Datenschutzerklärung

Wer verarbeitet deine Daten?

Verantwortlich für die Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO sind Martin Brosig und Vincent C. Mader, Im Baindtle 18, 89077 Ulm, Deutschland. Du erreichst uns unter info@kilowatty.de. Dieselben Angaben stehen im Impressum.

Was wir erheben und was nicht

Für ein Konto brauchen wir genau zwei Dinge: deine E-Mail-Adresse und ein Passwort. Alles andere ist freiwillig und jederzeit änderbar oder löschbar.

Wir binden keine Dienste Dritter ein: kein Google Analytics, keine Google Fonts (wir hosten sie selbst), kein CDN, keine Social-Media-Plugins, keine Werbe-Pixel. Wir messen die Nutzung dieser Seite selbst, ohne Cookie und ohne Kennung auf deinem Gerät (siehe „Wie wir die Nutzung dieser Seite messen“). Deshalb setzen wir nur ein technisch notwendiges Sitzungs-Cookie und brauchen keinen Cookie-Banner.

Stellst du oben rechts das Farbschema um (hell, dunkel oder wie dein System), merkt sich dein Browser diese eine Einstellung lokal, unter dem Namen kw-thema. Sie verlässt dein Gerät nicht, erreicht uns nie und dient ausschließlich dazu, die Seite beim nächsten Mal so anzuzeigen, wie du sie eingestellt hast. Nach § 25 Abs. 2 TDDDG ist das für eine ausdrücklich von dir gewünschte Funktion zulässig und braucht keine Einwilligung. Wer nichts umstellt, bei dem wird auch nichts gespeichert.

Öffnest du eine Einladung zum Energy Sharing, die dir jemand geschickt hat, merkt sich dein Browser das Kennzeichen aus dem Link kurz unter dem Namen kw-einladung. Es überdauert nur die laufende Sitzung des Browsers und wird gelöscht, sobald du die Einladung angenommen oder abgelehnt hast. Ohne diesen Zwischenschritt wäre die Einladung nach der Anmeldung verloren, denn genau dorthin schickt der Link dich zuerst. Auch dieser Eintrag verlässt dein Gerät nur, wenn du annimmst oder ablehnst: Dann schicken wir das Kennzeichen an uns, um die Einladung zuzuordnen. Legst du dabei ein neues Konto an, schicken wir das Kennzeichen mit dem Bestätigungslink an deine eigene Adresse, damit die Einladung nach der Bestätigung noch da ist. Sonst steht es nirgends.

Einen zweiten Eintrag legt dein Browser an, sobald du angemeldet bist: kw-account mit dem Wert „in“. Er enthält weder deine Adresse noch eine Kennung, sondern nur die Angabe, dass hier jemand angemeldet ist. Ohne ihn zeigt die Kopfzeile bei jedem Seitenaufruf erst „Anmelden“, bis unsere Antwort eintrifft, und springt dann um. Beim Abmelden wird er gelöscht. Auch er verlässt dein Gerät nie: Wir lesen ihn nicht, wir bekommen ihn nicht, er steht in keiner Anfrage an uns.

In der kiloWatty-App liegen drei Dinge auf deinem Gerät. Erstens dein Zugang: ein Zeichen, das dieses Gerät als angemeldet ausweist, im Schlüsselbund des Betriebssystems. Zweitens der zuletzt geladene Stand deines Kontos, also Profil, Messstellen, Auftrag, Postfach, wer du bist, dein Bilanzierungsgebiet, deine Verhandlungen und eure Nachrichten, unter dem Namen kw-stand. Ohne ihn zeigt die App ohne Netz gar nichts; mit ihm siehst du im Aufzug oder im Zug deine Angaben und darüber den Hinweis, von wann sie sind. Drittens, unter dem Namen kw-unsent, eine Angabe, die du eingetragen hast und die uns nicht erreicht hat, etwa weil das Netz weg war. Sie bleibt auf deinem Gerät, bis du sie erneut abschickst oder überschreibst; von selbst schicken wir sie nicht. Alles drei bleibt auf dem Gerät, wird bei der Abmeldung und beim Löschen des Kontos entfernt, und verlässt dein Gerät nur als das, was es ohnehin ist: deine Anfragen an uns.

