Datenschutzhinweise für Anlagenkompass

1. Geltungsbereich, Betreiber und Kontakt Diese Hinweise betreffen Anlagenkompass unter https://anlagenkompass.meck-it.de, ein B2B-Angebot für Installationsbetriebe und deren berechtigte Nutzer. Für die allgemeine Website meck-it.de, das eigenständige PV-Portal und die Herstellerportale gelten deren gesonderte Datenschutzhinweise. Betreiber und Verantwortlicher für eigene Vertrags-, Konto- und Sicherheitsprozesse: Alexander Mecklenbeck · MECK-IT Im Helltgen 4, 53773 Hennef (Sieg), Deutschland E-Mail: info@meck-it.de Telefon: +49 2242 9629310 Die technische Plattformadministration erfolgt aktuell ausschließlich durch den Betreiber. Weitere eigene Mitarbeiter oder externe Administratoren sind nach Betreiberangabe derzeit nicht eingesetzt. Davon zu unterscheiden sind die erforderlichen Leistungen der Hosting-/Mailanbieter und die berechtigten Nutzer angeschlossener Betriebe. 2. Rollen der angeschlossenen Betriebe Geschäftskontakte, Konten, Vertragsnachweise und Sicherheitsprozesse verarbeitet der Betreiber zu eigenen festgelegten Zwecken. Soweit Kunden-/Anlagendaten nach Weisung eines angeschlossenen Betriebs verarbeitet werden, handelt dieser Betrieb als Verantwortlicher; die Verarbeitung durch den Plattformbetreiber richtet sich nach dem vereinbarten Auftrag und der AVV einschließlich Anlagen. Die Verantwortung des Betriebs ersetzt keine eigenen Pflichten des Plattformbetreibers. Neue Betriebe müssen vor Freischaltung der Anlagenverarbeitung eine veröffentlichte AVV durch ihre berechtigte Betriebsadministration ausdrücklich annehmen. Dafür werden rechtlicher Betriebsname, Anschrift, Vertretung, tatsächlich angemeldeter Benutzer, Fassung, Textprüfsumme, Bestätigungen und Zeitpunkt gespeichert. Die Berechtigung zum Vertragsabschluss ist bei der Einladung zu prüfen; die Portalrolle allein beweist keine Vertretungsmacht. Bei Bestandsbetrieben bedeutet eine technische Freigabe nicht, dass bereits eine AVV nachgewiesen ist. Anfragen zu Kundendaten eines Betriebs richten Sie möglichst an diesen Betrieb. Der Plattformbetreiber unterstützt nach dem jeweiligen Auftrag und leitet Anfragen erforderlichenfalls an den zuständigen Betrieb weiter. Für eigene Verarbeitungen des Plattformbetreibers ist info@meck-it.de die Kontaktstelle. 3. Datenkategorien und Herkunft Konten/Berechtigungen: Name, E-Mail-Adresse, Betrieb, Rolle, Anlagen-/Verbindungszuordnung, Passwort-Hash, verschlüsselte Authenticator-Daten, Einladungs-/Wiederherstellungsnachweise sowie Sitzungs- und Sicherheitsereignisse. Diese Angaben stammen von Ihnen oder Ihrer berechtigten Administration. Einladungs- und Kontodaten fallen bereits zur Anbahnung und Einrichtung des Zugangs an. Anlagen/Service: Anlagenbezeichnung, Standort/Adresse, Kunden-/Kontaktbezüge soweit eingetragen oder übermittelt, Anlagen-/Gerätekennungen, Seriennummern, Leistung/Kapazität, Erzeugung, Verbrauch, Netzbezug/Einspeisung, Batteriewerte, Betriebszustände, Meldungen, Serviceeinträge und Zeitstempel. Sie stammen aus freigegebenen Hersteller-/Portalverbindungen oder berechtigten manuellen Eingaben. Energieverläufe können Rückschlüsse auf Nutzung und Anwesenheit ermöglichen. Verbindung/Betrieb: Zugangsdaten und Tokens freigegebener Quellen, Abrufstände, Fehler-/Budgetzustände, Warnungsempfänger, Vertrags-/AVV-Nachweise und Verwaltungsereignisse. Herstellerzugangsdaten, konfigurierte SMTP-Zugangsdaten und Authenticator-Geheimnisse