Stempelkarte DSGVO-konform: Was Geschäftsinhaber 2026 wissen müssen

Auf einen Blick:

• Papierstempelkarten sind datenschutzneutral — aber die Praxis drumherum oft nicht
• Digitale Loyalty-Apps, die E-Mail oder Telefonnummer verlangen, unterliegen der DSGVO
• Wallet-native Treuekarten (Apple Wallet / Google Wallet) sammeln keine personenbezogenen Daten
• wieder.app's Ansatz: DSGVO-konform by design — kein Consent-Formular, kein Datenschutzbeauftragter nötig

„Darf ich überhaupt eine digitale Stempelkarte einsetzen?" Diese Frage stellen sich viele Geschäftsinhaber — und sie ist berechtigt. Die DSGVO-Bußgelder für Verstöße beginnen bei 20 Millionen Euro oder 4 % des Jahresumsatzes. Kein lokales Café kann sich das leisten.

Die gute Nachricht: Eine DSGVO-konforme Stempelkarte ist nicht nur möglich — sie ist mit dem richtigen Ansatz sogar der Standardfall, ohne dass du einen Datenschutzbeauftragten brauchst.

Was macht eine Stempelkarte zum DSGVO-Problem?

Die DSGVO greift nur dann, wenn personenbezogene Daten verarbeitet werden. Personenbezogene Daten sind alle Informationen, die eine Person direkt oder indirekt identifizierbar machen: Name, E-Mail-Adresse, Telefonnummer, Standortdaten, Geräte-IDs.

Fall 1: Papierstempelkarte ohne Kundendaten

Eine einfache Papierkarte, auf der nur gestempelt wird — keine Kundendaten, keine Liste — ist datenschutzneutral. Solange du die Identität des Karteninhabers nicht erfasst, gibt es nichts, das der DSGVO unterliegt.

Problem in der Praxis: Viele Geschäfte führen nebenbei eine handschriftliche Liste mit Kundennamen und Telefonnummern — oder notieren sie auf der Rückseite der Karte. Das ist eine Datenverarbeitung und erfordert eine Rechtsgrundlage nach DSGVO Art. 6.

Fall 2: Loyalty-App mit Registrierung

Apps wie Stamp Me, Loopy Loyalty oder eigene App-Lösungen verlangen typischerweise eine Registrierung mit E-Mail-Adresse, manchmal auch Telefonnummer und Geburtsdatum. Hier greift die DSGVO vollumfänglich:

• Einwilligungserklärung erforderlich (Art. 6 Abs. 1 lit. a DSGVO)
• Datenschutzerklärung muss vorhanden und verständlich sein
• Datenminimierungspflicht: Nur Daten erheben, die wirklich gebraucht werden
• Auskunfts- und Löschpflichten gegenüber Kunden
• Verarbeitungsverzeichnis muss geführt werden

Für viele kleine Unternehmen ist das ein erheblicher administrativer Aufwand — und ein reales Haftungsrisiko.

Fall 3: QR-Code-basierte Systeme

Systeme, die beim Scan eines QR-Codes Geräte-IDs oder IP-Adressen speichern, verarbeiten technisch personenbezogene Daten. Ob das in der Praxis ein Problem ist, hängt von der konkreten Implementierung ab — aber die Unsicherheit bleibt.

Die DSGVO-sichere Lösung: Wallet-native Treuekarte

Eine Apple Wallet oder Google Wallet Treuekarte löst das DSGVO-Problem an der Wurzel: Sie sammelt auf Seite des Geschäftsinhabers schlicht keine personenbezogenen Daten.

Wie das funktioniert:

1. Gast hält Smartphone ans NFC-Terminal
2. Das Terminal registriert einen anonymen Stempel-Event — keine Kundendaten
3. Die Kartenaktualisierung (neuer Stempelstand) wird an das Wallet des Gastes gesendet
4. Das Wallet ist auf dem Gerät des Kunden — nicht in deiner Datenbank

Was wieder.app über einen Gast weiß: Einen anonymen Stempel. Kein Name, keine E-Mail, keine Telefonnummer, keine Adresse.

