DSGVO Treueprogramm: Was du bei Kundendaten beachten musst
Jede Woche ohne klare DSGVO-Regeln riskierst du Abmahnungen – dabei sind die Anforderungen überschaubar.
DSGVO und Treueprogramm passen besser zusammen, als viele Inhaber befürchten. Eine digitale Stempelkarte verarbeitet personenbezogene Daten, aber die Regeln sind überschaubar. Du musst fünf Punkte beachten: Rechtsgrundlage, getrennte Werbe-Einwilligung, Information der Kunden, Löschung und ein Vertrag mit dem Anbieter. Dieser Artikel erklärt sie verständlich. Er ist keine Rechtsberatung – im Zweifel lass deine Umsetzung prüfen.
Welche Daten fallen bei einer Stempelkarte an?
Bevor du über Rechtsgrundlagen nachdenkst, schau dir an, was überhaupt erhoben wird. Bei einer typischen Wallet-Stempelkarte sind das:
- Kartenkennung: eine zufällige ID, über die Stempel der Karte zugeordnet werden
- Optional Name oder Vorname: für die Ansprache auf der Karte und in Nachrichten
- Optional Geburtstag: nur wenn du ein Geburtstagsangebot anbietest
- Stempel- und Einlösehistorie: wann wurde gescannt, wann eingelöst
- Technische Daten: Wallet-Registrierung des Geräts, Zeitstempel, gegebenenfalls eine Geräteerkennung gegen Betrug
Das Prinzip der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO) sagt: Erhebe nur, was du für den Zweck brauchst. Wenn du keine Geburtstagsaktion planst, frag nicht nach dem Geburtstag. Wenn ein Vorname reicht, verlange keinen Nachnamen.
Rechtsgrundlage: Vertrag, Einwilligung oder berechtigtes Interesse
Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Für Treueprogramme sind drei relevant:
| Verarbeitung | Rechtsgrundlage | Was das bedeutet |
|---|---|---|
| Stempel sammeln, Karte führen, Prämie einlösen | Art. 6 Abs. 1 lit. b (Vertrag) | Der Kunde nimmt am Programm teil, die Verarbeitung ist zur Durchführung nötig. Keine gesonderte Einwilligung erforderlich. |
| Werbenachrichten, Aktionen, Angebote | Art. 6 Abs. 1 lit. a (Einwilligung) | Braucht eine freiwillige, informierte, aktive Zustimmung. Zusätzlich gilt § 7 UWG. |
| Betrugsschutz, technische Sicherheit | Art. 6 Abs. 1 lit. f (berechtigtes Interesse) | Zum Beispiel eine Geräteerkennung, damit niemand sich unbegrenzt selbst stempelt. Muss verhältnismäßig sein. |
Der wichtigste Punkt: Stempeln und Werbung sind zwei verschiedene Dinge. Wer die Karte anlegt, darf gestempelt werden. Wer Werbung bekommen soll, muss dem extra zustimmen.
Werbe-Einwilligung: getrennt, freiwillig, nicht vorausgewählt
Hier passieren die meisten Fehler. Damit eine Einwilligung für Werbung gültig ist, muss sie:
- getrennt von der Teilnahme am Programm eingeholt werden (kein Kopplungszwang, Art. 7 Abs. 4 DSGVO)
- aktiv erteilt werden, also durch ein Häkchen, das der Kunde selbst setzt (ein vorausgewähltes Häkchen ist keine Einwilligung – das hat der Europäische Gerichtshof in der Sache Planet49 entschieden)
- informiert sein: Der Kunde muss wissen, was er bekommt (zum Beispiel Angebote per Wallet-Nachricht)
- jederzeit widerrufbar sein, so einfach wie sie erteilt wurde
Konkret heißt das: Beim Anlegen der Karte gibt es ein Pflicht-Häkchen für die Datenschutzerklärung und ein separates, standardmäßig leeres Häkchen für Angebote und Aktionen. Der Kunde bekommt seine Karte auch, wenn er das zweite Häkchen nicht setzt.
Nachrichten, die zur Durchführung des Programms gehören (etwa „Du hast jetzt 5 von 10 Stempeln" oder „Deine Prämie ist bereit"), sind keine Werbung und brauchen keine Einwilligung. Ein „Nur heute 2 für 1" ist dagegen Werbung. Wie solche Nachrichten technisch funktionieren, beschreibt Push-Nachrichten an Kunden senden.
