Digitale Kundenkarte & DSGVO: Was du wissen musst (inkl. Checkliste)

Welche Daten erfasst eine digitale Kundenkarte?

Eine typische Kundenkarte speichert: Name (optional), E-Mail, Geburtsdatum (optional, für den Geburtstags-Bonus), Punktestand, Transaktionshistorie, Filiale des Scans, Gerätedaten (Browser, IP). Jede dieser Informationen kann im Sinne der DSGVO personenbezogen sein, auch wenn du die E-Mail nicht mit einem Klarnamen verknüpfst.

Heißt: Du brauchst für jede Datenkategorie eine Rechtsgrundlage, einen Verarbeitungszweck und einen Speicher-Zeitraum. Klingt nach Bürokratie, ist bei seriösen Anbietern aber schon fertig eingerichtet.

Die zwei Rechtsgrundlagen, die du kennen musst

Einwilligung (Art. 6 Abs. 1 lit. a)

Nötig für Werbung (Push, E-Mail), Weitergabe an Dritte und Profilbildung. Anforderungen: freiwillig, informiert, aktiv gesetzt (kein vorgeklicktes Häkchen), jederzeit widerrufbar. Die Einwilligung musst du dokumentieren mit Zeitstempel, IP und Wortlaut.

Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Nötig für die reine Punkte-Verwaltung, das Einlösen von Prämien und die Kommunikation zur Transaktion. Dafür reicht die Registrierung fürs Programm, keine separate Einwilligung. Wichtig: der Zweck muss eng gefasst sein.

Merksatz: Alles, was der Kunde braucht, damit Punkte funktionieren = Vertrag. Alles, was du zusätzlich senden willst = Einwilligung.

Kinder und Jugendliche (Art. 8 DSGVO)

Wer sich für eine Kundenkarte registriert, ist nicht immer volljährig, etwa in Eisdiele, Café oder Fitnessstudio. Für Einwilligungen in Online-Dienste, die sich direkt an Kinder richten, gilt nach Art. 8 DSGVO eine Altersgrenze von 16 Jahren. Die Mitgliedstaaten dürfen sie bis auf 13 Jahre senken; in Deutschland gilt keine abweichende Regel. Darunter braucht es die Zustimmung der Eltern. Für den Vertrag selbst (die Programmteilnahme) kommen die Regeln des BGB zur Geschäftsfähigkeit Minderjähriger hinzu. Hast du viele jugendliche Kunden, kläre den Umgang mit Altersgrenzen und Elternzustimmung mit deiner Datenschutzberatung, bevor du Werbung an sie schickst.

Der Auftragsverarbeitungsvertrag (AVV): nicht optional

Wenn du einen externen Anbieter nutzt (Treuli, Stempely, Stamsy etc.), ist dieser Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Du brauchst mit ihm einen schriftlichen AVV, der regelt:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Pflichten des Anbieters (TOMs, Mitarbeiter-Verschwiegenheit)
• Sub-Unternehmer (z.B. Hosting-Provider)
• Löschpflichten nach Vertragsende
• Audit-Rechte und Meldepflichten bei Verstößen

Treuli stellt den AVV automatisch im Admin bereit: Firmendaten prüfen, digital unterzeichnen, fertig. Jede unterzeichnete Fassung bleibt dort abrufbar und lässt sich herunterladen. Wenn ein Anbieter dafür Geld verlangt oder erst ein Verkaufsgespräch ansetzt, ist das ein Warnsignal.

Hosting-Land: warum die EU ein Kaufargument ist

Nach dem Schrems-II-Urteil (2020) ist der Datenexport in die USA rechtlich heikel. Das 2023 beschlossene EU-US Data Privacy Framework mildert das. Das EuG hat das Framework im September 2025 bestätigt (T-553/23, Latombe); das Rechtsmittel dagegen ist beim EuGH anhängig (C-703/25 P, Stand 30. September 2026). Aufsichtsbehörden sehen US-Hosting weiterhin kritisch.

Alternativen in absteigender Rechtssicherheit:

Rechte deiner Kunden: was du umsetzen musst

Auskunftsrecht (Art. 15)

Kunde fragt: „Welche Daten habt ihr über mich?“ Du antwortest binnen eines Monats mit einer strukturierten Übersicht. Bei Treuli ist das ein Klick im Kundenkonto, von Hand machen musst du nichts.

Berichtigungsrecht (Art. 16)

Kunde korrigiert Namen, E-Mail, Geburtsdatum. Den Namen ändert er bei Treuli selbst im Kundenprofil, E-Mail und Geburtsdatum änderst du im Admin-Bereich.

Löschrecht (Art. 17)

Kunde verlangt Kontolöschung. Profil unverzüglich löschen, spätestens binnen eines Monats; Umsatzdaten dürfen anonymisiert liegen bleiben.

