1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Lagelotse UG (haftungsbeschränkt)
Sielwall 73, 28203 Bremen
Vertreten durch den Geschäftsführer Matthias Theara-Westphal
E-Mail: mail@lagelotse.de

2. Was wir verarbeiten und warum

MaStR-Audit verarbeitet folgende Daten:

• Öffentliche Anlagen-Stammdaten aus dem Marktstammdatenregister (MaStR) der Bundesnetzagentur. Diese Daten sind öffentlich verfügbar (DL-DE-BY-2.0) und enthalten keine personenbezogenen Daten privater Anlagenbetreiber, da das MaStR diese gemäß § 6 MaStRV pseudonymisiert.
• Hochgeladene Vergleichslisten (CSV / Excel mit MaStR-Nummern und ggf. weiteren Feldern, die der Nutzer selbst zuordnet). Diese Daten werden temporär verarbeitet und in der Datenbank als Compare-Run gespeichert.
• Technische Zugriffsdaten (IP-Adresse, Zeitstempel, User-Agent, abgerufene URL) im Server-Log zur Sicherstellung des Betriebs und Abwehr von Angriffen. Speicherung 30 Tage, dann automatische Löschung.
• Zugangsdaten (Basic-Auth-Benutzername) zur Beschränkung des Zugangs während der Prototyp-Phase. Kein Klartext-Passwort wird gespeichert.

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für technische Zugriffsdaten, Logs und IT-Sicherheit
• Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung / -erfüllung) für Compare-Uploads, die der Nutzer zur Erbringung der Audit-Leistung übermittelt

4. Cookies und Speicherung

Diese Webseite nutzt ausschließlich technisch notwendige Cookies / Session-Speicher:

• Authentifizierungs-Cookie der HTTP-Basic-Authentifizierung (während der Prototyp-Phase)
• Session-Cookie mstr_sid (HttpOnly, Secure, SameSite=Lax): bei eingeloggten Nutzern, signiert mit HMAC-SHA256, enthält nur die Session-ID. Server-State in der Tabelle users_sessions. Laufzeit max. 30 Tage, bei Logout sofort invalidiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• PayPal-Cookies (Drittanbieter, gesetzt auf paypal.com beim Bezahlvorgang). Wir setzen keine PayPal-Cookies auf unserer Domain; die Cookies entstehen erst nach Klick auf den PayPal-Button durch Aufruf der PayPal-Domain.
• localStorage: zum Zwischenspeichern von Audit-Ergebnissen im Browser, damit du nach einem Reload nicht neu hochladen musst. Wird nur lokal im Browser gespeichert, nicht an unseren Server übertragen.

Es findet kein Tracking, kein Analytics, keine Werbung und keine Drittanbieter-Cookies statt. Eine Cookie-Einwilligung im Sinne TTDSG / DSGVO ist daher nicht erforderlich; ein Hinweis ist trotzdem auf der Startseite eingeblendet.

5. Nutzerkonto und Zahlungsabwicklung

Daten beim Anlegen eines Kontos:

• E-Mail-Adresse (Pflicht): für die Anmeldung, Doppel-Opt-In bei Registrierung, Passwort-Reset und Versand bezahlter Audit-Berichte. Wird ausschließlich für vertragliche Kommunikation genutzt, nicht für Werbung.
• Passwort: Wird ausschließlich als Argon2id-Hash (Memory 64 MiB, 3 Iterationen) gespeichert, nicht im Klartext. Eine Rückgewinnung des Original-Passworts ist technisch unmöglich.
• Login-Zeitstempel und IP-Adresse bei jedem Login-Versuch (Tabelle login_attempts): zur Erkennung von Brute-Force-Angriffen und Account-Sperre. Aufbewahrung 7 Tage.
• Sitzungs-Metadaten (Tabelle users_sessions): IP-Adresse, User-Agent, Erstellungs- und Ablaufzeit. Bei Logout sofort gelöscht.

Daten bei Audits:

• Audit-Ergebnisse (Anlagen-IDs, Befunde, Scores) bleiben dauerhaft im Konto abrufbar, solange das Konto besteht. Bei Löschung des Kontos: Audit-Daten werden anonymisiert (user_id wird auf NULL gesetzt) bzw. komplett gelöscht (siehe Punkt 12).

Zahlung über PayPal (Auftragsverarbeiter):

Beim Kauf eines Audits werden Anlagen-Anzahl, Betrag und eine Order-ID an PayPal übermittelt. Kontodaten oder Kreditkartennummern werden nicht an uns übertragen — die Zahlungsabwicklung erfolgt vollständig auf paypal.com. Wir speichern:

• PayPal-Order-ID, Capture-ID, E-Mail des Zahlers (für Buchhaltung und Reklamationen)
• Betrag und Produkt (9,00 € pro geprüfter Anlage)
• Zeitstempel des erfolgreichen Captures

Anbieter: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Datenschutzhinweise von PayPal: paypal.com/de/legalhub/privacy-full. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6. E-Mail-Versand

E-Mails (Doppel-Opt-In bei Registrierung, Passwort-Reset, gekaufte PDF-Berichte, Score-Alerts) werden über den SMTP-Server smtp.strato.de mit der Absenderadresse webmaster@mattwest.de verschickt. Anbieter: STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin. Server-Standort Deutschland. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Score-Alerts bei bezahlten Audits können in den Konto-Einstellungen jederzeit deaktiviert werden.

9. Server-Standort und Hosting

Der Server steht in Deutschland (Hetzner Online GmbH, Falkenstein). Sämtliche Verarbeitung findet ausschließlich innerhalb der EU statt. Es werden keine personenbezogenen Daten an Drittländer übermittelt.

10. Hochgeladene Vergleichslisten

Wenn du eine CSV / Excel mit Anlagenstammdaten hochlädst:

• Werden die Daten serverseitig zum Vergleich mit dem MaStR-Datenstand verarbeitet
• Werden Vergleichs-Ergebnisse und das Mapping in unserer Datenbank gespeichert (Tabelle portfolio_compare_run / portfolio_diff)
• Werden die Original-Datei und enthaltene Daten nicht dauerhaft im Klartext gespeichert; nur Diff-Ergebnisse und das ursprüngliche Spalten-Mapping
• Können auf Anfrage jederzeit gelöscht werden

Sollten in deiner hochgeladenen Liste personenbezogene Daten enthalten sein (z. B. Klarnamen von Anlagen-Eigentümern), nutzt du das Tool als Verantwortlicher im Sinne der DSGVO. Wir agieren in diesem Fall als Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag (AVV) wird auf Anfrage gerne abgeschlossen.

7. Deine Rechte als betroffene Person

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO) – zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen

Anfragen richte bitte an: mail@lagelotse.de

8. Aktualität

Stand dieser Datenschutzerklärung: 16.05.2026. Wir behalten uns vor, sie bei wesentlichen Änderungen am Service anzupassen.

12. Account löschen / Daten löschen

Du kannst dein Konto jederzeit selbst löschen. Im angemeldeten Bereich findest du im Konto-Tab den Button "Konto löschen". Damit werden gelöscht:

• Deine Stammdaten (E-Mail, Passwort-Hash, Anmeldedaten)
• Alle aktiven Sessions und Login-Versuche
• Alle deine Audits und Befunde

Zahlungsdaten (Order- und Capture-IDs) werden gemäß § 147 AO 10 Jahre aufbewahrt (Buchhaltungspflicht), jedoch entkoppelt vom personenbezogenen Konto.

Alternativ kannst du eine Löschung formlos per Mail an mail@lagelotse.de anfordern.