Stand: 09.11.2026.
1. Verantwortlicher
Marvin Mörsberger, Elfriede-Dittmer-Weg 8, 31157 Sarstedt, kontakt@moersbergerit.de.
2. Kunden, die eine Karte holen
Kunden müssen nichts eingeben und brauchen kein Konto. Beim Holen einer Karte entstehen zwei zufällige Kennungen (ein Link-Token und ein kurzer Kartencode), der Stempelstand und die Zeitpunkte der Stempel. Eine Zehnerkarte gibt das Geschäft aus, auch sie besteht nur aus diesen Kennungen, dem Stand der Einheiten, einem optionalen Ablaufdatum und den Zeitpunkten der Buchungen. Dasselbe gilt für einen Gutschein, der zusätzlich den Betrag, den Restwert und die einzelnen Einlösebeträge enthält. Beim Abgeben von Feedback werden Sterne, Text und Zeitpunkt gespeichert, nicht die IP-Adresse und keine Angaben zur Person (die IP wird nur kurzzeitig für die Missbrauchsbremse im Arbeitsspeicher gehalten). Beim Ziehen einer Warteschlangen-Nummer entstehen eine laufende Nummer, der Tag, ein zufälliges Kennzeichen und die Zeitpunkte des Ziehens und Aufrufens. Der Browser merkt sich das Kennzeichen lokal (localStorage), damit die Anzeige nach dem Neuladen weiterläuft. Die Karte wird keiner Person zugeordnet, es werden weder Name noch E-Mail-Adresse noch Telefonnummer erhoben. Der Browser speichert lokal (localStorage), welche Karte er für einen Aushang schon geholt hat, damit der erneute Scan dieselbe Karte öffnet. Grundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.
Wer die Karte über „Ins Wallet“ in Apple Wallet oder Google Wallet ablegt, löst die Erstellung eines Passes bei einem Dienstleister aus (siehe Ziffer 5). Dort werden der Programmname, der Stempelstand, der Stempelcode und der Kartenlink hinterlegt, keine Namen.
3. Geschäfte
Kontodaten (E-Mail-Adresse, Passwort als Hash, Name des Geschäfts) zur Bereitstellung des Zugangs: Art. 6 Abs. 1 lit. b DSGVO. Programmdaten: Name, Prämie, Farbe, optional ein Logo, sowie die Buchungen (Stempel, Einlösung, Rückgängig) mit Zeitpunkt und dem buchenden Konto.
Technisch notwendiges Cookie (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG): sh_session für die Anmeldung des Geschäfts. Kein Tracking, keine Reichweitenmessung, keine Werbe-Cookies.
Missbrauchsschutz: Zur Begrenzung von Fehlversuchen werden IP-Adressen kurzzeitig im Arbeitsspeicher bzw. als Hash mit Versuchszeit verarbeitet und nach kurzer Zeit gelöscht. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO.
4. Speicherort und Sicherung
Anwendung und Datenbank laufen auf einem Server in Deutschland. Passwörter werden nur als Hash gespeichert. Die tägliche Sicherungskopie wird verschlüsselt zusätzlich in Apple iCloud Drive abgelegt und nach spätestens 90 Tagen überschrieben.
5. Empfänger
- Cloudflare (Cloudflare Inc., USA, und Cloudflare Germany GmbH): Auslieferung und Absicherung der Verbindung. Dabei fallen Verbindungsdaten wie die IP-Adresse an. Grundlage Art. 6 Abs. 1 lit. f DSGVO, Drittlandübermittlung auf Basis von EU-Standardvertragsklauseln.
- Mailjet (Sinch Email, Frankreich): Versand von System-E-Mails wie Passwort-Zurücksetzen.
- WalletWallet (nur, wenn die Wallet-Funktion freigeschaltet und genutzt wird): Erstellung und Aktualisierung des Wallet-Passes.
- Internes Fehler-System des Anbieters (eigener Server in Deutschland): technische Fehlermeldungen ohne Kartentoken.
Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.
6. Löschung
Geschäfte können in den Kontoeinstellungen jederzeit ihr Konto löschen, dabei werden alle Programme, Karten und Buchungen unwiderruflich entfernt. Ein Programm lässt sich einzeln löschen. Eine Karte kann der Kunde nicht selbst löschen, weil sie nicht personenbezogen gespeichert ist. Er kann den Link einfach nicht mehr verwenden.
7. Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO) richten Sie an die oben genannte Adresse. Es besteht ein Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO), zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen.