Datenschutzerklärung
Stand: Juni 2026 · Gemäß DSGVO (EU) 2016/679 und DSG 2000 (Österreich)
1. Verantwortlicher
Schayimerdan Abdulla
Olga-Rudel-Zeynek-Gasse 16, 8054 Graz, Österreich
E-Mail: team@cardalpine.at
2. Grundsätze der Datenverarbeitung
Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Dienstleistungen erforderlich ist. Wir erheben keine Daten auf Vorrat. Alle Daten werden vertraulich behandelt und nicht ohne Rechtsgrundlage an Dritte weitergegeben.
3. Kategorien personenbezogener Daten
3.1 Endkunden (Karteninhaber)
- Vor- und Nachname (bei Kartenausstellung angegeben)
- Stempel- und Einlösehistorie (Transaktionsdaten)
- Erstellungsdatum und letzte Aktivität der Karte
- Geräte-Kennung (eine zufällig generierte UUID, die wir selbst erzeugen und im lokalen Speicher des Browsers ablegen – kein Zugriff auf die Hardware-ID des Geräts)
3.2 Geschäftsinhaber (Nutzer der Plattform)
- E-Mail-Adresse
- Angaben zum Unternehmen (Name, Slug)
- Logo und Gestaltungseinstellungen der Karte
- Stempel-Aktionsdaten (wer hat wann gestempelt)
3.3 Technische Daten (alle Nutzer)
- IP-Adresse (Serverlogs, 7 Tage Aufbewahrung)
- Browser-Typ, Betriebssystem
- Zugriffszeitpunkte
- Session-Cookies (für Anmeldung und Kartenzuordnung)
4. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Ausstellung einer digitalen Kundenkarte (Einwilligung bei Kartenerstellung) | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Bereitstellung des Stempelkarten-Dienstes | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Verwaltung von Treueprogrammen | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Verhinderung doppelter Kartenausstellung (Geräte-Kennung) | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Sicherheit und Missbrauchsschutz | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Technischer Betrieb der Plattform | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Google Wallet Pass-Ausstellung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
5. Auftragsverarbeiter und Drittanbieter
Wir setzen folgende Dienstleister ein, mit denen Auftragsverarbeitungsverträge (AVV) bestehen oder datenschutzrechtliche Standardvertragsklauseln vereinbart wurden:
| Anbieter | Zweck | Sitz / Übermittlung |
|---|---|---|
| Supabase Inc. | Datenbankhosting, Authentifizierung | USA (EU-Server, SCCs) |
| Vercel Inc. | Hosting der Webanwendung | USA (EU-Region verfügbar, SCCs) |
| Google LLC | Google Wallet API, Pass-Ausstellung | USA (SCCs, EU-Standardklauseln) |
6. Cookies
Wir verwenden ausschließlich technisch notwendige Cookies:
- Session-Cookie: Für die Anmeldung von Geschäftsinhabern (Laufzeit: Session)
- Karten-Cookie (
card_[slug]): Speichert den Token der ausgestellten Kundenkarte, damit Kunden ihre Karte wiederfinden (Laufzeit: 1 Jahr) - Geräte-Kennung (localStorage): Eine von uns zufällig erzeugte UUID, die im lokalen Speicher des Browsers gespeichert wird. Sie dient ausschließlich dazu, doppelte Kartenausstellungen zu verhindern. Es handelt sich nicht um die Hardware-ID des Geräts. (Laufzeit: dauerhaft, bis Browser-Daten gelöscht werden)
Es werden keine Analyse-, Tracking- oder Werbe-Cookies eingesetzt. Eine Einwilligung gemäß § 96 Abs. 3 TKG ist für diese technisch notwendigen Speicherungen nicht erforderlich.
7. Speicherdauer und Löschung
- Kundenkarten und Stempeldaten: Solange das Treueprogramm des Geschäftsinhabers aktiv ist
- Nach Kündigung: Löschung aller personenbezogenen Daten innerhalb von 30 Tagen
- Server-Logs (IP-Adressen): 7 Tage
- Gesetzliche Aufbewahrungspflichten (z.B. Buchhaltung): 7 Jahre gemäß UGB
8. Ihre Rechte als betroffene Person
Sie haben gemäß DSGVO folgende Rechte gegenüber uns:
- Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von uns gespeicherten Daten verlangen.
- Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
- Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
- Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem maschinenlesbaren Format erhalten.
- Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Basis berechtigter Interessen widersprechen.
Anfragen richten Sie bitte an: team@cardalpine.at.
Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen.
9. Beschwerderecht bei der Aufsichtsbehörde
Sie haben das Recht, bei der österreichischen Datenschutzbehörde eine Beschwerde einzureichen:
Österreichische Datenschutzbehörde (DSB)
Barichgasse 40–42
1030 Wien
Tel.: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at
10. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der Rechtslage oder bei Änderungen unserer Dienstleistungen anzupassen. Die aktuelle Version ist stets unter /datenschutz abrufbar. Das Datum der letzten Aktualisierung ist oben angegeben.