Treuekarte und DSGVO: Was ein Händler wissen muss

Die Szene kommt immer im selben Moment: Der Kunde hat den QR-Code gescannt, hat den Bildschirm zum Hinzufügen vor Augen und schaut auf. „Was speichern Sie eigentlich genau?“ Wenn Sie zögern, fügt er die Karte nicht hinzu. Die gute Nachricht: Die Antwort passt in einen Satz, vorausgesetzt, Sie haben sie vorbereitet.

Bei Digikart enthält eine Treuekarte eine Kartenkennung, die nichts über ihren Inhaber verrät, ein Guthaben an Stempeln oder Punkten und die Daten der Besuche. Wenn Sie in Punkten nach ausgegebenem Betrag zählen, wird zu jedem Besuch auch sein Betrag gespeichert, und er erscheint in Ihren Statistiken und in Ihrem Export. Hinzu kommen die verwendete Wallet, Apple oder Google, und, sobald die Karte installiert ist, die Registrierung des Geräts beim Benachrichtigungsdienst. Drei Felder können hinzukommen, und nur, wenn der Kunde sie selbst ausfüllt: sein Vorname, seine Telefonnummer (um an einer Kasse ohne Scanner erkannt zu werden) und sein Geburtsdatum, das nur erscheint, wenn Sie die Geburtstagsprämie aktiviert haben. Jedes davon ist auf dem Anmeldebildschirm als „optional“ gekennzeichnet. Es werden keine Bankdaten erhoben, und die einzelnen gekauften Artikel werden nie gespeichert: Selbst bei angebundener Kasse kommen nur die Bonnummer und ihr Betrag an.

Der Vergleich mit dem großen Einzelhandel macht das Thema klarer. Die CNIL (die französische Datenschutzbehörde) weist darauf hin, dass in einem Treueprogramm der Barcode eines gekauften Produkts, verknüpft mit den Identifikationsdaten des Kunden, zu einem personenbezogenen Datum wird, das der Kunde anfordern kann. Eine Stempelkarte geht nicht so weit: Sie zählt Besuche und höchstens deren Betrag, nie den Inhalt des Warenkorbs. Je weniger Sie erheben, desto weniger müssen Sie erklären, aufbewahren und schützen.

Die DSGVO verlangt, dass jede Datenverarbeitung auf einer Rechtsgrundlage beruht, die aus den von ihr vorgesehenen gewählt wird. Das Wort macht Angst, die Wirklichkeit viel weniger: Für eine Treuekarte ist die naheliegendste Grundlage die Vertragserfüllung. Die CNIL lässt den Vertrag gelten, sofern die Verarbeitung für seine Erfüllung objektiv erforderlich ist, und das ist hier der Fall: Der Kunde hat die Karte verlangt, Sie versprechen ihm nach zehn Besuchen eine Prämie, und seine Besuche zu zählen ist nötig, um dieses Versprechen zu halten. Dafür gibt es kein Kästchen anzukreuzen. Die optionalen Felder fallen aus diesem Rahmen: Telefonnummer und Geburtsdatum dienen nicht dem Zählen, sie beruhen auf dem, was der Kunde freiwillig angibt, und er kann Sie bitten, sie zu entfernen, ohne seine Karte zu verlieren.

Was seinen Charakter ändert, ist alles, was über das Programm hinausgeht. Eine Werbenachricht zu verschicken, die nichts mit der Karte zu tun hat, ist Direktwerbung. Die CNIL ist in diesem Punkt für elektronische Kontaktdaten eindeutig: Sie müssen die Einwilligung des Kunden einholen und den Nachweis dafür aufbewahren. Ihre Datei an einen Partner zu vermieten oder mit ihm zu teilen, folgt derselben Logik und wiegt noch schwerer.

Die praktische Regel passt in eine Zeile. Alles, was der Karte dient (zählen, Bescheid geben, dass eine Prämie bereitliegt, an ein Guthaben erinnern), gehört zur Karte. Alles, was von etwas anderem handelt, verdient eine eigene Frage an den Kunden und einen Nachweis seiner Antwort.

Das ist die am leichtesten einzuhaltende Pflicht und die am häufigsten vergessene. Die CNIL schreibt schwarz auf weiß, dass „auf jedem Erhebungsformular ein Informationshinweis“ vorzusehen ist, und ihr Beispiel ist genau unseres: der Antrag auf eine Treuekarte, der auf der Ladentheke ausliegt.