Der Wirtschaftlichkeitsrechner läuft vollständig in deinem Browser. Deine Eingaben (Verbrauch, Überschuss, Preise) erreichen uns nicht. Wir zählen lediglich, dass der Rechner benutzt wurde, ohne die Werte.

Ein Cookie setzen wir: kw_session. Es enthält eine zufällige Kennung und sonst nichts, läuft nach 30 Tagen ab und ist nur über HTTPS und nicht per Skript lesbar. Es hält deine Sitzung und ist dafür technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung braucht es deshalb nicht.

Wofür, auf welcher Grundlage, wie lange

Konto und Anmeldung: zur Bereitstellung des Kontos, Art. 6 Abs. 1 lit. b. Unbestätigte Konten löschen wir nach 30 Tagen, inaktive nach 36 Monaten (mit Erinnerung nach 24).

Profilbild: freiwillig, Art. 6 Abs. 1 lit. b. Es sehen nur du selbst und die Person, die einen Vorschlag zum Energy Sharing mit dir angenommen hat. Wir zeichnen jedes hochgeladene Bild neu, quadratisch und 256 Pixel breit; dabei fallen alle versteckten Angaben weg, die Kameras mitschreiben, auch der Aufnahmeort. Gespeichert wird nur das neu gezeichnete Bild, nie deine Originaldatei. Du kannst es jederzeit entfernen; dann löschen wir es auch im Objektspeicher.

Profil und Messstellen: freiwillige Angaben, damit wir einschätzen können, wo und wann Energy Sharing möglich wird. Marktlokations-ID, Zählpunktbezeichnung und Zählernummer speichern wir zusätzlich verschlüsselt, weil sie zusammen mit der Adresse einem Haushalt zuzuordnen wären.

Newsletter: nur mit deiner Einwilligung, Art. 6 Abs. 1 lit. a. Abmeldung jederzeit mit einem Klick, ohne Anmeldung. Danach behalten wir nur einen Prüfwert deiner Adresse, damit wir dich nicht versehentlich erneut anschreiben.

Kontaktanfragen: zur Beantwortung, gelöscht 6 Monate nach Erledigung.

Bewerbungen: wenn du dich über /karriere bewirbst, verarbeiten wir deine Angaben und, falls du eins schickst, dein Dokument, um über die Bewerbung zu entscheiden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b in Verbindung mit § 26 Abs. 1 BDSG. Wir löschen alles 6 Monate nach Eingang, das Dokument im Objektspeicher zusammen mit dem Eintrag; das Gesetz gibt abgelehnten Bewerberinnen und Bewerbern zwei Monate, um Ansprüche schriftlich geltend zu machen (§ 15 Abs. 4 AGG). Früher geht auch: antworte einfach auf unsere Eingangsbestätigung. Was in deinem Lebenslauf steht, bestimmst du: wir fragen weder nach einem Foto noch nach einem Geburtsdatum. Wir nehmen nur PDF an und lehnen PDFs mit aktiven Inhalten ab. Dein Dokument schicken wir nicht per Mail weiter; wir rufen es im Adminbereich ab.

Betriebsprotokolle: Unsere Anwendung schreibt keine IP-Adressen ins Protokoll. Der vorgelagerte Webserver führt ein Zugriffsprotokoll, in dem die IP-Adresse steht; es wird nach Dateigröße umgewälzt und reicht je nach Aufkommen einige Tage zurück. Den Missbrauchszähler in der Datenbank löschen wir nach einem Tag.

Wenn ihr euch verabredet habt: Nachrichten, Angebote, Meldungen

Sobald ein Vorschlag zum Energy Sharing angenommen ist, könnt ihr euch schreiben und Preise vorschlagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b: das ist die Verhandlung, für die es diese Plattform gibt. Gespeichert wird der Text jeder Nachricht, wer sie geschrieben hat, wann, und ob sie gelesen wurde; zu jedem Angebot der Preis, die Menge, der Stand und die Zeitpunkte. Lesen kann das nur die andere Seite.

