Datenschutzerklärung

1. Verantwortlicher

Lenz Ventures GmbH / Sustaina-X
Burkardiner Straße 23, 97234 Reichenberg, Deutschland
Telefon: +49 1522 1745857
E-Mail: hainrich@sustaina-x.com

Ein Datenschutzbeauftragter ist nicht benannt.

2. Hosting (Vercel)

Die Angebote unter hainrich.sustaina-x.com, einschließlich der Challenge-Seiten, werden über Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, bereitgestellt. Vercel verarbeitet dabei insbesondere technische Verbindungs- und Protokolldaten wie IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Inhalte, Geräte- und Browserinformationen sowie System- und Diagnosedaten.

Die Verarbeitung erfolgt zur sicheren und zuverlässigen Bereitstellung der Angebote auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Eine Verarbeitung kann auch in den USA und durch Unterauftragnehmer stattfinden. Hierfür gelten der Auftragsverarbeitungsvertrag von Vercel und die darin enthaltenen Garantien für internationale Datenübermittlungen.

3. Konto, Datenbank und Dateien (Supabase)

Für Registrierung, Anmeldung, Datenbank und Dateispeicher nutzen wir Supabase. Anbieter ist Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513. Das verwendete Projekt wird in der Region eu-central-1 (Central EU, Frankfurt) betrieben. Die im Projekt gespeicherten Daten werden dort gespeichert und primär verarbeitet. Eine ergänzende Verarbeitung technischer Betriebsdaten durch Supabase und dessen Unterauftragnehmer außerhalb dieser Region kann nicht ausgeschlossen werden.

Mit Supabase besteht ein Auftragsverarbeitungsvertrag in Form des Data Processing Addendum, Version 1 vom 1. August 2026, das Bestandteil der Supabase-Nutzungsvereinbarung ist. Für internationale Datenübermittlungen gelten insbesondere die darin einbezogenen Standardvertragsklauseln der Europäischen Kommission. Supabase kann die in seiner Unterauftragsverarbeiterliste genannten Dienstleister einsetzen.

Verarbeitet werden dabei je nach Nutzung: E-Mail-Adresse, Passwort-Hash, Name, Rolle, Zeitpunkte von Anmeldung und Bestätigung, Gebäude- und Projektangaben, Aufgaben, Meilensteine, Nachrichten sowie hochgeladene Dateien.

Der Zugriff auf Datensätze ist in der Datenbank durch zeilenbasierte Sicherheitsregeln (Row Level Security) auf die jeweils berechtigten Konten beschränkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Nutzerkontos und der Plattform.

Datensicherung. Zum Schutz vor Datenverlust sichern wir Datenbank und Dateien einmal wöchentlich zusätzlich außerhalb von Supabase. Die Sicherung wird über GitHub Actions (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA) erstellt, dort unmittelbar verschlüsselt und auf einem Speicher der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland abgelegt. Entschlüsseln können sie nur zwei verantwortliche Personen unseres Unternehmens; Hetzner und GitHub haben keinen Zugriff auf den Inhalt. Aufbewahrt werden die vier neuesten wöchentlichen Sicherungen und je eine aus den letzten drei Monaten, ältere werden automatisch gelöscht. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für GitHub gelten dessen Data Protection Agreement und die Standardvertragsklauseln der Europäischen Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Verfügbarkeit und Wiederherstellbarkeit der Daten.

4. Registrierung, Anmeldung, Bestätigung und Passwort-Zurücksetzung

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, gewählte Rolle und ein Passwort, das ausschließlich als Hashwert gespeichert wird. Mit der Registrierung speichern wir zusätzlich die akzeptierte Fassung der Nutzungsbedingungen und den Zeitpunkt der Zustimmung, um die Zustimmung später belegen zu können.

