Datenschutz

1. Wer verantwortlich ist

Daniel Wirth
Panoramaweg 3
76437 Rastatt
E-Mail: info@sanierungsbuddy.de

Ein Datenschutzbeauftragter ist nicht bestellt, weil keine Pflicht dazu besteht. Für alle Fragen zum Datenschutz genügt eine E-Mail an die oben genannte Adresse.

2. Worum es geht

Melari befindet sich in einer geschlossenen Testphase. Nutzen können es nur Tester, die einen persönlichen Zugangscode erhalten und die Testervereinbarung abgeschlossen haben — auf Papier oder online (siehe h).

Es gibt keine Werbung, kein Tracking, keine Reichweitenmessung und keine Analysewerkzeuge. Daten werden nicht verkauft und nicht für Werbezwecke weitergegeben.

3. Welche Daten verarbeitet werden

a) Beim Aufruf der Seite

Beim Aufruf verarbeitet der Hoster technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse und die Kennung des Browsers. Sie werden in Serverprotokollen nur kurzzeitig gespeichert (im genutzten Tarif einen Tag lang abrufbar) und dienen dem sicheren Betrieb und der Fehlersuche. Die Serverfunktionen, die Ihre Daten verarbeiten, laufen in Frankfurt am Main.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist ein stabiler und sicherer Betrieb.

b) Zugangscode und Anmeldemarke

Nach Eingabe des Zugangscodes wird ein Cookie namens melari_marke gesetzt. Es enthält den Zugangsnamen, ein Ablaufdatum und eine Prüfsignatur, aber nicht den Zugangscode selbst. Das Cookie ist für Skripte nicht lesbar und gilt 30 Tage.

Das Cookie ist unbedingt erforderlich, damit nur berechtigte Tester Zugang erhalten. Eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, also die Testervereinbarung.

Damit die Testzeit von 60 Tagen gezählt werden kann, speichert der Server beim ersten Zugang den Zugangsnamen, den Tag des ersten Zugangs und das Ende der Testzeit. Nach dem Ende lässt er den Code nicht mehr zu. Rechtsgrundlage ist ebenfalls Art. 6 Abs. 1 lit. b DSGVO.

c) Daten auf Ihrem Gerät

Ihre Projektdaten liegen im Speicher Ihres eigenen Geräts. Dazu gehören Angebote, Notizen, Fotos und PDFs. Sie verlassen das Gerät nur in den Fällen, die unter d) bis f) beschrieben sind.

Diese Speicherung ist für die Funktion der Anwendung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Löschen können Sie diese Daten selbst: über die Browserdaten der Seite oder durch Deinstallieren der App. Der Betreiber hat auf diese Daten keinen Zugriff.

d) Serversicherung

Damit bei einem Gerätewechsel oder Datenverlust nichts verloren geht, wird eine Kopie des aktiven Projekts regelmäßig auf einem Server gesichert. Die Sicherung ist dem Zugangsnamen zugeordnet.

Fotos und PDFs werden dafür einzeln in einem geschützten Speicherbereich desselben Anbieters abgelegt; in der Sicherung selbst steht nur ein Verweis darauf. Die Datei geht direkt vom Browser dorthin, über eine Adresse, die nur kurz und nur für diese eine Datei gilt. Zugreifen kann nur, wer sich mit seinem Zugang ausweist, und nur auf die eigenen Dateien. Wird eine Datei, ein Projekt oder ein Kunde in der Anwendung gelöscht, wird die Datei auch dort gelöscht. Dasselbe gilt für die Dateien, die ein Energieberater im Beraterportal ablegt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

e) Meldungen

Über den Meldeknopf können Sie Fehler und Vorschläge schicken. Gespeichert werden:

• der Text der Meldung,
• Datum und Uhrzeit,
• die Seite, auf der gemeldet wurde,
• der Zugangsname.

Einmal täglich geht eine Zusammenfassung per E-Mail an den Betreiber.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

f) KI-Funktionen

Nur wenn Sie eine KI-Funktion ausdrücklich auslösen, werden die dafür nötigen Inhalte über unseren Server an einen KI-Anbieter übermittelt und dort ausgewertet. Das sind zum Beispiel ein Angebot als PDF oder eine Frage. Sind die Dateien einer Auswertung zusammen größer als etwa 3 MB (zum Beispiel ein Sanierungsfahrplan aus zwei PDFs), werden sie dafür kurz im geschützten Speicherbereich unter d) abgelegt, von unserem Server dort abgeholt und unmittelbar nach der Auswertung wieder gelöscht.

Der Anbieter verwendet diese Inhalte nach eigenen Angaben nicht zum Training seiner Modelle und löscht sie in der Regel innerhalb von 30 Tagen. Der Anfrage-Assistent arbeitet ohne KI, nur auf Ihrem Gerät.

