-Token des Geräts.
Zweck: Information über Angebote, Nachrichten, Termine, Auftragsphasen, Vertragsschritte, Moderationsentscheidungen und Ablauf der Mitgliedschaft.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Nicht zwingende Benachrichtigungen können Sie einzeln abschalten. Push-Nachrichten der App werden über Firebase Cloud Messaging (Google Ireland Ltd.) zugestellt; übermittelt werden Push-Token, ein kurzer Titel und Text. Google kann diese Daten in den USA verarbeiten – geschützt durch das EU-US Data Privacy Framework und Standardvertragsklauseln. Ohne registriertes Gerät gehen keine Daten an Google.

3.10 Sicherheit, Protokollierung und Audit-Trail

Daten: Server-Zugriffsprotokolle (IP-Adresse, Zeit, aufgerufene Seite, Browserkennung, Statuscode), ein Anwendungs-Auditprotokoll wichtiger Aktionen (wer hat wann von welcher IP und welchem Browser was getan – z. B. Logins, Passwortänderungen, Angebotsannahme, Zahlungsentscheidungen, Administrator-Aktionen, Datenexporte), Zähler zur Ratenbegrenzung, Sitzungsdaten, E-Mail-Bestätigungs- und Zwei-Faktor-Codes (gehasht), Einwilligungsnachweise (Art, Version, Zeit, IP, Browser).
Zweck: Sicherheit der Plattform, Erkennung und Aufklärung von Missbrauch, Nachweis von Einwilligungen und Annahmen, Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Beweissicherung) und Art. 6 Abs. 1 lit. c DSGVO (Rechenschaft, DSA-Dokumentation).

3.11 Administrator-Zugriff auf Ihr Konto („Als Nutzer ansehen“)

Für technischen Support und Missbrauchsprüfungen kann ein Administrator mit höchster Berechtigung Ihr Konto öffnen und sehen, was Sie sehen. Das ist nur mit schriftlicher Begründung möglich, wird mit Identität, Zeit und IP des Administrators im Auditprotokoll festgehalten, endet nach 60 Minuten automatisch und ist technisch daran gehindert, Ihr Passwort oder Ihre E-Mail zu ändern, Ihr Konto zu löschen oder eine Zahlung auszulösen. In dieser Zeit geschriebene Nachrichten tragen eine sichtbare Kennzeichnung „von einem Administrator geschrieben“. Ihr Datenexport (Abschnitt 9) listet jeden solchen Zugriff. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Support, Plattformintegrität) bzw. lit. b, wenn Sie Support angefordert haben.

3.12 Meldungen und Moderation (Digital Services Act)

Jede Person kann Inhalte melden. Wir speichern die Meldung (Art und Referenz des Inhalts, Grund, Begründung, optionale E-Mail des Meldenden, Zeitstempel), unsere Entscheidung mit Begründung und benachrichtigen die betroffene Person sowie – bei angegebener Adresse – den Meldenden. Beschwerden gegen Moderationsentscheidungen werden ebenso dokumentiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (DSA Art. 16, 17, 20, 23, 24).

3.13 Gedruckte Einladungskampagnen

Wir versenden Einladungsschreiben mit persönlichem Code und QR-Code an Solarbetriebe und Eigentümer, deren geschäftliche Adresse öffentlich zugänglich ist. Gespeichert werden nur Code und Kampagne sowie – bei Scan oder Einlösung – Zeit, IP-Adresse und Browser dieses Ereignisses, um die Kampagne auszuwerten und Code-Missbrauch zu verhindern. Eine Empfängerliste wird auf der Plattform nicht geführt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (postalische Direktwerbung an Unternehmen; Widerspruch jederzeit möglich).

3.14 Cookies

Wir setzen nur technisch notwendige Cookies (Sitzung, CSRF-Schutz, Cookie-Wahl, Sprache, Design, „angemeldet bleiben“ auf Wunsch). Keines dient Werbung, Tracking oder Profilbildung; Drittanbieter-Cookies gibt es nicht. Details, Laufzeiten und eine Seite zum jederzeitigen Ändern Ihrer Wahl finden Sie im Cookie-Hinweis und unter Cookie-Einstellungen.

4. Empfänger und Auftragsverarbeiter

Wir verkaufen keine personenbezogenen Daten und geben sie nicht an Werbetreibende weiter. Unsplash-Bilder wurden einmalig heruntergeladen und werden von unserem Server ausgeliefert; beim Surfen geht keine Anfrage an Unsplash.

5. Übermittlung außerhalb der EU/des EWR

Plattformdaten werden in der EU gespeichert. Eine Übermittlung in ein Drittland findet nur statt: (a) für Push-Benachrichtigungen der App über Google (3.9), abgesichert durch das EU-US Data Privacy Framework und Standardvertragsklauseln; (b) wenn eine in der Türkei niedergelassene Firma (kein Angemessenheitsbeschluss) Ihrer Anfrage zugeordnet wird oder den Auftrag erhält – dann ist die Übermittlung für die Erfüllung des von Ihnen gewünschten Vertrags erforderlich (Art. 49 Abs. 1 lit. b DSGVO), und die Firma ist vertraglich zu DSGVO-gleichwertigen Pflichten verpflichtet. Sie können Ihre Anfrage durch die Länderwahl auf Firmen Ihres Landes beschränken.

6. Speicherdauer

Die Löschläufe erfolgen automatisch stündlich; der letzte Lauf ist für Administratoren sichtbar. Backups werden innerhalb von 30 Tagen überschrieben.

7. Was bei der Kontolöschung geschieht

Sie können Ihr Konto selbst im Profil löschen (Passwort erforderlich). Wir anonymisieren Ihre personenbezogenen Daten innerhalb eines Monats: Name, E-Mail, Telefon, Adresse, Koordinaten, Fotos, Geräte-Token, Sitzungen und IP-Daten der Einwilligungen werden entfernt oder durch ein Pseudonym ersetzt. Gesetzlich aufzubewahrende Unterlagen (Rechnungen, angenommene Verträge, Ihre Bewertungen abgeschlossener Aufträge) bleiben in einer Form erhalten, die Sie nicht mehr identifiziert. Das Inhaberkonto einer aktiven oder in Prüfung befindlichen Firma kann nicht anonymisiert werden, solange die Firma besteht, weil der DSA die Identität des Unternehmers verlangt; übertragen oder schließen Sie die Firma zuerst oder kontaktieren Sie uns.

8. Sicherheit

• Sämtlicher Verkehr ist verschlüsselt (TLS); HTTP wird auf HTTPS umgeleitet; HSTS ist aktiv.
• Passwörter werden nur als bcrypt-Hash gespeichert; Zwei-Faktor-Authentifizierung per E-Mail-Code steht allen offen und ist für Administratoren Pflicht.
• Besonders sensible Felder – Nachrichtentexte, Telefonnummern, Adressen, Auftragsadressen, Zugangshinweise, Zahlernamen, Vertragstexte – sind verschlüsselt gespeichert (AES-256-CBC mit HMAC-SHA256); der Schlüssel liegt weder in der Datenbank noch in Backups.
• Fotos von Anfragen, Prüfdokumente und Zahlungsbelege liegen außerhalb des Web-Verzeichnisses und werden nur berechtigten Nutzern ausgeliefert; jeder Administratorzugriff wird protokolliert.
• Kontaktdaten von Kunden werden einer Firma erst nach Annahme ihres Angebots freigegeben; die Freigabe wird protokolliert.
• Jede wichtige Aktion wird in ein manipulationssicheres Auditprotokoll geschrieben; Administratorzugriffe auf Nutzerkonten sind zeitlich begrenzt und protokolliert.
• Ratenbegrenzung, Honeypot-Felder und Sicherheits-Header schützen vor Brute-Force, Bots und Cross-Site-Angriffen.

9. Ihre Rechte

• Auskunft und Datenübertragbarkeit (Art. 15, 20): Im Profil können Sie jederzeit alle Daten Ihres Kontos als maschinenlesbare JSON-Datei herunterladen – ohne Anfrage an uns.
• Berichtigung (Art. 16): Die meisten Daten korrigieren Sie im Profil; für alles Weitere schreiben Sie uns.
• Löschung (Art. 17): Löschen Sie Ihr Konto im Profil (Abschnitt 7) oder schreiben Sie uns.
• Einschränkung (Art. 18) und Widerspruch (Art. 21): Gegen Verarbeitungen auf Grundlage berechtigter Interessen (z. B. postalische Einladungskampagne, nicht zwingend erforderliche Sicherheitsprotokolle) können Sie jederzeit widersprechen; wir prüfen den Widerspruch.
• Widerruf von Einwilligungen (Art. 7 Abs. 3): Cookie-Wahl unter Cookie-Einstellungen; Marketing-Einwilligungen in den Benachrichtigungseinstellungen. Der Widerruf berührt die bis dahin erfolgte Verarbeitung nicht.
• Beschwerde (Art. 77): bei der in Abschnitt 1 genannten oder der Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts.

Zur Ausübung schreiben Sie an datenschutz@solarclient.de von der E-Mail-Adresse Ihres Kontos. Wir antworten innerhalb eines Monats; in komplexen Fällen verlängern wir um bis zu zwei Monate und informieren Sie darüber. Anfragen werden in unserem Betroffenenregister mit Frist erfasst.

10. Kinder

Die Plattform richtet sich an Volljährige. Wir verarbeiten wissentlich keine Daten von Personen unter 18 Jahren; melden Sie uns eine solche Registrierung, löschen wir das Konto.

11. Bereitstellungspflicht

Sie sind nicht gesetzlich verpflichtet, uns Daten zu geben. Ohne Konto können Sie nur öffentliche Seiten nutzen; ohne Anfragedaten kann keine Anfrage zugeordnet werden; ohne Prüfdokumente kann keine Firma zugelassen werden. Als Pflichtfeld gekennzeichnete Angaben sind für den Vertrag erforderlich, alle anderen freiwillig.

12. Änderungen

Wir aktualisieren diese Erklärung, wenn sich die Plattform ändert. Versionsnummer und Datum stehen oben auf der Seite; registrierte Nutzer werden über wesentliche Änderungen mindestens 14 Tage im Voraus per E-Mail oder In-App-Hinweis informiert. Die von Ihnen akzeptierte Version wird zu Ihrem Konto gespeichert.

Version: 1.0