DATENSCHUTZ.

01 · VERANTWORTLICHER

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und sonstiger nationaler Datenschutzgesetze ist:

Regioscout GmbH (Marke „RegioScout“)

Neumühlen 19

22763 Hamburg

Deutschland

Vertreten durch: Timo Nowok

Telefon: +49 4402 8609978

E-Mail: [email protected]

Registergericht: Amtsgericht Hamburg, HRB 201951

02 · DATENSCHUTZBEAUFTRAGTE:R

Es ist ein externer Datenschutzbeauftragter bestellt:

Freyberg Consulting

Inh. Felix Freyberg

Mandrellaplatz 3

12555 Berlin

Telefon: +49 30 16634495

E-Mail: [email protected]

03 · GRUNDSÄTZLICHES

Wir verarbeiten personenbezogene Daten unserer Interessentinnen und Interessenten („betroffene Personen“) nur im erforderlichen Umfang und ausschließlich auf Grundlage der geltenden gesetzlichen Bestimmungen (DSGVO, BDSG, TDDDG).

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, Anschrift, Telefonnummer, E-Mail-Adresse).

04 · WELCHE DATEN WIR VERARBEITEN

RegioScout vermittelt Interessenten für Photovoltaik- und Wärmepumpen-Projekte an regionale Fachbetriebe. Der Datenfluss verläuft in drei Schritten:

1. Erhebung an der Haustür durch Außendienstmitarbeitende (Door-to-Door-Scouts).

2. Telefonische, KI-gestützte Qualifizierung des bekundeten Interesses.

3. Weitergabe an bis zu vier regionale Partnerunternehmen zur Angebotserstellung.

Kategorien verarbeiteter Daten:

– Stammdaten: Anrede, Vor- und Nachname

– Kontaktdaten: Anschrift (Straße, Hausnummer, PLZ, Ort), Telefonnummer, E-Mail-Adresse

– Vorhabensdaten: Produktinteresse (Photovoltaik / Wärmepumpe), Eigentümereigenschaft, geplanter Umsetzungszeitraum, Motivation/Ziel des Vorhabens

– Objektbezogene Daten zur Bedarfseinschätzung: Haustyp, Dachfläche und Stromverbrauch (Photovoltaik) bzw. Haustyp, Alter und Verbrauch der Heizung (Wärmepumpe)

– Einwilligungsnachweis: Zeitpunkt und Kanal des Opt-ins (SMS/E-Mail), Zeitpunkt des Haustürbesuchs, eingesetzte:r Außendienstmitarbeiter:in

– Daten aus dem Qualifizierungsanruf: Gesprächsergebnis/Qualifizierungsstatus sowie Tonaufzeichnung und Transkription des Anrufs (siehe Abschnitt 6)

– Kommunikationsdaten: Inhalt, Zeitpunkt und Zustellstatus von Nachrichten (SMS, Chat-Nachricht per RCS, E-Mail) und Anrufen zwischen Ihnen und Ihrer Beraterin oder Ihrem Berater

– Technische Daten bei Nutzung unserer Website (siehe Abschnitt 13)

05 · DATENERHEBUNG AN DER HAUSTÜR

Unsere Außendienstmitarbeitenden sprechen Hauseigentümerinnen und -eigentümer in ausgewählten Gebieten an. Bekundet eine Person Interesse an Photovoltaik oder einer Wärmepumpe, erfassen wir die unter Abschnitt 4 genannten Daten.

Einwilligung in Echtzeit. Noch während des Gesprächs vor Ort erhält die betroffene Person eine SMS oder E-Mail mit der Bitte um Bestätigung (Opt-in). Erst mit dieser dokumentierten, mit Zeitstempel versehenen Zustimmung dürfen wir die Daten weiterverarbeiten und an Partnerunternehmen weitergeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (siehe Abschnitt 12).

06 · KI-GESTÜTZTE QUALIFIZIERUNG

Nach der Erhebung rufen wir die betroffene Person an, um das Interesse zu prüfen (Eigentümereigenschaft, konkreter Bedarf, Terminbereitschaft).

Einsatz eines KI-gestützten Sprachassistenten. Dieser erste Anruf erfolgt regelmäßig durch einen automatisierten, KI-gestützten Sprachassistenten. Dieser gibt sich auf Nachfrage als KI-gestützter Assistent zu erkennen und leitet auf Wunsch an einen Menschen weiter. Ist die KI unsicher oder wünscht die Person ein menschliches Gespräch, übernimmt ein:e Mitarbeiter:in.

