Datenschutzerklärung

1. Verantwortlicher

Lenz Ventures GmbH / Sustaina-X
Burkardiner Straße 23, 97234 Reichenberg, Deutschland
Telefon: +49 1522 1745857
E-Mail: info@sustaina-x.com

Ein Datenschutzbeauftragter ist nicht benannt.

2. Hosting (Vercel)

Die Angebote unter hainrich.sustaina-x.com, einschließlich der Challenge-Seiten, werden über Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, bereitgestellt. Vercel verarbeitet dabei insbesondere technische Verbindungs- und Protokolldaten wie IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Inhalte, Geräte- und Browserinformationen sowie System- und Diagnosedaten.

Die Verarbeitung erfolgt zur sicheren und zuverlässigen Bereitstellung der Angebote auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Eine Verarbeitung kann auch in den USA und durch Unterauftragnehmer stattfinden. Hierfür gelten der Auftragsverarbeitungsvertrag von Vercel und die darin enthaltenen Garantien für internationale Datenübermittlungen.

3. Konto, Datenbank und Dateien (Supabase)

Für Registrierung, Anmeldung, Datenbank und Dateispeicher nutzen wir Supabase. Anbieter ist Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513. Das verwendete Projekt wird in der Region eu-central-1 (Central EU, Frankfurt) betrieben. Die im Projekt gespeicherten Daten werden dort gespeichert und primär verarbeitet. Eine ergänzende Verarbeitung technischer Betriebsdaten durch Supabase und dessen Unterauftragnehmer außerhalb dieser Region kann nicht ausgeschlossen werden.

Mit Supabase besteht ein Auftragsverarbeitungsvertrag in Form des Data Processing Addendum, Version 1 vom 1. August 2026, das Bestandteil der Supabase-Nutzungsvereinbarung ist. Für internationale Datenübermittlungen gelten insbesondere die darin einbezogenen Standardvertragsklauseln der Europäischen Kommission. Supabase kann die in seiner Unterauftragsverarbeiterliste genannten Dienstleister einsetzen.

Verarbeitet werden dabei je nach Nutzung: E-Mail-Adresse, Passwort-Hash, Name, Rolle, Zeitpunkte von Anmeldung und Bestätigung, Gebäude- und Projektangaben, Aufgaben, Meilensteine, Nachrichten sowie hochgeladene Dateien.

Der Zugriff auf Datensätze ist in der Datenbank durch zeilenbasierte Sicherheitsregeln (Row Level Security) auf die jeweils berechtigten Konten beschränkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Nutzerkontos und der Plattform.

4. Registrierung, Anmeldung, Bestätigung und Passwort-Zurücksetzung

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, gewählte Rolle und ein Passwort, das ausschließlich als Hashwert gespeichert wird. Mit der Registrierung speichern wir zusätzlich die akzeptierte Fassung der Nutzungsbedingungen und den Zeitpunkt der Zustimmung, um die Zustimmung später belegen zu können.

Die E-Mails zur Bestätigung der Adresse und zum Zurücksetzen des Passworts werden durch Supabase Auth versendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zugangsdaten werden ausschließlich über eine verschlüsselte Verbindung im Anfragekörper übertragen. Sie erscheinen nicht in der Adresszeile, im Browserverlauf oder im Referrer.

5. Hainrich-Hauscheck (auch ohne Konto)

Im Hauscheck geben Sie Angaben zu Ihrem Gebäude ein: Gebäudeart, Baujahr, Nutzung, Wohnfläche, Heizungsart, vorhandene Ausstattung sowie den Stand einzelner Sanierungsmaßnahmen. Optional kommen Bundesland und Postleitzahl hinzu. Diese Angaben sind zunächst Gebäudedaten; ein Personenbezug entsteht, soweit sie sich Ihnen zuordnen lassen.

Was mit den Angaben geschieht

• Die Ersteinschätzung (Energieklasse, Punktwert, erste Hinweise) wird auf unserem Server berechnet und dabei nicht gespeichert.
• Für die Maßnahmenempfehlung werden die Gebäudeangaben an Mistral AI übermittelt (siehe Abschnitt 6). Das Ergebnis ist damit KI-gestützt und nicht rein regelbasiert.
• Jeder dieser KI-Aufrufe wird in unserer Datenbank protokolliert. Das Protokoll enthält die übermittelten Gebäudeangaben, die Anfrage an das Modell, dessen Antwort und das daraus erzeugte Ergebnis. Ohne Konto wird dabei keine Nutzerkennung gespeichert.
• Ohne Konto wird kein Gebäude-Assessment in Ihrem Namen gespeichert und es entsteht kein abrufbares Ergebnis: die Auswertung besteht nur, solange der Tab geöffnet ist. Das oben genannte KI-Protokoll bleibt davon unberührt.
• Mit Konto wird das Assessment dauerhaft Ihrem Konto zugeordnet gespeichert, damit Sie es erneut aufrufen können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die von Ihnen angeforderte Auswertung und Art. 6 Abs. 1 lit. f DSGVO für das Protokoll, dessen Zweck die Nachvollziehbarkeit, Fehlersuche und Qualitätssicherung der KI-gestützten Auswertung ist.

