Datenschutzhinweise für Energieberater

Stand: 23.09.2026

Online abrufbar unter: <https://thermo.app/datenschutz-energieberater>

Verantwortlichkeit und Geltungsbereich

Für die eigene Konto- und Vertragsverwaltung der Thermoapp ist verantwortlich:

Core-N UG (haftungsbeschränkt)
Rotwaldstraße 26
74417 Gschwend
Deutschland
E-Mail: info@core-n.de
Website: <https://www.core-n.de>

Diese Hinweise betreffen Ihre Nutzung als Betriebsinhaber, Ansprechpartner oder autorisierter Nutzer. Sie unterscheiden eigene Verarbeitungen von Core-N und die Verarbeitung von Projektdaten im Auftrag Ihres Betriebs.

Für Kunden- und Projektdaten, die Ihr Betrieb zu seinen eigenen geschäftlichen Zwecken verarbeitet, bleibt Ihr Betrieb verantwortlich. Core-N stellt hierfür die Plattform nach Maßgabe des AVV bereit. Zweckgebundene Sicherheitsmaßnahmen, Sicherungskopien und technische Unterstützung der beauftragten Verarbeitung gehören zu diesem Auftrag.

Im vorgesehenen Projektablauf schließt der Kunde den Beratungsvertrag unmittelbar mit dem bezeichneten Energieberater. Der Handwerksbetrieb verantwortet die eigene handwerkliche Leistung und die dafür benötigte Kundenbearbeitung. Für diese jeweils eigenen Leistungen verarbeiten die Unternehmen personenbezogene Daten in eigener Verantwortung. Die gemeinsame Nutzung der Plattform begründet allein keine gemeinsame Verantwortlichkeit.

Core-N verarbeitet die bereitgestellten Projektakten für die jeweiligen Unternehmen nach Maßgabe der Plattform-AVVs. Bei einer gesonderten Berechnungsbeauftragung durch den Energieberater richtet sich die Verarbeitung durch Thermopartner nach dem Berechnungsauftrag und dessen AVV. Abweichende Tätigkeiten, die ausschließlich nach Weisung eines anderen Unternehmens erfolgen, sind gesondert einzuordnen.

Welche Daten verarbeitet werden

Kontodaten wie Name, E-Mail-Adresse, Telefonnummer, Anrede, Rolle, Betriebszuordnung und Verifizierungsstatus.
Betriebsdaten wie Firmenname, Anschrift, Kontaktangaben, Logo, Mitgliedschaften, Berechtigungen und projektbezogene Konfigurationen.
Je nach Berechtigung Kunden-, Gebäude-, Raum-, Anlagen-, Förder- und Vertragsdaten, Dateien, Fotos, Rechnungen, Unterschriften und zugehörige Zeitstempel.
Nachrichten, Termininformationen, Statusverläufe, Freigaben, Angaben zum Lesestatus und Benachrichtigungseinstellungen.
Technische Daten wie Authentifizierungs-, Installations- und Zustellkennungen, IP-Adressen, Zugriffs- und Fehlerdaten, App-Versionen, Geräte- und Betriebssysteminformationen sowie lokale Zwischenspeicher.
Von Ihnen übermittelte Supportanfragen und Fehlerbeschreibungen.

Welche Projektdaten sichtbar sind, hängt von Ihrer Rolle und den Projektberechtigungen ab. Geben Sie in Nachrichten und Fehlerberichten nur Informationen an, die für den jeweiligen Zweck erforderlich sind.

Zwecke und Rechtsgrundlagen

Konto und Geschäftsbeziehung

Core-N verarbeitet Kontodaten zur Registrierung, Anmeldung, Kommunikation und Verwaltung des Nutzungsverhältnisses. Ist die betroffene Person selbst Vertragspartner, gilt Art. 6 Abs. 1 lit. b DSGVO. Bei Beschäftigten eines Geschäftskunden stützt sich Core-N auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der Bereitstellung des vom Betrieb beauftragten Zugangs und der Abwicklung der Geschäftsbeziehung.

