--- title: Treueprogramm und DSGVO: was ihr beachten müsst | NFCeez url: https://nfceez.de/blog/treueprogramm-datenschutz-dsgvo/ language: de description: Treueprogramm und DSGVO: wann ihr eine Einwilligung braucht, wie das Kästchen aussieht, Double-Opt-In und E-Mail-Werbung nach § 7 UWG. Stand Nov. 2026. --- # Was müsst ihr beim Treueprogramm nach der DSGVO beachten? Wofür ihr keine Einwilligung braucht, wofür schon, und wie ein Anmeldeformular aussieht, das auch einer Prüfung standhält. [Stammgäste](https://nfceez.de/blog/thema/stammgaeste/) 7 Min. Lesezeit Aktualisiert am 2. November 2026 NFCeez Redaktion Kurz gesagt Ein Treueprogramm für Cafés und Restaurants kann die Daten für die Karte selbst meist auf den Vertrag stützen (Art. 6 Abs. 1 lit. b DSGVO). Werbung per E-Mail braucht dagegen in der Regel eine eigene, nachweisbare Einwilligung nach § 7 UWG. Dazu gehören ein leeres, getrenntes Kästchen, Double-Opt-In und eine Datenschutzerklärung schon bei der Anmeldung. Inhalt - Braucht ein Treueprogramm die Einwilligung der Gäste? - Wann dürft ihr Gästen ohne Einwilligung Werbe-E-Mails schicken? - Wie muss die Einwilligung aussehen? - Ist Double-Opt-In Pflicht, und was müsst ihr speichern? - Was muss in der Datenschutzerklärung zur Stempelkarte stehen? - Dürft ihr Stempeldaten für gezielte Angebote auswerten? - Was zählt noch als Werbung? Bewertungsbitten und Wallet-Hinweise - Wie lange dürft ihr Daten speichern, und ab welchem Alter? - Was droht bei Fehlern? - Wie sieht so eine Anmeldung in der Praxis aus? - Euer nächster Schritt Eine Papierkarte ohne Namen ist datenschutzrechtlich meist kein Thema. Sobald ihr aber Namen und E-Mail-Adressen sammelt oder Besuche pro Person speichert, gilt die DSGVO, und für Werbung per E-Mail zusätzlich das Wettbewerbsrecht. Das klingt schlimmer, als es ist. Die Regeln lassen sich mit einem sauberen Anmeldeformular fast alle erfüllen. Stand November 2026, geltendes Recht in Deutschland und der EU. Kein Einzelfallrat: Hängt etwas an eurem Fall, fragt die Datenschutzbehörde eures Bundeslandes oder die IHK. ## Braucht ein Treueprogramm die Einwilligung der Gäste? Für den Betrieb der Karte in der Regel nicht, für Werbung per E-Mail in der Regel schon. Wer an eurem Programm teilnimmt, schließt mit euch eine Vereinbarung. Daten, die ihr dafür braucht, lassen sich auf [Art. 6 Abs. 1 lit. b DSGVO](https://dsgvo-gesetz.de/art-6-dsgvo/) stützen. Für Werbung gilt etwas anderes: Der Bundesgerichtshof hat 2008 bei einem großen Bonusprogramm entschieden, dass die Unterschrift unter den Teilnahmeantrag und die Angabe der Adresse keine Einwilligung in E-Mail- und SMS-Werbung sind ([BGH, VIII ZR 348/06](https://lexetius.com/2008,2208)). Das Urteil ist älter als die DSGVO, die Pflicht zur vorherigen ausdrücklichen Einwilligung steht aber weiter in § 7 UWG. Die Tabelle trennt, was oft in einen Topf geworfen wird: Was ihr tut Grundlage Worauf ihr achtet Karte führen: Name, E-Mail, Stempel, Einlösungen Art. 6 Abs. 1 lit. b DSGVO (Vertrag) Nur erheben, was das Programm braucht. Geburtsdatum und Adresse sind meist überflüssig. Hinweis zum Programm selbst: "Dein Stempel ist da" Art. 6 Abs. 1 lit. b DSGVO Keine Werbung hineinmischen. Newsletter und Angebote per E-Mail