Datenschutzerklärung für Gäste

Fassung 1.0 vom 13.10.2026. Diese Erklärung richtet sich an Gäste eines Betriebs, der GERNDA einsetzt — nicht an den Betrieb selbst. Für den Betrieb gilt gernda.de/datenschutz.

0. Der Punkt, der zuerst geklärt sein muss: Wer ist verantwortlich?

Verantwortlicher ist der Betrieb, bei dem der Gast seine Karte hat — das Café, der Friseur, die Bäckerei. Er entscheidet, dass es ein Treueprogramm gibt, wie es aussieht und wer darauf Zugriff hat.

GERNDA ist Auftragsverarbeiter (Art. 28 DSGVO). Die Plattform speichert und verarbeitet die Daten im Auftrag des Betriebs und nicht für eigene Zwecke. Der Vertrag dazu ist der AV-Vertrag, den jeder Betrieb mit dem Anbieter schliesst.

Daraus folgt dreierlei:

Hat ein Gast Karten bei mehreren Betrieben, gibt es mehrere Verantwortliche. Jeder von ihnen ist für seine eigene Karte zuständig. Ein Satz wie „wir speichern" verschweigt, wer „wir" ist.
Die Anschrift des Verantwortlichen gehört in die Erklärung (Art. 13 Abs. 1 lit. a). Sie ist je Betrieb verschieden und muss deshalb dynamisch gezeigt werden.
Beschwerden gehen an die Aufsichtsbehörde des Betriebs, nicht an die des Anbieters. Ein Café in Hamburg und eines in Krefeld haben verschiedene.

1. Was verarbeitet wird

Ohne Konto — der Normalfall

Daten	Woher
Eine zufällige Gerätekennung (nur als Hashwert gespeichert)	wird beim ersten Öffnen erzeugt
Ein Alias als Kundennummer (zufällig, kein Name)	wird beim Beitritt erzeugt
Die Karte: Betrieb, Programm, Stand, Zyklus, Beitrittsdatum, Kartencode	entsteht beim Beitritt
Jede Buchung: Art (Stempel, Bonus, Einlösung, Storno), Veränderung, Stand danach, Zeitpunkt, Standort, Zeitzone, Quelle (Scan, Kasse, Automatik)	entsteht beim Stempeln
Optional ein Wiederherstellungscode (nur als Hashwert)	nur wenn der Gast ihn anlegt

Kein Name und keine E-Mail-Adresse. Das ist nicht Zurückhaltung, sondern die Bauweise: Die Karte hängt am Gerät, nicht an einer Person.

Der Standort in der Buchungszeile ist die Filiale, in der gestempelt wurde — nicht der Aufenthaltsort des Gastes.

Wenn der Gast seinen Standort freigibt

Die Umkreissuche und die Entfernungsangabe auf einer Karte brauchen keine Freigabe; ohne sie wird keine Koordinate erhoben, und Suche wie Branchenfilter arbeiten weiter. Gibt ein Gast den Standort frei, läuft Folgendes:

Schritt	Was geschieht
Erhebung	Der Browser ermittelt die Koordinaten des Geräts und übergibt sie der Gästeansicht.
Übermittlung	Die Gästeansicht sendet sie als Abfrageparameter `lat` und `lon` an die Schnittstellen `/v1/discover` und `/v1/account/cards`.
Verwendung	Der Server rechnet die Entfernung zu den Filialen und gibt sie als Zahl zurück.
Speicherung in der Datenbank	findet nicht statt. Es entsteht kein Standortverlauf und kein Bewegungsprofil.
Zugriffsprotokoll	Die Koordinaten werden aus der aufgerufenen Adresse entfernt, bevor eine Protokollzeile geschrieben wird. Einzelheiten unter „Technisch, beim Aufruf".

Die Freigabe lässt sich jederzeit zurücknehmen — in der Gästeansicht über „Standort nicht mehr verwenden" und zusätzlich in den Einstellungen des Browsers.

Mit Konto — freiwillig

Daten	Zweck
E-Mail-Adresse und Zeitpunkt ihrer Bestätigung	Anmeldung per Einmalcode, Karte auf mehreren Geräten
Gewählte Sprache	Anzeige
Optional das Geburtsdatum	nur wenn ein Betrieb eine Altersaktion anbietet; freiwillig

Wenn der Gast zustimmt

Daten	Kanal
Push-Anmeldung des Browsers (Adresse und Schlüssel)	Mitteilungen über den Kartenstand
Einwilligung je Kanal mit Zeitpunkt, Quelle und Nachweis	Push, E-Mail
Registrierung des Wallet-Passes beim Gerätehersteller	Karte in Apple Wallet oder Google Wallet

Jede Einwilligung ist einzeln erteilt und einzeln widerrufbar. Der Widerruf wird mit Zeitpunkt festgehalten, damit nachweisbar bleibt, ab wann nichts mehr gesendet werden durfte.

Technisch, beim Aufruf

Die Zugriffsprotokolle der Auslieferung enthalten IP-Adresse, Zeitpunkt, aufgerufene Adresse, Status und den Browsertyp. Sie dienen dem Betrieb der Anlage und der Abwehr von Angriffen. Sie rotieren fortlaufend: je Dienst höchstens fünf Dateien von je 10 MB; danach werden die ältesten überschrieben. Eine Zusammenführung mit Kartendaten findet nicht statt.

Standortkoordinaten stehen nicht im Protokoll. Die Auslieferung entfernt die Parameter lat und lon aus der aufgerufenen Adresse, bevor eine Zeile geschrieben wird; Pfad, Status und IP-Adresse bleiben, weil ohne sie keine Störung mehr zu finden wäre.

Bis zum 13.10.2026 war das anders: Die Adresse wurde vollständig festgehalten, und bei freigegebenem Standort lagen damit echte Gerätekoordinaten neben der IP-Adresse im Protokoll. Das war der Nebeneffekt einer Voreinstellung und ist behoben. Die Protokolle verlassen den Server in Deutschland nicht und werden nach der Rotation überschrieben.

2. Zu welchem Zweck, auf welcher Rechtsgrundlage

Zweck	Rechtsgrundlage
Teilnahme am Treueprogramm: Karte führen, Stempel zählen, Prämie bereitstellen	Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrages mit dem Gast
Nachvollziehbarkeit der Buchungen (wann wurde gestempelt, wann eingelöst)	Art. 6 Abs. 1 lit. b und lit. f — ohne Verlauf ist ein Streit über den Kartenstand nicht zu klären
Missbrauchsabwehr: Begrenzung der Anmeldeversuche, Erkennung doppelter Buchungen	Art. 6 Abs. 1 lit. f
Konto mit E-Mail-Adresse	Art. 6 Abs. 1 lit. b, auf Wunsch des Gastes
Mitteilungen per E-Mail über den Kartenstand und Aktionen	Art. 6 Abs. 1 lit. a — Einwilligung, jederzeit widerrufbar
Karte in Apple Wallet oder Google Wallet	Art. 6 Abs. 1 lit. a und lit. b, nur auf Auslösung durch den Gast
Anzeige von Werbung anderer Betriebe	Art. 6 Abs. 1 lit. f — siehe die Erläuterung unter dieser Tabelle
Zugriffsprotokolle, Sicherheit des Betriebs	Art. 6 Abs. 1 lit. f
Auswertungen für den Betrieb	nur zusammengefasst: Zahl der Buchungen je Tag und Standort. Kein Bezug auf eine einzelne Person, kein Profil

Keine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO. Kein Profiling. Kein Vergleich eines Gastes über Betriebe hinweg — die Bauweise trennt die Betriebe, und es gibt kein gemeinsames Punktekonto.

Push-Mitteilungen gibt es in der Gästeansicht nicht. Push besteht nur im Bereich der Beschäftigten eines Betriebs.

Werbung in der Gästeansicht

Die Gästeansicht kann Anzeigen anderer Betriebe einblenden — auf der Startseite und in der Branchenansicht. Das gehört in diese Erklärung, auch wenn dabei keine personenbezogenen Daten verwendet werden. Was dabei gilt:

Jede Anzeige ist als Werbung gekennzeichnet, und der zahlende Betrieb wird genannt. Die Kennzeichnung kommt aus der Schnittstelle und ist in der Oberfläche nicht abschaltbar.
Die Auswahl erfolgt nicht nach dem Gast. Entschieden wird allein nach Platzierung (Startseite oder Branche) und Branche. Weder Standort noch Kartenbestand, Verlauf oder ein sonstiges Merkmal des Gastes gehen ein.
Kein Werbeprofil, keine Weitergabe an Werbenetzwerke, keine Messung des Verhaltens über Betriebe hinweg.
Die Begrenzung der Häufigkeit zählt auf dem Gerät (siehe Abschnitt 5), nicht auf dem Server. Der Preis dafür wird offen genannt: Wer den Speicher löscht oder das Gerät wechselt, sieht dieselbe Anzeige erneut.

Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Da keine Daten des Gastes in die Auswahl eingehen, ist der Eingriff gering; eine Einwilligung wird deshalb nicht eingeholt. Ob das trägt, ist der Rechtsberatung vorgelegt — ebenso, welche Angaben die Verordnung (EU) 2022/2065 (Digital Services Act) zu jeder Anzeige verlangt.

