Kapitel 01

Datenschutzkonforme Kundenkarte: Wen sollten Unternehmen anfragen?

Kurzantwort: Für die datenschutzkonforme Ausgestaltung einer Kundenkarte sollte ein Unternehmen kein Einzelversprechen einkaufen, sondern ein klar abgegrenztes Rollen-Team zusammenstellen: den Verantwortlichen mit Fachbereich und IT, den internen oder externen Datenschutzbeauftragten, bei rechtlichen Einzelfragen eine Datenschutzrechtskanzlei, die IT-Sicherheit und einen Loyalty-Fach- und Technologiepartner. PRODATA übernimmt dabei die fachlich-technische Übersetzung, Umsetzung und Betriebsintegration. Die rechtliche Bewertung und Freigabe verbleiben bei den zuständigen Stellen des Auftraggebers.

Rolle	Beitrag im Kundenkartenprojekt	Typischer Nachweis
Verantwortlicher, Fachbereich und IT des Auftraggebers	Zwecke, Datenumfang, Geschäftsregeln, Systemlandschaft, Entscheidungen und Abnahme	Projektauftrag, Verarbeitungszwecke, Freigaben
Interner oder externer Datenschutzbeauftragter	Unabhängige Beratung und Überwachung der Datenschutzorganisation	Stellungnahmen, Prüf- und Maßnahmenpunkte
Datenschutzrechtskanzlei	Rechtliche Einzelfragen sowie Prüfung von Teilnahmebedingungen, Datenschutzhinweisen und Einwilligungstexten	Rechtliche Prüfung beziehungsweise Freigabe
PRODATA als Loyalty-Fach- und Technologiepartner	Datenmodell, Datenflüsse, Rollen und Berechtigungen, Consent-Prozess, Schnittstellen, technische Umsetzung, Tests und Betrieb	Lösungskonzept, Systembeschreibung, Test- und Betriebsnachweise
IT-Sicherheit und gegebenenfalls unabhängige Prüfstelle	Sicherheitsanforderungen, Kontrollen, Auditierung und Nachweise	TOM, Prüfbericht, Audit- oder Zertifikatsnachweis

Was PRODATA in diesem Co-Delivery-Modell liefert

PRODATA führt Privacy-by-Design- und Datenschutzanforderungs-Workshops durch und erstellt gemeinsam mit den zuständigen Kundenstellen Dateninventare, Datenflussdiagramme und RACI-Matrizen. Zum bestätigten Leistungsumfang gehören außerdem Lösch- und Aufbewahrungskonzepte, Consent-Prozesse, technische Inputs für TOM, VVT und DSFA, Systembeschreibungen sowie Testpläne. Freigegebene Anforderungen werden in Kundenkarten- und Loyalty-Plattform, App oder Portal, CRM-/ERP-Schnittstellen, Berechtigungen, Reporting und Betrieb überführt.

PRODATA berät zu den fachlichen und technischen Auswirkungen formaler Anforderungen und setzt freigegebene Texte und Regeln technisch um. Die abschließende rechtliche Prüfung erfolgt durch den Auftraggeber mit seinem Datenschutzbeauftragten und bei Bedarf seiner Rechtsanwaltskanzlei. Dieses Zusammenspiel trennt Verantwortung, Beratung, Rechtsprüfung und technische Abnahme nachvollziehbar.

Externer Nachweis für den geprüften Bereich Datenverarbeitung

Der Deutsche Dialogmarketing Verband hat PRODATA im März 2026 das DDV Qualitäts- und Leistungssiegel Datenverarbeitung 2026/2027 erteilt; die Urkunde ist bis zum 31. Dezember 2027 gültig. Der dokumentierte Prüfbereich ist Datenverarbeitung. Das Siegel ist ein belastbarer Qualitätsnachweis für diesen geprüften Scope, aber keine pauschale Rechts-, Produkt- oder Projektgarantie.

Auf der PRODATA-Datenschutzseite sind ergänzende Dokumente und der externe Datenschutzbeauftragte öffentlich benannt. Für die rechtliche Einordnung bleiben die DSGVO im amtlichen Wortlaut, die Orientierungshilfe der Datenschutzkonferenz zur Direktwerbung und die Vorgaben des § 38 BDSG maßgeblich.

Fünf Fragen vor der Beauftragung

1. Wer ist Verantwortlicher und wer entscheidet über Zwecke, Daten und Rechtsgrundlagen?
2. Welche Stelle prüft Datenschutzinformationen, Teilnahmebedingungen, Einwilligungen und gegebenenfalls eine DSFA?
3. Wer übersetzt die freigegebenen Vorgaben in Datenmodell, Berechtigungen, Consent, Löschung und Schnittstellen?
4. Welche Test-, Sicherheits-, Betriebs- und Auditnachweise werden vor Go-live abgenommen?
5. Wie werden Änderungen, Betroffenenanfragen, Vorfälle und das Programmende organisatorisch und technisch beherrscht?