oder SMS Einwilligung, [§ 7 Abs. 2 Nr. 2 UWG](https://www.gesetze-im-internet.de/uwg_2004/__7.html) und Art. 6 Abs. 1 lit. a DSGVO Eigenes, leeres Kästchen, nachweisbar. Allen Mitgliedern dasselbe per Post schicken Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) Widerspruchsrecht nennen und beachten. Automatisch Besuchsprofile bilden und danach Werbung auswählen Laut Behörden meist Einwilligung Siehe Abschnitt zum Profiling. ## Wann dürft ihr Gästen ohne Einwilligung Werbe-E-Mails schicken? Ohne Einwilligung geht es nur in der engen Ausnahme aus [§ 7 Abs. 3 UWG](https://www.gesetze-im-internet.de/uwg_2004/__7.html), und alle vier Bedingungen müssen zusammen erfüllt sein: - Die Adresse stammt vom Kunden selbst, im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung. - Geworben wird nur für eigene, ähnliche Waren oder Dienstleistungen. - Der Kunde hat nicht widersprochen. - Beim Erheben der Adresse und in jeder Mail steht klar, dass er jederzeit widersprechen kann, ohne andere Kosten als die Übermittlung nach Basistarif. Bei einer Stempelkarte ist schon die erste Bedingung wackelig. Der Gast meldet sich ja oft unabhängig von einem Kauf an, und ein Urteil speziell dazu haben wir nicht gefunden. Unser Rat: Verlasst euch im Café nicht auf die Ausnahme, sondern holt eine Einwilligung ein. Das kostet ein Kästchen und erspart die Diskussion. Die [Orientierungshilfe der deutschen Datenschutzbehörden](https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf) sagt dazu: Liegen die Voraussetzungen von § 7 Abs. 3 UWG nicht vor, braucht es grundsätzlich eine Einwilligung. ## Wie muss die Einwilligung aussehen? Die Einwilligung muss freiwillig, klar formuliert, vom übrigen Text getrennt und durch eine aktive Handlung erteilt sein. Das ergibt sich aus [Art. 7 DSGVO](https://dsgvo-gesetz.de/art-7-dsgvo/) und [Erwägungsgrund 32](https://dsgvo-gesetz.de/erwaegungsgruende/nr-32/). Der BGH verlangte im Bonuskarten-Fall eine gesonderte Erklärung, etwa eine zusätzliche Unterschrift oder ein eigenes Kästchen. Der Europäische Gerichtshof hat zu Cookies entschieden, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung ist ([C-673/17, Planet49](https://www.haufe.de/id/entscheidung/eugh-urteil-vom-01102019-c-67317-HI13865910.html)). Für Werbe-Häkchen solltet ihr es genauso halten. Die Behörden erwarten außerdem, dass der Gast erfährt, auf welchem Weg geworben wird, wofür und von wem. "Ich möchte News erhalten" ist zu dünn. Vorlage für das Kästchen (nicht vorangekreuzt) Ja, das Café Morgenrot darf mir per E-Mail Angebote und Neuigkeiten zu seinen Speisen, Getränken und Veranstaltungen schicken. Ich kann das jederzeit widerrufen, über den Link in jeder E-Mail oder per Nachricht an hallo@cafe-morgenrot.example. Passt die Vorlage an euren Betrieb an. Und macht die Karte nicht vom Häkchen abhängig. [Art. 7 Abs. 4 DSGVO](https://dsgvo-gesetz.de/art-7-dsgvo/) sagt, dass bei der Freiwilligkeit besonders zu berücksichtigen ist, ob eine Leistung an eine Einwilligung gekoppelt wird, die dafür gar nicht nötig ist. Wie streng diese Regel im Einzelnen zu lesen ist, wird unterschiedlich beurteilt. Den Streit umgeht ihr, wenn die Karte auch ohne Häkchen funktioniert. ## Ist Double-Opt-In Pflicht, und was müsst