Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

enrshare GmbH
Musterstraße 1
10115 Berlin
Deutschland

E-Mail: info@ensha.re
Geschäftsführer: [Name eintragen]

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung des Nutzers oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist.

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung des Betroffenen
• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags oder vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung einer rechtlichen Verpflichtung (z. B. energierechtliche Dokumentationspflichten nach EnWG)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (z. B. Sicherheit, Betrugsprävention)

3. Hosting

Vercel (Webhosting)

Unsere Plattform wird bei Vercel Inc. gehostet. Die Auslieferung der Webseiten erfolgt über das globale Edge-Netzwerk von Vercel, wobei europäische Anfragen vorrangig über den Standort Frankfurt am Main (EU) verarbeitet werden. Vercel verarbeitet dabei Server-Logdaten (IP-Adresse, Zeitpunkt des Zugriffs, Browsertyp).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und effizienten Bereitstellung). Mit Vercel besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.

Supabase (Datenbank & Authentifizierung)

Unsere Datenbank und Authentifizierung werden über Supabase Inc. betrieben. Sämtliche Daten werden in einem Rechenzentrum in Frankfurt am Main (EU) gespeichert und verlassen die Europäische Union nicht. Die Datenbank nutzt PostgreSQL mit Row-Level-Security (RLS) zur strikten Mandantentrennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit Supabase besteht ein AVV gemäß Art. 28 DSGVO.

E-Mail-Versand

Für den Versand transaktionaler E-Mails (Registrierungsbestätigung, Passwort-Reset, Rechnungen) setzen wir einen E-Mail-Service-Provider ein. Die E-Mails werden nur an die von Ihnen angegebene E-Mail-Adresse gesendet. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäss Art. 28 DSGVO. Marketing-E-Mails werden nur mit Ihrer ausdrücklichen Einwilligung versendet.

4. SSL/TLS-Verschlüsselung

Diese Plattform nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

5. Cookies

Unsere Plattform verwendet ausschließlich technisch notwendige Cookies. Diese sind erforderlich, um die grundlegenden Funktionen der Plattform zu gewährleisten:

• Session-Cookie — Authentifizierung und Sitzungsverwaltung (Supabase Auth Token)
• Tenant-Cookie — Zuordnung zum aktiven Mandanten (Multi-Tenant-Architektur)

Wir verwenden keine Tracking-, Marketing- oder Analyse-Cookies. Eine Einwilligung nach § 25 TDDDG ist für technisch notwendige Cookies nicht erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Funktionsfähigkeit der Plattform).

6. Registrierung und Nutzerkonto

Bei der Registrierung auf unserer Plattform erheben wir folgende Daten:

• E-Mail-Adresse
• Vor- und Nachname
• Passwort (verschlüsselt gespeichert via bcrypt)
• Unternehmenszugehörigkeit (optional)
• Rolle innerhalb der Community

Diese Daten sind zur Vertragsbegründung und -durchführung erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Die Authentifizierung erfolgt über Supabase Auth. Ihr Passwort wird niemals im Klartext gespeichert.

7. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Kontaktformular kontaktieren, werden Ihre Angaben (Name, E-Mail-Adresse, Nachrichteninhalt) zur Bearbeitung Ihrer Anfrage bei uns gespeichert. Diese Daten werden nach Erledigung der Anfrage gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen).

8. Energiedaten und Messwerte

Als Energy-Sharing-Plattform verarbeiten wir besondere energiewirtschaftliche Daten. Dieser Abschnitt erläutert den Umgang mit diesen Daten im Detail.

8.1 Zählerstandsdaten und Verbrauchsprofile

Im Rahmen des Energy Sharings nach §§ 42a-c EnWG verarbeiten wir folgende Messdaten:

• Viertelstündliche Lastgangdaten (15-Minuten-Intervalle) von Erzeugungsanlagen und Verbrauchsstellen
• Zählerstandsgänge und Einspeisewerte
• Marktlokations-IDs (MaLo-ID) und Messlokations-IDs (MeLo-ID) zur eindeutigen Zuordnung
• Zuordnungsergebnisse (welcher Anteil der Erzeugung welchem Verbraucher zugeordnet wird)

Diese Daten werden zur Durchführung des Energy-Sharing-Vertrags und zur gesetzlich vorgeschriebenen Abrechnung verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung nach EnWG).

8.2 Smart-Meter-Daten (iMSys / SMGW)

Sofern ein intelligentes Messsystem (iMSys) mit Smart-Meter-Gateway (SMGW) eingesetzt wird, empfangen wir Messwerte über die standardisierten Schnittstellen des Messstellenbetreibers. Die Datenübertragung erfolgt verschlüsselt gemäß den Vorgaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und des Messstellenbetriebsgesetzes (MsbG).

