Datenschutz

Entwurf. Diese Datenschutzinformation beschreibt die Treuekarten-App nach dem aktuellen Stand der Anwendung. Zu einzelnen Punkten fehlen noch betriebliche Angaben. Sie sind [so markiert].

1. Verantwortlicher

Bongabee GmbH (Handelsname: Cross River Coffee)
Reisewitzer Str. 31, 01159 Dresden
Geschäftsführer: Tanto Ndzi Wilson
Telefon: +49 351 27580823
E-Mail: info@crossrivercoffee.de oder shop@crossrivercoffee.de

Diese Information gilt für die Treuekarten-App. Für den Online-Shop unter shop.crossrivercoffee.de gilt dessen Datenschutzerklärung.

2. So funktioniert die Treuekarte

Gäste legen kein eigenes Konto an. Eine Treuekarte wird vom Personal im Café angelegt. Der Gast erhält einen persönlichen Link bzw. QR-Code. Darüber kann er seine Karte jederzeit ansehen. Mitarbeitende melden sich mit E-Mail-Adresse und Passwort an, um Stempel zu vergeben und Prämien einzulösen.

3. Welche Daten wir verarbeiten

3.1 Treuekarte von Gästen

• Name bzw. Vorname, wie ihn das Personal bei der Kartenanlage einträgt
• Kartennummer (sie ist im QR-Code enthalten) und ein zufälliger Schlüssel für den Gästelink
• Stempelstand, Anzahl eingelöster Gratis-Getränke und erreichte Meilensteine
• Zeitpunkt und Café jedes Stempels sowie Zeitpunkt jeder Einlösung und jedes Meilensteins
• das Mitarbeiterkonto, das einen Stempel vergeben oder eine Einlösung bestätigt hat (nur intern sichtbar)

Zweck: Führung der Treuekarte, Vergabe von Stempeln, Einlösung von Prämien und Meilensteinen, Anzeige von Stempelstand und Stempelverlauf für den Gast.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Teilnahme am Bonusprogramm).

Zugriff über den Gästelink: Der Gästelink ist durch einen zufälligen, schwer zu erratenden Schlüssel geschützt, aber nicht durch ein Passwort. Wer den Link oder QR-Code kennt, kann die Karte ansehen. Bitte geben Sie ihn nicht an Dritte weiter.

3.2 Mitarbeitende

• E-Mail-Adresse und Passwort (Anmeldung über den Dienst Supabase Auth)
• Rolle (Admin oder Mitarbeiter) und zugeordnetes Café
• Zuordnung von Stempeln, Einlösungen und Meilensteinen zum jeweiligen Konto

Zweck: Zugriffsschutz und Verwaltung der Treuekarten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, bei Beschäftigten in Verbindung mit § 26 BDSG.

3.3 Technische Verbindungsdaten

Beim Aufruf der App verarbeitet der Hosting-Anbieter technisch bedingt Verbindungsdaten, zum Beispiel IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserinformationen. Die Adresse der Gästekarte enthält den Gästelink-Schlüssel und kann daher in solchen Protokollen erscheinen. Zweck: Auslieferung der Seiten, Sicherheit und Stabilität des Betriebs. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der App).

3.4 Was nicht stattfindet

• Keine Werbung, kein Tracking, keine Analyse- oder Marketing-Dienste.
• Keine automatisierte Entscheidungsfindung und kein Profiling.
• Keine Weitergabe der Daten zu Werbezwecken.
• Schriften, Logo und Hintergrundbild werden von der App selbst ausgeliefert, nicht von externen Servern. Die QR-Codes werden im Gerät erzeugt bzw. gelesen. Die Kamera-Aufnahme des Team-Scanners verlässt das Gerät nicht.

4. Cookies und lokaler Speicher

• Gästeseite: Die App setzt hier keine Cookies. Damit die Karte auch bei schlechtem Empfang angezeigt werden kann, speichert Ihr Browser eine Kopie Ihrer Kartendaten (Name, Stempelstand, Café-Angaben, Meilensteine) im lokalen Speicher des Geräts. Sie wird nicht automatisch gelöscht, sondern bleibt, bis Sie die Website-Daten im Browser löschen.
• Team-Login: Nach der Anmeldung setzt der Authentifizierungsdienst Cookies mit der Anmeldesitzung. Sie sind für den Betrieb des Logins erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Ein Cookie-Banner ist deshalb nicht erforderlich.

5. Empfänger und Dienstleister

• Vercel Inc. (USA): Hosting der Web-Anwendung.
• Supabase Inc. (USA): Datenbank und Anmeldung. Dort liegen alle unter 3.1 und 3.2 genannten Daten.
• Intern können Mitarbeitende und Administratoren von Cross River Coffee die Karten einsehen, soweit es für ihre Aufgabe nötig ist. Die Karten sind cafeübergreifend nutzbar.

[Ob mit Vercel und Supabase Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) abgeschlossen wurden, ist noch zu bestätigen]

6. Übermittlung in Drittländer

Beide Dienstleister sind US-Unternehmen. Eine Übermittlung in die USA ist daher nicht auszuschließen. Nach eigenen Angaben ist Vercel unter dem EU-U.S. Data Privacy Framework zertifiziert und bietet in seiner Auftragsverarbeitungsvereinbarung Standardvertragsklauseln der EU-Kommission an. Auch Supabase bietet in seiner Auftragsverarbeitungsvereinbarung Standardvertragsklauseln an.

[Region der Supabase-Datenbank und Ausführungsregion bei Vercel sind noch zu bestätigen]

7. Speicherdauer

Karten, Stempel- und Einlösehistorie werden von der App nicht automatisch gelöscht. Sie bleiben gespeichert, bis sie gelöscht werden. Mitarbeiterkonten bleiben bis zu ihrer Löschung bestehen. Für Verbindungsdaten gelten die Aufbewahrungszeiten des Hosting-Anbieters.

[Interne Löschfristen für Treuekarten und Mitarbeiterkonten sind noch festzulegen]

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dafür an die unter 1. genannten Kontaktdaten. Den Namen auf Ihrer Karte kann das Personal im Café ändern.

9. Beschwerde bei der Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für den Verantwortlichen mit Sitz in Dresden ist zuständig:

Sächsische Datenschutz- und Transparenzbeauftragte
Postfach 11 01 32, 01330 Dresden
E-Mail: post@sdtb.sachsen.de
Internet: www.datenschutz.sachsen.de

10. Angabe von Daten

Für eine Treuekarte genügt ein Vorname. Ohne einen Namen kann keine Karte angelegt werden. Die Nutzung ist freiwillig.

11. Änderungen

Wir passen diese Information an, wenn sich die App oder die eingesetzten Dienste ändern. Stand: 27. Oktober 2026.