Datenschutzerklärung

1. Kurz zusammengefasst

• Digitale Stempelkarten von getStampd funktionieren ohne Namen, E-Mail-Adresse oder Kundenkonto. Wir speichern nur, was nötig ist, damit deine Karte Stempel sammeln und sich in deiner Wallet aktualisieren kann.
• Auf unseren Webseiten gibt es keine Analyse- oder Werbe-Tracker und keine Cookies zu Marketingzwecken.
• Datenbank und Server-Funktionen laufen in der EU (Frankfurt am Main).
• Für die Stempelkarte ist das Unternehmen verantwortlich, das sie ausgibt. getStampd arbeitet dabei in dessen Auftrag (Auftragsverarbeitung).
• Daten, die nicht mehr gebraucht werden, löschen wir automatisch nach festen Fristen (Abschnitt 11).

2. Verantwortlicher

getStampd – Christoph Stauch An der alten Tuchfabrik 47, 52078 Aachen E-Mail: kontakt@getstampd.de Telefon: +49 1567 8392686

Einen Datenschutzbeauftragten müssen wir nicht benennen. Für alle Fragen zum Datenschutz erreichst du uns unter der genannten E-Mail-Adresse.

3. Wer ist wofür verantwortlich?

• Stempelkarten, Tisch-Seiten und Speisekarten der Unternehmen: Verantwortlich im Sinne der DSGVO ist das Unternehmen, das die Stempelkarte ausgibt bzw. die Seite anbietet (z. B. dein Café, deine Lounge oder dein Nagelstudio). getStampd verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich nach dessen Weisung. Die Abschnitte 5, 5a und 6 beschreiben diese Verarbeitung zu deiner Information; Anfragen kannst du an das Unternehmen oder an uns richten – wir leiten sie weiter.
• Unsere Webseite, Firmenkonten, Firmen-App, Abrechnung und Support: Hier sind wir selbst verantwortlich (Abschnitte 4 und 7 bis 9).

4. Besuch unserer Webseiten

Hosting und Server-Protokolle

Unsere Webseiten (getstampd.de mit allen Subdomains) werden bei Vercel gehostet; die Server-Funktionen laufen im Rechenzentrum Frankfurt am Main, statische Inhalte werden über ein weltweites Auslieferungsnetz vom nächstgelegenen Standort geladen. Beim Aufruf verarbeitet der Server technisch bedingt deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die übertragene Datenmenge sowie Browser- und Betriebssystem-Informationen. Das ist nötig, um die Seite auszuliefern und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Die Protokolle werden nur kurzzeitig gespeichert und anschließend automatisch gelöscht.

Cookies und lokale Speicherung

Wir setzen nur Cookies und Einträge im lokalen Speicher deines Browsers (Web Storage) ein, die für eine von dir genutzte Funktion unbedingt erforderlich sind. Analyse-, Werbe- oder Drittanbieter-Cookies setzen wir nicht ein. Für die Speicherung und das Auslesen dieser Einträge ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b bzw. f DSGVO. „Lokaler Speicher“ bleibt im Browser, bis du die gespeicherten Daten der Webseite löschst; „lokaler Speicher (Tab)“ wird beim Schließen des Browser-Tabs gelöscht. Einträge im lokalen Speicher werden nicht automatisch an unseren Server übertragen.

Nur im Admin-Bereich (admin.getstampd.de), also für unser eigenes Team, kommen weitere notwendige Cookies hinzu: gs_admin_view (Ansicht einer Firma zu Supportzwecken, 30 Minuten), social_oauth_state und social_meta_pick (Verbindung mit unserem Instagram-Konto, je 10 Minuten) und __prerender_bypass (Vorschau von Entwürfen der Webseite, bis zum Schließen des Browsers) sowie im lokalen Speicher social.ideas.collapsed (ob die Ideenleiste im Redaktionsplan eingeklappt ist).

Schriftarten

Schriftarten liefern wir von unserem eigenen Server aus. Beim Seitenaufruf wird keine Verbindung zu Google oder anderen Schriftanbietern aufgebaut.

