Datenschutzerklärung

Datenschutzerklärung

Letzte Aktualisierung / Fassung vom 25. Juni 2026

Letzte Aktualisierung / Fassung vom 25. Juni 2026

Diese Datenschutzerklärung informiert Sie gemäß Art 13 und 14 DSGVO über die Verarbeitung Ihrer personenbezogenen Daten durch die unten genannten Verantwortlichen sowie über Ihre Rechte. Sie gilt für unsere Website, unsere Apps, unsere Kommunikationskanäle und die Abwicklung unserer Leistungen.

1   Verantwortliche

Je nach in Anspruch genommener Leistung ist eine der folgenden Stellen datenschutzrechtlich Verantwortliche. Die genannten Stellen sind jeweils getrennt, nicht gemeinsam Verantwortliche; jede verarbeitet die sie betreffenden Daten in eigener Verantwortung.

Heizma Group FlexCo, Hollandstraße 10/47, 1020 Wien, FN 625311a (Handelsgericht Wien) — Verkauf, Planung und Installation von Wärmepumpen, Photovoltaik, Speichern, Wallboxen, Klimageräten und dem Optima-Gateway sowie „Heizma Care Photovoltaik“.

Heizma Installations GmbH, Hollandstraße 10/47, 1020 Wien, FN 627258p (Handelsgericht Wien) — Wartungs- und Serviceleistungen „Heizma Care Wärmepumpe“.

Optimierma GmbH, Hollandstraße 10/47, 1020 Wien, FN 411232d (Handelsgericht Wien) — Optimierungsdienste, App und Cloud rund um das Optima-Energiemanagement.

Bürgerenergiegemeinschaft Teilma (Verein), Hollandstraße 10/47, 1020 Wien, ZVR 1843722415 — Betrieb der Energiegemeinschaft.

Wir bezeichnen diese Stellen gemeinsam als „wir“ bzw. „Heizma“; im Einzelfall ist jeweils die nach der erbrachten Leistung zuständige Stelle Verantwortliche. Kontakt in Datenschutzfragen: datenschutz@heizma.at.

Ein Datenschutzbeauftragter wurde nicht bestellt; eine Bestellpflicht nach Art 37 DSGVO besteht nicht. Für alle datenschutzrechtlichen Anliegen erreichen Sie uns unter datenschutz@heizma.at.

2   Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

Art 6 Abs 1 lit b DSGVO — zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen;

Art 6 Abs 1 lit c DSGVO — zur Erfüllung rechtlicher Verpflichtungen (insbesondere steuer- und handelsrechtliche Aufbewahrung);

Art 6 Abs 1 lit f DSGVO — zur Wahrung unserer berechtigten Interessen; hierzu zählen insbesondere die ordnungsgemäße und effiziente Leistungserbringung, die Analyse, Optimierung und Weiterentwicklung unserer Website, Produkte, Dienste und Angebote (einschließlich des Einsatzes KI-gestützter Verfahren), Markt-, Nutzungs- und Reichweitenanalysen, die Qualitätssicherung, die IT-, Netz- und Anlagensicherheit, die Betrugsprävention und das Forderungsmanagement, die unternehmensinterne Verwaltung und der Datenaustausch innerhalb unserer Unternehmensgruppe (Erwägungsgrund 48 DSGVO) sowie die Direktwerbung für eigene Produkte und Dienste (Erwägungsgrund 47 DSGVO);

Art 6 Abs 1 lit a DSGVO — auf Grundlage Ihrer Einwilligung, soweit eine solche gesetzlich erforderlich ist (insbesondere für nicht erforderliche Cookies und Tracking sowie elektronische Werbung an Nicht-Bestandskunden), in Verbindung mit § 165 und § 174 TKG 2021.

Soweit wir uns auf berechtigte Interessen stützen, haben wir diese gegen Ihre Interessen abgewogen; Sie können der Verarbeitung nach Art 21 DSGVO widersprechen (siehe Punkt 7). Verarbeiten wir Daten für einen mit dem ursprünglichen Erhebungszweck vereinbaren weiteren Zweck, stützen wir dies auf Art 6 Abs 4 DSGVO.

3   Verarbeitungen im Einzelnen

3.1   Besuch der Website. Beim Aufruf unserer Website verarbeiten wir Server-Logdaten (IP-Adresse, Datum/Uhrzeit, abgerufene Seite, Browser/Gerät) zur Auslieferung, Stabilität und Sicherheit (Art 6 Abs 1 lit f). Die Website wird über Framer (Framer B.V., Niederlande) bereitgestellt; die Auslieferung erfolgt über das Content-Delivery-Network framerusercontent.com und über Server-Infrastruktur von Amazon Web Services (Serverstandort unter anderem USA, siehe Punkt 4.4). Ergänzend nutzen wir das datensparsame Analyse-Tool von Framer.

3.2   Lead-/Kontaktanfrage und Beratung. Wenn Sie ein Kontakt- oder Anfrageformular ausfüllen — insbesondere über unsere Anfrage- und Beratungsstrecken mit Heyflow (Heyflow GmbH, Deutschland) — bekunden Sie damit Ihr Interesse an unseren Produkten und Ihren Wunsch, von uns kontaktiert zu werden. Wir verarbeiten Ihre Kontakt-, Objekt- und Bedarfsdaten, um Ihre Anfrage zu bearbeiten, Sie telefonisch oder per E-Mail zu beraten und Ihnen ein Angebot zu erstellen; Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art 6 Abs 1 lit b DSGVO). Zur Lead- und Kundenverwaltung nutzen wir ein selbst betriebenes, in der EU gehostetes CRM; für die telefonische Beratung Aircall (Aircall SAS, Frankreich). Telefonate über Aircall sowie Beratungsgespräche und Online-Termine über tl;dv (tl;dv GmbH, Deutschland) können mit vorheriger Einwilligung aller Teilnehmer aufgezeichnet und transkribiert werden (Art 6 Abs 1 lit a); ohne Einwilligung findet keine Aufzeichnung statt. Auf Ihren Wunsch kommunizieren wir auch über WhatsApp Business (Meta Platforms Ireland Limited); hierbei gelten ergänzend die Datenschutzbestimmungen von WhatsApp.

