Zur Startseite
TRUST CENTER

Transparenz.
Nicht optional.

Wir arbeiten mit sensiblen Daten aus deinen Kundenaufträgen. Deshalb erklären wir hier öffentlich und vollständig, was mit deinen Daten passiert, wer sie sieht und was garantiert nicht mit ihnen passiert.

AES-256 verschlüsselt Server in EU Kein KI-Training mit deinen Daten DSGVO Art. 28 konform EU-US DPF geprüfte Anbieter Jeder Bericht kryptographisch verifizierbar
UNSERE ZUSAGE

Was wir garantiert nicht tun

Wir trainieren keine KI mit deinen Daten
Alle Anfragen an OpenAI (GPT-5.2) und Google (Gemini) laufen ausschließlich über API-Endpoints — nicht über Consumer-Produkte wie ChatGPT. Gemäß der OpenAI API Data Usage Policy werden API-Daten nicht zum Training von Modellen verwendet und nach maximal 30 Tagen gelöscht (Aufbewahrung nur zur Missbrauchserkennung). Gleiches gilt für die Google Gemini API. Wir behaupten bewusst kein pauschales „Zero Retention“ — sondern genau das, was die Anbieter-Verträge tatsächlich zusichern.
Wir verkaufen keine Daten
Keine Weitergabe an Data-Broker, keine „anonymen“ Analytics- Verkäufe an Dritte, keine Vermarktung an Hersteller oder Werbenetzwerke. Deine Daten sind dein Betriebskapital — nicht unseres.
Wir speichern keine Rohdaten bei Dritten
Anlagen-, Kunden- und Auftragsdaten liegen ausschließlich in unserer eigenen Datenbank in einer EU-Region. Externe Dienste (KI, Zahlungen, E-Mail) bekommen jeweils nur das Minimum, das sie zur Erfüllung ihrer Aufgabe brauchen — und nicht länger, als sie es brauchen.
Wir tracken dich nicht ohne Einwilligung
Analytics (Meta Pixel, Google Analytics) sind technisch gesperrt, bis du im Cookie-Banner explizit zustimmst: Die Tracking-Skripte sind nicht im Seitencode enthalten und werden erst nach deiner Einwilligung nachgeladen. Bei Ablehnung wird keine einzige Zeile Tracking-Code ausgeführt — nicht nur „nicht gefeuert“, sondern gar nicht erst geladen. Kern-App-Funktionen sind davon vollständig unabhängig nutzbar.
SUB-PROZESSOREN

Wer verarbeitet Daten in unserem Auftrag

Nach DSGVO Art. 28 dürfen wir Sub-Prozessoren nur einsetzen, wenn wir mit ihnen einen Auftragsverarbeitungsvertrag (AVV) haben und dich darüber informieren. Hier ist die vollständige Liste.

OpenAI (GPT-5.2)
DPA
Zweck
KI-Textgenerierung (Berichte, Diagnosen, Zusammenfassungen)
Datenkategorien
Nur die konkret gestellte Anfrage (Prompt). Kein Modell-Training mit API-Daten, Löschung nach max. 30 Tagen (API Data Usage Policy).
Region
USA (DPF-zertifiziert + SCC)
AVV
Ja
OpenAI DPA + API Data Usage Policy
Google (Gemini)
DPA
Zweck
KI-Bilderkennung (Typenschild-Foto → Modell-ID) & Vision
Datenkategorien
Typenschild-/Anlagenfotos während der Analyse. Nicht für Training verwendet.
Region
EU (Frankfurt Region)
AVV
Ja
Google Cloud DPA
MongoDB Atlas
DPA
Zweck
Primär-Datenbank (Aufträge, Kunden, Berichte, Fotos)
Datenkategorien
Alle Auftragsdaten. Verschlüsselt (AES-256 at-rest, TLS 1.3 in-transit).
Region
EU (Frankfurt)
AVV
Ja
MongoDB Master DPA
Emergent Cloud
DPA
Zweck
Application-Hosting & Object-Storage (Anlagenfotos, PDFs)
Datenkategorien
Anwendungsdaten, Bild-/PDF-Assets.
Region
EU
AVV
Ja
Master Service Agreement inkl. AVV
Stripe
DPA
Zweck
Zahlungsabwicklung (Abos, Rechnungen)
Datenkategorien
Nur Zahlungs-Metadaten (E-Mail, Betrag, Plan). Kartendaten sehen wir nie — sie liegen ausschließlich bei Stripe.
Region
USA (DPF-zertifiziert + SCC) + Irland-Repräsentanz
AVV
Ja
Stripe DPA
Resend
DPA
Zweck
Transaktionale E-Mails (Bestätigung, Passwort-Reset, Rechnungen)
Datenkategorien
E-Mail-Adresse + Text der jeweiligen Nachricht.
Region
USA (DPF-zertifiziert + SCC)
AVV
Ja
Resend DPA
Sentry
DPA
Zweck
Error-Monitoring & Sicherheits-Alerts
Datenkategorien
Fehler-Stacks + Session-ID. Personenbezogene Daten werden automatisch redigiert.
Region
EU-Instanz
AVV
Ja
Sentry DPA
Meta / Google Analytics
DPA
Zweck
Werbe-Attribution (NUR nach Cookie-Zustimmung)
Datenkategorien
IP (verkürzt), Klick-Ereignisse. Bei Ablehnung: keinerlei Aktivierung.
Region
USA (DPF-zertifiziert + SCC) / EU-Verarbeitung
AVV
Ja
Meta DPA / Google Ads DPA

