GTN Energie — Informationen zur Verarbeitung Ihrer personenbezogenen Daten gem. Art. 13 DSGVO · Stand: 05.10.2026 · Version 1.2
Verantwortlicher im Sinne der DSGVO und des BDSG ist:
Nicolai Graf (Einzelunternehmen), tätig unter dem Geschäftsnamen GTN Energie
Anschrift: Beethovenstraße 27, 53115 Bonn
E-Mail: nicolai.graf@gtn-energie.de
Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des § 38 BDSG derzeit nicht erfüllt sind. Für alle datenschutzrechtlichen Anfragen wenden Sie sich bitte direkt an die oben genannte E-Mail-Adresse.
Im Rahmen unserer Tätigkeit als Energiemakler verarbeiten wir Ihre personenbezogenen Daten zu den nachfolgend beschriebenen Zwecken.
Wir erfassen und verwalten Ihre persönlichen Daten, um Ihnen Energieversorgungsverträge zu vermitteln, Ihre Lieferstellen zu betreuen und das Mandatsverhältnis ordnungsgemäß abzuwickeln. Dabei verarbeiten wir folgende Datenkategorien:
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -erfüllung). Die Verarbeitung ist für die Durchführung des Makler- und Vollmachtsverhältnisses sowie für den Abschluss des Energieversorgungsvertrags erforderlich.
Herkunft der Daten (Art. 14 DSGVO): Ihre Daten erhalten wir in der Regel direkt von Ihnen. In einzelnen Fällen — etwa bei Vermittlung über eine Hausverwaltung oder einen Kooperationspartner — können uns Daten auch von Dritten übermittelt werden. In diesen Fällen informieren wir Sie gesondert gemäß Art. 14 DSGVO.
Ansprechpartner von Geschäftskunden: Ist unser Auftraggeber ein Unternehmen, besteht der Vertrag mit dem Unternehmen. Die Daten der für das Unternehmen handelnden Personen (Ansprechpartner, Unterzeichner) verarbeiten wir dann auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Abwicklung der Geschäftsbeziehung mit dem Auftraggeber, für die die Person als Ansprechpartner benannt wurde.
Für die Verwaltung Ihrer Vertrags- und Lieferstellendaten betreiben wir ein Online-Kundenportal. Sie können sich dort per E-Mail-Link (Magic Link, ohne Passwort) anmelden und Ihre bei uns hinterlegten Daten einsehen. Für die Anmeldung wird Ihre E-Mail-Adresse verarbeitet; die technische Authentifizierung erfolgt über unseren Auftragsverarbeiter Supabase Inc. (Hosting EU/Frankfurt, siehe Ziffer 3).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Makler- und Vollmachtsverhältnisses).
Zur Durchführung des Lieferantenwechsels übermitteln wir Ihre Daten an das von Ihnen gewählte EVU sowie an den zuständigen Netzbetreiber nach den Anforderungen der Marktkommunikation (GPKE/GeLi Gas, EDIFACT/AS4-Protokoll). Im Rahmen der Marktkommunikation werden folgende Daten übermittelt:
Empfänger: Das von Ihnen gewählte EVU sowie der zuständige Netzbetreiber — ausschließlich deutsche Marktteilnehmer; keine Übermittlung in Drittstaaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Zur internen Priorisierung nutzen wir eine KI-gestützte Empfehlungsfunktion. Übermittelt werden aggregierte Geschäftskennzahlen sowie — bei auslaufenden Verträgen — der betreffende Jahresprovisionswert.
Technische Schutzmaßnahme: Ihr Name wird vor der Übermittlung automatisch durch ein Pseudonym ersetzt (z. B. „Kunde-1“). Die KI erhält zu keinem Zeitpunkt Ihren Klarnamen. Pseudonymisierte Daten bleiben nach Art. 4 Nr. 5 DSGVO personenbezogene Daten, da wir als Verantwortlicher den Zuordnungsschlüssel halten; die Pseudonymisierung ist eine technische Schutzmaßnahme, keine Anonymisierung.
Empfänger / Drittlandsübermittlung: Anthropic PBC, USA — als Auftragsverarbeiter auf Grundlage eines DPA einschließlich EU-Standardvertragsklauseln (SCC, Art. 46 Abs. 2 lit. c DSGVO) und Transfer Impact Assessment (TIA). Nach Angaben des Anbieters werden Daten maximal 30 Tage gespeichert; eine Nutzung zum Training generativer Modelle findet nach Angaben des Anbieters nicht statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: effiziente Priorisierung der Kundenbetreuung.