3.3   Vertragsabwicklung. Zur Erfüllung des Vertrags verarbeiten wir Stamm-, Objekt-, Anlagen-, Termin-, Abrechnungs- und Zahlungsdaten (Art 6 Abs 1 lit b). Empfänger sind, soweit erforderlich: ausführende Heizma-Betriebe und qualitätsgeprüfte Installations-/Servicepartner, Hersteller (insbesondere zur Garantieabwicklung), Netzbetreiber, Förderstellen sowie Steuerberater und IT-Dienstleister. Für den elektronischen Vertragsabschluss setzen wir Sproof (sproof GmbH, Österreich) bzw. eine selbst betriebene Signaturlösung ein.

3.4   Forderungsmanagement. Eine eigene Bonitätsprüfung führen wir nicht durch. Bei qualifiziertem Zahlungsverzug verarbeiten wir die zur Betreibung der Forderung erforderlichen Daten, können die Forderung an ein Inkassobüro (Debtist GmbH, Deutschland) übergeben und Daten an staatlich bevorrechtete Gläubigerschutzverbände übermitteln (Art 6 Abs 1 lit f). Sie können der Verarbeitung nach Art 21 DSGVO widersprechen.

3.5   Finanzierung über Cloover. Wählen Sie eine Finanzierung über die Cloover GmbH, ist Cloover für die Bonitäts- und Vertragsabwicklung eigene Verantwortliche; es gelten deren Datenschutzinformationen (abrufbar auf der Website der Cloover GmbH). Wir übermitteln nur die für die Anbahnung der Finanzierung erforderlichen Daten (Art 6 Abs 1 lit b).

3.6   Heizma Care Wärmepumpe / Werksgarantie. Für „Heizma Care Wärmepumpe“ übermittelt die Heizma Installations GmbH die zur Garantie- und Serviceabwicklung erforderlichen Daten (insbesondere Seriennummer, Inbetriebnahmedatum, Aufstellungsort, Fehler- und Wartungsprotokolle) an die Viessmann Ges.m.b.H. (Art 6 Abs 1 lit b und f). Eine Einwilligung ist hierfür nicht erforderlich.

3.7   Optima-Energiemanagement (Optimierma). Im Rahmen des Optima-Gateways und der Optimierungsdienste verarbeitet die Optimierma GmbH Konto-, Anlagen-, Verbrauchs-, Erzeugungs-, Steuerungs- und Diagnosedaten zur Bereitstellung von App und Optimierung (Art 6 Abs 1 lit b). Die Verarbeitung erfolgt bei den eingesetzten Hosting-Anbietern Hetzner (Hetzner Online GmbH, Deutschland), Railway und Neon; die genutzten Server- und Datenbank-Regionen liegen in der EU (Neon-Datenbank und Produktanalyse PostHog in Frankfurt). Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art 22 DSGVO findet nicht statt.

3.8   Energiemarkt und Virtuelles Kraftwerk. Soweit Anlagen für die Energiemarktteilnahme eingesetzt werden, übermittelt Optimierma die hierfür erforderlichen Anlagen-, Mess- und Steuerungsdaten an Netzbetreiber, Bilanzgruppenverantwortliche, Marktteilnehmer und zuständige Stellen (Art 6 Abs 1 lit b und f). Für die vom Gerät erzeugten Daten gelten ergänzend die Bestimmungen der Verordnung (EU) 2023/2854 (Data Act); Einzelheiten zu Ihren Daten-Zugangs- und -Portabilitätsrechten regelt die Punkt 14 der Allgemeinen Geschäftsbedingungen der Optimierma.

3.9   Datenaustausch zwischen Optimierma und Heizma. Optimierma und die Heizma Group FlexCo übermitteln einander die zur Vertragsabwicklung erforderlichen Daten und handeln dabei jeweils als eigenständige Verantwortliche; eine gemeinsame Verantwortlichkeit nach Art 26 DSGVO besteht insoweit nicht (Art 6 Abs 1 lit b und f). Eine Verarbeitung zu Werbe-/Upselling-Zwecken erfolgt nur mit Ihrer gesonderten Einwilligung (Art 6 Abs 1 lit a), die Sie jederzeit widerrufen können.

3.10   Heizma Care Photovoltaik. Für die Ferndiagnose greifen wir auf die über das Wechselrichter-Portal des Herstellers bereitgestellten Betriebs- und Produktionsdaten zu (Art 6 Abs 1 lit b und f). Die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe Ltd., Irland); dabei werden die für die Zahlung erforderlichen Zahlungs- und Kontaktdaten verarbeitet (Art 6 Abs 1 lit b).

3.11   Energiegemeinschaft Teilma. Für den Betrieb der Energiegemeinschaft werden Zählpunkt-, Verbrauchs- und Erzeugungsdaten über den Energiewirtschaftlichen Datenaustausch (EDA) verarbeitet (Art 6 Abs 1 lit b). Verantwortliche ist die Bürgerenergiegemeinschaft Teilma; Optimierma und deren Abrechnungspartner werden insoweit als Auftragsverarbeiter nach Art 28 DSGVO tätig. Diese Daten erhalten wir teilweise nicht direkt von Ihnen, sondern über den Netzbetreiber bzw. den EDA (Art 14 DSGVO).