Die empfangenen Messwerte werden bei uns zusätzlich mit AES-256-GCM verschlüsselt gespeichert (Encryption at Rest).

8.3 Erzeugungsanlagen-Daten

Für registrierte Erzeugungsanlagen verarbeiten wir:

• Anlagenkennung (MaStR-Nummer aus dem Marktstammdatenregister)
• Installierte Leistung, Energieträger, Inbetriebnahmedatum
• Standortdaten (Adresse, ggf. Geokoordinaten)
• Einspeisezeitreihen

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (energierechtliche Dokumentationspflichten).

9. Zahlungsdaten

Für die Abrechnung des Energy Sharings und der Plattformnutzung verarbeiten wir:

• IBAN und Kontoinhaber (für SEPA-Lastschrift)
• Rechnungsadresse
• Abrechnungsbeträge und Zahlungshistorie

Bankverbindungsdaten werden verschlüsselt gespeichert (AES-256-GCM). SEPA-Mandate werden gemäß den Vorgaben des European Payments Council verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

10. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:

Nach Ablauf der jeweiligen Frist werden die Daten routinemäßig gelöscht oder anonymisiert.

11. Analyse und Tracking

Wir verwenden derzeit keine Analyse- oder Tracking-Tools (wie Google Analytics, Matomo o. ä.). Es werden keine Nutzungsprofile erstellt und keine Daten an Dritte zu Werbezwecken weitergegeben.

Sollten wir künftig ein datenschutzkonformes Analysetool einsetzen, werden wir diese Datenschutzerklärung entsprechend aktualisieren und — sofern erforderlich — Ihre Einwilligung einholen.

11a. Automatisierte Entscheidungen (Art. 22 DSGVO)

Im Rahmen des Energy Sharings setzt unsere Plattform einen automatisierten Zuordnungsalgorithmus ein, der viertelstundengenau berechnet, welcher Anteil der erzeugten Energie welchem Mitglied der Community zugeordnet wird. Diese Berechnung erfolgt auf Basis der gemessenen Erzeugungs- und Verbrauchsdaten sowie der vertraglich vereinbarten Aufteilungsschlüssel.

Diese automatisierte Verarbeitung dient ausschliesslich der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unterliegt keiner ausschliesslich automatisierten Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DSGVO, da die Zuordnungsergebnisse jederzeit durch Community-Betreiber eingesehen, überprüft und korrigiert werden können.

Sie haben das Recht, die automatisierte Zuordnung durch eine zuständige Person überprüfen zu lassen und Einwände gegen das Ergebnis zu erheben. Wenden Sie sich dazu an: datenschutz@ensha.re

12. Weitergabe von Daten an Dritte

Eine Weitergabe Ihrer personenbezogenen Daten an Dritte erfolgt nur in folgenden Fällen:

• Verteilnetzbetreiber (VNB) — Übermittlung von Zuordnungsergebnissen und Abrechnungsdaten, soweit dies zur Durchführung des Energy Sharings nach EnWG erforderlich ist
• Messstellenbetreiber — Empfang von Messdaten über standardisierte Schnittstellen
• Auftragsverarbeiter — Vercel (Hosting), Supabase (Datenbank), jeweils mit AVV nach Art. 28 DSGVO. Eine vollständige Übersicht finden Sie in unserem Verzeichnis der Auftragsverarbeiter.
• Gesetzliche Verpflichtung — Wenn wir gesetzlich dazu verpflichtet sind (z. B. gegenüber Finanzbehörden oder der Bundesnetzagentur)

13. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO) — Sie können Auskunft über Ihre bei uns gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO) — Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO) — Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO) — Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO) — Sie können Ihre Daten in einem gängigen, maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO) — Sie können der Verarbeitung Ihrer Daten widersprechen, soweit diese auf Art. 6 Abs. 1 lit. f DSGVO basiert.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: datenschutz@ensha.re

14. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Friedrichstr. 219
10969 Berlin
www.datenschutz-berlin.de

15. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

• SSL/TLS-Verschlüsselung für alle Datenübertragungen
• AES-256-GCM-Verschlüsselung für sensible Daten in der Datenbank (Messwerte, Bankverbindungen)
• Row-Level-Security (RLS) für strikte Mandantentrennung in der Multi-Tenant-Architektur
• Bcrypt-Hashing für Passwörter
• Regelmäßige Sicherheitsaudits und Penetrationstests
• Zugriffskontrolle nach dem Prinzip der geringsten Berechtigung

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unserer Plattform anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.