Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der EU-Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten im Rahmen von Kartenkind ist:

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (§ 38 BDSG) nicht vorliegen.

2. Was Kartenkind ist — und wer welche Daten sieht

Kartenkind ist eine digitale Stempelkarte für lokale Geschäfte („Partner"). Wichtig zu wissen: Verantwortlich für die Verarbeitung deiner Daten ist ausschließlich Kartenkind — nicht das Geschäft, bei dem du Stempel sammelst.

Das Geschäft erhält zu keinem Zeitpunkt Zugriff auf deine personenbezogenen Daten, insbesondere nicht auf deine E-Mail-Adresse. Es kann jedoch deine Stempelkarten-Daten einsehen — also Stempelstand, Besuche und eingelöste Prämien seiner eigenen Stempelkarte, ohne Verknüpfung zu deiner E-Mail-Adresse oder anderen identifizierenden Angaben. Darüber hinaus sieht das Geschäft ausschließlich aggregierte Auswertungen (z. B. „X Treuekunden, Y Wiederbesuche"). Diese Trennung ist technisch über Datenbank-Zugriffsregeln (Row Level Security) abgesichert.

3. Nutzung der Stempelkarte ohne E-Mail-Adresse

Du kannst die Stempelkarte vollständig ohne Angabe personenbezogener Daten nutzen. In diesem Fall speichern wir lediglich ein Cookie („stamply_cid", Gültigkeit 12 Monate), das dein Gerät deiner Stempelkarte zuordnet, sowie die Stempel-Historie deiner Karte (Stempelstand, Zeitpunkte, eingelöste Prämien). Es werden weder E-Mail noch Name erhoben und kein IP-/Tracking-Protokoll geführt.

Dieses Cookie ist für die Funktion der Karte unbedingt erforderlich. Rechtsgrundlage der Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG, die der zugehörigen Verarbeitung Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses).

4. Nutzung mit E-Mail-Adresse und deine Einwilligungen

Wenn du deine Karte mit deiner E-Mail-Adresse verknüpfst, erheben wir ausschließlich deine E-Mail-Adresse. Namen, Telefonnummern, Geburtsdaten oder Anschriften werden nicht erfasst. Die Verknüpfung dient dazu, deine Karte geräteunabhängig wiederherstellen zu können (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO).

Darüber hinaus kannst du — jeweils freiwillig und getrennt — in Folgendes einwilligen:

5. Einwilligungsnachweise und Bestätigungslinks

Zum Nachweis deiner Einwilligung (Art. 7 Abs. 1 DSGVO) protokollieren wir Art und Zeitpunkt der Einwilligung sowie ggf. des Widerrufs, die IP-Adresse und Browser-Kennung (User-Agent) zum Einwilligungszeitpunkt und die Quelle der Einwilligung. Bei Bestätigungs- und Anmelde-Links speichern wir Ziel-E-Mail, IP-Adresse bei Anforderung und Klick, Browser-Kennung und Zeitpunkte; Link-Token werden ausschließlich als Hash gespeichert. Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht) und Art. 6 Abs. 1 lit. f DSGVO (Rechtsverteidigung).

Wird ein Bestätigungslink nicht innerhalb von 48 Stunden angeklickt, wird die Einwilligung nicht wirksam; der unbestätigte Datensatz (E-Mail-Adresse, IP, Browser-Kennung) wird spätestens 30 Tage nach Ablauf des Links automatisch gelöscht.

6. Karten- und Ereignisdaten

Rund um deine Treuekarte verarbeiten wir: aktuellen und gesamten Stempelstand, eingelöste Prämien, Status, Zeitpunkt des letzten Stempels, Besuchszahl und Kartenzyklus sowie ein Ereignisprotokoll (Stempel gesetzt/entfernt, Prämie eingelöst, ggf. gebuchter Betrag, Zeitpunkt, buchender Mitarbeiter). Sofern das Geschäft Umsätze bucht, werden Umsatzwerte deiner Karte zugeordnet.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Kartenbetrieb) und Art. 6 Abs. 1 lit. f DSGVO (Missbrauchs- und Betrugsprävention, Systemsicherheit). IP-Adressen werden zusätzlich kurzzeitig zur Missbrauchs- und Spam-Abwehr (Rate-Limiting) verarbeitet (Art. 6 Abs. 1 lit. f DSGVO).

7. Aggregierte Statistiken für Partnergeschäfte

Wir stellen unseren Partnern statistische Auswertungen über die Nutzung ihrer Stempelkarten zur Verfügung (z. B. Anzahl Treuekunden, Wiederbesuchsraten, Vergleichswerte). Diese Auswertungen sind aggregiert bzw. anonymisiert und lassen keinen Rückschluss auf einzelne Personen zu. Rechtsgrundlage der zugrunde liegenden Aufbereitung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung des vertraglichen Leistungsumfangs gegenüber Partnern); anonyme Ergebnisse unterliegen nicht der DSGVO.