3.12   KI-gestützte Bearbeitung. Zur effizienteren Bearbeitung von Anfragen und Vorgängen setzen wir KI-gestützte Dienste ein, insbesondere Claude der Anthropic PBC (USA); dabei können personenbezogene Daten verarbeitet werden (Art 6 Abs 1 lit b und f). Anthropic ist insoweit Auftragsverarbeiter und verarbeitet die Daten ausschließlich weisungsgebunden auf Grundlage eines Vertrags nach Art 28 DSGVO; eine Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (siehe Punkt 4.4). Eine ausschließlich automatisierte Entscheidung mit Ihnen gegenüber rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art 22 DSGVO ist damit nicht verbunden; wesentliche Entscheidungen treffen wir durch einen Menschen.

3.13   Anonymisierte und aggregierte Daten. Wir anonymisieren und aggregieren personenbezogene Daten und nutzen die dadurch gewonnenen, nicht mehr personenbezogenen Daten zeitlich und sachlich unbeschränkt für eigene und fremde Zwecke — insbesondere für Statistik, Markt- und Trendanalysen, die Entwicklung, den Betrieb und die Verbesserung unserer Produkte und Dienste (einschließlich KI-gestützter Verfahren), die Qualitätssicherung sowie die Weitergabe an und Verwertung durch Dritte. Auf diese anonymisierten Daten findet die DSGVO keine Anwendung.

4   Marketing, Cookies und Tracking

4.1   Einwilligung und Cookie-Banner. Über technisch notwendige Cookies hinausgehende Cookies und ähnliche Technologien (insbesondere für Statistik und Marketing) setzen wir nur mit Ihrer vorherigen Einwilligung ein, die Sie über unser Cookie-Banner erteilen und jederzeit mit Wirkung für die Zukunft widerrufen oder anpassen können (§ 165 Abs 3 TKG 2021, Art 6 Abs 1 lit a DSGVO). Das Consent-Management erfolgt über Cookiebot (Usercentrics A/S, Dänemark), eingebunden über das IAB Transparency & Consent Framework. Solange keine Einwilligung vorliegt, werden die nachstehenden Dienste nicht aktiviert.

4.2   Google-Dienste. Nach Ihrer Einwilligung setzen wir Dienste der Google Ireland Limited (Dublin, Irland) ein, insbesondere Google Analytics 4, Google Tag Manager und Google Ads (Conversion-Tracking und Remarketing). Damit messen wir die Websitenutzung und den Erfolg von Werbekampagnen und sprechen Sie zielgerichtet mit Werbung an; dabei können Geräte- und Nutzungsdaten sowie Online-Kennungen verarbeitet werden. Wir nutzen den Google-Consent-Mode, sodass Google-Tags den Einwilligungsstatus berücksichtigen. Zur Analyse des Nutzungsverhaltens (Heatmaps, Sitzungsaufzeichnungen, Feedback-Umfragen) setzen wir nach Einwilligung zudem Hotjar (Hotjar Ltd., Malta) ein; dabei werden Interaktionen pseudonym aufgezeichnet.

4.3   Meta- und weitere Werbedienste. Nach Ihrer Einwilligung und über den Google Tag Manager ausgelöst setzen wir Dienste der Meta Platforms Ireland Limited (Dublin, Irland) ein, insbesondere den Meta-Pixel sowie Custom und Lookalike Audiences für Werbeanzeigen auf Facebook und Instagram. Für die über den Meta-Pixel erhobenen Daten kann eine gemeinsame Verantwortlichkeit mit Meta im Sinne des Art 26 DSGVO bestehen; die nähere Ausgestaltung richtet sich nach den Bestimmungen von Meta. Für die anschließende eigene Verarbeitung durch Meta ist Meta allein verantwortlich. Daneben setzen wir — nach Einwilligung — Microsoft Advertising / Bing Universal Event Tracking (Microsoft Ireland Operations Limited) und Outbrain (Outbrain UK Limited) ein.

4.4   Drittlandübermittlung. Soweit möglich verarbeiten wir Daten innerhalb der EU bzw. des EWR; dies gilt insbesondere für Hotjar (Malta) sowie für die von uns auf EU-Region gestellten Dienste Twilio SendGrid, Customer.io, Neon, PostHog und Railway. Outbrain verarbeitet im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Art 45 DSGVO). Bei einzelnen Diensten (insbesondere Google, Meta, Amazon Web Services und Anthropic) kann eine Übermittlung in die USA erfolgen; diese stützt sich, soweit der jeweilige Empfänger zertifiziert ist, auf das EU-US Data Privacy Framework (Art 45 DSGVO), im Übrigen auf EU-Standardvertragsklauseln (Art 46 Abs 2 lit c DSGVO) samt ergänzender Schutzmaßnahmen. Auf Anfrage an datenschutz@heizma.at informieren wir Sie über die für den jeweiligen Dienst eingesetzte Garantie.

4.5   E-Mail- und Newsletter-Marketing. Wenn Sie einwilligen oder die gesetzlichen Voraussetzungen vorliegen (§ 174 Abs 4 TKG 2021 — Bestandskundenwerbung für eigene ähnliche Produkte mit jederzeitiger Abmeldemöglichkeit), informieren wir Sie per E-Mail über Produkte und Aktionen (Art 6 Abs 1 lit a DSGVO bzw. Art 6 Abs 1 lit f DSGVO iVm § 174 TKG 2021). Die Newsletter-Anmeldung erfolgt im Double-Opt-in-Verfahren; Sie können den Bezug jederzeit über den Abmeldelink in jeder Nachricht oder formlos an datenschutz@heizma.at widerrufen. Für den Versand setzen wir Twilio SendGrid (Twilio Inc.) ein; für Steuerung, Automatisierung und Personalisierung von Marketing-Nachrichten sowie die dafür erforderliche Auswertung des Reaktionsverhaltens Customer.io (Peaberry Software, Inc.). Beide Dienste werden auf der EU-Region betrieben.