6. KI-Dienste

Mistral AI

Für die Zuordnung passender Sanierungsmaßnahmen übermitteln wir die Gebäudeangaben aus dem Hauscheck sowie eine Liste in Frage kommender Maßnahmen an Mistral AI. Verwendet wird das Modell mistral-small-latest über die Programmierschnittstelle von Mistral. Übermittelt werden keine Namen, E-Mail-Adressen oder vollständigen Anschriften. Enthalten sind ausschließlich die Angaben aus dem Hauscheck; dazu gehören Bundesland und Postleitzahl, soweit Sie diese angegeben haben.

OpenAI

Für erläuternde Texte zu Ergebnissen sowie für Unterstützungsfunktionen im angemeldeten Projektbereich (unter anderem der Hainrich-Assistent sowie Vorschläge zu Aufgaben und Meilensteinen) nutzen wir OpenAI mit dem Modell gpt-4o-mini. Übermittelt werden die jeweils betroffenen Inhalte, etwa Gebäude- und Maßnahmendaten oder der Text Ihrer Anfrage.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Funktion Teil der von Ihnen angeforderten Leistung ist. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt (siehe Abschnitt 15).

7. E-Mail-Versand (Resend)

Benachrichtigungen aus der Plattform, etwa zu Einladungen oder Hinweisen an Administratoren, versenden wir über Resend. Verarbeitet werden Empfängeradresse, Betreff und Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO für betriebliche Benachrichtigungen.

8. Projekte, Aufgaben, Chat und Dateien

Im angemeldeten Bereich verarbeiten wir die von Ihnen angelegten Projekte, Aufgaben, Meilensteine, Chatnachrichten und hochgeladenen Dateien einschließlich der Angabe, wer sie erstellt hat. Der Zugriff ist auf die Mitglieder des jeweiligen Projekts beschränkt. Private Dateien werden über kurzlebige, signierte Adressen ausgeliefert.

9. Weitergabe an Fachbetriebe und Partner

Eine Weitergabe Ihrer Kontaktdaten an Fachbetriebe, Hersteller oder sonstige Partner erfolgt nur, wenn Sie dies ausdrücklich anfragen oder gesondert und freiwillig einwilligen. Vor einer Übermittlung nennen wir die Empfänger. Eine Weitergabe zu Werbezwecken ohne gesonderte Einwilligung findet nicht statt.

10. Hainrich-Challenge

Vormerkung

Für die Vormerkung verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Postleitzahl und optional Ihre Telefonnummer. Zusammen mit Ihrer Einwilligung speichern wir den genauen Einwilligungstext, dessen Fassung, den Zeitpunkt und die Quelle der Erhebung, damit nachvollziehbar bleibt, wozu Sie eingewilligt haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Die Daten der Vormerkung werden ausschließlich für die Information zum Start der Challenge verwendet, nicht für Newsletter, nicht für Partnerwerbung und nicht zur Vermittlung von Anfragen.

Teilnahme an der Verlosung

Für eine Teilnahme verarbeiten wir zusätzlich die Bestätigung der Teilnahmebedingungen und Ihres Mindestalters, jeweils mit Zeitpunkt und Fassung, sowie die Prüfung der Teilnahmeberechtigung anhand der Postleitzahl. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Gewinnspiels.

Im Gewinnfall verarbeiten wir die zur Benachrichtigung und Abwicklung erforderlichen Daten und geben sie nur weiter, soweit dies für die Abwicklung des jeweiligen Gewinns erforderlich ist. Eine Veröffentlichung von Namen, Wohnort oder Fotos erfolgt nur auf gesonderter, freiwilliger Grundlage und hat keinen Einfluss auf die Gewinnchance.

Reichweitenmessung innerhalb der Challenge

Um zu verstehen, an welcher Stelle des Ablaufs Besucherinnen und Besucher aussteigen, protokollieren wir einzelne Schritte (Aufruf der Seite, Start und Abschluss des Hauschecks, Erzeugung eines Ergebnisses, Absenden eines Formulars). Gespeichert werden dabei nur das Kürzel der Kampagne, der Name des Schrittes und eine zufällige Kennung, die ausschließlich im Sitzungsspeicher Ihres Browsertabs liegt, kampagnenbezogen ist und mit dem Schließen des Tabs endet. Es werden keine Namen, E-Mail-Adressen, Telefonnummern oder Postleitzahlen protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Aus diesen Schritten wird keine Teilnahme abgeleitet. Eine Teilnahme entsteht ausschließlich durch das ausdrückliche Absenden des Teilnahmeformulars.

11. Cookies und lokale Speicher

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein. Auf den öffentlichen Seiten sind keine Skripte Dritter eingebunden. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

Technisch notwendig sind ausschließlich:

• Sitzungs- und Authentifizierungsspeicher von Supabase, damit Sie angemeldet bleiben.
• Ein Eintrag im lokalen Speicher, der einen vor der Registrierung ausgefüllten Fragebogen zwischenspeichert, damit er nach der Anmeldung übernommen werden kann.
• Ein Eintrag im Sitzungsspeicher des Tabs, der das Ergebnis eines Hauschecks ohne Konto für die Dauer des Besuchs vorhält, sowie die oben genannte zufällige Kennung für die Schrittprotokollierung.