3. Wer die Daten erhält

Empfänger	Rolle	Ort
AREA UDC Entertainment GmbH (GERNDA)	Auftragsverarbeiter des Betriebs	Deutschland
Hetzner Online GmbH	Server und Betrieb, Unterauftragnehmer	Deutschland
Sendinblue SAS (Brevo)	Versand der E-Mails, Unterauftragnehmer	Frankreich
STRATO GmbH	Domain und Postfach für Antworten, Unterauftragnehmer	Deutschland; eigene Unterauftragnehmer in Deutschland
Apple Inc. / Google LLC	nur bei Nutzung von Apple Wallet oder Google Wallet	Vereinigte Staaten

Die laufend gepflegte Liste steht öffentlich unter gernda.de/unterauftragnehmer.

Drittlandübermittlung findet ausschliesslich statt, wenn ein Gast seine Karte in Apple Wallet oder Google Wallet legt. Beide Dienste sind derzeit nicht freigeschaltet; bis dahin gehen keine Daten in die Vereinigten Staaten. Sobald sie es sind, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln beziehungsweise des Angemessenheitsbeschlusses für die Vereinigten Staaten.

Keine Weitergabe zu Werbezwecken an Dritte. Keine Datenhändler, keine Werbenetzwerke, kein Tracking über fremde Server — die Oberflächen laden nichts von Dritten, und eine Prüfung im Bauprozess hält das fest.

4. Wie lange

Daten	Dauer
Karte und Buchungen	solange die Karte besteht
Nach Löschung einer Karte	die Buchungen werden anonymisiert, nicht gelöscht: Sie bleiben als Zahl im Verlauf des Betriebs, und die Verknüpfung mit der Kundennummer wird entfernt. Erhalten bleiben Zeitpunkt, Filiale und die Nummer der Karte — siehe den Hinweis unter dieser Tabelle
Aufbewahrungsfrist des Betriebs	jeder Betrieb kann eine Frist von 1 bis 120 Monaten einstellen; danach werden inaktive Karten automatisch anonymisiert
Konto und E-Mail-Adresse	bis zur Löschung durch den Gast
Einwilligungen und ihr Widerruf	als Nachweis, solange ein Nachweis erforderlich sein kann
Zugriffsprotokolle	laufende Rotation, siehe Abschnitt 1

Was „anonymisiert" hier genau heißt. Beim Löschen einer Karte und beim Ablauf der Aufbewahrungsfrist wird die Karte von der Kundenidentität getrennt und an einen Platzhalter je Betrieb gehängt; die Kundenidentität selbst erhält ein neues Alias, das Geburtsdatum und die Verbindung zum Konto werden entfernt.

Nicht entfernt werden der Zeitpunkt jeder Buchung, die Filiale, der buchende Mitarbeiter und die Nummer der Karte. Ein Betrieb, der eigene Aufzeichnungen hat — einen Kassenbeleg, einen Dienstplan, einen abfotografierten Kartencode —, kann eine einzelne Buchung damit unter Umständen noch einer Person zuordnen. Gegenüber dem Anbieter ist sie das nicht mehr.

Rechtlich ist das eine Pseudonymisierung nach Art. 4 Nr. 5 DSGVO und keine Anonymisierung: Diese setzt voraus, dass eine Zuordnung mit allen nach allgemeinem Ermessen verfügbaren Mitteln ausgeschlossen ist.

5. Was auf dem Gerät gespeichert wird (§ 25 TDDDG)

Neben der Verarbeitung auf dem Server legt die Gästeansicht Angaben im Browser des Gastes ab. Das ist eine eigene Frage: § 25 Abs. 1 TDDDG verlangt dafür grundsätzlich eine Einwilligung; Absatz 2 Nummer 2 nimmt davon aus, was für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich ist.

Was	Wozu	Einordnung
Ein signiertes Cookie, nur für den Server lesbar (`HttpOnly`, `SameSite=lax`)	hält die Karte am Gerät. Ohne es gibt es keine Karte ohne Konto.	unbedingt erforderlich
`gernda.customer.locale`	die gewählte Sprache	unbedingt erforderlich für die Anzeige in der gewählten Sprache
`gernda.customer.favorites`	die vom Gast gemerkten Betriebe	unbedingt erforderlich für eine Funktion, die der Gast selbst auslöst
`gernda.customer.intro`	die Einführung wurde gesehen	unbedingt erforderlich, damit sie nicht bei jedem Aufruf erscheint
`gernda.praemienmomente`	welche Einlösung schon gefeiert wurde	unbedingt erforderlich, damit dieselbe Prämie nicht wiederholt gefeiert wird
Zwischenspeicher des Service Workers	die Karte auch ohne Netz anzeigen	unbedingt erforderlich für die Offline-Nutzung
`gernda.ads.gesehen`	wie oft eine Anzeige heute schon gezeigt wurde	offen, siehe unten

Keiner dieser Einträge wird an den Anbieter übertragen, keiner dient der Wiedererkennung über Betriebe hinweg, und keiner wird mit Daten Dritter zusammengeführt. Der Gast kann sie jederzeit über seinen Browser löschen; die Karte hängt dann nicht mehr am Gerät und ist nur noch mit dem Wiederherstellungscode oder dem Konto erreichbar.