4.6   Eingebundene Inhalte und Social-Media-Auftritte. Wir binden Inhalte Dritter ein, die erst nach Ihrer Einwilligung geladen werden: das Trustpilot-Bewertungswidget (Trustpilot A/S, Dänemark), YouTube-Videos im erweiterten Datenschutzmodus, Google Maps zur Standortdarstellung sowie Schriftarten über Google Fonts (jeweils Google Ireland Limited; eine Übermittlung in die USA ist möglich, siehe Punkt 4.4). Wir betreiben Unternehmensauftritte auf Facebook, Instagram und LinkedIn; bei deren Besuch gelten ergänzend die Datenschutzbestimmungen der jeweiligen Plattform. Soweit für die statistischen Seiten-Insights eine gemeinsame Verantwortlichkeit mit dem Plattformbetreiber besteht (Art 26 DSGVO), gelten insoweit die Vereinbarungen der jeweiligen Plattform.

4.7   Personalisierte Angebote und Angebote der Unternehmensgruppe. Wir werten Ihre Kontakt-, Bedarfs-, Nutzungs- und Verbrauchsdaten aus, um unsere Kommunikation auf Sie zuzuschneiden und Ihnen für Sie relevante eigene Produkte und Dienstleistungen (Wärmepumpe, Photovoltaik, Energiemanagement) zu empfehlen — auch durch die Gesellschaften unserer Unternehmensgruppe (Heizma Group FlexCo, Heizma Installations GmbH, Optimierma GmbH). Rechtsgrundlage ist unser berechtigtes Interesse an bedarfsgerechter Direktwerbung sowie am gruppeninternen Datenaustausch (Art 6 Abs 1 lit f DSGVO in Verbindung mit den Erwägungsgründen 47 und 48). Ein damit verbundenes Profiling beschränkt sich auf die Auswahl passender eigener Angebote; eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Art 22 DSGVO) ist damit nicht verbunden. Sie können dieser Verarbeitung für Werbezwecke jederzeit, ohne Angabe von Gründen und kostenfrei widersprechen (Art 21 Abs 2 DSGVO); Werbung per E-Mail, SMS oder Telefon erfolgt nur nach Maßgabe von § 174 TKG 2021.

5   Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit dies zur Leistungserbringung erforderlich ist oder eine Rechtsgrundlage besteht. Auftragsverarbeiter (z. B. IT-, Hosting-, Abrechnungs- und Marketingdienstleister) setzen wir nur auf Grundlage von Verträgen nach Art 28 DSGVO ein. Empfängerkategorien:

ausführende Betriebe und qualitätsgeprüfte Service-/Installationspartner;

Hersteller (insbesondere zur Garantieabwicklung, z. B. Viessmann);

Netzbetreiber und energiewirtschaftliche Stellen (Bilanzgruppenverantwortliche, Marktteilnehmer, EDA);

Inkassobüro und staatlich bevorrechtete Gläubigerschutzverbände;

Zahlungs- und Finanzierungsdienstleister (Stripe; Cloover als eigene Verantwortliche);

Förderstellen, Steuerberatung sowie IT-, Hosting-, KI- und Marketingdienstleister (z. B. Anthropic / Claude);

Behörden und Gerichte im gesetzlich vorgesehenen Umfang.

Soweit wir Daten nicht direkt von Ihnen erhalten, stammen sie insbesondere von Netzbetreibern bzw. aus dem Energiewirtschaftlichen Datenaustausch (Zählpunkt- und Verbrauchsdaten) sowie von Vertriebspartnern (Art 14 DSGVO).

6   Speicherdauer

Wir speichern Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist.

Vertrags- und Rechnungsdaten bewahren wir aufgrund steuer- und handelsrechtlicher Pflichten in der Regel sieben Jahre auf (§ 132 Abs 1 BAO) und darüber hinaus, solange sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein können, längstens bis zum Ablauf der jeweiligen Verjährungsfristen;

auf Einwilligung beruhende Verarbeitungen enden mit Ihrem Widerruf;

Tracking-/Marketingdaten werden nach Ablauf der jeweiligen Cookie-Laufzeit bzw. der in den Tools eingestellten Fristen gelöscht (Google Analytics 4: standardmäßig 14 Monate);

Anlagen-, Betriebs- und Energiedaten des Optima-Energiemanagements werden für die Dauer des Vertragsverhältnisses und darüber hinaus nur, soweit gesetzlich erforderlich, gespeichert.

7   Ihre Rechte

Sie haben das Recht auf Auskunft (Art 15), Berichtigung (Art 16), Löschung (Art 17), Einschränkung der Verarbeitung (Art 18) und Datenübertragbarkeit (Art 20) sowie auf Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art 21) — insbesondere gegen Direktwerbung. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art 7 Abs 3); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@heizma.at.

Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde, in Österreich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at (www.dsb.gv.at).

8   Pflicht zur Bereitstellung

Die Bereitstellung der für den Vertrag erforderlichen Daten ist notwendig, um den Vertrag abzuschließen und durchzuführen; ohne sie können wir die Leistung nicht erbringen. Bestimmte Daten müssen wir aufgrund gesetzlicher Vorgaben erheben (insbesondere für Rechnungslegung und Steuer). Marketing- und Tracking-Verarbeitungen sind freiwillig und für die Vertragserfüllung nicht erforderlich; aus einer Nichteinwilligung entstehen Ihnen keine Nachteile.