Die Anrede wird für die Korrespondenz und die Erstellung projektbezogener Unterlagen verwendet. Die Verarbeitung erforderlicher Kontodaten setzt keine allgemeine Datenschutz-Einwilligung voraus.

Projektbearbeitung im Auftrag

Core-N verarbeitet Projektinhalte zur Speicherung, Bearbeitung, Kommunikation und Bereitstellung an berechtigte Projektbeteiligte nach den Weisungen des beauftragenden Betriebs. Der jeweilige Verantwortliche bestimmt die Rechtsgrundlage gegenüber den betroffenen Personen und erfüllt seine Informationspflichten. Der Plattform-AVV ersetzt dessen Datenschutzhinweise nicht.

Sicherheit, Support und gesetzliche Pflichten

Soweit Core-N für eigene Zwecke Kontomissbrauch verhindert, Supportanfragen bearbeitet oder eigene Rechtsansprüche verfolgt, ist Art. 6 Abs. 1 lit. f DSGVO maßgeblich. Die berechtigten Interessen sind die sichere Bereitstellung des Dienstes, die Bearbeitung von Anliegen und die Rechtsverteidigung. Gesetzlich vorgeschriebene Verarbeitungen erfolgen nach Art. 6 Abs. 1 lit. c DSGVO. Für projektbezogenen Support im Auftrag bleibt die Rollenverteilung des AVV maßgeblich.

In den App-Einstellungen können Sie Fehleranalyse, Leistungsmessung und Nutzungsanalyse jeweils freiwillig und getrennt aktivieren. Die App funktioniert auch ohne diese Funktionen. Sie können Ihre Auswahl jederzeit widerrufen. Ihre aktuelle Auswahl und der Zeitpunkt ihrer letzten Änderung werden Ihrem Benutzerkonto zugeordnet, damit sie auf unterstützten App-Versionen gilt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Soweit die Dienste Informationen auf Ihrem Endgerät speichern oder darauf zugreifen, gilt § 25 Abs. 1 TDDDG.

Eine tatsächlich erforderliche Einwilligung wird für einen bestimmten Zweck eingeholt und ist widerruflich. Freiwillig eingegebene Daten begründen nicht automatisch eine Einwilligung für andere Zwecke.

Datenherkunft und Weitergabe

Kontodaten stammen von Ihnen, gegebenenfalls von Ihrem Betrieb und bei gewählter Google-Anmeldung aus dem Anmeldedienst. Projektdaten stammen von berechtigten Betriebsmitgliedern, Kunden und weiteren beteiligten Unternehmen.

Empfänger können berechtigte Betriebsmitglieder, zugeordnete Handwerksbetriebe oder Energieberater sowie Kunden innerhalb ihres Portalzugangs sein. Nachrichten und freigegebene Dokumente werden dem jeweils vorgesehenen Empfängerkreis zugänglich gemacht. Benachrichtigungen können an dafür hinterlegte E-Mail-Adressen gesendet werden.

Bei einer gesonderten Beauftragung technischer Berechnungen kann Thermopartner, Lukas Hoffer IEM, die für den Auftrag erforderlichen Daten erhalten. Maßgeblich sind der Berechnungsauftrag, die dortigen Datenschutzvereinbarungen und die Berechtigung zur Weitergabe. Eine allgemeine Freigabe aller Projekte folgt daraus nicht.

Behörden, Gerichte oder Berater erhalten Daten, soweit eine Rechtsgrundlage dies erlaubt oder verlangt. Die bloße Verwaltung eines Förderprojekts bedeutet keine automatische Übermittlung an eine Förderstelle.