Bitte geben Sie in der Testphase keine echten personenbezogenen Daten Dritter ein, etwa von Kunden oder Handwerkern. So ist es in der Testervereinbarung geregelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

g) Kontakt per E-Mail

Wenn Sie an info@sanierungsbuddy.de schreiben, werden Ihre E-Mail-Adresse und der Inhalt der Nachricht verarbeitet, um Ihr Anliegen zu beantworten. Die Nachricht wird vom Mailserver des Domainanbieters INWX in Berlin angenommen und an ein Postfach des Betreibers bei Google weitergeleitet. Dort geht auch der tägliche Bericht aus e) ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Testphase geht; sonst Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist, Anfragen beantworten zu können.

h) Online-Abschluss der Testervereinbarung

Wer Tester werden möchte, kann die Testervereinbarung und die Geheimhaltungsvereinbarung online abschließen. Dabei werden verarbeitet:

• Vor- und Nachname, gegebenenfalls die Firma, die Anschrift und die E-Mail-Adresse,
• die gewählte Rolle (Eigentümer, Investor oder Energieberater),
• der als Unterschrift eingegebene Name und die erteilten Zustimmungen,
• Zeitpunkt, IP-Adresse und Kennung des Browsers beim Absenden und beim Bestätigen,
• der vergebene Zugangsname.

An die angegebene Adresse geht zuerst eine E-Mail mit einem Bestätigungslink. Nach der Bestätigung folgt eine E-Mail mit beiden Vereinbarungen als PDF; der Betreiber erhält davon eine Kopie.

Lädt der Betreiber jemanden persönlich ein, der schon einen Zugangscode hat, trägt er Name, gegebenenfalls Firma und Anschrift, die Rolle und, falls bekannt, die E-Mail-Adresse vorab ein. Diese Angaben stehen dann hinter einem persönlichen Link, der 30 Tage gilt. Der eingeladenen Person werden sie beim Öffnen des Links zur Prüfung angezeigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Abschluss und Durchführung der Vereinbarungen. Die Aufbewahrung als Nachweis beruht auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist, den Abschluss und die Geheimhaltungspflicht belegen zu können.

i) Protokoll der Verwaltung

Verlängert oder beendet der Betreiber eine Testzeit oder löscht er Daten, wird das mit Zeitpunkt, Aktion und Zugangsname protokolliert. Ebenso seine Anmeldungen an der Verwaltungsseite. So bleibt nachvollziehbar, wer wann was geändert hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die Sicherheit der Verarbeitung (Art. 32 DSGVO).

Welche Anbieter für a) bis i) im Einsatz sind und wo sie ihren Sitz haben, steht im Abschnitt „Welche Dienste im Einsatz sind“.

4. Übermittlung in Länder außerhalb der EU

Einige der eingesetzten Anbieter haben ihren Sitz in den USA. Dorthin werden Daten nur auf einer dieser Grundlagen übermittelt:

• Vercel, Resend und Google sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO).
• Mit Anthropic und Supabase gelten Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Sie sind Teil der jeweiligen Vertragsbedingungen. Die Daten bei Supabase liegen in Frankfurt am Main.

5. Wie lange Daten gespeichert werden

• Die Testzeit beträgt 60 Tage ab dem ersten Zugang. Der Server zählt sie selbst; eine Woche vor dem Ende weist die Anwendung darauf hin.
• Danach haben Sie 14 Tage Zeit, Ihre Sicherung samt Fotos und PDFs herunterzuladen — auf der Zugangsseite, mit Ihrem Zugangscode.
• Anschließend werden Serversicherung, die gesicherten Fotos und PDFs und die Meldungen gelöscht, und die Löschung wird Ihnen bestätigt.
• Auf Verlangen wird früher gelöscht, innerhalb von sieben Tagen.
• Der Zugangsname bleibt bis zu ein Jahr in einer internen Liste stehen, damit die Löschung nachweisbar ist. Projektdaten stehen dort nicht (Art. 6 Abs. 1 lit. f DSGVO).
• Das Cookie läuft nach 30 Tagen ab.
• E-Mails werden gelöscht, sobald das Anliegen erledigt ist und keine gesetzliche Aufbewahrungspflicht besteht.
• Angaben aus einem Online-Abschluss, der nicht bestätigt wurde, werden nach 14 Tagen gelöscht.
• Vorab eingetragene Angaben einer persönlichen Einladung werden gelöscht, sobald die Vereinbarung bestätigt ist, spätestens mit Ablauf des Links nach 30 Tagen.
• Angaben aus einem abgeschlossenen Online-Abschluss werden als Nachweis aufbewahrt, solange die Geheimhaltungspflicht gilt, und danach bis zum Ablauf der gesetzlichen Verjährung.
• Einträge im Protokoll der Verwaltung werden nach einem Jahr gelöscht.
• Die Daten auf Ihrem Gerät löschen Sie selbst.

6. Muss ich Daten angeben?

Die Teilnahme ist freiwillig. Ohne Zugangscode ist eine Nutzung nicht möglich. Welche Inhalte Sie eingeben, entscheiden Sie selbst.

7. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Eine E-Mail an info@sanierungsbuddy.de genügt.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart

8. Keine automatisierten Entscheidungen

Es findet keine automatisierte Entscheidungsfindung und kein Profiling im Sinne von Art. 22 DSGVO statt. Die KI-Funktionen formulieren Hinweise und Fragen mit Fundstelle. Entscheidungen treffen Sie selbst.

9. Änderungen

Diese Erklärung wird angepasst, wenn sich die Anwendung oder die eingesetzten Dienste ändern.

Stand: September 2026.

Welche Dienste im Einsatz sind

Melari läuft nicht auf einem eigenen Server, sondern nutzt die folgenden Dienste.