stamm.Zur Webseite

Datenschutz

Diese Hinweise betreffen die öffentliche Webseite sowie den geschützten Händler- und NFC-Pilotbetrieb.

Noch keine vollständige Datenschutzinformation: Die Auftragsverarbeitungsverträge mit den Dienstleistern und die Rollenverteilung mit teilnehmenden Läden sind noch abzuschließen. Der Pilot ist damit noch nicht für einen regulären Betrieb mit echten Kunden datenschutzrechtlich freigegeben.

1. Verantwortlichkeit und Kontakt

Verantwortlich: Stammpunkt GbR, Rheinstraße 5, 60325 Frankfurt am Main, vertreten durch Maximilian Gehrmann und Ben Gallus. Datenschutzkontakt: info@stammpunkt.com. Weitere Angaben im Impressum.

Für Händlerkonten und den eigenen Webseitenbetrieb ist die Betreiberverantwortung zu klären. Für ein Bonusprogramm legt der jeweilige Laden die Zwecke fest; seine Angaben und die vertragliche Aufgabenverteilung mit Stammpunkt müssen vor einem echten Kundenbetrieb ergänzt werden.

2. Welche Daten entstehen?

3. Zwecke und Rechtsgrundlagen

Konto, Einrichtung und angefordertes Bonusprogramm dienen der gewünschten Leistung; Art. 6 Abs. 1 lit. b DSGVO kommt bei einem Vertrag mit der betroffenen Person in Betracht. Bei Beschäftigten eines Händlers sind Rollenverteilung und Rechtsgrundlage gesondert festzulegen. Missbrauchsabwehr und technische Sicherheit dienen dem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO); die Interessenabwägung muss dokumentiert werden. Gesetzliche Pflichten werden nur bei tatsächlich einschlägiger Verpflichtung auf Art. 6 Abs. 1 lit. c DSGVO gestützt.

Wallet-Ausgabe und Nachrichtenversand sind derzeit nicht aktiv. Neue Einwilligungen für einen unbestimmten späteren Versand werden nicht gesammelt. Bestehende Wallet-Marketingeinwilligungen können auf der Karte oder unter „Meine Daten“ widerrufen werden. Vor Aktivierung sind konkrete Informationen und eine gesonderte freiwillige Einwilligung erforderlich; Stempel und Prämien dürfen davon nicht abhängen.

4. Cookies und lokale Speicherung

Die öffentliche Informationsseite setzt durch die Anwendung keine Analyse- oder Werbecookies. Für ausdrücklich aufgerufene geschützte Funktionen werden folgende Speicherungen verwendet:

Die Anwendung verwendet lokal ausgelieferte Schriftarten und erzeugt Authenticator-QR-Codes lokal. Externe Analyse- oder Werbedienste sind nicht eingebunden. Die Ausnahme für unbedingt erforderliche Speicherungen nach § 25 Abs. 2 TDDDG ist je Funktion und für den späteren Produktbetrieb zu überprüfen. Zusätzliche Analyse- oder Marketingtechnik benötigt eine erneute Prüfung.

5. Empfänger und Speicherorte

Die Anwendung läuft bei Vercel Inc. (USA); die Serverfunktionen sind auf die Region Frankfurt am Main eingestellt, statische Dateien werden über das weltweite Netz von Vercel ausgeliefert. Die Datenbank betreibt Supabase Inc. (USA) in der Region Frankfurt am Main (eu-central-1). Die Domain und E-Mail-Postfächer liegen bei IONOS SE (Deutschland). Google Wallet wird derzeit nicht ausgegeben.

Apple Wallet (freiwillig): Wählst du auf deiner Karte „Zu Apple Wallet hinzufügen“, erzeugen wir eine signierte Pass-Datei mit Ladenname, Kartengestaltung (einschließlich vom Laden hochgeladener Bilder), Kaufstempel-Stand, Prämie, deiner pseudonymen Kartennummer und einer zufälligen Pass-Kennung. Name und E-Mail-Adresse sind nicht enthalten. Die Datei wird auf deinem Gerät gespeichert. Damit sich die Karte aktualisiert, meldet dein Gerät bei uns eine Gerätekennung (gespeichert nur als verschlüsselter Prüfwert) und einen Push-Token (verschlüsselt gespeichert) an. Nach einer Änderung deines Stands senden wir über den Apple Push Notification Service der Apple Inc. (USA) eine Benachrichtigung ohne Inhalt; dein Gerät ruft den neuen Stand dann bei uns ab. Rechtsgrundlage ist die von dir angeforderte Leistung (Art. 6 Abs. 1 lit. b DSGVO). Aktualisierungen kannst du in Wallet abschalten. Löschst du deine Pilotkarte unter „Meine Daten“, entfernen wir Pass-Datensatz und Geräteanmeldungen aus der aktiven Datenbank; die Pass-Datei auf deinem Gerät entfernst du in Wallet selbst.

Angebote über die Wallet-Karte (nur mit Einwilligung): Schaltest du auf deiner Karte „Angebote auf meine Wallet-Karte“ ein, darf der Laden dir gelegentlich Nachrichten senden. Sie erscheinen als Mitteilung über deine Apple-Wallet-Karte und auf deren Rückseite. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir speichern Zeitpunkt, Textversion und Inhalt der Einwilligung sowie jede zugestellte Nachricht mit Zeitpunkt. Höchstens eine Nachricht pro Woche, keine Zustellung zwischen 20 und 9 Uhr. Der Laden wählt nur grobe Zielgruppen (alle, kurz vor der Prämie, länger nicht da); er sieht dabei keine Namen. Du kannst die Einwilligung jederzeit auf der Karte oder unter „Meine Daten“ widerrufen; noch nicht zugestellte Nachrichten werden dann verworfen.

Die Auftragsverarbeitungsverträge mit Vercel und Supabase, deren Unterauftragnehmer sowie Log- und Backupregionen sind noch nicht vollständig nachgewiesen. Eine ausschließliche Verarbeitung in Deutschland oder der EU wird daher nicht zugesichert. Etwaige Drittlandübermittlungen benötigen eine nachgewiesene Grundlage nach Kapitel V DSGVO. Die technische Nennung eines Anbieters ersetzt keinen solchen Nachweis.

6. Speicherung und Löschung

Abgelaufene Anmeldesitzungen, Sicherheitszwischenschritte und Versuchszähler werden bereinigt; Anmelde-Sicherheitsereignisse werden nach 30 Tagen zur Löschung ausgewählt. Verkäuferauswahlen und nicht abgeschlossene Prämienanforderungen werden einen Tag nach Ablauf zur Löschung ausgewählt, Wiederholungsantworten nach ihrem Ablauf. Nicht abgeschlossene Registrierungen ohne Betriebszuordnung werden nach sieben Tagen ohne Abschluss zur Löschung ausgewählt, sofern kein gültiger Anmeldevorgang oder eine gültige Sitzung mehr besteht. Der technische Bereinigungsstatus enthält nur Zeitpunkte, Fehlercodes und Summen. Diese Bereinigung läuft begrenzt bei Webseitenanfragen und Anmeldevorgängen. Ohne weitere Zugriffe ist noch keine feste Löschfrist garantiert; ein unabhängiger täglicher Lauf ist beim Hosting einzurichten.

Deine Pilotkarte kannst du unter „Meine Daten“ aus der aktiven Datenbank löschen. Erfasst werden auch Besuche, alle Guthaben, Prämieneinlösungen und Rückbuchungen, Einwilligungen und zugehörige technische Datensätze. Händler können ihren Einrichtungsentwurf selbst löschen. Ein Konto ohne Betriebszuordnung kann nach Passwort- und erneuter Sicherheitscode-Prüfung selbst gelöscht werden. Konten mit Betriebszuordnung und weitere Auskunfts- oder Löschanfragen werden begleitet bearbeitet.

Verbindliche Fristen für bestehende aktive Konten, Einrichtungsentwürfe, ungenutzte Karten, Betriebs- und Nachweisdaten sowie Infrastrukturprotokolle und Backups sind noch festzulegen. Ein abgelaufenes Cookie löscht keine Serverdaten. Die Löschung aus der aktiven Anwendung bestätigt nicht gleichzeitig die Entfernung aus Sicherungskopien.

Kartenstudio und Nachrichtenentwürfe

Im Händlerbereich speichern wir Kartengestaltungen, deren übernommene Versionen sowie Nachrichtenentwürfe mit zugehöriger Mitarbeiterkennung. Bitte hier nur Informationen über den Betrieb und keine persönlichen Gästedaten eingeben. Die Kartenansicht verbindet die übernommene Gestaltung mit dem eigenen Guthaben. Das Kartenstudio zeigt lediglich aggregierte Kartenzahlen und erlaubt eine Nachrichtensimulation mit frei gewählten Testangaben. Testangaben werden nicht als Kundenkarte oder Zustellung gespeichert. Nachrichten gehen nur an Kunden mit Wallet-Karte und Einwilligung; ein Test-Schalter im Studio ist keine Einwilligung eines Gastes. Nachrichtenentwürfe können berechtigte Händler im Studio löschen. Weitere Betriebsdaten und Versionshistorien erfordern derzeit eine begleitete Löschprüfung.

7. Deine Rechte

Du kannst nach den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen. Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen, ohne die Rechtmäßigkeit der bisherigen Verarbeitung zu berühren. Bei Verarbeitung aufgrund berechtigter Interessen besteht ein Widerspruchsrecht nach Art. 21 DSGVO; gegen Direktwerbung kannst du jederzeit widersprechen.

Meine Kartendaten · Meine Händlerdaten. Die Downloads betreffen aktive Anwendungsdaten. Für ergänzende Auskunft, Daten außerhalb der Anwendung oder fehlenden Browserzugang nutze info@stammpunkt.com. Bitte keine Passwörter, Sicherheitscodes oder vollständigen Kartenlinks senden. Nachweise werden nur benötigt, soweit die Zuordnung der Anfrage sonst nicht zuverlässig möglich ist.

Anfragen sind unverzüglich, grundsätzlich innerhalb eines Monats zu beantworten. Eine gesetzlich zulässige Verlängerung muss innerhalb dieses Monats begründet mitgeteilt werden. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort deines Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes.

8. Freiwilligkeit und Entscheidungen

Ohne erforderliche Kontodaten können wir kein Händlerkonto bereitstellen; ohne Kartenkennung ist keine Wiedererkennung der Browserkarte möglich. Marketing bleibt freiwillig. Im aktuellen Pilot gibt es keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Besuche und Punkte dienen dem Bonusprogramm; vor einer Nutzung von Zielgruppen für tatsächliche Werbung sind die konkrete Rechtsgrundlage, Information und Einwilligung erneut zu prüfen.

Stand: 1. Oktober 2026 · Pilotbetrieb mit den ausdrücklich genannten offenen Punkten.