Datenschutzerklärung

Stand: Oktober 2026

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten wir im Rahmen der WafyCard-Plattform (im Folgenden „WafyCard") verarbeiten, wofür wir sie verwenden, an wen wir sie weitergeben und welche Rechte du als betroffene Person hast.

1. Verantwortlicher

2. Was WafyCard tut (Zweckbestimmung)

WafyCard ist eine Customer-Retention-Plattform für Restaurants. Gäste eines teilnehmenden Restaurants können eine digitale Treuekarte in Apple Wallet, Google Wallet oder einer Web-App speichern, Stempel/Punkte sammeln und Angebote ihres Restaurants direkt aufs Smartphone erhalten.

3. Welche Daten wir verarbeiten

Je nach Nutzung verarbeiten wir:

• Anmelde- / Profildaten: Vorname, Nachname, E-Mail-Adresse, optional Geburtstag und Wohnort.
• Wallet- & Pass-Daten: Eine eindeutige Pass-Seriennummer und ein Geräte-Push-Token, damit Apple Wallet / Google Wallet die Karte aktualisieren können.
• Verhaltensdaten: Anzahl der Besuche, eingelöste Coupons, Zeitpunkte, Höhe von verbuchten Beträgen — soweit der Betreiber des jeweiligen Restaurants diese erfasst.
• Push-Empfänge: Pseudonymisierte Statistiken, ob ein Push versendet, zugestellt, geöffnet oder ein Coupon eingelöst wurde.
• Einwilligungen: Jede erteilte oder widerrufene Einwilligung zu Marketing-Push, E-Mail, Profiling oder Delivery-Tracking wird mit Zeitstempel revisionssicher protokolliert.
• Server-Logs: IP-Adresse, User-Agent, Zeitstempel, aufgerufene Adresse und verweisende Seite (Referrer) — zur Abwehr von Missbrauch und für die Reichweitenmessung; höchstens 6 Wochen gespeichert.
• Reichweitenmessung auf wafycard.com/start: Unsere Kampagnenseite für Restaurants meldet einzelne Ereignisse an unseren eigenen Server: Seitenaufruf, sichtbare Verweildauer, Scrolltiefe, Videostart und -fortschritt, welche Formularfelder angetippt wurden (ohne Inhalte), auf welchem Weg die Adresse eingegeben wurde (Vorschlag, selbst eingegeben oder Vorschlagssuche nicht verfügbar), Absenden, Fehlermeldungen (nur die Art des Fehlers), erfolgreiche Registrierung sowie Klicks auf WhatsApp-, App- und Dashboard-Links (nur welcher Link an welcher Stelle). Dazu kommt die Kampagnenquelle aus dem Link (utm-Angaben) bzw. nur der Vermerk, dass der Aufruf über einen Facebook-/Instagram-Link kam – die Klick-Kennung dieses Links übernimmt die Messung nicht. Zusammengehörige Ereignisse verbindet eine zufällige Kennung, die nur für den einzelnen Seitenaufruf gilt. Die Messung setzt keine Cookies und speichert nichts auf deinem Gerät. Die Ereignisse werden im Zugriffsprotokoll unseres eigenen Servers bei Hetzner gespeichert, wie jeder Abruf zusammen mit IP-Adresse, User-Agent und Zeitpunkt (Speicherdauer siehe Abschnitt 7). Wir geben sie nicht weiter, bilden keine Profile und führen sie nicht mit Nutzerkonten zusammen. Zweck: Verbesserung der Kampagnenseite. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — für das Anlegen und Verwalten deiner WafyCard-Karte.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — für Marketing-Push, Newsletter, Profiling-basierte Empfehlungen. Du kannst deine Einwilligung jederzeit unter „Meine Daten" widerrufen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — für Missbrauchsprävention (Rate-Limits, Audit-Logs), die Reichweitenmessung auf wafycard.com/start und die Adressvorschläge bei der Registrierung.

