DSGVO-konforme Energieberatungs-Cloud: Datenschutz und Compliance für Enterprise-Kunden

Energieberatungs-Plattformen verarbeiten personenbezogene Daten (Name, Adresse, Kontaktdaten, Einkommensnachweise bei Fördermittelbeantragung), Gebäudedaten (Grundrisse, Energieausweise, Baujahr, U-Werte) und Finanzdaten (Kreditvolumen, Förderhöhen, Tilgungszuschüsse). Bei Banken und Bausparkassen kommen Bonitätsdaten und Vertragsunterlagen hinzu. Ein Datenschutzvorfall – sei es durch unbefugten Zugriff, Server-Kompromittierung oder unverschlüsselte Übertragung – kann zu Bußgeldern bis 20 Millionen Euro (Art. 83 DSGVO) und Reputationsschäden führen, die Kundenbeziehungen dauerhaft beschädigen.

FörderCheckPro wurde von Beginn an nach dem Prinzip Privacy by Design (Art. 25 DSGVO) entwickelt: Datensparsamkeit, End-to-End-Verschlüsselung, Rollenbasierte Zugriffssteuerung (RBAC), automatisierte Löschfristen und dezentrale Mandanten-Trennung sind technisch fest verankert. Banken und Enterprise-Kunden erhalten volle Datenhoheit: Kundendaten bleiben im eigenen Mandanten, werden nicht mandantenübergreifend aggregiert und können jederzeit per DSGVO-Export (maschinenlesbar, CSV/JSON) extrahiert werden.

Rechtsgrundlage und Auftragsverarbeitung (Art. 28 DSGVO)

FörderCheckPro tritt als Auftragsverarbeiter (Art. 28 DSGVO) auf: Der Kunde (Bank, Bausparkasse, Energieberater) bleibt Verantwortlicher im Sinne der DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) regelt die Weisungsbefugnis, die erlaubten Verarbeitungszwecke, die Pflicht zur Vertraulichkeit und die Meldepflicht bei Datenschutzvorfällen. Der AVV wird digital signiert und steht im Kundencenter jederzeit zum Download bereit. Subunternehmer (z. B. Hosting-Provider) werden gemäß Art. 28 Abs. 4 DSGVO nur nach schriftlicher Genehmigung eingesetzt – die aktuelle Subunternehmerliste ist im AVV dokumentiert.

Hosting ausschließlich in Deutschland: Datenhoheit und Schrems-II-Sicherheit

Alle Server und Datenbanken von FörderCheckPro befinden sich in ISO 27001-zertifizierten Rechenzentren in Frankfurt am Main und München. Es erfolgt keine Datenübertragung in Drittstaaten (insbesondere keine US-Cloud-Services wie AWS US, Google Cloud US oder Azure US). Damit entfallen die rechtlichen Unsicherheiten des Schrems-II-Urteils (EuGH C-311/18) und die Pflicht zu Standardvertragsklauseln oder Zusatzmaßnahmen nach Art. 46 DSGVO. Für Banken und Versicherungen, die aufgrund von BaFin-Anforderungen (MaRisk AT 9, BAIT) eine lückenlose Datenhoheit benötigen, ist diese Deutschland-Exklusivität entscheidend.

Verschlüsselung: Transport und Speicherung (TLS 1.3, AES-256)

• Transport-Verschlüsselung: Alle Verbindungen zwischen Client und Server erfolgen über TLS 1.3 (Forward Secrecy, PFS). HTTP ist vollständig deaktiviert, alle URLs erzwingen HTTPS (HSTS-Header mit max-age 31536000).
• Speicher-Verschlüsselung: Datenbanken (PostgreSQL) und Dateispeicher (S3-kompatibel) sind at-rest verschlüsselt mit AES-256-GCM. Verschlüsselungsschlüssel werden in einem Hardware-Security-Module (HSM) verwaltet und rotieren automatisch alle 90 Tage.
• Backup-Verschlüsselung: Tägliche Backups sind ebenfalls AES-256-verschlüsselt und werden in einem geografisch getrennten Rechenzentrum (München ↔ Frankfurt) aufbewahrt. Aufbewahrungsdauer: 30 Tage, danach automatisierte Löschung.

