Datenschutzerklärung

Stand: Mai 2026

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten wir im Rahmen der WafyCard-Plattform (im Folgenden „WafyCard") verarbeiten, wofür wir sie verwenden, an wen wir sie weitergeben und welche Rechte du als betroffene Person hast.

1. Verantwortlicher

2. Was WafyCard tut (Zweckbestimmung)

WafyCard ist eine Customer-Retention-Plattform für Restaurants. Gäste eines teilnehmenden Restaurants können eine digitale Treuekarte in Apple Wallet, Google Wallet oder einer Web-App speichern, Stempel/Punkte sammeln und Angebote ihres Restaurants direkt aufs Smartphone erhalten.

3. Welche Daten wir verarbeiten

Je nach Nutzung verarbeiten wir:

• Anmelde- / Profildaten: Vorname, Nachname, E-Mail-Adresse, optional Geburtstag und Wohnort.
• Wallet- & Pass-Daten: Eine eindeutige Pass-Seriennummer und ein Geräte-Push-Token, damit Apple Wallet / Google Wallet die Karte aktualisieren können.
• Verhaltensdaten: Anzahl der Besuche, eingelöste Coupons, Zeitpunkte, Höhe von verbuchten Beträgen — soweit der Betreiber des jeweiligen Restaurants diese erfasst.
• Push-Empfänge: Pseudonymisierte Statistiken, ob ein Push versendet, zugestellt, geöffnet oder ein Coupon eingelöst wurde.
• Einwilligungen: Jede erteilte oder widerrufene Einwilligung zu Marketing-Push, E-Mail, Profiling oder Delivery-Tracking wird mit Zeitstempel revisionssicher protokolliert.
• Server-Logs: IP-Adresse, User-Agent, Zeitstempel — zur Abwehr von Missbrauch und für 7 Tage gespeichert.

4. Rechtsgrundlagen

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — für das Anlegen und Verwalten deiner WafyCard-Karte.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — für Marketing-Push, Newsletter, Profiling-basierte Empfehlungen. Du kannst deine Einwilligung jederzeit unter „Meine Daten" widerrufen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — für Missbrauchsprävention (Rate-Limits, Audit-Logs).

5. Empfänger / Auftragsverarbeiter

Wir geben deine Daten nur weiter, soweit es zur Erfüllung des Dienstes erforderlich ist. Aktuelle Empfänger:

• Hetzner Online GmbH (Gunzenhausen, DE) — Hosting der Plattform und Datenbank.
• Vercel Inc. (San Francisco, USA) — Hosting der Web-Apps. Datenübermittlung auf Basis EU-US Data Privacy Framework + Standardvertragsklauseln.
• Apple Inc. (Cupertino, USA) — Apple Wallet PassKit Web Service + APNs Push-Versand. Standardvertragsklauseln.
• Google Ireland Ltd. (Dublin, IE) — Google Wallet Loyalty-Pässe und Web-Push-Versand. EU-Niederlassung.
• Anthropic PBC (San Francisco, USA) — Generierung von Kampagnen-Textvorschlägen für Restaurantbetreiber. Wir übermitteln ausschließlich aggregierte Segment-Zahlen, niemals E-Mails, Namen oder IDs. Standardvertragsklauseln.
• Stripe Payments Europe Ltd. (Dublin, IE) — Abrechnung gegenüber den Restaurantbetreibern. Nicht-Restaurantgäste werden hier nicht verarbeitet.

6. Drittlandübermittlung

Einige Empfänger sitzen außerhalb der EU/des EWR (USA). Übermittlungen finden auf Basis des EU-US Data Privacy Framework und/oder Standardvertragsklauseln nach Art. 46 Abs. 2 DSGVO statt. Wir prüfen die Angemessenheit dieser Garantien fortlaufend.

7. Speicherdauer

• Aktive Karten: solange du teilnimmst.
• Nach Löschanfrage: sofortiger Soft-Delete (kein Marketing mehr), danach vollständige Löschung der personenbezogenen Felder nach 30 Tagen.
• Server-Logs: 7 Tage.
• Einwilligungs-Audit-Log: bis zu 3 Jahre nach Vertragsende für Nachweispflichten.

8. Deine Rechte

Du hast nach DSGVO jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21)
• Widerruf erteilter Einwilligungen — die Rechtmäßigkeit bis dahin erfolgter Verarbeitungen bleibt davon unberührt

Die meisten Rechte kannst du direkt unter „Meine Daten" ausüben: Profil ansehen, Einwilligungen ein- und ausschalten, JSON-Export herunterladen oder Account löschen lassen.

9. Beschwerderecht

Wenn du der Meinung bist, dass eine Verarbeitung gegen die DSGVO verstößt, kannst du dich bei einer Aufsichtsbehörde beschweren — z. B. dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Postfach 10 29 32, 70025 Stuttgart.

10. Kontakt für Datenschutzfragen

Für alle Anliegen rund um den Datenschutz erreichst du uns unter info@algebra-ec.de — bitte „Datenschutz / WafyCard" in den Betreff schreiben.

11. Änderungen

Wir können diese Datenschutzerklärung anpassen, wenn sich technische Verarbeitungen, Empfänger oder Rechtsgrundlagen ändern. Die jeweils aktuelle Fassung ist hier abrufbar.