Der offene Punkt: gernda.ads.gesehen. Dieser Zähler begrenzt, wie oft eine Anzeige demselben Gast an einem Tag gezeigt wird. Er liegt bewusst auf dem Gerät und nicht auf dem Server: Eine serverseitige Zählung bräuchte ein Merkmal, an dem derselbe Gast über Aufrufe hinweg wiedererkennbar ist — und genau das soll es nicht geben. Ob dieser Zähler für den vom Gast gewünschten Dienst „unbedingt erforderlich" ist, lässt sich zu beiden Seiten vertreten: Er dient der Werbeauslieferung, wirkt aber zugunsten des Gastes, weil er Werbung begrenzt. Diese Frage ist der Rechtsberatung vorgelegt und hier nicht entschieden. Bis zur Klärung ist der Zähler benannt, statt ihn zu verschweigen.

6. Minderjährige

Die Gästeansicht fragt das Alter nicht ab, und sie lässt sich ohne Angabe von Daten nutzen: Eine Karte entsteht durch das Scannen eines Codes und hängt am Gerät.

Fall	Was gilt
Karte ohne Konto	Es werden keine Angaben erhoben, die ein Alter voraussetzen.
Konto mit E-Mail-Adresse	Die Einwilligung in Mitteilungen setzt nach Art. 8 Abs. 1 DSGVO ein Alter von 16 Jahren voraus; darunter ist die Zustimmung der Sorgeberechtigten erforderlich.
Geburtsdatum für eine Altersaktion	wird nur erhoben, wenn ein Betrieb eine solche Aktion anbietet und der Gast sie nutzen will. Verantwortlich dafür ist der Betrieb.

Was offen ist und hier nicht entschieden wird:

Eine Altersprüfung findet nicht statt. Ob eine erforderlich ist, und wenn ja in welcher Form, ist der Rechtsberatung vorgelegt.
Ebenso die Frage, ob der Beitritt zu einem Treueprogramm für Minderjährige ein Geschäft des täglichen Lebens ist, das sie ohne Zustimmung der Sorgeberechtigten abschließen können. Ein Entgelt fällt nicht an, und es entsteht keine Zahlungspflicht — das spricht dafür, entscheidet die Frage aber nicht.

Hält ein Sorgeberechtigter die Teilnahme eines Kindes für unzulässig, genügt eine Nachricht an die im Impressum genannte Adresse: Die Karte und, falls vorhanden, das Konto werden gelöscht. Ein Nachweis des Alters wird dafür nicht verlangt.

7. Rechte des Gastes

Recht	Artikel
Auskunft über die gespeicherten Daten	Art. 15
Berichtigung	Art. 16
Löschung	Art. 17
Einschränkung der Verarbeitung	Art. 18
Datenübertragbarkeit	Art. 20
Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen	Art. 21
Widerruf einer Einwilligung, jederzeit und ohne Begründung	Art. 7 Abs. 3
Beschwerde bei einer Aufsichtsbehörde	Art. 77

Diese Rechte sind kostenlos und stehen nie hinter einer Bezahlschranke.

Wohin mit einer Anfrage: an den Betrieb — er ist der Verantwortliche. Weil das in der Praxis am Tresen schwerfällt, nimmt der Anbieter Anfragen auch entgegen und leitet sie an den Betrieb weiter; zu dieser Unterstützung ist er nach Art. 28 Abs. 3 lit. e DSGVO ohnehin verpflichtet. Das ersetzt die Zuständigkeit des Betriebs nicht, es verkürzt nur den Weg.

Beschwerde: bei der Datenschutzaufsichtsbehörde des Bundeslandes, in dem der Betrieb seinen Sitz hat. Für Betriebe in Nordrhein-Westfalen ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

8. Ist die Angabe von Daten Pflicht?

Nein. Die Teilnahme ist freiwillig, und sie geht ohne Namen und ohne E-Mail-Adresse: Die Karte hängt dann am Gerät. Wer kein Konto anlegt, kann seine Karte allerdings nicht auf ein zweites Gerät holen und bei Verlust des Geräts nur mit einem vorher angelegten Wiederherstellungscode zurückerlangen. Das ist der Preis der Datenarmut, und er wird hier benannt statt verschwiegen.

Ohne Einwilligung in Mitteilungen funktioniert die Karte vollständig — es entfallen nur die Hinweise.