DSGVO & Kundenkarten: was lokale Betriebe wissen müssen

Eine digitale Kundenkarte ist DSGVO-konform nutzbar, solange du nur die nötigen Daten erhebst, für Marketing eine dokumentierte Einwilligung einholst (am besten per Double-Opt-In) und einen Anbieter wählst, der die Daten DSGVO-konform in der EU verarbeitet und einen Auftragsverarbeitungsvertrag (AVV) bereitstellt. Reine Stempel ohne Namen sind unkritisch — sensibel wird es erst, wenn personenbezogene Daten dazukommen.

Welche Daten brauchst du wirklich?

Für eine reine Stempelkarte brauchst du im Grunde keine personenbezogenen Daten — ein Stempelstand und eine anonyme Karten-Kennung reichen. Datenschutzrechtlich ist das der unkritische Fall. Erst wenn du Vorname, E-Mail oder Geburtstag erfassen willst (etwa für Push-Marketing oder Geburtstagsgutscheine), gilt die DSGVO in vollem Umfang.

Einwilligung: Double-Opt-In

Möchtest du Kunden per Nachricht bewerben, brauchst du deren Einwilligung. Der sichere Weg ist das Double-Opt-In: Der Kunde stimmt aktiv zu und bestätigt anschließend (z. B. per Link). So ist die Einwilligung dokumentiert und nachweisbar — und der Kunde kann sich jederzeit mit einem Klick wieder abmelden.

Worauf du beim Anbieter achten solltest

• EU-Hosting: Werden die Daten auf Servern in der EU verarbeitet?
• Auftragsverarbeitungsvertrag (AVV): Stellt der Anbieter einen AVV nach Art. 28 DSGVO bereit?
• Datensparsamkeit: Lässt sich die Karte auch ohne personenbezogene Daten betreiben?
• Abmeldung: Können Kunden sich einfach abmelden und ihre Daten löschen lassen?
• Transparenz: Gibt es eine klare Datenschutzerklärung?

StampPass ist auf diese Anforderungen ausgelegt: Verarbeitung auf EU-Servern, Marketing nur per Double-Opt-In, Abmeldung mit einem Klick und ein AVV für Händler. Standardmäßig werden keine personenbezogenen Daten erfasst — erst wenn der Kunde Marketing aktiv aktiviert.

Häufige Fragen