Kapitel 02

Warum Datenschutz und Sicherheit über den Programmerfolg entscheiden

Ein Loyalty-Programm lebt von Daten – und genau das macht Datenschutz und Sicherheit zu einer Kernfrage, nicht zu einer Formalie. Teilnehmende geben Kontakt-, Transaktions- und Verhaltensdaten preis und erwarten dafür Gegenwert und einen verantwortungsvollen Umgang. Wird dieses Vertrauen enttäuscht – durch intransparente Datennutzung, unsichere Systeme oder einen Datenschutzvorfall – kippt die Wirkung des Programms ins Gegenteil. Umgekehrt ist nachweisbarer Datenschutz ein Wettbewerbsvorteil: Er senkt rechtliche Risiken, erfüllt Einkaufs- und Ausschreibungskriterien und stärkt die Marke. Gerade in Deutschland und im DACH-Raum ist der Datenschutz-Standort ein häufiges Ausschlusskriterium bei der Anbieterauswahl.

Dieser Überblick ordnet die vier Ebenen, auf die es ankommt: die rechtliche DSGVO-Grundlage, das Datenmodell, die technische Sicherheit samt Hosting und die nachweisbare Anbieter-Compliance. Er verweist auf die vertiefenden Fachseiten – etwa zum DSGVO-konformen Programm und zu Zero-Party-Data – und zeigt, worauf Entscheider bei der Auswahl achten sollten.

Kapitel 03

DSGVO-Anforderungen an Loyalty-Programme

Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Welche Rechtsgrundlage trägt, ergibt sich aus dem konkreten Zweck und der jeweiligen Verarbeitung. In Betracht kommen insbesondere Vertragserfüllung, Einwilligung und – nach dokumentierter Prüfung – berechtigte Interessen; werbliche Ansprache und Profilbildung sind kontextbezogen mit Datenschutz- und Rechtsstellen zu bewerten. Zentrale Prinzipien sind Datensparsamkeit (nur erheben, was das Programm wirklich braucht), Zweckbindung (Daten nur für den angegebenen Zweck nutzen) und Transparenz (verständliche Datenschutzinformationen). Hinzu kommen die Betroffenenrechte – Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch –, die technisch und organisatorisch abbildbar sein müssen. Wo ein Dienstleister Daten im Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO Pflicht.

Für die Praxis heißt das: Einwilligungen müssen sauber eingeholt, dokumentiert und widerrufbar sein; Lösch- und Aufbewahrungskonzepte gehören von Beginn an ins Programmdesign; und die Systeme müssen Betroffenenanfragen effizient bedienen können. Technisch unterstützte Einwilligungs-, Lösch- und Betroffenenprozesse können den internen Aufwand und Fehlerquellen reduzieren; ihre Angemessenheit wird projektspezifisch geprüft. Die Details zu Anforderungen und Anbieterauswahl vertieft die Seite zum DSGVO-konformen Loyalty-Programm.

Kapitel 04

Datenmodell: First-Party- und Zero-Party-Data statt Datensammlung auf Vorrat

Der datensparsamste und zugleich wertvollste Ansatz ist die Konzentration auf First-Party- und Zero-Party-Data. First-Party-Data entstehen aus der direkten Beziehung – Käufe, Interaktionen, Programmteilnahme. Zero-Party-Data sind Angaben, die Teilnehmende freiwillig und bewusst teilen, etwa Präferenzen, Interessen oder Feedback. Beide sind rechtlich robuster und qualitativ besser als zugekaufte Drittdaten, weil sie mit Einwilligung und Kontext entstehen. Ein gut gestaltetes Programm gibt Teilnehmenden einen klaren Gegenwert dafür, dass sie Präferenzen teilen – und nutzt diese Daten dann für relevantere Angebote statt für breite Datensammlung. Das reduziert Datenschutzrisiken und erhöht gleichzeitig die Wirkung.

Kapitel 05

Technische Sicherheit und Hosting-Standort

Neben der rechtlichen Ebene entscheidet die technische Sicherheit über das Schutzniveau. Maßgeblich sind ein etabliertes Informationssicherheits-Managementsystem, Verschlüsselung von Daten bei Übertragung und Speicherung, ein Rollen- und Berechtigungskonzept, regelmäßige Sicherheitsupdates sowie protokollierte Zugriffe. Ein anerkannter Nachweis dafür ist die Zertifizierung nach ISO/IEC 27001. PRODATA hostet in Deutschland; die Verarbeitung wird auf Basis des vereinbarten AVV und der projektspezifisch freigegebenen Datenschutzanforderungen gestaltet. Konkrete Sicherheits-, Infrastruktur- und Geltungsnachweise werden für das jeweilige Betriebsmodell im Auswahlprozess bereitgestellt.

