Wem gehören die Kundendaten im Treueprogramm? So exportierst du sie

Die Kundenliste in deinem Treueprogramm gehört dir. Nach der DSGVO ist das Geschäft, das die Karte ausgibt, der Verantwortliche (also derjenige, der entscheidet, wozu die Daten erhoben werden), und das Treue-Tool ist nur Auftragsverarbeiter (die Software, die die Daten nach deinen Anweisungen für dich speichert und verarbeitet). Diese Aufteilung entscheidet, wer die Daten deiner Kunden exportieren, löschen oder weiterverwenden darf. Der Haken ist der Vertrag: Die AGB eines Tools können trotzdem vorsehen, dass deine Kunden in dessen eigener App landen, mit den Kunden anderer Läden in einen Topf geworfen werden oder die Liste beim Anbieter bleibt, wenn du gehst. Lies also die drei Punkte unten, bevor du unterschreibst.

Die meisten Artikel zu diesem Thema richten sich an die Datenteams großer Marken: Ownership-Modelle, Governance-Gremien, KI-Audits. Dieser hier ist für die Inhaberin oder den Inhaber von ein paar Läden, die gerade dabei sind, einen Jahresvertrag zu unterschreiben, und deren Geschäftspartner eben gefragt hat: „Und wem gehört die Kundenliste, uns oder denen?“ Die Auswertungen über deine Kunden sind nur etwas wert, wenn die Liste dahinter dir gehört und bei dir bleibt. Deshalb fangen wir genau da an. Das hier ist keine Rechtsberatung; die Artikel des Gesetzes sind jeweils genannt, damit du den Wortlaut selbst nachlesen kannst.

#Wem gehören die Kundendaten in einem Treueprogramm?

Dir, und zwar in dem Sinn, auf den es ankommt. Die DSGVO benutzt das Wort „gehören“ gar nicht. Sie fragt, wer entscheidet, warum und wie personenbezogene Daten verwendet werden. Das ist der Verantwortliche, und wenn du eine Treuekarte ausgibst, bist das du. Die Firma, die die Software betreibt, ist Auftragsverarbeiter: Sie darf die Daten nur nach deinen dokumentierten Anweisungen verarbeiten (Artikel 28). Derselbe Artikel sagt, dass der Auftragsverarbeiter einen Vertrag mit dir braucht, in dem steht, was er mit den Daten macht, und dass er die Daten am Ende der Zusammenarbeit löscht oder zurückgibt, je nachdem, was du willst.

Die Frage an ein Treue-Tool lautet also nicht „Wem gehören die Daten?“. Sie lautet: „Wo ist euer Auftragsverarbeitungsvertrag, und was steht drin?“ Ein AVV (auf Englisch DPA) ist genau der Vertrag, den Artikel 28 verlangt. Verlang ihn, bevor du unterschreibst, nicht danach, und such darin nach den drei Sätzen unten.

Damit du etwas zum Vergleichen hast, hier das, was im Auftragsverarbeitungsvertrag von Passtastic steht (Stand: 1. Oktober 2026): „Wir verarbeiten die Daten deiner Kunden nur nach deinen Anweisungen.“ „Wir nutzen die Daten deiner Kunden nicht für eigene Zwecke.“ „Wir verkaufen sie nicht und geben sie nicht an andere Händler weiter.“ Er gilt automatisch für jedes Konto, und die Datenschutzerklärung unter passtastic.io/privacy-policy listet auf, was erhoben wird und wer es verarbeitet. Dieselben drei Sätze kannst du von jedem Anbieter schriftlich verlangen: Schick die beiden Seiten an deinen Partner und bitte die anderen Anbieter um ihre.

Noch eine Einschränkung, bevor es weitergeht. Ein Vertrag mit dem Auftragsverarbeiter nimmt dir die rechtliche Pflicht nie ab. Artikel 5 sagt, der Verantwortliche „ist für die Einhaltung verantwortlich und muss sie nachweisen können“. Das Tool bewahrt die Daten sicher auf; entschieden, sie zu sammeln, hast aber du, und bei dir meldet sich auch der Kunde, wenn er etwas will.

#Was darf ein Treue-Tool mit deiner Liste machen? Drei Dinge zum Prüfen

Auf dem Papier regelt der Vertrag, wem die Daten gehören. In der Praxis regeln das drei Dinge, die man in den AGB leicht übersieht.

