Stand: 9. Juni 2026
Mit dieser Datenschutzerklärung informieren wir Sie darüber, welche personenbezogenen Daten (nachfolgend „Daten") wir zu welchen Zwecken und in welchem Umfang verarbeiten. Sie gilt für alle Verarbeitungen im Rahmen unserer Leistungen sowie auf unseren Websites (www.sonnco.de, sonnco-tools.vercel.app, akademie.sonnco.de, ki.sonnco.de), in Formularen, Konfiguratoren und in externen Onlinepräsenzen (z.B. Social-Media-Profile). Verwendete Begriffe sind nicht geschlechtsspezifisch zu verstehen. Unsere Angebote richten sich nicht an Kinder; wir verarbeiten nicht wissentlich personenbezogene Daten von Personen unter 16 Jahren.
SONNCO GmbH Wilhelm-Schickard-Straße 5, 78052 Villingen-Schwenningen, Deutschland Geschäftsführer (alleinvertretungsberechtigt): Kostas Karalemas Telefon: 07721 4020140 · E-Mail: info@sonnco.de · Web: www.sonnco.de Registergericht: Amtsgericht Freiburg im Breisgau · HRB 728522 · USt-IdNr.: DE354614637
Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Für alle Anliegen zum Datenschutz und zur Wahrnehmung Ihrer Rechte erreichen Sie uns unter info@sonnco.de.
Arten verarbeiteter Daten: Bestandsdaten; Kontaktdaten; Inhaltsdaten; Vertragsdaten; Zahlungs-/Bonitätsdaten; Standort-/Gebäude-/Anlagendaten; Nutzungsdaten; Meta-/Kommunikations-/ Verfahrensdaten; Beschäftigtendaten; Bewerberdaten; ggf. Event-Daten (Social Media).
Kategorien betroffener Personen: Kunden; Interessenten; Geschäfts-/Vertragspartner (inkl. Handelsvertreter); Kommunikationspartner; Nutzer (der Online-Angebote/SONNCO KI/Akademie); Beschäftigte; Bewerber; abgebildete Personen; Dritte.
Zwecke: Erbringung vertraglicher Leistungen (Angebot, Planung, Installation, Wartung von PV-, Speicher- und Wärmepumpenanlagen); Förder- und Netzanmeldung; Abrechnung/Factoring; Kontakt-/Anfragenbearbeitung; Sicherheits- und Organisationsverfahren; Direktmarketing; Reichweitenmessung/Onlinemarketing (soweit eingesetzt); KI-gestützte interne Arbeitsunterstützung.
Ergänzend gelten nationale Vorschriften (insb. BDSG, z.B. § 26 BDSG für Beschäftigtendaten, § 7 UWG für Werbung).
Wir treffen nach Stand der Technik geeignete technische und organisatorische Maßnahmen zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit der Daten: Zugriffs-/Zugangskontrollen, verschlüsselte Übertragung (TLS), rollenbasierte Berechtigungen, Pseudonymisierung/Minimierung (insb. Anweisung, keine unnötigen Kundendaten in die KI einzugeben), Backups, Protokollierung, sowie Auswahl/Verpflichtung sorgfältig geprüfter Auftragsverarbeiter.
Soweit wir Daten gegenüber anderen Personen/Unternehmen offenlegen, geschieht dies auf Grundlage einer Rechtsgrundlage (z.B. Vertragserfüllung) oder Einwilligung. Mit Dienstleistern, die in unserem Auftrag verarbeiten, bestehen Auftragsverarbeitungsverträge (Art. 28 DSGVO).
