Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im
Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Lukas Lukowski
Zum Butterberg 31
21629 Neu Wulmstorf
Deutschland
E-Mail: info@roofora.de

Diese Plattform wird als privates, nicht-gewerbliches
Hobbyprojekt in einer Beta-Phase betrieben. Die Nutzung ist für
Kundinnen/Kunden und Handwerksbetriebe derzeit vollständig
kostenlos; es findet keine Zahlungsabwicklung statt.

Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben
(§ 38 BDSG, Art. 37 DSGVO) und wurde daher nicht bestellt.


2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzerinnen und
Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer
funktionsfähigen Website sowie unserer Inhalte und Leistungen
erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO), aufgrund
berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO, z. B. Betrieb,
Sicherheit und Weiterentwicklung der Plattform) oder aufgrund
einer erteilten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Eine Übermittlung an Dritte findet nur in den in dieser Erklärung
ausdrücklich genannten Fällen statt (insbesondere Abschnitt 7,
Weitergabe von Kontaktdaten an Handwerksbetriebe). Ein Verkauf
personenbezogener Daten an Dritte findet nicht statt.


3. Bereitstellung der Website / Server-Logfiles

Beim Aufruf dieser Website erhebt der Server des Hosting-Anbieters
automatisch technische Verbindungsdaten, die Ihr Browser
übermittelt (Server-Logfiles). Dazu gehören typischerweise:

- IP-Adresse
- Datum und Uhrzeit der Anfrage
- aufgerufene URL / Endpunkt
- User-Agent (Browser, Betriebssystem)
- Referrer-URL (die zuvor besuchte Seite)
- übertragene Datenmenge, HTTP-Statuscode

Diese Daten dienen der technischen Bereitstellung, Stabilität und
Sicherheit der Plattform (z. B. Fehleranalyse, Abwehr von
Missbrauch) und werden nicht mit anderen Datenquellen
zusammengeführt. Rechtsgrundlage ist unser berechtigtes Interesse
gemäß Art. 6 Abs. 1 lit. f DSGVO.

Hosting-Anbieter: Contabo GmbH, Aschauer Straße 32a, 81549 München,
Deutschland (Serverstandort abhängig vom gewählten Rechenzentrum).


4. Registrierung als Kundin/Kunde oder Handwerksbetrieb

Um die Plattform zu nutzen, ist ein Konto erforderlich. Konten
sind bewusst zunächst anonym angelegt: Bei der Registrierung
werden lediglich ein selbst gewählter Benutzername sowie ein
Passwort (als Hash, nicht im Klartext gespeichert) erhoben. Ein
einmalig angezeigter Recovery-Code (ebenfalls nur als Hash
gespeichert) ermöglicht die Wiederherstellung des Zugangs bei
vergessenem Passwort.

Optional können folgende Angaben im Profil ergänzt werden:

- Vorname, Nachname
- E-Mail-Adresse
- Telefonnummer
- bei Handwerksbetrieben zusätzlich: Firmenname (Pflichtangabe bei
  Registrierung als Handwerksbetrieb)

Diese optionalen Angaben werden nur erhoben, wenn Sie sie selbst
eintragen, und dienen insbesondere der Kontaktaufnahme im Rahmen
der Vermittlung (siehe Abschnitt 7) sowie der Kommunikation rund
um Ihr Konto. Rechtsgrundlage ist die Erfüllung bzw. Anbahnung
eines Vertrags über die Nutzung der Plattform (Art. 6 Abs. 1
lit. b DSGVO).

Eine Möglichkeit zur eigenständigen Löschung des Kontos über die
Website besteht derzeit noch nicht. Sie können die Löschung Ihres
Kontos und der zugehörigen Daten jederzeit formlos per E-Mail an
info@roofora.de verlangen.


5. Solaranfragen und hochgeladene Bilder

Kundinnen und Kunden können eine Solaranfrage erstellen. Dabei
werden folgende Daten erhoben und gespeichert:

- Postleitzahl und Straße des Objekts (die Straße wird
  ausschließlich serverseitig zur Ermittlung von Solarertrag und
  ggf. zum automatischen Abruf eines Dachfotos genutzt und
  Handwerksbetrieben zu keinem Zeitpunkt angezeigt)
- Dachausrichtung, Dachfläche, Jahresstromverbrauch und weitere
  technische Angaben zur Berechnung einer passenden Anlagengröße
- hochgeladene Fotos: Dachfotos, Fotos des Zählerschranks, ein
  automatisch erzeugtes Überlagerungsbild mit Modul-Layout
- freiwillige Zusatzangaben und Anmerkungen
- Angabe, ob und in welchem Zeitfenster eine Kontaktaufnahme
  gewünscht ist

Diese Daten werden zur Berechnung eines Anlagenvorschlags sowie -
in anonymisierter, auf technische Eckdaten reduzierter Form - zur
Veröffentlichung als Anfrage für Handwerksbetriebe verwendet.
Kontaktdaten werden dabei zu keinem Zeitpunkt automatisch
mitveröffentlicht (siehe Abschnitt 7).

Hochgeladene Bilder werden serverseitig gespeichert (im
Beta-Betrieb auf dem eigenen Server bzw. einem selbst betriebenen
Objektspeicher, siehe Abschnitt 3) und über eine nicht erratbare,
zufällige Adresse ausgeliefert.

Rechtsgrundlage ist die Erfüllung bzw. Anbahnung eines Vertrags
über die Vermittlung eines Angebots (Art. 6 Abs. 1 lit. b DSGVO).

Löschung: Anfragen, deren Angebotsfrist abgelaufen ist und die zu
keinem angenommenen Angebot geführt haben, werden 14 Tage nach
Fristablauf automatisch inklusive aller zugehörigen Bilder,
Angebote und Kontaktanfragen gelöscht. Anfragen mit einem
angenommenen Angebot werden zur Nachvollziehbarkeit unbefristet
aufbewahrt, bis Sie eine Löschung nach Abschnitt 4 verlangen.


6. Von Handwerksbetrieben abgegebene Angebote

Handwerksbetriebe können zu veröffentlichten Anfragen ein Angebot
(Preis, ggf. bevorzugter Hersteller) abgeben. Der Kundin/dem Kunden
wird dabei die Anzahl der abgegebenen Angebote sowie deren Preise
angezeigt; anderen Handwerksbetrieben wird ausschließlich die
Anzahl bereits abgegebener Angebote angezeigt, keine Preise. Diese
Verarbeitung ist für die Kernfunktion der Plattform (Vermittlung
konkurrierender Angebote) erforderlich (Art. 6 Abs. 1 lit. b
DSGVO).


7. Weitergabe von Kontaktdaten an Handwerksbetriebe

Dies ist der zentrale Baustein der Plattform: Handwerksbetriebe
erhalten Ihre Kontaktdaten nur, wenn Sie dies für genau diesen
Betrieb aktiv freigeben.

Der Ablauf im Einzelnen:

1. Ein Handwerksbetrieb kann zu Ihrer Anfrage eine Kontaktanfrage
   stellen (dabei werden noch keine Kontaktdaten übermittelt).
2. Sie sehen daraufhin das Profil des anfragenden Betriebs
   (Firmenname, Bewertungen, ggf. abgegebenes Angebot) und
   entscheiden individuell, ob Sie diesen konkreten Betrieb
   zulassen ("freigeben").
3. Im aktuellen Beta-Betrieb ohne Zahlungsfunktion (siehe oben)
   werden nach Ihrer Freigabe Ihre hinterlegte E-Mail-Adresse und
   Telefonnummer sowie Ihr bevorzugtes Kontakt-Zeitfenster an den
   freigegebenen Handwerksbetrieb übermittelt. Haben Sie keine
   E-Mail-Adresse/Telefonnummer in Ihrem Profil hinterlegt, kann
   keine Freigabe erfolgen.

Zusätzlich ist die Anzahl der Betriebe, die pro Anfrage
Kontaktdaten erhalten dürfen, begrenzt, um eine Häufung von
Kontaktaufnahmen zu vermeiden.

Rechtsgrundlage für diese Weitergabe ist Ihre aktive,
betriebsbezogene Freigabe-Entscheidung in Verbindung mit der
Erfüllung des Vermittlungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Was der freigegebene Handwerksbetrieb anschließend mit Ihren
Kontaktdaten macht (z. B. Anruf zur Terminvereinbarung), liegt in
dessen eigener datenschutzrechtlicher Verantwortung.


8. Kontaktformular und Fehlermeldungen

Über das Kontaktformular können Sie uns - auch ohne eingeloggt zu
sein - eine Nachricht senden, optional mit Angabe einer
E-Mail-Adresse für eine Rückantwort. Sind Sie zum Zeitpunkt der
Absendung eingeloggt, wird zusätzlich Ihre Konto-ID mit
gespeichert, um die Anfrage leichter zuordnen zu können.

