Digitale Kundenkarte & DSGVO: Was du wissen musst (inkl. Checkliste)

Kundendaten sind wertvoll und gleichzeitig juristischer Sprengstoff. Wer 2026 eine digitale Kundenkarte betreibt, verarbeitet personenbezogene Daten und fällt damit voll unter die DSGVO. Die gute Nachricht: für Kleinbetriebe ist das machbar, wenn du es einmal sauber aufsetzt. Dieser Leitfaden zeigt, wo die Stolperfallen liegen, wer haftet und wie du mit einer 10-Punkt-Checkliste auf der sicheren Seite landest.

Welche Daten erfasst eine digitale Kundenkarte?

Eine typische Loyalty-Lösung speichert: Name (optional), E-Mail, Geburtsdatum (optional, für den Birthday-Bonus), Punktestand, Transaktionshistorie, Filiale des Scans, Gerätedaten (Browser, IP). Jede dieser Informationen kann im Sinne der DSGVO personenbezogen sein, auch wenn du die E-Mail nicht mit einem Klarnamen verknüpfst.

Heißt: Du brauchst für jede Datenkategorie eine Rechtsgrundlage, einen Verarbeitungszweck und einen Speicher-Zeitraum. Klingt nach Bürokratie, ist bei seriösen Anbietern aber schon fertig eingerichtet.

Die zwei Rechtsgrundlagen, die du kennen musst

Einwilligung (Art. 6 Abs. 1 lit. a)

Nötig für Marketing-Kommunikation (Push, E-Mail), Weitergabe an Dritte und Profilbildung. Anforderungen: freiwillig, informiert, aktiv gesetzt (kein vorgeklicktes Häkchen), jederzeit widerrufbar. Die Einwilligung musst du dokumentieren mit Zeitstempel, IP und Wortlaut.

Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Nötig für die reine Punkte-Verwaltung, das Einlösen von Prämien und die Kommunikation zur Transaktion. Dafür reicht die Registrierung fürs Programm, keine separate Einwilligung. Wichtig: der Zweck muss eng gefasst sein.

Merksatz: Alles, was der Kunde braucht, damit Punkte funktionieren = Vertrag. Alles, was du zusätzlich senden willst = Einwilligung.

Der Auftragsverarbeitungsvertrag (AVV): nicht optional

Wenn du einen externen Anbieter nutzt (Treuli, Stempely, Stamsy etc.), ist dieser Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Du brauchst mit ihm einen schriftlichen AVV, der regelt:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Pflichten des Anbieters (TOMs, Mitarbeiter-Verschwiegenheit)
• Sub-Unternehmer (z.B. Hosting-Provider)
• Löschpflichten nach Vertragsende
• Audit-Rechte und Meldepflichten bei Verstößen

Treuli stellt den AVV automatisch im Admin bereit: einmal herunterladen, unterschreiben, archivieren. Wenn ein Anbieter dafür Geld verlangt oder erst einen Sales-Call ansetzt, ist das ein Warnsignal.

Hosting-Land: warum Deutschland ein Kaufargument ist

Nach dem Schrems-II-Urteil (2020) ist der Datenexport in die USA rechtlich heikel. Das 2023 beschlossene EU-US Data Privacy Framework mildert das, wird aber vor Gericht vermutlich nochmal gekippt. Aufsichtsbehörden wie die LDI NRW oder das BayLDA bewerten US-Hosting skeptisch.

Alternativen in absteigender Rechtssicherheit:

Rechte deiner Kunden: was du umsetzen musst

Auskunftsrecht (Art. 15)

Kunde fragt: „Welche Daten habt ihr über mich?" Du antwortest binnen 30 Tagen mit einer strukturierten Übersicht. Bei Treuli ist das ein Klick im Kunden-Dashboard, manuelle Arbeit fällt für dich nicht an.

Berichtigungsrecht (Art. 16)

Kunde korrigiert Namen, E-Mail, Geburtsdatum. Self-Service im Kundenprofil ist Standard.

Löschrecht (Art. 17)

Kunde verlangt Kontolöschung. Profil binnen 30 Tagen löschen; handelsrechtlich relevante Umsatzdaten bleiben anonymisiert 10 Jahre liegen.

