Datenschutzhinweise für Kundenportal und digitale Projektbearbeitung

Stand: 23.09.2026

Online abrufbar unter: <https://thermo.app/datenschutz-kunde>

Wer für Ihre Daten verantwortlich ist

Das Kundenportal wird bereitgestellt von:

Core-N UG (haftungsbeschränkt)
Rotwaldstraße 26
74417 Gschwend
Deutschland
E-Mail: info@core-n.de
Website: <https://www.core-n.de>

Für eigene Zwecke der Portalbereitstellung, eigene Vertragsbeziehungen, die Bearbeitung direkt an Core-N gerichteter Anliegen und eigene gesetzliche Pflichten ist Core-N verantwortlich.

Für die fachliche Projektbearbeitung und die dabei verarbeiteten Kunden-, Gebäude-, Vertrags- und Förderdaten ist der jeweilige Projektbeteiligte verantwortlich, soweit er die Zwecke und wesentlichen Mittel bestimmt. Dies kann der betreuende Handwerksbetrieb oder Energieberater sein. Core-N verarbeitet diese Projektinhalte im Auftrag nach Maßgabe des jeweiligen AVV.

Im vorgesehenen Projektablauf schließt der Kunde den Beratungsvertrag unmittelbar mit dem bezeichneten Energieberater. Der Handwerksbetrieb verantwortet die eigene handwerkliche Leistung und die dafür benötigte Kundenbearbeitung. Für diese jeweils eigenen Leistungen verarbeiten die Unternehmen personenbezogene Daten in eigener Verantwortung. Die gemeinsame Nutzung der Plattform begründet allein keine gemeinsame Verantwortlichkeit.

Core-N verarbeitet die bereitgestellten Projektakten für die jeweiligen Unternehmen nach Maßgabe der Plattform-AVVs. Bei einer gesonderten Berechnungsbeauftragung durch den Energieberater richtet sich die Verarbeitung durch Thermopartner nach dem Berechnungsauftrag und dessen AVV. Abweichende Tätigkeiten, die ausschließlich nach Weisung eines anderen Unternehmens erfolgen, sind gesondert einzuordnen.

Die konkrete Verantwortlichkeit ergibt sich aus der jeweiligen Tätigkeit und Auftragsbeziehung. Wenden Sie sich an den in Ihren Projekt- oder Vertragsunterlagen bezeichneten Betrieb, um dessen Datenschutzhinweise zu erhalten. Bei Unklarheiten zur Zuordnung hilft Core-N unter info@core-n.de. Diese Hinweise ersetzen die Informationen der verantwortlichen Projektbeteiligten nicht.

Welche Daten verarbeitet werden und woher sie stammen

Je nach Projekt werden folgende Informationen verarbeitet:

• Name, Anrede, Anschrift, E-Mail-Adresse und Telefonnummer.
• Gebäude-, Raum-, Anlagen-, Investitions-, Förder- und Vertragsdaten.
• Fotos, Pläne, Nachweise, Rechnungen, Vollmachten und weitere eingereichte Dokumente.
• Erfasste Unterschriften, zugehörige Dokumente, Zeitstempel und projektbezogene Bestätigungen.
• Nachrichten, Termine, Statusinformationen, Angaben zum Lesestatus und Benachrichtigungseinstellungen.
• Projektlink beziehungsweise Zugangstoken, IP-Adresse sowie technische Zugriffs- und Sicherheitsdaten.

Die Anrede wird für die Korrespondenz und die Erstellung projektbezogener Unterlagen verwendet. Viele Daten werden zunächst durch Ihren Handwerksbetrieb oder Energieberater eingetragen. Weitere Angaben entstehen durch Ihre Portalnutzung oder werden von berechtigten Projektbeteiligten bereitgestellt. Bitte laden Sie nur die für das Projekt erforderlichen Unterlagen hoch und vermeiden Sie unnötige Daten anderer Personen.

Zwecke und Rechtsgrundlagen

Core-N verarbeitet die für ein eigenes Nutzungsverhältnis erforderlichen Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Dies betrifft insbesondere die Bereitstellung des vereinbarten Portalzugangs und dazugehörige Kommunikation. Die Rechtsgrundlage für die fachliche Projektbearbeitung wird vom jeweils verantwortlichen Betrieb bestimmt.

Soweit Core-N Daten für eigene Sicherheitszwecke, die Bearbeitung von Supportanfragen oder die Verteidigung eigener Rechtsansprüche verarbeitet, gilt Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind der sichere Betrieb, die Bearbeitung Ihrer Anliegen und die Rechtsverteidigung. Gesetzlich vorgeschriebene Verarbeitungen erfolgen nach Art. 6 Abs. 1 lit. c DSGVO.

