Kundenkarte und DSGVO: Was Händler wissen müssen

Die Szene kommt immer im selben Moment. Der Kunde hat den QR-Code gescannt, vor ihm liegt die Seite zum Hinzufügen, und er hebt den Kopf. „Was speichern Sie eigentlich über mich?“ Wenn Sie zögern, fügt er die Karte nicht hinzu. Die gute Nachricht: Die Antwort passt in einen Satz, wenn Sie sie vorbereitet haben.

Bei Digikart enthält eine Kundenkarte eine Kartenkennung, die nichts über ihren Inhaber verrät, einen Stand an Stempeln oder Punkten und die Daten der Besuche. Wenn Sie Punkte nach dem Einkaufswert vergeben, wird der Betrag jedes Besuchs mitgespeichert und taucht in Ihren Auswertungen und in Ihrem Export auf. Dazu kommen die genutzte Wallet, Apple oder Google, und nach der Installation die Registrierung des Geräts beim Benachrichtigungsdienst. Drei Felder können hinzukommen, und nur wenn der Kunde sie selbst ausfüllt: Vorname, Telefonnummer (um an der Kasse ohne Scan erkannt zu werden) und Geburtsdatum, das nur erscheint, wenn Sie die Geburtstagsprämie eingeschaltet haben. Jedes davon ist auf der Anmeldeseite als optional gekennzeichnet. Bankdaten werden nicht erhoben, und die einzelnen gekauften Artikel werden nie gespeichert: Auch an eine Kasse angebunden wandern nur die Belegnummer und der Betrag herauf.

Der Vergleich mit einer Supermarkt-Kundenkarte macht es deutlich. Dort wird der Strichcode jedes Produkts im Einkaufswagen mit dem Kundenkonto verknüpft, und genau deshalb kommen von solchen Programmen Angebote zu den Marken, die man tatsächlich kauft. Alles, was mit einer identifizierbaren Person verknüpft ist, ist ein personenbezogenes Datum, also auch alles, was der Kunde einfordern kann. Eine Stempelkarte geht nicht so weit: Sie zählt Besuche und höchstens deren Wert, nie den Inhalt des Einkaufs. Je weniger Sie erheben, desto weniger müssen Sie erklären, aufbewahren und schützen.

Die DSGVO verlangt, dass jede Verarbeitung auf einer Rechtsgrundlage steht, die sie selbst vorgibt. Das Wort schreckt, die Sache weniger: Für eine Kundenkarte ist die naheliegende Grundlage die Erfüllung eines Vertrags. Sie trägt, solange die Verarbeitung objektiv erforderlich ist, um zu liefern, was die Person verlangt hat, und genau das ist hier der Fall. Der Kunde hat die Karte gewollt, Sie versprechen eine Prämie nach zehn Besuchen, das Zählen dieser Besuche hält das Versprechen. Dafür gibt es kein Kästchen zum Ankreuzen. Die optionalen Felder fallen nicht darunter: Telefonnummer und Geburtsdatum dienen nicht dem Zählen, sie beruhen darauf, was der Kunde freiwillig gibt, und er kann verlangen, dass Sie sie entfernen, ohne seine Karte zu verlieren.

Was die Natur wechselt, ist alles, was das Programm verlässt. Eine Werbebotschaft, die mit der Karte nichts zu tun hat, ist Werbung, und dafür gilt ein zweites Regelwerk: in Deutschland § 7 UWG, in Österreich § 174 TKG 2021. Die Grundregel ist beide Male die vorherige Einwilligung, und Sie müssen sie nachweisen können. Beide Gesetze lassen eine enge Ausnahme für Bestandskunden zu: eigene ähnliche Waren oder Dienstleistungen, die Adresse im Zusammenhang mit einem Verkauf erhalten, ein klarer Hinweis auf das Widerspruchsrecht bei der Erhebung und bei jeder Verwendung, und kein Widerspruch des Kunden. Fehlt eine dieser Bedingungen, ist die Werbung unzulässig, und in Deutschland führt das schnell zu einer Abmahnung. Die Datei zu vermieten oder mit einem Partner zu teilen folgt derselben Logik, nur noch ernster.

Die Faustregel passt in eine Zeile. Alles, was der Karte dient (zählen, melden, dass eine Prämie bereit ist, an einen Stand erinnern), reist mit der Karte. Alles, was von etwas anderem spricht, verdient eine eigene Frage an den Kunden und eine Spur seiner Antwort.

