Datenschutz­erklärung.

Verantwortlich für die Datenverarbeitung auf dieser Website ist Michael Mix, Bramscher Straße 14, 49088 Osnabrück, Deutschland. MIX Wärmewerk ist ein Angebot von MIX.

Für Datenschutzanliegen erreichen Sie uns unter kontakt@waermewerk-mix.de. Weitere Anbieterangaben stehen im Impressum.

Wir verarbeiten personenbezogene Daten, um Eigentümern einen passenden Heizungsfachbetrieb zu vermitteln, Fachbetrieben ein Firmenkonto bereitzustellen, angenommene Anfragen abzurechnen und Anliegen zu beantworten.

Die Website setzt keine Werbe- oder Analysecookies, keine Werbepixel und keine fremden Analysewerkzeuge ein. Schriften, Ortsdaten zu Postleitzahlen und Abbildungen kommen von unserem eigenen Server. Fachbetriebe zahlen uns für jede Anfrage, die sie annehmen, eine Vermittlungsgebühr und erhalten dann Ihren Namen und Kontakt (Abschnitt 6). Darüber hinaus geben wir Ihre Daten nur an die Dienstleister in Abschnitt 10 weiter und nutzen sie nicht für Werbung.

Die Website läuft auf einem gemieteten Server (IONOS VPS). Beim Aufruf verarbeitet der Server technisch notwendige Verbindungsdaten, insbesondere Ihre IP-Adresse, die angeforderte Adresse, Zeitpunkt und Browserangaben, um die Seiten auszuliefern und Angriffe abzuwehren. Ein Zugriffsprotokoll mit IP-Adressen führt unser Webserver nicht. Die Anwendung schreibt technische Betriebsmeldungen in das Systemprotokoll des Servers; Formularinhalte und Kontaktdaten gehören nicht dazu.

Zum Schutz der Formulare vor Missbrauch hält die Anwendung IP-Adressen und Prüfsummen von E-Mail-Adressen, Kontaktangaben oder persönlichen Links nur im Arbeitsspeicher, höchstens 24 Stunden und eine Minute; bei einem Neustart verfallen sie sofort. Sie werden nicht mit einer Anfrage gespeichert. Für das Hilfeformular zählt die Anwendung Aufrufe dagegen in unserer Datenbank: je ein Zähler mit Zeitpunkt zu einer mit einem geheimen Schlüssel gebildeten Prüfsumme Ihrer IP-Adresse und der angegebenen Anfragenummer. Ein stündlicher Lauf löscht Zähler, deren Zeitfenster länger als 24 Stunden zurückliegt, also spätestens nach 25 Stunden; in Sicherungen bleiben sie bis zu deren Ablauf erhalten (Abschnitt 13). Die Verbindung ist verschlüsselt (HTTPS).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Website sicher und zuverlässig auszuliefern und Formulare vor Missbrauch zu schützen.

Öffentliche Seiten setzen keine Cookies und legen nichts im Speicher Ihres Browsers ab. Cookies entstehen erst, wenn Sie ein Firmenkonto registrieren, einen Link zum Zurücksetzen des Passworts anfordern, sich als Fachbetrieb oder Betreiber anmelden oder einen Link zur Bestätigung oder zum Zurücksetzen des Passworts öffnen. Sie sind für diesen von Ihnen gewünschten Zugang unbedingt erforderlich (§ 25 Absatz 2 Nummer 2 TDDDG); eine Einwilligung ist dafür nicht nötig, deshalb gibt es kein Cookie-Banner.

Der noch nicht abgeschickte Fragebogen bleibt nur im Arbeitsspeicher der geöffneten Seite; er wird weder in Cookies noch im lokalen Speicher des Browsers abgelegt. Ihr persönlicher Link steht hinter dem Zeichen „#“ und wird nicht an andere Websites weitergegeben.

waermewerk-firma-auth (auch mit nummerierten Teilen)

Hält die Anmeldung im Firmen- oder Betreiberzugang aufrecht. Läuft ohne Nutzung nach zwölf Stunden ab; Abmelden entfernt es. Nur über HTTPS, nicht für Skripte lesbar.

waermewerk-firma-auth-code-verifier, waermewerk-firma-auth-flow-<Kennung>-code-verifier und waermewerk-firma-auth-flows-code-verifier

Sichern den Bestätigungs- oder Passwortlink aus einer E-Mail ab: ein Prüfwert je angefordertem Link und eine Liste der noch offenen Links. Entstehen beim Registrieren oder Anfordern eines Passwortlinks. Höchstens zwölf Stunden; Abmelden entfernt sie.

waermewerk-firma-passwort-neu

Erlaubt nach einem Wiederherstellungslink das Setzen eines neuen Passworts. Höchstens 15 Minuten, nach dem Wechsel gelöscht.