9   Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Diese Datenschutzerklärung informiert Sie gemäß Art 13 und 14 DSGVO über die Verarbeitung Ihrer personenbezogenen Daten durch die unten genannten Verantwortlichen sowie über Ihre Rechte. Sie gilt für unsere Website, unsere Apps, unsere Kommunikationskanäle und die Abwicklung unserer Leistungen.

1   Verantwortliche

Je nach in Anspruch genommener Leistung ist eine der folgenden Stellen datenschutzrechtlich Verantwortliche. Die genannten Stellen sind jeweils getrennt, nicht gemeinsam Verantwortliche; jede verarbeitet die sie betreffenden Daten in eigener Verantwortung.

Heizma Group FlexCo, Hollandstraße 10/47, 1020 Wien, FN 625311a (Handelsgericht Wien) — Verkauf, Planung und Installation von Wärmepumpen, Photovoltaik, Speichern, Wallboxen, Klimageräten und dem Optima-Gateway sowie „Heizma Care Photovoltaik“.

Heizma Installations GmbH, Hollandstraße 10/47, 1020 Wien, FN 627258p (Handelsgericht Wien) — Wartungs- und Serviceleistungen „Heizma Care Wärmepumpe“.

Optimierma GmbH, Hollandstraße 10/47, 1020 Wien, FN 411232d (Handelsgericht Wien) — Optimierungsdienste, App und Cloud rund um das Optima-Energiemanagement.

Bürgerenergiegemeinschaft Teilma (Verein), Hollandstraße 10/47, 1020 Wien, ZVR 1843722415 — Betrieb der Energiegemeinschaft.

Wir bezeichnen diese Stellen gemeinsam als „wir“ bzw. „Heizma“; im Einzelfall ist jeweils die nach der erbrachten Leistung zuständige Stelle Verantwortliche. Kontakt in Datenschutzfragen: datenschutz@heizma.at.

Ein Datenschutzbeauftragter wurde nicht bestellt; eine Bestellpflicht nach Art 37 DSGVO besteht nicht. Für alle datenschutzrechtlichen Anliegen erreichen Sie uns unter datenschutz@heizma.at.

2   Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

Art 6 Abs 1 lit b DSGVO — zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen;

Art 6 Abs 1 lit c DSGVO — zur Erfüllung rechtlicher Verpflichtungen (insbesondere steuer- und handelsrechtliche Aufbewahrung);

Art 6 Abs 1 lit f DSGVO — zur Wahrung unserer berechtigten Interessen; hierzu zählen insbesondere die ordnungsgemäße und effiziente Leistungserbringung, die Analyse, Optimierung und Weiterentwicklung unserer Website, Produkte, Dienste und Angebote (einschließlich des Einsatzes KI-gestützter Verfahren), Markt-, Nutzungs- und Reichweitenanalysen, die Qualitätssicherung, die IT-, Netz- und Anlagensicherheit, die Betrugsprävention und das Forderungsmanagement, die unternehmensinterne Verwaltung und der Datenaustausch innerhalb unserer Unternehmensgruppe (Erwägungsgrund 48 DSGVO) sowie die Direktwerbung für eigene Produkte und Dienste (Erwägungsgrund 47 DSGVO);

Art 6 Abs 1 lit a DSGVO — auf Grundlage Ihrer Einwilligung, soweit eine solche gesetzlich erforderlich ist (insbesondere für nicht erforderliche Cookies und Tracking sowie elektronische Werbung an Nicht-Bestandskunden), in Verbindung mit § 165 und § 174 TKG 2021.

Soweit wir uns auf berechtigte Interessen stützen, haben wir diese gegen Ihre Interessen abgewogen; Sie können der Verarbeitung nach Art 21 DSGVO widersprechen (siehe Punkt 7). Verarbeiten wir Daten für einen mit dem ursprünglichen Erhebungszweck vereinbaren weiteren Zweck, stützen wir dies auf Art 6 Abs 4 DSGVO.

3   Verarbeitungen im Einzelnen

3.1   Besuch der Website. Beim Aufruf unserer Website verarbeiten wir Server-Logdaten (IP-Adresse, Datum/Uhrzeit, abgerufene Seite, Browser/Gerät) zur Auslieferung, Stabilität und Sicherheit (Art 6 Abs 1 lit f). Die Website wird über Framer (Framer B.V., Niederlande) bereitgestellt; die Auslieferung erfolgt über das Content-Delivery-Network framerusercontent.com und über Server-Infrastruktur von Amazon Web Services (Serverstandort unter anderem USA, siehe Punkt 4.4). Ergänzend nutzen wir das datensparsame Analyse-Tool von Framer.

3.2   Lead-/Kontaktanfrage und Beratung. Wenn Sie ein Kontakt- oder Anfrageformular ausfüllen — insbesondere über unsere Anfrage- und Beratungsstrecken mit Heyflow (Heyflow GmbH, Deutschland) — bekunden Sie damit Ihr Interesse an unseren Produkten und Ihren Wunsch, von uns kontaktiert zu werden. Wir verarbeiten Ihre Kontakt-, Objekt- und Bedarfsdaten, um Ihre Anfrage zu bearbeiten, Sie telefonisch oder per E-Mail zu beraten und Ihnen ein Angebot zu erstellen; Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art 6 Abs 1 lit b DSGVO). Zur Lead- und Kundenverwaltung nutzen wir ein selbst betriebenes, in der EU gehostetes CRM; für die telefonische Beratung Aircall (Aircall SAS, Frankreich). Telefonate über Aircall sowie Beratungsgespräche und Online-Termine über tl;dv (tl;dv GmbH, Deutschland) können mit vorheriger Einwilligung aller Teilnehmer aufgezeichnet und transkribiert werden (Art 6 Abs 1 lit a); ohne Einwilligung findet keine Aufzeichnung statt. Auf Ihren Wunsch kommunizieren wir auch über WhatsApp Business (Meta Platforms Ireland Limited); hierbei gelten ergänzend die Datenschutzbestimmungen von WhatsApp.

3.3   Vertragsabwicklung. Zur Erfüllung des Vertrags verarbeiten wir Stamm-, Objekt-, Anlagen-, Termin-, Abrechnungs- und Zahlungsdaten (Art 6 Abs 1 lit b). Empfänger sind, soweit erforderlich: ausführende Heizma-Betriebe und qualitätsgeprüfte Installations-/Servicepartner, Hersteller (insbesondere zur Garantieabwicklung), Netzbetreiber, Förderstellen sowie Steuerberater und IT-Dienstleister. Für den elektronischen Vertragsabschluss setzen wir Sproof (sproof GmbH, Österreich) bzw. eine selbst betriebene Signaturlösung ein.

3.4   Forderungsmanagement. Eine eigene Bonitätsprüfung führen wir nicht durch. Bei qualifiziertem Zahlungsverzug verarbeiten wir die zur Betreibung der Forderung erforderlichen Daten, können die Forderung an ein Inkassobüro (Debtist GmbH, Deutschland) übergeben und Daten an staatlich bevorrechtete Gläubigerschutzverbände übermitteln (Art 6 Abs 1 lit f). Sie können der Verarbeitung nach Art 21 DSGVO widersprechen.

3.5   Finanzierung über Cloover. Wählen Sie eine Finanzierung über die Cloover GmbH, ist Cloover für die Bonitäts- und Vertragsabwicklung eigene Verantwortliche; es gelten deren Datenschutzinformationen (abrufbar auf der Website der Cloover GmbH). Wir übermitteln nur die für die Anbahnung der Finanzierung erforderlichen Daten (Art 6 Abs 1 lit b).

3.6   Heizma Care Wärmepumpe / Werksgarantie. Für „Heizma Care Wärmepumpe“ übermittelt die Heizma Installations GmbH die zur Garantie- und Serviceabwicklung erforderlichen Daten (insbesondere Seriennummer, Inbetriebnahmedatum, Aufstellungsort, Fehler- und Wartungsprotokolle) an die Viessmann Ges.m.b.H. (Art 6 Abs 1 lit b und f). Eine Einwilligung ist hierfür nicht erforderlich.

3.7   Optima-Energiemanagement (Optimierma). Im Rahmen des Optima-Gateways und der Optimierungsdienste verarbeitet die Optimierma GmbH Konto-, Anlagen-, Verbrauchs-, Erzeugungs-, Steuerungs- und Diagnosedaten zur Bereitstellung von App und Optimierung (Art 6 Abs 1 lit b). Die Verarbeitung erfolgt bei den eingesetzten Hosting-Anbietern Hetzner (Hetzner Online GmbH, Deutschland), Railway und Neon; die genutzten Server- und Datenbank-Regionen liegen in der EU (Neon-Datenbank und Produktanalyse PostHog in Frankfurt). Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art 22 DSGVO findet nicht statt.

3.8   Energiemarkt und Virtuelles Kraftwerk. Soweit Anlagen für die Energiemarktteilnahme eingesetzt werden, übermittelt Optimierma die hierfür erforderlichen Anlagen-, Mess- und Steuerungsdaten an Netzbetreiber, Bilanzgruppenverantwortliche, Marktteilnehmer und zuständige Stellen (Art 6 Abs 1 lit b und f). Für die vom Gerät erzeugten Daten gelten ergänzend die Bestimmungen der Verordnung (EU) 2023/2854 (Data Act); Einzelheiten zu Ihren Daten-Zugangs- und -Portabilitätsrechten regelt die Punkt 14 der Allgemeinen Geschäftsbedingungen der Optimierma.

3.9   Datenaustausch zwischen Optimierma und Heizma. Optimierma und die Heizma Group FlexCo übermitteln einander die zur Vertragsabwicklung erforderlichen Daten und handeln dabei jeweils als eigenständige Verantwortliche; eine gemeinsame Verantwortlichkeit nach Art 26 DSGVO besteht insoweit nicht (Art 6 Abs 1 lit b und f). Eine Verarbeitung zu Werbe-/Upselling-Zwecken erfolgt nur mit Ihrer gesonderten Einwilligung (Art 6 Abs 1 lit a), die Sie jederzeit widerrufen können.

3.10   Heizma Care Photovoltaik. Für die Ferndiagnose greifen wir auf die über das Wechselrichter-Portal des Herstellers bereitgestellten Betriebs- und Produktionsdaten zu (Art 6 Abs 1 lit b und f). Die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe Ltd., Irland); dabei werden die für die Zahlung erforderlichen Zahlungs- und Kontaktdaten verarbeitet (Art 6 Abs 1 lit b).

3.11   Energiegemeinschaft Teilma. Für den Betrieb der Energiegemeinschaft werden Zählpunkt-, Verbrauchs- und Erzeugungsdaten über den Energiewirtschaftlichen Datenaustausch (EDA) verarbeitet (Art 6 Abs 1 lit b). Verantwortliche ist die Bürgerenergiegemeinschaft Teilma; Optimierma und deren Abrechnungspartner werden insoweit als Auftragsverarbeiter nach Art 28 DSGVO tätig. Diese Daten erhalten wir teilweise nicht direkt von Ihnen, sondern über den Netzbetreiber bzw. den EDA (Art 14 DSGVO).