Das Web-Kundenportal verwendet Firebase Crashlytics nicht. Die Browser-App kann Analytics und Performance nur nach gesonderter Zustimmung eines angemeldeten Betriebsnutzers aktivieren. Native Apps können zusätzlich Crashlytics verwenden. Für Google Analytics for Firebase ist Deutschland als Datenstandort ausgewählt. Wenn Diagnosedaten aus einer Betriebs-App projektbezogene Angaben enthalten, verarbeitet Core-N diese im Auftrag des verantwortlichen Betriebs. Dessen Rechtsgrundlage und Informationspflichten bleiben maßgeblich.

Projektbezogene Speicherung, Kommunikation, Sicherung und technische Unterstützung im Auftrag erfolgen nach den Weisungen des verantwortlichen Betriebs. Die dafür maßgebliche Rechtsgrundlage und die weiteren Informationen erhalten Sie von diesem Betrieb.

Die Kenntnisnahme dieser Datenschutzhinweise oder die Unterzeichnung eines Vertrags ist keine allgemeine Datenschutz-Einwilligung. Wird für eine bestimmte Verarbeitung eine Einwilligung benötigt, sind Zweck und Umfang gesondert zu erläutern.

Wer Daten erhalten kann

Projektinformationen werden den jeweils berechtigten Nutzern des betreuenden Betriebs und den für das Projekt berechtigten Handwerkern oder Energieberatern zugänglich gemacht. Nachrichten, Dateien und Hinweise sind entsprechend dem vorgesehenen Empfängerkreis sichtbar. E-Mails mit Projektlinks oder Handlungshinweisen werden an die dafür hinterlegten Adressen zugestellt.

Bei gesondert beauftragten technischen Berechnungen kann Thermopartner, Lukas Hoffer IEM, die erforderlichen Projektinformationen erhalten. Der beauftragende Betrieb muss die Rechtsgrundlage und gegebenenfalls erforderliche Auftragsverarbeitung sicherstellen. Die Beauftragung ermächtigt nicht zur Verwendung Ihrer Daten für beliebige andere Zwecke.

Förderstellen, Banken und Behörden erhalten Daten, soweit diese im jeweiligen Verfahren rechtmäßig eingereicht werden oder eine gesetzliche Übermittlungspflicht besteht. Die Darstellung eines Förderverfahrens in Thermoapp bedeutet nicht, dass Core-N automatisch einen Antrag bei der Förderstelle einreicht.

Kundenportal-Link

Der Zugang erfolgt über einen Projektlink ohne gesondertes Passwort. Wer den Link besitzt, kann die für diesen Zugang verfügbaren Projektinformationen abrufen und vorgesehene Handlungen ausführen. Behandeln Sie den Link wie ein Passwort.

Projektlinks haben derzeit keine feste automatische Ablaufzeit. Ein neu versendeter Link macht ältere Links nicht automatisch ungültig. Informieren Sie den betreuenden Betrieb oder info@core-n.de, wenn der Link an Unbefugte gelangt sein könnte oder Sie Ihren Zugang beenden möchten.

Dienstleister und lokale Verarbeitung

Hosting, E-Mail, Datensicherung und Monitoring

Die Infrastruktur für App, Datenbank, E-Mail-Versand, Backups und Monitoring wird von Contabo GmbH, Welfenstraße 22, 81541 München, Deutschland, bereitgestellt. Die für diese Services genutzte Serverregion ist die EU. Je nach Aufgabe werden dort Konto- und Projektdaten, Dokumente, Nachrichten, Sicherungskopien sowie technische Protokolle verarbeitet. Die Zwecke sind die Bereitstellung, Zustellung, Sicherung und Überwachung des Dienstes. Contabo erhält Daten als Infrastruktur-Dienstleister im Rahmen der jeweiligen Auftragsverarbeitung.

Die von uns eingesetzten Contabo-Server nutzen die EU-Serverregion. Dies umfasst die zuvor beschriebenen Infrastrukturaufgaben. Für externe Dienste wie Google/Firebase gelten die nachfolgend beschriebenen Verarbeitungsorte und Transferregelungen. Anbieterinformationen: <https://contabo.com/de/legal/privacy/>.

Karten und Adresssuche

Für die Adresssuche wird Nominatim unter nominatim.openstreetmap.org verwendet. Karten werden von tile.openstreetmap.org geladen. Diese öffentlichen Dienste werden von der OpenStreetMap Foundation angeboten.