Wir nutzen KI-gestützte Assistenzsysteme zur Unterstützung bei der Bearbeitung von Geschäftskorrespondenz, administrativen Aufgaben sowie der strukturierten Nacharbeitung interner Arbeitslisten (z. B. Lesen und Priorisieren von To-Do-Dateien). Dabei können Inhalte aus E-Mails, Dokumenten und Arbeitsdateien an die jeweilige KI-API übermittelt werden, soweit dies zur Aufgabenbearbeitung erforderlich ist. Erfasst sein können dabei insbesondere Ihr Name und Ihre Kontaktdaten sowie vertragsbezogene Informationen aus der Korrespondenz.
Unterschied zu Ziffer 2.4: Bei der Cockpit-Funktion werden Namen automatisch pseudonymisiert. Bei der Assistenzfunktion ist dies nicht in jedem Fall möglich; Ihr Klarname kann übermittelt werden, soweit er im Kontext der bearbeiteten Nachricht enthalten ist.
Empfänger / Drittlandsübermittlung — Anthropic PBC, USA: als Auftragsverarbeiter (Claude-Modelle, eingesetzt u. a. über Claude Code und claude.ai), abgesichert durch SCC (Art. 46 Abs. 2 lit. c DSGVO) sowie ein Data Processing Agreement (DPA). Nach Angaben des Anbieters werden Daten maximal 30 Tage gespeichert — mit Ausnahme automatisiert als Verstoß gegen die Nutzungsrichtlinien erkannter Inhalte, die bis zu 2 Jahre gespeichert werden können; eine Nutzung zum Training generativer Modelle findet nach Angaben des Anbieters nicht statt.
Empfänger / Drittlandsübermittlung — OpenAI, LLC, USA: als Auftragsverarbeiter (GPT-Modelle, eingesetzt u. a. über die OpenAI API und ChatGPT), abgesichert durch SCC (Art. 46 Abs. 2 lit. c DSGVO) sowie ein Data Processing Agreement (DPA). Nach Angaben des Anbieters werden API-Eingabe- und Ausgabedaten standardmäßig nicht zum Training von Modellen genutzt und werden nach maximal 30 Tagen gelöscht.
Eine dauerhafte Speicherung der an KI-Systeme übermittelten Inhalte außerhalb der bestehenden Geschäftsdokumentation erfolgt durch uns nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: effiziente Abwicklung von Geschäftskommunikation und Verwaltungsaufgaben. Ihre Interessen werden durch SCC-Absicherung beider Anbieter, kurze Aufbewahrungszeiten sowie den nach Angaben der Anbieter bestehenden Ausschluss von Modell-Training angemessen gewahrt.
Besondere Datenkategorien: Die KI-Assistenz ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ausgerichtet. Sollten in eingehender Korrespondenz inzidentell solche Daten enthalten sein, werden diese nicht weiterverarbeitet und im Rahmen unserer Datenhygiene entfernt.
Keine automatisierte Entscheidungsfindung: Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Alle geschäftsrelevanten Entscheidungen werden durch menschliche Mitarbeitende geprüft und freigegeben.
Zur Sicherstellung der Datenwiederherstellbarkeit erstellen wir verschlüsselte vollständige Datenbank-Sicherungen, die auch Ihre bei uns gespeicherten Daten enthalten.
Empfänger / Drittlandsübermittlung: Google LLC, USA (Google Drive) — als Auftragsverarbeiter, abgesichert durch SCC sowie ergänzend durch das EU-US Data Privacy Framework (DPF). Die Backup-Dateien sind zusätzlich clientseitig Ende-zu-Ende-verschlüsselt; Google hat keinen Zugang zum Inhalt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Datensicherung als berechtigtes Interesse).
Beim Aufruf unserer Website werden technisch notwendige Server-Logfiles erfasst (gekürzte IP-Adresse, Datum und Uhrzeit, abgerufene Ressource, Browser- und Betriebssystem-Informationen). Diese Daten dienen dem stabilen Betrieb sowie der Abwehr missbräuchlicher Zugriffe und werden nach spätestens 30 Tagen gelöscht. Wir setzen ausschließlich technisch notwendige Cookies ein; Marketing-Cookies werden nicht verwendet. Sofern wir künftig nicht notwendige Cookies oder Tracking-Dienste einsetzen, holen wir Ihre Einwilligung gemäß § 25 Abs. 1 TDDDG über ein Consent-Banner ein.
Reichweitenmessung: Wir nutzen Vercel Web Analytics, um die Nutzung unserer Website in zusammengefasster Form auszuwerten (z. B. aufgerufene Seiten, Herkunftsland, Gerätetyp). Das Verfahren kommt ohne Cookies aus und speichert keine Informationen auf Ihrem Endgerät; Besucher werden nicht über mehrere Tage oder Websites hinweg wiedererkannt. Anbieter ist Vercel Inc. (siehe Ziffer 3). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bedarfsgerechten Gestaltung der Website).
