Datenschutzerklärung

Otto Boldt (Einzelunternehmer)
Richard-Wagner-Straße 1, 04109 Leipzig
Telefon: +49 179 1194096
E-Mail: info@natuerlichabgesichert.de

Ein Datenschutzbeauftragter ist nicht benannt (gesetzlich nicht erforderlich).

Das NA STROM CRM ist eine interne Vertriebsanwendung zur Beratung und Vermittlung von Strom- und Gasverträgen. Zugang haben ausschließlich eingeladene Mitarbeiterinnen, Mitarbeiter und Vertriebspartner; eine öffentliche Registrierung gibt es nicht. Verarbeitet werden personenbezogene Daten von Kundinnen, Kunden und Interessenten (nachfolgend „Kundendaten") sowie von den angemeldeten Nutzerinnen und Nutzern des Systems.

Kundendaten: Stammdaten (Name, ggf. Firma, Anschrift, Telefonnummer, E-Mail-Adresse), Vertrags- und Verbrauchsdaten (Zählernummer, Marktlokations-ID, Jahresverbrauch, Abschläge, bisheriger Anbieter, Vertragslaufzeiten), Bankdaten (IBAN, Kontoinhaber — besonders geschützt, siehe Ziffer 8), hochgeladene Rechnungs-/Abrechnungsbelege, Kommunikations- und Aktivitätshistorie (Anrufversuche, Notizen, Termine, Angebote).

Nutzerdaten (Team): Name, E-Mail-Adresse, Rollen- und Rechtezuordnung, Anmeldedaten (bei Supabase Auth), Tätigkeitsstatistiken (z. B. Anrufe, Abschlüsse) sowie — je nach Rolle — Provisionsdaten.

Wir verarbeiten Kundendaten zur Anbahnung und Erfüllung von Verträgen über Energielieferungen (Art. 6 Abs. 1 lit. b DSGVO), auf Grundlage unseres berechtigten Interesses an einer effizienten Vertriebsorganisation und Kundenbetreuung (Art. 6 Abs. 1 lit. f DSGVO), auf Grundlage einer Einwilligung, soweit eine solche eingeholt wurde — z. B. für die Kontaktaufnahme oder die KI-Auswertung hochgeladener Belege (Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerruflich) — sowie zur Erfüllung rechtlicher Pflichten wie handels- und steuerrechtlicher Aufbewahrungsfristen (Art. 6 Abs. 1 lit. c DSGVO). Nutzerdaten verarbeiten wir zur Durchführung des Beschäftigungs- bzw. Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) und aus berechtigtem Interesse an Zugriffskontrolle und Missbrauchsvermeidung (Art. 6 Abs. 1 lit. f DSGVO).

Die Anwendung wird über die Plattform Lovable (Lovable Labs Incorporated) betrieben; Datenbank, Authentifizierung und Dateispeicher laufen über Supabase (Supabase Inc.). Dort werden die in Ziffer 3 genannten Daten gespeichert. Der Zugriff ist durch ein Rollen- und Rechtesystem auf Datenbankebene (Row Level Security) beschränkt; die Übertragung erfolgt verschlüsselt (TLS). Hochgeladene Belege und erzeugte Angebots-PDFs liegen in privaten Speicherbereichen und sind nur über kurzlebige, signierte Links abrufbar. Mit den Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bzw. werden deren Standard-AV-Bedingungen genutzt.

Nutzerinnen und Nutzer können Strom-/Gasrechnungen als Foto oder PDF hochladen. Zur automatischen Texterkennung wird der vollständige Beleg — der u. a. Name, Anschrift, Verbrauchsdaten und Bankverbindung enthalten kann — serverseitig an das KI-Modell Google Gemini übermittelt (technisch über das Lovable AI-Gateway). Das Ergebnis (z. B. Zählernummer, Verbrauch, Abschlag) wird zur Übernahme in die Kundenakte vorgeschlagen. Erkannte Bankdaten werden ausschließlich im besonders geschützten Bereich gespeichert (Ziffer 8) und erscheinen nicht in Notizen. Vor jedem Upload weist die Anwendung auf diese Verarbeitung hin; sie erfolgt nur, wenn der Beleg aktiv hochgeladen wird. Bei der Übermittlung an Google kann eine Verarbeitung in Drittländern (insb. USA) stattfinden; diese ist durch EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert.