Bei einer Adresssuche erhält der Dienst den Suchtext, etwa die Objektadresse, sowie IP-Adresse und technische Verbindungsdaten. Beim Laden einer Karte werden IP-Adresse, technische Verbindungsdaten und die angeforderten Kartenausschnitte übermittelt. Karten und Suchergebnisse können lokal zwischengespeichert werden.

Die Einbindung dient der Darstellung von Projektstandorten und der Adresssuche. Soweit Core-N hierfür verantwortlich ist, beruht sie auf Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist eine nutzbare räumliche Darstellung der Projekte. Für die Verarbeitung bei der OpenStreetMap Foundation gelten deren Hinweise: <https://osmfoundation.org/wiki/Privacy_Policy>.

Nachrichten und Gerätefunktionen

Das Kundenportal kann Informationen während der Nutzung im Browser verarbeiten und Dateien zum Download bereitstellen. Kamera- oder Dateizugriffe erfolgen im Rahmen der von Ihnen ausgelösten Funktionen. Eigene Downloads verbleiben gegebenenfalls auf Ihrem Gerät.

Für den Zugang über Ihren Projektlink benötigen Sie kein gesondertes Benutzerkonto. Im Kundenportal erhalten Sie keine Push-Benachrichtigungen. Eine von Ihnen gesendete Projektnachricht kann bei berechtigten Betriebsnutzern eine Benachrichtigung über Firebase Cloud Messaging auslösen. Dabei werden allgemeine Hinweistexte und Vorgangskennungen verwendet, keine Chattexte, Dokumente oder Kundenportal-Links.

Optionale technische Dienste

Das Web-Kundenportal sendet keine Crashlytics-Berichte. Die Browser-App kann nach separater Zustimmung technische Leistungs- und Nutzungsdaten an Google Firebase senden. Native Apps können nach gesonderter Zustimmung zusätzlich Absturzberichte übertragen. Die Auswahl ist freiwillig und kann in den App-Einstellungen widerrufen werden. Für Google Analytics for Firebase ist Deutschland als Datenstandort ausgewählt. Weitere Informationen zu den Diensten und Daten finden Sie in den Datenschutzhinweisen für Betriebsnutzer und unter <https://firebase.google.com/support/privacy>.

Für unbedingt erforderliche Speicherungen und Zugriffe auf Ihrem Endgerät zur Bereitstellung eines ausdrücklich gewünschten Dienstes gilt § 25 Abs. 2 Nr. 2 TDDDG. Einwilligungspflichtige darüber hinausgehende Zugriffe benötigen eine gesonderte Einwilligung.

Förderverfahren bei KfW und BAFA

Soweit die KfW Ihre Daten im Antrags- und Nachweisverfahren, insbesondere zum Förderprodukt KfW 458, verarbeitet, gelten deren eigene Datenschutzhinweise. Informationen finden Sie unter <https://www.kfw.de/datenschutzhinweise> und <https://www.kfw.de/datenschutz>.

Für Antrags- und Nachweisverfahren beim BAFA sind die jeweiligen formular- und verfahrensbezogenen Datenschutzhinweise maßgeblich. Die Projektbeteiligten müssen Ihnen die für Ihr Verfahren einschlägigen Informationen bereitstellen. Diese Verfahren sind von der Nutzung des Thermoapp-Portals zu unterscheiden.

Speicherdauer und Beendigung des Zugangs

Für die Dauer der Projektbearbeitung können Kontaktdaten, Projektinhalte, Nachrichten, Dokumente, Unterschriften und Nachweise gespeichert werden. Eine weitere Speicherung muss für einen konkreten Zweck erforderlich sein, etwa für gesetzliche Aufbewahrungspflichten oder die Geltendmachung beziehungsweise Verteidigung von Rechtsansprüchen.

Der verantwortliche Betrieb bestimmt die rechtmäßige Aufbewahrung seiner Projektakte und erteilt Core-N die erforderlichen Weisungen. Die Beendigung Ihres Portalzugangs oder die Löschung eines persönlichen Kontos eines Betriebsmitglieds löscht diese Akte nicht automatisch.