AVV / Standard-DPAs: Für alle gelisteten Anbieter gelten die branchenüblichen Auftragsverarbeitungs-Standardverträge nach Art. 28 DSGVO. Die jeweiligen Master-DPAs sind bei jedem Anbieter öffentlich verlinkt. Bei Anfrage stellen wir sie in kompakter PDF-Form zusammen (Kontakt siehe unten).

DRITTLANDÜBERMITTLUNG

Transfer Impact Assessment (TIA)

Einige unserer Sub-Prozessoren sind US-Unternehmen. Nach dem Schrems-II-Urteil des EuGH reicht ein Vertrag allein nicht — wir müssen das Risiko jeder Übermittlung bewerten und dokumentieren. Hier ist unsere öffentliche Bewertung, Stand heute.

Primäre Rechtsgrundlage: EU-US Data Privacy Framework (DPF). Alle von uns eingesetzten US-Anbieter — OpenAI, Google, Stripe, Sentry und Resend — sind unter dem DPF zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, Art. 45 DSGVO). Damit gilt die Übermittlung rechtlich als Übermittlung in ein sicheres Drittland. Zusätzlich gelten Standardvertragsklauseln (SCCs) als Fallback, falls das DPF — wie zuvor Privacy Shield — gerichtlich gekippt werden sollte. Zertifizierungsstatus prüfbar unter dataprivacyframework.gov.
OpenAI
Restrisiko: Gering
Übermittelte Daten
KI-Prompts (Auftragskontext, Fehlercodes, Gerätedaten)
Rechtsgrundlage
EU-US DPF (zertifiziert) + SCCs als Fallback
Schutzmaßnahmen
API-only-Zugriff (kein Consumer-Produkt), kein Modell-Training, Löschung nach max. 30 Tagen, Datenminimierung: nur der konkrete Prompt wird übertragen, keine Kundenstammdaten.
Google (Gemini)
Restrisiko: Gering
Übermittelte Daten
Typenschild-/Anlagenfotos während der KI-Analyse
Rechtsgrundlage
EU-US DPF (zertifiziert) + SCCs; Verarbeitung in EU-Region (Frankfurt)
Schutzmaßnahmen
Verarbeitung primär in der EU-Region, kein Training mit API-Daten, Fotos werden nach der Analyse nicht beim Anbieter persistiert.
Stripe
Restrisiko: Gering
Übermittelte Daten
Zahlungs-Metadaten (E-Mail, Betrag, Plan)
Rechtsgrundlage
EU-US DPF (zertifiziert) + SCCs; Vertragspartner: Stripe Payments Europe (Irland)
Schutzmaßnahmen
Kartendaten verbleiben vollständig bei Stripe (PCI-DSS Level 1), wir erhalten und speichern keine Zahlungsdaten, nur Referenz-IDs.
Sentry
Restrisiko: Sehr gering
Übermittelte Daten
Fehler-Stacks + Session-IDs
Rechtsgrundlage
EU-US DPF (zertifiziert) + SCCs; EU-Daten-Instanz
Schutzmaßnahmen
EU-Hosting-Option aktiv, personenbezogene Daten werden vor dem Senden automatisch redigiert (PII-Scrubbing), keine Auftrags- oder Kundendaten in Fehler-Reports.
Resend
Restrisiko: Gering
Übermittelte Daten
E-Mail-Adresse + Nachrichtentext (transaktional)
Rechtsgrundlage
EU-US DPF (zertifiziert) + SCCs
Schutzmaßnahmen
Nur transaktionale E-Mails (kein Marketing-Versand), Inhalte enthalten keine sensiblen Auftragsdetails, TLS-Transportverschlüsselung.
Meta / Google Ads
Restrisiko: Mittel — daher Opt-in
Übermittelte Daten
IP (verkürzt), Klick-Ereignisse — NUR nach Cookie-Einwilligung
Rechtsgrundlage
Einwilligung (Art. 49 Abs. 1 lit. a DSGVO) + DPF + SCCs
Schutzmaßnahmen
Skripte werden ohne Einwilligung technisch nicht geladen, IP-Anonymisierung aktiv, jederzeit widerrufbar über Cookie-Einstellungen.