Bei einer Wallet-Karte ist diese Theke zur Anmeldeseite geworden, die sich nach dem Scannen des QR-Codes öffnet. Diese Seite zeigt Ihren Hinweis nicht an Ihrer Stelle an: Er bleibt Ihre Sache, auf dem Aushang neben der Kasse und auf Ihrer Website. Der Hinweis muss sagen, wer Sie sind, warum Sie diese Angaben erheben, auf welcher Grundlage, wer Zugriff darauf hat, wie lange Sie sie aufbewahren, dass die Felder freiwillig sind, wie der Kunde seine Rechte ausüben kann, mit einer Kontaktadresse, und dass er sich bei der CNIL beschweren kann. Neun Zeilen, nicht neun Seiten.

Konkret: ein paar Zeilen auf Ihrem Thekenaushang, dasselbe auf Ihrer Website, falls Sie eine haben, und ein Satz, den Ihre Mitarbeiter sagen können. Das ist kein Anwaltsvertrag, sondern ein Text, den der Kunde in zehn Sekunden lesen können muss, das Telefon in einer Hand.

Die DSGVO legt keine allgemeingültige Frist fest. Die CNIL weist darauf hin, dass der Verantwortliche der Datei sie selbst bestimmen muss, und zwar nach dem Zweck der Verarbeitung, also danach, wofür die Daten dienen. Einen Anhaltspunkt gibt sie trotzdem. Für Kundendaten, die zur Direktwerbung genutzt werden, sieht ihr Referenzrahmen eine Aufbewahrung während der Geschäftsbeziehung vor und danach drei Jahre ab deren Ende. Und ihr Merkblatt für Händler übernimmt dieselbe Frist für die Kundenbeziehung: die Löschung der Angaben bei längerer Inaktivität Ihrer Kunden vorsehen, drei Jahre ab dem Ende der Geschäftsbeziehung.

Bei einer Treuekarte ist das Ende der Geschäftsbeziehung der letzte Besuch. Ein Kunde, der seit drei Jahren nicht wiedergekommen ist, hat keinen Grund mehr, in Ihrer Übersicht zu stehen. Die Frist bestimmen Sie selbst, aber Sie müssen eine festlegen und sich daran halten: Eine schriftlich festgelegte und eingehaltene Frist ist besser als eine Datei, die sich nie leert.

Das dauert fünf Minuten einmal im Jahr. In Digikart zeigt Ihre Kundenliste das Datum des letzten Besuchs an: Sie finden die Inaktiven und löschen sie. Das Löschen entfernt den Kundeneintrag, das Guthaben und den Besuchsverlauf und hebt die Registrierung des Geräts beim Benachrichtigungsdienst auf. Zwei nützliche Hinweise: Die bereits installierte Karte bleibt auf dem Telefon des Kunden sichtbar, weil weder Apple noch Google erlauben, sie aus der Ferne zu entfernen, sie lässt sich aber nicht mehr scannen und wird nicht mehr aktualisiert; und wenn Sie an eine Kasse angebunden sind, bleiben die Zahlungszeilen für die Buchhaltung erhalten, verweisen aber auf niemanden mehr, sobald der Eintrag gelöscht ist.

Zwei Rechte stechen heraus, weil die Kunden sie wirklich nutzen. Das Auskunftsrecht: wissen, was Sie über sie gespeichert haben. Das Recht auf Löschung: verlangen, dass es verschwindet. Die CNIL gibt an, dass Sie so schnell wie möglich antworten müssen, spätestens innerhalb eines Monats, eine Frist, die bei einer komplexen Anfrage auf drei Monate verlängert werden kann, sofern Sie die Person im ersten Monat darüber informieren.

Antworten heißt nicht nur, den Inhalt des Kundeneintrags abzuschreiben. Die CNIL zählt auf, was die Antwort enthalten muss: die Zwecke der Verarbeitung, die betroffenen Datenkategorien, die Empfänger, die Aufbewahrungsdauer, die weiteren Rechte der Person und ihr Recht, sich bei der CNIL zu beschweren. Sie stellt auch klar, dass es nicht genügt, dem Kunden zu sagen, man habe die Daten, die er selbst angegeben hat.

