Kundenkarte und DSGVO: Welche Nachrichten brauchen eine Einwilligung?

Eine Kundenkarte, die zur DSGVO passt, braucht zwei getrennte Dinge: einen Grund, die Daten des Kunden zu speichern, damit die Karte funktioniert, und ein eigenes Ja, bevor du ihm Werbung schickst. Karten-Updates wie „ein Stempel wurde vergeben“ oder „deine Prämie ist bereit“ gehören zum Betrieb der Karte. Werbenachrichten wie „wir vermissen dich, hier ist ein Gratis-Stempel“ oder ein Geburtstagsgeschenk brauchen eine Einwilligung, die der Kunde selbst gegeben hat: ein leeres Kästchen bei der Anmeldung, das er selbst ankreuzt, einen Nachweis dieses Ja und einen einfachen Weg hinaus in jeder Nachricht.

Ich schreibe das jetzt, weil Inhaber im Dezember die meisten Nachrichten verschicken, und mit ihnen kommen die Fragen: „Darf ich allen schreiben, die meine Karte haben?“ „Ist eine Wallet-Benachrichtigung dasselbe wie eine E-Mail?“ Als ich im November 2026 die Seiten gelesen habe, die bei Google zu „DSGVO Kundenkarte“ oben stehen, ging es um SMS und Newsletter. Keine erwähnt eine Nachricht auf einer Wallet-Karte. Deshalb erkläre ich hier, wie die Einwilligung bei einer Wallet-Kundenkarte funktioniert, vom QR-Poster bis zur Abmeldung. Ich bin kein Anwalt, und das ist keine Rechtsberatung. Es ist das, was die offiziellen Texte sagen, in Ladensprache übersetzt, plus wie ich es einrichten würde.

Was die DSGVO für eine Kundenkarte bedeutet

Die DSGVO ist das Datenschutzgesetz der EU, und eine Kundenkarte fällt darunter, sobald sie mit einer Person verknüpft ist: ein Name, eine E-Mail-Adresse, eine Besuchshistorie. Das Geschäft, das die Karte ausgibt, entscheidet, was mit diesen Daten passiert, also ist es auch dafür verantwortlich. Die Plattform hinter der Karte verarbeitet die Daten nach seinen Anweisungen.

Der Betrieb der Karte selbst ist der einfache Teil. Der Kunde wollte eine Karte, also brauchst du seine E-Mail, um sie zu schicken, seine Besuche, um Stempel zu zählen, und sein Guthaben, um die Prämie anzuzeigen. Diese Daten dienen der Karte, die er sich gewünscht hat.

Werbung ist ein anderer Zweck, und die DSGVO behandelt jeden Zweck einzeln. Der Europäische Datenschutzausschuss, der die Leitlinien der EU zur Einwilligung herausgibt, ist bei drei Punkten eindeutig (Stand: seine Zusammenfassung zur Einwilligung vom April 2026, auf Englisch):

• Ein vorangekreuztes Kästchen ist keine Einwilligung. Der Kunde muss selbst ankreuzen.
• Eine Einwilligung, die an etwas anderes gekoppelt ist, ist nicht freiwillig. Wenn die Karte nur funktioniert, wenn der Kunde Werbung akzeptiert, zählt diese Einwilligung nicht.
• Der Widerruf muss so einfach sein wie die Zustimmung.

Welche Nachrichten der Kundenkarte brauchen eine Einwilligung?

Nachrichten, die für einen Besuch, ein Angebot oder ein Produkt werben, brauchen eine Einwilligung; Nachrichten, die melden, was auf der Karte passiert ist, in der Regel nicht. Entscheidend ist, was in der Nachricht steht, nicht über welchen Kanal sie kommt.

So würde ich die Nachrichten sortieren, die ein typischer Laden verschickt:

Das Geburtstagsgeschenk überrascht viele. Es fühlt sich an wie ein Geschenk, ist aber eine Nachricht, die mit einem Angebot in deinen Laden einlädt, also gehört es in die Spalte Werbung. Auf die letzte Zeile würde ich achten: Ein Hinweis auf die Öffnungszeiten wird zur Werbung, sobald ein Angebot dazukommt.