Methodik: Bewertung je Anbieter nach EDPB-Empfehlungen 01/2020 (ergänzende Maßnahmen): Datenkategorien → Rechtsgrundlage → Zugriffs­risiko durch US-Behörden (FISA 702 / CLOUD Act) → technische und organisatorische Gegenmaßnahmen. Wir aktualisieren diese Bewertung bei jeder Änderung an Sub-Prozessoren oder Rechtslage.

TIA als PDF herunterladen
REVISIONSSICHERHEIT

GoBD-Grundsätze: Jeder Bericht kryptographisch nachweisbar

Serviceberichte sind geschäftliche Dokumente. Deshalb behandeln wir sie so: unveränderbar registriert, lückenlos protokolliert und für jeden überprüfbar.

Dokument-Nr. + SHA-256
Jeder erzeugte Bericht erhält eine fortlaufende Dokument-Nummer und einen kryptographischen Fingerabdruck (SHA-256) mit UTC-Zeitstempel — beides steht in der Fußzeile jedes PDFs.
Lückenloser Audit-Trail
Erstellung, jede Änderung (neue Version), jeder Download und jede Echtheitsprüfung werden unveränderlich protokolliert. Nichts wird überschrieben oder gelöscht — Änderungen erzeugen dokumentierte Versionen.
Archiv-Kopie
Das Original-PDF jeder Version wird zusätzlich in einem separaten, verschlüsselten Archiv-Speicher abgelegt — unabhängig von der Anwendungsdatenbank.
Öffentliche Echtheitsprüfung: Jeder — auch dein Endkunde oder ein Prüfer — kann die Dokument-Nummer aus der PDF-Fußzeile eingeben und sofort sehen, ob der Bericht echt und unverändert ist. Optional wird die PDF lokal im Browser gegen den registrierten Fingerabdruck geprüft.
Dokument prüfen
EHRLICHE EINORDNUNG

Wir haben die GoBD-Grundsätze (Unveränderbarkeit, Nachvollziehbarkeit, Vollständigkeit) technisch umgesetzt — eine formale GoBD-Bescheinigung durch einen Wirtschaftsprüfer steht noch aus und ist Teil unserer Roadmap. Für die konkrete Einordnung in deine Buchführungspflichten empfiehlt sich die Rücksprache mit deinem Steuerberater — genau das raten wir jedem Betrieb.

PRODUKT-ROADMAP

Woran wir als Nächstes arbeiten

Öffentlich und verbindlich — damit du weißt, wohin sich das Produkt entwickelt.

IN ARBEIT
Android-App (Google Play)

Die App basiert auf derselben Technologie wie die iOS-Version — der Google-Play-Release ist der nächste große Meilenstein.

GEPLANT
GoBD-Bescheinigung

Externe Prüfung der revisionssicheren Archivierung durch einen Wirtschaftsprüfer / GoBD-Spezialisten.

GEPLANT
Offline-Modus v2

Erweiterte Offline-Fähigkeiten für Keller und Funklöcher: vollständige Berichtserstellung offline mit automatischer Synchronisation.

LANGFRISTIG
ISO 27001-Zertifizierung

Sobald die Unternehmensgröße es rechtfertigt — bis dahin: volle Transparenz auf dieser Seite und auditierte Infrastruktur-Partner.

WER STEHT DAHINTER

Keine anonyme Briefkastenfirma

Software für rechtlich relevante Dokumente kauft man nicht von Unbekannten. Deshalb: volle Transparenz, wer hinter HVAC PRO steht.

Joel Sassmannshausen
Inhaber & Entwickler, Einzelunternehmer

HVAC PRO wird in Deutschland entwickelt und betrieben — An der Wilhelmsburg 3, 57271 Hilchenbach. Vollständige Angaben gemäß § 5 DDG inklusive Telefonnummer im Impressum.

Support-Zusage: Antwort werktags innerhalb von 24 Stunden — meist deutlich schneller.
support@myhvac-pro.de — direkter Draht zum Entwickler, kein Ticketsystem-Labyrinth.
Feedback von Technikern fließt direkt in die Entwicklung ein — viele Funktionen dieser App stammen aus konkreten Nutzerwünschen.
ZERTIFIZIERUNGEN

Audits & Zertifizierungen — ehrlich eingeordnet

Wir sagen dir lieber offen, wo wir stehen, als mit fremden Federn zu schmücken.

Was wir (noch) nicht haben

myHVACpro hat aktuell kein eigenes ISO 27001- oder SOC 2-Zertifikat. Solche Audits kosten fünfstellige Beträge pro Jahr und sind für ein junges Unternehmen unserer Größe schlicht noch nicht verhältnismäßig. Wir sagen das lieber offen, statt es zu verschweigen — und arbeiten intern bereits nach den Grundprinzipien dieser Standards (Least-Privilege-Zugriffe, Verschlüsselung, dokumentierte Prozesse).