| Dienst | Zweck | Sitz / Datenraum |
|---|---|---|
| Pipedrive | CRM, Lead-/Kundenverwaltung | EU (Estland)/Konzern USA — SCCs |
| Meta Platforms Ireland Ltd. | Social-Media-Profile, Werbeanzeigen, Lead-Formulare, Pixel/Conversions, Custom/Lookalike Audiences | Irland/USA — SCCs; tlw. gemeinsame Verantwortlichkeit (Art. 26) |
| sevDesk GmbH | Buchhaltung, Angebote, Rechnungen | Deutschland |
| DATEV eG | Steuerberater-Datenaustausch | Deutschland |
| S-Factoring / Sparkasse | Forderungsankauf (Factoring) | Deutschland |
| Google Workspace (Google Ireland Ltd.) | Dokumente/Angebots-PDFs (Drive, Sheets, Slides), E-Mail | EU/USA — SCCs |
| Microsoft (M365/Graph) | E-Mail-Postfach, Kalender | EU/USA — DPF/SCCs |
| Cal.com, Inc. | Online-Terminbuchung (Beratungstermine) | EU/USA — DPF/SCCs |
| Jotform Inc. | Online-Formulare (Abnahme-/Beratungsprotokolle, Anfragen) | EU-Hosting/USA — SCCs |
| Supabase Inc. | Datenbank-Backbone, Akademie-Auth | Region EU (Frankfurt)/USA — SCCs |
| n8n GmbH (n8n.cloud) | Workflow-Automatisierung, Lead-Import (Meta → CRM) | EU-Cloud (Region final prüfen) — ggf. SCCs |
| Hetzner Online GmbH | Server-Hosting (SONNCO KI, Automatisierung) | Deutschland |
| Vercel Inc. | Hosting Web-Tools & Akademie | USA — SCCs |
| Resend | Transaktions-E-Mails (Akademie) | USA — SCCs |
| Trello / Atlassian | interne Aufgabenverwaltung | USA — SCCs |
| Telegram (Telegram FZ-LLC) | interne Benachrichtigungen über Vorgänge (können Name/Vorgangsbezug enthalten) | Drittland (UAE/global) — kein Angemessenheitsbeschluss; Minimierung |
| Anthropic PBC | KI-Sprachmodelle (SONNCO KI); keine Trainingsnutzung | USA — DPF/DPA + SCCs |
| Google (Gemini) | KI-Bildgenerierung (Marketing) | USA — DPF/SCCs |
| Website-Hoster sonnco.de | Auslieferung der Unternehmenswebsite | extern (Auslieferung über Google-Infrastruktur) |
Einige Dienste verarbeiten Daten in den USA oder anderen Drittländern. Soweit der jeweilige US-Anbieter unter dem EU-US Data Privacy Framework (DPF) zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10.07.2023 (Art. 45 DSGVO). Andernfalls stützen wir die Übermittlung auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden Schutzmaßnahmen. Für Dienste ohne Angemessenheitsniveau (z.B. Messenger) beschränken wir die Übermittlung auf das Notwendige und minimieren personenbezogene Inhalte. Kopien der Garantien sind über den Verantwortlichen erhältlich.
Wir speichern Daten nur so lange, wie für die Zwecke erforderlich oder gesetzlich vorgeschrieben (handels-/steuerrechtlich i.d.R. 6 bzw. 10 Jahre). Chatverläufe der internen SONNCO KI werden nach 90 Tagen automatisch gelöscht. Anfrage-/Lead-Daten, die nicht zu einem Vertrag führen, löschen wir, sobald sie für die Kontaktaufnahme nicht mehr erforderlich sind.
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen Verarbeitungen auf Basis berechtigter Interessen — insbesondere gegen Direktwerbung. Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Kontakt: info@sonnco.de. Sie haben zudem ein Beschwerderecht bei der Aufsichtsbehörde: *Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Lautenschlagerstr. 20, 70173 Stuttgart.*
Zur Angebotserstellung, Planung, Lieferung, Installation, Inbetriebnahme, Abrechnung, Wartung und Förder-/Netzabwicklung verarbeiten wir Stamm-, Kontakt-, Gebäude-/Anlagen-, Verbrauchs-, Vertrags- und Zahlungsdaten (Art. 6 Abs. 1 lit. b/c). Betroffen sind Kunden, Interessenten und Vertragspartner.
