Datenschutzerklärung
Stand: 30. September 2026
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Kontaktdaten werden geladen...
2. Übersicht der Datenverarbeitung
Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir bei der Nutzung von HeizkostenChecker verarbeiten. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.
Bei HeizkostenChecker können Sie Ihre Heizkostenabrechnung von einer KI analysieren lassen, um mögliche Fehler oder Einsparpotenziale zu erkennen. Hierfür verarbeiten wir nur die Daten, die für die Erbringung dieses Dienstes erforderlich sind.
3. Hosting
Diese Website wird extern gehostet. Die personenbezogenen Daten, die auf dieser Website erfasst werden, werden auf den Servern des Hosters gespeichert.
Vercel Inc.
440 N Barranca Ave #4133, Covina, CA 91723, USA
Vercel ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich wurden Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
4. Vercel Analytics
Wir nutzen Vercel Analytics, um aggregierte Nutzungsstatistiken unserer Website zu erheben.
Cookieless Analytics
- • Arbeitet ohne Cookies
- • Keine personenbezogenen Daten
- • Keine Nachverfolgung einzelner Nutzer
- • Nur aggregierte, anonyme Statistiken
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
4b. PostHog (Produktanalyse)
Wir nutzen PostHog, um das Nutzerverhalten auf unserer Website zu analysieren und die Nutzererfahrung zu verbessern.
Cookieless & EU-Hosting
- • Memory-only Modus (keine Cookies)
- • EU-Server (eu.posthog.com)
- • Keine Session-übergreifende Nachverfolgung
- • Eingabefelder automatisch maskiert
- • Respektiert "Do Not Track"
Suche im Ratgeber
Wenn du die Suche auf unserer Website nutzt, erfassen wir den eingegebenen Suchbegriff, die Zahl der Treffer und welchen Treffer du öffnest. Damit erkennen wir, zu welchen Fragen noch Artikel fehlen. Bevor ein Suchbegriff deinen Browser verlässt, ersetzen wir E-Mail-Adressen, IBANs, Telefonnummern und Ziffernfolgen ab fünf Stellen durch Platzhalter und kürzen ihn auf 80 Zeichen. Die Suche selbst läuft vollständig in deinem Browser; der Suchbegriff wird dafür nicht an unseren Server gesendet. Bitte gib trotzdem keine Namen oder Adressen in das Suchfeld ein. Es gelten dieselben Bedingungen wie oben (cookieless, EU-Server).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
5. Datenerfassung auf dieser Website
a) Server-Log-Dateien
Bei jedem Zugriff werden automatisch erfasst: Browsertyp, Betriebssystem, Referrer URL, anonymisierte IP-Adresse, Uhrzeit.
Diese Daten werden nach 30 Tagen automatisch gelöscht.
b) Hochgeladene Dokumente
Schnellcheck (kostenlos)
Keine serverseitige Speicherung – weder Dokument noch Ergebnisse werden auf unseren Servern gespeichert.
Experten-Check (kostenpflichtig)
Deine Abrechnung schickst du uns per E-Mail oder lädst sie auf der Bestätigungsseite hoch. Sie wird nicht auf unserem Webserver gespeichert, sondern an unser Postfach weitergeleitet und dort für die Prüfung bearbeitet. Abrechnung und Report löschen wir 12 Monate nach Abschluss der Prüfung. Einzelheiten in Abschnitt 6b.
c) Missbrauchsprävention (Rate Limiting)
IP-Adresse wird für maximal 5 Minuten gespeichert zur Begrenzung der Anfragen pro Zeiteinheit.
d) Feedback
Am Ende von Artikeln und Begriffsseiten sowie unter /feedback kannst du uns Feedback geben. Dabei gibt es zwei Wege:
- • Ein Tipp (z. B. „Hat geholfen“ oder „Nicht ganz“, eine Bewertung, ausgewählte Gründe): Das erfassen wir als Ereignis in PostHog (Abschnitt 4b), zusammen mit der Seite, auf der du warst. Freitext und E-Mail-Adresse gehen nie an PostHog. Ob du auf einer Seite schon geantwortet hast, merkt sich nur dein Browser (Local Storage), damit wir nicht zweimal fragen.
