1. Verantwortlicher
Die verantwortliche Stelle im Sinne der DSGVO ist der im Impressum genannte Anbieter dieser Website.
2. Welche Daten wir verarbeiten
Team-, Vertriebs- und Unternehmenskonten: Anmeldedaten (Name bzw. E-Mail-Adresse, Passwort als Hash), verwaltet über unseren Authentifizierungs-Dienstleister Supabase. Für interne Team- und Unternehmenskonten wird keine echte E-Mail-Adresse erhoben — die Anmeldung erfolgt über einen intern erzeugten Namen, ohne Bezug zu einer privaten E-Mail-Adresse.
Mitarbeiterkonten der angeschlossenen Unternehmen: E-Mail-Adresse und Passwort (als Hash), zur Anmeldung im Dashboard des jeweiligen Unternehmens.
Kundenkarten: ein zufällig erzeugter Karten-Code, die Anzahl der Besuche/Stempel und der Zeitpunkt des letzten Besuchs. Es werden keine Namen, Telefonnummern oder sonstigen personenbezogenen Daten der Endkunden erfasst, sofern diese nicht freiwillig angegeben werden.
Freiwillige Angaben (Name, Geburtstag): Nach dem Hinzufügen einer Kundenkarte kann optional ein Name und/oder Geburtstag angegeben werden, damit das jeweilige Unternehmen seine Kundschaft persönlicher ansprechen kann (z. B. für eine Geburtstagsaktion). Diese Angabe ist freiwillig, setzt kein Kundenkonto und keine Anmeldung voraus und ist ausschließlich mit dem anonymen Karten-Code verknüpft. Eine Löschung kann jederzeit formlos beim jeweiligen Unternehmen oder über unsere Kontaktdaten angefragt werden.
Apple-Wallet-Karten: Wer die Kundenkarte zu Apple Wallet hinzufügt, registriert dabei ein von Apple erzeugtes, pseudonymes Geräte-Kennzeichen bei uns, damit die Karte automatisch aktualisiert werden kann. Dabei werden keine Namen oder Kontaktdaten übertragen. Die Übermittlung an Apple-Geräte erfolgt über Apples Push-Dienst (APNs); Apple erhält dabei technische Zustellinformationen gemäß seinen eigenen Datenschutzbestimmungen.
Zahlungsdaten (Unternehmen): Für die kostenpflichtige Nutzung der Plattform durch Unternehmen verarbeitet unser Zahlungsdienstleister Stripe Zahlungs- und Rechnungsdaten (u. a. Zahlungsmethode, Rechnungs- adresse, Transaktionshistorie). Wir selbst erhalten dabei keine vollständigen Zahlungsdaten (z. B. Kartennummern), sondern nur den Abrechnungsstatus.
Auszahlungskonten (Vertrieb): Vertriebsmitarbeiter, die ein Auszahlungskonto für ihre Provision einrichten, geben dafür bei unserem Zahlungs- dienstleister Stripe Identitäts- und Bankverbindungsdaten an (z. B. Name, Anschrift, Geburtsdatum, Kontodaten) — diese werden ausschließlich von Stripe zur Auszahlungsabwicklung verarbeitet, nicht von uns gespeichert.
Terminanfragen: Wer über unsere Website ein Beratungsgespräch anfragt, gibt Name, E-Mail-Adresse, optional Telefonnummer sowie einen optionalen Nachrichtentext und den Terminwunsch an. Diese Daten nutzen wir ausschließlich zur Vereinbarung und Durchführung des angefragten Gesprächs. Eine Terminanfrage setzt aktuell ein Nutzerkonto voraus. Die Bestätigung wird per E-Mail über unseren Versanddienstleister Resend verschickt.
Server-Logfiles: beim Aufruf der Website werden automatisch technische Informationen (z. B. IP-Adresse, Browsertyp, Zeitpunkt des Zugriffs) durch unseren Hosting-Anbieter Vercel verarbeitet.
3. Zweck der Verarbeitung
Die Verarbeitung erfolgt zur Bereitstellung des digitalen Treuekarten-Dienstes, zur Verwaltung von Team-, Unternehmens- und Mitarbeiterkonten, zur Bearbeitung von Terminanfragen sowie zur technischen Absicherung des Angebots (z. B. Missbrauchsschutz beim Stempeln).
4. Rechtsgrundlage
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, sicheren Betrieb). [PLATZHALTER: prüfen lassen]
5. Eingesetzte Dienstleister
Wir setzen folgende Auftragsverarbeiter bzw. Drittanbieter ein:
- Supabase — Datenbank und Authentifizierung.
- Vercel — Hosting und Ausführung der Website/Anwendung.
- Stripe — Zahlungsabwicklung (Abo-Abrechnung von Unternehmen) und Auszahlungen (Stripe Connect, Provisionsauszahlungen an Vertriebler).
- Resend — Versand transaktionaler E-Mails (z. B. Terminbestätigungen).
- Apple Inc. — Zustellung von Aktualisierungen für zu Apple Wallet hinzugefügte Kundenkarten über den Apple Push Notification Service.
[PLATZHALTER: Auftragsverarbeitungsverträge (AVV) mit allen genannten Anbietern abschließen bzw. deren Standard-AVV prüfen, Serverstandorte dokumentieren]
6. Speicherdauer
Kundenkarten, auf denen 24 Monate lang kein neuer Besuch gestempelt wurde, gelten als inaktiv und werden automatisch gelöscht. Konten von Team-Mitgliedern, Unternehmen und Mitarbeitern werden gelöscht, sobald die jeweilige Zusammenarbeit endet. [PLATZHALTER: konkrete Löschfrist für Terminanfrage-Daten festlegen]
7. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gemäß Art. 15–21 DSGVO sowie ein Beschwerderecht bei einer Aufsichtsbehörde.
Angemeldete Nutzer können ihre eigenen Daten jederzeit selbstständig im Dashboard unter „Mein Konto“ exportieren oder ihr Konto vollständig löschen. Für alle weiteren Anfragen wenden Sie sich formlos an die unten genannte Kontaktadresse.