Kundenkarte DSGVO: was das Datenschutzrecht von einem kleinen Geschäft verlangt

Kundenkarte DSGVO: Wer ist für die Kundendaten verantwortlich?

Bei Fragen zur Kundenkarte und zur DSGVO müssen Sie zuerst klären, wer darüber entscheidet, was mit den Daten geschieht. In der Regel ist das das Unternehmen, das die Karte anbietet: Es ist der Verantwortliche, muss die Grundsätze aus Artikel 5 der Verordnung (EU) 2016/679, der DSGVO, einhalten und muss deren Einhaltung nachweisen können. Der Anbieter der Software, auf der die Karten laufen, handelt in der Regel als Auftragsverarbeiter, und zwar auf Grundlage eines Vertrags, der, wie die italienische Behörde (der Garante) betont, Artikel 28 genügen muss.

Bei Iterum nennt die Datenschutzinformation, die Kunden von ihrer eigenen Karte aus öffnen, das Geschäft als Verantwortlichen und FIDUS S.R.L. als Auftragsverarbeiter, der die Plattform bereitstellt. Kunden müssen kein Kästchen anhaken, um die Karte zu erhalten: Mit dem Hinzufügen oder Anlegen akzeptieren sie die Kartenbedingungen und bestätigen, die Information gelesen zu haben; zusätzliche Prämien und Angebote sind dagegen eine getrennte, freiwillige Entscheidung, «Sì, li voglio» (Ja, ich möchte sie) oder «No, grazie» (Nein, danke). Fidus ist nur für in der Vergangenheit erteilte Einwilligungen in Iterum-Neuigkeiten ein eigenständiger Verantwortlicher: Iterum holt sie nicht mehr ein.

Dieser Ratgeber fasst offizielle Quellen für Inhaber kleiner Unternehmen zusammen, und zwar italienische Quellen, weil Iterum italienische Geschäfte bedient. Er ist keine Rechtsberatung: Für Ihren eigenen Fall fragen Sie einen Datenschutzberater oder Ihren Steuerberater. Außerhalb Italiens prüfen Sie bitte die nationalen Vorschriften und die zuständige Behörde in Ihrem Land.

Welche Daten sollte eine Kundenkarte abfragen?

Der Grundsatz der Datenminimierung in Artikel 5 der DSGVO verlangt Daten, die angemessen und erheblich sind und auf das notwendige Maß beschränkt bleiben. Für Kundenkarten hatte der Garante das bereits in seiner allgemeinen Verfügung vom 24. Februar 2005 konkretisiert: Allein zu Kundenbindungszwecken dürfen nur die Daten verarbeitet werden, die zur Gewährung der Vorteile der Karte nötig sind, also die Daten, die den Karteninhaber identifizieren, und, wo wirklich erforderlich, der insgesamt ausgegebene Betrag, ohne Angaben zu einzelnen Produkten.

Bei einer Stempelkarte besteht das Wesentliche oft aus einer einzigen Angabe: dass diese Karte diese Besuche gesammelt hat, etwa die Frühstücke auf einer Kundenkarte für Cafés oder die Haarschnitte auf einer Kundenkarte für Barbershops. Name, E-Mail oder Telefonnummer können Mitarbeitern helfen, den Kunden wiederzuerkennen oder die Karte nach einem Handywechsel wiederherzustellen; ein Geburtsdatum ist nur sinnvoll, wenn Sie wirklich eine Geburtstagsprämie anbieten. Ideen für die Wahl der Prämie finden Sie im Ratgeber zu Prämienideen für Kundenkarten.

Müssen Kunden einer Kundenkarte zustimmen?

Für die Karte selbst in der Regel nicht. Artikel 6 der DSGVO sieht neben der Einwilligung mehrere Rechtsgrundlagen vor, darunter die Vertragserfüllung und berechtigte Interessen. Der Garante schrieb 2005, dass die Verarbeitung für Kundenbindungszwecke im engeren Sinn zur Erfüllung des Vertrags mit dem Kunden erforderlich ist und es in diesem Fall nicht korrekt ist, eine Einwilligung zu verlangen.

Eine Einwilligung ist dagegen für alles nötig, was über die Karte hinausgeht: Profiling und Marketing. Die Verfügung von 2005 verlangt für jeden dieser Zwecke eine spezifische, informierte und gesonderte Einwilligung und stellt klar, dass der Beitritt zum Programm nicht von dieser Einwilligung abhängig gemacht werden darf. Die Zusammenfassung der Pflichten der Verantwortlichen durch den Garante ergänzt nach Artikel 7 der DSGVO, dass die Einwilligung von anderen Erklärungen unterscheidbar sein muss, widerrufen werden kann und nie stillschweigend erfolgt: keine vorangekreuzten Kästchen.