Eingesetzte Dienste

Hosting, E-Mail, Datensicherung und Monitoring

Die Infrastruktur für App, Datenbank, E-Mail-Versand, Backups und Monitoring wird von Contabo GmbH, Welfenstraße 22, 81541 München, Deutschland, bereitgestellt. Die für diese Services genutzte Serverregion ist die EU. Je nach Aufgabe werden dort Konto- und Projektdaten, Dokumente, Nachrichten, Sicherungskopien sowie technische Protokolle verarbeitet. Die Zwecke sind die Bereitstellung, Zustellung, Sicherung und Überwachung des Dienstes. Contabo erhält Daten als Infrastruktur-Dienstleister im Rahmen der jeweiligen Auftragsverarbeitung.

Die von uns eingesetzten Contabo-Server nutzen die EU-Serverregion. Dies umfasst die zuvor beschriebenen Infrastrukturaufgaben. Für externe Dienste wie Google/Firebase gelten die nachfolgend beschriebenen Verarbeitungsorte und Transferregelungen. Anbieterinformationen: <https://contabo.com/de/legal/privacy/>.

Anmeldung über Firebase Authentication

Die Anmeldung erfolgt über Firebase Authentication von Google. Dabei werden insbesondere E-Mail-Adresse, Authentifizierungsdaten, Firebase-Nutzerkennung, Verifizierungsstatus sowie technische Zugriffs- und Sicherheitsdaten verarbeitet. Passwörter, Bestätigungs-E-Mails und Passwortzurücksetzungen werden durch Firebase Authentication verwaltet.

Wenn Sie die Google-Anmeldung wählen, werden die zur Anmeldung freigegebenen Profilinformationen, insbesondere Name, E-Mail-Adresse und Kennung, zur Anmeldung und Kontozuordnung verwendet. Für Core-N gelten die oben genannten Rechtsgrundlagen der Kontobereitstellung. Hinweise von Google: <https://firebase.google.com/support/privacy> und <https://policies.google.com/privacy>.

Push-Benachrichtigungen über Firebase Cloud Messaging

Für Push-Benachrichtigungen wird Firebase Cloud Messaging (FCM) von Google verwendet. Dabei werden Installations- und Zustellkennungen, technische Gerätedaten, Benachrichtigungseinstellungen und Ereigniskennungen verarbeitet. Auf Apple-Geräten erfolgt die Zustellung über den Apple Push Notification Service.

Die Push-Nachricht enthält allgemeine Hinweistexte und Kennungen für den betroffenen Vorgang. Nachrichteninhalte aus dem Projektchat, Dokumente und Kundenportal-Links werden nicht als Push-Inhalt versendet.

Core-N verwendet die Zustelldaten zur angeforderten Benachrichtigungsfunktion. Für eigene Verarbeitungen gilt Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse, berechtigte Nutzer über ihre Vorgänge zu informieren. Eine Betriebssystemberechtigung ist von einer datenschutzrechtlichen Einwilligung zu unterscheiden. Sie können Push über die App-Einstellungen und die Geräteeinstellungen deaktivieren. E-Mail-Einstellungen werden gesondert verwaltet.

Optionale technische Auswertung mit Google Firebase

Wenn Sie die jeweiligen Funktionen aktivieren, können Firebase Crashlytics Fehlerberichte, Firebase Performance technische Messwerte und Google Analytics Angaben zur App-Nutzung erhalten. Je nach Funktion gehören dazu technische Angaben zur App und zum Gerät, Installationskennungen, Fehlerdetails, Messwerte zu Abläufen und Netzwerkverbindungen sowie Nutzungsvorgänge. Die drei Funktionen werden getrennt geschaltet und ohne Ihre jeweilige Zustimmung nicht aktiviert. Die App sendet keine Namen, E-Mail-Adressen oder Projekt- und Dokumentinhalte als Analytics-Ereignisse.

Google gibt für Crashlytics eine Aufbewahrung von 90 Tagen an, bevor die Entfernung aus Live- und Backup-Systemen beginnt. Noch nicht gesendete Crashlytics-Berichte werden beim Widerruf gelöscht. Bereits übermittelte Daten werden dadurch nicht sofort entfernt. Für Performance und Analytics gelten die jeweiligen Google/Firebase-Einstellungen und Aufbewahrungsregeln. Weitere Informationen: <https://firebase.google.com/support/privacy>.