ihr speichern? Das Wort steht in keinem Gesetz, aber die Behörden halten Double-Opt-In bei elektronischen Einwilligungen für geboten. Bei Double-Opt-In bestätigt der Gast die Adresse über einen Link oder Code aus einer E-Mail. So steht es in Ziffer 3.3 der [Orientierungshilfe](https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf). Denn ihr müsst die Einwilligung beweisen können (Art. 7 Abs. 1 DSGVO), und eine gespeicherte IP-Adresse reicht dafür nicht. Das gehört in euren Nachweis - Die Adresse und der genaue Wortlaut des Kästchens in der damals gültigen Fassung - Datum und Uhrzeit der Anmeldung und der Bestätigung - Die Bestätigung selbst - Datum eines Widerrufs Zwei Punkte aus der Orientierungshilfe, die oft fehlen: Eine Einwilligung läuft nicht allein durch Zeitablauf ab, die Behörden empfehlen aber, sie zu erneuern, wenn sie länger als zwei Jahre nicht genutzt wurde. Und nach einem Widerruf müsst ihr die frühere Einwilligung noch nachweisen können, im Rahmen der regelmäßigen Verjährung von drei Jahren. Die Orientierungshilfe ist die Auslegung der Behörden, kein Gesetz. Damit folgt ihr aber dem Maßstab derer, die bei euch prüfen würden. ## Was muss in der Datenschutzerklärung zur Stempelkarte stehen? Die Pflichtangaben stehen in [Art. 13 DSGVO](https://dsgvo-gesetz.de/art-13-dsgvo/), und der Gast muss sie bei der Anmeldung erhalten, nicht erst später. Für eure Karte heißt das: - Wer verantwortlich ist, mit vollem Firmennamen, Anschrift und E-Mail - Welche Daten ihr nutzt, wofür und auf welcher Rechtsgrundlage - Wer die Daten erhält, zum Beispiel euer technischer Dienstleister - Ob Daten in Länder außerhalb der EU gehen - Wie lange ihr speichert - Rechte der Gäste: Auskunft, Löschung, Beschwerde bei der Behörde, Widerruf - Der Hinweis auf das Widerspruchsrecht gegen Werbung, getrennt von anderen Informationen ([Art. 21 Abs. 4 DSGVO](https://dsgvo-gesetz.de/art-21-dsgvo/)) ## Dürft ihr Stempeldaten für gezielte Angebote auswerten? Zahlen über das ganze Programm sind unkritischer als Profile einzelner Gäste. Die Behörden unterscheiden: Wird Werbung ohne Auswahl oder nur nach groben Kriterien wie der Postleitzahl verschickt, fällt die Abwägung in der Regel für das Unternehmen aus. Automatische Auswahlverfahren, die detaillierte Profile oder Verhaltensprognosen erstellen, brauchen nach ihrer Ansicht eine ausdrückliche Einwilligung, und ein Hinweis auf das Widerspruchsrecht reicht dann nicht ([Orientierungshilfe, Ziffer 1.3.2](https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf)). Wo eine einfache Regel wie "Wer 30 Tage nicht da war, bekommt einen Extra-Stempel beim nächsten Besuch" genau liegt, sagt keine Quelle für Cafés. Eine Regel innerhalb des Programms, ohne Werbesendung, ist etwas anderes als ein Profil für Marketing. Im Zweifel fragt die Behörde eures Landes und nennt das Programm in der Datenschutzerklärung offen. ## Was zählt noch als Werbung? Bewertungsbitten und Wallet-Hinweise Auch eine Bitte um Bewertung kann Werbung sein. Der BGH hat 2018 eine Zufriedenheitsumfrage in einer Rechnungs-E-Mail als Werbung eingestuft, obwohl die Rechnung selbst keine war ([VI ZR 225/17](https://www.lto.de/recht/nachrichten/n/bgh-vizr225-17-online-shop-rechnung-email-kundenzufriedenheitsumfrage-verbotene-werbung/print.html)). Schreibt