Datenportabilität (Art. 20)

Kunde verlangt einen strukturierten Export (JSON oder CSV) zum Anbieterwechsel. Bei Treuli ist das eingebaut.

Widerspruchsrecht (Art. 21)

Kunde widerspricht der Werbung, die Abmeldung muss sofort greifen.

10-Punkt-Checkliste

Arbeite diese Liste vor dem Programm-Launch einmal durch. Jeder Punkt schützt dich vor einer typischen Abmahnung oder Bußgeld-Situation.

1. AVV unterzeichnet und archiviert (digital reicht, DocuSign/Adobe Sign etc.).
2. Datenschutzerklärung aktualisiert: Kundenkarten-Anbieter explizit genannt, Zweck, Rechtsgrundlage, Speicherdauer.
3. Rechtsgrundlagen getrennt: Registrierung und Teilnahme beruhen auf dem Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Eine Einwilligung brauchst du nur für Werbung (z. B. E-Mail-Kampagnen); sie wird dokumentiert (Zeitstempel, Wortlaut) und ist von der Teilnahme getrennt.
4. Hosting-Land geprüft: EU-Standard erfüllt (Hosting in der EU).
5. Sub-Unternehmerliste des Anbieters gelesen (z.B. Hosting- Provider, E-Mail-Versender).
6. Lösch-Prozess getestet: Muster-Kunde anlegen, Löschung auslösen, danach nachsehen, ob die Daten wirklich weg sind.
7. Export-Funktion getestet: CSV oder JSON, enthält alle personenbezogenen Felder.
8. Aufbewahrungsfristen definiert: aktiv, solange die Teilnahme besteht (Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO); inaktiv z. B. nach 24 Monaten löschen oder anonymisieren.
9. Notfallplan: Wer meldet wen innerhalb 72 Stunden bei einem Datenleck.
10. DSB-Check: Brauche ich einen Datenschutzbeauftragten? (Meist nein bei Einzelbetrieben, aber bewusst prüfen.)

Typische Abmahngründe und wie du sie vermeidest

Fehlende Einwilligung für Push-Nachrichten

Klassiker. Kunde registriert sich, bekommt direkt Push-Werbung, ohne je zugestimmt zu haben. Lösung: beim ersten App-Öffnen zwei getrennte Dialoge. „Push für Punkteupdates“ und „Push für Werbeaktionen“.

Cookie-Banner ohne Ablehnen-Knopf

Wenn deine Kundenkarten-Seite Cookies zur Auswertung setzt, brauchst du einen Banner mit klarem „Ablehnen“, nicht nur „Mehr Infos“. Bei Treuli laufen auf der Kundenkarte nur die technisch nötigen Cookies.

Kundendaten an Dritte ohne Grundlage

E-Mail-Liste an ein befreundetes Café weitergeben? Ohne Rechtsgrundlage, etwa eine Einwilligung, ist das ein Verstoß, der Abmahnungen und Bußgelder nach sich ziehen kann. Datenaustausch zwischen Standorten desselben Unternehmens ist ok, zwischen unterschiedlichen Rechtspersonen nicht.

Was du beim Anbieter-Wechsel beachten musst

Wenn du von einem Anbieter zum nächsten wechselst:

• Export anfordern (JSON/CSV mit vollständiger Kundenliste).
• Alten AVV kündigen, Löschbestätigung einholen (schriftlich!).
• Neuen AVV unterzeichnen bevor du Daten hochlädst.
• Kunden per Newsletter informieren („Wir wechseln den Anbieter, deine Punkte sind übertragen“).
• Alten Zugang erst schließen, wenn der Umzug bestätigt ist.

Fazit

DSGVO ist kein Grund, auf ein Treueprogramm zu verzichten. Sie ist ein Grund, es sauber aufzusetzen. Mit einem Anbieter, der AVV, Hosting in der EU und Export standardmäßig liefert, ist der größte Teil der Arbeit erledigt. Den Rest machst du mit der Checkliste oben an einem Nachmittag. Treuli liefert alle DSGVO-Bausteine in jedem Tarif,inklusive kostenlosem Free-Plan: Hosting in der EU bei Hetzner, einem deutschen Anbieter, AVV und Löschung auf Knopfdruck, vollständiger Export. Einmal richtig eingerichtet, hast du für die nächsten Jahre Ruhe.

Datenschutz ist kein Häkchen, das du setzt, sondern die Grundlage für Vertrauen. Ein Kunde, der seinem Lieblings-Café die E-Mail gibt, will wissen, dass sie gut aufgehoben ist. Das richtige Setup ist der günstigste Weg, dieses Vertrauen nicht zu verspielen.