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG für technisch notwendige Cookies bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Website).
Unsere geschäftliche E-Mail-Kommunikation, Terminverwaltung und Dokumentenablage (u. a. Kundenordner mit Vollmachten, Rechnungen und Angeboten) betreiben wir mit Google Workspace (Gmail, Google Kalender, Google Drive). Dabei werden alle Daten verarbeitet, die Sie uns per E-Mail oder als Dokument übermitteln.
Empfänger / Drittlandsübermittlung: Google Ireland Limited bzw. Google LLC, USA — als Auftragsverarbeiter, abgesichert durch SCC sowie ergänzend durch das EU-US Data Privacy Framework (DPF).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Mandats) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente Büroorganisation).
Zur Verwaltung von Anfragen, Interessenten und Kundenkontakten nutzen wir das CRM-System Close. Gespeichert werden Name, Firma, Kontaktdaten, Notizen zu Gesprächen sowie der Verlauf von E-Mails und Anrufen, die über das System geführt werden.
Empfänger / Drittlandsübermittlung: Anbieter von Close mit Sitz in den USA — als Auftragsverarbeiter, abgesichert durch SCC.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung) bzw. Art. 6 Abs. 1 lit. f DSGVO (strukturierte Betreuung von Interessenten und Kunden).
Auf unserer Website und in E-Mails bieten wir die Buchung von Gesprächsterminen über Calendly an. Bei einer Buchung werden Name, E-Mail-Adresse, ggf. Telefonnummer, der gewählte Termin sowie Ihre freiwilligen Angaben im Buchungsformular verarbeitet. Ist das Buchungsfenster in unsere Website eingebettet, wird beim Aufruf eine Verbindung zu Calendly hergestellt.
Empfänger / Drittlandsübermittlung: Calendly LLC, USA — als Auftragsverarbeiter, abgesichert durch SCC sowie ergänzend durch das EU-US Data Privacy Framework (DPF).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).
Telefon- und Videogespräche zeichnen wir nur mit Ihrer ausdrücklichen Einwilligung auf, die wir zu Beginn des Gesprächs einholen. Die Aufzeichnung wird mit dem Dienst Fireflies.ai automatisch transkribiert und zusammengefasst, damit wir Absprachen, Verbrauchsdaten und Aufgaben vollständig und korrekt festhalten. Verarbeitet werden Ton, ggf. Bild, das Transkript sowie die Namen der Teilnehmenden.
Ohne Ihre Einwilligung findet keine Aufzeichnung statt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Aufzeichnung wird dann gelöscht.
Empfänger / Drittlandsübermittlung: Fireflies.ai Corp., USA — als Auftragsverarbeiter, abgesichert durch SCC.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Für das Verfassen von Nachrichten, Notizen und Dokumenten nutzen wir die Diktiersoftware Wispr Flow, die gesprochene Sprache in Text umwandelt. Dabei kann der diktierte Text Ihren Namen oder Angaben zu Ihrem Mandat enthalten.
Empfänger / Drittlandsübermittlung: Anbieter von Wispr Flow mit Sitz in den USA — als Auftragsverarbeiter, abgesichert durch SCC.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (effiziente Bearbeitung von Korrespondenz und Verwaltungsaufgaben).
Vollmachten, Aufträge und Verträge lassen wir über den Signaturdienst Yousign elektronisch unterzeichnen. Verarbeitet werden Name, E-Mail-Adresse, Mobilfunknummer (für den Bestätigungscode per SMS), das Dokument selbst sowie ein Protokoll des Signaturvorgangs (Zeitpunkt, IP-Adresse).
Empfänger: Yousign SAS, Frankreich — als Auftragsverarbeiter innerhalb der EU; keine Übermittlung in Drittstaaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Abschluss und Durchführung des Mandats).
Automatische E-Mails unserer Website und unseres Kundenportals (z. B. Anmeldelinks, Bestätigungen von Anfragen) versenden wir über den Dienst Resend. Verarbeitet werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht.
Empfänger / Drittlandsübermittlung: Resend, Inc., USA — als Auftragsverarbeiter, abgesichert durch SCC.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO (zuverlässige Zustellung von System-Nachrichten).
Ihre personenbezogenen Daten werden nur an die nachfolgend genannten Stellen weitergegeben. Alle technischen Dienstleister sind, soweit sie als Auftragsverarbeiter tätig werden, gemäß Art. 28 DSGVO vertraglich gebunden und handeln in dieser Eigenschaft nach unserer Weisung.