- • Ein Text oder ausgewählte Gründe, auf Wunsch mit deiner E-Mail-Adresse: Das schicken wir über unseren E-Mail-Dienstleister Resend (Abschnitt 8) an unser Postfach, zusammen mit der Seite und deiner Auswahl. Eine Datenbank dafür gibt es nicht. Wir löschen die Nachricht spätestens 12 Monate nach Eingang.
Die E-Mail-Adresse ist freiwillig. Wir nutzen sie nur, um auf dein Feedback zu antworten oder dir Bescheid zu geben, wenn du das angekreuzt hast – nie für Werbung. Du kannst das jederzeit mit einer kurzen Nachricht an uns widerrufen. Bitte schreib keine persönlichen Daten aus deiner Abrechnung in das Feedback.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, unser Angebot zu verbessern); für die freiwillige E-Mail-Adresse Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
6. KI-gestützte Analyse (Anthropic, OpenRouter)
Für die Auswertung deiner Abrechnungsunterlagen setzen wir KI-Systeme ein. Verwendet werden die Sprachmodelle der Claude-Familie von Anthropic PBC, San Francisco, USA – einem der führenden Anbieter für KI-Systeme. Je nach Leistung erreichen wir diese Modelle auf zwei Wegen:
- Schnellcheck (kostenlos): über die Vermittlungsplattform OpenRouter, Inc. (USA). OpenRouter leitet die Anfrage an einen Anbieter weiter, der das Modell betreibt – das kann Anthropic selbst sein oder ein Cloud-Anbieter wie Amazon Web Services.
- Experten-Check (kostenpflichtig): unmittelbar mit einem Claude-Modell von Anthropic. Das Ergebnis der KI-Auswertung ist ein Entwurf – geprüft, korrigiert und freigegeben wird dein Report von einem Menschen, bevor du ihn bekommst.
Übermittelt wird dabei der Inhalt der Unterlagen, die du uns schickst. Das kann personenbezogene Daten enthalten – typischerweise Anschrift, Wohnfläche, Verbrauchswerte und deine Kunden- oder Nutzernummer. Du entscheidest, was wir sehen: Angaben, die für die rechnerische Prüfung nicht erforderlich sind – Name, Hausnummer, Kundennummer – kannst du vor dem Versand unkenntlich machen. Für die Prüfung brauchen wir die Zahlen, nicht deinen Namen.
Die Übertragung erfolgt verschlüsselt. Die Verarbeitung findet auf Servern in den Vereinigten Staaten statt; es handelt sich also um eine Übermittlung in ein Drittland im Sinne der Art. 44 ff. DSGVO.
Vertragliche Grundlage – Experten-Check (Anthropic)
- • Mit Anthropic besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Data Processing Addendum als Bestandteil der kommerziellen Nutzungsbedingungen).
- • Die Übermittlung an Anthropic in die USA ist über die Standardvertragsklauseln der EU-Kommission abgesichert (Art. 46 Abs. 2 lit. c DSGVO).
- • Anthropic verwendet die übermittelten Inhalte nicht zum Training seiner Modelle; das ist in den kommerziellen Bedingungen vertraglich zugesichert.
- • Unterauftragsverarbeiter sind vertraglich geregelt.
Vertragliche Grundlage – Schnellcheck (OpenRouter)
- • Für die kommerzielle Nutzung ist das Data Processing Agreement von OpenRouter Bestandteil der Nutzungsbedingungen; für Übermittlungen aus dem EWR beruft sich OpenRouter auf Angemessenheitsbeschlüsse und Standardvertragsklauseln.
- • Wir beschränken die Weiterleitung technisch: Jede Anfrage enthält die Vorgabe, dass nur Anbieter verwendet werden dürfen, die Inhalte nicht über die Bearbeitung hinaus speichern. Dieselbe Beschränkung ist zusätzlich in unserem OpenRouter-Konto eingestellt. Über die Trainingspraxis der so ausgewählten Anbieter können wir darüber hinaus keine eigene Zusage machen; eine vertragliche Zusage, dass Inhalte nicht zum Training verwendet werden, besteht nur gegenüber Anthropic (siehe oben) und gilt für den Experten-Check.
- • OpenRouter selbst verwendet Inhalte nach eigenen Angaben nicht zum Modelltraining und protokolliert die Eingaben nicht.