Beim Aufruf unserer Websites verarbeiten wir technisch notwendige Zugriffsdaten (IP-Adresse, Zeitpunkt, abgerufene Ressource, Referrer, Browser/OS) zur Auslieferung und IT-Sicherheit (Art. 6 Abs. 1 lit. f). Die Unternehmenswebsite sonnco.de wird über einen externen Hosting-/ Baukasten-Anbieter bereitgestellt (Auslieferung über Google-Infrastruktur); weitere Online-Tools laufen über Hetzner (DE) und Vercel (USA, SCCs). Diese Datenschutzerklärung wird über Vercel ausgeliefert.
Auf unseren Websites setzen wir derzeit ausschließlich technisch notwendige Cookies/Technologien ein, die für Betrieb und Sicherheit erforderlich sind (Art. 6 Abs. 1 lit. f DSGVO i.V.m. § 25 Abs. 2 TDDDG) — hierfür ist keine Einwilligung nötig. Analyse- und Marketing-Technologien (insbesondere der Meta-Pixel/Conversions-API, vgl. Abschnitt 21) werden erst nach Ihrer ausdrücklichen Einwilligung über unseren Consent-Banner geladen (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG). Ihre Auswahl können Sie jederzeit über die Cookie-Einstellungen mit Wirkung für die Zukunft ändern.
Bei Kontakt (E-Mail, Telefon, Formular, Konfiguratoren WP-Konfigurator/Nachrüstungs-Funnel auf sonnco-tools.vercel.app) verarbeiten wir Ihre Angaben zur Bearbeitung (Art. 6 Abs. 1 lit. b/f). Formulare laufen teils über Jotform (EU-Hosting).
Zur internen Organisation (z.B. Hinweise auf neue Anfragen, Termine, Tickets oder Vorgänge) nutzen wir den Messenger-Dienst Telegram (Telegram FZ-LLC). Dabei können personenbezogene Daten in begrenztem Umfang enthalten sein (insbesondere Name und Vorgangsbezug); wir minimieren diese Inhalte und übermitteln keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an einer effizienten internen Organisation (Art. 6 Abs. 1 lit. f DSGVO). Telegram verarbeitet Daten außerhalb der EU; ein Angemessenheitsbeschluss besteht nicht, weshalb wir die Nutzung auf das Notwendige beschränken (vgl. Abschnitt 6).
Wir setzen KI-gestützte Systeme zur internen Arbeitsunterstützung ein — insbesondere einen internen KI-Assistenten (ki.sonnco.de) sowie KI-Komponenten in unserer Vorgangs-/Workflow-Automatisierung (z.B. Vorstrukturierung von Tickets/Anfragen, Erstellung von Texten/Visuals für Marketing). Soweit dabei personenbezogene Daten verarbeitet werden, geschieht dies zur Erfüllung bzw. Anbahnung unserer Leistungen (Art. 6 Abs. 1 lit. b DSGVO) bzw. auf Basis unseres berechtigten Interesses an effizienten, qualitätsgesicherten Abläufen (Art. 6 Abs. 1 lit. f DSGVO).
Eingesetzte Anbieter:
Auftragsverarbeitungsvertrag (DPA) inkl. SCCs; API-Eingaben werden nicht zum Training der Modelle verwendet und nur kurzzeitig zur Missbrauchsprävention gespeichert.
DPF/SCCs.
DSGVO-konformer Einsatz. Wir verarbeiten mit KI nur, was für den jeweiligen Zweck erforderlich ist (Datenminimierung); Mitarbeiter und Vertriebspartner sind angewiesen, keine nicht erforderlichen oder besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) einzugeben. KI-Ergebnisse werden stets durch einen Menschen geprüft, bevor sie verwendet werden. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung (Art. 22 DSGVO) findet nicht statt (siehe Abschnitt 14a). Chatverläufe des internen Assistenten werden nach 90 Tagen gelöscht (Abschnitt 7).
Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt. Im Rahmen von Reichweitenmessung und Werbung kann es zur Bildung von Interessen-/Zielgruppen kommen (Custom/Lookalike Audiences über Meta, vgl. Abschnitt 21); dies erfolgt ausschließlich auf Grundlage Ihrer Einwilligung und führt zu keiner Sie rechtlich betreffenden Entscheidung.
Mit Ihrer Beauftragung übermitteln wir erforderliche Daten an KfW, BAFA, den zuständigen Netzbetreiber, das Marktstammdatenregister (Bundesnetzagentur) und ggf. Messstellenbetreiber (Art. 6 Abs. 1 lit. b/c).
Zur Rechnungsstellung und Liquiditätssicherung verarbeiten/übermitteln wir Vertrags- und Zahlungsdaten an sevDesk, DATEV (Steuerberater) und — bei Forderungsverkauf — an S-Factoring (Sparkasse). Rechtsgrundlage: Art. 6 Abs. 1 lit. b/c/f.
Für die Schulungsplattform verarbeiten wir Zugangs-/Profildaten, Kursfortschritt und hochgeladene Aufgaben berechtigter Nutzer. Anbieter: Supabase, Resend, Vercel. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f.
Wir nutzen Cloud-Dienste (Google Workspace, Supabase, Microsoft) zur Speicherung/Verarbeitung von Dokumenten und Daten (Art. 6 Abs. 1 lit. f bzw. b); AVV + ggf. SCCs liegen vor.
a) Newsletter (mit Einwilligung). Sofern Sie unseren Newsletter abonnieren, versenden wir Informationen zu unseren Produkten, Aktionen und Förderthemen an die angegebene E-Mail-Adresse. Die Anmeldung erfolgt im Double-Opt-In-Verfahren (Bestätigungs-E-Mail); An-/Abmeldung werden zum Nachweis protokolliert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über den Abmelde-Link widerrufen können. Versanddienstleister: derzeit Resend (Auftragsverarbeitungsvertrag vorhanden). Reine Interessenten/Leads, die noch kein Produkt erworben haben, nehmen wir nur nach einem solchen aktiven Opt-in in den Verteiler auf.
b) Werbung an Bestandskunden (§ 7 Abs. 3 UWG). Haben Sie bei uns ein Produkt oder eine Dienstleistung erworben, können wir die in diesem Zusammenhang erhaltene E-Mail-Adresse nutzen, um Ihnen Werbung für eigene, ähnliche Produkte zu senden — auch ohne gesonderte Einwilligung (Art. 6 Abs. 1 lit. f DSGVO i.V.m. § 7 Abs. 3 UWG). Sie können dieser Nutzung jederzeit und ohne andere als die Übermittlungskosten widersprechen — sowohl bereits bei Erhebung Ihrer Adresse als auch in jeder einzelnen E-Mail (Widerspruchs-/Abmeldelink). Nach einem Widerspruch verwenden wir Ihre Adresse nicht mehr für Werbung.
Bewerberdaten von Beschäftigten verarbeiten wir zur Durchführung des Bewerbungsverfahrens (Art. 6 Abs. 1 lit. b DSGVO i.V.m. § 26 BDSG). Daten von Interessenten für eine Tätigkeit als selbstständige Vertriebspartner/Handelsvertreter (z.B. über unsere Recruiting-Werbeanzeigen, Abschnitt 21a) verarbeiten wir zur Anbahnung und Durchführung der Partnerschaft (Art. 6 Abs. 1 lit. b DSGVO). Besondere Kategorien (Art. 9 DSGVO) nur soweit zulässig. Bewerberdaten löschen wir i.d.R. bis zu 6 Monate nach Abschluss des Verfahrens, sofern keine Einstellung erfolgt oder Sie einer längeren Speicherung zugestimmt haben.