Öffnet jemand deine Einladung, sieht diese Person den Namen, den du in deinem Profil angegeben hast. Anders geht es nicht: sie soll wissen, wen sie da annimmt.

Der Text liegt bei uns verschlüsselt. Das schützt eine Sicherungskopie, die unser Haus verlässt. Es ist ausdrücklich keine Ende-zu-Ende-Verschlüsselung: den Schlüssel hält unsere Anwendung, nicht nur ihr beide. Wir sagen das lieber deutlich, als dass jemand mehr hineinliest, als wir versprechen.

Solange die Verhandlung besteht, besteht auch das Gespräch. Endet sie, löschen wir es nach 30 Tagen. Löscht eine Seite ihr Konto, bleibt der Text stehen und die Person geht: statt eines Namens steht dann „Ehemaliges Konto“, damit die andere Seite ihre eigene Abmachung noch nachlesen kann. Wurde nie ein Angebot angenommen, gibt es nichts nachzulesen, und alles geht mit dem Konto. Eine einzelne eigene Nachricht kannst du entfernen; dass sie dort stand, bleibt sichtbar, weil die andere Seite sie gelesen hat.

Meldest du ein Gespräch, lesen wir es. Anders lässt sich eine Meldung nicht beantworten. Wer es geöffnet hat und wann, halten wir dabei fest, und ohne diesen Eintrag bekommt auch niemand den Text zu sehen. Geöffnet wird nur, was gemeldet wurde: bei uns zu arbeiten ist kein Grund, in fremde Nachrichten zu sehen, darum gebeten zu werden schon.

Wer geöffnet hat und wann, bewahren wir drei Jahre auf, auch wenn die Verhandlung längst gelöscht ist. Nur so lässt sich später noch belegen, dass wir nur nach einer Meldung gelesen haben (Art. 5 Abs. 2, gestützt auf Art. 17 Abs. 3 lit. e). Was du in einer Meldung geschrieben hast, verschwindet dagegen mit dem Gespräch: Deine Worte sind nicht unser Nachweis.

Von einer neuen Nachricht erfährt dein Telefon nur, dass es eine gibt. Der Text selbst geht nie an Apple.

Wie wir die Nutzung dieser Seite messen

Wir möchten wissen, welche Seiten gelesen werden und an welcher Stelle Menschen abbrechen. Dafür nutzen wir keinen fremden Dienst, sondern zählen selbst, auf unserem eigenen Server in Deutschland.

Wir speichern nichts auf deinem Gerät: kein Cookie, keinen Eintrag im Browserspeicher, keine Kennung. Deine IP-Adresse speichern wir nicht. Um zu erkennen, ob zwei Seitenaufrufe zur selben Person gehören, bilden wir einen Prüfwert aus deiner IP-Adresse, deiner Browserkennung und einem geheimen Schlüssel, der jede Nacht wechselt. Der Prüfwert lässt sich nicht zurückrechnen, und weil der Schlüssel täglich wechselt, lässt er sich auch nicht über mehrere Tage hinweg verbinden. Wir können dich damit weder wiedererkennen, wenn du morgen zurückkommst, noch über andere Seiten hinweg verfolgen.

Erfasst werden: aufgerufene Seite, die verweisende Website (nur deren Domain, nie die vollständige Adresse), eine Kampagnenkennung aus dem Link, Gerätetyp, Browser, Betriebssystem, grobe Sprachgruppe, Ladezeiten, wie weit gescrollt wurde, die Verweildauer, Klicks auf fremde Seiten sowie ob ein Formular begonnen und abgeschickt wurde.

Rechtsgrundlage ist unser berechtigtes Interesse, Art. 6 Abs. 1 lit. f: Wir möchten erkennen, ob diese Seite verständlich ist und funktioniert. Weil wir nichts auf deinem Gerät ablegen und nichts davon auslesen, ist § 25 TDDDG nicht einschlägig und eine Einwilligung nicht erforderlich. Du kannst dieser Verarbeitung nach Art. 21 jederzeit widersprechen.