Das entspricht exakt dem DSGVO-Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c): Es werden nur Daten verarbeitet, die zwingend erforderlich sind. Und für das Setzen eines Stempels ist kein Name erforderlich.

Was du trotzdem beachten solltest

Deine eigene Datenschutzerklärung

Auch wenn wieder.app keine Kundendaten sammelt, gilt: Wenn deine Website den Pixel-Tracker eines Drittanbieters trägt oder du selbst eine E-Mail-Adresse für den Newsletter speicherst, musst du das in deiner Datenschutzerklärung dokumentieren.

Server-Standort

Datenschutzbewusste Unternehmer fragen: Wo liegen die Daten? wieder.app betreibt seine Infrastruktur innerhalb der EU — ohne Datentransfer in Drittstaaten. Das erfüllt die Anforderungen an internationalen Datentransfer nach DSGVO Art. 44–49 ohne zusätzliche Maßnahmen.

Verarbeitungsverzeichnis

Selbst wenn du keine Kundendaten über das Treueprogramm sammelst, solltest du prüfen, ob du anderweitig Kundendaten verarbeitest (Buchungssystem, Newsletter, Kassensystem). Dann brauchst du ein Verarbeitungsverzeichnis — unabhängig vom Treueprogramm.

Vergleich: DSGVO-Risiko nach Treueprogramm-Typ

| Lösung | Personenbezogene Daten | DSGVO-Aufwand | Risiko | |--------|----------------------|---------------|--------| | Papierstempelkarte (pur) | Keine | Keiner | Gering | | Papierstempelkarte + Kundenliste | Name, Telefon | Hoch | Mittel–Hoch | | App mit Registrierung | E-Mail, Profil | Sehr hoch | Hoch | | QR-Code-System | Geräte-ID möglich | Mittel | Mittel | | Wallet-Karte (NFC, ohne Profil) | Keine | Keiner | Gering |

wieder.app Wallet-Karte liegt in der letzten Zeile: kein Datenschutzrisiko, kein Aufwand, keine Einwilligungs-Banner.

Häufige Fragen: DSGVO und Stempelkarte

Brauche ich für eine digitale Stempelkarte eine Einwilligungserklärung vom Kunden? Bei der wieder.app Wallet-Karte nicht. Da keine personenbezogenen Daten erhoben werden, gibt es nichts, für das eine Einwilligung nötig wäre. Der Gast entscheidet lediglich, ob er die Karte in sein Wallet aufnimmt.

Muss ich eine Datenschutzerklärung anpassen, wenn ich wieder.app einsetze? Wenn du wieder.app ausschließlich für das Stempelprogramm nutzt und keine anderen Kundendaten verarbeitest, ist keine Anpassung notwendig. Empfehlenswert ist es trotzdem, einen kurzen Hinweis in deine Datenschutzerklärung aufzunehmen.

Was passiert, wenn der Gast die Karte aus dem Wallet löscht? Der anonyme Stempelstand in wieder.app wird zurückgesetzt. Da keine personenbezogenen Daten gespeichert sind, gibt es nichts zu „löschen" im DSGVO-Sinne.

Kann ich DSGVO-konform Push-Benachrichtigungen senden? Ja. Push-Benachrichtigungen über das Wallet gehen an das Gerät des Kunden — nicht an eine E-Mail-Adresse oder Telefonnummer. Der Kanal ist technisch anonym und erfordert keine Einwilligung nach DSGVO.

Sind QR-Code-Systeme automatisch DSGVO-problematisch? Nicht automatisch — es hängt davon ab, ob beim Scan personenbezogene Daten gespeichert werden. Viele einfache QR-Systeme tun das nicht. Aber: QR-Codes können durch Screenshots missbraucht werden, was ein anderes Problem ist.

Wo werden die Daten bei wieder.app gespeichert? Auf europäischen Servern innerhalb der EU. Kein Datentransfer in die USA oder andere Drittstaaten.

Mehr Stammkunden, null Datenschutzrisiko.

Jetzt kostenlos registrieren — Wallet-Treuekarte einrichten, DSGVO-konform by design, NFC-Terminal inklusive.