Privacy Policy

Datenschutz-Grundverordnung (DSGVO) Information zur Datenverarbeitung gem. Art 13 DSGVO für unser Produkt „elinx“

Gemäß Datenschutz-Grundverordnung sind wir dazu verpflichtet, Sie darüber zu informieren, warum wir Ihre Daten erheben und in welcher Form diese verarbeitet werden. Bitte nehmen Sie sich Zeit für dieses Informationsblatt und verschaffen Sie sich einen Überblick über den Zweck, die Rechtsgrundlagen sowie die Rahmenbedingungen der Verarbeitung.

WER IST FÜR DIE DATENVERARBEITUNG VERANTWORTLICH UND AN WEN KÖNNEN SIE SICH WENDEN?

Verantwortlich für die Datenverarbeitung ist:
Energie Steiermark Kunden GmbH
Leonhardgürtel 10

8010 Graz

E-Mail: datenrecht.kd@e-steiermark.com
UID-Nr.: ATU50646608

Aufsichtsbehörde: E-Control GmbH
Berufsverband: Österreichs E-Wirtschaft

WELCHE DATEN WERDEN VERARBEITET

Wir verarbeiten folgende personenbezogenen Daten:

Personendaten umfassen Titel, Vorname und Nachname.
Kontaktdaten beinhalten private Adresse, berufliche Adresse, Mailadresse, Telefonnummer, Apple-ID,

Google-ID sowie Firmenbuchnummer und Firmen daten.

Vertragsdaten umfassen Tarif und zugeordnete RFID-Karte (Radio-Frequency-Identification-Karte).
Verbrauchsdaten von Ladestellen werden durch CDR (Charge Detail Record) erfasst.
Auftragsdaten umfassen die Gültigkeit des Bankkontos, der Kreditkarte, des Google-Pay-Kontos, des

Apple-Pay-Kontos und die Gültigkeit digitaler Zahlungsmethoden über den Payment-Provider.

Verlaufsdaten beinhalten Standorte, Bezeichnung, Verbrauch und Kosten.
Anlagendaten umfassen die Anlagenummern.
Kenndaten beinhalten Kundennummer, Vertragsnummer, Vertragslaufzeit, Abrechnungszyklus und

Verlauf.

Ortsdaten beinhalten Standortdaten bei Abruf der Karte mit Ladestellen, Navigation und Verlaufsdaten.
Fahrzeugdaten umfassen Modell, Typ, Standort, SoC/Füllstand, Steckerstatus, Reichweite,

Fahrzeugidentifikationsnummer, Kennzeichen, Steckertyp, Ladebegrenzung, Leistung und Ladezeit.

Bei Geschäftskunden erheben wir zusätzlich öffentliche Unternehmensdaten aus Firmenbuch und

Geschäftsbericht, UID-Nummer, Geschäftszwecke, Branchenzugehörigkeit sowie öffentlich verfügbare Wirtschaftsdaten.

Seite 2 | 5

AUS WELCHEN QUELLEN STAMMEN DIESE DATEN?

Wir verarbeiten die personenbezogenen Daten, die wir im Rahmen der Geschäftsbeziehung von Ihnen erhalten haben. Zudem verarbeiten wir Daten aus öffentlich zugänglichen Quellen wie Firmenbuch und Wirtschaftsauskunfteien, die wir zulässigerweise erhalten haben.

FÜR WELCHE ZWECKE UND AUF WELCHER RECHTSGRUNDLAGE WERDEN DIE DATEN VERARBEITET?

Wir verarbeiten Ihre personenbezogenen Daten im Einklang mit den datenschutzrechtlichen Vorschriften.

