Datenschutzerklärung

Stand: 18.06.2026

⚠️ Hinweis: Diese Datenschutzerklärung ist ein sorgfältig erstellter Entwurf für die
Produktivnahme von SanPilot. Vor dem Echtbetrieb mit personenbezogenen Daten Dritter sollte
sie von einer auf Datenschutzrecht spezialisierten Stelle (Anwalt/Datenschutzbeauftragter)
final geprüft und auf die tatsächliche Verarbeitungssituation angepasst werden.

Diese Datenschutzerklärung informiert Sie über die Verarbeitung personenbezogener Daten bei
der Nutzung der webbasierten Plattform SanPilot (Erstellung individueller
Sanierungsfahrpläne / iSFP und energetischer Bewertungen nach DIN V 18599 / GEG 2024) sowie
beim Besuch der zugehörigen Website.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

ANC GmbH
Alexander Niemeyer (Geschäftsführer)
In der Weide 6
31737 Rinteln
Deutschland

E-Mail: alexander.niemeyer@an-c.de
Telefon: +49 152 05387048

Registergericht: Amtsgericht Stadthagen, HRB 202595

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellungspflichtig. Bei Fragen zum
Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Rollen: Verantwortlicher und Auftragsverarbeiter

SanPilot wird sowohl von Energieberaterinnen und Energieberatern als auch deren Kundinnen und
Kunden (Gebäudeeigentümer) genutzt. Datenschutzrechtlich sind dabei zwei Konstellationen zu
unterscheiden:

• Als Verantwortlicher verarbeiten wir die Daten der bei uns registrierten Beraterkonten
  (Zugangsdaten, Stammdaten der Beraterin/des Beraters) sowie Website-Nutzungsdaten.
• Als Auftragsverarbeiter (Art. 28 DSGVO) verarbeiten wir die in einem iSFP-Projekt
  erfassten Daten — insbesondere die Gebäude- und Eigentümerdaten — im Auftrag und nach
  Weisung der jeweiligen Energieberaterin/des Energieberaters, die/der hierfür Verantwortlicher
  ist. Grundlage ist ein Auftragsverarbeitungsvertrag (AVV), abrufbar unter
  /avv. Für die Verarbeitung dieser Daten gelten die Festlegungen des AVV vorrangig.

3. Kategorien verarbeiteter Daten, Zwecke und Rechtsgrundlagen

3.1 Beraterkonten und Vertragsabwicklung

• Daten: Name, E-Mail, Kontaktdaten, EEE-Nummer, Zugangsdaten (Passwort-Hash).
• Zweck: Bereitstellung und Absicherung des Nutzerzugangs, Vertragsabwicklung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. f DSGVO
  (berechtigtes Interesse an sicherem Betrieb).

3.2 iSFP-Projektdaten (Auftragsverarbeitung)

• Daten: Gebäudedaten (Baujahr, Geometrie, Bauteile, Anlagentechnik, Verbrauch), Name,
  Anschrift und Kontaktdaten der Eigentümer, Gebäudefotos, Berechnungsergebnisse, Berichtstexte.
• Zweck: Erstellung des individuellen Sanierungsfahrplans und energetischer Bewertungen.
• Rechtsgrundlage: Verarbeitung im Auftrag der Beraterin/des Beraters (Art. 28 DSGVO);
  die Rechtsgrundlage gegenüber den betroffenen Eigentümern liegt beim verantwortlichen
  Berater (i. d. R. Art. 6 Abs. 1 lit. b DSGVO – Energieberatungsvertrag).

3.3 Server-Logfiles

• Daten: IP-Adresse, Zeitpunkt, abgerufene Ressource, Statuscode, User-Agent.
• Zweck: Bereitstellung, Stabilität und Sicherheit der Plattform (Abwehr von Angriffen).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Speicherdauer: in der Regel maximal 14 Tage, danach Löschung bzw. Anonymisierung.

3.4 Authentifizierung / Sitzungs-Cookies

• Daten: technisch notwendige Sitzungskennung (Session-/Token-Cookie).
• Zweck: Anmeldung und Aufrechterhaltung der authentifizierten Sitzung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO; § 25 Abs. 2 TDDDG (technisch erforderlich,
  keine Einwilligung nötig). Es werden keine Tracking- oder Marketing-Cookies eingesetzt.

3.5 KI-gestützte Berichtstexte

SanPilot erzeugt Entwürfe für Berichtstexte mit Unterstützung eines KI-Dienstes. Hierbei werden
Gebäudeparameter und Berechnungsergebnisse an den Dienstleister übermittelt; personenbezogene
Stammdaten der Eigentümer (Name, Adresse) werden dabei nicht übertragen. Die fachliche
Verantwortung und finale Freigabe jedes Textabschnitts liegt stets bei der Beraterin/dem
Berater (kein automatisiertes Entscheiden im Sinne des Art. 22 DSGVO). Näheres unter
/bafa-disclaimer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO.

4. Empfänger und Auftragsverarbeiter

Zur Bereitstellung der Plattform setzen wir sorgfältig ausgewählte Auftragsverarbeiter
(Art. 28 DSGVO) ein, u. a. für Hosting/Speicherung in Deutschland und die KI-Textunterstützung.
Die jeweils aktuelle Liste der Unterauftragsverarbeiter inklusive Sitz, Zweck und
Drittland-Garantien finden Sie unter /terms (Unterauftragsverarbeiter-Liste).

5. Übermittlung in Drittländer

Soweit ein eingesetzter Dienstleister Daten in einem Drittland (z. B. USA) verarbeitet, erfolgt
dies auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) zuzüglich
ergänzender Schutzmaßnahmen. Details siehe Unterauftragsverarbeiter-Liste unter /terms.
An die KI-Verarbeitung werden keine Eigentümer-Stammdaten übermittelt (siehe Ziffer 3.5).

6. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr
erforderlich sind und keine gesetzlichen oder förderrechtlichen Aufbewahrungspflichten
entgegenstehen. iSFP-bezogene Unterlagen unterliegen einer förderrechtlichen
Aufbewahrungspflicht. Das vollständige Lösch- und Fristenkonzept ist unter /terms
(Löschkonzept) veröffentlicht.

7. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO das Recht auf:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Betrifft Ihr Anliegen Daten, die wir im Auftrag einer Energieberaterin/eines Energieberaters
verarbeiten (Ziffer 2/3.2), leiten wir Ihre Anfrage an die verantwortliche Beraterin/den
Berater weiter bzw. setzen deren/dessen Weisung um. Registrierte Beraterinnen und Berater
können ein Gebäude inklusive aller zugehörigen personenbezogenen Daten (Stammdaten, Fotos,
Verbrauchsdaten) jederzeit über die Plattform löschen lassen (Umsetzung des Art. 17 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die unter Ziffer 1 genannten
Kontaktdaten.

8. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).
Für den Verantwortlichen zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen)
Prinzenstraße 5, 30159 Hannover
poststelle@lfd.niedersachsen.de

9. Pflicht zur Bereitstellung

Die Bereitstellung der Gebäude- und Projektdaten ist für die Erstellung eines iSFP technisch
und förderrechtlich erforderlich. Ohne diese Daten kann die Beratungsleistung nicht erbracht
werden.

10. Automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des
Art. 22 DSGVO findet nicht statt. KI-Unterstützung dient ausschließlich der Texterstellung;
die fachliche Bewertung und Freigabe erfolgt durch die Energieberaterin/den Berater.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der
Rechtslage dies erfordern. Es gilt die jeweils unter dieser Adresse veröffentlichte Fassung
(siehe Datum oben).