Zugriffskontrolle und Mandanten-Trennung

FörderCheckPro implementiert eine strikte Mandanten-Trennung auf Datenbankebene: Jeder Kunde (Bank, Energieberater-Netzwerk, Bausparkasse) erhält einen eigenen Tenant-Namespace mit logisch isolierten Tabellen. Querverbindungen zwischen Mandanten sind technisch ausgeschlossen. Innerhalb eines Mandanten regelt ein rollenbasiertes Zugriffsmodell (RBAC) die Berechtigungen: Administrator, Berater, Sachbearbeiter, Auditor (nur lesend). Jeder Zugriff auf personenbezogene Daten wird in einem Audit-Log protokolliert (Zeitstempel, User-ID, Aktion, betroffene Daten), der für Compliance-Prüfungen exportiert werden kann.

Authentifizierung und Zugangsschutz

• Multi-Faktor-Authentifizierung (MFA): Pflicht für alle Benutzerkonten, die auf personenbezogene Daten zugreifen. Unterstützt werden TOTP (Authenticator-Apps) und Hardware-Tokens (FIDO2/WebAuthn).
• Single Sign-On (SSO): Integration mit SAML 2.0 und OpenID Connect (OIDC) für Enterprise-Kunden, die zentrale Identity-Provider (z. B. Azure AD, Okta) nutzen. Damit entfällt die separate Passwortverwaltung in FörderCheckPro.
• IP-Whitelisting: Optional können Mandanten den Zugriff auf festgelegte IP-Bereiche (z. B. Firmennetzwerk, VPN) einschränken.
• Session-Management: Automatische Sitzungs-Timeout nach 15 Minuten Inaktivität. Passwörter werden mit bcrypt (Cost-Faktor 12) gehasht, niemals im Klartext gespeichert.

FörderCheckPro ist nach ISO/IEC 27001:2013 (Informationssicherheits-Management) zertifiziert. Die Zertifizierung wird jährlich durch einen akkreditierten externen Auditor (DQS, TÜV Süd oder vergleichbar) überprüft. Das Zertifikat umfasst die gesamte Software-Entwicklung, den Betrieb der Produktionsumgebung und das Support-Team. Zusätzlich erfolgen Penetrationstests (OWASP Top 10, SANS Top 25) durch unabhängige Security-Firmen mindestens einmal jährlich. Die Audit-Berichte werden Banken und Enterprise-Kunden auf Anfrage unter NDA zur Verfügung gestellt.

Hinweis: Banken-Compliance: Für Banken, die FörderCheckPro in ihre IT-Infrastruktur integrieren, liefern wir zusätzlich BaFin-konforme Dokumentation (MaRisk AT 9, BAIT Tz. 61–71) und unterstützen bei der Auslagerungs-Anzeige nach § 25b KWG. Unser Security-Team beantwortet Compliance-Fragebögen (z. B. TISAX, SIG Lite, Vendor Risk Assessment) innerhalb von 5 Werktagen.

FörderCheckPro unterstützt alle Betroffenenrechte der DSGVO technisch und prozessual:

• Auskunftsrecht (Art. 15): Jeder Endkunde (z. B. Immobilienbesitzer, der über einen Berater FörderCheckPro nutzt) kann eine Kopie seiner gespeicherten Daten anfordern. Export erfolgt als strukturiertes JSON oder CSV innerhalb von 48 Stunden.
• Löschrecht (Art. 17): Löschanträge werden innerhalb von 5 Werktagen umgesetzt. Technisch wird eine Hard-Delete durchgeführt, d. h. Daten werden aus Produktivdatenbank und Backups entfernt (Ausnahme: gesetzliche Aufbewahrungsfristen, z. B. HGB, AO).
• Datenportabilität (Art. 20): Export in maschinenlesbaren Formaten (JSON, CSV, XML) über Self-Service-Portal oder API.
• Widerspruchsrecht (Art. 21): Widerspruch gegen Verarbeitung für Direktmarketing wird sofort umgesetzt. FörderCheckPro versendet keine werblichen E-Mails ohne ausdrückliche Einwilligung (Opt-in, Double-Opt-in).
• Einwilligungswiderruf (Art. 7 Abs. 3): Einwilligungen (z. B. für Newsletter, Produktupdates) können jederzeit per Klick widerrufen werden. Widerruf wird in Echtzeit im System vermerkt.