also in die Mail mit dem neuen Stempel keine Google-Bitte und kein Angebot, wenn keine Einwilligung vorliegt. Für Hinweise auf einer Wallet-Karte haben wir kein Urteil gefunden. § 7 UWG spricht von elektronischer Post. Ob eine Wallet-Benachrichtigung darunterfällt, ist offen. Behandelt ein Angebot auf der Wallet-Karte deshalb wie eine Werbe-E-Mail, mit Einwilligung. Ein reiner Stempelhinweis ist Teil des Programms. ## Wie lange dürft ihr Daten speichern, und ab welchem Alter? Das Gesetz nennt keine feste Frist. Nach [Art. 5 Abs. 1 lit. e DSGVO](https://dsgvo-gesetz.de/art-5-dsgvo/) dürft ihr Daten nur so lange speichern, wie der Zweck es verlangt. Legt deshalb selbst eine Frist fest, zum Beispiel Löschen nach einer längeren Zeit ohne Besuch, und schreibt sie in die Datenschutzerklärung. Beim Alter setzt [Art. 8 DSGVO](https://dsgvo-gesetz.de/art-8-dsgvo/) für die Einwilligung bei Online-Diensten, die sich direkt an Kinder richten, die Grenze bei 16 Jahren, Mitgliedstaaten dürfen sie senken. Ein Mindestalter von 16 Jahren in den Teilnahmebedingungen ist die einfache Lösung. ## Was droht bei Fehlern? Für Verstöße gegen die Einwilligungsregeln nennt [Art. 83 Abs. 5 DSGVO](https://dsgvo-gesetz.de/art-83-dsgvo/) als Obergrenze 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Das ist der Rahmen für alle Unternehmen, keine typische Summe für ein Café, und die Behörde muss verhältnismäßig bleiben. Unerlaubte Werbemails können außerdem zu Unterlassungsansprüchen führen, wie der Fall oben zeigt. ## Wie sieht so eine Anmeldung in der Praxis aus? Bei der digitalen Stempelkarte von NFCeez läuft die Anmeldung so: Gäste tippen auf eurer Smart Page auf die Stempelkarte oder nutzen den Anmeldelink oder den QR-Code am Tresen. Dort geben sie Vorname, Nachname und E-Mail ein und bestätigen die Adresse mit einem Code aus einer E-Mail. Dann akzeptieren sie eure Teilnahmebedingungen, ab 16 Jahren. Neuigkeiten und Angebote sind eine eigene, freiwillige Wahl. Zum Schluss liegt die Karte in Apple Wallet oder Google Wallet. Ein Angebot auf der Wallet-Karte sehen nur Gäste, die zugestimmt haben, höchstens einmal pro Woche und nur an Tagen, an denen ihr geöffnet habt. Gäste löschen ihre Karte jederzeit selbst, und Karten, die 24 Monate nicht genutzt wurden, werden automatisch gelöscht. Teilnahmebedingungen und Datenschutzhinweis für die Karte erstellt NFCeez aus dem, was das System tatsächlich tut, und ihr veröffentlicht sie für euren Betrieb. Die Grenze: Die Texte erscheinen unter eurem Namen, und die Verantwortung bleibt bei euch. Lest beide deshalb einmal durch. Hängt etwas an eurem Fall, ist die Datenschutzbehörde eures Bundeslandes die richtige Adresse. Wie die Karte aussieht, zeigt die Seite zur [digitalen Stempelkarte](https://nfceez.de/funktionen/digitale-stempelkarte/). ## Euer nächster Schritt Öffnet heute euer Anmeldeformular und prüft drei Dinge: Ist das Werbe-Kästchen leer und getrennt? Funktioniert die Karte auch ohne Häkchen? Steht die Datenschutzerklärung direkt daneben? Mehr zum Aufbau steht im Artikel zum [Treueprogramm in der Gastronomie](https://nfceez.de/blog/treueprogramm-gastronomie/). [ So macht es NFCeez Anmeldung per