Zur Erfüllung von vertraglichen Pflichten (Art. 6 Abs. 1 lit b DSGVO):

Die Energie Steiermark Kunden GmbH verarbeitet Ihre Kunden-, Vertrags-, Verbrauchs-, Auftrags, Verlaufs- , Anlage- und Kenndaten sowie ggf. Korrespondenzdaten zur Erfüllung des Vertrages mit Ihnen. Dies umfasst die Abrechnung Ihrer Leistungen, den Versand von Rechnungen und ggf. Mahnungen sowie die Kommunikation zur Abwicklung des Vertrages, die Ermittlung Ihres Verbrauches sowie die Abwicklung von Zahlungen. Rechtsgrundlage für die Verarbeitung und Bereitstellung Ihrer personenbezogenen Daten ist somit die Verarbeitung zur Vertragserfüllung und Vertragsdurchführung. Ohne diese können wir den Vertrag nicht abschließen und abwickeln.

Zur Erfüllung von rechtlichen Verpflichtungen (Art. 6 Abs. 1 lit c DSGVO):

Die Verarbeitung Ihrer Kunden-, Vertrags-, Verbrauchs-, Auftrags, Verlaufs-, Anlage- und Kenndaten sowie ggf. Korrespondenzdaten ist zum Zweck der Erfüllung unserer gesetzlichen Verpflichtungen – die Erstellung des Jahresabschlusses, laufenden steuerrechtlichen Verpflichtungen, im Rahmen von Prüfungen an Rechnungshöfe, zum Zwecke der Bearbeitung Ihrer Betroffenenrechteanfrage gemäß Art. 15 DSGVO erforderlich. Ohne die Bereitstellung Ihrer Daten können wir unseren gesetzlichen Verpflichtungen nicht nachkommen.

Für Profiling und Werbezwecke auf Grundlage unserer berechtigten Interessen (Art. 6 Abs.
1 lit. f DSGVO) und Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 Abs. 3 TKG 2021):

Jene Daten, die wir im Zuge unseres Vertragsverhältnisses mit Ihnen erlangt haben (Kontakt-, Vertrags- und Werbedaten), verarbeiten wir für Profiling (zB Präferenzen) und um Ihnen zum Zwecke der Darstellung und Präsentation unserer Produkte, Dienstleistungen und Durchführung von Gewinnspielen und Marketingmaßnahmen postalische Briefe zukommen zu lassen (Art. 6 Abs. 1 lit f DSGVO), dies jedoch maximal bis 3 Jahre nach Vertragsbeendigung. Gegen diese Verarbeitung Ihrer Daten zum Zwecke der postalischen Direktwerbung haben Sie ein jederzeitiges Widerspruchsrecht ohne Angabe von Gründen, vom dem Sie zum Beispiel durch postalisches Schreiben an Energie Steiermark Kunden GmbH, Leonhardgürtel 10, 8010 Graz oder durch E–Mail an datenrecht.kd@e-steiermark.com Gebrauch machen können. Wenn Sie Ihr Widerspruchsrecht gegen die Datenverarbeitung zum Zwecke der Direktwerbung geltend machen, werden Ihre personenbezogenen Daten mit Wirkung für die Zukunft nicht mehr für postalisches Direktmarketing verarbeitet.

Wenn Sie uns Ihre freiwillige Einwilligung (§ 174 Abs 3 TKG 2021, Art. 6 Abs. 1 lit a DSGVO) zur Verarbeitung Ihrer personenbezogenen Daten für elektronische Direktwerbung (Newsletter, saisonale Grüße, Einladungen zu Veranstaltungen, Zufriedenheitsumfragen per E-Mail) erteilt haben, erfolgt eine Verarbeitung Ihrer Stamm- und Kontaktdaten nur gemäß den in der Einwilligungserklärung festgelegten Zwecken und im darin vereinbarten Umfang. Eine erteilte Einwilligung kann jederzeit grundlos mit Wirkung für die Zukunft widerrufen werden zum Beispiel durch postalisches Schreiben an Energie

Seite 3 | 5

Steiermark Kunden GmbH, Leonhardgürtel 10, 8010 Graz oder durch E–Mail an datenrecht.kd@e- steiermark.com.

