Datenschutzerklärung Craftum Pulse

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO") für die in dieser Datenschutzerklärung beschriebenen Verarbeitungen ist:

PV Energy Solutions GmbH
Homsstraße 15
21220 Seevetal, Deutschland
Telefon: +49 (0)40 21111 3838
E-Mail: info@pvenergygroup.de
Registergericht: Amtsgericht Lüneburg, HRB 213360
Vertretungsberechtigte Geschäftsführer: Joe Tom Bätjer, Jann Lucca Schwitalla
Datenschutzbeauftragter: Aron Faißt, erreichbar unter info@pvenergygroup.de (Stichwort Datenschutz) oder postalisch an die vorstehende Anschrift mit dem Zusatz Datenschutzbeauftragter

Craftum ist eine Marke der PV Energy Solutions GmbH. Betreiberin der Plattform Craftum Pulse und Verantwortliche für die hier beschriebenen Verarbeitungen ist ausschließlich die PV Energy Solutions GmbH.

2. Gegenstand dieser Datenschutzerklärung

Wir betreiben unter der Bezeichnung Craftum Pulse eine herstellerunabhängige Monitoring-Plattform für Energieanlagen, insbesondere Photovoltaikanlagen, Speicher und weitere angeschlossene Geräte (nachfolgend die „Plattform"). Zur Einbindung einer Anlage in die Plattform greifen wir mit Ihrer Freigabe auf die Betriebsdaten Ihrer Anlage zu, die der jeweilige Anlagenhersteller über seine Datenschnittstelle bereitstellt.

Die Freigabe erteilen Sie in Ihrem Benutzerkonto beim jeweiligen Hersteller, etwa über die Freigabemaske („User Consent") der SMA Solar Technology AG. Erst nach dieser Freigabe stellt der Hersteller uns die nachfolgend beschriebenen Daten bereit. Diese Datenschutzerklärung informiert Sie darüber, welche Daten wir auf diesem Weg erhalten und wie wir sie auf der Plattform verarbeiten.

Für die Verarbeitung Ihrer Daten durch den jeweiligen Hersteller selbst, insbesondere in dessen Benutzerkonto und Herstellerportal (z. B. SMA Sunny Portal, Huawei FusionSolar, SolarEdge Monitoring, Enphase Enlighten), ist ausschließlich der jeweilige Hersteller verantwortlich; es gelten insoweit dessen Datenschutzhinweise.

3. Herkunft der Daten und angebundene Schnittstellen

Die Betriebsdaten Ihrer Anlage erhalten wir nach Ihrer Freigabe über die Datenschnittstellen der Anlagenhersteller. Derzeit angebunden sind insbesondere:

• SMA Developer APIs (SMA Solar Technology AG, Sonnenallee 1, 34266 Niestetal, Deutschland)
• Huawei FusionSolar API
• SolarEdge API
• Enphase API

Weitere Herstellerschnittstellen können bei Bedarf angebunden werden; diese Datenschutzerklärung wird dann entsprechend ergänzt. Der Abruf bei den Herstellerschnittstellen erfolgt ausschließlich lesend; wir übermitteln keine Daten und keine Steuerbefehle an die Herstellersysteme.

Die Übertragung der Live-Daten an unsere Plattform erfolgt über den verwalteten MQTT-Dienst EMQX Cloud der EMQ GmbH, Erfurt (Auftragsverarbeiter, siehe Ziffer 7), sowie über verschlüsselte REST-Schnittstellen. Die Verarbeitung findet in einem Rechenzentrum in Deutschland statt. Zur Einordnung der Ertragswerte rufen wir zusätzlich Wetterdaten ab; hierfür übermitteln wir ausschließlich die Standortkoordinaten Ihrer Anlage an den Wetterdatendienst OpenWeatherMap, keine Konto- oder Kontaktdaten. Die Standorte Ihrer Anlagen stellen wir auf einer Karte dar; die Kartenkacheln lädt Ihr Browser unmittelbar bei der Mapbox, Inc. (siehe Ziffer 7).

Ergänzend verarbeiten wir Daten, die Sie selbst in der Plattform hinterlegen. Auf weitergehende bei den Herstellern gespeicherte Kundenstammdaten greifen wir nicht zu.