Das ist die Pflicht, die am leichtesten zu erfüllen und am häufigsten vergessen wird. Informieren müssen Sie in dem Moment, in dem Sie die Daten erheben, nicht später und nicht erst auf Nachfrage. Das Bayerische Landesamt für Datenschutzaufsicht nennt den Fall in seinem Muster für Einzelhändler ausdrücklich: Wer Kundenkarten ausgibt, muss dazu Informationen zur Datenverarbeitung bereitstellen.

Bei einer Wallet-Karte ist diese Theke die Anmeldeseite, die sich nach dem Scan des QR-Codes öffnet. Diese Seite zeigt Ihren Hinweis nicht an Ihrer Stelle: Er bleibt Ihre Sache, auf dem Aufsteller neben der Kasse und auf Ihrer Website. Der Hinweis muss sagen, wer Sie sind, wofür Sie die Daten erheben, auf welcher Grundlage, wer Zugriff hat, wie lange Sie sie aufbewahren, dass die Felder freiwillig sind, wie der Kunde seine Rechte ausübt, mit einer Kontaktadresse, und dass er sich beschweren kann: in Deutschland bei der Datenschutzaufsicht seines Bundeslandes, in Österreich bei der Datenschutzbehörde. Neun Zeilen, nicht neun Seiten.

Konkret: ein paar Zeilen auf Ihrem Theken-Aufsteller, dasselbe auf Ihrer Website, falls Sie eine haben, und ein Satz, den Ihre Mitarbeiter sagen können. Das ist kein Anwaltsvertrag, das ist ein Text, den der Kunde in zehn Sekunden mit dem Handy in einer Hand lesen kann.

Die DSGVO nennt keine allgemeingültige Frist. Der Grundsatz der Speicherbegrenzung sagt etwas anderes: Daten bleiben so lange, wie sie dem Zweck dienen, für den sie erhoben wurden, danach werden sie gelöscht oder anonymisiert. Die Frist zu bestimmen, aufzuschreiben und den Kunden zu nennen, ist Ihre Aufgabe.

Bei einer Kundenkarte ist das Ende der Geschäftsbeziehung der letzte Besuch. Drei Jahre ohne Besuch sind für ein Ladengeschäft eine gut begründbare Linie, und nichts hindert Sie daran, zwei oder fünf zu wählen. Entscheidend ist, dass die Zahl notiert ist und auch angewendet wird. Eine eingehaltene Frist ist mehr wert als eine Datei, die sich nie leert.

Es dauert fünf Minuten, einmal im Jahr. In Digikart zeigt Ihre Kundenliste das Datum des letzten Besuchs: Sie erkennen die Inaktiven und löschen sie. Das Löschen entfernt den Datensatz, den Stand und den Besuchsverlauf und meldet das Gerät vom Benachrichtigungsdienst ab. Zwei nützliche Hinweise. Die bereits installierte Karte bleibt im Handy des Kunden sichtbar, weil weder Apple noch Google sie aus der Ferne zurückziehen lassen, aber sie lässt sich nicht mehr scannen und aktualisiert sich nicht mehr. Und wenn Sie an eine Kasse angebunden sind, bleiben die Buchungszeilen für die Buchhaltung: In Deutschland sind Buchungsbelege seit 2025 acht statt zehn Jahre aufzubewahren, in Österreich gelten nach § 132 BAO sieben Jahre. Sobald der Kundendatensatz weg ist, verweisen diese Zeilen auf niemanden mehr.

Zwei Rechte stechen heraus, weil Kunden genau sie nutzen. Das Auskunftsrecht: wissen, was Sie über sie gespeichert haben. Das Recht auf Löschung: verlangen, dass es verschwindet. Antworten müssen Sie unverzüglich, spätestens innerhalb eines Monats. Diese Frist lässt sich um zwei weitere Monate verlängern, wenn der Antrag komplex ist oder mehrere Anträge eingehen, vorausgesetzt Sie unterrichten die Person innerhalb des ersten Monats und nennen die Gründe.

Antworten heißt nicht, den Datensatz abzuschreiben. Die Antwort muss die Zwecke der Verarbeitung enthalten, die Kategorien der Daten, die Empfänger, die Speicherdauer, die weiteren Rechte der Person und ihr Recht, sich bei der Aufsichtsbehörde zu beschweren. Und dem Kunden zu sagen, er wisse das alles ohnehin, weil er die Daten selbst angegeben hat, ist keine Antwort.

