Entwurf – Selbstprüfung offen

Datenschutzerklärung

Zuletzt aktualisiert: 12. November 2026

1 Verantwortlicher

Für die Website stammkartl.at, die Konten der Betriebe, die Anmeldung und den Support ist verantwortlich:

Berkan Akdag („Stammkartl") Papiermühlgasse 38, 8020 Graz, Österreich E-Mail: hello@stammkartl.at · Telefon: +43 660 8231030

Einen Datenschutzbeauftragten haben wir nicht bestellt. Schreib uns direkt.

2 Überblick: zwei Rollen

Deine Stempelkarte: Verantwortlich ist der Betrieb, bei dem du die Karte angelegt hast. Stammkartl verarbeitet diese Daten nur in seinem Auftrag (Auftragsverarbeiter nach Art 28 DSGVO). Fragen zu deiner Karte richtest du zuerst an den Betrieb: der Betrieb, bei dem du deine Karte angelegt hast. Seinen Namen, seine Anschrift und seine Kontaktdaten findest du auf seiner Beitrittsseite und in Punkt 1 seiner Teilnahmebedingungen.
Alles andere: Für Website, Betriebskonten, Anmeldung, Support und Protokolle ist Stammkartl selbst verantwortlich.
Was wir nicht tun: Wir schicken Gästen keine eigene Werbung, verkaufen keine Daten, setzen keine Analyse- oder Tracking-Dienste ein und verknüpfen keine Karten verschiedener Betriebe.

3 Betriebe

Konto: E-Mail-Adresse, Name des Betriebs, Adresse, Telefon, Website, Instagram, Öffnungszeiten, Standort, Logo und Bilder. Angemeldet wird mit einer sechsstelligen PIN, die wir nur als Hash speichern. Zweck: der Vertrag über die Nutzung von Stammkartl (Art 6 Abs 1 lit b DSGVO).
Vertragsannahme: Zeitpunkt, Fassung, Prüfsumme des Textes, Name der zustimmenden Person, die vollständige IP-Adresse und die Browserkennung. Neben den Häkchen steht ein Hinweis mit Link auf diese Erklärung; ob du den Link geöffnet hast, erfassen wir nicht. Zweck: Nachweis, wer welcher Fassung zugestimmt hat (Art 6 Abs 1 lit f DSGVO; unser Interesse ist, den Vertrag belegen zu können). Dagegen kannst du widersprechen (Art 21 DSGVO).
Textvorschläge mit KI: Tippst du auf „Mit KI verbessern", geht nur dein getippter Text, ohne Platzhalter, über das Vercel AI Gateway an das Modell von Anthropic (USA). Jede Anfrage verlangt „Zero Data Retention": Der Text wird dort nicht gespeichert. Daten von Gästen gehen nicht mit. Der Vorschlag wird erst gesendet, wenn du selbst sendest (Art 6 Abs 1 lit b DSGVO).
Adresssuche: Die Suche nach einer Adresse im Chef-Bereich fragt OpenStreetMap (Nominatim) direkt aus deinem Browser. Dabei sieht der Dienst deine IP-Adresse und den Suchtext.
Verwaltung: Beim Anlegen eines Betriebs kann die Verwaltung öffentliche Angaben (Name, Adresse, Öffnungszeiten) über Google Places suchen. Zugriffe der Verwaltung, etwa das Lesen von Vertragsnachweisen oder Gästelisten, protokollieren wir mit Aktion, Zeitpunkt, IP-Adresse und Browser (Art 6 Abs 1 lit f DSGVO; unser Interesse ist die Sicherheit der Daten).