4. Kategorien der verarbeiteten Daten

Über die Herstellerschnittstellen und den Betrieb der Plattform verarbeiten wir folgende Daten:

• Anlagenstammdaten: Anlagenname sowie, sofern beim Hersteller hinterlegt, die geografischen Koordinaten des Anlagenstandorts
• Mess- und Sensordaten: Erzeugungs-, Einspeise-, Eigenverbrauchs- und Bezugswerte, Leistungs- und Ertragswerte, Speicherdaten (Ladezustand, Lade- und Entladeleistung, Zustand) sowie weitere Betriebswerte der Anlage und angeschlossener Geräte, in zeitlicher Auflösung von bis zu 15 Sekunden
• Log- und Ereignisdaten: Betriebszustände, Warnungen, Fehler- und Störungsmeldungen der Anlage und der angeschlossenen Geräte
• Kontodaten: die von Ihnen bei der Registrierung auf der Plattform angegebenen Daten, insbesondere Name, E-Mail-Adresse und Zugangsdaten sowie Ihre Rollen- und Mandantenzuordnung
• Von Ihnen selbst eingetragene Angaben: weitere kunden- oder anlagenbezogene Stammdaten verarbeiten wir nur, wenn Sie diese selbst in der Plattform hinterlegen oder uns mitteilen; ein Zugriff auf solche Daten beim Hersteller erfolgt nicht
• Technische Zugangsdaten: die im Rahmen der Freigabe erzeugten Zugriffs- und Aktualisierungstoken sowie die Kennung Ihrer Anlage in unserem System

Live-Verbrauchswerte werden zur Anzeige an Ihren Browser übermittelt; serverseitig speichern wir diese Werte, soweit der jeweilige Anwendungsfall dies erfordert, für einen begrenzten Zeitraum von bis zu 30 Tagen. Danach löschen wir die hochaufgelösten Werte; für längere Zeiträume halten wir ausschließlich zusammengefasste Tages-, Monats- und Jahreswerte vor.

Ein Zugriff auf Ihr Passwort beim jeweiligen Hersteller erfolgt nicht. Wir erhalten ausschließlich die Daten, die von der erteilten Freigabe umfasst sind.

5. Zwecke der Verarbeitung

Wir verarbeiten die vorgenannten Daten zu folgenden Zwecken:

• Bereitstellung der Plattform, Darstellung Ihrer Anlagen in Dashboards und Visualisierungen sowie Bereitstellung von Auswertungen, Berichten und Datenexporten
• Überwachung des Anlagenbetriebs, automatische Erkennung von Störungen, Ausfällen und Leistungsabweichungen sowie Anzeige von Alarmen und Benachrichtigungen innerhalb der Plattform
• Performance-Analysen, Ertragsauswertungen, Portfolio-Vergleiche und Dokumentation von CO₂-Einsparungen auf Grundlage der Erzeugungs- und Anlagendaten
• Verwaltung von Mandanten, Nutzern, Rollen und Berechtigungen
• Erfüllung des mit Ihnen bzw. Ihrem Unternehmen geschlossenen Nutzungs-, Monitoring- oder Servicevertrags
• technischer Betrieb, Fehleranalyse und Sicherheit der Plattform

Öffentlich zugängliche Dashboards werden nur bereitgestellt, wenn der jeweilige Kunde dies für seine Anlage ausdrücklich veranlasst; sie zeigen ausschließlich anlagenbezogene Betriebswerte und keine Konto- oder Kontaktdaten.

Eine Nutzung Ihrer Daten für Werbezwecke, eine Weitergabe an Dritte zu deren eigenen Zwecken oder ein Verkauf Ihrer Daten findet nicht statt.

6. Rechtsgrundlagen

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Erfüllung des mit Ihnen geschlossenen Vertrages über die Nutzung der Plattform bzw. über Monitoring- oder Serviceleistungen oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist.

Soweit wir Daten zur Sicherstellung des technischen Betriebs, zur Fehleranalyse, zur Sicherheit der Plattform sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeiten, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem störungsfreien und sicheren Plattformbetrieb und in der Wahrung unserer Rechtsposition.