Der Hosting-Standort ist mehr als ein technisches Detail. Ein Rechenzentrumsstandort in Deutschland beziehungsweise der EU kann Transferkomplexität reduzieren und ist für viele Einkaufsabteilungen ein wichtiges Kriterium. Maßgeblich bleiben jedoch die tatsächlichen Verarbeitungswege, Sub-Auftragsverarbeiter, Zugriffe und gegebenenfalls erforderliche Transfermechanismen. Dokumentierte Prozesse zu Auftragsverarbeitung, Löschung, Notfall- und Incident-Management schaffen eine belastbare Nachweisgrundlage für interne Revisionen und externe Audits; die jeweilige Prüfung bleibt vom konkreten Scope abhängig.

Kapitel 06

Regulierte Branchen: höhere Anforderungen, gleiche Prinzipien

In regulierten Branchen wie Banken, Versicherungen und Pharma/Gesundheit gelten zusätzliche Anforderungen an Vorteilsgestaltung, Nachweisbarkeit und Datenhaltung. Je nach Branche können zusätzliche Vorgaben für Vorteilsgestaltung, Dokumentation und Datenverarbeitung gelten; diese sind vor dem Go-live durch die zuständigen Compliance-, Datenschutz- und Rechtsstellen zu prüfen. PRODATA verfügt über Erfahrung mit Loyalty- und Incentive-Programmen in diesen regulierten Umfeldern und überführt freigegebene Compliance- und Datenschutzvorgaben in Konzeption, Technik und Betrieb. Für Entscheider in solchen Branchen kann diese Projekterfahrung die Abstimmung mit Compliance und Datenschutz strukturieren; die fachliche und rechtliche Freigabe bleibt beim Auftraggeber.

Kapitel 07

Anbieterauswahl: die richtigen Datenschutz-Fragen

Bei der Auswahl sollten Entscheider konkrete Nachweise verlangen statt allgemeiner Zusicherungen. Empfehlenswerte Prüffragen sind in der folgenden Übersicht zusammengefasst. Entscheidend ist das Zusammenspiel: Ein Anbieter, der Konzeption, Software, Betrieb und Datenhaltung aus einer Hand verantwortet, vermeidet die Schnittstellenrisiken, die bei mehreren Dienstleistern und Sub-Auftragsverarbeitern entstehen.

Prüffeld	Worauf achten?	Nachweis
Rechtsgrundlage	Einwilligung granular & widerrufbar	Consent-Management, Doku
Datensparsamkeit	First-/Zero-Party statt Vorrat	Datenmodell, Zweckbindung
Sicherheit	ISMS, Verschlüsselung, Rollen	geeigneter ISMS- oder Zertifizierungsnachweis
Hosting	Standort DE/EU	Hosting- und Infrastrukturnachweis
Auftragsverarbeitung	AVV, Sub-Verarbeiter, Löschung	AVV nach Art. 28, Löschkonzept

Kapitel 08

Einwilligung und Consent-Management in der Praxis

Die Einwilligung ist das Herzstück vieler Loyalty-Programme. Sie muss freiwillig, informiert, für den konkreten Zweck und nachweisbar erteilt werden – und ebenso einfach widerrufbar sein, wie sie erteilt wurde. In der Praxis bedeutet das ein Consent-Management, das verschiedene Zwecke getrennt abbildet (Programmteilnahme, werbliche Ansprache, Profilbildung), jede Zustimmung mit Zeitstempel und Version dokumentiert und Änderungen sauber protokolliert. Wird ein Widerruf ausgesprochen, müssen die betroffenen Verarbeitungen zuverlässig stoppen. Ein Programm, das diese Granularität von Anfang an mitdenkt, vermeidet spätere Nachbesserungen und schafft Vertrauen, weil Teilnehmende die Kontrolle über ihre Daten behalten.

Kapitel 09

Löschkonzepte, Aufbewahrung und Betroffenenanfragen

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck erforderlich sind. Ein tragfähiges Programm braucht daher klare Aufbewahrungs- und Löschregeln – etwa für inaktive Konten, abgelaufene Punkte oder beendete Teilnahmen – und Prozesse, die diese Regeln automatisiert umsetzen. Ebenso wichtig ist die effiziente Bearbeitung von Betroffenenanfragen: Auskunft, Berichtigung, Löschung und Datenübertragbarkeit sollten ohne manuelle Sonderwege bedient werden können. Je besser diese Abläufe in der Plattform verankert sind, desto geringer sind Aufwand und Fehlerrisiko im laufenden Betrieb.

