Stand: Oktober 2026
Burak Kaplan
Brandenburger Str. 25
87700 Memmingen, Deutschland
E-Mail: kontakt@loyiacard.com
LoyiaCard ist ein digitales Kundenkartensystem. Wir verarbeiten nur Daten, die für den Betrieb erforderlich sind. Wir verkaufen keine Daten, betreiben keine Werbenetzwerke und setzen keine Tracking-Cookies ein. Schriften und Programmbibliotheken werden von unseren eigenen Servern ausgeliefert; beim Aufruf unserer Seiten werden keine Schriften von Google oder anderen Dritten nachgeladen.
Diese Erklärung betrifft zwei Gruppen, für die wir unterschiedliche Rollen einnehmen:
Unsere Website wird bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA betrieben. Beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung) in Logdateien. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln.
Datenbank, Konten und Dateien liegen bei der Supabase, Inc., 970 Toa Payoh North, Singapur. Unsere Datenbank wird in der Region Frankfurt am Main (AWS eu-central-1) betrieben; die Daten liegen damit in Deutschland. Mit Supabase besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO einschließlich Standardvertragsklauseln.
Für die Anmeldung und den Vertrag verarbeiten wir: Firmenname, Rechtsform, Anschrift, E-Mail-Adresse, Telefonnummer sowie Namen und Funktion der vertretungsberechtigten Person. Passwörter werden ausschließlich als Hash gespeichert. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Nachweis des Vertragsschlusses: Bei der Anmeldung speichern wir zusätzlich den Zeitpunkt der Zustimmung zu Preis, Laufzeit und AGB, die dabei geltende AGB-Fassung sowie die IP-Adresse und die Browser-Kennung des Anmeldevorgangs. Dasselbe gilt, wenn ein Händler später einer neuen AGB-Fassung zustimmt (etwa bei der Umstellung auf das Abo beim Hinterlegen der Zahlungsart). Diese Angaben dienen allein dem Nachweis, dass und wozu ein Vertrag geschlossen wurde. Rechtsgrundlage ist unser berechtigtes Interesse an der Beweisbarkeit vertraglicher Vereinbarungen (Art. 6 Abs. 1 lit. f DSGVO).
Für die Abrechnung speichern wir außerdem, bis wann der kostenlose Probemonat läuft, die gewählte Zahlweise, den Stand des Abos (z. B. aktiv, gekündigt, Zahlung offen) und die Kennung des Händlers beim Zahlungsdienstleister. Die Zahlung selbst wickelt Stripe ab (Ziffer 9). Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
Mitarbeiterkonten, die ein Händler für sein Personal anlegt, enthalten Name, E-Mail-Adresse und Berechtigungen. Verantwortlich dafür ist der Händler als Arbeitgeber; wir verarbeiten diese Daten in seinem Auftrag.
Beim Anlegen einer Kundenkarte verarbeiten wir Vorname, Nachname, E-Mail-Adresse, optional das Geburtsdatum sowie den Stand der Stempel bzw. Punkte, eingelöste Belohnungen und deren Zeitpunkte. Das Geburtsdatum wird ausschließlich für Geburtstagsnachrichten genutzt und ist freiwillig.
Zur Bestätigung der E-Mail-Adresse versenden wir einen einmaligen Bestätigungscode, der nach kurzer Zeit automatisch gelöscht wird. Nutzt ein Kunde die Empfehlungsfunktion, wird gespeichert, welche Karte die Empfehlung ausgesprochen hat, um die Belohnung zuzuordnen.
Plastikkarten: Manche Händler geben statt einer Wallet-Karte eine Plastikkarte mit NFC-Chip aus. Den Namen trägt dann der Händler bzw. sein Personal ein; die E-Mail-Adresse ist freiwillig und wird ohne Bestätigungscode gespeichert. Auf dem Chip steht nur eine zufällige Kartenadresse, keine Angaben zur Person. Gespeichert werden außerdem, wann und von wem die Karte ausgegeben wurde und dass der Kunde dabei auf diesen Datenschutzhinweis hingewiesen wurde. Wer eine E-Mail-Adresse angibt, erhält einmalig eine Begrüßung mit einem Link, über den er Karte und Daten selbst löschen kann. Werbung per E-Mail findet nicht statt. Wer die Karte an ein Smartphone hält, sieht nur den Stand der Karte, keine Angaben zur Person.
Der jeweilige Händler sieht die Karten seines eigenen Programms sowie zusammengefasste Auswertungen. Andere Händler haben keinen Zugriff. Eine Weitergabe an sonstige Dritte oder eine Nutzung für fremde Werbung findet nicht statt.