Datenschutzerklärung von Anthropic · Datenschutzerklärung von OpenRouter
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen)
6b. Experten-Check (Prüfung deiner Abrechnung)
Buchst du den Experten-Check, verarbeiten wir zusätzlich die folgenden Daten. Der Ablauf ist bewusst so gebaut, dass du deine Abrechnung erst nach der Buchung aus der Hand gibst.
a) Welche Daten
- Bestelldaten: E-Mail-Adresse, Bestellnummer, gebuchte Leistung und Bestellstatus.
- Deine Abrechnung: die Datei, die du uns schickst, samt der darin enthaltenen Angaben – und die Fragen, die du uns dazuschreibst.
- Dein Report: das Prüfergebnis, das wir für dich erstellen.
b) Wo die Daten liegen
Deine Abrechnung wird nicht auf unserem Webserver gespeichert. Schickst du sie per E-Mail, liegt sie in unserem E-Mail-Postfach bei Apple (iCloud Mail); lädst du sie auf der Bestätigungsseite hoch, leiten wir sie unmittelbar per E-Mail an dasselbe Postfach weiter (Dienstleister: Resend, siehe Abschnitt 8) und speichern sie dabei nicht zwischen. Für die Bearbeitung liegen Abrechnung und Report in einer Kundenakte auf einem Gerät des Verantwortlichen und werden dabei in dessen Cloud-Speicher bei Apple (iCloud Drive) gesichert. Das Gerät ist vollständig verschlüsselt (FileVault). Für die Dateisicherung in iCloud Drive ist der erweiterte Datenschutz (Advanced Data Protection) aktiviert: Diese Inhalte sind Ende-zu-Ende-verschlüsselt, die Schlüssel liegen ausschließlich auf unseren Geräten – Apple kann die so gesicherten Dateien nicht einsehen. Für E-Mails gilt das nicht: iCloud Mail ist vom erweiterten Datenschutz ausgenommen, weil E-Mail mit dem weltweiten Mailsystem zusammenarbeiten muss. Deine eingesandte Abrechnung liegt dort also transportverschlüsselt, aber nicht Ende-zu-Ende-verschlüsselt – das gilt für beide Einsendewege, weil auch der Upload per E-Mail an dieses Postfach weitergeleitet wird. Du entscheidest deshalb selbst, was wir sehen: Name, Hausnummer und Kundennummer darfst du schwärzen. Die Bestelldaten liegen bei Upstash Redis (Abschnitt 9).
c) KI-Einsatz
Für die Auswertung setzen wir ein Claude-Modell von Anthropic ein – siehe Abschnitt 6. Die KI erstellt einen Entwurf; die fachliche Einschätzung prüft und verantwortet ein Mensch. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt (Abschnitt 16).
d) Wie lange
- • Abrechnung und Report: 12 Monate nach Abschluss der Prüfung, dann Löschung.
- • Bestelldaten: 90 Tage; bei Paketen 24 Monate, weil das Paket so lange einlösbar ist.
- • Rechnungen und Zahlungsbelege: bis zum Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen (in der Regel 10 Jahre, § 147 AO, § 257 HGB).
Du kannst die vorzeitige Löschung deiner Abrechnung und deines Reports jederzeit formlos verlangen – eine E-Mail mit deiner Bestellnummer genügt. Wir löschen dann, sobald keine gesetzliche Aufbewahrungspflicht entgegensteht. Deine weiteren Rechte findest du in Abschnitt 14.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für die Aufbewahrung von Rechnungen Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)
7. Stripe (Zahlungsabwicklung)
Für die Zahlungsabwicklung nutzen wir Stripe Inc., San Francisco, USA.
Übermittelte Daten: E-Mail-Adresse, Zahlungsinformationen, IP-Adresse, Transaktionsdaten.
Wir erhalten und speichern keine vollständigen Kreditkarten- oder Bankdaten. Stripe setzt technisch notwendige Cookies für Zahlungssicherheit.
Vertragliche Grundlage
- • Das Data Processing Agreement von Stripe ist Bestandteil der Nutzungsbedingungen und enthält die Pflichten nach Art. 28 DSGVO; für Übermittlungen aus dem EWR gelten die Standardvertragsklauseln (Module 1 und 2).