Sendet dein Browser „Do Not Track“ oder ein Global-Privacy-Control-Signal, zählen wir dich gar nicht. Dafür musst du uns nicht schreiben.

Die einzelnen Ereignisse löschen wir nach 14 Tagen. Was bleibt, sind Tagessummen wie „am 12. März: 84 Aufrufe, 61 Besucher“. Daraus lässt sich keine Person mehr herauslesen.

Wer bekommt deine Daten?

Hetzner Online GmbH betreibt unsere Server in Deutschland (Auftragsverarbeiter). Dort liegt auch der Objektspeicher, in dem wir Profilbilder ablegen. Er ist nicht öffentlich: Ein Bild ist nur über unsere eigene Adresse erreichbar, und die prüft vorher, wer zusehen darf.

Zoho Corporation B.V. versendet unsere E-Mails über Server in der EU. Dorthin geht ausschließlich deine E-Mail-Adresse samt Inhalt der jeweiligen Nachricht, keine Profildaten, keine Anlagendaten, keine Zählernummern.

Apple Inc. (USA) stellt Mitteilungen auf deinem iPhone zu, aber nur, wenn du sie in der App eingeschaltet hast. Dorthin gehen dann zwei Dinge: der Text der Mitteilung, also etwa „Dein Zähler sendet“, und die Adresse, unter der dein Gerät erreichbar ist. Mehr nicht, insbesondere weder deine E-Mail-Adresse noch etwas aus deinem Profil. Apple ist nach dem EU-US Data Privacy Framework zertifiziert; auf dieser Grundlage ist die Übermittlung nach Art. 45 DSGVO zulässig. Schaltest du die Mitteilungen in den Einstellungen deines Telefons wieder aus, hört sie auf. Bei uns steht dazu, solange du sie eingeschaltet hast: die Adresse deines Geräts, ob es ein iPhone oder ein Android-Gerät ist, und ein Gerätename, den du selbst wählst. Sagt Apple uns, dass es die Installation nicht mehr gibt, legen wir den Eintrag still und löschen ihn sieben Tage später.

Darüber hinaus findet keine Übermittlung in Drittländer statt. Wir verkaufen keine Daten.

Deine Rechte

Auskunft und Datenübertragbarkeit (Art. 15, 20): Im Konto kannst du jederzeit selbst eine vollständige Kopie als JSON herunterladen.

Berichtigung (Art. 16): Jedes Profilfeld ist jederzeit änderbar.

Löschung (Art. 17): Im Konto mit einem Klick, nach Passwortbestätigung. Die Daten werden entfernt, nicht nur als gelöscht markiert.

Widerspruch (Art. 21) und Widerruf (Art. 7 Abs. 3): jederzeit, so einfach wie die Erteilung.

Beschwerderecht bei einer Aufsichtsbehörde (Art. 77).

Was eine Löschung überdauert, und warum

Zwei Dinge bleiben bewusst erhalten, und wir sagen das lieber deutlich, als es zu verschweigen:

Der Nachweis einer erteilten oder widerrufenen Einwilligung, samt Zeitpunkt, IP-Adresse, Browserkennung und dem Wortlaut des Textes, dem du zugestimmt hast. Wir müssen belegen können, dass eine Einwilligung vorlag (Art. 7 Abs. 1); gestützt auf Art. 17 Abs. 3 lit. e bewahren wir ihn drei Jahre nach dem Widerruf auf.

Ein Prüfwert (Hash) deiner Adresse auf der Sperrliste, nicht die Adresse selbst. Ohne ihn könnten wir einen Widerspruch nicht dauerhaft beachten.

Aus Sicherungen verschwinden gelöschte Daten erst mit deren Ablauf, spätestens nach rund 90 Tagen.

Sicherheit

Passwörter speichern wir ausschließlich als Argon2id-Hash, Token nur als Prüfwert. Zähleridentifikatoren sind zusätzlich feldverschlüsselt. Die Datenbank ist von außen nicht erreichbar. Der gesamte Verkehr läuft über HTTPS.