Apple Wallet: Die Karte erzeugen und signieren wir auf unseren eigenen Servern. Damit sich die Karte aktualisiert (etwa ein neuer Punktestand), sendet unser Server einen Hinweis über den Apple Push Notification Service; das Gerät holt sich die aktualisierte Karte dann bei uns ab. Apple erhält dabei eine Gerätekennung, aber keine Inhalte der Karte. Anbieter ist die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland.
Google Wallet: Die Karte legen wir über die Google-Wallet-Schnittstelle an. Dabei werden Name, Kartennummer, Punkte- bzw. Stempelstand und die Gestaltung des Händlers an Google übermittelt, das die Karte im Google-Konto des Endkunden speichert. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
Löscht ein Kunde seine Karte aus der Wallet, erfahren wir das — beim iPhone über die Abmeldung des Geräts, bei Android über eine Benachrichtigung von Google — und vermerken das Datum an der Karte. An solche Karten werden keine Push-Nachrichten mehr geschickt. Fügt der Kunde die Karte wieder hinzu, wird der Vermerk entfernt.
Über die Wallet-Karte versenden wir Push-Nachrichten im Auftrag des Händlers: Aktionen, eingelöste Belohnungen sowie automatische Nachrichten, die der Händler einstellt — etwa zum Geburtstag, als Erinnerung bei längerer Abwesenheit, kurz vor einer Belohnung oder an einem festen Datum. Damit niemand dieselbe automatische Nachricht doppelt oder zu oft erhält, speichern wir, welche Karte wann welche automatische Nachricht erhalten hat. Die Zustellung erfolgt über die Dienste von Apple bzw. Google; für die Verarbeitung auf dem Endgerät gelten ergänzend deren Datenschutzbestimmungen. Push-Nachrichten lassen sich jederzeit in den Einstellungen des Endgeräts abschalten.
Systemnachrichten — Bestätigungscodes, Vertrags- und Kündigungsbestätigungen, Erinnerungen zum Ende des Probemonats, Rechnungshinweise, Anfragen über das Kontaktformular — versenden wir über ZeptoMail (Zoho Corporation B.V., Niederlande) über deren europäische Rechenzentren. Übermittelt werden Empfängeradresse und Inhalt der jeweiligen Nachricht.
Über das Kontaktformular übermittelte Angaben (Name, E-Mail-Adresse, Nachricht) verarbeiten wir zur Beantwortung der Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).
Die Nutzungsgebühr zahlen Händler über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Karten- bzw. Kontoangaben gibt der Händler direkt auf den Seiten von Stripe ein; wir erhalten und speichern sie nicht. An Stripe übermitteln wir Firmenname, E-Mail-Adresse und Anschrift sowie die gewählte Zahlweise. Von Stripe erhalten wir den Stand des Abos, ob eine Zahlung erfolgreich war, und die Rechnungen.
Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Für die Zahlungsabwicklung selbst, die Betrugsprävention und die Erfüllung finanzrechtlicher Pflichten ist Stripe eigenständig verantwortlich; es gilt ergänzend die Datenschutzerklärung von Stripe. Eine Übermittlung an die Stripe, Inc. in den USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
Zahlt der Händler über Apple Pay oder Google Pay, wird die Zahlung zusätzlich über den jeweiligen Dienst abgewickelt (Apple Distribution International Ltd. bzw. Google Ireland Limited, Anschriften siehe Ziffer 7); es gelten ergänzend deren Datenschutzbestimmungen.
Endkunden zahlen nichts; von ihnen werden keine Zahlungsdaten verarbeitet.
Für die Anmeldung speichern wir Sitzungsdaten im lokalen Speicher deines Browsers. Ebenfalls gespeichert wird deine Entscheidung zu dieser Abfrage. Beides ist für den von dir gewünschten Dienst technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und bedarf keiner Einwilligung.
Nur mit deiner Einwilligung setzen wir zusätzlich Vercel Analytics und Vercel Speed Insights ein. Sie erfassen Seitenaufrufe und Ladezeiten in zusammengefasster Form und erstellen keine geräteübergreifenden Profile. Ohne deine Zustimmung werden diese Skripte nicht geladen und es findet keine Verbindung zu Vercel-Statistikdiensten statt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen:
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Eine formlose E-Mail an kontakt@loyiacard.com genügt.
Betrifft deine Anfrage eine Kundenkarte, ist der Händler verantwortlich, bei dem du die Karte erhalten hast (siehe Ziffer 3). Schreib uns trotzdem gern — wir leiten die Anfrage weiter und unterstützen bei der Umsetzung.
Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach.
Bei Fragen zum Datenschutz erreichst du uns unter kontakt@loyiacard.com.
Burak Kaplan · LoyiaCard · kontakt@loyiacard.com