1. 1Eine App oder ein Verzeichnis für Endkunden. Wenn das Tool eine eigene App oder Website für Kunden hat, prüf, ob deinen Kunden darin andere Geschäfte angezeigt werden, und ob du das abschalten kannst. Du willst nicht, dass deine Stammgäste sich für deine Karte anmelden und auf dem nächsten Bildschirm das Café gegenüber sehen. Bei Passtastic gibt es keine App von uns, die sie öffnen müssten: Die Karte liegt in Apple Wallet oder Google Wallet, und weder du noch deine Kunden brauchen dafür eine App.
2. 2Zusammengeworfene oder geteilte Daten. Verbundprogramme, bei denen sich mehrere Marken eine Karte teilen, geben dir am wenigsten Kontrolle, weil die Mitglieder beim Netzwerk liegen, nicht bei dir. Aber auch außerhalb solcher Verbünde: Lies nach, ob der Anbieter die Daten deiner Kunden „aggregieren“, über mehrere Geschäfte hinweg auswerten oder KI-Modelle damit trainieren darf. Solche Formulierungen bedeuten: Deine Liste füttert etwas anderes als deine Karte.
3. 3Was passiert, wenn du gehst. Kannst du jederzeit alles exportieren, ohne zu fragen? Und wenn du kündigst: Werden die Daten gelöscht, behalten, oder behalten und genutzt? Passtastic zum Beispiel löscht die Daten deiner Kunden nicht automatisch, wenn ein Abo endet; du kannst sie exportieren, solange das Konto aktiv ist, und wenn du sie weghaben willst, schreibst du eine E-Mail, und sie werden unverzüglich entfernt. Der AVV nennt dafür keine feste Zahl von Tagen; wenn dir eine Frist wichtig ist, lass sie dir schriftlich geben. Wie auch immer die Antwort ausfällt: Hol sie dir schriftlich, bevor 2.000 Leute auf deiner Karte sind.

Drei Fragen, die du einem Anbieter genau so schicken kannst, wie sie hier stehen:

“

1. Kann ich die Daten aller meiner Kunden jederzeit selbst exportieren, ohne Sie zu kontaktieren?

2. Nutzen, teilen oder zeigen Sie die Daten meiner Kunden für irgendetwas anderes als den Betrieb meiner Karte? Bitte nennen Sie mir die Klausel.

3. Was passiert mit den Daten, wenn ich kündige, wie lasse ich sie löschen, und innerhalb von wie vielen Tagen?

“

Mit einem Anbieter, der alle drei in je zwei Zeilen beantwortet, kannst du arbeiten.

Wenn du zwischen einer Karte und einer eigenen Treue-App schwankst: Eine App ändert an dieser Frage nichts. Dein Entwickler oder deine App-Plattform ist genauso Auftragsverarbeiter und braucht denselben Vertrag.

#Was sammelt eine Wallet-Treuekarte eigentlich?

Weniger, als viele befürchten, und nur das, wonach du fragst. Wenn du eine Wallet-Treuekarte einrichtest, wählst du aus, welche Angaben das Anmeldeformular abfragt: Vorname, Nachname, E-Mail, Telefon, Geburtstag und Adresse, plus eigene Fragen ab Multi-Location. Jedes Feld, das du einschaltest, ist ein Pflichtfeld; ist die Datenerfassung aus, gibt es gar kein Formular, und der Kunde fügt die Karte direkt hinzu. Bei der Anmeldung stimmen die Kunden deiner Datenschutzerklärung zu.

Ab dann hält die Karte von selbst fest, was auf ihr passiert: Besuche, Stempel oder Punkte, den Fortschritt bis zur Belohnung, welche Karte jemand hat und ob sie in der Wallet liegt. Apple oder Google vergeben außerdem für jede installierte Karte ein Wallet-Push-Token (die technische Kennung, über die sich die Karte auf diesem Handy aktualisiert). Laut Datenschutzerklärung von Passtastic wird es ausschließlich dafür genutzt, Karten-Updates zuzustellen.

Wie viel kommt da zusammen? Unter 265 Passtastic-Betrieben der letzten 12 Monate mit mindestens 10 Mitgliedern lag der Median bei 30 Kunden im ersten Monat. Nach vier Wochen hast du also typischerweise dreißig Datensätze. Das ist wenig, und trotzdem sind es vom ersten Tag an personenbezogene Daten.

Datensparsamkeit, einfach gesagt: Frag nur nach dem, was du auch nutzt. Wenn du nie ein Geburtstagsgeschenk schickst, frag nicht nach dem Geburtstag. Eine Café-Gruppe braucht keine Postadresse. Je mehr ein Feld über eine Person verrät (ein Geburtstag, eine Wohnadresse), desto besser muss dein Grund sein, danach zu fragen.

Wofür die Liste da ist, wenn sie erst mal dir gehört: Damit du weißt, wer neu ist, wer Stammgast ist und wer sich nicht mehr blicken lässt. Die Seite Customers (Kunden) in Passtastic legt diese Gruppen in jedem Tarif automatisch für dich an, darunter neue Mitglieder und alle, die seit 30 Tagen nicht mehr da waren. Von derselben Seite aus kannst du einer Gruppe schreiben, einen Stempel oder Punkte vergeben oder eine Notiz hinterlassen. Achten solltest du auf die einfachen Zahlen: Wie viele Leute sind wiedergekommen, wie viele sind noch aktiv, und wie viele Karten sind bereit zum Einlösen. Bleibt die letzte Zahl nahe null, heißt das meist, dass die Karte zu schwer vollzukriegen ist, nicht, dass die Kunden faul sind.

Ein Satz für die Anmeldung, den du für deine Datenschutzerklärung oder das Schild an der Theke übernehmen und anpassen kannst, hier für ein Café namens Bean & Bridge (ein Beispiel, kein Rechtstext): „Wir nutzen deinen Namen und deine Telefonnummer, um deine Bean & Bridge-Karte zu führen und dir Bescheid zu geben, wenn es bei uns Belohnungen und Angebote gibt. Wir geben sie an niemanden weiter. Sag uns einfach, wenn du sie einsehen, ändern oder löschen lassen willst.“

#DSGVO-Grundlagen für einen kleinen Laden, in fünf Zeilen

Das Gesetz ist lang. Für eine Treuekarte reichen fünf Zeilen für das meiste, was du tun musst, jeweils mit dem Artikel dazu:

Gilt das für ein Café mit einem einzigen Laden? Ja. Artikel 3 legt den Geltungsbereich danach fest, wo das Unternehmen niedergelassen ist, und nennt keine Untergrenze bei Größe oder Umsatz. In Großbritannien gelten dieselben Regeln als UK GDPR weiter, und die Datenschutzbehörde ICO veröffentlicht Leitfäden für kleine Organisationen und Einzelunternehmer. In den USA gilt Kaliforniens CCPA für Unternehmen mit mehr als 25 Millionen US-Dollar Umsatz oder für solche, die die persönlichen Daten von 100.000 oder mehr Einwohnern oder Haushalten Kaliforniens kaufen, verkaufen oder teilen, neben weiteren Schwellen. Die meisten unabhängigen Läden fallen also nicht darunter; wer in den USA sitzt, prüft die Regeln des eigenen Bundesstaats. Wo auch immer du sitzt: Wenn jemand „Lösch mich“ sagt, mach es einfach. Es kostet dich nichts, und das gute Verhältnis bleibt.

Ja, die Bußgelder gibt es (bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes in der oberen Stufe), aber für einen Laden ist das realistische Risiko kein Bußgeld. Es ist ein Stammgast, der sich hintergangen fühlt und das weitererzählt.

#So exportierst du deine Kundenliste

In Passtastic sind es zwei Klicks, und das in jedem Tarif, Single Location eingeschlossen. Du brauchst die Rolle Editor oder höher.

1. 1Öffne Customers (Kunden) in der Seitenleiste.
2. 2Wenn du nur einen Teil der Liste willst, filtere nach Karte oder nach Status (zum Beispiel nur aktive Kunden).
3. 3Klick auf Download customers (Kunden herunterladen), oben rechts neben der Suchleiste.

Die Datei heißt passusers_YYYY-MM-DD.csv und lässt sich in Excel, Google Sheets oder Numbers öffnen. Jede Zeile ist eine Karte: Name, Vorname, Nachname, E-Mail, Telefon, Kartenname und -typ, Status, Erstelldatum, Ablaufdatum und alle eigenen Felder wie der Geburtstag. Ein Kunde mit zwei Karten steht in zwei Zeilen; die Spalte Person Key enthält in beiden denselben Wert. Sortier die Tabelle nach dieser Spalte, dann stehen die Karten jeder Person untereinander.

Diese CSV ist auch das, was Artikel 20 mit „einem strukturierten, gängigen und maschinenlesbaren Format“ meint. Wenn du zu einem anderen Tool wechselst, ist das die Datei dafür. Wenn ein einzelner Kunde seine eigenen Daten will, schick ihm nie den kompletten Export, denn der enthält alle Kunden auf der Karte: Öffne seinen Datensatz auf der Seite Customers und schick ihm, was drinsteht, oder lösche in einer Kopie der CSV alle Zeilen außer seinen (die mit seinem Person Key), bevor du sie verschickst.