- • Für Betrugsprävention, gesetzliche Pflichten und die Sicherheit des Zahlungssystems handelt Stripe eigenverantwortlich, also als eigener Verantwortlicher und nicht in unserem Auftrag. Für diesen Teil gilt Stripes eigene Datenschutzerklärung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
8. Resend (E-Mail-Versand)
Für Transaktions-E-Mails (Kaufbestätigung, Experten-Report), die Mails des Erinnerungsdienstes (Abschnitt 8b) und die Zustellung von Feedback an unser Postfach nutzen wir Resend Inc., USA. Über diesen Weg geht auch dein fertiger Report an dich.
Vertragliche Grundlage
- • Das Data Processing Agreement von Resend wird mit den Nutzungsbedingungen wirksam und enthält die Pflichten nach Art. 28 DSGVO; für Übermittlungen aus dem EWR gelten die Standardvertragsklauseln (Modul 2).
- • Resend ist zusätzlich nach dem EU-U.S. Data Privacy Framework zertifiziert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
8b. Erinnerungsdienst
Wenn du dich erinnern lässt (z. B. „Abrechnung noch nicht da? Wir erinnern dich“ oder „Bescheid geben“ beim Heizspiegel), schicken wir dir zu dem Termin, den du wählst, genau eine E-Mail. Kein Newsletter, keine weiteren Mails, außer du verschiebst die Erinnerung selbst.
Was wir speichern und warum
- • Deine E-Mail-Adresse und den Termin, um dir die Erinnerung schicken zu können
- • Wo du dich eingetragen hast (Seite, bei Bedarf „Heiz- oder Nebenkosten“), damit die Mail zu deinem Anliegen passt
- • Bestätigung per Link (Double-Opt-in): Erst wenn du den Link in unserer Bestätigungsmail anklickst, ist die Erinnerung aktiv. Ohne Bestätigung löschen wir die Adresse nach 7 Tagen.
- • Hast du den Experten-Check inzwischen gekauft, schicken wir keine Erinnerung. Dafür gleichen wir einen verschlüsselten Prüfwert (HMAC) deiner Adresse ab, nicht die Adresse selbst.
Speicherdauer
Bis zum Termin und 30 Tage danach (damit „Verschieben“ und „Abmelden“ aus der Mail funktionieren), dann Löschung. Um deine Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO), bewahren wir 3 Jahre lang auf, wann du dich eingetragen und bestätigt hast, gespeichert nur mit dem Prüfwert statt deiner Adresse.
Jährliche Erinnerung: Schaltest du auf der Bestätigungsseite „Jedes Jahr erinnern“ ein, speichern wir deine Adresse und den Termin, bis du dich abmeldest, und schicken dir einmal im Jahr die Erinnerung. Das Einschalten ist eine eigene Einwilligung; wann du sie gegeben oder zurückgenommen hast, halten wir wie oben ohne deine Adresse fest. Hast du in dem Jahr schon gekauft, lassen wir die Erinnerung einmal aus.
Widerruf: jederzeit mit einem Klick über „Erinnerung abmelden“ in der Mail, über die Abmelde-Funktion deines Mailprogramms oder formlos an E-Mail wird geladen.... Wir löschen die Erinnerung dann sofort.
Gespeichert wird bei Upstash (Abschnitt 9), verschickt über Resend (Abschnitt 8). Du kannst den Termin auch ohne E-Mail-Adresse als Kalenderdatei herunterladen; dabei speichern wir nichts.
Bis zum 30. September 2026 haben wir Erinnerungs-Anmeldungen ohne Terminwahl bei Notion Labs, Inc. (USA) gespeichert. Wer sich dort eingetragen hat, bekommt die zugesagte eine Erinnerung per E-Mail; danach löschen wir die Adresse. Weitere Mails folgen nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für den Einwilligungsnachweis Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO
9. Upstash Redis (Sitzungsspeicherung)
Für Sitzungsdaten, Analyseergebnisse, die Bestelldaten des Experten-Checks und den Erinnerungsdienst (Abschnitt 8b) nutzen wir Upstash, Inc., USA.