Zur Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit f DSGVO):

Soweit erforderlich, kann im Rahmen von Interessenabwägungen zugunsten der Energie Steiermark Kunden GmbH eine Datenverarbeitung über die eigentliche Erfüllung des Vertrags hinaus zur Wahrung berechtigter Interessen von der Energie Steiermark Kunden GmbH erfolgen. In den folgenden Fällen erfolgt eine Datenverarbeitung zur Wahrung berechtigter Interessen:

Prüfung und Optimierung von Verfahren zur Bedarfsanalyse und direkten Kundenansprache sowie Maßnahmen zur Geschäftssteuerung.(Personen-, Kontakt-,Vertrags-, Verbrauchs-, Verlaufs-, Anlage- und Kenndaten);
Werbung für eigene Produkte, Kundenauswertung (Profiling), Markt- und Meinungsforschung,
soweit Sie der Nutzung Ihrer Daten nicht nach Art. 21 DSGVO widersprochen haben (Personen-, Kontakt-, Vertrags-, Verbrauchs-, Verlaufs-, Anlage-, Kenn-, Orts-, und Fahrzeugdaten);
im Rahmen der Rechtsverfolgung zur Abwehr und Geltendmachung von Rechtsansprüchen und zur Bearbeitung und Erfüllung Ihres Auskunftsbegehrens gemäß Art. 15 DSGVO (Personen-, Kontakt-, Vertrags-, Verbrauchs-, Auftrags-, Verlaufs-, Anlage-, Kenn-, Orts-, und Fahrzeugdaten);
Abwicklung von Förderaktionen und Schadensfällen (Personen-, Kontakt-, Vertrags-, Verbrauchs-,

Verlaufs-, Anlage-, Kenn-, Orts- und Fahrzeugdaten);

steuerrechtliche und rechtliche Beratung wie Auditoren und Sachverständige, Beratung sowie IT-

Dienstleistung (Personen-, Kontakt-, Vertrags-, Verbrauchs-, Auftrags-, Verlaufs-, Anlage-, Kenn-, Orts-, und Fahrzeugdaten)

Weiterentwicklung von Produkten (Personen-, Kontakt-, Vertrags-, Verbrauchs-, Verlaufs-, Anlage-

, Kenn-, Orts-, und Fahrzeugdaten);

erforderliche Verwaltungszwecke (Personen-, Kontakt-, Vertrags-, Verbrauchs-, Verlaufs-, Anlage-,

Kenn-, Orts-, und Fahrzeugdaten).

Automatisierte Entscheidungsfindung:

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet, findet nicht statt.

WER ERHÄLT IHRE DATEN?

Innerhalb der Energie Steiermark Kunden GmbH erhalten Ihre Daten diejenigen Stellen bzw. MitarbeiterInnen, die diese zur Erfüllung von vertraglichen und gesetzlichen Pflichten sowie berechtigten Interessen benötigen.. Zur Aufrechterhaltung der Geschäftstätigkeit sowie zur Vertragserfüllung übermitteln wir Ihre personenbezogenen Daten gegebenenfalls im erforderlichen Umfang auch an Dritte/Dienstleister, welche Ihre Dienstleistungen nur ordnungsgemäß erbringen können, wenn sie über ihre personenbezogenen Daten verfügen: IT-, Cloud- sowie Telekommunikations-Dienstleister (u.a.: Netiqs B.V., Netiqs Limited und Stripe Payments Europe, Limited (SPEL)Druck-, Scan- und Datenvernichtungs-Dienstleister (Auftragsverarbeiter) zur

Unterstützung der IT Infrastruktur, Wartung und technischer Unterstützung. Sämtliche Auftragsverarbeiter sind vertraglich entsprechend dazu verpflichtet, Ihre Daten vertraulich zu behandeln und nur im Rahmen der Leistungserbringung und nur auf Basis unserer Weisungen zu verarbeiten.