Für den Betrieb des Sprachassistenten setzen wir den Dienstleister ElevenLabs, Inc. (Sitz USA; Büros u. a. in London und Warschau) als Auftragsverarbeiter ein (siehe Abschnitte 8 und 9).

Aufzeichnung und Transkription. Der Qualifizierungsanruf wird aufgezeichnet und automatisiert in Text umgewandelt (Transkription). Zweck ist die Prüfung und der Nachweis der Qualifizierung (Eigentümereigenschaft, Bedarf, Terminbereitschaft) sowie die Qualitätssicherung.

Die Aufzeichnung erfolgt nur mit Ihrer gesonderten Einwilligung. Diese holen wir zweistufig ein: zum einen über eine eigene, ausdrückliche Zustimmung im Rahmen des Opt-ins (getrennt von der Zustimmung zu dieser Datenschutzerklärung), zum anderen durch einen Hinweis zu Beginn des Anrufs, bei dem Sie der Aufzeichnung widersprechen können. Ohne Ihre Einwilligung in die Aufzeichnung kann die Qualifizierung auch ohne Tonaufzeichnung erfolgen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (gesonderte, freiwillige Einwilligung in die Aufzeichnung). Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Speicherort (eigene Server bei Strato) und Speicherdauer von Aufzeichnung und Transkription: siehe Abschnitt 11.

07 · WEITERGABE AN PARTNERUNTERNEHMEN

Kern unserer Leistung ist die Weitergabe Ihrer Anfrage an regionale Fachbetriebe. Je nach gewähltem Vermittlungsmodell geben wir Ihre Daten weiter an:

– bis zu vier regionale Partnerunternehmen (Standardfall), oder

– genau ein Partnerunternehmen (exklusive Vermittlung).

Die empfangenden Partnerunternehmen sind eigenständig Verantwortliche für die weitere Verarbeitung Ihrer Daten; ihre jeweiligen Datenschutzhinweise gelten ab Übermittlung ergänzend.

Kategorien der Empfänger: Fachbetriebe für Photovoltaik- und Wärmepumpen-Installation in Ihrer Region. Eine Auskunft über die konkret beteiligten Partnerunternehmen erhalten Sie auf Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Über die Anzahl der Empfänger werden Sie spätestens im Qualifizierungsanruf informiert.

08 · EINGESETZTE DIENSTLEISTER

Zur Erbringung unserer Leistung setzen wir sorgfältig ausgewählte Dienstleister ein, die Daten ausschließlich nach unserer Weisung und auf Grundlage von Verträgen zur Auftragsverarbeitung gemäß Art. 28 DSGVO verarbeiten:

– Strato AG: Hosting/Server sowie E-Mail-Versand über eigene Server (Sitz Deutschland)

– ElevenLabs, Inc.: KI-Sprachassistent inkl. Aufzeichnung/Transkription des Qualifizierungsanrufs (EU-Datenresidenz, siehe Abschnitt 9)

– GatewayAPI ApS: Versand des Echtzeit-Opt-ins per SMS (Sitz Dänemark/EU)

– Twilio Inc.: Telefonate unserer Beraterinnen und Berater sowie Versand und Empfang von Nachrichten per SMS und Chat-Nachricht (RCS) (Sitz USA, siehe Abschnitt 9)

– Dealfront Group GmbH (Leadfeeder): Erkennung besuchender Unternehmen auf unserer Website (Sitz Deutschland, Hosting EU, siehe Abschnitt 13)

– Cloudflare, Inc.: Auslieferung und Absicherung der Website sowie Reichweitenmessung ohne Cookies (Sitz USA, siehe Abschnitte 9 und 13)

09 · DATENÜBERMITTLUNG IN DRITTLÄNDER

Für den KI-Sprachassistenten setzen wir ElevenLabs, Inc. ein. Die Verarbeitung erfolgt für unseren Account innerhalb der EU (europäische Datenresidenz); zusätzlich ist der No-Storage-Modus aktiviert, sodass Inhalte nicht auf den Servern von ElevenLabs gespeichert werden. Aufzeichnung und Transkription werden ausschließlich auf unseren eigenen Servern bei Strato (Deutschland) gespeichert. ElevenLabs gibt eine DSGVO-Konformität sowie eine SOC-2-Zertifizierung an; ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) liegt vor.

Soweit personenbezogene Daten in Einzelfällen dennoch in einem Drittland (insbesondere den USA) verarbeitet werden oder ein Zugriff von dort möglich ist, stützen wir die Übermittlung auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien stellen wir auf Anfrage bereit.

Für Telefonate und Nachrichten unserer Beraterinnen und Berater setzen wir Twilio Inc., 101 Spear Street, San Francisco, CA 94105, USA, als Auftragsverarbeiter ein. Telefonate werden in der EU-Region von Twilio (Irland) verarbeitet, Nachrichten per SMS und Chat-Nachricht (RCS) in Rechenzentren in den USA. Twilio ist nach dem EU-U.S. Data Privacy Framework zertifiziert; Übermittlungen erfolgen auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO), ergänzend auf Grundlage von EU-Standardvertragsklauseln. Der Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) ist Bestandteil unseres Vertrags mit Twilio.

Für die Auslieferung unserer Website und die Terminbuchung setzen wir außerdem Cloudflare, Inc. und Cal.com, Inc. mit Sitz in den USA ein (siehe Abschnitt 13). Beide Unternehmen sind nach dem EU-U.S. Data Privacy Framework zertifiziert; Übermittlungen erfolgen auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO), ergänzend auf Grundlage von EU-Standardvertragsklauseln.

10 · RECHTSGRUNDLAGEN IM ÜBERBLICK

– Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (Haustür-Opt-in, Qualifizierung, Weitergabe an Partner)

– Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (z. B. IT-Sicherheit, Qualitätssicherung, passgenaue Vermittlung)

– Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (z. B. Nachweis- und Aufbewahrungspflichten)

11 · SPEICHERDAUER UND LÖSCHUNG

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen.

– Anfragedaten / Vorhabensdaten: Löschung bzw. Anonymisierung spätestens 6 Monate nach Abschluss der Vermittlung; bei Nicht-Qualifizierung innerhalb von 3 Monaten.

– Einwilligungsnachweise (Opt-in und Aufzeichnung): bis zu 3 Jahre nach Widerruf bzw. Ablauf der Einwilligung (Nachweiszweck).

– Tonaufzeichnung des Anrufs: 90 Tage, anschließend Löschung. Transkription: bis zum Abschluss der Vermittlung, längstens 6 Monate.

– Server-Logfiles: siehe Abschnitt 13

Nach Wegfall des Zwecks und Ablauf etwaiger Fristen werden die Daten gelöscht oder anonymisiert.

12 · IHRE RECHTE ALS BETROFFENE PERSON

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten zu:

– Auskunft (Art. 15 DSGVO)

– Berichtigung (Art. 16 DSGVO)

– Löschung (Art. 17 DSGVO)

– Einschränkung der Verarbeitung (Art. 18 DSGVO)

– Datenübertragbarkeit (Art. 20 DSGVO)

– Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21 DSGVO)

Widerruf der Einwilligung. Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Bitte beachten Sie: Wurden Ihre Daten bereits an Partnerunternehmen übermittelt, wenden Sie sich für deren Löschung zusätzlich an das jeweilige Unternehmen, da dieses eigenständig verantwortlich ist.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an [email protected].

Beschwerderecht bei der Aufsichtsbehörde. Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Bundesland Ihres Wohnsitzes oder am Sitz des Verantwortlichen. Zuständig am Unternehmenssitz ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen)

Prinzenstraße 5, 30159 Hannover

13 · NUTZUNG UNSERER WEBSITE

Diese Datenschutzerklärung gilt auch für die Nutzung unserer Website unter regioscout.de.

Server-Logfiles. Beim Aufruf unserer Website erhebt der Provider automatisch Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, abgerufene Datei, Browser/Betriebssystem). Zweck: technischer Betrieb und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 7 Tage.

Auslieferung und Sicherheit (Cloudflare). Unsere Website wird über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, ausgeliefert. Dabei verarbeitet Cloudflare Ihre IP-Adresse und technische Verbindungsdaten (u. a. aufgerufene Adresse, Zeitpunkt, Browserkennung) in Rechenzentren in den USA und Europa, um die Website schnell und sicher bereitzustellen und Angriffe abzuwehren. Zum Schutz unserer E-Mail-Adresse vor automatisiertem Auslesen fügt Cloudflare ein kleines Skript ein, das die Adresse erst in Ihrem Browser lesbar macht. Cloudflare handelt dabei als Auftragsverarbeiter; der Vertrag zur Auftragsverarbeitung ist Bestandteil unseres Vertrags mit Cloudflare. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und schnellen Website).