Schließlich gibt es eine Verwechslung, die Sie kennen sollten, weil sie oft vorkommt. Ein Kunde, der die Karte aus seiner Wallet löscht, hat die Karte von seinem Telefon entfernt, nicht seine Zeile aus Ihrer Datei. Will er die Löschung, muss er Sie darum bitten, und das Löschen übernehmen Sie. Am besten sagen Sie ihm das gleich, wenn er die Karte hinzufügt.

Eine Wallet-Karte kann eine Nachricht auf dem Telefon ihres Inhabers anzeigen. Keine SMS, keine E-Mail, keine Nummer, die man kennen muss: Die Nachricht läuft über die Karte selbst. Das ist sehr praktisch, und genau da gerät man leicht auf Abwege.

Nicht der Kanal ist die Frage, sondern der Inhalt. „Ihre Prämie ist bereit“ betrifft die Karte, die der Kunde verlangt hat. „Großer Räumungsverkauf am Samstag“ ist Werbung. Dazwischen ist der Spielraum schmal, und eine Benachrichtigung zu viel endet nicht mit einer Beschwerde: Sie endet mit einer gelöschten Karte, was für Sie viel schlimmer ist.

Der Kunde behält auf seiner Seite die Kontrolle: Er kann die Benachrichtigungen dieser Karte in den Einstellungen seines Telefons ausschalten oder die Karte entfernen. Sagen Sie es ihm, das beruhigt mehr, als es abschreckt. Auf Seiten des Tools halten unsere AGB es klar fest: Der Händler ist allein verantwortlich für den Inhalt der Benachrichtigungen, die er versendet.

Das ist die Pflicht, die kleine Geschäfte am meisten überrascht. Die CNIL ist eindeutig: Ein Verzeichnis der Verarbeitungstätigkeiten zu führen, betrifft alle Organisationen, öffentliche wie private, unabhängig von ihrer Größe, sobald sie personenbezogene Daten verarbeiten. Ein Geschäft im Viertel mit einer Treuekarte gehört dazu.

Unter 250 Beschäftigten gibt es eine Erleichterung: Aufgeführt werden müssen nur die nicht gelegentlichen Verarbeitungen, jene, die ein Risiko für die Betroffenen darstellen können, und jene, die sensible Daten betreffen. Die CNIL nennt übrigens die Kundenverwaltung als Beispiel für eine nicht gelegentliche Verarbeitung. Ihre Treuedatei gehört also hinein.

In der Praxis ist es eine Tabelle. Eine Zeile pro Verarbeitung, mit ihrem Zweck, den betroffenen Personen, den Datenkategorien, den Empfängern, der Aufbewahrungsdauer und den Sicherheitsmaßnahmen. Die CNIL stellt eine Vorlage bereit, die für Kleinst-, Klein- und mittlere Unternehmen gedacht ist. Niemand wird sie von Ihnen verlangen, bis zu dem Tag, an dem jemand sie verlangt.

Die Aufteilung ist leicht zu merken. Das Tool hostet, verschlüsselt und sichert. Sie entscheiden, was Sie erheben, was Sie Ihren Kunden sagen, was Sie versenden und was Sie aufbewahren. Eine Software kann nicht an Ihrer Stelle konform sein, weil die Hälfte der Entscheidungen bei Ihnen liegt.

Was Digikart auf seiner Seite tut, steht auf der Seite Datenschutzerklärung: Server in Frankreich bei OVH gehostet, keine Daten an Dritte verkauft, keine Werbe-Cookies und kein Tracking durch Dritte, Passwörter nie im Klartext gespeichert, verschlüsselte Kommunikation, tägliche Sicherungen. Ein Händler kann sein Konto und seine Daten in seinem Bereich löschen.

Was Ihnen obliegt, steht in unseren AGB, Artikel 8: Ihre Endkunden über die Verarbeitung ihrer Daten informieren und die erforderlichen Einwilligungen einholen. Das ist keine Art, sich aus der Verantwortung zu ziehen, sondern die Realität vor Ort. Sie stehen dem Kunden gegenüber, Sie wählen die Prämie, die Nachricht und die Frist. Die übrigen praktischen Fragen werden in den FAQ behandelt.