4 Gäste

Karte anlegen: Vorname (freiwillig; ohne Eingabe steht „Gast") und, wenn du willst, Tag und Monat deines Geburtstags. E-Mail-Adresse und Telefonnummer fragen wir nicht ab. Du bestätigst die Teilnahmebedingungen mit einem Häkchen; wir speichern deren Fassung an der Karte. Eine Karte darf anlegen, wer mindestens 14 Jahre alt ist.
Rechtsgrundlage: Für Karte, Stempel und Prämien die Teilnahme am Treueprogramm des Betriebs (Art 6 Abs 1 lit b DSGVO). Für den Geburtstag deine Einwilligung (Art 6 Abs 1 lit a DSGVO): Wir speichern ihn nur zusammen mit Zeitpunkt, Fassung und Wortlaut des Satzes, den du dabei gesehen hast.
Stempel und Prämien: mit Zeitpunkt, und welcher Mitarbeiter gestempelt hat.
Apple Wallet: Dein Gerät lädt die Karte von unserem Server. Ändert sich die Karte, schicken wir an Apple nur das Push-Token deines Geräts und ein Signal ohne Inhalt; dein Gerät holt die neue Karte dann bei uns. Auf der Karte stehen dein Vorname, dein Stempelstand, die Angaben des Betriebs und seine Standorte (damit die Karte in der Nähe auf dem Sperrbildschirm erscheint).
Google Wallet: Legst du die Karte in Google Wallet, bekommt Google deinen Vornamen, deinen Stempel- und Prämienstand, die Kartenkennung, die Angaben des Betriebs und die Nachrichten an die Karte. Dafür ist Google selbst verantwortlich. Google löscht Wallet-Karten nicht; wir können sie nur auf „abgelaufen" setzen.
Nachrichten und Werbung: Der Betrieb kann Nachrichten an deine Karte schicken. Werbung nur mit deiner Einwilligung: Nach dem Anlegen fragt ein eigenes Blatt, „Ja" oder „Nein, nur die Karte", nichts ist vorausgewählt, Schließen gilt als Nein. Sagst du Ja, speichern wir Zeitpunkt, Fassung und Wortlaut (Art 6 Abs 1 lit a DSGVO; den Nachweis verlangt Art 7 Abs 1 DSGVO). Abbestellen kannst du jederzeit über „Mitteilungen" auf der Rückseite der Karte. Dabei löschen wir auch deinen Geburtstag.
Teilen: Teilst du die Seite über „Mit Freunden teilen", enthält der Link nur den Betrieb und den Zusatz „?von=teilen". Legt jemand darüber eine neue Karte an, zählen wir nur, dass an diesem Tag beim Betrieb eine Karte über einen geteilten Link dazukam. An keiner Karte steht etwas davon, und niemand erfährt, wer geteilt hat.
Schutz vor Missbrauch: Beim Anlegen merken wir uns deine IP-Adresse nur gekürzt (die letzte Stelle fehlt), um Massenanmeldungen zu bremsen (Art 6 Abs 1 lit f DSGVO).
Pflicht zur Angabe: Keine. Ohne Häkchen bei den Teilnahmebedingungen gibt es aber keine Karte. Es gibt keine automatisierte Entscheidung und kein Profiling.

5 Mitarbeiter

Daten: Name, PIN (nur als Hash gespeichert), Anmeldung in der Mitarbeiter-App und je Stempel, Einlösung oder Geschenk, wer ihn gegeben hat.
Rollen: Verantwortlich ist der Betrieb als Arbeitgeber; Stammkartl verarbeitet die Daten in seinem Auftrag.
Auswertung: Der Betrieb sieht keine Zahlen je Mitarbeiter, nur Summen für das ganze Team. Die Zuordnung je Stempel entfernen wir nach 13 Monaten.
Kamera: Die Mitarbeiter-App nutzt die Kamera nur, um den QR-Code der Karte zu lesen.

6 Empfänger

Empfänger	Wofür	Wo	Absicherung
Supabase Pte. Ltd., Singapur	Datenbank, Dateispeicher, Konten der Betriebe	EU (Irland); Zugriff des Anbieters aus Singapur möglich	Standardvertragsklauseln der EU-Kommission
Vercel Inc., USA	Hosting, Programmlogik (Frankfurt), Zeitplan, KI-Gateway	Eingangsserver weltweit, Vercel in den USA	EU-US Data Privacy Framework und Standardvertragsklauseln
Anthropic PBC, USA, über das Vercel AI Gateway	Textvorschläge im Chef-Bereich, nur der Text des Betriebs, ohne Speicherung	USA	EU-US Data Privacy Framework
Apple	Apple Wallet, selbst verantwortlich	USA	Regeln von Apple
Google	Google Wallet, selbst verantwortlich; Places-Suche der Verwaltung	USA	Regeln von Google
OpenStreetMap Foundation	Adresssuche im Chef-Bereich	Vereinigtes Königreich	Angemessenheitsbeschluss der EU-Kommission
Zoho Mail	Postfach hello@stammkartl.at, wenn du uns schreibst	[OFFEN: Auftragsverarbeitungsvertrag mit Zoho: Firma, Ort der Verarbeitung und Drittland aus dem Vertrag eintragen]	wie links

Andere Empfänger gibt es nicht. Behörden bekommen Daten nur, wenn ein Gesetz es verlangt.

7 Übermittlung in Drittländer

In die USA und nach Singapur gehen Daten nur an die Empfänger aus Abschnitt 6. In die USA stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art 45 DSGVO), ergänzend auf Standardvertragsklauseln (Art 46 DSGVO). Nach Singapur auf Standardvertragsklauseln. Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss.

8 Speicherdauer

Was	Wie lange
Deine Karte samt Stempeln, Prämien und Geburtstag	bis du sie löschen lässt; nach 730 Tagen ohne Stempel löschen wir sie (Hinweis 30 Tage vorher)
Geburtstag	bis du ihn löschst oder Werbung abbestellst
Nachweis einer Einwilligung	3 Jahre nach Widerruf oder nach Löschung der Karte
Welcher Mitarbeiter gestempelt hat	13 Monate
Gekürzte IP-Adresse gegen Missbrauch	30 Tage
Zählung der Schritte auf der Beitrittsseite, ohne Kennung	180 Tage
Zugriffsprotokolle bei Vercel	1 Tag
Protokoll der Verwaltung	90 Tage
Konto eines Betriebs	bis zum Vertragsende; danach Löschung spätestens nach 60 Tagen
Nachweis einer Vertragsannahme	Vertragsdauer und danach 3 Jahre, so lange können Ansprüche verjähren (§ 1489 ABGB); die Löschung danach machen wir derzeit von Hand
Karte in Apple Wallet	auf deinem Gerät, bis du sie entfernst
Karte in Google Wallet	bei Google; Google löscht sie nicht

Handels- oder abgabenrechtliche Aufbewahrungspflichten bestehen hier nicht.

9 Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art 15 bis 21 DSGVO). Eine Einwilligung kannst du jederzeit widerrufen, ohne Folgen für die Zeit davor (Art 7 Abs 3 DSGVO). Für deine Karte wendest du dich am besten an den Betrieb; schreibst du uns, leiten wir dein Anliegen an ihn weiter. Für alles andere: hello@stammkartl.at.

10 Beschwerde

Du kannst dich bei der österreichischen Datenschutzbehörde beschweren: Barichgasse 40-42, 1030 Wien, dsb@dsb.gv.at, +43 1 52 152-0, www.dsb.gv.at.

11 Cookies und Speicher im Browser

Wir setzen nur, was für die Funktion nötig ist (§ 165 Abs 3 TKG 2021). Keine Analyse-, Werbe- oder Tracking-Cookies, keine Skripte anderer Anbieter; die Schrift liefern wir selbst aus.

Name	Wofür	Laufzeit
stempl_karte_(Betrieb)	merkt sich deine Karte bei diesem Betrieb, damit keine zweite entsteht	1 Jahr
chef_session, staff_session	Anmeldung im Chef-Bereich und in der Mitarbeiter-App	30 Tage
admin_session	Anmeldung der Verwaltung	4 Stunden
sb-…	Sitzung der Datenbank-Bibliothek, nur im Chef-Bereich	legt die Bibliothek fest

Hast du früher zugestimmt, dass wir dich bei mehreren Betrieben wiedererkennen, kannst du das ganz unten auf dieser Seite zurücknehmen; neu setzen wir dieses Cookie nicht mehr.

Im Speicher deines Browsers liegen außerdem: deine frühere Cookie-Entscheidung, falls es eine gibt; deine offene Werbe-Zusage bis zur Bestätigung und der Stand des Anlegens (nur für diese Sitzung); für Chef und Mitarbeiter der zuletzt gewählte Betrieb, Entwürfe und ob die Einführung schon gezeigt wurde.

12 Sicherheit

Alles läuft verschlüsselt über HTTPS. PINs speichern wir nur als Hash, jede Tabelle der Datenbank hat Zeilenschutz, ein Betrieb sieht nur seine eigenen Gäste. Fehler schreiben wir gekürzt und ohne Personendaten in unser eigenes Log; einen externen Fehlerdienst gibt es nicht. Die Einzelheiten stehen in den technischen und organisatorischen Maßnahmen: stammkartl.at/tom.

13 Änderungen

Ändert sich, was wir verarbeiten, passen wir diese Erklärung an. Das Datum oben zeigt die geltende Fassung; frühere Fassungen bewahren wir auf.

Stand: 12. November 2026