Worauf wir aufbauen

Unsere gesamte Infrastruktur läuft auf Anbietern, die selbst extern auditiert und zertifiziert sind — deine Daten liegen also physisch in zertifizierten Umgebungen:

  • MongoDB Atlas (Datenbank): ISO 27001, SOC 2 Type II, ISO 27017/27018
  • Google Cloud (KI-Verarbeitung EU): ISO 27001, SOC 1/2/3, C5 (BSI)
  • Stripe (Zahlungen): PCI-DSS Level 1, SOC 1/2
  • OpenAI (KI-API): SOC 2 Type II
  • Sentry (Monitoring): SOC 2 Type II, ISO 27001
ROADMAP

Sobald myHVACpro die entsprechende Unternehmensgröße erreicht, streben wir eine eigene ISO 27001-Zertifizierung an. Bis dahin: volle Transparenz auf dieser Seite, dokumentierte Sicherheitsmaßnahmen und auditierte Infrastruktur-Partner.

TECHNISCHER SCHUTZ

Wie wir deine Daten technisch absichern

Verschlüsselung
Übertragung: TLS 1.3. Speicherung: AES-256 auf verschlüsselten Volumes. Passwörter: bcrypt mit Salt.
5-Schichten AI-Schutzwall
Rate-Limits pro Nutzer + globaler Tages-Budget-Circuit-Breaker verhindern, dass ein kompromittierter Account KI-Kosten oder Datenmengen ausufern lässt.
Sentry Error-Monitoring
Wir sehen Fehler sofort — inkl. Alerts bei ungewöhnlichen Zugriffsmustern. Personenbezogene Daten werden in Fehler-Reports automatisch redigiert.
Zugangs­kontrolle
Rollenbasierte Berechtigungen (Techniker / Team-Owner / Admin). Session-Tokens signiert, kurzlebig, revocable bei Verdacht.
Löschung & Portabilität
Auf Anfrage: vollständiger DSGVO Art. 20 Export deiner Daten als JSON + Widerruf jeder Verarbeitung nach Art. 17 (Recht auf Vergessen).
Automatische Backups
Tägliche verschlüsselte Backups mit 14-Tage-Rotation. Point-in-Time-Recovery bei kritischen Vorfällen.
DEINE RECHTE

Was du jederzeit tun kannst

Art.
15
Auskunftsrecht
Du kannst jederzeit fragen, welche Daten wir über dich speichern und wozu wir sie verarbeiten.
Art.
16
Berichtigung
Falsche Daten werden auf Anfrage korrigiert.
Art.
17
Löschung („Recht auf Vergessen")
Wir löschen deine personenbezogenen Daten, sobald der Verarbeitungszweck entfällt und keine gesetzliche Aufbewahrungspflicht (z. B. § 147 AO) entgegensteht.
Art.
20
Datenportabilität
Du bekommst deine Auftragsdaten in maschinenlesbarer Form (JSON) exportiert.
Art.
21
Widerspruch
Du kannst der Verarbeitung insbesondere für Direktwerbung jederzeit widersprechen.
Art.
77
Beschwerde bei einer Aufsichtsbehörde
Du hast das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde — für Deutschland i. d. R. die Landesdatenschutzbehörde deines Bundeslandes.

Anfragen bearbeiten wir innerhalb von 30 Tagen nach Erhalt, Bestätigung deiner Identität und ggf. Rückfragen zum Umfang. Auf Wunsch maschinenlesbar (JSON).

KONTAKT & DOKUMENTE

Verantwortlicher und weiterführende Unterlagen

Datenschutz-Kontakt
myHVACpro
Kontaktdaten und vollständige Angaben zum Verantwortlichen im Sinne von DSGVO Art. 4 Nr. 7:
Impressum & Verantwortlicher
Für DSGVO-Anfragen, Auskunft, Löschung, Widerspruch oder AVV-Bezug: Nutze die im Impressum genannte E-Mail-Adresse — Betreff bitte mit „Datenschutz-Anfrage“ kennzeichnen.
Support: support@myhvac-pro.de — Antwort werktags innerhalb von 24 Stunden.
EIN WORT ZUM SCHLUSS

Wenn du etwas findest, das hier nicht klar oder nicht korrekt ist — sag es uns.

Öffentliche Kritik nehmen wir ernst. Wir aktualisieren diese Seite, sobald sich an unseren Sub-Prozessoren, Datenflüssen oder Sicherheitsmaßnahmen etwas ändert — dokumentiert und datiert.

Letzte Aktualisierung: 12. Juli 2026