--- title: RGPD et carte de fidélité : les règles pour cafés | NFCeez url: https://nfceez.de/fr/blog/programme-de-fidelite-rgpd/ language: fr description: RGPD et carte de fidélité en Allemagne et dans l’UE : quand il faut un consentement, la case à cocher, le double opt-in et les e-mails publicitaires. --- # Que signifie le RGPD pour la carte de fidélité d’un café ou d’un restaurant ? Ce qui ne demande pas de consentement, ce qui en demande, et comment construire un formulaire d’inscription solide. Écrit pour l’Allemagne, avec les règles de l’UE en arrière-plan. [Habitués](https://nfceez.de/fr/blog/theme/habitues/) 9 min de lecture Mis à jour le 2 novembre 2026 Rédaction NFCeez En bref Un programme de fidélité de café ou de restaurant peut en général fonder les données de la carte elle-même sur le contrat, selon l’article 6(1)(b) du RGPD. En Allemagne, la publicité par e-mail exige en général un consentement séparé et prouvable selon l’article 7 de la loi contre la concurrence déloyale. Cela signifie une case vide et séparée, un double opt-in et une information sur la confidentialité remise à l’inscription. Sommaire - Un programme de fidélité a-t-il besoin du consentement des clients selon le RGPD ? - Quand peut-on envoyer des offres par e-mail sans consentement en Allemagne ? - À quoi doit ressembler le consentement ? - Le double opt-in est-il obligatoire, et que faut-il conserver ? - Que doit dire votre information sur la confidentialité ? - Peut-on analyser les données de tampons pour cibler des offres ? - Qu’est-ce qui compte encore comme publicité ? Demandes d’avis et messages Wallet - Combien de temps garder les données, et à partir de quel âge ? - Que se passe-t-il en cas d’erreur ? - À quoi ressemble une telle inscription en pratique ? - Votre prochaine étape Une carte papier sans nom soulève rarement des questions de protection des données. Dès que vous collectez des noms et des adresses e-mail ou que vous enregistrez les visites par personne, le Règlement général sur la protection des données (RGPD, une loi européenne) s’applique, et la publicité par e-mail relève aussi du droit allemand de la concurrence. Cela paraît plus compliqué que ça ne l’est, car un formulaire d’inscription propre règle l’essentiel. Ce guide concerne l’Allemagne et l’UE, en novembre 2026. Les règles sur la publicité diffèrent notamment d’un pays de l’UE à l’autre, et ceci n’est pas un conseil adapté à votre cas précis. Si quelque chose dépend de votre situation, demandez à l’autorité de protection des données de votre Land ou à votre chambre de commerce (IHK). ## Un programme de fidélité a-t-il besoin du consentement des clients selon le RGPD ? Pour faire fonctionner la carte, en général non. Pour la publicité par e-mail en Allemagne, en général oui. Un client qui rejoint votre programme conclut un accord avec vous, les données nécessaires peuvent donc reposer sur l’[article 6(1)(b) du RGPD](https://dsgvo-gesetz.de/art-6-dsgvo/) (exécution d’un contrat). La publicité, c’est autre chose. En 2008, la Cour fédérale de justice allemande (BGH) a jugé, à propos d’un grand programme de points, que signer le formulaire d’adhésion et donner une adresse ne vaut pas consentement à la publicité par e-mail ou SMS ([BGH, VIII ZR 348/06](https://lexetius.com/2008,2208)). L’arrêt est antérieur au RGPD, mais l’obligation d’obtenir un consentement exprès préalable figure toujours à l’article 7 de la loi contre la concurrence déloyale (UWG). Ce tableau sépare ce qui est souvent mélangé : Ce que vous faites Base juridique Point d’attention Faire fonctionner la carte : nom, e-mail, tampons, récompenses utilisées Art. 6(1)(b) RGPD (contrat) Ne collectez que ce dont le programme a besoin. Dates de naissance et adresses postales sont en général inutiles. Messages du programme : « Votre tampon est arrivé » Art. 6(1)(b) RGPD N’y mettez pas de publicité. Newsletters et offres par e-mail ou SMS Consentement : [art. 7(2) n° 2 UWG](https://www.gesetze-im-internet.de/uwg_2004/__7.html) (loi allemande contre la concurrence déloyale) et art. 6(1)(a) RGPD Une case séparée, vide, dont vous pouvez prouver qu’elle a été cochée. Envoyer le même courrier postal à tous les membres Art. 6(1)(f) RGPD (intérêt légitime) Indiquer et respecter le droit d’opposition. Établir des profils de visite automatiques pour choisir qui reçoit quelle publicité En général un consentement, selon les autorités allemandes Voir la partie sur le profilage. ## Quand peut-on envoyer des offres par e-mail sans consentement en Allemagne ? Seulement dans le cadre de l’exception étroite de l’[article 7(3) UWG](https://www.gesetze-im-internet.de/uwg_2004/__7.html), et les quatre conditions doivent être réunies ensemble : - Vous avez obtenu l’adresse du client dans le cadre de la vente d’un produit ou d’un service. - Vous faites la publicité de vos propres produits ou services similaires. - Le client ne s’y est pas opposé. - Lors de la collecte de l’adresse et dans chaque e-mail, vous indiquez clairement que le client peut s’y opposer à tout moment, sans autres frais que ceux de transmission de base. Avec une carte à tampons, même la première condition est fragile, car les clients s’inscrivent souvent indépendamment de tout achat, et nous n’avons trouvé aucune décision sur ce cas précis. Notre conseil : ne comptez pas sur l’exception, et demandez le consentement. Cela vous coûte une case à cocher et vous évite la discussion. Les [recommandations des autorités allemandes de protection des données (la DSK)](https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf) indiquent qu’un consentement est en général nécessaire quand les conditions de