5. Empfänger / Auftragsverarbeiter

Wir geben deine Daten nur weiter, soweit es zur Erfüllung des Dienstes erforderlich ist. Aktuelle Empfänger:

• Hetzner Online GmbH (Gunzenhausen, DE) — Hosting der Plattform und Datenbank.
• Vercel Inc. (San Francisco, USA) — Hosting der Web-Apps. Datenübermittlung auf Basis EU-US Data Privacy Framework + Standardvertragsklauseln.
• Apple Inc. (Cupertino, USA) — Apple Wallet PassKit Web Service + APNs Push-Versand. Standardvertragsklauseln.
• Google Ireland Ltd. (Dublin, IE) — Google Wallet Loyalty-Pässe und Web-Push-Versand. EU-Niederlassung.
• Anthropic PBC (San Francisco, USA) — Generierung von Kampagnen-Textvorschlägen für Restaurantbetreiber. Wir übermitteln ausschließlich aggregierte Segment-Zahlen, niemals E-Mails, Namen oder IDs. Standardvertragsklauseln.
• Stripe Payments Europe Ltd. (Dublin, IE) — Abrechnung gegenüber den Restaurantbetreibern. Nicht-Restaurantgäste werden hier nicht verarbeitet.
• komoot GmbH (Schönefeld, DE) — Adressvorschläge über den Dienst Photon (OpenStreetMap-Daten) bei der Registrierung von Restaurants auf wafycard.com/start und im Dashboard. Dein Browser sendet dabei den eingetippten Adresstext direkt an komoot, zusammen mit deiner IP-Adresse, dem User-Agent und der Herkunft der Anfrage (nur die Domain, z. B. wafycard.com). Auf wafycard.com/start geschieht das ab drei Zeichen nach einer kurzen Tipp-Pause, solange das Feld „Adresse deines Restaurants“ Vorschläge sucht; nach einem Tipp auf „Adresse selbst eingeben“ geht nichts mehr an komoot – wer das vor dem Tippen wählt, sendet gar nichts. Im Dashboard wird der Inhalt des Felds „Straße“ ab vier Zeichen übermittelt, ggf. zusammen mit der eingetragenen Stadt. Zweck: weniger Tipparbeit und Tippfehler. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – die Vorschläge erleichtern die Eingabe, sind für die Registrierung aber nicht erforderlich. Datenschutzerklärung von komoot: komoot.com/privacy.
• OpenStreetMap Foundation (Cambridge, Vereinigtes Königreich) — Geocoding über Nominatim: Wenn die Adresse eines Restaurants gespeichert oder geändert wird, fragt unser Server deren Koordinaten ab, damit die Wallet-Karte in der Nähe des Restaurants erscheinen und das Restaurant im Marktplatz gefunden werden kann. Übermittelt werden nur Straße mit Hausnummer, PLZ, Ort und Land des Restaurants, und zwar von unserem Server aus – keine Daten von Gästen oder Besucherinnen und Besuchern der Website. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung der OSMF: osmfoundation.org/wiki/Privacy_Policy.

6. Drittlandübermittlung

Einige Empfänger sitzen außerhalb der EU/des EWR (USA). Übermittlungen finden auf Basis des EU-US Data Privacy Framework und/oder Standardvertragsklauseln nach Art. 46 Abs. 2 DSGVO statt. Wir prüfen die Angemessenheit dieser Garantien fortlaufend.

7. Speicherdauer

• Aktive Karten: solange du teilnimmst.
• Nach Löschanfrage: sofortiger Soft-Delete (kein Marketing mehr), danach vollständige Löschung der personenbezogenen Felder nach 30 Tagen.
• Server-Logs: höchstens 6 Wochen.
• Einwilligungs-Audit-Log: bis zu 3 Jahre nach Vertragsende für Nachweispflichten.

8. Deine Rechte

Du hast nach DSGVO jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21)
• Widerruf erteilter Einwilligungen — die Rechtmäßigkeit bis dahin erfolgter Verarbeitungen bleibt davon unberührt

Die meisten Rechte kannst du direkt unter „Meine Daten" ausüben: Profil ansehen, Einwilligungen ein- und ausschalten, JSON-Export herunterladen oder Konto löschen lassen.

9. Beschwerderecht

Wenn du der Meinung bist, dass eine Verarbeitung gegen die DSGVO verstößt, kannst du dich bei einer Aufsichtsbehörde beschweren — z. B. dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Postfach 10 29 32, 70025 Stuttgart.

10. Kontakt für Datenschutzfragen

Für alle Anliegen rund um den Datenschutz erreichst du uns unter info@algebra-ec.de — bitte „Datenschutz / WafyCard" in den Betreff schreiben.

11. Änderungen

Wir können diese Datenschutzerklärung anpassen, wenn sich technische Verarbeitungen, Empfänger oder Rechtsgrundlagen ändern. Die jeweils aktuelle Fassung ist hier abrufbar.