Datenportabilität (Art. 20)

Kunde verlangt einen strukturierten Export (JSON oder CSV) zum Anbieterwechsel. Bei Treuli ist das eingebaut.

Widerspruchsrecht (Art. 21)

Kunde widerspricht Marketing-Kommunikation, Opt-out muss sofort greifen.

10-Punkt-Checkliste

Arbeite diese Liste vor dem Programm-Launch einmal durch. Jeder Punkt schützt dich vor einer typischen Abmahnung oder Bußgeld-Situation.

1. AVV unterzeichnet und archiviert (digital reicht, DocuSign/Adobe Sign etc.).
2. Datenschutzerklärung aktualisiert: Loyalty-Anbieter explizit genannt, Zweck, Rechtsgrundlage, Speicherdauer.
3. Einwilligung bei der Registrierung dokumentiert (Zeitstempel, IP, Wortlaut), separate Checkboxen für Programmteilnahme und Marketing.
4. Hosting-Land geprüft: EU-Standard erfüllt, idealerweise Deutschland.
5. Sub-Unternehmerliste des Anbieters gelesen (z.B. Hosting- Provider, E-Mail-Versender).
6. Lösch-Prozess getestet: Muster-Kunde anlegen, Löschung auslösen, Ergebnis in DB prüfen.
7. Export-Funktion getestet: CSV oder JSON, enthält alle personenbezogenen Felder.
8. Aufbewahrungsfristen definiert: aktiv unbegrenzt, inaktiv 24 Monate, dann anonymisieren.
9. Incident-Response-Plan: Wer meldet wen innerhalb 72 Stunden bei einem Datenleck.
10. DSB-Check: Brauche ich einen Datenschutzbeauftragten? (Meist nein bei Einzelbetrieben, aber bewusst prüfen.)

Typische Abmahngründe und wie du sie vermeidest

Fehlende Einwilligung für Push-Nachrichten

Klassiker. Kunde registriert sich, bekommt direkt Push-Werbung ohne Opt-in. Lösung: beim ersten App-Öffnen zwei getrennte Dialoge. „Push für Punkteupdates" und „Push für Werbeaktionen".

Cookie-Banner ohne Opt-out

Wenn deine Loyalty-Seite Tracking-Cookies nutzt, brauchst du einen Banner mit klarem „Ablehnen", nicht nur „Mehr Infos". Bei Treuli ist das Tracking reduziert auf funktional und anonyme Analytics mit Opt-out-Möglichkeit.

Kundendaten an Dritte ohne Grundlage

E-Mail-Liste an ein befreundetes Café weitergeben? Ohne Einwilligung ist die Abmahnung garantiert. Datenaustausch zwischen Standorten desselben Unternehmens ist ok, zwischen unterschiedlichen Rechtspersonen nicht.

Was du beim Anbieter-Wechsel beachten musst

Wenn du von einem Anbieter zum nächsten wechselst:

• Export anfordern (JSON/CSV mit vollständiger Kundenliste).
• Alten AVV kündigen, Löschbestätigung einholen (schriftlich!).
• Neuen AVV unterzeichnen bevor du Daten hochlädst.
• Kunden per Newsletter informieren („Wir wechseln den Anbieter, deine Punkte sind übertragen").
• Alten Account erst nach bestätigter Migration schließen.

Fazit

DSGVO ist kein Grund, auf ein Treueprogramm zu verzichten. Sie ist ein Grund, es sauber aufzusetzen. Mit einem Anbieter, der AVV, deutsches Hosting und Export standardmäßig liefert, ist der größte Teil der Arbeit erledigt. Den Rest machst du mit der Checkliste oben an einem Nachmittag. Treuli liefert alle DSGVO-Bausteine in jedem Tarif,inklusive kostenlosem Free-Plan: Hosting in Deutschland, AVV auf Knopfdruck, vollständiger Export, automatische Löschung. Einmal richtig eingerichtet, hast du für die nächsten Jahre Ruhe.

Datenschutz ist kein Häkchen, das du setzt, sondern die Grundlage für Vertrauen. Ein Kunde, der seinem Lieblings-Café die E-Mail gibt, will wissen, dass sie gut aufgehoben ist. Das richtige Setup ist der günstigste Weg, dieses Vertrauen nicht zu verspielen.