Außerdem übermitteln wir die personenbezogenen Daten der Betroffenen im erforderlichen Ausmaß an folgende Empfänger:, externe Auditoren und Sachverständige, Rechnungshöfe, Schlichtungsstellen und Behörden (einschl. Gerichte oder Landesregierung und Förderbehörden), Wirtschaftsprüfer und Steuerberater,

Seite 4 | 5

Versicherungen, Ablesedienstleister, Team Intelia GmbH, Inkassodienstleister und Wirtschaftsauskunfteien (KSV 1870 Forderungsmanagement GmbH), Beratungsunternehmen, Netzbetreiber, Energielieferanten, Energiemarkt- Abwicklungsstellen, Anwälte und Unternehmen innerhalb der Energie Steiermark Gruppe (Energie Steiermark AG, Energie Steiermark Green Power GmbH, Next Vertriebs- und Handels GmbH, Energie Steiermark Service GmbH, Energie Steiermark Business GmbH, E1 Wärme und Energie GmbH)und Zahlungsdienstleister, sofern diese die Daten zur Erfüllung ihrer jeweiligen Leistung benötigen.

Nachdem diverse Empfänger und Auftragsverarbeiter regelmäßig wechseln, ist eine diesbezügliche konkrete Benennung nicht möglich.

Internationaler Datentransfer:

Bei internationalen Datentransfers aus dem Europäischen Wirtschaftsraum (EWR) in ein Land außerhalb des EWR erfolgt die Übermittlung Ihrer personenbezogenen Daten entweder auf Grundlage eines aufrechten Angemessenheitsbeschlusses der Kommission. Bei Übermittlungen in Länder außerhalb des EWR, in denen das Schutzniveau von der Europäischen Kommission nicht als angemessen anerkannt wurde, wenden eine der folgenden geeigneten Garantien an, um den Schutz Ihrer personenbezogenen Daten zu gewährleisten: von der Europäischen Kommission erlassene Standarddatenschutzklauseln und angemessene organisatorische und technische Sicherheitsmaßnahmen sowie Durchführung eines Transfer Impact Assessments; Einwilligung im Einzelfall.

Ein Teil der Datenverarbeitung findet in der Google-Cloud statt, welche durch geeignete Sicherheitsgarantien abgesichert ist.

Single Sign On-Anmeldung Google/Apple –(“SSO”):

Die Bereitstellung erfolgt einmalig. Eine weitere Datenverarbeitung durch die Energie Steiermark Kunden GmbH findet zum Zeitpunkt der Anmeldung mittels SSO nicht statt. Der SSO-Anbieter kann in Folge weitere Datenverarbeitungen durchführen, so etwa das Setzen von Cookies oder das Erstellen von Nutzerprofilen. Für diese Datenverarbeitung ist die Energie Steiermark Kunden GmbH nicht verantwortlich. Der SSO-Anbieter übermittelt möglicherweise personenbezogene Daten in unsichere Drittländer.

Welche Daten der SSO-Anbieter im Einzelnen erhebt und zu welchem Zweck diese Daten verarbeitet werden, ist der Datenschutzerklärung des jeweiligen SSO-Anbieters zu entnehmen. Die Zugangsdaten zu dem SSO-Dienst werden der Energie Steiermark Kunden GmbH nicht mitgeteilt und verbleiben beim SSO-Anbieter.

Wurde die Anmeldung beim Kundenportal der Energie Steiermark Kunden GmbH über den SSO-Anbieter erfolgreich abgeschlossen, werden vom SSO-Anbieter personenbezogene Daten (User-ID, E-Mail) an die Energie Steiermark Kunden GmbH übermittelt. Diese werden verwendet, um den Nutzer anzumelden.

WIE LANGE WERDEN IHRE DATEN GESPEICHERT?

Wir verarbeiten Ihre personenbezogenen Daten, soweit erforderlich, für die Dauer der gesamten Geschäftsbeziehung (von der Anbahnung, Abwicklung bis zur Beendigung des Vertrags) sowie darüber hinaus für die Dauer unserer gesetzlichen Aufbewahrungs- und Dokumentationsfristen, insbesondere nach §§ 190, 212 Unternehmensgesetzbuch (UGB) und nach der Bundesabgabenordnung (BAO).