Wir führen keine Besuchsstatistik und zählen keine Aufrufe.

Wenn Sie eine Anfrage absenden, speichern wir Ihre Angaben zu Haus, Heizung und Vorhaben, Postleitzahl und Ort, Ihren Namen, den gewählten Kontaktweg (E-Mail-Adresse oder Telefonnummer), eine Rückrufzeit, falls angegeben, sowie Zeitpunkt und Fassung Ihrer Einwilligung. Dazu kommen Anfragenummer, Bearbeitungsstand, die Mitte Ihres Postleitzahlgebiets (keine Hausanschrift), eine Prüfsumme Ihres persönlichen Links sowie Nachrichten und Ihre Antworten auf Rückfragen.

Wir speichern außerdem, wann Sie Ihren persönlichen Link zuerst und zuletzt geöffnet haben. Links in unseren E-Mails tragen dafür ein Prüfzeichen: Öffnen Sie Ihren Link aus einer solchen E-Mail, vermerken wir das als Bestätigung, dass Ihre E-Mail-Adresse erreichbar ist. Betriebe sehen diese Angaben nicht.

Wir bieten die Anfrage jeweils einem passenden Fachbetrieb an. Vor der Annahme sieht er Postleitzahl, Ort, Angaben zum Vorhaben und den Kontaktweg, aber nicht Ihren Namen und Ihre Kontaktdaten. Diese erhält nur der Betrieb, der die Anfrage annimmt; er nutzt sie für seine Kontaktaufnahme und sein Angebot in eigener Verantwortung. Lehnt er ab, antwortet er nicht rechtzeitig oder kommt kein Kontakt zustande, kann die Anfrage an den nächsten passenden Betrieb gehen, nie an mehrere gleichzeitig. Was ein Betrieb bereits notiert hat, liegt bei ihm.

Die Weitergabe beruht auf Ihrer Einwilligung, deren Wortlaut in den Nutzungsbedingungen steht. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa indem Sie die Anfrage über Ihren persönlichen Link beenden. Dort können Sie auch die Löschung Ihrer Anfragedaten auslösen.

Die gekennzeichneten Pflichtangaben brauchen wir für die Vermittlung; ohne Kontaktweg ist sie nicht möglich. Freiwillige Angaben können Sie weglassen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Anfrage, Zuordnung und Rückfragen, die Sie wünschen; die Weitergabe von Name und Kontakt an den annehmenden Fachbetrieb beruht auf Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Für ein Firmenkonto verarbeiten wir Firmenname, Ort, E-Mail-Adresse und Kontostatus, für das Profil Postleitzahl und Ort des Sitzes, Umkreis, Gebäudearten, Nutzung und Kapazität. Das Passwort speichert der Anmeldedienst nur als geschützten Hash. Wir prüfen Registrierungen und geben Konten frei oder sperren sie; diese Entscheidungen werden protokolliert.

Prüfen wir ein Konto, halten wir dazu unsere Prüfvermerke fest: ob die Punkte „Betriebsidentität geprüft“, „Fachgebiet und Nachweise geprüft“, „Einsatzgebiet bestätigt“, „Aktuelle Kapazität bestätigt“ zutreffen, mit Zeitpunkt der letzten Änderung und dem Verwaltungskonto, das sie geändert hat. Gespeichert wird nur dieser Vermerk, keine Unterlagen; hochladen können Sie auf dieser Website nichts. Schicken Sie uns Unterlagen per E-Mail, gilt dafür Abschnitt 9.

Bei der Nutzung speichern wir Angebote, Annahmen und Ablehnungen mit Zeitpunkt, die bestätigte Fassung der Annahmebedingungen, Meldungen und den Abrechnungsstand. Der Eigentümer erfährt Namen und Ort des annehmenden Betriebs. Ein ausdrücklich gekennzeichneter Musterbereich zeigt Beispielanfragen; dort gespeicherte Schritte bleiben auch nach einem Zurücksetzen der Anzeige erhalten.