Vertragliche Grundlage
- • Das Data Processing Agreement von Upstash ist Bestandteil der Nutzungsbedingungen und enthält die Pflichten nach Art. 28 DSGVO; für Übermittlungen aus dem EWR gelten die Standardvertragsklauseln nach Beschluss (EU) 2021/914.
Wichtig
- • PDF-Dokumente werden nicht bei Upstash gespeichert
- • Nur Analyseergebnisse (Text) und Bestelldaten werden gespeichert
- • Automatische Löschung: Sitzungs- und Analysedaten nach 14 Tagen, Bestelldaten des Experten-Checks nach 90 Tagen – bei Paketen nach 24 Monaten, weil das Paket so lange einlösbar ist (siehe Abschnitt 6b)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für Sitzungs- und Analysedaten; Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Bestelldaten des Experten-Checks.
10. localStorage (Browser)
Wir nutzen die lokale Speicherfunktion deines Browsers für Session-Daten, Analyse-Ergebnisse und Benutzereinstellungen.
Diese Daten werden nur lokal gespeichert und nie an Server übertragen. Du kannst sie jederzeit durch Löschen der Browserdaten entfernen.
12. SSL-Verschlüsselung
Diese Website nutzt SSL/TLS-Verschlüsselung. Erkennbar am "https://" und Schloss-Symbol im Browser. Ihre übermittelten Daten können nicht von Dritten mitgelesen werden.
13. Speicherdauer
| Datenart | Speicherdauer |
|---|---|
| Server-Log-Dateien | 30 Tage |
| Schnellcheck-Dokumente | Keine Speicherung |
| Experten-Check: Abrechnung und Report | 12 Monate nach Abschluss |
| Experten-Check: Bestelldaten | 90 Tage (Pakete: 24 Monate) |
| Rate-Limit-Daten | Max. 5 Minuten |
| Zahlungsdaten (Stripe) | Gesetzliche Fristen |
| Erinnerungs-Anmeldungen | Bis Versand, dann Löschung |
14. Deine Rechte (Betroffenenrechte)
Du hast jederzeit folgende Rechte:
- Auskunft (Art. 15 DSGVO) – über gespeicherte Daten
- Berichtigung (Art. 16 DSGVO) – unrichtiger Daten
- Löschung (Art. 17 DSGVO) – deiner Daten
- Einschränkung (Art. 18 DSGVO) – der Verarbeitung
- Datenübertragbarkeit (Art. 20 DSGVO) – in maschinenlesbarem Format
- Widerspruch (Art. 21 DSGVO) – gegen die Verarbeitung
Kontakt: E-Mail wird geladen...
15. Beschwerderecht bei Aufsichtsbehörde
Bei Verstößen gegen die DSGVO kannst du dich bei einer Aufsichtsbehörde beschweren.
Zuständige Behörde:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163, 65021 Wiesbaden
datenschutz.hessen.de
16. Automatisierte Entscheidungsfindung
Es findet keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO statt.
Die KI-Analyse dient nur der Informationsbereitstellung und stellt keine Rechtsberatung dar.
17. EU AI Act Transparenz
Gemäß der EU-Verordnung über Künstliche Intelligenz (AI Act, Verordnung 2024/1689) informieren wir dich über den Einsatz von KI in unserem Service:
Verwendetes KI-System: Sprachmodelle der Claude-Familie von Anthropic – beim Schnellcheck über die Plattform OpenRouter, beim Experten-Check unmittelbar
Risikoklassifizierung: Begrenztes Risiko (Limited Risk, Art. 50)
Zweck: Auswertung von Heiz- und Nebenkostenabrechnungen auf Auffälligkeiten
Menschliche Aufsicht: Beim Experten-Check prüft und verantwortet ein Mensch das Ergebnis, bevor es an dich geht
KI-generierte Inhalte wie Experteneinschätzungen und Musterbriefe sind in unserem Service als solche gekennzeichnet.
Die KI-Analyse dient ausschließlich der Information und stellt keine Rechtsberatung dar. Bei rechtlichen Fragen wende dich bitte an einen Fachanwalt.
Rechtsgrundlage: Art. 50 EU AI Act (Transparenzpflichten für KI-Systeme mit begrenztem Risiko)
18. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um aktuellen rechtlichen Anforderungen zu entsprechen.