Datenschutzerklärung — Novatus Sales Pro
Stand: 26.05.2026 · Version 1.0.0
Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 DSGVO (und, soweit auf Sie anwendbar, dem UK GDPR / Data Protection Act 2018 sowie der California Consumer Privacy Act für Nutzer:innen in Kalifornien) über die Verarbeitung personenbezogener Daten im Zusammenhang mit der App „Novatus Sales Pro".
1. Verantwortlicher
NOVATUS Energie GmbHMaximiliankorso 60 · 13465 Berlin · DeutschlandE-Mail: info@novatus-se.com · Telefon: +49 (0) 30 398205700Geschäftsführer: Christof SchirmHandelsregister: AG Charlottenburg, HRB 222 580UK-Vertreter (UK-GDPR Art. 27): siehe Abschnitt 11
2. Datenschutzbeauftragte:r
Anfragen zum Datenschutz richten Sie bitte an: datenschutz@novatus-se.com.
3. Verarbeitete Datenkategorien & Zwecke
Wir verarbeiten folgende Kategorien personenbezogener Daten:
3.1 Über App-Nutzer:innen (Vertriebler:innen / Installateure)
- Stammdaten: Vor- und Nachname, Anschrift, Geburtsdatum, Telefonnummer, E-Mail-Adresse
- Unternehmensdaten: Firmenname, USt-IdNr., Handelsregister-Nr., Steuernummer, IBAN, BIC, Kontoinhaber (für Provisionsauszahlung)
- Account-Daten: Rolle, Organisationszugehörigkeit, Gebiet, Aktivitätsverlauf, letzte Login-Zeit, Plausibilitäts-Score
- Authentifizierungs-Daten: OTP-Codes (60 s gültig), Audit-Log der Login-Versuche (IP, User-Agent, Zeitstempel) — gespeichert 90 Tage zur Missbrauchserkennung
- Geräte-/Technik-Daten: bei Push-Benachrichtigungen Geräte-Token (FCM/APNS), Browser-Fingerprint für Geräte-Wiedererkennung
- Schulungsdaten: Quiz-Ergebnisse, Zertifikatsstatus, Fortschrittsmarker im Schulungs-Handbuch
3.2 Über Endkund:innen (Hausbesitzer:innen, deren Projekte ihr aufnehmt)
- Identifikation: Anrede, Vor- und Nachname, Anschrift, Telefonnummer, E-Mail-Adresse
- Vertragsdaten: Kundennummer, Bauvorhaben, Liefertermine, Angebots-Nummer, Auftragsstatus
- Energiedaten: aktueller Energieverbrauch, Heizungstyp, Heizlast, Wohnfläche, KfW-Förderdaten
- Bilddokumentation: Fotos und Videos vom Heizungsraum, Skizzen, KI-Analyseergebnisse
- Finanzdaten: Angebotssummen, Anzahlungs- und Schlussrechnungen, Zahlungseingänge
3.3 Zwecke
| Zweck | Rechtsgrundlage |
|---|---|
| Vertragsdurchführung App-Nutzung | Art. 6 (1) b DSGVO |
| Vertragsanbahnung & -durchführung Wärmepumpen-Kauf | Art. 6 (1) b DSGVO |
| OTP-Versand, Login-Audit | Art. 6 (1) f DSGVO (berechtigt. Interesse: Sicherheit) |
| Marketing-E-Mails an Endkunden | Art. 6 (1) a DSGVO (Einwilligung) |
| Provisionsabrechnung & Steuer | Art. 6 (1) c DSGVO (gesetzl. Pflicht) |
| KI-gestützte Heizungs-Analyse | Art. 6 (1) b DSGVO (Vertragsanbahnung) |
| Plausibilitäts-Score für Auto-Approval | Art. 6 (1) f DSGVO (Missbrauchsabwehr) |
4. Empfänger / Auftragsverarbeiter
Folgende Auftragsverarbeiter sind im Einsatz; mit allen wurden AV-Verträge gemäß Art. 28 DSGVO geschlossen:
- MongoDB Atlas (DB-Hosting, EU-Region) — `MongoDB, Inc.`, NYC, USA (Standard-Vertragsklauseln + EU-Region)
- SMTP-Provider United-Domains (E-Mail-Versand) — `united-domains AG`, Starnberg, Deutschland
- Google Gemini / OpenAI (KI-Bildanalyse für Heizungs-Erkennung) — Daten werden nur ad-hoc übermittelt, Bilder werden nicht langfristig auf den KI-Servern gespeichert (siehe Provider-Doku zum jeweiligen Modell)
- Twilio (SMS-OTP, derzeit Mock — wird mit Produktivstart aktiviert) — `Twilio Ireland Ltd.`, Dublin, Irland
- Emergent.host (Application-Hosting) — Standard-Vertragsklauseln
Eine Übermittlung in Drittländer außerhalb EU/UK erfolgt ausschließlich auf Basis der EU-Standardvertragsklauseln (SCC, EU-Beschluss 2021/914) und ggf. ergänzender technischer und organisatorischer Maßnahmen.