Die Rechnung je Annahme erstellt Stripe nach Ihrer Zahlung (Abschnitt 8). Für die Abrechnung verarbeiten wir Firmenname, Sitz, E-Mail-Adresse, Anfragenummern, Beträge, den Zahlungs- und Erstattungsstand sowie die Kennungen der Zahlung bei Stripe. Weitere Empfänger dieser Rechnungsdaten: keine außer unserem Zahlungsdienstleister Stripe (siehe Abschnitte 8 und 10).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Firmenkonto, Vertrag, Vermittlung, Abrechnung und Zahlung; die Aufbewahrung der Abrechnungsunterlagen beruht auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuer- und handelsrechtlichen Aufbewahrungspflichten (§ 147 AO, § 14b UStG, soweit anwendbar § 257 HGB).

Für unseren eigenen Verwaltungszugang (Betreiberzugang) verarbeiten wir die Anmeldedaten der berechtigten Personen einschließlich des zweiten Anmeldefaktors und protokollieren Verwaltungsaktionen wie Freigaben, Sperren und Eingriffe in Vermittlungen mit Zeitpunkt und Konto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist, den Verwaltungszugang abzusichern und Verwaltungsaktionen nachvollziehen zu können.

Fachbetriebe bezahlen eine Anfrage beim Annehmen über Stripe. Dazu leiten wir auf eine Bezahlseite von Stripe weiter; dort geben Sie Zahlungsdaten, Rechnungsanschrift und gegebenenfalls Ihre Umsatzsteuer-Identifikationsnummer ein. Nach der Zahlung erstellt Stripe die Rechnung und sendet sie Ihnen per E-Mail. Wir übermitteln Betrag, Anfragenummer und Kennungen der Abrechnung, aber keine Namen oder Kontaktdaten von Eigentümern. Stripe verarbeitet Zahlungsdaten teilweise in eigener Verantwortung, etwa zur Betrugsvorbeugung; dafür gelten die Datenschutzhinweise von Stripe. Erstattungen in Ausnahmefällen gehen über Stripe auf das genutzte Zahlungsmittel zurück.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Firmenkonto, Vertrag, Vermittlung, Abrechnung und Zahlung; die Aufbewahrung der Abrechnungsunterlagen beruht auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuer- und handelsrechtlichen Aufbewahrungspflichten (§ 147 AO, § 14b UStG, soweit anwendbar § 257 HGB).

Schreiben Sie uns, verarbeiten wir Ihre Kontaktangaben und Ihre Nachricht, um das Anliegen zu bearbeiten. Im Hilfeformular dienen Anfragenummer und hinterlegter Kontakt zur Zuordnung; ein neuer persönlicher Link geht nur an die bereits gespeicherte E-Mail-Adresse.

Nachrichten zur Anfrage, zum Firmenkonto, zur Kontobestätigung und zum Passwort versenden wir über IONOS Mail. Dazu werden Empfängeradresse, Inhalt und technische Versanddaten verarbeitet; unser eigenes Versandprotokoll enthält nur Prüfsummen, keine Adressen. Unsere Nachrichten enthalten keine Zählpixel und keine umgeleiteten Links; ob Sie eine Nachricht öffnen, erfahren wir nicht. Öffnen Sie daraus Ihren persönlichen Link, sehen wir das wie in Abschnitt 6 beschrieben. Persönliche Links ermöglichen den Zugriff auf Ihren Vorgang; geben Sie sie nicht weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit eine Nachricht zu Ihrer Anfrage oder Ihrem Firmenkonto gehört, sonst Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse, Ihr Anliegen zu beantworten.

Unsere Datenbank und die Anmeldung der Konten betreibt Supabase. Ihr Browser verbindet sich nicht direkt mit diesem Dienst; nur unser Server greift darauf zu. Empfänger von Anfragedaten ist außerdem der annehmende Fachbetrieb (Abschnitt 6), Empfänger von Rechnungsdaten der Fachbetriebe stehen in Abschnitt 7. Folgende Dienstleister setzen wir ein:

Schriften, die 3D-Darstellung und die Ortsdaten zu Postleitzahlen (GeoNames, Lizenz CC BY 4.0) liefern wir selbst aus. Beim Laden dieser Inhalte werden keine Daten an deren Urheber oder andere Websites übertragen. Links zu anderen Websites öffnen Sie selbst; ab dann gelten deren Datenschutzhinweise.

Die Löschfunktion für Anfragen entfernt Name, Kontakt und Angaben zum Haus aus dem Vorgang. Für die Abrechnung mit dem Betrieb bleiben Anfragenummer, Betrieb, Betrag und Zeitpunkte ohne Ihre Kontaktdaten erhalten. War Ihre Anfrage gerade einem Betrieb angeboten oder hatte er sie angenommen, teilen wir ihm die Löschung mit; von dieser Mitteilung bleiben Anfragenummer, Postleitzahl und Zeitpunkte gespeichert. Unabhängig davon löschen wir Anfragedaten nach den unten genannten Fristen automatisch.

Server- und Sicherheitsprotokolle

Technische Server- und Sicherheitsprotokolle höchstens 14 Tage; ein Zugriffsprotokoll mit IP-Adressen führen wir nicht. Missbrauchszähler des Hilfeformulars löschen wir spätestens nach 25 Stunden.

Eigentümeranfragen, auch ohne passenden Betrieb

Sechs Monate nach dem Ende der Vermittlung bzw. nach der letzten Aktivität löschen wir automatisch Namen, Kontakt, Angaben zum Haus, Zustimmung und persönlichen Link, auch bei Anfragen ohne passenden Betrieb. Bei angenommenen Anfragen bleiben Anfragenummer, Betrieb, Preis und Zeitpunkte ohne Ihre Daten für die gesetzliche Aufbewahrung.

Firmenkonten und Prüfvermerke (Abschnitt 7)

Bis zur Kündigung. Ab der Kündigung erhält das Konto keine neuen Anfragen mehr; bereits bezahlte Anfragen samt Kontaktdaten bleiben im Firmenbereich bis zur Löschung lesbar. 30 Tage nach der Kündigung löschen wir Konto, Profil und Prüfvermerke. Registrierungen, deren E-Mail-Adresse nie bestätigt oder die nie freigegeben wurden und zu denen es keine Anfragen und keine Abrechnung gibt, löschen wir 90 Tage nach der Registrierung samt Konto und Prüfvermerken. Zahlungs- und Rechnungsdaten bleiben für die gesetzliche Aufbewahrung.

Nachrichten und Hilferückfragen

Nachrichten im Postausgang, verschickte E-Mails und Hilferückfragen löschen wir nach sechs Monaten.

Abrechnungs- und Buchungsunterlagen

Acht Jahre ab Ende des Kalenderjahres der Zahlung bzw. der letzten Buchung zu einer Anfrage (§ 147 AO, § 14b UStG), danach löschen wir sie.

Sicherungen

Tägliche verschlüsselte Sicherung; wir behalten 14 Archive, also 14 Tage.

Wir sichern die Datenbank regelmäßig verschlüsselt. In Sicherungen bleiben gelöschte Daten bis zu deren Ablauf erhalten; stellen wir eine Sicherung wieder her, wiederholen wir zuvor erfolgte Löschungen. Die Sicherungen entstehen auf unserem gemieteten Server (IONOS VPS); eine Kopie bei einem weiteren Dienstleister gibt es nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist, Daten nach einem Ausfall oder Fehler wiederherstellen zu können.

Welcher Betrieb eine Anfrage angeboten bekommt, ergibt sich aus festen Kriterien wie Ort, Einsatzgebiet, Vorhaben und Kapazität. Es findet keine Bewertung Ihrer Person und keine automatisierte Entscheidung mit rechtlicher Wirkung statt. Ob ein Betrieb ein Angebot macht oder einen Auftrag annimmt, entscheidet er selbst.

Sie können nach den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Beruht eine Verarbeitung auf berechtigten Interessen, können Sie aus Gründen Ihrer besonderen Situation widersprechen.

Schreiben Sie dazu an kontakt@waermewerk-mix.de. Zum Schutz vor unberechtigter Auskunft kann eine Prüfung Ihrer Identität nötig sein; senden Sie bitte keine Ausweiskopie unaufgefordert.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes.

Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen).

Wir passen diese Erklärung an, wenn sich eingesetzte Dienste oder die Verarbeitung ändern. Es gilt die hier veröffentlichte Fassung.