8. Daten von Partnern (Geschäften)

Bei Registrierung eines Partner-Kontos verarbeiten wir: Name des Inhabers, Name des Geschäfts, E-Mail-Adresse, Passwort (verschlüsselt), Stammdaten des Betriebs (Anzeigename, Logo, Branche, Postleitzahl, Prämien- und Tarifdaten) sowie Daten der vom Partner angelegten Mitarbeiterzugänge (Benutzername, verschlüsselte PIN). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Abrechnungsdaten werden nach Maßgabe handels- und steuerrechtlicher Pflichten aufbewahrt (Art. 6 Abs. 1 lit. c DSGVO).

9. Wunsch-Formular („Kartenkind für deinen Lieblingsladen")

Auf kartenkind.com/wunsch kannst du uns mitteilen, in welchem Geschäft du dir Kartenkind wünschst. Dabei verarbeiten wir: Stadt, den oder die gewünschten Ladennamen (Freitext), optional deinen Vornamen, optional dein Karten-Kürzel (sofern du bereits eine Stempelkarte hast) sowie Zeitstempel und Einwilligungsstatus. Die IP-Adresse wird ausschließlich kurzfristig zur Missbrauchsabwehr (Rate-Limiting) verarbeitet und nicht mit deinem Wunsch dauerhaft verknüpft.

Wir nutzen diese Angaben ausschließlich intern, um zu erkennen, wo Interesse an Kartenkind besteht (Markterkundung und Produktentwicklung). Deine Angaben werden nicht an die genannten Geschäfte oder sonstige Dritte weitergegeben, und du erhältst auf dieser Grundlage keine Werbung.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du über das Häkchen im Formular erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst — eine formlose E-Mail an kartenkind.de@gmail.com genügt. Soweit eingetragene Ladennamen ausnahmsweise auf eine Einzelperson hinweisen (z. B. Inhabername im Geschäftsnamen), verarbeiten wir diese Angabe auf Grundlage unseres berechtigten Interesses an der Markterkundung (Art. 6 Abs. 1 lit. f DSGVO) — rein intern, ohne Kontaktaufnahme auf dieser Basis und ohne Veröffentlichung. Bitte trage nur Ladennamen ein, keine Namen von Privatpersonen.

Wir löschen deine Angaben spätestens 24 Monate nach Eingang oder führen sie nur noch in anonymisierter, aggregierter Form fort — auf deinen Wunsch jederzeit früher.

10. Server-Logfiles, Sicherheit und Verschlüsselung

11. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein, mit denen jeweils Auftragsverarbeitungsverträge bestehen:

Eine Weitergabe personenbezogener Daten an die Partnergeschäfte oder sonstige Dritte findet nicht statt. Wir betreiben keine Anreicherung mit Daten Dritter und bieten keine Finanz- oder Bonitätsprodukte an.

12. Speicherdauer

Kartendaten ohne E-Mail-Bezug speichern wir, solange die Karte aktiv ist; das Cookie stamply_cid läuft nach 12 Monaten ab. E-Mail-verknüpfte Konten speichern wir bis zur Löschung durch dich oder deinen Widerruf. Unbestätigte Registrierungsdatensätze werden spätestens 30 Tage nach Ablauf des Bestätigungslinks gelöscht. Einwilligungsnachweise bewahren wir bis 3 Jahre nach Ende des Jahres auf, in dem die Einwilligung widerrufen wurde bzw. die Verarbeitung endete (§§ 195, 199 BGB). IP-Adressen zum Rate-Limiting werden kurzfristig, in der Regel nach wenigen Tagen, gelöscht. Angaben aus dem Wunsch-Formular löschen oder anonymisieren wir spätestens nach 24 Monaten. Abrechnungsrelevante Daten unterliegen den gesetzlichen Aufbewahrungsfristen von 8 bzw. 10 Jahren (§ 147 AO, § 257 HGB).

13. Deine Rechte

Du hast gegenüber Kartenkind jederzeit folgende Rechte:

• Auskunft über deine bei uns gespeicherten Daten und deren Verarbeitung (Art. 15 DSGVO)
• Berichtigung unrichtiger personenbezogener Daten (Art. 16 DSGVO)
• Löschung deiner bei uns gespeicherten Daten (Art. 17 DSGVO)
• Einschränkung der Datenverarbeitung, sofern wir deine Daten aufgrund gesetzlicher Pflichten noch nicht löschen dürfen (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO)

Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich für alle Anliegen an kartenkind.de@gmail.com. Du hast zudem das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde; für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Lautenschlagerstraße 20, 70173 Stuttgart.

14. Geplante künftige Verarbeitungen

Wir entwickeln Kartenkind weiter. Folgende Funktionen sind perspektivisch geplant und werden ausschließlich mit deiner vorherigen, gesonderten Einwilligung eingeführt: personalisierte Angebotsempfehlungen auf Basis deines Kaufverhaltens (Profiling), geschäftsübergreifende Treueangebote (Koalitionsprogramme), standortbezogene Hinweise sowie die Nutzung von Daten zur Verbesserung unserer Systeme mittels KI. Ohne eine solche gesonderte Einwilligung finden diese Verarbeitungen nicht statt.

15. Automatisierte Entscheidungen, Änderungen, Kontakt

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Funktionsumfang ändern. Es gilt die jeweils hier veröffentlichte Fassung.

Bei Fragen zum Datenschutz erreichst du uns hier: