Datenschutzerklärung

Stand: November 2026. Entwurf – vor dem Start von einer Fachanwältin oder einem Fachanwalt für IT-Recht prüfen lassen.

1. Wer verantwortlich ist

Für die Website und die Konten der Geschäfte: kumbak UG (haftungsbeschränkt), [ Straße und Hausnummer – bitte ergänzen ], [ PLZ und Ort – bitte ergänzen ], E-Mail: [ E-Mail für Datenschutzanfragen – bitte ergänzen ].

Für die Stempelkarten ist das jeweilige Geschäft verantwortlich, dessen Name auf der Karte steht. Wir verarbeiten diese Daten in seinem Auftrag (Art. 28 DSGVO, Auftragsverarbeitungsvertrag).

2. Stempelkarte für Kundinnen und Kunden

Um eine Karte zu bekommen, musst du keine Daten angeben. Wir speichern nur: eine zufällige Kartennummer, deinen Stempelstand, wann gestempelt oder eingelöst wurde und die gewählte Sprache. Rechtsgrundlage ist die Durchführung des Bonusprogramms (Art. 6 Abs. 1 lit. b DSGVO).

Die Daten bleiben gespeichert, solange das Geschäft das Programm anbietet. Du kannst die Karte jederzeit löschen lassen; wende dich dazu an das Geschäft oder an uns.

Karte sichern (freiwillig)

Wenn du deine Karte mit einer E-Mail sicherst, speichern wir die Adresse erst, nachdem du den Bestätigungslink geklickt hast (Double-Opt-in). Wir nutzen sie nur, um dir auf Wunsch die Links zu deinen Karten zu schicken – nie für Werbung. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst die E-Mail jederzeit auf der Kartenseite entfernen.

Karte löschen

Auf der Kartenseite kannst du deine Karte selbst löschen. Dabei löschen wir sofort die Karte, alle Stempel, die Geräte-Kennungen und die E-Mail (Art. 17 DSGVO).

Angebote (freiwillig)

Angebote eines Geschäfts bekommst du nur, wenn du das auf deiner Kartenseite einschaltest: aufs Handy über die Wallet-Karte, oder per E-Mail nach einer zweiten Bestätigung (Double-Opt-in). Wir speichern, wann und mit welchem Text du zugestimmt hast (Art. 7 Abs. 1 DSGVO). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 UWG). Du kannst sie jederzeit auf der Kartenseite oder über den Link in jeder E-Mail widerrufen. Hinweise zu deiner eigenen Karte, etwa „Belohnung bereit“ oder „Bald eine Belohnung“, gehören zur Karte und kommen ohne Einwilligung.

Geburtstag (freiwillig)

Bietet ein Geschäft einen Geburtstagsgruß an, kannst du auf deiner Kartenseite Tag und Monat deines Geburtstags angeben – kein Jahr. Wir nutzen das Datum nur, um dir an diesem Tag den Gruß des Geschäfts auf die Karte zu schicken, und nur, wenn du Angebote aufs Handy erlaubt hast. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst das Datum jederzeit auf der Kartenseite löschen; mit der Karte wird es ebenfalls gelöscht.

Bewertungen bei Google

Tippst du auf „Bewerte uns“ oder „Auf Google bewerten“, öffnen wir die Bewertungsseite des Geschäfts bei Google (Google Ireland Ltd.). Erst dann überträgt dein Browser Daten wie deine IP-Adresse an Google; es gelten die Datenschutzbestimmungen von Google. Gewährt das Geschäft dafür einen Bonus, speichern wir nur, dass und wann deine Karte ihn bekommen hat – nicht, ob oder was du bewertet hast.

Freunde einladen

Wenn du deinen Einladungslink teilst, merken wir uns bei der neuen Karte nur, von welcher Karte die Einladung kam, damit du den Bonus bekommst. Wir schreiben deine Freunde nie selbst an.

3. Apple Wallet und Google Wallet

Wenn du die Karte in dein Wallet legst, wird sie auf deinem Telefon gespeichert. Damit sich die Karte nach einem Stempel aktualisiert, speichern wir bei Apple-Geräten eine Geräte-Kennung und einen Push-Token, die Apple für die Karte erzeugt. Neue Stände senden wir über den Push-Dienst von Apple (Apple Inc., USA) bzw. aktualisieren die Karte über die Google Wallet API (Google Ireland Ltd.). Dabei übertragen wir nur die Kartendaten aus Punkt 2, keine Namen oder E-Mail-Adressen. Apple und Google verarbeiten Daten nach ihren eigenen Datenschutzbestimmungen; die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework.

Ortsbezogene Hinweise (falls das Geschäft sie nutzt) berechnet dein Telefon selbst. Wir erhalten keinen Standort.

4. Konten der Geschäfte

Für Inhaber, Leitung und Mitarbeitende speichern wir Name, E-Mail, ein verschlüsseltes Passwort (bcrypt), die Rolle und wer wann gestempelt hat. Für die Rechnung speichern wir Firmenname, Anschrift und USt-IdNr. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und für Rechnungsdaten die gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO).

Auf der Seite „Standorte“ kannst du eine Karte von Google Maps (Google Ireland Ltd.) laden, um den Standort zu prüfen. Sie lädt erst nach deinem Klick; erst dann gehen Daten wie deine IP-Adresse an Google (Art. 6 Abs. 1 lit. a DSGVO). Wählst du „Immer laden“, speichert nur dein Browser diese Wahl. „Mein Standort“ fragt die Position deines Geräts ab; sie wird nur in das Formular übernommen.

Automatische Übersetzung

Texte, die du für deine Karte schreibst – etwa Belohnungen, den Kartentext, Nachrichten und Hinweise –, übersetzen wir automatisch ins Englische bzw. Deutsche, damit du sie nur einmal schreiben musst. Dafür senden wir nur diesen Text an DeepL SE, Maarweg 165, 50825 Köln als Auftragsverarbeiter (Art. 28 DSGVO). Daten deiner Kundinnen und Kunden senden wir nicht. Laut DeepL werden Texte der kostenpflichtigen DeepL API nicht dauerhaft gespeichert und nicht zur Verbesserung der Dienste verwendet. Jede Übersetzung speichern wir bei uns, damit derselbe Text nur einmal übersetzt wird; du kannst sie jederzeit ändern. Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO). Bitte schreib keine personenbezogenen Daten in diese Texte.

E-Mails

Für Passwort-Links, Bestätigungs- und Wiederherstellungs-E-Mails nutzen wir einen E-Mail-Dienstleister in der EU als Auftragsverarbeiter: [ E-Mail-Dienstleister mit Anschrift (ADR-005, z. B. Brevo oder Mailjet in Frankreich) – bitte ergänzen ]. Gesendete E-Mails löschen wir nach 7 Tagen aus unserem System; Passwort-Links gelten 1 Stunde, Bestätigungslinks 48 Stunden, und wir speichern von ihnen nur einen Prüfwert (Hash).

5. Cookies

Wir setzen nur technisch notwendige Cookies, daher gibt es keinen Cookie-Banner (§ 25 Abs. 2 Nr. 2 TDDDG):

• kb_session: hält Geschäfts-Konten angemeldet, bis zu 30 Tage.
• kb_lang: merkt sich die gewählte Sprache, 1 Jahr.
• kb_theme: merkt sich den hellen oder dunklen Modus, wenn du ihn im Dashboard umschaltest, 1 Jahr.

Wir nutzen keine Analyse- oder Werbe-Tools, keine Schriften oder Skripte von fremden Servern und keine Social-Media-Plugins.

6. Hosting und Server-Logs

Die Website läuft auf Servern in Deutschland: [ Hoster mit Anschrift (geplant: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen) – bitte ergänzen ]. Der Server verarbeitet beim Aufruf technisch nötige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite), um die Seite auszuliefern und vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Server-Logs löschen wir nach 7 Tagen.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Schreib uns dazu an [ E-Mail für Datenschutzanfragen – bitte ergänzen ]. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren.