Digitale Stempelkarte & DSGVO: Darauf musst du achten
Kundendaten sind personenbezogene Daten, auch auf einer Stempelkarte. Was DSGVO-konform in der Praxis heißt, und woran du das bei jedem Anbieter selbst prüfen kannst.
Kurz gesagt
Eine digitale Stempelkarte verarbeitet personenbezogene Daten, also gilt die DSGVO. In der Praxis heißt das: eine Einwilligung für Nachrichten, ein AVV mit dem Anbieter, ein nachvollziehbarer Serverstandort und nur so viele Daten wie nötig. Bei QARD ist das mit 49 € pro Monat netto abgedeckt, Server in Deutschland und AVV inklusive. Dieser Beitrag ersetzt keine Rechtsberatung, bei Unsicherheit hilft ein Datenschutz-Anwalt oder deine IHK weiter.
Warum die DSGVO bei einer digitalen Stempelkarte überhaupt gilt
Eine Stempelkarte klingt harmlos, technisch ist sie aber eine kleine Kundendatenbank. Sobald eine Karte einem Namen, einer Telefonnummer, einer Kundennummer oder einem einzelnen Gerät zugeordnet werden kann, verarbeitest du personenbezogene Daten im Sinn der DSGVO, genau wie bei jeder Excel-Liste mit Kundenadressen auch. Ob Papier oder digital spielt dabei keine Rolle, nur dass digitale Systeme in der Regel mehr Daten erfassen und länger speichern.
Eine Kundendatenbank bleibt eine Kundendatenbank, auch wenn sie aussieht wie eine Stempelkarte.
Einwilligung: die Grundlage für jede Nachricht
Für das reine Sammeln von Stempeln reicht meist das berechtigte Interesse an der Kundenbeziehung als Rechtsgrundlage. Anders sieht es aus, sobald du deinen Kunden aktiv eine Sperrbildschirm-Nachricht schickst, also Werbung. Dafür brauchst du eine echte Einwilligung (Opt-in): eine aktive, freiwillige Zustimmung, kein vorausgefülltes Häkchen und keine versteckte Klausel im Kleingedruckten.
Genauso wichtig ist das Gegenstück: ein einfacher Opt-out. Dein Kunde muss sich jederzeit unkompliziert von Nachrichten abmelden können, ohne dafür anzurufen oder eine E-Mail zu schreiben.
Der AVV: Wer verarbeitet die Daten für wen
Sobald ein externer Anbieter Kundendaten in deinem Auftrag speichert, bist du rechtlich der Verantwortliche, der Anbieter der Auftragsverarbeiter. Diese Beziehung muss in einem Auftragsverarbeitungsvertrag (AVV) geregelt sein: Zweck der Verarbeitung, Pflichten des Anbieters, Löschfristen, Melderegeln bei einem Datenvorfall. Ohne AVV fehlt die rechtliche Grundlage für die Zusammenarbeit, unabhängig davon, wie gut das Produkt sonst ist.
Serverstandort und Drittländer
Ein Server in Deutschland oder der EU ist rechtlich nicht die einzig mögliche Lösung, vereinfacht die Prüfung aber erheblich, weil hier ohnehin das gleiche Datenschutzniveau gilt. Anbieter außerhalb der EU brauchen eine zusätzliche Prüfung: Bei US-Anbietern zählt, ob sie unter einem gültigen Rahmenwerk wie dem EU-US Data Privacy Framework arbeiten oder Standardvertragsklauseln (SCC) einsetzen. Bei Anbietern aus der Schweiz gilt zwar ein Angemessenheitsbeschluss der EU-Kommission, trotzdem lohnt sich der Blick, wo die Daten technisch tatsächlich liegen, denn manche vermeintlich europäischen Tools nutzen im Hintergrund US-Cloud-Dienste als Subunternehmer.
Kurz gesagt: Ein „DSGVO-konform"-Badge allein sagt wenig. Erst der Blick auf Serverstandort und Subunternehmer zeigt, ob es stimmt.
Datensparsamkeit: nur erheben, was du wirklich brauchst
Die DSGVO verlangt Datenminimierung: Erhebe nur, was für die Stempelkarte und die Kommunikation nötig ist. Für die meisten Betriebe reicht ein Name und ein Kanal für Nachrichten, etwa über den Wallet-Pass selbst. Was du nicht abfragst, wie Geburtsdatum, Adresse oder Kaufhistorie im Detail, musst du auch nicht schützen, sichern oder irgendwann löschen.
Die Rechte deiner Kunden
Jeder Kunde hat gegenüber dir als Verantwortlichem eigene Rechte, die eine digitale Stempelkarte technisch abbilden können sollte:
- Auskunft: Ein Kunde darf erfahren, welche Daten über ihn gespeichert sind.
- Berichtigung: Falsche Angaben müssen korrigierbar sein.