Abonnement und Stripe

Für Abonnements und deren Abrechnung wird Stripe eingesetzt. Verarbeitet werden insbesondere Name und E-Mail-Adresse, Kunden- und Abonnementkennungen, interne Nutzer- und Betriebskennungen, Tarif, Abrechnungsstatus und abrechnungsrelevante Angaben. Zahlungsdaten, die Sie bei Stripe eingeben, werden dort zur Zahlungsabwicklung verarbeitet.

Für die Abrechnung Ihres Energieberater-Zugangs werden Firma, Rechnungsanschrift und E-Mail-Adresse Ihres Betriebs an Stripe übermittelt. Core-N nutzt Abrechnungsinformationen zur Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO und zur Erfüllung gesetzlicher Buchführungs- und Aufbewahrungspflichten nach Art. 6 Abs. 1 lit. c DSGVO. Für Daten von Beschäftigten des Vertragspartners kommt Art. 6 Abs. 1 lit. f DSGVO zur Verwaltung der Geschäftsbeziehung in Betracht.

Das für Core-N registrierte Stripe-Konto hat Deutschland als Sitzland. Nach den Standardbedingungen ist Stripe Payments Europe, Limited Vertragspartner. Für die Zahlungsabwicklung gelten die Stripe Payments Terms, die die Stripe Financial Services Terms einbeziehen. Danach ist Stripe Technology Europe, Limited zusätzlich für regulierte Finanzdienstleistungen und als Payment Method Acquirer Vertragspartei. Stripe kann bestimmte Daten, insbesondere für eigene gesetzliche Pflichten und Betrugsprävention, in eigener Verantwortung verarbeiten. Für die Auftragsverarbeitung gilt die Stripe-DPA mit Stripe Payments Europe, Limited. Weitere Informationen: <https://stripe.com/de/privacy>.

Karten und Adresssuche

Für die Adresssuche wird Nominatim unter nominatim.openstreetmap.org verwendet. Karten werden von tile.openstreetmap.org geladen. Diese öffentlichen Dienste werden von der OpenStreetMap Foundation angeboten.

Bei einer Adresssuche erhält der Dienst den Suchtext, etwa die Objektadresse, sowie IP-Adresse und technische Verbindungsdaten. Beim Laden einer Karte werden IP-Adresse, technische Verbindungsdaten und die angeforderten Kartenausschnitte übermittelt. Karten und Suchergebnisse können lokal zwischengespeichert werden.

Die Einbindung dient der Darstellung von Projektstandorten und der Adresssuche. Soweit Core-N hierfür verantwortlich ist, beruht sie auf Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist eine nutzbare räumliche Darstellung der Projekte. Für die Verarbeitung bei der OpenStreetMap Foundation gelten deren Hinweise: <https://osmfoundation.org/wiki/Privacy_Policy>.

Vertragsgrundlagen von Google

Für Firebase Authentication gelten nach der veröffentlichten Zuordnung die Google-Cloud-Vertragsbedingungen und das Cloud Data Processing Addendum. Für eine deutsche Rechnungsadresse nennt Google in den Standardbedingungen Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland, als Vertragspartner. Maßgeblich bleibt die tatsächlich geltende Kontovereinbarung.

Google Analytics for Firebase wird nach den deutschen Google Analytics Terms von Google Ireland Limited bereitgestellt. Als Datenstandort ist Deutschland ausgewählt. Die veröffentlichten Standardbedingungen nennen Google Ireland Limited als Anbieter für Firebase Crashlytics bei Entwicklern mit Sitz in EMEA. Für Firebase Performance Monitoring nennen die Google APIs Terms Google LLC als Anbieter. Weitere Anbieter und Standorte stehen in den Firebase-Unterauftragsverarbeiterlisten und den Google-Cloud-Unterauftragsverarbeiterlisten.

