In Kürze
- Eine digitale Kundenkarte verarbeitet personenbezogene Daten. Die DSGVO greift immer.
- Du brauchst: Rechtsgrundlage (Einwilligung oder Vertrag), AVV, Datenschutzerklärung, Lösch-Prozess.
- US-Anbieter sind seit Schrems-II problematisch. Hosting in der EU/DE ist der sichere Pfad.
- Pflicht-Rechte für Kunden: Auskunft, Berichtigung, Löschung, Datenportabilität.
- Abmahnrisiko ist real: fehlende Einwilligungen für Werbung und fehlende AVV sind typische Angriffspunkte.
Kundendaten sind wertvoll und gleichzeitig juristischer Sprengstoff. Wer 2026 eine digitale Kundenkarte betreibt, verarbeitet personenbezogene Daten und fällt damit voll unter die DSGVO. Die gute Nachricht: für Kleinbetriebe ist das machbar, wenn du es einmal sauber aufsetzt. Dieser Leitfaden zeigt, wo die Stolperfallen liegen, wer haftet und wie du mit einer 10-Punkt-Checkliste auf der sicheren Seite landest.
Welche Daten erfasst eine digitale Kundenkarte?
Eine typische Kundenkarte speichert: Name (optional), E-Mail, Geburtsdatum (optional, für den Geburtstags-Bonus), Punktestand, Transaktionshistorie, Filiale des Scans, Gerätedaten (Browser, IP). Jede dieser Informationen kann im Sinne der DSGVO personenbezogen sein, auch wenn du die E-Mail nicht mit einem Klarnamen verknüpfst.
Heißt: Du brauchst für jede Datenkategorie eine Rechtsgrundlage, einen Verarbeitungszweck und einen Speicher-Zeitraum. Klingt nach Bürokratie, ist bei seriösen Anbietern aber schon fertig eingerichtet.
Die zwei Rechtsgrundlagen, die du kennen musst
Einwilligung (Art. 6 Abs. 1 lit. a)
Nötig für Werbung (Push, E-Mail), Weitergabe an Dritte und Profilbildung. Anforderungen: freiwillig, informiert, aktiv gesetzt (kein vorgeklicktes Häkchen), jederzeit widerrufbar. Die Einwilligung musst du dokumentieren mit Zeitstempel, IP und Wortlaut.
Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Nötig für die reine Punkte-Verwaltung, das Einlösen von Prämien und die Kommunikation zur Transaktion. Dafür reicht die Registrierung fürs Programm, keine separate Einwilligung. Wichtig: der Zweck muss eng gefasst sein.
Merksatz: Alles, was der Kunde braucht, damit Punkte funktionieren = Vertrag. Alles, was du zusätzlich senden willst = Einwilligung.
Der Auftragsverarbeitungsvertrag (AVV): nicht optional
Wenn du einen externen Anbieter nutzt (Treuli, Stempely, Stamsy etc.), ist dieser Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Du brauchst mit ihm einen schriftlichen AVV, der regelt:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Pflichten des Anbieters (TOMs, Mitarbeiter-Verschwiegenheit)
- Sub-Unternehmer (z.B. Hosting-Provider)
- Löschpflichten nach Vertragsende
- Audit-Rechte und Meldepflichten bei Verstößen
Treuli stellt den AVV automatisch im Admin bereit: einmal herunterladen, unterschreiben, archivieren. Wenn ein Anbieter dafür Geld verlangt oder erst ein Verkaufsgespräch ansetzt, ist das ein Warnsignal.
Hosting-Land: warum Deutschland ein Kaufargument ist
Nach dem Schrems-II-Urteil (2020) ist der Datenexport in die USA rechtlich heikel. Das 2023 beschlossene EU-US Data Privacy Framework mildert das, wird aber vor Gericht vermutlich nochmal gekippt. Aufsichtsbehörden wie die LDI NRW oder das BayLDA bewerten US-Hosting skeptisch.
Alternativen in absteigender Rechtssicherheit:
| Hosting | Rechtssicherheit | Beispiel-Anbieter |
|---|---|---|
| 🇩🇪 Deutschland | ★★★★★ maximal | Treuli (Deutschland), Stemp.app |
| 🇪🇺 EU (andere Länder) | ★★★★ sehr gut | Stamsy |
| 🇬🇧 UK | ★★★ gut (Angemessenheit) | einzelne Kundenkarten-Anbieter |
| 🇺🇸 USA | ★★ umstritten | LoyaltyLion, Smile.io |
| Sonstige Drittländer | ★ problematisch | vermeiden |
Rechte deiner Kunden: was du umsetzen musst
Auskunftsrecht (Art. 15)
Kunde fragt: „Welche Daten habt ihr über mich?" Du antwortest binnen 30 Tagen mit einer strukturierten Übersicht. Bei Treuli ist das ein Klick im Kundenkonto, von Hand machen musst du nichts.
Berichtigungsrecht (Art. 16)
Kunde korrigiert Namen, E-Mail, Geburtsdatum. Das erledigt er selbst im Kundenprofil.
Löschrecht (Art. 17)
Kunde verlangt Kontolöschung. Profil binnen 30 Tagen löschen; handelsrechtlich relevante Umsatzdaten bleiben anonymisiert 10 Jahre liegen.
Datenportabilität (Art. 20)
Kunde verlangt einen strukturierten Export (JSON oder CSV) zum Anbieterwechsel. Bei Treuli ist das eingebaut.
Widerspruchsrecht (Art. 21)
Kunde widerspricht der Werbung, die Abmeldung muss sofort greifen.
10-Punkt-Checkliste
Arbeite diese Liste vor dem Programm-Launch einmal durch. Jeder Punkt schützt dich vor einer typischen Abmahnung oder Bußgeld-Situation.
- AVV unterzeichnet und archiviert (digital reicht, DocuSign/Adobe Sign etc.).
- Datenschutzerklärung aktualisiert: Kundenkarten-Anbieter explizit genannt, Zweck, Rechtsgrundlage, Speicherdauer.
- Einwilligung bei der Registrierung dokumentiert (Zeitstempel, IP, Wortlaut), separate Checkboxen für Programmteilnahme und Marketing.
- Hosting-Land geprüft: EU-Standard erfüllt, idealerweise Deutschland.
- Sub-Unternehmerliste des Anbieters gelesen (z.B. Hosting- Provider, E-Mail-Versender).
- Lösch-Prozess getestet: Muster-Kunde anlegen, Löschung auslösen, danach nachsehen, ob die Daten wirklich weg sind.
- Export-Funktion getestet: CSV oder JSON, enthält alle personenbezogenen Felder.
- Aufbewahrungsfristen definiert: aktiv unbegrenzt, inaktiv 24 Monate, dann anonymisieren.
- Notfallplan: Wer meldet wen innerhalb 72 Stunden bei einem Datenleck.
- DSB-Check: Brauche ich einen Datenschutzbeauftragten? (Meist nein bei Einzelbetrieben, aber bewusst prüfen.)
Typische Abmahngründe und wie du sie vermeidest
Fehlende Einwilligung für Push-Nachrichten
Klassiker. Kunde registriert sich, bekommt direkt Push-Werbung, ohne je zugestimmt zu haben. Lösung: beim ersten App-Öffnen zwei getrennte Dialoge. „Push für Punkteupdates" und „Push für Werbeaktionen".
Cookie-Banner ohne Ablehnen-Knopf
Wenn deine Kundenkarten-Seite Cookies zur Auswertung setzt, brauchst du einen Banner mit klarem „Ablehnen", nicht nur „Mehr Infos". Bei Treuli laufen nur die technisch nötigen Cookies, dazu eine anonyme Besucherzählung, die du abschalten kannst.
Kundendaten an Dritte ohne Grundlage
E-Mail-Liste an ein befreundetes Café weitergeben? Ohne Einwilligung ist die Abmahnung garantiert. Datenaustausch zwischen Standorten desselben Unternehmens ist ok, zwischen unterschiedlichen Rechtspersonen nicht.
Was du beim Anbieter-Wechsel beachten musst
Wenn du von einem Anbieter zum nächsten wechselst:
- Export anfordern (JSON/CSV mit vollständiger Kundenliste).
- Alten AVV kündigen, Löschbestätigung einholen (schriftlich!).
- Neuen AVV unterzeichnen bevor du Daten hochlädst.
- Kunden per Newsletter informieren („Wir wechseln den Anbieter, deine Punkte sind übertragen").
- Alten Zugang erst schließen, wenn der Umzug bestätigt ist.
Fazit
DSGVO ist kein Grund, auf ein Treueprogramm zu verzichten. Sie ist ein Grund, es sauber aufzusetzen. Mit einem Anbieter, der AVV, deutsches Hosting und Export standardmäßig liefert, ist der größte Teil der Arbeit erledigt. Den Rest machst du mit der Checkliste oben an einem Nachmittag. Treuli liefert alle DSGVO-Bausteine in jedem Tarif,inklusive kostenlosem Free-Plan: Hosting in Deutschland, AVV auf Knopfdruck, vollständiger Export, automatische Löschung. Einmal richtig eingerichtet, hast du für die nächsten Jahre Ruhe.
Datenschutz ist kein Häkchen, das du setzt, sondern die Grundlage für Vertrauen. Ein Kunde, der seinem Lieblings-Café die E-Mail gibt, will wissen, dass sie gut aufgehoben ist. Das richtige Setup ist der günstigste Weg, dieses Vertrauen nicht zu verspielen.