Bleibt eine Verwechslung, die man kennen sollte, weil sie oft vorkommt. Wer die Karte aus seiner Wallet löscht, hat die Karte vom Handy entfernt, nicht seine Zeile aus Ihrer Datei. Wer die Löschung will, muss sie bei Ihnen verlangen, und Sie sind es, der löscht. Sagen Sie es am besten in dem Moment, in dem er die Karte hinzufügt.

Eine Wallet-Karte kann eine Nachricht auf dem Handy ihres Inhabers anzeigen. Keine SMS, keine E-Mail, keine Nummer, die man kennen muss: Die Nachricht läuft über die Karte selbst. Das ist sehr praktisch, und genau dort gerät man ins Rutschen.

Der Kanal ist nicht die Frage, der Inhalt schon. „Ihre Prämie ist bereit“ betrifft die Karte, die der Kunde wollte. „Großer Abverkauf am Samstag“ ist Werbung. Ob eine Wallet-Nachricht rechtlich als elektronische Post gilt, ist nicht abschließend geklärt, aber die Richtung des Werberechts ist eindeutig genug, um Werbebotschaften wie Werbung zu behandeln. Und in der Praxis endet eine Benachrichtigung zu viel selten mit einer Beschwerde: Sie endet mit einer gelöschten Karte, was für Sie deutlich schlimmer ist.

Der Kunde behält auf seiner Seite die Kontrolle: Er kann die Benachrichtigungen dieser Karte in den Einstellungen seines Handys abschalten oder die Karte entfernen. Sagen Sie es ihm, das beruhigt mehr, als es vertreibt. Auf Seiten des Werkzeugs sagen es unsere AGB klar: Der Händler ist allein für den Inhalt der Benachrichtigungen verantwortlich, die er versendet.

Das ist die Pflicht, die kleine Geschäfte am meisten überrascht. Ein Verzeichnis von Verarbeitungstätigkeiten betrifft grundsätzlich jede Stelle, die personenbezogene Daten verarbeitet, unabhängig von der Größe. Ein Nachbarschaftsgeschäft mit Kundenkarte ist dabei.

Unter 250 Beschäftigten gibt es eine Erleichterung: Aufzunehmen sind nur die nicht nur gelegentlichen Verarbeitungen, die, die ein Risiko für die Betroffenen bergen können, und die mit besonderen Datenkategorien. Kundenverwaltung ist nicht gelegentlich. Das Bayerische Landesamt für Datenschutzaufsicht hat genau diesen Fall durchgespielt und kommt für den Einzelhändler mit Kundenkarte zum Ergebnis, dass ein Verzeichnis erforderlich ist, wegen der regelmäßigen Verarbeitung.

In der Sache ist es eine Tabelle. Eine Zeile je Verarbeitung, mit Zweck, betroffenen Personen, Datenkategorien, Empfängern, Speicherdauer und Sicherheitsmaßnahmen. Dieselbe Behörde stellt ausgefüllte Muster für kleine Unternehmen bereit, darunter eines für den Einzelhandel, und in Österreich gilt dieselbe Pflicht aus Artikel 30 DSGVO. Niemand wird es von Ihnen verlangen, bis zu dem Tag, an dem es jemand verlangt.

Die Aufteilung ist leicht zu merken. Das Werkzeug hostet, verschlüsselt und sichert. Sie entscheiden, was Sie erheben, was Sie Ihren Kunden sagen, was Sie versenden und was Sie aufbewahren. Eine Software kann nicht an Ihrer Stelle rechtskonform sein, weil die Hälfte der Entscheidungen bei Ihnen liegt.

Was Digikart auf seiner Seite tut, steht auf der Seite Datenschutz: Server in Frankreich bei OVH, keine Daten an Dritte verkauft, keine Werbe- oder Tracking-Cookies Dritter, Passwörter nie im Klartext gespeichert, verschlüsselte Verbindungen, tägliche Sicherungen. Ein Händler kann sein Konto und seine Daten selbst im Dashboard löschen. Frankreich liegt in der Europäischen Union, eine Drittlandsübermittlung ist also nicht zu rechtfertigen.

Was bei Ihnen liegt, steht in unseren AGB, Ziffer 8: Ihre Endkunden über die Verarbeitung ihrer Daten informieren und die erforderlichen Einwilligungen einholen. Das ist kein Abschieben, das ist die Lage an der Theke. Sie stehen dem Kunden gegenüber, Sie wählen die Prämie, die Nachricht und die Frist. Die übrigen praktischen Fragen beantwortet die FAQ.