Fehlerberichte (Sentry)

Damit wir technische Fehler schnell bemerken und beheben, melden Webseite, Firmenbereich und Firmen-App Programmfehler an den Dienst Sentry (Functional Software Inc., Rechenzentrum in Frankfurt am Main, EU-Region). Übermittelt werden nur die Fehlermeldung mit der Stelle im Programmcode, die aufgerufene Seite ohne Parameter, Browser bzw. Gerätemodell, Betriebssystem und App-Version. IP-Adressen, Cookies, Namen, E-Mail-Adressen und Inhalte übermitteln wir nicht; Fehlerberichte aus dem Browser und aus der Firmen-App laufen über unseren eigenen Server, sodass Sentry deine IP-Adresse nicht erhält. Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien, sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Sentry besteht ein Vertrag zur Auftragsverarbeitung; Fehlerberichte werden nach 90 Tagen gelöscht.

Link-Seite (getstampd.de/links)

Auf unseren Link-Seiten (z. B. aus unserem Instagram-Profil, von Flyern oder Aufklebern) zählen wir Aufrufe und Klicks, damit wir sehen, welche Links und welche Kanäle (z. B. Instagram oder Flyer) Interesse wecken. In unserer Datenbank speichern wir dafür nur die Seite, den angeklickten Link, die Art (Aufruf, Klick oder Anmeldung), den Kanal aus der Adresse (z. B. „?src=flyer“) und den Zeitpunkt, bei einer Anmeldung zusätzlich die dabei angelegte Firma. Wir speichern keine IP-Adressen und keine Browserkennungen und setzen keine Cookies; einzelne Besucher können wir daraus nicht wiedererkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, das Angebot zu verbessern). Die Server-Protokolle des Hosters (siehe oben) bleiben davon unberührt.

Ratgeber (getstampd.de/ratgeber)

Wie oft unsere Ratgeber-Artikel gelesen werden, zählen wir ohne Cookies: Nach dem Laden eines Artikels meldet die Seite unserem Server, welcher Artikel aufgerufen wurde und von welcher Seite du kamst. Gespeichert wird davon nur eine Summe je Artikel und Tag, aufgeteilt nach grober Herkunft (Suchmaschine, soziales Netzwerk, unsere eigenen Seiten, direkter Aufruf oder andere Webseite). Die genaue Herkunftsadresse, deine IP-Adresse und deine Browserkennung speichern wir dafür nicht; die Browserkennung prüfen wir nur, um automatische Abrufe (z. B. Suchmaschinen-Crawler) nicht mitzuzählen. Einzelne Besuche oder Besucher lassen sich daraus nicht erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser Interesse zu sehen, welche Themen hilfreich sind). Die Server-Protokolle des Hosters (siehe oben) bleiben davon unberührt.

Einrichtungs-Assistent (getstampd.de/los)

Im Einrichtungs-Assistenten unter getstampd.de/los zählen wir ohne Bezug zu deiner Person, wie weit Besucher kommen, damit wir den Assistenten verbessern und sehen, welche Kanäle (z. B. eine Anzeige) Interesse wecken. Pro Schritt speichern wir nur den Schritt, die Art (Aufruf, Antwort, Klick auf die Anmeldung, Rückrufwunsch), die Antwort als eine der fest vorgegebenen Auswahlmöglichkeiten (frei eingegebene Texte wie der Name deines Ladens oder eine eigene Prämie werden dabei nicht gespeichert), die Geräteklasse (Smartphone oder Computer), den Kanal aus der Adresse (z. B. „?src=…“) und den Zeitpunkt. Damit die Schritte eines Besuchs zusammengezählt werden können, erhalten sie eine zufällige Kennung, die nur existiert, solange die Seite geöffnet ist. Wir setzen keine Cookies und speichern keine IP-Adressen und keine Browserkennungen. Legst du aus dem Assistenten eine Firma an, speichern wir deine Antworten beim Firmenkonto, um es passend vorzubereiten, und verknüpfen den Besuch mit der angelegten Firma. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, das Angebot zu verbessern), für die Antworten beim Firmenkonto Art. 6 Abs. 1 lit. b DSGVO. Die Schritt-Zählung löschen wir nach 400 Tagen, die Antworten beim Firmenkonto mit dem Konto.