Zwei Wege, die ohne Datei auskommen. Ab Multi-Location kann Zapier jede neue Anmeldung, jeden Stempel und jede Belohnung an die Tools schicken, die du schon nutzt, und für ein eigenes Setup machen API und Webhooks dasselbe. Bei Single Location exportierst du von Hand. So oder so: Überleg dir gut, ob du die Liste in ein Newsletter-Tool kopierst. Bei der Anmeldung hast du den Leuten gesagt, wofür du ihre Daten nutzt, und eine wöchentliche E-Mail stand da vielleicht nicht drin. Wenn nicht, frag erst. Die Wallet-Benachrichtigung ist der Kanal, für den sie sich angemeldet haben; hier steht, was sie verschicken kann.

#Was tun, wenn ein Kunde sagt: „Lösch meine Daten“?

Lösch ihn, unverzüglich und spätestens innerhalb eines Monats (bei komplizierten Anfragen erlaubt das Gesetz zwei Monate mehr, aber kompliziert wird deine nicht sein). Das regeln Artikel 17 und Artikel 12(3). Für einen Laden ist das selten mehr als ein Gespräch, ein paar Klicks und einmal DELETE tippen.

In Passtastic kann der Kunde die Anfrage selbst anstoßen. Auf seiner Seite „My details“ (Meine Daten) bestätigt er einen sechsstelligen Code aus der E-Mail und bittet um Löschung. Gelöscht ist damit noch nichts; er wird in deiner Kundenliste als „Deletion requested“ (Löschung angefragt) markiert, und du entscheidest:

• Erase (Löschen): öffnet Delete permanently für diesen Kunden und beendet seine Sitzungen. Das können nur Admins und Owner.
• Dismiss (Verwerfen): entfernt die Markierung, ohne etwas zu löschen, für Anfragen, die aus Versehen kamen oder sich anders geklärt haben. Das kann jeder ab der Rolle Editor.

Von Hand löschen: Öffne Customers, öffne den Kunden, wähl im Menü ⋯ den Punkt Delete permanently (Endgültig löschen), entscheide, ob nur diese Karte oder die Person mit allen ihren Karten weg soll, tipp DELETE und klick auf Delete forever. Um mehrere auf einmal zu löschen, hakt ein Admin oder Owner die Zeilen in Customers an und klickt in der Leiste, die dann erscheint, auf Delete permanently. Rückgängig machen lässt sich das in beiden Fällen nicht. Gelöscht werden Profil, Besuche, Punkte und Scan-Verlauf; ein paar Einträge bleiben ohne persönliche Angaben erhalten (Nachrichten-Protokolle ohne den Text, Zahlungsdaten ohne die E-Mail).

Eins kann das Gesetz nicht ändern: Die Karte bleibt auf dem Handy des Kunden. Apple und Google erlauben keinem Anbieter, einen Pass von einem Gerät zu entfernen. Sie funktioniert dann einfach nicht mehr und rutscht in den Bereich der abgelaufenen Karten. Wenn der Kunde fragt, sag ihm, dass sie nicht mehr aktiv ist und er sie einfach vom Handy löschen kann.

Bei Duplikaten und Mitgliedern, die vielleicht wiederkommen, nimm stattdessen Mark inactive (Als inaktiv markieren). Das sperrt die Vorteile am Scanner, behält Verlauf und Guthaben und lässt sich jederzeit zurücknehmen. Heb dir Delete permanently für die echte Anfrage auf, und für Mitglieder, denen du nie wieder schreiben wirst.

#Wer in deinem Team kann die Liste sehen und exportieren?

Eine Liste ist nur so vertraulich wie dein neuestes Teammitglied. Passtastic hat vier Rollen, und bei den Daten kommt es auf zwei Fragen an: Wer darf exportieren, und wer darf löschen?

Wie weit eine Rolle reicht, hängt von deinem Tarif ab. Bei Single Location (ein Laden) sind 2 Teammitglieder drin, bei Multi-Location (bis zu 3 Läden) 5; in beiden sieht jeder Editor die ganze Liste über alle Läden hinweg und kann sie exportieren. Gib die Rolle Editor also nur Leuten, denen du die Liste auch so anvertrauen würdest. Groups & Brands (bis zu 10 Läden, 20 Teammitglieder) ist der Tarif, in dem du einen Viewer oder Editor auf bestimmte Läden beschränken kannst; ein eingeschränkter Viewer sieht keine E-Mail-Adressen und Telefonnummern von Kunden und kann nicht exportieren. Drei Cafés passen also in Multi-Location, mit einer gemeinsamen Liste für alle Editors. Wenn du eine Karte an allen Standorten führst und jede Filialleitung nur den eigenen Laden sehen soll, brauchst du Groups & Brands, mit der Zentrale als Admin.