Für Banken und Bausparkassen bieten wir eine Self-Service-Löschfunktion im Admin-Panel: Berater können Kundendatensätze eigenständig anonymisieren oder löschen, sobald die Beratung abgeschlossen und die gesetzliche Aufbewahrungsfrist abgelaufen ist (typisch 6–10 Jahre nach Vertragsende).

Gemäß Art. 35 DSGVO haben wir für FörderCheckPro eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt. Ergebnis: Die Verarbeitung von Gebäude- und Förderdaten stellt kein hohes Risiko für die Rechte und Freiheiten natürlicher Personen dar, sofern die beschriebenen technischen und organisatorischen Maßnahmen eingehalten werden. Kritische Szenarien (z. B. Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, systematisches Monitoring großer Bereiche) sind ausgeschlossen.

Banken und Enterprise-Kunden, die eine eigene DSFA für die Einführung von FörderCheckPro durchführen müssen, erhalten von uns ein DSFA-Unterstützungspaket: Detaillierte Verarbeitungsübersicht, Risikomatrix, Stellungnahme des Datenschutzbeauftragten und technische Dokumentation der TOM. Damit können interne Compliance-Teams die DSFA in wenigen Tagen abschließen.

FörderCheckPro betreibt ein 24/7-Security-Monitoring mit automatisierten Anomalie-Erkennungen (SIEM-System). Im Falle einer Datenschutzverletzung (z. B. unbefugter Zugriff, Datenleck, Ransomware) greift ein definierter Incident-Response-Prozess:

1. Detektion und Eindämmung: Automatische Alarmierung des Security-Teams. Betroffene Systeme werden isoliert, unbefugte Zugriffe gesperrt.
2. Analyse: Forensische Untersuchung des Vorfalls (Umfang, betroffene Datensätze, Ursache).
3. Meldung an Aufsichtsbehörde: Wenn ein Risiko für die Rechte der Betroffenen besteht, erfolgt die Meldung an die zuständige Datenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO).
4. Information der Verantwortlichen: Der Kunde (Bank, Berater) wird unverzüglich informiert (in der Regel innerhalb von 12 Stunden). Er entscheidet über die Benachrichtigung der Endkunden (Art. 34 DSGVO).
5. Dokumentation und Lessons Learned: Jeder Vorfall wird dokumentiert und im Rahmen des ISO-27001-Prozesses zur kontinuierlichen Verbesserung ausgewertet.

Tipp: Bisher null Datenschutzvorfälle: Seit Produktivbetrieb (2021) hat FörderCheckPro keinen meldepflichtigen Datenschutzvorfall verzeichnet. Unser Security-Team wird regelmäßig geschult (SANS, OWASP, BSI IT-Grundschutz) und hält sich an Best Practices der Branche.

Für Banken, Bausparkassen und Finanzdienstleister gelten über die DSGVO hinaus aufsichtsrechtliche Anforderungen der BaFin. FörderCheckPro erfüllt die relevanten Vorgaben:

Banken, die FörderCheckPro als Auslagerung wesentlicher Aktivitäten klassifizieren (z. B. weil Fördermittelberatung Kernbestandteil der Baufinanzierung ist), erhalten von uns ein Auslagerungspaket mit allen erforderlichen Dokumenten: Risikobewertung, Service-Level-Agreement (SLA mit 99,5 % Verfügbarkeit), Notfallkonzept, Prüfungsrechte (Art. 28 Abs. 3 lit. h DSGVO) und Exit-Strategie (Datenexport + -löschung innerhalb 30 Tagen).

FörderCheckPro bietet eine REST-API (OpenAPI 3.0-spezifiziert) für die Integration in bestehende Bank-Systeme (z. B. Kreditvergabe-Software, CRM, Kundencenter-Portale). Die API ist OAuth 2.0-gesichert (Authorization Code Flow mit PKCE) und unterstützt API-Keys mit IP-Whitelisting. Alle API-Anfragen werden rate-limited (100 Requests/Minute pro Client) und in Audit-Logs protokolliert. Für Banken, die aus regulatorischen Gründen keine direkte Internet-API nutzen dürfen, bieten wir eine On-Premise-Deployment-Option (Docker-Container, Kubernetes-Helm-Chart) oder Dedicated-Cloud-Hosting in einem privaten Netzwerk-Segment (VPN, AWS PrivateLink-ähnlich).

