Sobald Sie Kundendaten für ein Treueprogramm erfassen, sind Sie Verantwortlicher im Sinne der DSGVO — auch als Einzelbetrieb mit fünfzig Kunden. Der Anbieter der Software ist Ihr Auftragsverarbeiter. Fehlt zwischen Ihnen beiden ein Vertrag, ist die Verarbeitung formal rechtswidrig, unabhängig davon, wie sorgfältig Sie sonst arbeiten.
In der Praxis wird dieser Punkt bei günstigen Treue-Apps oft übergangen. Für Sie ist das ein reales Risiko: Die Aufsichtsbehörde fragt beim Betrieb nach, nicht beim Anbieter.
Diese Seite listet auf, was Sie brauchen — und was Boncard davon von sich aus mitbringt. Sie ersetzt keine Rechtsberatung, gibt Ihnen aber die richtige Prüfliste an die Hand.
Ohne AVV keine zulässige Verarbeitung durch einen Dienstleister. Prüfen Sie, ob der Anbieter Ihnen einen AVV aktiv anbietet — oder ob Sie ihn erst anfordern müssen.
Die Kartenführung selbst läuft über den Vertrag mit dem Kunden. Werbung, Geburtstagsgrüße und Newsletter brauchen eine gesonderte, nachweisbare Einwilligung.
Daten dürfen nicht „für immer" bleiben. Sie brauchen dokumentierte Fristen und einen Weg, Auskunfts- und Löschanfragen zu beantworten.
Der Auftragsverarbeitungsvertrag wird bei der Anmeldung geschlossen und mit Zeitpunkt und Version dokumentiert — Sie müssen ihn nicht hinterherjagen.
Anwendung und Datenbank laufen in europäischen Rechenzentren (Amsterdam und Frankfurt am Main). Wo Dienstleister außerhalb der EU beteiligt sind, ist die Rechtsgrundlage in unserer Subprozessorenliste offengelegt.
Marketing- und Geburtstagsnachrichten gehen nur nach bestätigter Einwilligung raus. Zeitpunkt, IP und Quelle werden als Nachweis gespeichert — genau das, was im Streitfall verlangt wird.
Automatische Anonymisierung inaktiver Kunden (24 bis 60 Monate, von Ihnen wählbar), dokumentierte Aufbewahrungsfristen je Datenkategorie und ein 30-Tage-Verfahren beim Kontoende.
Wir setzen ausschließlich technisch notwendige Cookies und messen die Reichweite ohne Cookies und ohne Drittanbieter. Deshalb ist auf Ihrer Kartenseite kein Einwilligungsbanner erforderlich.
Kundendaten lassen sich vollständig exportieren — für Auskunftsersuchen nach Art. 15 und für den Fall, dass Sie den Anbieter wechseln wollen.
Diese Seite ist eine Orientierung, keine Rechtsberatung.
Ja. Art. 28 DSGVO kennt keine Untergrenze für die Betriebsgröße. Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, ist der Vertrag Pflicht.
Für die Kartenführung selbst ja — die Grundlage ist der Vertrag. Für Werbung, Newsletter und Geburtstagsgrüße reicht das nicht: Dafür brauchen Sie eine gesonderte, nachweisbare Einwilligung.
Bei Boncard gilt eine 30-tägige Schutzfrist mit Erinnerungen, danach werden die Daten gelöscht und der Vorgang protokolliert. Vorher können Sie alles exportieren.
Verantwortlicher gegenüber Ihren Kunden und der Aufsichtsbehörde bleiben Sie. Genau deshalb sollten Sie prüfen, ob der Anbieter Vorfälle überhaupt an Sie meldet — Art. 33 Abs. 2 DSGVO verpflichtet ihn dazu.
Nur, wenn Cookies oder ähnliche Techniken zum Einsatz kommen, die nicht technisch notwendig sind — etwa Analyse- oder Werbe-Tracking. Bei Boncard ist das nicht der Fall.
Konto anlegen, Leistungen eintragen, erste Karte ausgeben — ohne Zahlungsdaten und ohne App für Ihre Kunden.