Treueprogramm & DSGVO: was du beachten musst

Hinweis: Dieser Artikel ist eine allgemeine Orientierung und keine Rechtsberatung. Im Zweifel halte Rücksprache mit einer Datenschutzexpertin oder einem Anwalt.

1. Rechtsgrundlage: meist die Einwilligung

Für die Teilnahme am Treueprogramm und für Werbe-Nachrichten ist die aktive Einwilligung des Kunden der saubere Weg (Art. 6 Abs. 1 lit. a DSGVO). „Aktiv" heißt: Der Kunde tut selbst etwas — kein vorausgefülltes Häkchen. Bei OnCherry passiert das beim Start des WhatsApp-Chats: Der Kunde scannt den QR-Code und bestätigt die Teilnahme selbst.

2. Datensparsamkeit: nur erheben, was das Programm braucht

Ein Stempelprogramm braucht keine Adresse und kein Geburtsjahr. Es braucht eine Kennung (bei OnCherry die WhatsApp-Nummer), den Punktestand und optional den Vornamen für die Ansprache. Wenn du Geburtstage belohnen willst, frag Tag und Monat ab — nicht das Jahr. Je weniger du speicherst, desto kleiner das Risiko.

3. Auftragsverarbeitungsvertrag mit dem Anbieter

Sobald ein Dienstleister die Daten in deinem Auftrag verarbeitet, brauchst du einen AVV nach Art. 28 DSGVO. Ohne diesen Vertrag ist der Einsatz nicht zulässig. Seriöse Anbieter stellen ihn standardmäßig bereit — OnCherry ebenfalls.

4. Serverstandort und Vertragspartner

Am einfachsten ist ein Anbieter, der die Daten in der EU verarbeitet und dessen Vertragspartner in der EU sitzt. Dann entfällt die Diskussion um Drittlandtransfers. Frag im Zweifel direkt nach — und lass es dir schriftlich geben.

5. Speicherdauer und Löschung

• Programmdaten: so lange die Teilnahme läuft.
• Steuerrelevante Belege: nach den gesetzlichen Fristen (in Österreich z. B. 7 Jahre nach § 132 BAO).
• Inaktive Teilnehmer: nach einer festen Frist (z. B. 24 Monate ohne Besuch) löschen oder anonymisieren.

6. Datenschutzerklärung ergänzen

Nimm einen kurzen Abschnitt auf: Zweck (Treueprogramm), Rechtsgrundlage (Einwilligung), Anbieter, Speicherdauer, Betroffenenrechte (Auskunft, Löschung, Widerruf). Wenn du WhatsApp als Kanal nutzt, erwähne das dort ebenfalls.

Kurz-Checkliste

• ☐ Aktive Einwilligung beim Beitritt
• ☐ Nur nötige Datenfelder
• ☐ AVV mit dem Anbieter abgeschlossen
• ☐ Verarbeitung/Vertragspartner in der EU geprüft
• ☐ Löschkonzept für inaktive Teilnehmer
• ☐ Datenschutzerklärung um Treueprogramm & WhatsApp ergänzt

Mit einem Anbieter wie OnCherry, der datensparsam arbeitet, den AVV mitbringt und in der EU verarbeitet, hakst du die meisten Punkte mit dem Vertrag automatisch ab.