In der Datenschutzinformation der Iterum-Karte beruht der Betrieb der Karte auf der Erfüllung des Kartenvertrags, dessen Bedingungen der Kunde mit dem Hinzufügen oder Anlegen der Karte akzeptiert, ohne Kästchen zum Anhaken, während die Angebote des Geschäfts eine getrennte, freiwillige Einwilligung sind: Die Karte fragt »Möchten Sie zusätzliche Prämien und Angebote von … erhalten?«, und der Kunde antwortet »Ja, ich möchte sie« oder »Nein, danke«, ohne dass etwas vorausgewählt ist. Wer ablehnt, kann die Karte trotzdem nutzen, und unter 14 Jahren wird die Frage nie gestellt. Iterum holt keine Einwilligung mehr für eigene Neuigkeiten ein. Seit dem 17. Oktober 2026 nennt die Information außerdem, woher der Kunde kam, also von der Einladung eines Freundes (»Bring a friend«) oder vom QR-Code eines Promoters des Geschäfts, und führt Empfehlungsprämien unter den Zwecken auf, auf denselben Rechtsgrundlagen wie die Karte; wenn Mitarbeiter die Karte lesen, sehen sie nur den Kurznamen der Person, die den Kunden eingeladen hat.

Was in die Datenschutzinformation einer Kundenkarte gehört

Die Information muss vor der Erhebung der Daten in klarer und einfacher Sprache erteilt werden. Nach der Zusammenfassung der Pflichten der Verantwortlichen durch den Garante, die die Artikel 12 und 13 der DSGVO abdeckt, muss sie mindestens die Punkte der folgenden Liste enthalten.

Die Verfügung von 2005 ergänzt ein sehr praktisches Detail für alle, die an einer Theke arbeiten: Es ist nicht korrekt, Kunden zum Beitritt zu drängen, ohne dass sie Zeit haben, die Information zu lesen, etwa indem man sie um eine schnelle Unterschrift bittet, während sie an der Kasse anstehen. Ein QR-Code, den Kunden in Ruhe öffnen können, am Tisch oder zu Hause, hilft dabei: Tipps, wo Sie ihn anbringen, finden Sie im Ratgeber zur Kundenkarte mit QR-Code.

• Wer der Verantwortliche ist und wie man ihn erreicht, dazu der Datenschutzbeauftragte, falls es einen gibt
• Die Zwecke und die jeweilige Rechtsgrundlage, mit der Karte getrennt vom Marketing
• Wer die Daten erhält, zum Beispiel der Softwareanbieter als Auftragsverarbeiter
• Wie lange Sie sie speichern oder nach welchen Kriterien Sie die Dauer festlegen
• Die Rechte des Kunden und das Recht auf Beschwerde bei der Aufsichtsbehörde
• Etwaige Übermittlungen in Länder außerhalb der EU und die eingesetzten Garantien

Wie lange sollten Daten einer Kundenkarte gespeichert werden?

Die DSGVO nennt keine Zahl von Monaten: Der Grundsatz der Speicherbegrenzung verlangt, Daten nur so lange aufzubewahren, wie der Zweck es erfordert. Für Kundenkarten bleibt die konkreteste Referenz die Verfügung des Garante von 2005: Einzelheiten zu Einkäufen identifizierbarer Kunden dürfen für das Profiling höchstens 12 Monate und für Marketing höchstens 24 Monate gespeichert werden; wird die Karte zurückgezogen, läuft sie ab oder wird sie zurückgegeben, sollten zu Verwaltungszwecken gespeicherte Daten nicht länger als drei Monate aufbewahrt werden, sofern das Gesetz nichts anderes verlangt.

Lesen Sie das mit zwei Einschränkungen: Die Verfügung betrifft allgemein die Karten großer Handelsunternehmen und stammt aus der Zeit vor der DSGVO, denn sie verweist auf den alten italienischen Datenschutzkodex. Sie bleibt jedoch die konkreteste Orientierung, die der Garante zu Kundenkarten gegeben hat, und es lohnt sich, sie bei der Wahl der Frist für Ihre Datenschutzinformation im Hinterkopf zu behalten.

In der Datenschutzinformation der Iterum-Karte beträgt die Frist 24 Monate ab der letzten Nutzung der Karte; danach werden die Daten automatisch gelöscht oder anonymisiert, die Karte wird deaktiviert, und die Summen des Geschäfts behalten Besuche, Punkte und Prämien ohne den Namen des Kunden.

Ein Kunde verlangt seine Daten oder deren Löschung: was tun?

Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch sind Rechte aus den Artikeln 15–22 der DSGVO. Nach der Zusammenfassung des Garante muss der Verantwortliche ihre Ausübung erleichtern und innerhalb eines Monats antworten, bei komplexen Fällen verlängerbar auf drei Monate, wobei innerhalb des ersten Monats immer eine Antwort erfolgen muss, auch bei einer Ablehnung.