Die E-Mails zur Bestätigung der Adresse und zum Zurücksetzen des Passworts werden durch Supabase Auth versendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zugangsdaten werden ausschließlich über eine verschlüsselte Verbindung im Anfragekörper übertragen. Sie erscheinen nicht in der Adresszeile, im Browserverlauf oder im Referrer.

5. Hainrich-Hauscheck (auch ohne Konto)

Im Hauscheck geben Sie Angaben zu Ihrem Gebäude ein: Gebäudeart, Baujahr, Nutzung, Wohnfläche, Heizungsart, vorhandene Ausstattung sowie den Stand einzelner Sanierungsmaßnahmen. Optional kommen Bundesland und Postleitzahl hinzu. Diese Angaben sind zunächst Gebäudedaten; ein Personenbezug entsteht, soweit sie sich Ihnen zuordnen lassen.

Was mit den Angaben geschieht

• Die Ersteinschätzung (Energieklasse, Punktwert, erste Hinweise) wird auf unserem Server berechnet und dabei nicht gespeichert.
• Die Maßnahmenempfehlung wird seit dem 12. September 2026 regelbasiert auf unserem Server ermittelt. Dabei werden die Gebäudeangaben an keinen KI-Dienst übermittelt.
• Bis zum 12. September 2026 lief dieser Schritt über Mistral AI, und jeder dieser Aufrufe wurde protokolliert. Diese Altprotokolle bestehen noch; sie enthalten die damals übermittelten Gebäudeangaben, die Anfrage, die Antwort und das Ergebnis, ohne Nutzerkennung für Aufrufe ohne Konto. Zur Aufbewahrung siehe Abschnitt 13. Neue Protokolle entstehen an dieser Stelle nicht mehr.
• Ohne Konto wird kein Gebäude-Assessment in Ihrem Namen gespeichert und es entsteht kein abrufbares Ergebnis: die Auswertung besteht nur, solange der Tab geöffnet ist.
• Mit Konto wird das Assessment dauerhaft Ihrem Konto zugeordnet gespeichert, damit Sie es erneut aufrufen können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die von Ihnen angeforderte Auswertung und, für die oben genannten Altprotokolle, Art. 6 Abs. 1 lit. f DSGVO, dessen Zweck die Nachvollziehbarkeit, Fehlersuche und Qualitätssicherung der damaligen KI-gestützten Auswertung war.

Alle KI-Protokolle, auch diese Altprotokolle, werden 90 Tage nach ihrer Entstehung automatisch gelöscht.

6. KI-Dienste

OpenAI

Für erläuternde Texte zu Ergebnissen sowie für Unterstützungsfunktionen im angemeldeten Projektbereich (unter anderem der Hainrich-Assistent sowie Vorschläge zu Aufgaben und Meilensteinen) nutzen wir OpenAI mit dem Modell gpt-4o-mini. Übermittelt werden die jeweils betroffenen Inhalte, etwa Gebäude- und Maßnahmendaten oder der Text Ihrer Anfrage.

Jeder Aufruf an OpenAI wird in unserer Datenbank protokolliert: die übermittelte Anfrage, die Antwort, das daraus angezeigte Ergebnis, Zeitpunkt, Modell und Dauer sowie, wenn Sie angemeldet sind, Ihre Nutzerkennung. Zweck sind die Nachvollziehbarkeit der Antworten, die Fehlersuche, die Qualitätssicherung (etwa die Prüfung auf pauschale Umweltaussagen) und die Kontrolle der Kosten. Einsehen können die Protokolle nur unsere Administratoren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden nach 90 Tagen automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Funktion Teil der von Ihnen angeforderten Leistung ist. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt (siehe Abschnitt 15).

7. E-Mail-Versand (Resend)

Benachrichtigungen aus der Plattform, etwa zu Einladungen oder Hinweisen an Administratoren, versenden wir über Resend. Verarbeitet werden Empfängeradresse, Betreff und Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO für betriebliche Benachrichtigungen.

Anfrage als Partnerbetrieb (Seite „Hainrich fürs Handwerk“). Wenn Sie dort das Formular „Partner werden“ absenden, übermitteln wir Ihre Angaben – Betrieb, Ansprechperson, E-Mail-Adresse, Telefonnummer, Postleitzahl und Ort, Gewerke, Website, Nachricht und Ihr Interesse am Pilotbetrieb – per E-Mail über Resend an unser Postfach hainrich@sustaina-x.com, um Sie zurückzurufen und die Zusammenarbeit zu besprechen.Zugleich legen wir aus diesen Angaben einen internen Eintrag in unserer Betriebsliste in der Plattform an (Supabase, siehe Abschnitt 3), damit wir Rückruf und Freischaltung nachhalten können. Dieser Eintrag ist nicht öffentlich und nur für unsere Administratoren sichtbar; öffentlich erscheint Ihr Betrieb erst, wenn Sie Ihr Profil selbst bestätigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung einer Partnerschaft). Kommt keine Zusammenarbeit zustande, löschen wir die E-Mail und den Eintrag spätestens sechs Monate nach dem letzten Kontakt.

Anfrage von Kommunen und Regionen (machdeinhausfit.de/kommunen). Wenn Sie dort das Kontaktformular absenden, übermitteln wir Ihre Angaben – Name, Funktion, Kommune oder Region, E-Mail-Adresse, Telefonnummer und Nachricht – per E-Mail über Resend an unser Postfach info@lenz-ventures.com, um Ihre Anfrage zu beantworten und eine Zusammenarbeit zu besprechen. In der Plattform speichern wir diese Angaben nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung einer Zusammenarbeit). Kommt keine Zusammenarbeit zustande, löschen wir die E-Mail spätestens sechs Monate nach dem letzten Kontakt.

8. Projekte, Aufgaben, Chat und Dateien

Im angemeldeten Bereich verarbeiten wir die von Ihnen angelegten Projekte, Aufgaben, Meilensteine, Chatnachrichten und hochgeladenen Dateien einschließlich der Angabe, wer sie erstellt hat. Der Zugriff ist auf die Mitglieder des jeweiligen Projekts beschränkt. Private Dateien werden über kurzlebige, signierte Adressen ausgeliefert.

9. Weitergabe an Fachbetriebe und Partner

Eine Weitergabe Ihrer Kontaktdaten an Fachbetriebe, Hersteller oder sonstige Partner erfolgt nur, wenn Sie dies ausdrücklich anfragen oder gesondert und freiwillig einwilligen. Vor einer Übermittlung nennen wir die Empfänger. Eine Weitergabe zu Werbezwecken ohne gesonderte Einwilligung findet nicht statt.

10. Hainrich-Challenge

Vormerkung

Für die Vormerkung verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Postleitzahl und optional Ihre Telefonnummer. Zusammen mit Ihrer Einwilligung speichern wir den genauen Einwilligungstext, dessen Fassung, den Zeitpunkt und die Quelle der Erhebung, damit nachvollziehbar bleibt, wozu Sie eingewilligt haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Die Daten der Vormerkung werden ausschließlich für die Information zum Start der Challenge verwendet, nicht für Newsletter, nicht für Partnerwerbung und nicht zur Vermittlung von Anfragen.

Teilnahme an der Verlosung

Für eine Teilnahme verarbeiten wir zusätzlich die Bestätigung der Teilnahmebedingungen und Ihres Mindestalters, jeweils mit Zeitpunkt und Fassung, sowie die Prüfung der Teilnahmeberechtigung anhand der Postleitzahl. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Gewinnspiels.

Im Gewinnfall verarbeiten wir die zur Benachrichtigung und Abwicklung erforderlichen Daten und geben sie nur weiter, soweit dies für die Abwicklung des jeweiligen Gewinns erforderlich ist. Eine Veröffentlichung von Namen, Wohnort oder Fotos erfolgt nur auf gesonderter, freiwilliger Grundlage und hat keinen Einfluss auf die Gewinnchance.

Reichweitenmessung innerhalb der Challenge

Um zu verstehen, an welcher Stelle des Ablaufs Besucherinnen und Besucher aussteigen, protokollieren wir einzelne Schritte (Aufruf der Seite, Start und Abschluss des Hauschecks, Erzeugung eines Ergebnisses, Absenden eines Formulars). Gespeichert werden dabei nur das Kürzel der Kampagne, der Name des Schrittes, die Seite und eine grobe Herkunftsangabe: die Kennung aus dem Link, über den Sie gekommen sind (etwa „google“ bei unseren Anzeigen), sonst „google“, „suche“ (eine andere Suchmaschine) oder „partner“ (Link von einer anderen Website), abgeleitet aus der Seite, die Ihr Browser als Herkunft übermittelt (Referrer); ohne beides „direkt“ beziehungsweise „machdeinhausfit“. Die Herkunftsseite selbst speichern wir nicht. Dafür wird auf Ihrem Gerät nichts gespeichert. Ohne Anmeldung werden die Schritte nur gezählt und keinem Besuch zugeordnet; sind Sie angemeldet, wird der Schritt Ihrem Konto zugeordnet. Es werden keine Namen, E-Mail-Adressen, Telefonnummern oder Postleitzahlen protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Aus diesen Schritten wird keine Teilnahme abgeleitet. Eine Teilnahme entsteht ausschließlich durch das ausdrückliche Absenden des Teilnahmeformulars.

11. Cookies und lokale Speicher

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein. Auf den öffentlichen Seiten sind keine Skripte Dritter eingebunden. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

Technisch notwendig sind ausschließlich:

• Sitzungs- und Authentifizierungsspeicher von Supabase, damit Sie angemeldet bleiben.
• Ein Eintrag im lokalen Speicher, der einen vor der Registrierung ausgefüllten Fragebogen zwischenspeichert, damit er nach der Anmeldung übernommen werden kann.
• Ein Eintrag im Sitzungsspeicher des Tabs, der das Ergebnis eines Hauschecks ohne Konto für die Dauer des Besuchs vorhält.

Diese Speicher sind für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich im Sinne von § 25 Abs. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich. Sollten künftig nicht notwendige Dienste eingesetzt werden, werden diese erst nach Ihrer Einwilligung geladen.

Erklärvideos (YouTube). Auf einzelnen Seiten zeigen wir ein Erklärvideo, etwa auf der Anleitung und der Aktivierungsseite für Handwerksbetriebe sowie auf der Startseite und den Seiten zum Hauscheck und zur Hainrich-Challenge. Zunächst sehen Sie nur ein Vorschaubild von unserem eigenen Server; dabei wird keine Verbindung zu YouTube aufgebaut. Erst wenn Sie auf das Bild klicken, wird das Video von YouTube im erweiterten Datenschutzmodus (youtube-nocookie.com) geladen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei werden insbesondere Ihre IP-Adresse und technische Angaben zu Ihrem Gerät an Google übermittelt, und Google kann Cookies oder ähnliche Techniken einsetzen; eine Übermittlung an die Google LLC in den USA ist möglich (EU-US Data Privacy Framework). Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Weitere Informationen: policies.google.com/privacy.

12. Empfänger und Drittlandübermittlung

Empfänger sind die oben genannten Auftragsverarbeiter: Vercel (Hosting), Supabase (Konto, Datenbank, Dateien), OpenAI (KI-gestützte Funktionen), Resend (E-Mail-Versand) sowie für die verschlüsselte Datensicherung GitHub (Erstellung) und Hetzner (Speicherung in Deutschland). Für Erklärvideos, die Sie selbst starten, ist zusätzlich Google (YouTube) Empfänger, siehe Abschnitt 11. Soweit dabei Daten außerhalb der Europäischen Union verarbeitet werden, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission oder einen Angemessenheitsbeschluss. Für Vercel und Supabase gelten die in den Abschnitten Hosting und Supabase genannten Regionen und Verträge. Für OpenAI und Resend sind die konkreten Regionen und Verträge in den jeweiligen Abschnitten als offen gekennzeichnet.

13. Speicherdauer und Löschung

• Nicht aktivierte Registrierungen: [PLATZHALTER: FRIST_REGISTRIERUNG_UNBESTAETIGT] Löschfrist für nicht aktivierte Registrierungen festlegen (Vorschlag: 7 Tage).
• Konto und aktive Projekte: bis zur Löschung des Kontos, danach [PLATZHALTER: FRIST_KONTO_NACH_LOESCHUNG] Restfrist nach Kontolöschung festlegen (produktiv unverzüglich, Backups gesondert).
• Gelöschte Daten und Dateien: im laufenden Betrieb unverzüglich, in unseren wöchentlichen Datensicherungen (Abschnitt 3) spätestens nach rund drei Monaten
• KI-Protokolle: 90 Tage, danach automatische Löschung
• Chatverläufe im Projektbereich: [PLATZHALTER: FRIST_CHATVERLAEUFE] Aufbewahrungsdauer der Chatverläufe im Projektbereich festlegen. Die KI-Protokolle (`ai_logs`) sind seit 01.10.2026 entschieden: 90 Tage, nächtliche Löschung über /api/cron/ai-log-retention (Ticket 73).
• Sicherheits- und Zugriffslogs: [PLATZHALTER: FRIST_SICHERHEITSLOGS] Aufbewahrungsdauer der Sicherheits- und Zugriffslogs festlegen.
• Vormerkdaten: nach Versand der Startinformation zuzüglich [PLATZHALTER: FRIST_VORMERKUNG] Löschfrist für Vormerkdaten nach Versand der Startinformation festlegen, sofern keine weitere Rechtsgrundlage besteht.
• Nicht gewinnende Teilnahmen: [PLATZHALTER: FRIST_TEILNAHMEN] Löschfrist für nicht gewinnende Teilnahmen festlegen (Vorschlag: 90 Tage nach Abschluss der Verlosung).
• Gewinnerdaten: bis zum Abschluss der Gewinnabwicklung, darüber hinaus nur im Rahmen gesetzlicher Aufbewahrungspflichten.

Ihr Konto können Sie in den Kontoeinstellungen selbst löschen. Dabei werden Ihre Daten gelöscht beziehungsweise dort, wo Inhalte für andere Projektbeteiligte bestehen bleiben müssen, von Ihrer Person gelöst.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).

Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Verarbeitungen, die auf einem berechtigten Interesse beruhen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Wenden Sie sich dafür an hainrich@sustaina-x.com.

Ihnen steht ein Beschwerderecht bei einer Aufsichtsbehörde zu, für uns ist das Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, https://www.lda.bayern.de/.

15. Keine automatisierte Entscheidung im Einzelfall

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt. Die Ergebnisse des Hauschecks sind unverbindliche Orientierung und keine Entscheidung über Ihre Person. Die Gewinnermittlung erfolgt durch Losverfahren unter allen gültigen Teilnahmen.

16. Transparenz beim Einsatz von KI

An den Stellen, an denen Sie unmittelbar mit einem KI-gestützten System interagieren, weisen wir darauf hin. Antworten können unvollständig oder fehlerhaft sein und ersetzen keine Energie-, Förder-, Finanz-, Rechts- oder Fachberatung. KI-gestützte Ausgaben sind in der Oberfläche als solche gekennzeichnet. Rein regelbasierte Ergebnisse bezeichnen wir nicht als KI-Ergebnis.

17. Weitere Hinweise

Es gelten ergänzend unsere Nutzungsbedingungen sowie für Gewinnspiele die jeweiligen Teilnahmebedingungen. Änderungen dieser Datenschutzerklärung veröffentlichen wir an dieser Stelle mit neuem Stand.