Lokale Speicherung und Gerätefunktionen

Die App speichert je nach Plattform Anmeldeinformationen, Projektinformationen, Entwürfe, Dateien sowie Karten- und Adressdaten lokal. Dies dient der Anmeldung, Synchronisierung und den bereitgestellten Funktionen. Die native App unterstützt die vorgesehene Offline-Nutzung. Für die Web-App wird keine vollständige Offline-Verfügbarkeit zugesagt.

Kamera und Dateiauswahl werden für von Ihnen veranlasste Aufnahmen und Uploads verwendet. Vom Nutzer heruntergeladene oder außerhalb der App gesicherte Dateien können auch nach einer Abmeldung erhalten bleiben. Schützen Sie gemeinsam genutzte Geräte und entfernen Sie eigene Kopien, wenn diese nicht mehr benötigt werden.

Soweit eine Speicherung oder ein Zugriff auf Informationen auf Ihrem Endgerät für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist, kommt § 25 Abs. 2 Nr. 2 TDDDG zur Anwendung. Für darüber hinausgehende einwilligungspflichtige Zugriffe ist eine gesonderte Einwilligung erforderlich.

Speicherdauer und Löschung

Kontodaten werden für das Nutzungsverhältnis und danach nur für noch bestehende gesetzliche Pflichten oder erforderliche Rechtsansprüche verarbeitet. Abrechnungsbelege unterliegen den jeweils einschlägigen steuer- und handelsrechtlichen Aufbewahrungsfristen. Eine solche Pflicht rechtfertigt nicht automatisch die Aufbewahrung sämtlicher Projektunterlagen.

Für Auftragsdaten richtet sich die Löschung nach den rechtmäßigen Weisungen des verantwortlichen Betriebs und dem AVV. Ein persönliches Konto, eine Betriebsmitgliedschaft und eine Projektakte haben unterschiedliche Zwecke und können daher unterschiedlichen Löschzeitpunkten unterliegen.

Ihr Konto und Ihre persönlichen Kontodaten werden gelöscht.

Google entfernt die bei Firebase Authentication gespeicherten Anmeldedaten einschließlich Sicherungskopien nach einer Löschanforderung innerhalb von bis zu 180 Tagen. IP-Adressen werden dort laut Google einige Wochen gespeichert. Für Gerätekennungen zur Push-Zustellung gilt ebenfalls eine Löschfrist von bis zu 180 Tagen nach der entsprechenden Löschanforderung. Weitere Informationen: <https://firebase.google.com/support/privacy>.

| Daten | Maßstab für die Aufbewahrung |
| --- | --- |
| Projektdateien und Nachrichten | Solange sie für die Bearbeitung des konkreten Projekts, dazugehörige Rückfragen, Nachweise oder rechtmäßige Ansprüche benötigt werden. Für Auftragsdaten sind die rechtmäßigen Weisungen des verantwortlichen Betriebs maßgeblich. |
| Technische Protokolle | Solange die Einträge für einen konkreten Betriebs-, Sicherheits- oder Fehlerklärungszweck erforderlich sind. Eine weitere Speicherung setzt einen fortbestehenden Zweck voraus. |
| Supportanfragen | Bis das Anliegen und erforderliche Rückfragen erledigt sind. Darüber hinaus nur, soweit einzelne Angaben für gesetzliche Pflichten oder konkrete Rechtsansprüche benötigt werden. |
| Sicherungskopien | Solange der Sicherungsstand für die erforderliche Wiederherstellung und Betriebssicherheit benötigt wird. Entbehrliche Sicherungsstände sind nach dem betrieblichen Sicherungskonzept zu entfernen. |

Die Erforderlichkeit richtet sich nach der jeweiligen Datenkategorie und dem konkreten Zweck. Der allgemeine Hinweis auf den Plattformbetrieb begründet keine unbegrenzte Aufbewahrung. Entfällt der Zweck und besteht keine andere Rechtsgrundlage, sind die Daten zu löschen. Eine gesetzliche Aufbewahrung einzelner Belege rechtfertigt nicht automatisch die Aufbewahrung einer vollständigen Projektakte.