Nach § 132 BAO sind steuerrechtlich relevante Bücher, Aufzeichnungen und Belege sieben Jahre aufzubewahren. Daher werden Ihre Daten grundsätzlich nach sieben Jahren nach Vertragsende gelöscht.

Zudem berücksichtigen wir bei der Speicherdauer der gesetzlichen Verjährungsfristen (in der Regel 3 Jahre, ggf. 30 Jahre).

Sollte der Vertrag nicht, oder nicht sofort (beispielsweise aufgrund bestehender Vertragsbindungen) zustande kommen, werden die Daten nach maximal 36 Monaten nach dem letzten Kontakt anonymisiert. Es sei denn eine

Seite 5 | 5

weitere Speicherung ist erforderlich, um gesetzliche Aufbewahrungsfristen zu erfüllen oder dient zur Untersuchung von allfälligen Rechtsstreitigkeiten.

Die Korrespondenz und Unterlagen zur Bearbeitung Ihrer Geltendmachung Ihrer Betroffenenrechte werden zum Nachweis der Erledigung auf Grundlage von Art 6 Abs 1 lit f DSGVO für 18 Monate gespeichert.

Die Verbrauchsvisualisierung im Zusammenhang mit der Ladetätigkeit endet mit Löschung der App bzw. mit der Beantragung und Durchführung der Löschung der Daten über eine Funktion in der App. Nach einjähriger Inaktivität erfolgt eine Abklärung mit Ihnen, ob weiterhin ein Nutzungswunsch Ihrerseits besteht. Sollte eine negative oder keine Rückmeldung von Ihnen erfolgen, wird die Verbrauchsvisualisierung beendet und werden die Daten gelöscht.

Darüber hinaus werden im Falle eines anhängigen Verfahrens oder Rechtsstreits die Daten für die Dauer dieses Verfahrens gespeichert, wenn die Daten als Beweismittel benötigt werden.

Sämtliche personenbezogenen Daten werden routinemäßig nach Ablauf der entsprechend der jeweiligen Rechtsgrundlage festgelegten Frist gelöscht.

WELCHE DATENSCHUTZRECHTE STEHEN IHNEN ZU?

Sie haben bei Vorliegen der gesetzlichen Voraussetzungen ein Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung Ihrer gespeicherten Daten, sowie ein Recht auf Datenübertragbarkeit.

Sie haben das Recht, eine einmal erteile Einwilligung jederzeit grundlos mit Wirkung für die Zukunft zu widerrufen, z. B. per E-Mail an datenrecht.kd@e-steiermark.com.

Darüber hinaus haben Sie ein grundloses Widerspruchsrecht gegen Direktmarketing-Maßnahmen. Auch können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer personenbezogenen Daten zu sonstigen Zwecken widersprechen. In diesem Fall wird die Energie Steiermark Kunden GmbH von der weiteren Verarbeitung Ihrer personenbezogenen Daten absehen, es sei denn, sie kann zwingende schutzwürdige Gründe für die Verarbeitung zu anderen als Direktmarketingzwecken nachweisen, welche die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sollten Sie von Ihren Rechten Gebrauch machen wollen, können Sie dies formlos, ohne Angabe von Gründen zum Beispiel durch ein postalisches Schreiben an Energie Steiermark Kunden GmbH, Leonhardgürtel 10, 8010 Graz oder per E-Mail an datenrecht.kd@e-steiermark.com tun.