Admins und Owner sehen auch das Änderungsprotokoll (Changes): jeden Stempel, jeden Punkt, jede Notiz oder Guthabenänderung aus dem Dashboard, mit dem Namen der Person, die das gemacht hat. Editors und Viewer sehen die Einträge ohne Namen. Das ist die Antwort auf „Wer hat Tom am Dienstag 40 Punkte gutgeschrieben?“

#Was passiert mit den Daten, wenn du gehst oder das Tool wechselst?

Erst exportieren, dann entscheiden. Nach Artikel 28 löscht der Auftragsverarbeiter die Daten am Ende der Zusammenarbeit oder gibt sie zurück, je nachdem, was du willst. Zu klären sind also zwei Dinge: Welches von beiden willst du, und bis wann? Weder Artikel 28 noch der AVV von Passtastic nennen eine Frist in Tagen; ein Datum vereinbarst du also mit dem Anbieter.

Bei Passtastic bleiben Konto und Daten erhalten, wenn du das Abo kündigst; nichts wird automatisch gelöscht, du kannst zurückkommen, und auf eine E-Mail hin werden die Daten unverzüglich entfernt. Der andere Weg ist, das Konto zu löschen: Damit sind Organisation, Karten, Nachrichten und Kundendatensätze weg, die Pässe in den Wallets funktionieren nicht mehr, und nur der Owner kann das. Der erste Schritt in der Hilfe-Anleitung dazu lautet: vorher die Kundenliste exportieren.

Auch der Weg in die andere Richtung, in ein neues Tool, läuft über eine Datei. Passtastic importiert eine CSV- oder Excel-Tabelle mit bis zu 10.000 Zeilen, ordnet Vorname, Nachname, E-Mail, Telefon und eine Guthaben-Spalte zu und lässt dich bestätigen, dass du eine echte Geschäftsbeziehung zu diesen Leuten hast und ihnen wegen ihrer Karte schreiben darfst. Ein Import legt niemandem eine Karte aufs Handy: Jeder Kunde tippt auf seinen eigenen Einladungslink, und wer anhand von E-Mail oder Telefonnummer erkannt wird, wird aktualisiert statt doppelt angelegt.

Die Tarife starten bei €39 im Monat für einen Standort und €99 im Monat für bis zu drei, die ersten 14 Tage kostenlos und ohne Kreditkarte; was jeder Tarif kostet, steht auf der Preisseite, und exportieren kannst du in jedem.

#Drei Läden, drei Fragen

• Niamh führt drei Cafés in Dublin. Ihr Partner hat die Frage nach dem Eigentum gestellt. Ihre Antwort ist der AVV: Auftragsverarbeiter, keine andere Nutzung, auf Wunsch gelöscht. Sie schickt die drei Fragen an zwei Anbieter und unterschreibt bei dem, der antwortet.
• Ines’ Nagelstudio Lacquer Lane fragt nach dem Geburtstag. Sie schickt ein Geburtstagsgeschenk, das Feld hat sich also seinen Platz verdient. Das Adressfeld, das sie nie genutzt hat, schaltet sie ab, und das Formular ist eine Zeile kürzer.
• Pedal Post, ein Fahrradladen, bekommt seine erste „Lösch meine Daten“-E-Mail. Der Kunde hatte es schon über die Karte angefragt; der Inhaber klickt auf Erase, antwortet „erledigt“, und das Ganze hat vier Minuten gedauert, nicht einen Monat.

Die Daten sind ein Nebenprodukt einer Karte, die funktioniert. Deine Kunden haben sie dir für die Karte anvertraut; bewahr sie dort auf, wo du sie jederzeit mitnehmen kannst, dann ist die Frage nach dem Eigentum geklärt, bevor sie jemand stellt.

“

Als sie gesehen haben, dass sie keine App installieren und keine Berge an Sicherheitsabfragen und Berechtigungen abnicken müssen, sondern dass die Karte einfach mit meinem Konto verbunden ist und sonst nichts, haben wir genau dafür sehr gutes Feedback bekommen.

(Übersetzt aus dem Englischen)

“

Alex, Inhaber von Rewind

Read their story →