Kontolöschung und Datenschutzanfragen sind unter info@core-n.de möglich. Für Projektdaten, die Core-N im Auftrag verarbeitet, unterstützt Core-N den verantwortlichen Betrieb bei der Bearbeitung. Lokale Downloads und Sicherungen auf Ihren eigenen Geräten werden durch eine serverseitige Kontolöschung nicht automatisch entfernt.

Erforderliche Angaben

Die für Konto, Authentifizierung und Betriebszuordnung erforderlichen Angaben sind für die betreffenden Funktionen notwendig. Ohne sie kann der Zugang nicht bereitgestellt werden. Welche Projektangaben benötigt werden, hängt vom konkreten Auftrag und Verfahren ab. Datenschutzrechte bleiben auch dann bestehen, wenn Angaben für die Nutzung erforderlich sind.

Verarbeitung außerhalb des Europäischen Wirtschaftsraums

Google beschreibt Firebase Authentication als ausschließlich in US-Rechenzentren betriebenen Dienst. Die Authentifizierungsdaten werden deshalb in den USA verarbeitet. Für Google Analytics for Firebase ist Deutschland als Datenstandort ausgewählt. Diese Auswahl gilt nur für Analytics. Firebase Cloud Messaging, Crashlytics und Performance Monitoring können Daten über weitere Google-Standorte verarbeiten. Für Übermittlungen an zertifizierte Google-Unternehmen in den USA nennt Google das EU-US Data Privacy Framework. Wo dieses nicht greift, gelten die Standardvertragsklauseln der jeweils anwendbaren Google-Datenverarbeitungsbedingungen. Weitere Informationen finden Sie in den Firebase-Datenschutzhinweisen, den Firebase-Unterauftragsverarbeiterlisten und den Google-Transfergrundlagen.

Stripe beschreibt internationale Verarbeitungen unter anderem in den USA und Indien. Seine Datenschutzhinweise nennen Angemessenheitsgrundlagen, das EU-US Data Privacy Framework im anwendbaren Umfang und Standardvertragsklauseln. Die Einzelheiten richten sich nach dem konkreten Empfänger und der Verarbeitung: <https://stripe.com/de/privacy#6-international-data-transfers> und <https://stripe.com/de/legal/dpa>.

Für die öffentlichen Kartendienste sind die Angaben der OpenStreetMap Foundation maßgeblich. Die von uns eingesetzten Contabo-Server nutzen die EU-Serverregion. Eine ausschließliche Verarbeitung innerhalb der EU wird für alle eingesetzten Dienste nicht zugesagt.

Informationen zu den für den jeweiligen Dienst eingesetzten Garantien und eine Kopie der einschlägigen Garantien erhalten Sie unter info@core-n.de.

Ihre Rechte und Ansprechpartner

Unter den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit nach Art. 15 bis 20 DSGVO.

Bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation nach Art. 21 DSGVO widersprechen. Einer Verarbeitung für Direktwerbung können Sie jederzeit widersprechen.

Eine tatsächlich erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt. Die bloße Kenntnisnahme dieser Hinweise ist keine Einwilligung.

Für eigene Verarbeitungen von Core-N wenden Sie sich bitte an info@core-n.de. Bei Projektdaten richtet sich die Anfrage an den verantwortlichen Projektbeteiligten. Geht eine solche Anfrage bei Core-N ein, unterstützen wir die Zuordnung und Bearbeitung im Rahmen unserer Auftragsverarbeitung.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes. Für Core-N kommt insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg in Betracht: <https://www.baden-wuerttemberg.datenschutz.de>.

Automatisierte Entscheidungen und Änderungen

Die beschriebenen Plattformfunktionen treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO. Förderberechnungen unterstützen die Projektbearbeitung und ersetzen keine Entscheidung einer Förderstelle.

Diese Hinweise werden bei Änderungen der Verarbeitung angepasst. Eine aktualisierte Datenschutzerklärung begründet für sich keine neue Einwilligung und ändert keine bestehenden Verträge.