Anbieter aller nachstehenden Meta-Dienste: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland. Daten können in die USA übermittelt werden (Drittlandtransfer auf Basis der EU-Standardvertragsklauseln, Art. 46 DSGVO). Informationen von Meta: facebook.com/about/privacy.
a) Social-Media-Profile (Facebook, Instagram). Wir unterhalten Profile, um mit Interessenten und Kunden zu kommunizieren und über unsere Leistungen zu informieren. Bei Besuch/Interaktion verarbeitet Meta Nutzungsdaten. Für die von Meta bereitgestellten Seiten-Insights/Statistiken besteht eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) mit Meta; es gilt die „Ergänzung bezüglich des Verantwortlichen für Seiten-Insights" von Meta. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Außendarstellung/Kommunikation).
b) Meta-Pixel, Conversions-API & Custom/Lookalike Audiences. Soweit auf unseren Websites der Meta-Pixel (ggf. ergänzt um die serverseitige Conversions-API) eingesetzt wird, messen wir die Wirksamkeit unserer Werbeanzeigen (Conversion-/Reichweitenmessung) und können Nutzern interessen- gerechte Werbung ausspielen (Remarketing) sowie auf Basis pseudonymer Ereignisdaten Custom Audiences und vergleichbare Zielgruppen (Lookalike Audiences) bilden. Diese Verarbeitung sowie das Setzen der zugehörigen Cookies/Technologien erfolgt ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG/TTDSG), die Sie über unseren Consent-Banner erteilen und jederzeit mit Wirkung für die Zukunft widerrufen können. Ohne Einwilligung findet kein Pixel-Tracking statt.
Wir schalten auf Facebook und Instagram Werbeanzeigen mit einem integrierten Kontaktformular („Instant-Formular"). Wenn Sie ein solches Formular absenden, verarbeiten wir die von Ihnen angegebenen Daten — typischerweise Name, E-Mail-Adresse, Telefonnummer sowie eine kurze Angabe zu Ihrem Anliegen (z.B. Heizungsart, Eigentümerstatus, im Vertriebspartner-Recruiting Ihre Vertriebserfahrung) — zu folgenden Zwecken:
(bei Bewerbungen als Vertriebspartner: Durchführung des Bewerbungs-/Auswahlprozesses).
Anfrage hin) sowie — soweit das Formular eine gesonderte Werbe-/Kontakteinwilligung enthält — Art. 6 Abs. 1 lit. a DSGVO.
Datenfluss & Empfänger: Die Formulardaten werden zunächst von Meta Platforms Ireland Ltd. erhoben und uns bereitgestellt. Wir rufen sie automatisiert ab (über unsere Workflow-Automatisierung n8n) und speichern und bearbeiten sie anschließend in unserem CRM-System (Pipedrive). Eine Übersicht dieser Auftragsverarbeiter samt Sitz/Datenraum und Garantien finden Sie in Abschnitt 5.
Speicherdauer: Wir speichern Ihre Anfragedaten, solange dies zur Bearbeitung erforderlich ist, und löschen sie, sobald sie nicht mehr benötigt werden und keine gesetzlichen Aufbewahrungspflichten entgegenstehen (vgl. Abschnitt 7). Sie können der Verarbeitung jederzeit widersprechen bzw. eine erteilte Einwilligung widerrufen (Abschnitt 8).
Die in dieser Erklärung verwendeten Begriffe — insbesondere „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Einwilligung" und „betroffene Person" — sind im Sinne der Begriffsbestimmungen des Art. 4 DSGVO zu verstehen.
Es gilt die jeweils aktuelle, auf unserer Website veröffentlichte Fassung. Wir aktualisieren diese Erklärung, sobald Änderungen der Verarbeitung dies erfordern.