Informationspflichten nach Art. 13 DSGVO
Zum Zeitpunkt der Datenerhebung musst du Kunden informieren. Die Informationen müssen leicht zugänglich sein – ein Link auf der Anmeldeseite reicht. Pflichtinhalte sind unter anderem:
- Name und Kontaktdaten des Verantwortlichen (das bist du als Laden)
- Zwecke der Verarbeitung und die jeweilige Rechtsgrundlage
- Empfänger oder Kategorien von Empfängern (etwa der Softwareanbieter als Auftragsverarbeiter, Apple und Google für die Wallet-Funktion)
- Speicherdauer oder die Kriterien dafür
- Rechte der Betroffenen: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
- Widerrufsrecht bei Einwilligungen
- Beschwerderecht bei einer Aufsichtsbehörde
Ein Laden ohne eigene Website steht hier oft vor einem Problem: Wo soll die Erklärung liegen? Manche Anbieter erzeugen automatisch eine editierbare Datenschutzerklärung pro Laden und hosten sie. Der Kunde sieht sie beim Anlegen der Karte, und du musst nichts selbst schreiben.
Betroffenenrechte: Auskunft und Löschung
Kunden können jederzeit verlangen zu erfahren, welche Daten du über sie hast (Art. 15), und deren Löschung fordern (Art. 17). Dafür brauchst du zwei Dinge:
- Einen Weg, den Kunden zu finden: Bei einer digitalen Karte meist über Name oder Karten-ID im Dashboard.
- Eine Löschfunktion: Entweder löscht der Kunde die Karte selbst aus dem Wallet, oder du entfernst ihn im Dashboard. Die Löschung muss vollständig sein, auch aus Verläufen und Auswertungen, soweit keine Aufbewahrungspflichten entgegenstehen.
Außerdem gilt: Daten dürfen nicht ewig liegen bleiben. Ein sinnvoller Ansatz ist, Karten, die sehr lange nicht genutzt wurden, nach einer festgelegten Frist zu löschen oder zu anonymisieren. Lege die Frist in deiner Datenschutzerklärung offen.
Auftragsverarbeitung: der Vertrag mit dem Anbieter
Wenn du eine Software für dein Treueprogramm nutzt, verarbeitet der Anbieter die Kundendaten in deinem Auftrag. Rechtlich bist du der Verantwortliche, der Anbieter ist Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen schriftlichen Vertrag – den Auftragsverarbeitungsvertrag (AV-Vertrag oder AVV).
Darin steht unter anderem, welche Daten verarbeitet werden, dass der Anbieter nur nach deiner Weisung handelt, wie er die Daten schützt und welche Unterauftragnehmer er einsetzt (etwa Hosting-Anbieter). Seriöse Anbieter legen den AVV zur Annahme beim Anmelden vor. Achte außerdem auf den Serverstandort: Hosting in der EU vereinfacht die Bewertung deutlich.
Mach den Selbsttest: Ist dein Treueprogramm DSGVO-konform?
- Ich erhebe nur Daten, die ich wirklich brauche
- Werbe-Häkchen ist getrennt, leer und freiwillig
- Datenschutzerklärung ist beim Anlegen der Karte verlinkt
- Kunden können Auskunft verlangen und Löschung fordern
- Ich habe einen AV-Vertrag mit dem Anbieter geschlossen
- Mein Team weiß, dass Kundendaten vertraulich sind
Wenn du mehr als zwei Häkchen nicht setzen kannst, solltest du nachbessern.
Was passiert, wenn du nichts änderst
Ohne klare DSGVO-Regeln riskierst du Abmahnungen von Wettbewerbern oder Beschwerden bei der Datenschutzbehörde. Die Bußgelder können empfindlich sein, auch für kleine Läden. Noch wichtiger: Kunden verlieren das Vertrauen, wenn sie das Gefühl haben, ihre Daten werden nicht geschützt. Zum Vergleich: Bei Papierkarten fallen die meisten Punkte weg, solange du nichts über die Person notierst. Sobald ein Name auf der Karte steht, gelten dieselben Regeln, aber ohne Löschfunktion und ohne gehostete Erklärung. Den Vergleich beider Modelle findest du in Papier-Stempelkarte vs. digitale Stempelkarte.
Fazit
DSGVO und Treueprogramm sind kein Widerspruch: Stempeln läuft über den Vertrag, Werbung braucht ein eigenes Häkchen, Kunden werden informiert und können löschen lassen, und mit dem Anbieter gibt es einen AV-Vertrag. Wichtig bleibt: Dieser Artikel ersetzt keine Rechtsberatung – prüfe deine konkrete Umsetzung. stampa nimmt dir den technischen Teil ab, mit getrennter Werbe-Einwilligung, automatisch erzeugter Datenschutzerklärung pro Laden und AV-Vertrag beim Anmelden. Du kannst kostenlos starten, bis 100 aktive Kunden und ohne Kreditkarte.