Datenschutzerklärung

Hinweis: Platzhalter in eckigen Klammern ersetzen und den Text vor Veröffentlichung von einer Rechtsberatung prüfen lassen (Art. 13 DSGVO).

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
[Vor- und Nachname / Firma]
[Straße und Hausnummer], [PLZ Ort], [Land]
E-Mail: [E-Mail-Adresse]

2. Welche Daten wir verarbeiten

• Kontodaten: E-Mail-Adresse (gepultert gehasht zum Login-Lookup und zusätzlich verschlüsselt gespeichert), Passwort (nur als bcrypt-Hash), optionaler Name (verschlüsselt).
• Bonuskarte: Kartennummer (Zufallscode), Stempelstand, eingelöste Prämien, Besuchstage (Datum des Stempels).
• Technische Daten: IP-Adresse (kurzzeitig für Rate-Limiting), Session-/CSRF-Cookies, Server-Logs.

3. Zwecke und Rechtsgrundlagen (Art. 6 DSGVO)

• Bereitstellung des Kundenkontos und der Bonuskarte: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Stempelvergabe, Prämienverwaltung, Betrugs-/Missbrauchsprävention (z. B. max. 1 Stempel/Tag, eine Karte pro Person): Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Sicherheit und Betrieb (Rate-Limiting, Logs): Art. 6 Abs. 1 lit. f DSGVO.

4. Apple Wallet / Google Wallet

Wenn du deine Karte in der Apple Wallet oder Google Wallet speicherst, werden Kartendaten (Kartennummer, Stempelstand, ggf. Name) an Apple Inc. bzw. Google LLC übertragen und dort verarbeitet. Dafür gelten die Datenschutzhinweise von Apple bzw. Google. Über Apple/Google werden Stempelstände synchronisiert.

5. Speicherdauer

Kontodaten und Kartendaten speichern wir, bis du dein Konto löschst (Self-Service „Konto löschen“ auf deiner Kartenseite) oder wir das Konto aus anderen Gründen löschen. Nach Löschung werden sämtliche zugehörige Einträge (Karte, Besuche, Wallet-Registrierungen, Konto) entfernt. Server-Logs werden nach [z. B. 14 Tagen] gelöscht.

6. Empfänger / Auftragsverarbeitung

Hosting: [Name des VPS-Anbieters], Serverstandort [z. B. Deutschland/EU], mit Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Die Server-Dateien (Datenbank, Schlüssel) liegen verschlüsselt bzw. mit Zugriffsschutz auf dem Server.

7. Drittlandtransfer

Apple und Google verarbeiten Daten auch in den USA. Hierfür bestehen Standardvertragsklauseln der EU-Kommission bzw. das EU-US Data Privacy Framework.

8. Deine Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) DSGVO
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3)
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77), z. B. [zuständige Landesbehörde]

Kontakt für Betroffenenrechte: [E-Mail-Adresse]

9. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies (Session, CSRF-Schutz). Diese sind nach § 25 Abs. 2 TDDDG zulässig; es gibt kein Tracking und keine Einwilligungs-Banner-Pflicht für diese Cookies.

10. Sicherheit

Verschlüsselte Übertragung (TLS/HTTPS), Passwörter als bcrypt-Hash, personenbezogene Daten (E-Mail, Name) zusätzlich verschlüsselt in der Datenbank (Schlüssel nur auf dem Server), Zugriffsschutz auf Server und Backups.