Cookies. Wir setzen ausschließlich technisch notwendige Cookies ein, die für den Betrieb der Website erforderlich sind. Ein Einwilligungsbanner ist hierfür nicht erforderlich (§ 25 Abs. 2 TDDDG). Tracking- oder Marketing-Cookies setzen wir nicht ein.

Besucheranalyse für Unternehmen (Leadfeeder). Unsere Website nutzt den Dienst Leadfeeder der Dealfront Group GmbH, Durlacher Allee 73, 76131 Karlsruhe. Leadfeeder verarbeitet die IP-Adresse sowie Angaben zum Besuch (aufgerufene Seiten, Datum, Uhrzeit und Dauer, Herkunftsquelle) und gleicht die IP-Adresse mit Unternehmensdatenbanken ab, um zu erkennen, welche Unternehmen unsere Website besuchen. Cookies werden dabei nicht gesetzt. Zweck ist die Verbesserung unseres Angebots und unseres Vertriebs gegenüber Fachbetrieben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Mit Dealfront besteht ein Vertrag zur Auftragsverarbeitung; die Daten werden in der EU gehostet. Die Daten werden gelöscht, sobald sie für diesen Zweck nicht mehr erforderlich sind.

Reichweitenmessung (Cloudflare Web Analytics). Um Seitenaufrufe, Herkunftsseiten und Ladezeiten auszuwerten, nutzen wir Cloudflare Web Analytics desselben Anbieters. Dabei werden die aufgerufene Seite, die verweisende Seite, die Browserkennung sowie Lade- und Leistungswerte übermittelt. Cloudflare Web Analytics setzt keine Cookies, nutzt keinen lokalen Speicher in Ihrem Browser und erstellt keine Profile einzelner Besucher; Ihre IP-Adresse wird technisch bedingt übertragen, nach Angaben von Cloudflare aber nicht zur Wiedererkennung von Besuchern verwendet. Einzeldaten speichert Cloudflare 7 Tage, danach nur noch zusammengefasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer Website).

Terminbuchung (Cal.com). Für die Vereinbarung von Gesprächsterminen mit Fachbetrieben binden wir den Dienst Cal.com der Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, USA, ein. Das Buchungsfenster wird erst geladen, wenn Sie aktiv einen Termin buchen möchten; vorher findet keine Verbindung zu Cal.com statt. Bei der Buchung verarbeitet Cal.com die von Ihnen eingegebenen Daten (Name, E-Mail-Adresse, gegebenenfalls Telefonnummer und Ihre Angaben im Buchungsformular) sowie technische Daten (IP-Adresse, Browser, Zeitpunkt). Im Buchungsfenster kann Cal.com technisch notwendige Cookies oder lokalen Speicher für Sicherheit und Darstellung nutzen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung einer Zusammenarbeit) bzw. Art. 6 Abs. 1 lit. f DSGVO.

Kontaktaufnahme. Bei Kontakt per E-Mail oder Formular verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).

Schriftarten. Die auf unserer Website verwendeten Schriftarten (Bricolage Grotesque, Inter) werden lokal von unserem Server ausgeliefert. Es findet keine Verbindung zu Servern Dritter (z. B. Google Fonts) und damit keine Übertragung Ihrer IP-Adresse an Dritte zu diesem Zweck statt.

14 · FIRMENVERZEICHNIS

Unter regioscout.de/firmen/ führen wir ein Verzeichnis von Fachbetrieben für Photovoltaik und Wärmepumpen. Es soll Hauseigentümerinnen und Hauseigentümern die Suche nach Betrieben in ihrer Region erleichtern. Die folgenden Hinweise richten sich an die aufgeführten Betriebe (Informationspflicht nach Art. 14 DSGVO).

Verarbeitete Daten. Name des Betriebs, Anschrift des Betriebssitzes, Website, angebotene Leistungen, Einzugsgebiet sowie weitere Angaben zum Betrieb (z. B. Gründungsjahr, Meisterbetrieb, Partnerschaften mit Herstellern) jeweils mit Herkunft und Prüfdatum. Personenbezogen sind diese Daten vor allem dann, wenn der Betriebsname den Namen einer Person enthält, etwa bei Einzelunternehmen. Namen von Ansprechpersonen veröffentlichen wir nicht. Telefonnummer und E-Mail-Adresse des Betriebs zeigen wir nur, wenn der Betrieb sie selbst in seinem Profil im RegioScout-Portal veröffentlicht.