Ist eine Wallet-Push-Nachricht Werbung?

Eine werbende Wallet-Push-Nachricht ist Werbung, genau wie eine werbende E-Mail. Die EU-Regel für unerbetene Werbenachrichten, Artikel 13 der ePrivacy-Richtlinie, wurde mit E-Mail und SMS im Kopf geschrieben, und ich habe keinen offiziellen Text gefunden, der genau sagt, wohin eine Wallet-Benachrichtigung gehört. Die DSGVO gilt so oder so, weil die Nachricht an eine bekannte Person geht und ihre Daten nutzt. Die sichere Lesart ist also einfach: Wenn die Worte in einer E-Mail eine Einwilligung bräuchten, brauchen sie sie auch auf dem Sperrbildschirm.

Zwei Dinge zum Kanal solltest du noch wissen. Auf dem iPhone kann ein Kunde in den Einstellungen einer einzelnen Karte in Wallet die Mitteilungen ausschalten, ohne die Karte zu löschen. Und Google Wallet erlaubt laut seiner Entwicklerdokumentation höchstens 3 Nachrichten mit Benachrichtigung innerhalb von 24 Stunden (Stand: November 2026). Ein Laden, der auch nur in die Nähe dieser Grenze kommt, hat ein größeres Problem als die DSGVO.

So funktioniert die Einwilligung, vom Poster bis zur Abmeldung

Hier ist der ganze Ablauf, wie er in einem Laden laufen sollte, in sechs Schritten.

1. Das Poster sagt, wobei man mitmacht. „Deine Karte für die Bäckerei Lipa, in Apple Wallet oder Google Wallet“ reicht. Niemand soll das Gefühl haben, durch einen QR-Scan in einen Newsletter gerutscht zu sein.
2. Das Anmeldeformular fragt getrennt. Der Kunde gibt seine E-Mail ein und bestätigt sie. Darunter steht ein leeres Kästchen für Nachrichten, mit klaren Worten wie: „Schickt mir Angebote und Neuigkeiten der Bäckerei Lipa auf meine Karte und per E-Mail. Ich kann das jederzeit abschalten.“ Die Karte funktioniert, ob er ankreuzt oder nicht.
3. Das Ja wird festgehalten. Die DSGVO verlangt, dass du zeigen kannst, dass jemand zugestimmt hat: wer, wann und zu welchem Wortlaut. Eine Notiz auf Papier schafft das nicht in größerer Zahl; dein Kundenkartensystem sollte es tun.
4. Nachrichten werden nach der Antwort getrennt. Karten-Updates gehen an alle mit Karte. Angebote, Rückholnachrichten und Geburtstagsgeschenke nur an die, die angekreuzt haben.
5. Jede Werbenachricht hat einen Ausgang. Ein Abmeldelink in der E-Mail und eine Einstellung auf der Karte selbst brauchen je einen Tipp, genau wie das Ankreuzen.
6. Ein Nein gilt sofort. Wer widerruft, bekommt die nächste Kampagne nicht mehr, und die Karte funktioniert weiter wie bisher. Er verliert die Angebote, nicht die Stempel.

Bei den Schritten 3 bis 6 scheitern eine Papierliste oder eine Tabelle mit E-Mail-Adressen. Bei Loyalius, einer Plattform für Kundenkarten, die Stempel-, Punkte- und Cashback-Karten in Apple Wallet und Google Wallet bringt, wird die Einwilligung pro Kunde erfasst, Werbenachrichten gehen nur an Menschen, die zugestimmt haben, und ein Kunde kann auf der Karte oder über den Abmeldelink in einer Nachricht widerrufen. Die Einwilligung wird in jedem Tarif erfasst, also hat ein einzelner Laden im Starter denselben Nachweis wie eine Kette.

Was ist mit Kunden, die nie Ja gesagt haben?

Kunden, die sich ohne Häkchen angemeldet haben, behalten ihre Karte und bekommen weiter Karten-Updates; deine Angebote bekommen sie nicht. Für die meisten Läden ist das schon die ganze Antwort.

Es gibt eine Ausnahme, nach der oft gefragt wird. Artikel 13 Absatz 2 der ePrivacy-Richtlinie erlaubt einem Geschäft, einem Bestandskunden per E-Mail Werbung für eigene ähnliche Produkte zu schicken, wenn es die Adresse im Zusammenhang mit einem Verkauf bekommen hat, der Kunde beim Erheben der Adresse widersprechen konnte und in jeder Nachricht widersprechen kann. Der Gerichtshof der EU hat im November 2025 bestätigt, dass dieser Weg ohne zusätzliche DSGVO-Einwilligung funktioniert, wenn alle Bedingungen erfüllt sind (Rechtssache C-654/23). Die Länder setzen das unterschiedlich um (in Deutschland regelt es § 7 UWG), und es wurde für E-Mail geschrieben, nicht für Wallet-Karten.

Meine Meinung: Bau deine Kundenkarte nicht auf diese Ausnahme. Fragen kostet ein Kästchen, und ein Kunde, der es angekreuzt hat, weiß, dass deine Nachrichten kommen. Dieser Kunde schaltet die Mitteilungen nach der ersten Nachricht viel seltener aus.

Der beste Moment, alle zu fragen, die das Kästchen übersprungen haben, ist der nächste Besuch, persönlich. Das ist dieselbe Fähigkeit wie Kunden überhaupt zur Anmeldung zu bringen, darüber habe ich in der Frage an der Kasse geschrieben.

Kurz gefragt

Darf ich meine alte E-Mail-Liste in die Kundenkarte übernehmen und allen schreiben?

Nur im Rahmen dessen, wozu diese Menschen beim Sammeln der Adressen zugestimmt haben. Eine E-Mail-Adresse auf einer Liste ist für sich keine Einwilligung. Wenn du nicht zeigen kannst, wer wann der Werbung zugestimmt hat, lade sie lieber zur Karte ein, statt ihnen Angebote zu schicken.

Darf ich die Einwilligung zur Werbung zur Bedingung für die Kundenkarte machen?

Nicht, wenn die Einwilligung zählen soll. Laut den Leitlinien des Datenschutzausschusses ist eine Einwilligung, die an etwas gekoppelt ist, das man nicht ablehnen kann, nicht freiwillig. Trenn also Karte und Nachrichten: die Karte für alle, die Angebote für alle, die Ja sagen.

Wie lange darf ich die Daten der Kundenkarte nach DSGVO speichern?

Die DSGVO nennt keine feste Zahl an Monaten; sie sagt, dass Daten nur so lange gespeichert werden, wie sie für ihren Zweck nötig sind. Leg einen Zeitraum für inaktive Karten fest, schreib ihn in deine Datenschutzerklärung und halte dich daran.

Gilt die DSGVO auch für einen kleinen Laden mit einem Standort?

Ja. Die DSGVO gilt für jedes Geschäft in der EU, das personenbezogene Daten verarbeitet, egal wie groß. Eine einzelne Bäckerei mit 200 Karteninhabern hat bei der Einwilligung dieselben Pflichten wie eine Kette, nur mit weniger Menschen auf der Liste.

Lieber weniger Ja, aber echte

Im Dezember ist die Versuchung groß, ein Weihnachtsangebot an alle zu schicken, die deine Karte haben. Ich finde, die Menschen, die das Kästchen angekreuzt haben, sind die einzigen, die es zu erreichen lohnt. Eine Liste mit 200 Kunden, die um deine Nachrichten gebeten haben, holt mehr Leute zurück als 600, die nie gefragt wurden, weil sich unter den 200 niemand über die erste Nachricht ärgert.

Bevor deine Dezember-Nachrichten rausgehen, öffne also dein Anmeldeformular auf deinem eigenen Handy. Prüf, dass das Kästchen leer ist, dass im Text dein Laden steht und dass die Karte ohne Häkchen funktioniert. Wenn alle drei Punkte stimmen, kann deine Rückholnachricht im Januar ohne Bedenken rausgehen.