Über die Funktion "Fehler melden" können Sie uns technische
Probleme mitsamt einer Beschreibung, der aufgerufenen Seite, dem
verwendeten Browser (User-Agent) und optional bis zu drei
Screenshots melden. Zusätzlich werden unerwartete technische
Fehler der Serveranwendung automatisiert in derselben internen
Übersicht erfasst (ohne Bezug zu einer bestimmten Person, sofern
Sie diese nicht selbst in einer Fehlerbeschreibung angeben), um
die Stabilität der Plattform zu verbessern.

Beide Funktionen dienen der Kommunikation mit Ihnen sowie der
Fehleranalyse und Weiterentwicklung der Plattform (Art. 6 Abs. 1
lit. f DSGVO, bei freiwilliger Angabe einer E-Mail-Adresse
ergänzend Art. 6 Abs. 1 lit. a DSGVO).


9. Cookies und lokale Speicherung im Browser

Für den Betrieb der Website selbst setzen wir keine Cookies. Cookies
werden ausschließlich gesetzt, wenn Sie dem optionalen Google-Analytics-
Tracking über den Cookie-Hinweis aktiv zustimmen (siehe Abschnitt 11) -
ohne diese Einwilligung wird kein einziges Cookie gesetzt.

Nach einem Login wird ein Anmelde-Token (JWT) im sogenannten
Local Storage Ihres Browsers gespeichert, damit Sie nicht bei
jedem Seitenaufruf erneut ein Passwort eingeben müssen. Dieses
Token enthält lediglich eine interne Konto-Nummer und Ihre Rolle
(Kunde/Handwerksbetrieb), keine weiteren personenbezogenen Daten,
und verfällt automatisch nach 30 Tagen. Es wird ausschließlich
lokal auf Ihrem Gerät gespeichert und bei jeder Anfrage an unseren
Server mitgesendet, um Sie zu authentifizieren.


10. Webanalyse (Umami)

Wir setzen zur anonymen, statistischen Auswertung der
Websitenutzung die selbst gehostete, quelloffene Analyse-Software
Umami ein. Umami läuft ausschließlich auf eigener Infrastruktur;
es werden keine Daten an Dritte oder an Server außerhalb unserer
eigenen Systeme übertragen.

Umami arbeitet ohne Cookies und ohne geräteübergreifendes
Tracking. Zur Erkennung wiederkehrender Besuche innerhalb eines
Tages wird aus IP-Adresse, User-Agent und weiteren technischen
Merkmalen ein täglich wechselnder, nicht rückverfolgbarer Hashwert
gebildet; die IP-Adresse selbst wird nicht dauerhaft gespeichert.

Zusätzlich wird die IP-Adresse genutzt, um näherungsweise Land,
Region und Stadt des Aufrufs zu bestimmen (Geolokalisierung anhand
einer lokal vorgehaltenen IP-Datenbank, ohne Abfrage bei einem
externen Dienst). Gespeichert wird dabei nur das Ergebnis dieser
Bestimmung (z. B. "Deutschland, Niedersachsen"), nicht die
IP-Adresse selbst.

Erfasst werden unter anderem aufgerufene Seiten sowie folgende
anonyme Ereignisse mit rein technischem/statistischem Bezug (z. B.
interne Anfrage- oder Angebots-ID, aber keine Namen, E-Mail-
Adressen oder Telefonnummern):

- Abschluss des Anfrage-Assistenten
- Abgabe eines Angebots
- Freigabe einer Kontaktanfrage
- PDF-Exporte
- aufgetretene Frontend-Fehler

Rechtsgrundlage ist unser berechtigtes Interesse an der
bedarfsgerechten Weiterentwicklung der Plattform (Art. 6 Abs. 1
lit. f DSGVO). Da keine Cookies gesetzt werden und keine
personenbezogenen Profile gebildet werden, ist nach aktueller
Rechtslage keine gesonderte Einwilligung erforderlich.


11. Google Analytics (nur mit Ihrer Einwilligung)

Zusätzlich zur cookielosen Umami-Analyse (siehe Abschnitt 10) setzen wir
- ausschließlich nach Ihrer vorherigen, ausdrücklichen Einwilligung über
den Cookie-Hinweis am unteren Bildschirmrand - den Webanalysedienst
Google Analytics 4 des Anbieters Google Ireland Limited, Gordon House,
Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, 1600
Amphitheatre Parkway, Mountain View, CA 94043, USA) ein.

