Treuekarte und DSGVO: Was du als Laden wissen solltest

Auch eine digitale Treuekarte ohne Namen fällt in der Regel unter die DSGVO, weil eine zufällige Kartennummer mit Stempeln als pseudonymes und damit personenbezogenes Datum gilt. Für dich heißt das vor allem: Rechtsgrundlage benennen, Gäste nach Art. 13 DSGVO informieren, einen AV-Vertrag mit dem Anbieter haben und Löschfristen festlegen. Dieser Ratgeber zum Thema Treuekarte und DSGVO ordnet die wichtigsten Begriffe ein und endet mit einer Checkliste für deinen Laden. Warum eine Karte ohne Namen und E-Mail in der Praxis meist reicht, steht im Ratgeber Treuekarte ohne Kundendaten.

Was personenbezogene Daten sind

Die DSGVO gilt für personenbezogene Daten. Nach Art. 4 Nr. 1 DSGVO sind das alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifizierbar heißt: Die Person lässt sich direkt oder indirekt bestimmen, zum Beispiel über eine Kennnummer oder eine Online-Kennung.

Name, E-Mail-Adresse und Geburtsdatum sind offensichtliche Beispiele. Der Begriff reicht aber weiter. Auch Angaben ohne Namen können personenbezogen sein, wenn sie einer bestimmten Person zugeordnet werden könnten.

Pseudonym ist nicht anonym

Eine digitale Stempelkarte ohne Anmeldung arbeitet meist mit einer zufälligen Kartennummer. Das ist ein großer Schritt in Richtung Datensparsamkeit, macht die Daten aber in der Regel nicht anonym. Die Kartennummer gehört zu genau einer Karte auf einem bestimmten Handy, und dazu werden Stempel mit Zeitpunkt und Einlösungen gespeichert.

Die DSGVO unterscheidet hier genau: Pseudonymisierte Daten (Art. 4 Nr. 5 DSGVO) lassen sich ohne Zusatzwissen keiner Person zuordnen, bleiben aber personenbezogene Daten, weil ein Bezug grundsätzlich herstellbar ist. Erst wirklich anonyme Daten, bei denen der Bezug mit vernünftigem Aufwand nicht mehr hergestellt werden kann, fallen aus der DSGVO heraus (Erwägungsgrund 26).

Ein Beispiel: Ein Gast zeigt an der Theke seine Karte, dein Team scannt sie, und in diesem Moment lässt sich die Kartennummer einer Person zuordnen, die vor dir steht. Deshalb solltest du eine Karte mit zufälliger Nummer als pseudonym behandeln, nicht als anonym. Hinzu kommen technisch bedingte Daten, etwa IP-Adressen beim Abruf der Karte oder Kennungen, die eine Wallet-Karte zum Aktualisieren braucht.

Ohne Namen heißt weniger Daten, nicht keine Daten.

Treuekarte und DSGVO: die Rechtsgrundlage

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Welche passt, hängt davon ab, wie dein Programm aufgebaut ist und wofür du die Daten nutzt. Häufig diskutiert werden diese Grundlagen:

• Vertrag (Art. 6 Abs. 1 lit. b): Der Gast nimmt am Treueprogramm teil, und die Stempel werden gespeichert, damit er seine Prämie bekommt.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Etwa für Auswertungen wie Besuche oder Stoßzeiten. Hier müssen deine Interessen gegen die der Gäste abgewogen werden.
• Einwilligung (Art. 6 Abs. 1 lit. a): Wird vor allem relevant, wenn du Daten für Werbung erhebst, zum Beispiel für einen E-Mail-Newsletter.

Welche Grundlage in deinem Fall trägt, klärst du im Zweifel mit deiner Datenschutzberatung. Wichtig ist, dass du sie für jeden Zweck benennen kannst und sie in deiner Datenschutzinformation auftaucht.

Informationspflichten nach Art. 13 DSGVO

Wenn du Daten bei deinen Gästen erhebst, musst du sie zu diesem Zeitpunkt informieren. Art. 13 DSGVO legt fest, was dazugehört: wer verantwortlich ist, welche Daten zu welchem Zweck verarbeitet werden, auf welcher Rechtsgrundlage, an wen sie gehen, wie lange sie gespeichert werden und welche Rechte die Gäste haben.

Bei einer Wallet-Karte bietet sich die Seite an, die der Gast nach dem Scan des QR-Codes sieht, also bevor er die Karte hinzufügt. Dort sollte ein gut auffindbarer Link zu deiner Datenschutzerklärung stehen, ebenso dein Impressum. Kurz und verständlich ist besser als lang und verklausuliert.

Auftragsverarbeitung nach Art. 28 DSGVO

Nutzt du für deine Treuekarte einen externen Dienst, bist in der Regel du der Verantwortliche für die Daten deiner Gäste. Der Anbieter verarbeitet sie in deinem Auftrag und nach deinen Weisungen, er ist dann Auftragsverarbeiter. Für diese Konstellation verlangt Art. 28 DSGVO einen Vertrag, den sogenannten AV-Vertrag.

Der AV-Vertrag regelt unter anderem, welche Daten zu welchem Zweck verarbeitet werden, welche technischen und organisatorischen Schutzmaßnahmen gelten, welche weiteren Dienstleister (Unterauftragsverarbeiter) eingebunden sind und was mit den Daten nach Vertragsende passiert. Bei getStampd gilt der AV-Vertrag, der mit den AGB Vertragsbestandteil wird. Lies ihn trotzdem einmal durch und lege ihn zu deinen Unterlagen.

Wo die Daten gespeichert werden

Für viele Betriebe ist der Speicherort ein wichtiges Kriterium. Liegen die Daten innerhalb der EU, entfallen für diesen Teil die zusätzlichen Fragen, die sich bei einer Übermittlung in Drittländer stellen. Frag deinen Anbieter konkret, wo Datenbank und Server stehen und welche Unterauftragsverarbeiter beteiligt sind.

Bei getStampd stehen Datenbank und Server in Frankfurt, Werbe-Tracker werden nicht eingesetzt. Für die Webseite mit Speisekarte, die Gäste über den QR-Code am Tisch öffnen, gilt dasselbe: keine Werbe- oder Analyse-Cookies, und die Aufrufstatistik zählt nur Tagessummen, ohne Cookie und ohne IP-Adresse. Beachte außerdem: Die Wallet selbst ist eine App von Apple bzw. Google auf dem Handy des Gastes. Darauf hast du keinen Einfluss, es kann aber sinnvoll sein, das in deiner Datenschutzinformation zu erwähnen.

Löschen und Aufbewahren

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist (Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Für eine Treuekarte heißt das: Überlege dir, wie lange Stempel und Kartendaten sinnvoll aufbewahrt werden, etwa solange eine Karte aktiv genutzt wird, und was danach mit inaktiven Karten passiert.

Gäste haben außerdem Rechte auf Auskunft und Löschung. Bei pseudonymen Karten kannst du eine Person oft nicht ohne Weiteres zuordnen. Zeigt ein Gast aber seine Karte vor, kann er damit belegen, welche Daten zu ihm gehören. Kläre mit deinem Anbieter, wie solche Anfragen praktisch bearbeitet werden.

Der Unterschied zu Programmen mit Kundendaten

Viele Treueprogramme fragen bei der Anmeldung Name, E-Mail-Adresse, Telefonnummer oder Geburtstag ab. Das kann nützlich sein, bringt aber deutlich mehr Pflichten mit sich:

• Einwilligung für Werbung: Für Werbung per E-Mail oder SMS brauchst du in der Regel eine ausdrückliche Einwilligung, die du nachweisen können musst.
• Freiwilligkeit: Die Teilnahme am Programm sollte nicht davon abhängen, dass der Gast Werbung zustimmt, wenn die Werbung für das Programm gar nicht nötig ist.
• Mehr Informationspflichten: Jedes zusätzliche Datenfeld braucht einen Zweck, eine Rechtsgrundlage und eine Erklärung.
• Mehr Schutzbedarf: Kontaktdaten sind für Missbrauch interessanter als eine zufällige Kartennummer. Eine Datenpanne wiegt entsprechend schwerer.
• Mehr Verwaltung: Auskunft, Berichtigung, Widerruf und Löschung müssen für jede Person zuverlässig funktionieren.

Warum für eine reine Stempelkarte oft gar keine Kontaktdaten nötig sind und was du trotzdem auswerten kannst, erklärt der Ratgeber Treuekarte ohne Kundendaten. Gäste ansprechen kannst du auch ohne E-Mail-Adresse, über Mitteilungen der Wallet-Karte, wie in Mitteilungen über die Wallet-Karte beschrieben.

Checkliste für deinen Laden

Diese Punkte helfen dir, das Thema strukturiert anzugehen. Sie ersetzen keine Prüfung im Einzelfall, decken aber die typischen Fragen ab:

1. 1Klären, welche Daten deine Treuekarte tatsächlich verarbeitet, inklusive technischer Daten.
2. 2Prüfen, ob du wirklich Namen, E-Mails oder Geburtstage brauchst. Wenn nicht: weglassen.
3. 3Für jeden Zweck die Rechtsgrundlage festhalten.
4. 4Datenschutzerklärung um die Treuekarte ergänzen und auf der Seite verlinken, die Gäste nach dem Scan sehen.
5. 5Impressum vollständig hinterlegen.
6. 6AV-Vertrag mit dem Anbieter prüfen und ablegen.
7. 7Speicherort und Unterauftragsverarbeiter beim Anbieter erfragen.
8. 8Festlegen, wie lange Daten gespeichert und wann sie gelöscht werden.
9. 9Die Treuekarte in dein Verzeichnis von Verarbeitungstätigkeiten aufnehmen, falls du eines führst oder führen musst.
10. 10Einen Ablauf für Auskunfts- und Löschanfragen festlegen.
11. 11Team-Zugänge nach Rollen vergeben und ausgeschiedene Mitarbeitende entfernen.

Weitere Antworten rund um Karte, Wallet und Datenschutz findest du in den häufigen Fragen.