Herkunft der Daten. Öffentlich zugängliche Quellen, insbesondere die Website des Betriebs einschließlich Impressum und das Google-Unternehmensprofil, sowie eigene Recherche. Angaben, die der Betrieb selbst bestätigt, sind als solche gekennzeichnet. Hat ein Betrieb sein Profil im RegioScout-Portal übernommen, stammen die Profilangaben (z. B. Beschreibung, Bilder, Leistungen, Einzugsgebiet, Kontaktdaten) aus seinen eigenen Eingaben im Portal.

Google-Unternehmensprofil. Ist einem Betrieb ein Google-Unternehmensprofil zugeordnet, zeigen wir Fotos und einen Link zu diesem Profil. Wir speichern dafür nur die Kennung des Profils (Place-ID). Die Inhalte ruft unser Server bei jedem Seitenaufruf über die Google Maps Platform (Places API) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ab und speichert sie nicht. Ihre IP-Adresse als Besucherin oder Besucher wird dabei nicht an Google übermittelt. Bei Fotos nennen wir die von Google angegebenen Urheberinnen und Urheber.

Zweck und Rechtsgrundlage. Wir verfolgen das berechtigte Interesse, Verbraucherinnen und Verbrauchern einen Überblick über regionale Fachbetriebe zu geben und unsere Plattform bekannt zu machen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Empfänger. Die Einträge sind auf unserer Website öffentlich abrufbar. Wie die Reihenfolge der Einträge entsteht, erklärt die Seite regioscout.de/firmen/ranking/.

Speicherdauer. Wir speichern die Daten, solange der Betrieb im Verzeichnis geführt wird. Widerspricht ein Betrieb, entfernen wir den Eintrag unverzüglich und behalten nur einen Vermerk, damit er nicht erneut aufgenommen wird.

Widerspruch und weitere Rechte. Sie können der Aufnahme Ihres Betriebs jederzeit widersprechen (Art. 21 DSGVO) und Angaben berichtigen lassen (Art. 16 DSGVO). Es genügt eine formlose Nachricht an [email protected] oder die Schaltfläche „Daten korrigieren oder entfernen“ auf der Seite Ihres Betriebs. Ihre weiteren Rechte finden Sie in Abschnitt 12.

Bewertungen. Auf den Profilen veröffentlichen wir Bewertungen von Hauseigentümerinnen und Hauseigentümern, die wir an den Betrieb vermittelt haben oder die über uns eine Anlage bei dem Betrieb gekauft haben. Angezeigt werden die Bewertung (Sterne, Text, Datum) und der Name der bewertenden Person in gekürzter Form (Vorname und erster Buchstabe des Nachnamens). Die Bewertungsdaten werden im RegioScout-Portal verarbeitet und von dort auf der Website angezeigt.

Inhalt melden. Über „Inhalt melden“ können Sie uns Profile, Bilder oder Bewertungen melden. Dabei verarbeiten wir den Grund, Ihre Nachricht, Ihren Namen und Ihre E-Mail-Adresse sowie die gemeldete Stelle, um die Meldung zu bearbeiten und Ihnen zu antworten. Die Meldung wird direkt an das RegioScout-Portal übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Prüfung gemeldeter Inhalte).

Suche im Verzeichnis. Die Suche nach Postleitzahl lädt von unserem Server nur die Daten für die ersten beiden Ziffern der eingegebenen Postleitzahl. Die vollständige Eingabe verlässt Ihren Browser nicht.

15 · DATENSICHERHEIT

Wir treffen geeignete technische und organisatorische Maßnahmen, um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen (u. a. Transportverschlüsselung, Zugriffskontrollen). Diese werden fortlaufend an den Stand der Technik angepasst.

16 · ÄNDERUNG DIESER ERKLÄRUNG

Diese Datenschutzerklärung hat den Stand Oktober 2026. Durch Weiterentwicklung unseres Angebots oder geänderte rechtliche Vorgaben kann eine Anpassung erforderlich werden. Es gilt jeweils die hier veröffentlichte aktuelle Fassung.