Für interne Arbeitshilfen (z. B. Suche und Zusammenfassungen) steht ein KI-Assistent zur Verfügung. Eingaben der Nutzerinnen und Nutzer sowie die dafür nötigen CRM-Inhalte (ohne Bankdaten und ohne Provisionsdaten) werden dabei an das in Ziffer 6 genannte KI-Modell übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an effizienter Vertriebsarbeit (Art. 6 Abs. 1 lit. f DSGVO).

IBAN und Kontoinhaber werden getrennt von den übrigen Kundendaten gespeichert — verschlüsselt bzw. mit Zugriff ausschließlich für Administratoren über gesicherte Datenbankfunktionen. Sie sind für reguläre Nutzerinnen und Nutzer der Anwendung nicht einsehbar und werden nicht in Notizen, Angebotsdokumenten oder an den KI-Assistenten übermittelten Inhalten geführt.

Anrufe werden über die Telefonfunktion des jeweiligen Endgeräts geführt (tel:-Verknüpfung); dabei überträgt die Anwendung selbst keine Daten an Dritte. Beim Versand über WhatsApp (wa.me-Verknüpfung) öffnet sich die WhatsApp-Anwendung der Nutzerin bzw. des Nutzers; dabei werden die Rufnummer der Kundin/des Kunden und der vorbereitete Nachrichtentext an WhatsApp Ireland Ltd. / Meta übermittelt und unterliegen dort deren Datenschutzbestimmungen. WhatsApp wird nur genutzt, wenn die Kommunikation über diesen Kanal mit der Kundin/dem Kunden vereinbart bzw. von ihr/ihm gewünscht ist.

Bestandsdaten aus unserem früheren CRM-System Pipedrive (Pipedrive OÜ) können in die Anwendung importiert werden. Dabei handelt es sich um die in Ziffer 3 genannten Kundendaten; die Übertragung erfolgt serverseitig und lesend.

Zur Stabilität der Anwendung werden technische Fehlerereignisse (Fehlermeldung, betroffene Seite, Zeitpunkt) an die Betriebsplattform Lovable übermittelt. Inhalte der Kundenakten sind davon nicht umfasst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen Betrieb).

Die Anwendung verwendet keine Analyse-, Marketing- oder Tracking-Dienste und keine Werbe-Cookies. Für die Anmeldung wird lediglich die Login-Sitzung im lokalen Speicher des Browsers abgelegt; das ist für den Betrieb technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und erfordert keine Einwilligung. Schriftarten werden lokal von unserem Server geladen; eine Verbindung zu Google Fonts findet nicht statt. Die Anwendung ist für Suchmaschinen gesperrt (noindex).

Kundendaten speichern wir, solange sie für Beratung, Vermittlung und Betreuung erforderlich sind, und löschen sie danach, soweit keine gesetzlichen Aufbewahrungsfristen (insb. § 147 AO, § 257 HGB: bis zu 10 Jahre für geschäftsrelevante Unterlagen) entgegenstehen. Hochgeladene Belege werden gelöscht, sobald sie für den Vorgang nicht mehr benötigt werden, spätestens mit Ablauf der genannten Fristen. Einer Verarbeitung zu Werbezwecken kann jederzeit mit Wirkung für die Zukunft widersprochen werden.

Sie haben im Rahmen der gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft, Empfänger und den Zweck der Verarbeitung (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu formlos an die oben genannten Kontaktdaten.

Außerdem haben Sie ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, z. B. bei der für uns zuständigen Sächsischen Datenschutz- und Transparenzbeauftragten, Devrientstraße 5, 01067 Dresden.

Wir passen diese Datenschutzerklärung an, sobald sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.