Kontaktformular

Über das Kontaktformular unter getstampd.de/kontakt verarbeiten wir die E-Mail-Adresse, den freiwillig angegebenen Namen, das gewählte Thema und die Nachricht sowie die Browserkennung (User-Agent), um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst lit. f). Die Nachricht wird in unserer Datenbank in Frankfurt am Main gespeichert, unsere Antwort kommt per E-Mail (Versand über Resend). Zum Schutz vor automatisierten Massenanfragen speichern wir für einen Tag einen mit einem geheimen Schlüssel gebildeten Hashwert (HMAC) deiner IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO); die IP-Adresse selbst speichern wir nicht. Captchas oder Dienste von Dritten setzen wir dafür nicht ein. Anfragen über das Kontaktformular löschen wir 12 Monate nach der letzten Nachricht. Dasselbe gilt für Rückrufwünsche aus dem Einrichtungs-Assistenten unter getstampd.de/los: Dort verarbeiten wir Name, Telefonnummer, E-Mail-Adresse, die Wunschzeit und die im Assistenten gegebenen Antworten, um dich zurückzurufen, und löschen sie nach derselben Frist.

Kontakt per E-Mail

Wenn du uns eine E-Mail schreibst, verarbeiten wir deine E-Mail-Adresse und den Inhalt, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst lit. f). Eingehende E-Mails werden über den Dienst ImprovMX an unser Postfach weitergeleitet, ausgehende über Resend versendet. Wir löschen die Korrespondenz, wenn sie erledigt ist und keine gesetzlichen Aufbewahrungspflichten bestehen.

5. Für Gäste: Stempelkarte in Apple Wallet oder Google Wallet

Welche Daten anfallen

• Kartendaten: eine zufällige Kartennummer, ein zufälliger QR-Code und Kartencode, der Stempelstand sowie Plattform (Apple oder Google) und Erstellungszeitpunkt. Keine Namen, keine Kontaktdaten.
• Buchungen: Zeitpunkt und Art jeder Buchung (Stempel, Einlösung, Storno, Korrektur), der Standort und welches Teammitglied gebucht hat. Buchungen werden nicht geändert, sondern bei Fehlern storniert, damit sie nachvollziehbar bleiben.
• Aktualisierung der Karte: Wenn du die Karte in Apple Wallet legst, übermittelt dein Gerät eine Gerätekennung und ein Push-Token, damit sich die Karte nach einem Stempel automatisch aktualisiert. Entfernst du die Karte, wird diese Registrierung gelöscht. Bei Google Wallet erfolgt die Aktualisierung über dein Google-Konto; wir erfahren dabei weder deinen Namen noch deine E-Mail-Adresse.
• Nachrichten und Aktionen: Das Unternehmen kann über die Karte Hinweise senden (z. B. Bonus-Stempel, Gutscheine, „Deine Stempel verfallen bald“). Sie erscheinen als Mitteilung auf deinem Gerät. Wir speichern, welche Karte welche Aktion erhalten hat. Mitteilungen kannst du in den Einstellungen der Karte in deiner Wallet abschalten.
• Standort-Hinweise: Je nach Tarif des Unternehmens enthält die Karte die Koordinaten der Filialen, damit dein Gerät in der Nähe einen Hinweis auf dem Sperrbildschirm zeigen kann. Die Prüfung findet nur auf deinem Gerät statt – dein Standort wird nicht an uns oder das Unternehmen übermittelt.
• Schutz vor Missbrauch: Damit niemand massenhaft Karten abruft, speichern wir bei der Ausgabe einer Karte einen mit einem geheimen Schlüssel gebildeten Hashwert (HMAC) deiner IP-Adresse, aus dem sich die IP-Adresse ohne diesen Schlüssel nicht ermitteln lässt, höchstens sieben Tage lang. Die IP-Adresse selbst speichern wir dafür nicht.
• Cookie: siehe Abschnitt 4 (stampd_card_…).

Zweck und Rechtsgrundlage

Die Daten dienen dazu, dir die Stempelkarte bereitzustellen, Stempel und Prämien zu buchen, Missbrauch zu verhindern und die Karte aktuell zu halten (Art. 6 Abs. 1 lit. b DSGVO – Teilnahme am Treueprogramm des Unternehmens – bzw. lit. f – sicherer Betrieb). Das Unternehmen sieht Auswertungen über Stempel, Einlösungen und Besuchshäufigkeit seiner Karten, aber keine Angaben zu deiner Person.

Bitte um eine Google-Bewertung

Wenn das Unternehmen es eingeschaltet hat, bekommst du nach deiner ersten eingelösten Prämie einmalig eine Mitteilung auf deine Wallet-Karte (etwa 3 Stunden später, nie zwischen 21 und 9 Uhr) mit der Bitte um eine Google-Bewertung. Dafür speichern wir nur, wann die Bitte für deine Karte fällig war und ob sie gesendet wurde, damit du nur einmal gefragt wirst; weitere Daten fallen nicht an. Öffnest du den Link (wallet.getstampd.de/bewerten/…), zählen wir das nur als Tageszahl je Unternehmen und Herkunft (Mitteilung, Karte oder Tisch-Seite); dafür speichern wir keine IP-Adresse und keine Gerätekennung und setzen keine Cookies. Danach leiten wir dich zum Google-Profil des Unternehmens weiter; dort gilt die Datenschutzerklärung von Google. Eine Bewertung ist freiwillig und bringt dir keinen Vorteil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass das Unternehmen Rückmeldungen zu seinem Angebot erhält. Mitteilungen kannst du in den Einstellungen der Karte in deiner Wallet abschalten.

Apple und Google

Wenn du die Karte zu Apple Wallet bzw. Google Wallet hinzufügst, gelten zusätzlich die Datenschutzbestimmungen von Apple bzw. Google. Auf deren Verarbeitung haben weder wir noch das Unternehmen Einfluss.

5a. Für Gäste: Speisekarte und Tisch-Seite

Unternehmen können über getStampd eine eigene Seite anbieten (Tisch-Seite, z. B. über einen QR-Code am Tisch) und darauf Speisekarten, den WLAN-Zugang, Links und ihre Adresse zeigen. Verantwortlich ist – wie bei der Stempelkarte – das Unternehmen; wir stellen die Seiten in dessen Auftrag bereit (Abschnitt 3).

Welche Daten anfallen

• Keine Angaben zu deiner Person: Zum Ansehen brauchst du kein Konto und gibst keine Daten ein. Bestellen oder Bezahlen ist über die Seiten nicht möglich.
• Server-Protokolle: Beim Aufruf verarbeitet der Server technisch bedingt dieselben Daten wie beim Besuch unserer Webseiten (Abschnitt 4, „Hosting und Server-Protokolle“).
• Zählung der Aufrufe: Damit das Unternehmen sieht, wie oft seine Tisch-Seite und seine Speisekarten genutzt werden, zählen wir Aufrufe nur als Tagessumme je Unternehmen, Seite (Tisch-Seite oder Speisekarte), Herkunft aus der Adresse (z. B. der Aufsteller, über den du gekommen bist) und gegebenenfalls Tischnummer. Wir speichern dafür keine IP-Adresse und keine Browserkennung und setzen keine Cookies; einzelne Besuche oder Besucher lassen sich daraus nicht erkennen.
• Sprache: Bietet das Unternehmen mehrere Sprachen an, richtet sich die Sprache nach deiner Auswahl, sonst nach der Spracheinstellung deines Browsers. Wählst du selbst eine Sprache, merkt sich das Cookie stampd_lang diese Wahl (Abschnitt 4). Die Übersetzungen hinterlegt das Unternehmen vorab; beim Aufruf werden keine Daten an Übersetzungsdienste übermittelt.
• Altersabfrage: Vor Speisekarten mit Tabakwaren kann das Unternehmen eine Altersabfrage zeigen. Deine Bestätigung wird nur im lokalen Speicher dieses Browser-Tabs abgelegt (stampd-age-ok) und beim Schließen des Tabs gelöscht. Sie wird nicht an uns oder das Unternehmen übertragen.
• Allergene und Zusatzstoffe: Diese Angaben beziehen sich nur auf die Speisen und Getränke, nicht auf dich. Suche und Filter der Speisekarte laufen in deinem Browser; welche Artikel, Allergene oder Merkmale du dir ansiehst oder auswählst, erfahren wir nicht.
• Links zu anderen Diensten: Links zum Routenplaner, zu Social-Media-Profilen oder zur Google-Bewertung des Unternehmens laden erst beim Antippen Inhalte des jeweiligen Anbieters; ab dann gilt dessen Datenschutzerklärung.

Zweck und Rechtsgrundlage

Die Verarbeitung dient dazu, dir die Speisekarte und die Informationen des Unternehmens digital bereitzustellen und dem Unternehmen ohne Bezug zu einzelnen Gästen zu zeigen, wie seine Seiten genutzt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Unternehmens an einer digitalen Speisekarte und an Nutzungszahlen). Für Cookie und lokalen Speicher gilt § 25 Abs. 2 Nr. 2 TDDDG. Die Tageszählung wird mit dem Firmenkonto gelöscht.

6. Weitergabe von Kartendaten

Kartendaten erhält das ausgebende Unternehmen (nur für die eigenen Karten) sowie die in Abschnitt 10 genannten technischen Dienstleister. Wir verkaufen keine Daten und nutzen sie nicht für eigene Werbung.

7. Für Unternehmen: Konto, Firmen-Backend und Firmen-App

Registrierung und Anmeldung

Für die Registrierung und Anmeldung verarbeiten wir deine E-Mail-Adresse. Die Anmeldung erfolgt per Einmal-Code, den wir dir per E-Mail schicken. Bei der Registrierung kommen Firmenname, gewünschte Adresse der Karten-Seite, Branche und dein Anzeigename hinzu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Für die Sicherheit deines Kontos speichern wir deine angemeldeten Sitzungen mit Zeitpunkt, Browser bzw. Gerät und IP-Adresse. Du siehst sie unter „Mein Konto“ und kannst andere Sitzungen dort beenden (Art. 6 Abs. 1 lit. b und f DSGVO). Eine Sitzung wird beim Abmelden oder Beenden gelöscht, spätestens mit dem Anmeldekonto.

Außerdem protokolliert unser Anmeldedienst (Supabase Auth) jeden Anmelde- und Kontovorgang, etwa Registrierung, Anmeldung, Abmeldung, Erneuerung der Anmeldung, Änderung und Löschung des Kontos, mit Zeitpunkt, Art des Vorgangs, E-Mail-Adresse, interner Kontokennung und IP-Adresse. Die Anmeldungen daraus siehst du ebenfalls unter „Mein Konto“. Das Protokoll dient der Sicherheit des Kontos und der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen es nach 12 Monaten, auch wenn das Konto vorher gelöscht wurde.

Nachweis der Zustimmung zu AGB und AV-Vertrag

Wer eine Firma anlegt, muss den AGB zustimmen; der Vertrag zur Auftragsverarbeitung (AV-Vertrag) ist Bestandteil der AGB. Beim Anlegen der Firma speichern wir beim Firmenkonto den Zeitpunkt der Zustimmung, die Fassung der AGB, die zu diesem Zeitpunkt gilt (Versionsnummer) und das Anmeldekonto der Person, die zugestimmt hat. Das Unternehmen kann diese Angaben nachträglich nicht ändern. Ist noch keine Fassung der AGB im Admin-Bereich veröffentlicht, bleibt die Versionsnummer leer; dann gilt die Fassung, die zum Zeitpunkt der Zustimmung auf unserer Webseite stand. Die Fassung des AV-Vertrags ergibt sich ebenso aus dem Zeitpunkt der Zustimmung. Wir benötigen sie, um den Abschluss des AV-Vertrags nachzuweisen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 28 Abs. 9 DSGVO) und um bei Streitigkeiten belegen zu können, welche Bedingungen vereinbart wurden (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben werden mit dem Firmenkonto gelöscht; wird vorher das Anmeldekonto der zustimmenden Person gelöscht, entfällt der Bezug zu ihr, und es bleiben nur Zeitpunkt und Fassung.

Firmenprofil

Angaben wie Logo, Titelbild, Standorte mit Adresse, Koordinaten und Öffnungszeiten, Telefonnummer, Webseite, Social-Media-Profile und Beschreibungstexte sind für die Veröffentlichung bestimmt und erscheinen auf der Stempelkarte und der Karten-Seite. Bitte trage dort nur Daten ein, die öffentlich sein dürfen.

Team und Buchungen

Für jedes Teammitglied speichern wir E-Mail-Adresse, Anzeigename, Rolle, Status und die ausgeführten Buchungen, damit Rechte durchgesetzt und Buchungen nachvollzogen werden können. Einladungen erfolgen über einen Code oder Link. Für Mitarbeiterdaten in Buchungen ist das jeweilige Unternehmen verantwortlich; wir verarbeiten sie in dessen Auftrag.

Firmen-App

• Kamera: nur zum Scannen von QR-Codes. Bilder werden nicht gespeichert oder übertragen.
• Fotos: nur wenn du selbst ein Logo, Titelbild oder einen Support-Anhang auswählst.
• Standort: nur auf Wunsch einmalig beim Eintragen der Filialadresse („Aktueller Standort“). Kein Standortzugriff im Hintergrund.
• Mitteilungen: für die tägliche Zusammenfassung. Dafür speichern wir ein Push-Token deines Geräts; der Versand läuft über Expo.
• Lokale Speicherung: Die Anmeldung wird verschlüsselt auf dem Gerät gespeichert. Offline erfasste Stempel bleiben bis zur Übertragung auf dem Gerät. Außerdem speichert die App Einstellungen (z. B. die zuletzt gewählte Firma und Filiale), Daten für die Widgets, einen noch nicht angenommenen Einladungscode und einen noch nicht gesendeten Fehlerbericht.
• Updates: Die App lädt Aktualisierungen über den Dienst Expo. Dabei werden technisch bedingt IP-Adresse und Geräteinformationen übermittelt.

Die App enthält keine Werbung und keine Analyse-Tools. Programmfehler meldet sie ohne Personenbezug über unseren Server an Sentry (siehe Abschnitt 4, „Fehlerberichte“).

Adresssuche

Wenn du eine Adresse suchst, sendet unser Server den eingegebenen Suchbegriff (ohne Bezug zu deiner Person) an den Dienst Photon der komoot GmbH, der auf Daten von OpenStreetMap basiert. In der App kann die Umwandlung einer Adresse in Koordinaten auch über den Geocoding-Dienst deines Betriebssystems (Apple bzw. Google) erfolgen.

Support-Chat

Wenn du uns über den Support-Chat schreibst, speichern wir Thema, Nachrichten und Anhänge sowie automatisch die aufgerufene Seite, Browser-Kennung, Bildschirmgröße, Tarif und Rolle, damit wir das Problem nachvollziehen können (Art. 6 Abs. 1 lit. b DSGVO).

E-Mails an Unternehmen

Wir schicken Anmeldecodes, Hinweise zum Konto und Tarif (z. B. Grenzen fast erreicht, Ende der Testphase), Antworten auf Support-Anfragen und einen Monatsbericht. Gelegentlich informieren wir per E-Mail über neue Funktionen und eigene ähnliche Angebote (Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG). Dem Monatsbericht und Informations-E-Mails kannst du jederzeit über den Abmeldelink in jeder E-Mail oder in den Einstellungen widersprechen, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen. Wichtige vertragsbezogene Mitteilungen versenden wir unabhängig davon.

Zugriff durch uns

Unser Team greift auf Firmendaten nur zu, soweit es für Support, Abrechnung, Sicherheit und die Durchsetzung der AGB nötig ist. Der Admin-Bereich ist durch Zwei-Faktor-Anmeldung geschützt; jeder Eingriff wird protokolliert.

8. Zahlung und Abrechnung

Bezahlte Tarife buchst du auf unserer Webseite. Die Zahlungsabwicklung übernimmt Stripe (Stripe Payments Europe, Ltd., Irland). Dabei verarbeitet Stripe Name bzw. Firmenname, Rechnungsadresse, E-Mail-Adresse, ggf. USt-IdNr. sowie die Zahlungsdaten (Karte oder SEPA-Lastschrift). Karten- bzw. Kontodaten erhalten wir nicht vollständig, sondern nur Angaben wie Kartenart und die letzten Ziffern. Stripe prüft Zahlungen zudem zur Betrugsprävention. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. c (steuerliche Pflichten) und lit. f (Betrugsprävention). Ergänzend gilt die Datenschutzerklärung von Stripe.

9. Gutschein- und Empfehlungscodes

Wenn du bei der Registrierung einen Gutschein- oder Empfehlungscode nutzt, speichern wir den Code und ordnen ihn deinem Firmenkonto zu, um Guthaben gutzuschreiben. Das empfehlende Unternehmen erfährt, dass sein Code eingelöst wurde, und erhält eine Dankes-E-Mail; deine Kontaktdaten erhält es nicht.

9a. Werbung per Post an Unternehmen (Flyer)

Wir stellen getStampd lokalen Unternehmen auch per Flyer vor. Dafür erheben wir Firmenname, Geschäftsanschrift, Branche und – falls öffentlich angegeben – den Namen der Inhaberin oder des Inhabers aus öffentlich zugänglichen Quellen (Branchen- und Kartendienste, Impressum der Webseite, Ladenschild) und vermerken die Quelle. Zu jeder Adresse gehört ein persönlicher Code; scannst du ihn oder meldest dich damit an, sehen wir, dass der Flyer angekommen ist (ohne IP-Adresse oder Gerätedaten). Den Scan zählen wir auf unserem Server in dem Moment, in dem der Flyer-Link aufgerufen wird; einen Cookie lesen wir dafür nicht aus. Der Cookie gs_flyer dient nur dazu, dir bei der Registrierung die längere Testphase zu geben (Abschnitt 4). Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung (Art. 6 Abs. 1 lit. f DSGVO). Wir schreiben Unternehmen nur per Post oder persönlich an, nicht per E-Mail oder Telefon.

Ohne Reaktion löschen wir die Adresse sechs Monate nach dem Versand. Du kannst der Werbung jederzeit widersprechen – formlos an kontakt@getstampd.de. Dann löschen wir deine Adresse sofort und speichern nur noch Postleitzahl und Firmennamen in einer Sperrliste, damit wir dich nie wieder anschreiben.

10. Empfänger und Dienstleister

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten nur nach unserer Weisung verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO) bzw. – bei Apple, Google und Stripe – teilweise in eigener Verantwortung.

Übermittlung in Drittländer: Unsere Daten speichern und verarbeiten wir in der EU. Einige Dienstleister haben ihren Sitz in den USA; soweit Daten in die USA oder andere Länder außerhalb der EU übermittelt werden, geschieht das auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (für die USA: EU-U.S. Data Privacy Framework, sofern der Anbieter zertifiziert ist) oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Auf Anfrage stellen wir dir eine Kopie der Garantien zur Verfügung.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Finanz- oder Strafverfolgungsbehörden) oder es zur Durchsetzung unserer Rechte erforderlich ist (Art. 6 Abs. 1 lit. c bzw. f DSGVO).

11. Speicherdauer

Wir löschen Daten, sobald ihr Zweck entfallen ist. Die folgenden Fristen setzen wir automatisch um (tägliche Löschroutine):

12. Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du dem aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Der Verwendung deiner Daten für Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.

Schreib uns dazu an kontakt@getstampd.de. Da Stempelkarten anonym sind, nenne uns für Anfragen zu einer Karte bitte den Kartencode unter dem QR-Code – nur so können wir die Karte zuordnen.

13. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Für Gäste ist die Nutzung der Stempelkarte freiwillig; ohne Kartendaten kann die Karte allerdings nicht funktionieren. Für Unternehmen sind E-Mail-Adresse und Firmenangaben für den Vertragsschluss erforderlich. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

13a. Kinder und Jugendliche

Firmenkonten anlegen und Verträge mit uns schließen dürfen nur volljährige Personen, die für ein Unternehmen (§ 14 BGB) handeln. Teammitglieder lädt das Unternehmen in eigener Verantwortung ein; es ist für sie verantwortlich. Stempelkarten, Tisch-Seiten und Speisekarten der Unternehmen können Gäste ohne Altersgrenze nutzen, weil dabei keine Angaben zur Person erhoben werden. Die Bestätigung der Altersabfrage vor Speisekarten mit Tabakwaren wird nur im Browser-Tab gespeichert (Abschnitt 5a); ein Alter oder Geburtsdatum fragen wir nicht ab.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.