3.12   KI-gestützte Bearbeitung. Zur effizienteren Bearbeitung von Anfragen und Vorgängen setzen wir KI-gestützte Dienste ein, insbesondere Claude der Anthropic PBC (USA); dabei können personenbezogene Daten verarbeitet werden (Art 6 Abs 1 lit b und f). Anthropic ist insoweit Auftragsverarbeiter und verarbeitet die Daten ausschließlich weisungsgebunden auf Grundlage eines Vertrags nach Art 28 DSGVO; eine Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (siehe Punkt 4.4). Eine ausschließlich automatisierte Entscheidung mit Ihnen gegenüber rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art 22 DSGVO ist damit nicht verbunden; wesentliche Entscheidungen treffen wir durch einen Menschen.

3.13   Anonymisierte und aggregierte Daten. Wir anonymisieren und aggregieren personenbezogene Daten und nutzen die dadurch gewonnenen, nicht mehr personenbezogenen Daten zeitlich und sachlich unbeschränkt für eigene und fremde Zwecke — insbesondere für Statistik, Markt- und Trendanalysen, die Entwicklung, den Betrieb und die Verbesserung unserer Produkte und Dienste (einschließlich KI-gestützter Verfahren), die Qualitätssicherung sowie die Weitergabe an und Verwertung durch Dritte. Auf diese anonymisierten Daten findet die DSGVO keine Anwendung.

4   Marketing, Cookies und Tracking

4.1   Einwilligung und Cookie-Banner. Über technisch notwendige Cookies hinausgehende Cookies und ähnliche Technologien (insbesondere für Statistik und Marketing) setzen wir nur mit Ihrer vorherigen Einwilligung ein, die Sie über unser Cookie-Banner erteilen und jederzeit mit Wirkung für die Zukunft widerrufen oder anpassen können (§ 165 Abs 3 TKG 2021, Art 6 Abs 1 lit a DSGVO). Das Consent-Management erfolgt über Cookiebot (Usercentrics A/S, Dänemark), eingebunden über das IAB Transparency & Consent Framework. Solange keine Einwilligung vorliegt, werden die nachstehenden Dienste nicht aktiviert.

4.2   Google-Dienste. Nach Ihrer Einwilligung setzen wir Dienste der Google Ireland Limited (Dublin, Irland) ein, insbesondere Google Analytics 4, Google Tag Manager und Google Ads (Conversion-Tracking und Remarketing). Damit messen wir die Websitenutzung und den Erfolg von Werbekampagnen und sprechen Sie zielgerichtet mit Werbung an; dabei können Geräte- und Nutzungsdaten sowie Online-Kennungen verarbeitet werden. Wir nutzen den Google-Consent-Mode, sodass Google-Tags den Einwilligungsstatus berücksichtigen. Zur Analyse des Nutzungsverhaltens (Heatmaps, Sitzungsaufzeichnungen, Feedback-Umfragen) setzen wir nach Einwilligung zudem Hotjar (Hotjar Ltd., Malta) ein; dabei werden Interaktionen pseudonym aufgezeichnet.

4.3   Meta- und weitere Werbedienste. Nach Ihrer Einwilligung und über den Google Tag Manager ausgelöst setzen wir Dienste der Meta Platforms Ireland Limited (Dublin, Irland) ein, insbesondere den Meta-Pixel sowie Custom und Lookalike Audiences für Werbeanzeigen auf Facebook und Instagram. Für die über den Meta-Pixel erhobenen Daten kann eine gemeinsame Verantwortlichkeit mit Meta im Sinne des Art 26 DSGVO bestehen; die nähere Ausgestaltung richtet sich nach den Bestimmungen von Meta. Für die anschließende eigene Verarbeitung durch Meta ist Meta allein verantwortlich. Daneben setzen wir — nach Einwilligung — Microsoft Advertising / Bing Universal Event Tracking (Microsoft Ireland Operations Limited) und Outbrain (Outbrain UK Limited) ein.

4.4   Drittlandübermittlung. Soweit möglich verarbeiten wir Daten innerhalb der EU bzw. des EWR; dies gilt insbesondere für Hotjar (Malta) sowie für die von uns auf EU-Region gestellten Dienste Twilio SendGrid, Customer.io, Neon, PostHog und Railway. Outbrain verarbeitet im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Art 45 DSGVO). Bei einzelnen Diensten (insbesondere Google, Meta, Amazon Web Services und Anthropic) kann eine Übermittlung in die USA erfolgen; diese stützt sich, soweit der jeweilige Empfänger zertifiziert ist, auf das EU-US Data Privacy Framework (Art 45 DSGVO), im Übrigen auf EU-Standardvertragsklauseln (Art 46 Abs 2 lit c DSGVO) samt ergänzender Schutzmaßnahmen. Auf Anfrage an datenschutz@heizma.at informieren wir Sie über die für den jeweiligen Dienst eingesetzte Garantie.

4.5   E-Mail- und Newsletter-Marketing. Wenn Sie einwilligen oder die gesetzlichen Voraussetzungen vorliegen (§ 174 Abs 4 TKG 2021 — Bestandskundenwerbung für eigene ähnliche Produkte mit jederzeitiger Abmeldemöglichkeit), informieren wir Sie per E-Mail über Produkte und Aktionen (Art 6 Abs 1 lit a DSGVO bzw. Art 6 Abs 1 lit f DSGVO iVm § 174 TKG 2021). Die Newsletter-Anmeldung erfolgt im Double-Opt-in-Verfahren; Sie können den Bezug jederzeit über den Abmeldelink in jeder Nachricht oder formlos an datenschutz@heizma.at widerrufen. Für den Versand setzen wir Twilio SendGrid (Twilio Inc.) ein; für Steuerung, Automatisierung und Personalisierung von Marketing-Nachrichten sowie die dafür erforderliche Auswertung des Reaktionsverhaltens Customer.io (Peaberry Software, Inc.). Beide Dienste werden auf der EU-Region betrieben.