Sie haben gemäß Art 77 DSGVO das Recht, sich insbesondere bei der für uns zuständigen Aufsichtsbehörde zu beschweren, wenn Sie der Meinung sind, dass wir Ihre personenbezogenen Daten nicht rechtmäßig verarbeiten und/oder einen gerichtlichen Rechtsbehelf einzulegen. Die Anschrift der für uns zuständigen Aufsichtsbehörde lautet:

Österreichische Datenschutzbehörde

Barichgasse 40-42

1030 Wien

Sollten Sie noch Fragen zum Inhalt dieses Informationsblattes oder allgemeine Fragen zum Datenschutz haben, können Sie sich gerne auch an unseren Datenschutzbeauftragen per E-Mail an datenschutz@e-steiermark.com oder durch ein postalisches Schreiben an Energie Steiermark Kunden GmbH, z.H. Datenschutzbeauftragter, Leonhardgürtel 10, 8010 Graz, wenden.

Seite 5 | 10

Information on Data Processing under Article 13 GDPR for the Product “elinx”

Gemäß Datenschutz-Grundverordnung sind wir dazu verpflichtet, Sie darüber zu informieren, warum wir Ihre Daten erheben und in welcher Form diese verarbeitet werden. Bitte nehmen Sie sich Zeit für dieses
Informationsblatt und verschaffen Sie sich einen Überblick über den Zweck, die Rechtsgrundlagen sowie die Rahmenbedingungen der Verarbeitung.

Who is responsible for data processing and whom can you contact?

Responsible entity:

Energie Steiermark Kunden GmbH

Leonhardgürtel 10

8010 Graz

E-Mail: datenrecht.kd@e-steiermark.com

VAT No.: ATU50646608

Supervisory authority: E-Control GmbH

Professional association: Austrian Electricity Industry

What data is processed?

We process the following personal data:

Personal data: title, first and last name
Contact data: private and business address, email, phone number, Apple ID, Google ID, company registration

number, company data

Contract data: tariff, assigned RFID card
Consumption data: charging station usage via CDR (Charge Detail Record)
Order data: validity of bank account, credit card, Google Pay, Apple Pay, and other digital payment methods
Usage history: locations, labels, consumption, costs
System data: installation numbers
Identification data: customer number, contract number, duration, billing cycle
Location data: location when accessing charging stations, navigation, usage history
Vehicle data: model, type, location, SoC/charge level, plug status, range, VIN, license plate, plug type, charging

limit, power, duration

For business customers, we also collect public company data from registers and reports, VAT number, business purpose, industry affiliation, and publicly available financial data.

Seite 6 | 10

Sources of data?

We process data received during the business relationship and from publicly accessible sources (e.g., company registers, credit agencies)..

Purpose and legal basis of processing?

We process your personal data in accordance with data protection regulations.

To fulfill contractual obligations (Art. 6(1)(b) GDPR):

Energie Steiermark Kunden GmbH processes your customer, contract, consumption, order, usage history, system, and identification data, as well as any correspondence data, for the purpose of fulfilling the contract with you. This includes billing for services, sending invoices and, if necessary, reminders, communication related to contract execution, determining your consumption, and processing payments. The legal basis for processing and providing your personal data is therefore the necessity of processing for the performance and execution of the contract. Without this data, we cannot conclude or execute the contract.

To fulfill legal obligations (Art. 6(1)(c) GDPR):

The processing of your customer, contract, consumption, order, usage history, system, and identification data, as well as any correspondence data, is necessary for us to comply with our legal obligations. These include the preparation of annual financial statements, ongoing tax obligations, audits by courts of auditors, and the handling of your data subject rights requests in accordance with Article 15 GDPR. Without the provision of your data, we cannot fulfill our legal obligations.

For profiling and marketing purposes based on our legitimate interests (Art. 6(1)(f) GDPR)

and your consent (Art. 6(1)(a) GDPR, § 174(3) TKG 2021):

The data we obtain in the course of our contractual relationship with you (contact, contract, and marketing data) is processed for profiling purposes (e.g., preferences) and to send you postal letters for the presentation and promotion of our products, services, sweepstakes, and marketing campaigns (Art. 6(1)(f) GDPR). This processing is limited to a maximum of three years after the end of the contract.

You have the right to object to this processing for postal direct marketing at any time without providing reasons. You can exercise this right, for example, by sending a letter to Energie Steiermark Kunden

GmbH, Leonhardgürtel 10, 8010 Graz, or by email to datenrecht.kd@e-steiermark.com.

If you object to the processing of your data for direct marketing purposes, your personal data will no longer be used for postal direct marketing from that point forward.

If you have voluntarily given your consent (§ 174(3) TKG 2021, Art. 6(1)(a) GDPR) for the processing of your personal data for electronic direct marketing (e.g., newsletters, seasonal greetings, event invitations, satisfaction surveys via email), your master and contact data will only be processed for the purposes and to the extent specified in the consent declaration.

You may withdraw your consent at any time without providing reasons and with future effect, for example, by sending a letter to Energie Steiermark Kunden GmbH, Leonhardgürtel 10, 8010 Graz, or by email to datenrecht.kd@e-steiermark.com.

To safeguard legitimate interests (Art. 6(1)(f) GDPR):

Where necessary, data processing may go beyond the actual performance of the contract in order to protect the legitimate interests of Energie Steiermark Kunden GmbH. In the following cases, data is processed to safeguard legitimate interests:

Reviewing and optimizing procedures for demand analysis and direct customer engagement, as well as business

management measures (personal, contact, contract, consumption, usage history, system, and identification data).

Advertising for our own products, customer analysis (profiling), market and opinion research, provided you have

not objected to the use of your data under Art. 21 GDPR (personal, contact, contract, consumption, usage history, system, identification, location, and vehicle data).

Legal enforcement, including the defense and assertion of legal claims, and handling your access requests under

Art. 15 GDPR (personal, contact, contract, consumption, order, usage history, system, identification, location, and vehicle data).

Processing of subsidy programs and damage claims (personal, contact, contract, consumption, usage history,

system, identification, location, and vehicle data).

Tax and legal consulting, including auditors and experts, as well as IT services (personal, contact, contract,

consumption, order, usage history, system, identification, location, and vehicle data).

Product development (personal, contact, contract, consumption, usage history, system, identification, location,

and vehicle data).

Necessary administrative purposes (personal, contact, contract, consumption, usage history, system,

identification, location, and vehicle data).

Automated decision-making:

No automated decision-making as defined in Art. 22 GDPR that produces legal effects concerning you takes place.

Who Receives Your Data?

Within Energie Steiermark Kunden GmbH, your data is accessible only to those departments or employees who need it to fulfill contractual, legal, or legitimate interest obligations.

To maintain business operations and fulfill contracts, we may also share your personal data—where necessary—with third parties/service providers who can only perform their services properly if they have access to your personal data. These include:IT, cloud, and telecommunications service providers (e.g., Netiqs B.V., Netiqs Limited, and Stripe Payments

Europe, Limited (SPEL))Print, scanning, and data destruction service providers (processors) supporting IT infrastructure, maintenance, and technical support. All processors are contractually obligated to treat your data confidentially and

process it only as instructed and solely for the purpose of service delivery.

We may also share your personal data, to the extent necessary, with the following recipients:

External auditors and experts,Courts of audit, arbitration bodies, and authorities (including courts, regional governments, and funding agencies),Auditors and tax advisors,Insurance companies,Meter reading service providers,Team Intelia GmbH Debt collection agencies and credit bureaus (e.g., KSV 1870 Forderungsmanagement GmbH),Consulting firms,Network operators,Energy suppliers,Energy market clearing agencies,Legal advisors,Companies within the Energie Steiermark Group (e.g., Energie Steiermark AG, Energie Steiermark Green Power GmbH, Next Vertriebs- und Handels GmbH, Energie

Steiermark Service GmbH, Energie Steiermark Business GmbH, E1 Wärme und Energie GmbH),Payment service providers, if they require the data to fulfill their services.Since recipients and processors may change regularly, it is not possible to provide a complete list.

Seite 7 | 10

International Data Transfers

For transfers of personal data from the European Economic Area (EEA) to countries outside the EEA, the transfer is based either on a valid adequacy decision by the European Commission. If the destination country is not recognized as having an adequate level of data protection, we apply one of the following safeguards: Standard contractual clauses issued by the European Commission, Appropriate organizational and technical security measures,A transfer impact assessment,Consent on a case-by-case basis.

Some data processing takes place in the Google Cloud, which is secured by appropriate safeguards.

Single Sign On-Anmeldung Google/Apple –(“SSO”):

SSO is provided as a one-time login method. Energie Steiermark Kunden GmbH does not process any further data at the time of login via SSO. However, the SSO provider may carry out additional processing, such as setting cookies or creating user profiles. Energie Steiermark Kunden GmbH is not responsible for this processing.

The SSO provider may transfer personal data to insecure third countries. The specific data collected and the purposes of processing are outlined in the SSO provider’s privacy policy. Login credentials remain with the SSO provider and are not shared with Energie Steiermark Kunden GmbH.

Once login to the customer portal via SSO is successful, the SSO provider transmits personal data (user ID, email) to Energie Steiermark Kunden GmbH, which is used solely to authenticate the user.

How Long Will Your Data Be Stored?

We process your personal data, where necessary, for the duration of the entire business relationship (from initiation and execution to termination of the contract) and beyond, in accordance with our legal retention and documentation obligations—particularly under §§ 190 and 212 of the Austrian Commercial Code (UGB) and the Federal Fiscal Code (BAO).According to § 132 BAO, tax-relevant books, records, and documents must be

retained for seven years. Therefore, your data is generally deleted seven years after the end of the contract.

We also take into account statutory limitation periods when determining retention duration (typically 3 years,
in some cases up to 30 years).

If a contract is not concluded—or not immediately concluded (e.g., due to existing contractual
commitments)—the data will be anonymized no later than 36 months after the last contact, unless further storage is required to meet legal retention obligations or to investigate potential legal disputes.

Correspondence and documents related to the exercise of your data subject rights are stored for 18 months as proof of compliance, based on Art. 6(1)(f) GDPR.

Visualization of consumption data related to charging activity ends when the app is deleted or when deletion is requested and executed via a function in the app. After one year of inactivity, we will check with you whether you still wish to use the service. If you respond negatively or not at all, the visualization will be terminated and the data deleted.

In the event of ongoing legal proceedings or disputes, data will be retained for the duration of the proceedings if needed as evidence.

All personal data is routinely deleted after the expiration of the retention period defined by the applicable legal basis.

Seite 8 | 10

What Data Protection Rights Do You Have?

If the legal requirements are met, you have the right to: Access your stored data, rectify inaccurate data, rrase

your datam, restrict the processing of your data, data portability

You also have the right to withdraw any consent you have given at any time without providing a reason and with

future effect—for example, by emailing datenrecht.kd@e-steiermark.com.

In addition, you have the right to object to direct marketing at any time without giving reasons. You may also

object to the processing of your personal data for other purposes at any time for reasons arising from your

particular situation. In such cases, Energie Steiermark Kunden GmbH will cease processing your personal data

unless it can demonstrate compelling legitimate grounds for the processing that override your interests, rights,

and freedoms, or if the processing serves the establishment, exercise, or defense of legal claims.

If you wish to exercise your rights, you may do so informally and without providing reasons—for example, by

sending a letter to Energie Steiermark Kunden GmbH, Leonhardgürtel 10, 8010 Graz, or by email

to datenrecht.kd@e-steiermark.com.

According to Article 77 GDPR, you also have the right to lodge a complaint with the supervisory authority if you believe that your personal data is not being processed lawfully and/or to seek judicial remedy. The competent supervisory authority is:

Austrian Data Protection Authority

Barichgasse 40–42

1030 Vienna

If you have any questions about the content of this information sheet or general questions about data
protection, you are welcome to contact our Data Protection Officer by email at datenschutz@e-
steiermark.com or by post at Energie Steiermark Kunden GmbH, Attn: Data Protection Officer, Leonhardgürtel
10, 8010 Graz.