Soweit Sie uns über die Freigabemaske eines Herstellers oder gesondert eine Einwilligung erteilt haben, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO. Soweit gesetzliche Aufbewahrungspflichten bestehen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO.

7. Empfänger personenbezogener Daten / Auftragsverarbeitung

Innerhalb unseres Unternehmens erhalten nur diejenigen Stellen Zugriff auf Ihre Daten, die diesen zur Erfüllung der genannten Zwecke benötigen. Bei mandantenfähiger Nutzung sieht jeder Mandant ausschließlich die ihm zugeordneten Anlagen und Daten.

Darüber hinaus können folgende Empfänger Daten erhalten:

• unser Hosting-Anbieter: Der Betrieb der Plattform erfolgt bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, als Auftragsverarbeiter. Die Server stehen in Rechenzentren in Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO
• der Anbieter unseres MQTT-Dienstes: EMQ GmbH, Bahnhofstr. 38, 99084 Erfurt, EMQX Cloud, als Auftragsverarbeiter für die Übertragung der Live-Daten. Die Verarbeitung erfolgt über den Subprozessor Amazon Web Services in einem Rechenzentrum in Frankfurt am Main auf Grundlage eines Vertrages zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Der Anbieter speichert die durchgeleiteten Daten nicht
• der Anbieter unseres E-Mail-Versands: STRATO AG, Deutschland, als Auftragsverarbeiter für den Versand der System-E-Mails (etwa Verifizierung und Passwort-Zurücksetzung). Die Server stehen in Deutschland
• Cloudflare, Inc., 101 Townsend Street, San Francisco, USA, als Auftragsverarbeiter für DNS und Reverse-Proxy, soweit Sie eine eigene Domain für Ihr Dashboard nutzen. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO einschließlich der EU-Standardvertragsklauseln; der Anbieter ist zudem nach dem EU-US Data Privacy Framework zertifiziert
• der Wetterdatendienst OpenWeatherMap, an den ausschließlich die Standortkoordinaten Ihrer Anlage übermittelt werden
• Mapbox, Inc., 1133 15th St NW, Suite 825, Washington, D.C. 20005, USA, als Auftragsverarbeiter für die Kartendarstellung der Anlagenstandorte. Ihr Browser lädt die Kartenkacheln unmittelbar bei diesem Anbieter; dabei erhält er Ihre IP-Adresse, eine Sitzungskennung und die Angaben Ihres Browsers. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO einschließlich der EU-Standardvertragsklauseln; der Anbieter ist zudem nach dem EU-US Data Privacy Framework zertifiziert und löscht die IP-Adressen nach 30 Tagen
• mit der Störungsbearbeitung, Wartung oder Betriebsführung Ihrer Anlage beauftragte Servicepartner, soweit Sie dies veranlasst haben oder dies zur Erbringung der vereinbarten Leistungen erforderlich ist
• Gerichte, Behörden sowie rechtliche und steuerliche Berater, soweit dies rechtlich zulässig oder geboten ist

Ein Verkauf personenbezogener Daten findet nicht statt.

8. Übermittlung in Drittländer

Die Verarbeitung auf der Plattform erfolgt in Rechenzentren innerhalb Deutschlands bzw. der Europäischen Union. Das gilt auch für den MQTT-Dienst: Unser Vertragspartner ist die EMQ GmbH mit Sitz in Erfurt, die Verarbeitung findet über den Subprozessor Amazon Web Services in einem Rechenzentrum in Frankfurt am Main statt. Eine Übermittlung an Empfänger außerhalb des Europäischen Wirtschaftsraums ist vertraglich nur mit unserer vorherigen Zustimmung zulässig. Soweit gleichwohl im Rahmen von Support- oder Administrationsleistungen ein Zugriff aus einem Drittland erfolgen sollte, stellen wir ein angemessenes Datenschutzniveau durch geeignete Garantien im Sinne der Art. 44 ff. DSGVO und durch ergänzende technische und organisatorische Schutzmaßnahmen sicher. Für die Kartendarstellung setzen wir die Mapbox, Inc. (USA) ein, und wenn Sie eine eigene Domain für Ihr Dashboard nutzen, zusätzlich die Cloudflare, Inc. (USA); die Übermittlung ist durch EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO und den Angemessenheitsbeschluss zum EU-US Data Privacy Framework abgesichert.