Legen Sie in der Praxis vorab fest, wer im Geschäft Anfragen bearbeitet und wo die Daten liegen. In jedem Iterum-Tarif listet der Aktivierungsablauf Datenschutzwerkzeuge für Kundenanfragen, Datenexport und Speicherdauer auf, zusammen mit dem Profil jedes Kunden und seinen Einwilligungen. Kunden wiederum können Name, Geburtsdatum, E-Mail und Telefonnummer auf ihrer eigenen Karte entfernen.

Angebote an Kunden mit Kundenkarte: Wann dürfen Sie sie senden?

Eine Kundenkarte gibt Ihnen für sich genommen kein Recht, Angebote zu versenden. Marketing braucht die oben beschriebene spezifische Einwilligung, getrennt von der Karte eingeholt und jederzeit widerrufbar; für E-Mails, SMS und andere automatisierte Nachrichten verwies die Verfügung von 2005 zudem auf die besonderen Regeln zu unerbetenen Mitteilungen.

Bei Iterum erreichen die Nachrichten des Geschäfts nur Kunden, die bei zusätzlichen Prämien und Angeboten »Ja, ich möchte sie« gewählt haben, im Rahmen der monatlichen Grenzen des Tarifs, und Kunden können sie mit einem Tipp auf ihrer eigenen Karte ausschalten. Wenn Sie Kunden erneut ansprechen möchten, schreiben Sie in die Information, was Sie versenden und wie oft, damit Kunden wissen, wozu sie zustimmen.

Um die Information, die Anmeldung und die Entscheidung über zusätzliche Prämien und Angebote aus Sicht des Kunden zu sehen, bevor Sie jemanden einladen, können Sie die Karte einrichten und 7 Tage kostenlos testen: Sie zahlen heute 0 €, eine Zahlungskarte ist erforderlich, und der gewählte Tarif läuft nach der Testphase weiter, sofern Sie nicht kündigen.

Datenschutz-Checkliste für die Kundenkarte vor dem Start

Sechs Schritte für ein kleines Unternehmen, für Papier- und digitale Karten gleichermaßen. Die Teilnahmebedingungen des Programms und die Frage der Gewinnspiele behandelt der Ratgeber zu den Regeln für Kundenbindungsprogramme in Italien.

1. Listen Sie die abgefragten Daten und den Grund auf

   Behalten Sie nur, was die Karte braucht; machen Sie Name und Kontaktdaten optional, wenn die Prämie auch ohne sie vergeben werden kann.

2. Bereiten Sie die Datenschutzinformation vor

   Verantwortlicher, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Rechte und Beschwerderecht, lesbar vor dem Beitritt.

3. Trennen Sie die Einwilligungen

   Ein Kästchen für jeden Marketing- oder Profiling-Zweck, nie vorangekreuzt, und die Karte funktioniert auch ohne jeden Haken.

4. Wählen Sie die Speicherdauer und geben Sie sie an

   Nennen Sie, wie lange Sie die Daten aufbewahren und was geschieht, wenn ein Kunde die Karte nicht mehr nutzt.

5. Prüfen Sie den Vertrag mit Ihrem Anbieter

   Wenn eine Software die Karten für Sie betreibt, muss das Verhältnis so gestaltet sein, wie es Artikel 28 der DSGVO verlangt.

6. Legen Sie fest, wer Anfragen beantwortet

   Ein Name und eine E-Mail-Adresse für Auskunfts- und Löschanfragen, mit einer Antwort innerhalb eines Monats.

Quellen und Methode

Am 11. Oktober 2026 eingesehene Quellen: Garante per la protezione dei dati personali, «Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione», allgemeine Verfügung vom 24. Februar 2005, doc. web 1103045; Garante, «Doveri - Come trattare correttamente i dati», doc. web 8981258, für die Artikel 5, 6, 7, 12, 13, 15–22 und 28 der DSGVO (beide auf Italienisch; die deutschen Wiedergaben stammen von uns). Der offizielle Text der Verordnung (EU) 2016/679 auf EUR-Lex war von unserem System am Tag der Prüfung nicht erreichbar; die Verweise auf die Artikel folgen der Zusammenfassung des Garante.

Die Angaben zu Iterum stammen aus der Datenschutzinformation, die Kunden von ihrer eigenen Karte aus öffnen (Version informativa_cliente_v4 mit Stand 4. November 2026, als vorläufig gekennzeichnet), und, mit Stand 4. November 2026, aus der Anmeldeseite und dem Kartenprofil, der Übersichtsseite von Iterum und dem Aktivierungsablauf; siehe auch die Datenschutzinformation von Iterum. Dieser Ratgeber ist keine Rechtsberatung und bescheinigt nicht, dass ein Programm den Vorschriften entspricht.