werden verschlüsselt gespeichert; Benutzerpasswörter liegen als Hash vor. 4. Zwecke und Rechtsgrundlagen Eigene Vertrags- und Anbahnungsprozesse beruhen auf Art. 6 Abs. 1 Buchstabe b DSGVO, soweit ein Vertrag mit der betroffenen natürlichen Person besteht oder von ihr angefragt wird. Bei Ansprechpartnern und Beschäftigten eines Geschäftskunden stützen wir erforderliche Kontakt-, Konto- und Berechtigungsprozesse auf Art. 6 Abs. 1 Buchstabe f DSGVO. Die Interessen sind die Durchführung der Geschäftsbeziehung und die sichere, nachvollziehbare Bereitstellung des Dienstes. Missbrauchsabwehr, Sicherheit und erforderliche Fehleranalyse dienen dem berechtigten Interesse an Vertraulichkeit, Integrität, Verfügbarkeit und zuverlässigem Betrieb (Art. 6 Abs. 1 Buchstabe f DSGVO). Konkrete gesetzliche Nachweis-/Aufbewahrungspflichten können eine Verarbeitung nach Art. 6 Abs. 1 Buchstabe c DSGVO in Verbindung mit der jeweiligen Pflicht erfordern. Daraus folgt keine pauschale Aufbewahrung sämtlicher Anlagen- und Nutzerdaten. Auftragsdaten dienen dem vereinbarten lesenden Monitoring, Auswertungen und beauftragten Servicehinweisen und werden nach dokumentierten Weisungen und AVV verarbeitet. Die notwendige Rechtsgrundlage und Information seiner betroffenen Personen verantwortet der Auftraggeber. Die Annahme einer AVV ist keine pauschale Einwilligung seiner Kunden oder Beschäftigten. Soweit eine Funktion eine freiwillige Einwilligung benötigt, wird diese gesondert eingeholt und kann für die Zukunft widerrufen werden. 5. Herstellerportale und geplante Anbindungen Nach dem bisherigen Betriebsstand sind GoodWe / SEMS+ und das eigene PV-Portal by meck-it.de für dort vorhandene RCT-Anlagen angebunden. Das eigene PV-Portal ist vom RCT-Originalportal getrennt. Der Anlagenkompass-Server fragt die freigegebenen Quellen über lesende Schnittstellen ab. Die Dienste erhalten die zur Anmeldung/Abfrage erforderlichen Verbindungs- und Anfrageinformationen, insbesondere die Server-IP und verwendete Anmelde-/Tokeninformationen. Die jeweilige Kontoberechtigung bestimmt die verfügbaren Anlagen. Zum geplanten Herstellerumfang gehören außerdem das RCT-Originalportal, Solis / SolisCloud, KOSTAL, Fronius / Solar.web und EcoFlow, insbesondere PowerOcean/PowerOcean Plus. Eine Nennung bedeutet noch keine aktive Datenverbindung. Vorbereitete Anbindungen rufen nicht allein durch ihre Nennung Daten ab. Vor Freischaltung sind Berechtigung, konkrete Dienste, deren Rollen, erforderliche Informationen und etwaige Übermittlungsgrundlagen zu klären und diese Hinweise bei Bedarf zu ergänzen. Hersteller-/Cloud-Dienste können eigene Verantwortliche sein und sind nicht allein aufgrund einer Einbindung automatisch Unterauftragsverarbeiter. Deutsches Hosting schließt einen Drittlandbezug der Cloud-Dienste nicht aus. Verarbeitungsorte und gegebenenfalls erforderliche Garantien sind für die konkrete Verbindung zu prüfen; eine pauschale Zusicherung ausschließlich deutscher/EU-Verarbeitung aller Herstellerdienste wird nicht gegeben. Herstellerlinks öffnen die jeweilige Website im Browser. Ab diesem Aufruf gelten deren Datenschutzhinweise und Sitzungsmechanismen. Fremde Hersteller-Dashboards werden nicht als Websites in Anlagenkompass eingebettet. 6. Hosting, Mail, Sicherungen und Zugriffe Hosting und Maildienste werden über ALL-INKL.COM bezogen. Der Anbieter beschreibt seine eigenen Rechenzentren am Standort Dresden/Deutschland: https://all-inkl.com/info/rechenzentrum. Der Abschluss beziehungsweise Nachweis der erforderlichen Hosting-AVV ist beim Betreiber noch einzurichten; diese Beschreibung behauptet keinen bereits abgeschlossenen Vertrag. Separate Sicherungen werden nach Betreiberangabe auf eigenen Servern in Deutschland aufbewahrt. Sofern eingerichtet, kann die Anwendung verschlüsselte Gesamtsicherungen einschließlich Datenbank, Anwendungsschlüsseln und Programmdateien erzeugen. Diese vollständigen Archive werden nicht als Kundenexport an einzelne Betriebe herausgegeben. Zusätzliche Kopien benötigen eigene Berechtigungen, Aufbewahrungs- und Löschverfahren. E-Mail-Warnungen benötigen eine zentrale und eine betriebliche Freigabe; ohne diese erfolgt kein automatischer Warnungsversand. Betriebsadministratoren legen die eigenen Empfänger fest. Der Maildienst verarbeitet erforderliche Absender-/Empfängerdaten, Nachrichten und Verbindungsdaten. Standardwarnungen nennen Betrieb, Hinweisanzahl, Zeitpunkt und Portal-Link; sie übernehmen nicht automatisch Kundennamen oder Anlagenadressen. Empfänger werden verdeckt adressiert. Für Kopien in Empfängerpostfächern ist deren jeweiliger Verantwortungsbereich zu beachten. Andere Betriebe haben keinen allgemeinen Zugriff auf fremde Kundenbestände. Erforderlicher Plattformzugriff auf einen anderen Betrieb verlangt einen begründeten Verwaltungswechsel und wird protokolliert; es findet kein Anmelden als dessen Mitarbeiter statt. Rechtlich befugte Behörden oder Stellen können Daten erhalten, soweit eine konkrete Pflicht besteht. 7. Anmeldung, Cookies und Protokolle Das Portal verwendet HTTPS, Passwort und verpflichtenden Authenticator, rollen-/betriebsbezogene Berechtigungen, CSRF-Schutz und Anmelde-/Sitzungsbegrenzungen. Für Anmeldung und Sicherheitszustände dient das technisch erforderliche Sitzungs-Cookie „anlagenkompass“. Die hierfür notwendige Speicherung und der Zugriff dienen dem ausdrücklich angeforderten geschützten Dienst (§ 25 Abs. 2 Nr. 2 TDDDG). Ohne erforderliche Sitzungsmechanismen funktioniert die Anmeldung nicht. Nach Betreiberangabe sind ausschließlich die Anlagenkompass-Funktionen eingebunden. Der Anwendungscode lädt keine zusätzlichen Analyse-/Marketingdienste, externen Webfonts oder externen QR-Dienste. Der Authenticator-QR-Code wird lokal im Browser erzeugt. Eine Standortabfrage des Endgeräts erfolgt nicht. Wetter-/Appfunktionen und Gerätefernsteuerung des getrennten PV-Portals werden nicht allein durch die Anbindung übernommen. Im Hostingbetrieb können IP-Adresse, Abrufzeit, angefragte Seite, Ergebnisstatus und technische Browser-/Verbindungsinformationen protokolliert werden. Die konkrete Rotation und Löschdauer richtet sich nach der Hostingkonfiguration und ist noch zu verifizieren; eine feste bereits umgesetzte Frist wird nicht behauptet. Das Portal verarbeitet außerdem erforderliche Anmeldebegrenzungen und protokolliert Sicherheits-/Verwaltungsereignisse. Für diese Daten besteht ein gesonderter zweckgebundener Aufbewahrungsbedarf. 8. Speicherdauer, Vertragsende und Übergabe Konto-/Betriebsdaten und erforderliche Monitoring-/Servicehistorien werden für die aktive Geschäftsbeziehung und den jeweils notwendigen Leistungszweck verarbeitet. Der Status „aktiv“ rechtfertigt keine unbegrenzte Speicherung beliebiger Daten. Nach Ende der Betreuung oder Wegfall eines Zwecks sind Rückgabe, Löschung oder eine konkret begründete eingeschränkte Restaufbewahrung zu veranlassen. Vertrags-/Annahmenachweise, Sicherheitsprotokolle und Sicherungen sind dabei getrennt zu beurteilen. Für eine geordnete Datenübergabe nach Vertragsende ist vom Betreiber eine Übergabefrist von 30 Tagen vorgesehen. Dies ist kein allgemeines Versprechen, sämtliche Datenarten nach 30 Tagen automatisch zu löschen. Ein betriebsbezogener Export-/Löschdialog ist noch nicht als fertige Funktion verfügbar; sichere Übergabe und Verfahren müssen bis dahin organisatorisch geregelt werden. Der aktuelle Programmstand löscht Rohmesswerte, Servicehistorien, gesperrte Benutzer und Sicherungsarchive nicht automatisch nach einer einheitlichen festen Frist. Stundenübersichten ersetzen Rohmesswerte nicht. Eine Zugangssperre widerruft Zugriff, Zuordnungen und offene Codes, ist jedoch keine vollständige Löschung oder Anonymisierung. Künftige Export-/Löschfunktionen werden erst nach tatsächlicher Umsetzung als verfügbare Leistung beschrieben. Ein späterer Übergabeexport muss auf den berechtigten Betrieb begrenzt sein. Fremde Betriebsdaten, zentrale Schlüssel, SMTP-/Herstellerzugangsdaten, Passwort-Hashes, Authenticator-Geheimnisse und Wiederherstellungscodes gehören nicht in eine Kundenübergabe. Bei alten Sicherungen sind Fristen und Rücksicherungen so zu behandeln, dass gelöschte Datensätze nicht unbemerkt erneut produktiv genutzt werden. 9. Betroffenenrechte und Beschwerde Nach Maßgabe der DSGVO bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Gegen Verarbeitungen nach Art. 6 Abs. 1 Buchstabe f DSGVO können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Freiwillige Einwilligungen können für die Zukunft widerrufen werden. Voraussetzungen und Ausnahmen, etwa konkrete Aufbewahrungspflichten oder Rechte anderer Personen, werden bei der Bearbeitung berücksichtigt. Für eigene Verarbeitungen der Plattform ist info@meck-it.de die Kontaktstelle. Für Auftragsdaten ist grundsätzlich der jeweilige Betrieb zuständig; wir unterstützen nach dem vereinbarten Auftrag. Vor Herausgabe oder Änderung personenbezogener Informationen kann eine Identitätsprüfung notwendig sein. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort eines vermuteten Verstoßes. Für den Betreiber in Nordrhein-Westfalen kommt insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen in Betracht: Kavalleriestraße 2–4, 40213 Düsseldorf, E-Mail poststelle@ldi.nrw.de, Website https://www.ldi.nrw.de. 10. Erforderlichkeit und automatisierte Entscheidungen Für Zugangseinrichtung, Berechtigungsprüfung und vereinbartes Monitoring sind die jeweils erforderlichen Konto-, Verbindungs- und Anlagendaten nötig. Ohne diese Angaben können die entsprechenden Leistungen nicht erbracht werden. Optionale Funktionen wie Warnungs-E-Mails benötigen zusätzliche Freigaben. Das Lesen dieser Hinweise ist keine Einwilligung. Das Portal erzeugt technische Monitoring-/Servicehinweise. Nach dem aktuellen Funktionsumfang trifft es keine ausschließlich automatisierten Entscheidungen über Personen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO. Die Anzeige technischer Betriebszustände ist keine solche Personenentscheidung. 11. Änderungen Bei Änderungen an Diensten, Verarbeitungen oder Zuständigkeiten werden diese Hinweise überprüft und gegebenenfalls ergänzt. Die veröffentlichte Fassung und ihr Zeitpunkt stehen im Portal; frühere veröffentlichte Fassungen bleiben abrufbar. Redaktioneller Auskunfts- und Funktionsstand: 25.10.2026. Copyright by www.meck.it.de