5. Speicherdauer
| Daten | Speicherdauer |
|---|---|
| App-Account (aktiv) | für die Dauer der Mitgliedschaft + 3 Jahre nach Kündigung (Aufbewahrungspflicht Provisionsabrechnung) |
| Endkunden-Projektdaten | 10 Jahre nach Vertragsschluss (§ 147 AO, § 257 HGB) |
| Audit-Log Login-Versuche | 90 Tage |
| OTP-Codes | 5 Minuten |
| Bilder / Videos / Skizzen | bis zur Löschung durch den Nutzer ODER 10 Jahre nach Projektabschluss |
| Anonymisierte Analytics | unbegrenzt (keine Personenbezüge) |
6. Ihre Rechte (DSGVO Art. 15 – 22, UK-GDPR identisch)
Sie haben jederzeit das Recht auf:
- Auskunft (Art. 15) — Welche Daten haben wir über Sie?
- Berichtigung (Art. 16) — Korrektur unrichtiger Daten
- Löschung (Art. 17, "Recht auf Vergessenwerden")
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20) — Export Ihrer Daten als maschinenlesbare Datei
- Widerspruch gegen Verarbeitung auf Grundlage des berechtigten Interesses (Art. 21)
- Widerruf einer Einwilligung mit Wirkung für die Zukunft
- Beschwerde bei der Aufsichtsbehörde — z. B. Berliner Beauftragte für Datenschutz und Informationsfreiheit, im UK: ICO (Information Commissioner's Office)
Alle Rechte können Sie direkt in der App ausüben (*Profil → Datenschutz*) oder per E-Mail an datenschutz@novatus-se.com.
7. Automatisierte Entscheidungen / Profiling
Die App nutzt einen automatisierten Plausibilitäts-Score bei der Account-Freischaltung (Art. 22 DSGVO). Erreicht eine Registrierung einen Schwellwert, wird sie automatisch aktiviert; andernfalls erfolgt eine manuelle Admin-Prüfung. Sie haben das Recht, eine menschliche Überprüfung dieser Entscheidung zu verlangen — die Anfrage erfolgt formlos an info@novatus-se.com.
Die KI-gestützte Heizungs-Erkennung (Foto → Heizungstyp) ist ein Vorschlag für den Vertriebler; die finale Entscheidung trifft stets ein Mensch.
8. Cookies, Local Storage & Tracking
Die App nutzt ausschließlich technisch notwendige Speicherung im Local Storage des Browsers (Login-Token, Sprachpräferenz, App-Tour-Status, Offline-Cache). Es werden keine Marketing- oder Analytics-Cookies gesetzt. Eine Einwilligung nach § 25 TTDSG ist daher nicht erforderlich.
9. Datensicherheit
Wir setzen TLS 1.3 für sämtliche Verbindungen, AES-256-Verschlüsselung für sensitive Felder in der Datenbank sowie ein rollenbasiertes Zugriffsmodell ein. Zugang zu Produktivdaten ist auf einen sehr begrenzten Personenkreis beschränkt und protokolliert.
10. Übermittlung in Drittländer (DSGVO Art. 44 ff.)
Soweit Daten in Länder außerhalb der EU/des EWR übermittelt werden (siehe Abschnitt 4), erfolgt dies ausschließlich auf Basis eines Angemessenheitsbeschlusses der EU-Kommission oder durch EU-Standardvertragsklauseln. Eine Kopie der relevanten SCCs erhalten Sie auf Anfrage.
11. Nutzer:innen im Vereinigten Königreich (UK-GDPR)
Soweit Sie Ihren gewöhnlichen Aufenthalt im Vereinigten Königreich haben, gilt diese Datenschutzerklärung gemäß UK-GDPR / DPA 2018. Ihre zusätzlichen Rechte beinhalten:
- Beschwerde direkt beim Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, UK (https://ico.org.uk).
- Ein UK-Vertreter im Sinne von UK-GDPR Art. 27 wird mit Produktivstart in UK benannt und an dieser Stelle veröffentlicht.
12. Nutzer:innen in Kalifornien (CCPA)
Soweit Sie kalifornische:r Einwohner:in sind, gewährt Ihnen der California Consumer Privacy Act (CCPA) zusätzliche Rechte (Right to Know, Right to Delete, Right to Opt-Out of Sale). Wir „verkaufen" keine personenbezogenen Daten im Sinne des CCPA. Anfragen richten Sie bitte an datenschutz@novatus-se.com.
13. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich Rechtsvorschriften oder unsere Verarbeitungspraktiken ändern. Die jeweils aktuelle Fassung ist in der App jederzeit unter *Profil → Datenschutz* einsehbar. Wesentliche Änderungen werden spätestens 30 Tage vor Wirksamwerden per E-Mail angekündigt.