Bitte beachten Sie: Der Abruf der Anlagendaten setzt voraus, dass der jeweilige Hersteller die Daten in seiner Cloud verarbeitet. Einzelne Hersteller (insbesondere Huawei und Enphase) können Anlagendaten auch auf Servern außerhalb des Europäischen Wirtschaftsraums verarbeiten. Für diese Verarbeitung ist der jeweilige Hersteller als eigener Verantwortlicher zuständig; maßgeblich sind dessen Datenschutzhinweise und die von Ihnen mit dem Hersteller getroffenen Vereinbarungen. Wir selbst übermitteln keine Daten an die Herstellersysteme.

9. Speicherdauer

Wir speichern Ihre Daten für die Dauer des Vertragsverhältnisses und darüber hinaus nur so lange, wie dies zur Erfüllung der genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO) bestehen.

• Live-Verbrauchswerte und sonstige hochaufgelöste Messwerte: Speicherung für bis zu 30 Tage je nach Anwendungsfall, anschließend automatische Löschung. Für längere Zeiträume halten wir ausschließlich zusammengefasste Tages-, Monats- und Jahreswerte vor
• Erzeugungs-, Ertrags- und Anlagendaten speichern wir für die Dauer des Vertragsverhältnisses; mit Vertragsende werden sie gelöscht
• Log- und Ereignisdaten speichern wir während der Vertragslaufzeit für längstens 12 Monate; mit Vertragsende werden sie gelöscht
• Zugriffs- und Aktualisierungstoken löschen wir unverzüglich, sobald die Freigabe widerrufen oder der Vertrag beendet ist
• Kontodaten löschen wir automatisch nach Beendigung des Nutzungsverhältnisses, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Datensicherungen werden rollierend nach 30 Tagen überschrieben

10. Widerruf der Freigabe

Sie können die im Benutzerkonto des jeweiligen Herstellers erteilte Zugriffsfreigabe jederzeit widerrufen, entweder in den Einstellungen Ihres Herstellerkontos oder durch Mitteilung an uns unter den in Ziffer 1 genannten Kontaktdaten. Ab dem Widerruf erhalten wir keine weiteren Daten Ihrer Anlage.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Bitte beachten Sie, dass wir nach einem Widerruf die vereinbarten Monitoring-, Alarm- und Auswertungsleistungen für die betroffene Anlage nicht mehr erbringen können.

11. Rechte der betroffenen Personen

Ihnen stehen gegenüber uns die folgenden Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten.

12. Beschwerderecht bei der Aufsichtsbehörde

Sie haben unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Für die PV Energy Solutions GmbH ist, ausgehend vom Sitz der Gesellschaft in Seevetal, Niedersachsen, folgende Aufsichtsbehörde zuständig:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Telefon: +49 (0)511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de

13. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Automatisierte Auswertungen der Anlagendaten dienen ausschließlich der technischen Störungs- und Abweichungserkennung sowie der Alarmierung.

14. Datensicherheit

Wir treffen technische und organisatorische Sicherheitsmaßnahmen gemäß Art. 32 DSGVO, um Ihre personenbezogenen Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen. Hierzu zählen insbesondere eine verschlüsselte Datenübertragung (TLS für HTTPS und MQTT), die verschlüsselte Speicherung der Zugriffstoken, ein Rollen- und Berechtigungskonzept mit mandantenbezogener Datentrennung sowie die regelmäßige Überprüfung und Anpassung unserer Sicherheitsmaßnahmen an die technische Entwicklung.

15. Erforderlichkeit der Bereitstellung

Sie sind zur Erteilung der Freigabe nicht verpflichtet. Ohne die Freigabe können wir Ihre Anlage jedoch nicht in die Plattform einbinden und die darauf bezogenen Leistungen nicht erbringen.

16. Änderung dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, soweit sich die beschriebenen Verarbeitungen, die angebundenen Schnittstellen oder die rechtlichen Rahmenbedingungen ändern. Die jeweils aktuelle Fassung wird Ihnen bei der Verknüpfung Ihrer Anlage in der Plattform angezeigt und ist über den in der Freigabemaske des jeweiligen Herstellers hinterlegten Link abrufbar.