Authentifizierung über Bank-SSO: Endkunden der Bank müssen sich nicht separat bei FörderCheckPro anmelden. Die Bank übergibt per SAML-Assertion oder JWT-Token die notwendigen Nutzerattribute (anonyme ID, Mandantenkontext), FörderCheckPro erstellt daraus eine ephemere Session. Personenbezogene Daten (Name, Adresse) werden nur bei expliziter Einwilligung des Kunden für die Fördermittelberechnung übertragen.

Wenn Ihre Compliance-Abteilung FörderCheckPro evaluiert, empfehlen wir folgende Prüfpunkte:

• AVV-Prüfung: Ist der Auftragsverarbeitungsvertrag vollständig (Art. 28 Abs. 3 DSGVO)? Sind Subunternehmer benannt und zulässig?
• Hosting-Standort: Befinden sich alle Daten in der EU/EWR? Keine Drittstaaten-Übermittlung?
• Verschlüsselung: TLS 1.3 für Transport, AES-256 für Speicherung?
• Zugriffskontrolle: RBAC, MFA, Session-Timeout, Audit-Logs vorhanden?
• ISO-Zertifikat: Gültigkeit, Scope (Entwicklung + Betrieb), Auditor akkreditiert?
• Penetrationstest-Berichte: Wie oft? Wann zuletzt? Kritische Findings behoben?
• Incident Response: Prozess dokumentiert? Kontaktpersonen benannt? Meldepflichten geregelt?
• Backup und Business Continuity: RTO/RPO definiert? Disaster-Recovery getestet?
• Exit-Strategie: Datenexport in welchem Format? Löschfrist nach Vertragsende?
• Haftung und Versicherung: Cyber-Versicherung mit Deckungssumme mind. 5 Mio. € (bei FörderCheckPro: 10 Mio. €)

Hinweis: Audit-Support: Unser Datenschutzbeauftragter (extern bestellt, zertifiziert nach IITR/GDD) steht für Rückfragen zur Verfügung. Terminvereinbarung über compliance@foerdercheckpro.de.

Technische Maßnahmen sind nur wirksam, wenn Anwender sie verstehen und korrekt nutzen. FörderCheckPro bietet für Enterprise-Kunden DSGVO-Schulungen (45–90 Minuten, remote oder vor Ort):

• Sensibilisierung: Welche Daten sind personenbezogen? Wann dürfen sie verarbeitet werden?
• Praktische Anwendung: Wie fordere ich Betroffenenrechte um? Wo finde ich den Audit-Log?
• Incident-Handling: Was tun bei Verdacht auf Datenleck? Wen informiere ich?
• Passwortsicherheit und MFA: Best Practices für sichere Passwörter, Authenticator-Apps einrichten.

Die Schulung wird individuell auf Ihre Organisation zugeschnitten und kann als E-Learning-Modul (H5P, SCORM 1.2) für Ihr LMS bereitgestellt werden. Teilnahmezertifikate für Compliance-Nachweise inklusive.

Datenschutz ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. FörderCheckPro verpflichtet sich zu:

• Quartalsweise Security-Updates: Patches für Betriebssystem, Datenbank, Frameworks binnen 48 Stunden nach Veröffentlichung kritischer CVEs.
• Jährliche externe Audits: ISO 27001-Rezertifizierung, Penetrationstests, DSFA-Review.
• Transparente Kommunikation: Änderungen an TOM oder AVV werden 30 Tage vor Inkrafttreten angekündigt (per E-Mail an Admin-Accounts).
• Bug-Bounty-Programm: Sicherheitsforscher können Schwachstellen verantwortungsvoll melden und erhalten Anerkennung (Hall of Fame) oder Prämien.

Unsere Datenschutzerklärung (öffentlich auf foerdercheckpro.de/datenschutz) wird mindestens einmal jährlich überprüft und aktualisiert. Änderungen werden mit Versionsnummer und Datum protokolliert.

• White Label Förderrechner für Banken: KfW & BAFA nahtlos in Ihre Plattform integrieren

• Fördermittel-Check kostenlos: Zuschüsse für Ihre Sanierung ermitteln

• iSFP erstellen: Anforderungen & Ablauf für zertifizierte Energieberater

• KfW Foerderung Bestandsimmobilie

• BAFA Energieeffizienz