| Daten | Maßstab für die Aufbewahrung |
| --- | --- |
| Projektdateien und Nachrichten | Solange sie für die Bearbeitung des konkreten Projekts, dazugehörige Rückfragen, Nachweise oder rechtmäßige Ansprüche benötigt werden. Für Auftragsdaten sind die rechtmäßigen Weisungen des verantwortlichen Betriebs maßgeblich. |
| Technische Protokolle | Solange die Einträge für einen konkreten Betriebs-, Sicherheits- oder Fehlerklärungszweck erforderlich sind. Eine weitere Speicherung setzt einen fortbestehenden Zweck voraus. |
| Supportanfragen | Bis das Anliegen und erforderliche Rückfragen erledigt sind. Darüber hinaus nur, soweit einzelne Angaben für gesetzliche Pflichten oder konkrete Rechtsansprüche benötigt werden. |
| Sicherungskopien | Solange der Sicherungsstand für die erforderliche Wiederherstellung und Betriebssicherheit benötigt wird. Entbehrliche Sicherungsstände sind nach dem betrieblichen Sicherungskonzept zu entfernen. |

Die Erforderlichkeit richtet sich nach der jeweiligen Datenkategorie und dem konkreten Zweck. Der allgemeine Hinweis auf den Plattformbetrieb begründet keine unbegrenzte Aufbewahrung. Entfällt der Zweck und besteht keine andere Rechtsgrundlage, sind die Daten zu löschen. Eine gesetzliche Aufbewahrung einzelner Belege rechtfertigt nicht automatisch die Aufbewahrung einer vollständigen Projektakte.

Die Beendigung Ihres Portalzugangs beendet nicht automatisch die erforderliche Aufbewahrung von Projektunterlagen. Für die Löschung dieser Unterlagen und zugehöriger Sicherungskopien gelten die vorstehenden Regeln.

Erforderliche Angaben

Kontaktdaten und notwendige Projektunterlagen werden für die jeweilige digitale Bearbeitung benötigt. Fehlen erforderliche Angaben, können einzelne Funktionen oder Bearbeitungsschritte nicht bereitgestellt werden. Welche Unterlagen fachlich oder gesetzlich erforderlich sind, erläutert der betreuende Betrieb für den konkreten Auftrag.

Verarbeitung außerhalb des Europäischen Wirtschaftsraums

Für Benachrichtigungen an berechtigte Betriebsnutzer nutzt Firebase Cloud Messaging globale Google-Infrastruktur. Dabei können Vorgangskennungen und allgemeine Hinweistexte außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Nach gesonderter Zustimmung können Crashlytics- und Performance-Daten ebenfalls über weitere Google-Standorte verarbeitet werden. Für Google Analytics for Firebase ist Deutschland als Datenstandort ausgewählt. Für Übermittlungen an zertifizierte Google-Unternehmen in den USA nennt Google das EU-US Data Privacy Framework. Wo dieses nicht greift, gelten die Standardvertragsklauseln der jeweils anwendbaren Google-Datenverarbeitungsbedingungen. Weitere Informationen finden Sie in den Firebase-Datenschutzhinweisen, den Firebase-Unterauftragsverarbeiterlisten und den Google-Transfergrundlagen.

Für unmittelbar aufgerufene Kartendienste gelten die Angaben der OpenStreetMap Foundation. Die von uns eingesetzten Contabo-Server nutzen die EU-Serverregion. Eine ausschließliche Verarbeitung innerhalb der EU wird für alle eingesetzten Dienste nicht zugesagt.

Informationen zu den für den jeweiligen Dienst eingesetzten Garantien und eine Kopie der einschlägigen Garantien erhalten Sie unter info@core-n.de.

Ihre Rechte und Ansprechpartner

Unter den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit nach Art. 15 bis 20 DSGVO.

Bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation nach Art. 21 DSGVO widersprechen. Einer Verarbeitung für Direktwerbung können Sie jederzeit widersprechen.

Eine tatsächlich erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt. Die bloße Kenntnisnahme dieser Hinweise ist keine Einwilligung.

Für eigene Verarbeitungen von Core-N wenden Sie sich bitte an info@core-n.de. Bei Projektdaten richtet sich die Anfrage an den verantwortlichen Projektbeteiligten. Geht eine solche Anfrage bei Core-N ein, unterstützen wir die Zuordnung und Bearbeitung im Rahmen unserer Auftragsverarbeitung.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes. Für Core-N kommt insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg in Betracht: <https://www.baden-wuerttemberg.datenschutz.de>.

Automatisierte Entscheidungen und Änderungen

Die beschriebenen Plattformfunktionen treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO. Förderberechnungen unterstützen die Projektbearbeitung und ersetzen keine Entscheidung einer Förderstelle.

Diese Hinweise werden bei Änderungen der Verarbeitung angepasst. Eine aktualisierte Datenschutzerklärung begründet für sich keine neue Einwilligung und ändert keine bestehenden Verträge.