Bei der Auswahl unserer Dienstleister bevorzugen wir grundsätzlich Anbieter und Hosting-Regionen innerhalb des EWR. Eine Übermittlung in Drittländer erfolgt nur dort, wo eine geeignete EU-Lösung nicht verfügbar ist; in diesen Fällen wird die Übermittlung durch SCC (ggf. ergänzt um DPF-Zertifizierung) abgesichert und durch ein Transfer Impact Assessment begleitet.
| Empfänger | Zweck | Sitz / Hosting-Region | Sicherung |
|---|---|---|---|
| EVU (Wahl des Kunden bzw. Auftraggebers) | Energieversorgungsvertrag; Bankdaten für SEPA & Provisionsabrechnung | Deutschland | Vertragserfüllung |
| Netzbetreiber (regional) | Marktkommunikation (GPKE/GeLi Gas) | Deutschland | Vertragserfüllung |
| Supabase Inc. | Datenbankbetrieb, Authentifizierung Kundenportal | Hosting EU (Frankfurt), Sitz USA | SCC Art. 46 Abs. 2 lit. c DSGVO |
| Vercel Inc. | Hosting der Webanwendung / des Kundenportals, cookielose Reichweitenmessung (2.7) | Hosting EU, Sitz USA | SCC Art. 46 Abs. 2 lit. c DSGVO |
| Anthropic PBC | KI-Cockpit (pseudonymisiert, 2.4) und KI-Assistenz (2.5) | USA | SCC + DPA + TIA |
| OpenAI, LLC | KI-Assistenz (2.5) | USA | SCC + DPA |
| Google Ireland Ltd. / Google LLC | E-Mail, Kalender, Dateiablage (2.8); verschlüsselte Datensicherung (2.6) | EU / USA | SCC + DPF |
| Close (CRM) | Kundenbeziehungsmanagement (2.9) | USA | SCC |
| Calendly LLC | Online-Terminbuchung (2.10) | USA | SCC + DPF |
| Fireflies.ai Corp. | Gesprächsaufzeichnung und Transkription, nur mit Einwilligung (2.11) | USA | SCC |
| Wispr Flow | Spracheingabe / Diktat (2.12) | USA | SCC |
| Yousign SAS | Elektronische Unterschrift (2.13) | Frankreich (EU) | Art. 28 DSGVO |
| Resend, Inc. | Versand von System-E-Mails (2.14) | USA | SCC |
Kopien der Standardvertragsklauseln sowie vorliegender Transfer Impact Assessments können auf Anfrage eingesehen werden.
Wir setzen angemessene technische und organisatorische Schutzmaßnahmen ein, um Ihre Daten vor Verlust, Missbrauch und unberechtigtem Zugriff zu schützen — darunter durchgehende Verschlüsselung (in transit und at rest), rollenbasierte Zugriffskontrollen mit Row-Level-Security, abgesicherte Authentifizierungsverfahren sowie regelmäßige Datensicherungen. Das vollständige TOM-Dokument stellen wir auf Anfrage zur Verfügung.
Wir speichern Ihre personenbezogenen Daten nur so lange, wie dies zur Erreichung der jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorschreiben. Im Einzelnen gelten folgende Fristen:
Nach Ablauf der jeweiligen Frist werden Ihre Daten gelöscht oder irreversibel anonymisiert.
Datensicherungen unterliegen folgendem automatisierten Rotationsplan:
Die Bereitstellung Ihrer Stamm-, Kontakt-, Vertrags- und Bankdaten ist für den Abschluss und die Durchführung des Makler- und Vollmachtsverhältnisses sowie für den Abschluss des Energieversorgungsvertrags erforderlich. Ohne diese Angaben können wir das Mandatsverhältnis nicht begründen und keinen Lieferantenwechsel einleiten. Die Angabe eines Geburtsdatums ist freiwillig.
Sie haben gegenüber GTN folgende datenschutzrechtliche Rechte, die Sie jederzeit geltend machen können:
Zur Ausübung Ihrer Rechte: nicolai.graf@gtn-energie.de — Bearbeitung innerhalb eines Monats.
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für GTN zuständige Behörde ist:
LDI NRW — Landesbeauftragte für Datenschutz und Informationsfreiheit NRW
Postfach 20 04 44 · 40102 Düsseldorf · www.ldi.nrw.de
Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes wenden.
Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen unserer Datenverarbeitungspraktiken oder der gesetzlichen Anforderungen anzupassen. Bei wesentlichen Änderungen informieren wir Sie gesondert. Die jeweils aktuelle Fassung gilt ab dem angegebenen Stand-Datum. Frühere Fassungen stellen wir auf Anfrage zur Verfügung.