- Löschung: Auf Wunsch müssen die Daten gelöscht werden können, nicht nur die Karte deaktiviert.
- Widerspruch/Opt-out: Die Abmeldung von Nachrichten muss jederzeit einfach möglich sein.
Checkliste zum Anbieter-Prüfen
Egal für welchen Anbieter du dich entscheidest, diese Fragen solltest du dir vor der Anmeldung stellen (Stand: Juli 2026):
| Frage an den Anbieter | Warum das wichtig ist |
|---|---|
| Wo stehen die Server? | Bestimmt, ob ein Drittlandtransfer und zusätzliche Absicherung nötig sind |
| Gibt es einen AVV zum Unterschreiben? | DSGVO-Pflicht, sobald jemand Kundendaten in deinem Auftrag verarbeitet |
| Ist die Einwilligung sauber dokumentiert? | Rechtsgrundlage für jede Sperrbildschirm-Nachricht, nachweisbar im Streitfall |
| Kann sich ein Kunde einfach abmelden? | Opt-out ist Pflicht, kein Rückweg über Anruf oder E-Mail nötig |
| Werden nur nötige Daten erhoben? | Datensparsamkeit ist Grundprinzip der DSGVO, nicht nur Empfehlung |
| Sind Auskunft und Löschung technisch möglich? | Betroffenenrechte müssen umsetzbar sein, nicht nur in der Erklärung stehen |
| Setzt der Anbieter Subunternehmer außerhalb der EU ein? | Entscheidet, ob zusätzliche Garantien wie SCC nötig sind |
Wie QARD das umsetzt
Bei QARD liegen die Daten deiner Kunden auf Servern in Deutschland, du bekommst einen AVV, und Sperrbildschirm-Nachrichten laufen nur mit dokumentierter Einwilligung, mit Opt-out für jeden Kunden. Details dazu und alle Rechtsgrundlagen im Einzelnen stehen in der Datenschutzerklärung.
Fazit in einem Satz: DSGVO-konform ist eine digitale Stempelkarte erst, wenn Einwilligung, AVV, Serverstandort und Kundenrechte nicht nur behauptet, sondern tatsächlich umgesetzt sind, und das solltest du bei jedem Anbieter selbst nachprüfen.
Noch einmal zur Einordnung: Dieser Artikel ist keine Rechtsberatung, sondern eine praktische Orientierung. Für eine verbindliche Einschätzung zu deinem konkreten Fall wende dich an einen Datenschutz-Anwalt oder deine zuständige IHK.
Was eine digitale Stempelkarte grundsätzlich leisten sollte, zeigt der Überblick, wie die Wallet-Karte im Alltag funktioniert, die Seite So funktioniert's. Alle Konditionen findest du auf der Preise-Seite.
Häufige Fragen zu Stempelkarte und DSGVO
Gilt die DSGVO für eine digitale Stempelkarte?
Ja. Sobald eine Karte einem Namen, einer Telefonnummer oder einem Gerät zugeordnet werden kann, verarbeitest du personenbezogene Daten, und die DSGVO greift, genau wie bei jeder anderen Kundendatenbank auch.
Brauche ich für eine digitale Stempelkarte eine Einwilligung meiner Kunden?
Für die reine Stempelkarte reicht meist das berechtigte Interesse an der Kundenbeziehung. Willst du deinen Kunden aber eine Sperrbildschirm-Nachricht schicken, also Werbung, brauchst du eine Einwilligung (Opt-in), die genauso einfach widerrufen werden kann (Opt-out).
Was ist ein AVV und brauche ich ihn für eine Stempelkarten-App?
Ein AVV, ein Auftragsverarbeitungsvertrag, regelt, wie der Anbieter deine Kundendaten in deinem Auftrag verarbeitet. Er ist DSGVO-Pflicht, sobald ein externer Dienstleister Kundendaten für dich speichert, also auch bei einer digitalen Stempelkarte.
Muss der Server einer digitalen Stempelkarte in Deutschland stehen?
Zwingend vorgeschrieben ist das nicht, ein Server in Deutschland oder der EU vereinfacht die Prüfung aber deutlich. Bei Anbietern außerhalb der EU kommen zusätzliche Anforderungen wie Standardvertragsklauseln oder ein Angemessenheitsbeschluss dazu.
Was kostet eine DSGVO-konforme digitale Stempelkarte mit QARD?
QARD kostet 49 € pro Monat netto, ohne Einrichtungsgebühr, monatlich kündbar. Server in Deutschland und ein AVV sind selbstverständlich Teil des Angebots.
Hol deine Kunden per Knopfdruck zurück.
Wir richten alles ein und liefern den fertigen Aufsteller. Du stellst ihn auf den Tresen, den Rest erledigt QARD im Hintergrund.
49 € / Monat netto · keine Einrichtungsgebühr · monatlich kündbar · Alle Konditionen ansehen