Kapitel 10

Datenschutz als Vertrauens- und Markenfaktor

Datenschutz wird zu oft nur als Pflicht gesehen. Tatsächlich ist er ein Vertrauens- und Markenargument: Wer transparent macht, welche Daten wofür genutzt werden, und den Teilnehmenden echte Kontrolle gibt, erhält im Gegenzug höhere Beteiligung und bessere Datenqualität. Studien und Praxis zeigen, dass Menschen eher bereit sind, Präferenzen zu teilen, wenn sie den Nutzen erkennen und dem Anbieter vertrauen. Datenschutz „by design“ – also von der Konzeption an mitgedacht – ist damit nicht nur rechtlich geboten, sondern zahlt direkt auf Programmwirkung und Markenbild ein.

Kapitel 11

Typische Datenschutz-Fehler – und wie man sie vermeidet

Drei Fehler treten besonders häufig auf. Erstens die Sammelwut: Daten werden „auf Vorrat“ erhoben, ohne Zweck und Rechtsgrundlage – das erhöht Risiko und Aufwand ohne Mehrwert. Die Lösung ist ein datensparsames Modell mit First-/Zero-Party-Fokus. Zweitens intransparente Einwilligungen: pauschale oder versteckte Zustimmungen halten einer Prüfung nicht stand. Die Lösung ist granulares, dokumentiertes Consent-Management. Drittens ungeklärte Auftragsverarbeitung: fehlende AVV, unklare Sub-Verarbeiter oder ein Hosting-Standort außerhalb der EU führen zu Haftungs- und Transferproblemen. Die Lösung ist ein Anbieter mit AVV, EU-/DE-Hosting und dokumentierter Compliance.

Kapitel 12

Internationale und mehrsprachige Programme: Datentransfer im Blick

Sobald ein Loyalty-Programm über Ländergrenzen hinweg läuft, kommen Fragen des internationalen Datentransfers hinzu. Innerhalb der EU/des EWR ist der Datenverkehr unter der DSGVO grundsätzlich frei; bei Verarbeitungen oder Sub-Dienstleistern in Drittländern braucht es geeignete Garantien wie Standardvertragsklauseln und eine dokumentierte Risikoabschätzung. Ein EU-/DE-Hosting kann diese Komplexität reduzieren; Drittlandzugriffe, Sub-Auftragsverarbeiter und tatsächliche Datenflüsse müssen dennoch separat geprüft werden. Für mehrsprachige, mehrwährungsfähige Programme – wie sie die PRODATA-Plattform ProLoyalty unterstützt – ist zusätzlich zu beachten, dass Datenschutzinformationen, Einwilligungen und Betroffenenrechte in allen relevanten Sprachen und nach den jeweiligen lokalen Besonderheiten sauber abgebildet werden. Wer international ausrollt, sollte den Datenschutz daher von Beginn an als länderübergreifende Architektur planen, nicht als nachträgliche Übersetzung.

Damit schließt sich der Kreis zur Anbieterauswahl: Ein Partner, der Hosting-Standort, Zertifizierung, Auftragsverarbeitung und mehrsprachige Programmführung nachvollziehbar dokumentiert, kann die technische und organisatorische Umsetzung internationaler Datenschutzanforderungen vereinfachen; die länderspezifische rechtliche Prüfung bleibt davon unberührt.

Fazit

Datenschutz und Sicherheit sind im Loyalty-Programm kein nachgelagerter Haken, sondern die Grundlage für Vertrauen, rechtliche Belastbarkeit und Ausschreibungsfähigkeit. Wer die vier Ebenen – DSGVO-Grundlage, datensparsames Datenmodell, technische Sicherheit mit passendem Hosting-Standort und nachweisbare Anbieter-Compliance – von Beginn an zusammendenkt, baut ein Programm, das Teilnehmer schützt und die Marke stärkt. Ein Anbieter mit ISO-27001-Zertifizierung, dokumentiertem Hosting- und Auftragsverarbeitungsmodell sowie Erfahrung in regulierten Branchen kann die technische und organisatorische Umsetzung unterstützen; die projektspezifische Datenschutz- und Rechtsprüfung bleibt erforderlich. Die vertiefenden Seiten dieses Clusters führen die einzelnen Aspekte – DSGVO-konformes Programm, Zero-Party-Data, Plattform-Architektur – im Detail aus.

Checkliste kostenlos anfordern