Diese Speicher sind für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich im Sinne von § 25 Abs. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich. Sollten künftig nicht notwendige Dienste eingesetzt werden, werden diese erst nach Ihrer Einwilligung geladen.

12. Empfänger und Drittlandübermittlung

Empfänger sind die oben genannten Auftragsverarbeiter: Vercel (Hosting), Supabase (Konto, Datenbank, Dateien), Mistral AI und OpenAI (KI-gestützte Funktionen) sowie Resend (E-Mail-Versand). Soweit dabei Daten außerhalb der Europäischen Union verarbeitet werden, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission oder einen Angemessenheitsbeschluss. Für Vercel und Supabase gelten die in den Abschnitten Hosting und Supabase genannten Regionen und Verträge. Für Mistral AI, OpenAI und Resend sind die konkreten Regionen und Verträge in den jeweiligen Abschnitten als offen gekennzeichnet.

13. Speicherdauer und Löschung

• Nicht aktivierte Registrierungen: [PLATZHALTER: FRIST_REGISTRIERUNG_UNBESTAETIGT] Löschfrist für nicht aktivierte Registrierungen festlegen (Vorschlag: 7 Tage).
• Konto und aktive Projekte: bis zur Löschung des Kontos, danach [PLATZHALTER: FRIST_KONTO_NACH_LOESCHUNG] Restfrist nach Kontolöschung festlegen (produktiv unverzüglich, Backups gesondert).
• Gelöschte Dateien: im laufenden Betrieb unverzüglich, in Sicherungskopien [PLATZHALTER: FRIST_BACKUPS] Aufbewahrungsdauer der Backups festlegen.
• KI-Protokolle und Chatverläufe: [PLATZHALTER: FRIST_KI_VERLAEUFE] Aufbewahrungsdauer der KI-Protokolle (Tabelle `ai_logs`) und der Chatverläufe verbindlich festlegen. Die Löschmechanik existiert seit Migration 039 (`delete_expired_guest_ai_logs`); sie läuft vorläufig gegen 90 Tage aus `PROVISIONAL_GUEST_AI_LOG_RETENTION_DAYS`. Diese Zahl ist ein technischer Default, keine Rechtsentscheidung. Sie gilt nur für Gast-Protokolle — für Verläufe angemeldeter Nutzer ist noch keine Frist festgelegt.
• Sicherheits- und Zugriffslogs: [PLATZHALTER: FRIST_SICHERHEITSLOGS] Aufbewahrungsdauer der Sicherheits- und Zugriffslogs festlegen.
• Vormerkdaten: nach Versand der Startinformation zuzüglich [PLATZHALTER: FRIST_VORMERKUNG] Löschfrist für Vormerkdaten nach Versand der Startinformation festlegen, sofern keine weitere Rechtsgrundlage besteht.
• Nicht gewinnende Teilnahmen: [PLATZHALTER: FRIST_TEILNAHMEN] Löschfrist für nicht gewinnende Teilnahmen festlegen (Vorschlag: 90 Tage nach Abschluss der Verlosung).
• Gewinnerdaten: bis zum Abschluss der Gewinnabwicklung, darüber hinaus nur im Rahmen gesetzlicher Aufbewahrungspflichten.

Ihr Konto können Sie in den Kontoeinstellungen selbst löschen. Dabei werden Ihre Daten gelöscht beziehungsweise dort, wo Inhalte für andere Projektbeteiligte bestehen bleiben müssen, von Ihrer Person gelöst.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO).

Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Verarbeitungen, die auf einem berechtigten Interesse beruhen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Wenden Sie sich dafür an info@sustaina-x.com.

Ihnen steht ein Beschwerderecht bei einer Aufsichtsbehörde zu, für uns ist das Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, https://www.lda.bayern.de/.

15. Keine automatisierte Entscheidung im Einzelfall

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt. Die Ergebnisse des Hauschecks sind unverbindliche Orientierung und keine Entscheidung über Ihre Person. Die Gewinnermittlung erfolgt durch Losverfahren unter allen gültigen Teilnahmen.

16. Transparenz beim Einsatz von KI

An den Stellen, an denen Sie unmittelbar mit einem KI-gestützten System interagieren, weisen wir darauf hin. Antworten können unvollständig oder fehlerhaft sein und ersetzen keine Energie-, Förder-, Finanz-, Rechts- oder Fachberatung. KI-gestützte Ausgaben sind in der Oberfläche als solche gekennzeichnet. Rein regelbasierte Ergebnisse bezeichnen wir nicht als KI-Ergebnis.

17. Weitere Hinweise

Es gelten ergänzend unsere Nutzungsbedingungen sowie für Gewinnspiele die jeweiligen Teilnahmebedingungen. Änderungen dieser Datenschutzerklärung veröffentlichen wir an dieser Stelle mit neuem Stand.