Ohne Ihre Einwilligung wird kein Google-Analytics-Skript geladen und es
werden keine entsprechenden Cookies gesetzt. Erst mit Ihrer Zustimmung
setzt Google Analytics Cookies (u. a. "_ga", "_ga_*") auf Ihrem Gerät und
verarbeitet dabei unter anderem:

- besuchte Seiten, Verweildauer und Klickpfade
- ungefähren Standort (abgeleitet aus der IP-Adresse)
- Geräte-, Browser- und Betriebssystem-Informationen
- eine zufällig erzeugte Nutzer-/Client-ID zur Wiedererkennung
  wiederkehrender Besuche

Rechtsgrundlage ist ausschließlich Ihre Einwilligung (Art. 6 Abs. 1
lit. a DSGVO, § 25 Abs. 1 TTDSG). Sie können Ihre Einwilligung
jederzeit mit Wirkung für die Zukunft über den Link
"Cookie-Einstellungen" im Fußbereich der Website widerrufen; ab dem
Widerruf werden keine weiteren Daten mehr übermittelt.

Die verarbeiteten Daten werden dabei auch in die USA übermittelt.
Google hat nach eigenen Angaben die EU-Standardvertragsklauseln
übernommen, um ein angemessenes Datenschutzniveau sicherzustellen.
Weitere Informationen zur Datenverarbeitung durch Google sowie zu
Widerspruchsmöglichkeiten finden Sie in der Datenschutzerklärung von
Google: https://policies.google.com/privacy


12. Eingebundene externe Dienste

Für einzelne technische Funktionen werden folgende externe,
öffentlich zugängliche Programmierschnittstellen (APIs)
angesprochen:

a) Geokodierung von Postleitzahlen (zippopotam.us) und
   Solar-Ertragsdaten (PVGIS, Joint Research Centre der EU-
   Kommission): Es wird jeweils nur die Postleitzahl bzw. daraus
   abgeleitete, ungefähre geografische Koordinaten übermittelt -
   keine Namen, Adressen oder Kontaktdaten. Die Ergebnisse werden
   zur Reduzierung weiterer Abfragen zwischengespeichert.

b) Referenzzinssatz für die Finanzierungsrechnung (Deutsche
   Bundesbank, öffentliche Schnittstelle): Es werden keinerlei
   nutzerbezogene Daten übermittelt, lediglich eine öffentliche
   Zinsreihe abgerufen.

c) Automatischer Dachfoto-Abruf über Google-Kartendienste
   (Geocoding, Static Maps, Solar API): Diese Funktion ist im
   Beta-Betrieb standardmäßig DEAKTIVIERT und derzeit nicht aktiv.
   Sollte sie künftig aktiviert werden, würde dabei die von Ihnen
   angegebene Adresse an Google LLC übermittelt; diese
   Datenschutzerklärung wird in diesem Fall vorab um einen
   entsprechenden Abschnitt sowie ggf. eine Einwilligungsabfrage
   ergänzt.


13. Speicherdauer

Personenbezogene Daten werden grundsätzlich nur so lange
gespeichert, wie dies für die jeweils genannten Zwecke
erforderlich ist bzw. gesetzliche Aufbewahrungspflichten
entgegenstehen. Konkrete Löschroutinen sind in den jeweiligen
Abschnitten beschrieben (insbesondere Abschnitt 5 für
Solaranfragen). Konto-, Kontaktformular- und Fehlermeldungsdaten
werden mangels automatischer Löschroutine bislang unbefristet
gespeichert; eine Löschung auf Anfrage ist jederzeit möglich
(Abschnitt 4).


14. Ihre Rechte

Ihnen stehen bezüglich Ihrer personenbezogenen Daten folgende
Rechte zu:

- Recht auf Auskunft (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Löschung (Art. 17 DSGVO)
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Recht auf Widerspruch gegen die Verarbeitung aufgrund
  berechtigter Interessen (Art. 21 DSGVO)
- Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die
  Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an
info@roofora.de.

Ihnen steht außerdem ein Beschwerderecht bei einer
Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat
Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts
des mutmaßlichen Verstoßes (Art. 77 DSGVO).


15. Datensicherheit

Die Verbindung zu dieser Website wird TLS-verschlüsselt (HTTPS,
automatisches Let's-Encrypt-Zertifikat). Passwörter
werden ausschließlich als kryptografischer Hash (BCrypt), niemals
im Klartext, gespeichert. Der Zugriff auf interne
Verwaltungsfunktionen ist durch einen separaten, geschützten
Admin-Zugang gesichert.


16. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um
sie an geänderte Rechtslagen oder bei Änderungen der Plattform
entsprechend anzupassen. Es gilt die zum Zeitpunkt Ihres Besuchs
aktuelle Fassung.

Stand: 15. Juli 2026