4.6   Eingebundene Inhalte und Social-Media-Auftritte. Wir binden Inhalte Dritter ein, die erst nach Ihrer Einwilligung geladen werden: das Trustpilot-Bewertungswidget (Trustpilot A/S, Dänemark), YouTube-Videos im erweiterten Datenschutzmodus, Google Maps zur Standortdarstellung sowie Schriftarten über Google Fonts (jeweils Google Ireland Limited; eine Übermittlung in die USA ist möglich, siehe Punkt 4.4). Wir betreiben Unternehmensauftritte auf Facebook, Instagram und LinkedIn; bei deren Besuch gelten ergänzend die Datenschutzbestimmungen der jeweiligen Plattform. Soweit für die statistischen Seiten-Insights eine gemeinsame Verantwortlichkeit mit dem Plattformbetreiber besteht (Art 26 DSGVO), gelten insoweit die Vereinbarungen der jeweiligen Plattform.

4.7   Personalisierte Angebote und Angebote der Unternehmensgruppe. Wir werten Ihre Kontakt-, Bedarfs-, Nutzungs- und Verbrauchsdaten aus, um unsere Kommunikation auf Sie zuzuschneiden und Ihnen für Sie relevante eigene Produkte und Dienstleistungen (Wärmepumpe, Photovoltaik, Energiemanagement) zu empfehlen — auch durch die Gesellschaften unserer Unternehmensgruppe (Heizma Group FlexCo, Heizma Installations GmbH, Optimierma GmbH). Rechtsgrundlage ist unser berechtigtes Interesse an bedarfsgerechter Direktwerbung sowie am gruppeninternen Datenaustausch (Art 6 Abs 1 lit f DSGVO in Verbindung mit den Erwägungsgründen 47 und 48). Ein damit verbundenes Profiling beschränkt sich auf die Auswahl passender eigener Angebote; eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Art 22 DSGVO) ist damit nicht verbunden. Sie können dieser Verarbeitung für Werbezwecke jederzeit, ohne Angabe von Gründen und kostenfrei widersprechen (Art 21 Abs 2 DSGVO); Werbung per E-Mail, SMS oder Telefon erfolgt nur nach Maßgabe von § 174 TKG 2021.

5   Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit dies zur Leistungserbringung erforderlich ist oder eine Rechtsgrundlage besteht. Auftragsverarbeiter (z. B. IT-, Hosting-, Abrechnungs- und Marketingdienstleister) setzen wir nur auf Grundlage von Verträgen nach Art 28 DSGVO ein. Empfängerkategorien:

ausführende Betriebe und qualitätsgeprüfte Service-/Installationspartner;

Hersteller (insbesondere zur Garantieabwicklung, z. B. Viessmann);

Netzbetreiber und energiewirtschaftliche Stellen (Bilanzgruppenverantwortliche, Marktteilnehmer, EDA);

Inkassobüro und staatlich bevorrechtete Gläubigerschutzverbände;

Zahlungs- und Finanzierungsdienstleister (Stripe; Cloover als eigene Verantwortliche);

Förderstellen, Steuerberatung sowie IT-, Hosting-, KI- und Marketingdienstleister (z. B. Anthropic / Claude);

Behörden und Gerichte im gesetzlich vorgesehenen Umfang.

Soweit wir Daten nicht direkt von Ihnen erhalten, stammen sie insbesondere von Netzbetreibern bzw. aus dem Energiewirtschaftlichen Datenaustausch (Zählpunkt- und Verbrauchsdaten) sowie von Vertriebspartnern (Art 14 DSGVO).

6   Speicherdauer

Wir speichern Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist.

Vertrags- und Rechnungsdaten bewahren wir aufgrund steuer- und handelsrechtlicher Pflichten in der Regel sieben Jahre auf (§ 132 Abs 1 BAO) und darüber hinaus, solange sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein können, längstens bis zum Ablauf der jeweiligen Verjährungsfristen;

auf Einwilligung beruhende Verarbeitungen enden mit Ihrem Widerruf;

Tracking-/Marketingdaten werden nach Ablauf der jeweiligen Cookie-Laufzeit bzw. der in den Tools eingestellten Fristen gelöscht (Google Analytics 4: standardmäßig 14 Monate);

Anlagen-, Betriebs- und Energiedaten des Optima-Energiemanagements werden für die Dauer des Vertragsverhältnisses und darüber hinaus nur, soweit gesetzlich erforderlich, gespeichert.

7   Ihre Rechte

Sie haben das Recht auf Auskunft (Art 15), Berichtigung (Art 16), Löschung (Art 17), Einschränkung der Verarbeitung (Art 18) und Datenübertragbarkeit (Art 20) sowie auf Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art 21) — insbesondere gegen Direktwerbung. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art 7 Abs 3); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@heizma.at.

Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde, in Österreich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at (www.dsb.gv.at).

8   Pflicht zur Bereitstellung

Die Bereitstellung der für den Vertrag erforderlichen Daten ist notwendig, um den Vertrag abzuschließen und durchzuführen; ohne sie können wir die Leistung nicht erbringen. Bestimmte Daten müssen wir aufgrund gesetzlicher Vorgaben erheben (insbesondere für Rechnungslegung und Steuer). Marketing- und Tracking-Verarbeitungen sind freiwillig und für die Vertragserfüllung nicht erforderlich; aus einer Nichteinwilligung entstehen Ihnen keine Nachteile.

9   Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.