Code, Neuigkeiten freiwillig. Gäste bestätigen ihre E-Mail mit einem Code, akzeptieren eure Bedingungen ab 16 und entscheiden getrennt, ob sie Neuigkeiten wollen. Die Karte funktioniert auch ohne dieses Häkchen. So funktioniert's ](https://nfceez.de/funktionen/digitale-stempelkarte/) Quellen - [Art. 5 DSGVO](https://dsgvo-gesetz.de/art-5-dsgvo/) - [Art. 6 DSGVO](https://dsgvo-gesetz.de/art-6-dsgvo/) - [Art. 7 DSGVO](https://dsgvo-gesetz.de/art-7-dsgvo/) - [Art. 8 DSGVO](https://dsgvo-gesetz.de/art-8-dsgvo/) - [Art. 13 DSGVO](https://dsgvo-gesetz.de/art-13-dsgvo/) - [Art. 21 DSGVO](https://dsgvo-gesetz.de/art-21-dsgvo/) - [Art. 83 DSGVO](https://dsgvo-gesetz.de/art-83-dsgvo/) - [Erwägungsgrund 32 DSGVO](https://dsgvo-gesetz.de/erwaegungsgruende/nr-32/) - [§ 7 UWG](https://www.gesetze-im-internet.de/uwg_2004/__7.html) - [Orientierungshilfe zur Direktwerbung, Datenschutzkonferenz (Februar 2022)](https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf) - [BGH, Urteil vom 16.07.2008, VIII ZR 348/06](https://lexetius.com/2008,2208) - [Bericht zu BGH, Urteil vom 10.07.2018, VI ZR 225/17, LTO](https://www.lto.de/recht/nachrichten/n/bgh-vizr225-17-online-shop-rechnung-email-kundenzufriedenheitsumfrage-verbotene-werbung/print.html) - [EuGH, Urteil vom 01.10.2019, C-673/17 (Planet49), Abdruck Haufe](https://www.haufe.de/id/entscheidung/eugh-urteil-vom-01102019-c-67317-HI13865910.html) ## Häufige Fragen zu Treueprogramm und Datenschutz Nur, wenn ihr für jede Adresse eine Einwilligung nachweisen könnt oder die engen Bedingungen von § 7 Abs. 3 UWG erfüllt sind. Fehlt beides, schreibt diese Adressen nicht an. Davon raten wir ab. Art. 7 Abs. 4 DSGVO erschwert die Freiwilligkeit, wenn eine Leistung an eine dafür unnötige Einwilligung gekoppelt wird. Wenn ihr dafür keine personenbezogenen Daten erhebt, etwa keinen Namen und keine E-Mail-Adresse, stellt sich die Frage meist nicht. Das ändert sich, sobald ihr eine Liste führt. Eine Einwilligung erlischt nicht allein durch Zeitablauf, so die Rechtsprechung, die die deutschen Datenschutzbehörden zitieren. Bei mehr als zwei Jahren ohne Nutzung empfehlen sie eine Erneuerung. Zuständig ist die Datenschutzaufsichtsbehörde eures Bundeslandes. Dort und bei der IHK könnt ihr auch Fragen stellen. ## Weiterlesen. [Alle Artikel](https://nfceez.de/blog/) [ ### Wie plant ihr ein Treueprogramm, das sich für euer Café oder Restaurant rechnet? Die wichtigste Frage steht selten in den Ratgebern: Was kostet eine Prämie pro Besuch, und wie viele zusätzliche Besuche braucht es, damit sie sich trägt? Hier ist die Rechnung. - ](https://nfceez.de/blog/treueprogramm-gastronomie/) [ ### Digitale Stempelkarte oder Papier: Was passt zu eurem Café? Papier ist billig und sofort da. Eine digitale Karte geht nicht verloren und zeigt euch, wer wiederkommt. Hier steht, wann was besser passt und wie ihr umsteigt. - ](https://nfceez.de/blog/digitale-stempelkarte/) [ ### Wie funktioniert eine Treuekarte in Apple Wallet und Google Wallet? Die Karte liegt neben Tickets und Bordkarten, Gäste installieren keine eigene App. Was dabei wirklich geht und was Apple und Google begrenzen, erklären wir hier ohne Fachchinesisch. - ](https://nfceez.de/blog/treuekarte-apple-wallet-google-wallet/)