l’article 7(3) ne sont pas remplies. ## À quoi doit ressembler le consentement ? Le consentement doit être libre, formulé clairement, séparé des autres textes et donné par un acte positif, selon l’[article 7 du RGPD](https://dsgvo-gesetz.de/art-7-dsgvo/) et le [considérant 32](https://dsgvo-gesetz.de/erwaegungsgruende/nr-32/). Dans l’affaire de la carte de points, le BGH a exigé une déclaration séparée, comme une signature supplémentaire ou une case à part. Sur les cookies, la Cour de justice de l’UE a jugé qu’une case précochée n’est pas un consentement valable ([C-673/17, Planet49](https://www.haufe.de/id/entscheidung/eugh-urteil-vom-01102019-c-67317-HI13865910.html)). Traitez les cases publicitaires de la même façon. Les autorités attendent aussi que les clients sachent quel canal vous utiliserez, ce dont vous ferez la publicité et qui l’envoie. « J’aimerais recevoir des nouvelles » est trop vague. Modèle de case à cocher (non précochée) Oui, le Café Morgenrot peut m’envoyer par e-mail des offres et des nouvelles sur ses plats, ses boissons et ses événements. Je peux retirer ce consentement à tout moment via le lien présent dans chaque e-mail ou en écrivant à hello@cafe-morgenrot.example. Adaptez-le à votre établissement, et en Allemagne, rédigez-le en allemand. Ne faites pas dépendre la carte de la case. L’[article 7(4) du RGPD](https://dsgvo-gesetz.de/art-7-dsgvo/) prévoit que, pour juger si un consentement est libre, il faut tenir le plus grand compte du fait qu’un service soit lié à un consentement dont il n’a pas besoin. Les avis divergent sur la sévérité avec laquelle lire cette règle, et vous évitez le débat si la carte fonctionne sans la case cochée. ## Le double opt-in est-il obligatoire, et que faut-il conserver ? Aucune loi n’emploie ce terme, mais les autorités allemandes considèrent le double opt-in comme nécessaire pour un consentement électronique. Cela signifie que le client confirme son adresse via un lien ou un code envoyé par e-mail. C’est la section 3.3 des [recommandations de la DSK](https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf). Vous devez pouvoir prouver le consentement (article 7(1) du RGPD), et une adresse IP enregistrée ne suffit pas. Ce que votre preuve doit contenir - L’adresse et le texte exact de la case tel qu’il était à ce moment-là - La date et l’heure de l’inscription et de la confirmation - La confirmation elle-même - La date d’un éventuel retrait Deux points des recommandations souvent oubliés. Le consentement n’expire pas du seul fait du temps qui passe, mais les autorités conseillent de le renouveler s’il n’a pas servi depuis plus de deux ans. Et après un retrait, vous devez encore pouvoir prouver le consentement antérieur, pendant le délai de prescription ordinaire de trois ans. C’est l’interprétation des autorités plutôt qu’un texte de loi, mais c’est le critère qu’appliqueraient les personnes chargées de vous contrôler. ## Que doit dire votre information sur la confidentialité ? Le contenu obligatoire figure à l’[article 13 du RGPD](https://dsgvo-gesetz.de/art-13-dsgvo/), et les clients doivent le recevoir à l’inscription, pas plus tard. Pour votre carte, cela signifie : - Qui est responsable, avec la raison sociale complète, l’adresse et l’e-mail - Quelles données vous utilisez, pourquoi et sur quelle base juridique - Qui reçoit les données, par exemple votre prestataire technique - Si des données partent vers des pays hors de l’UE - Combien de temps vous les conservez - Les droits des clients : accès, effacement, réclamation auprès de l’autorité, retrait - Le droit de s’opposer à la prospection directe, présenté séparément des autres informations ([article 21(4) du RGPD](https://dsgvo-gesetz.de/art-21-dsgvo/)) ## Peut-on analyser les données de tampons pour cibler des offres ? Des totaux sur l’ensemble du programme posent moins de questions que des profils de clients individuels. Les autorités allemandes tracent une limite. La publicité envoyée sans sélection, ou selon des critères grossiers comme le code postal, passe en général le test de mise en balance. Une sélection automatisée qui établit des profils détaillés ou prédit des comportements exige selon elles un consentement explicite, et renvoyer au droit d’opposition ne suffit pas ([recommandations, section 1.3.2](https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf)). Aucune source ne dit précisément où se situe, pour un café, une règle simple comme « qui n’est pas venu depuis 30 jours reçoit un tampon bonus à la prochaine visite ». Une règle interne au programme sans message publicitaire n’est pas la même chose qu’un profil marketing. En cas de doute, demandez à l’autorité de votre Land et décrivez ouvertement le programme dans votre information sur la confidentialité. ## Qu’est-ce qui compte encore comme publicité ? Demandes d’avis et messages Wallet Une demande d’avis peut aussi être de la publicité. En 2018, le BGH a considéré comme publicité une enquête de satisfaction dans un e-mail de facture, alors que la facture elle-même n’en était pas ([VI ZR 225/17](https://www.lto.de/recht/nachrichten/n/bgh-vizr225-17-online-shop-rechnung-email-kundenzufriedenheitsumfrage-verbotene-werbung/print.html)). Sans consentement, gardez donc demandes d’avis et offres hors de vos e-mails « nouveau tampon ». Nous n’avons trouvé aucune décision sur les messages affichés sur une carte Wallet. L’article 7 UWG parle de courrier électronique, et la question de savoir si une notification Wallet en fait partie reste ouverte. Traitez donc une offre sur une carte Wallet comme un e-mail publicitaire et obtenez d’abord le consentement. Un simple avis de tampon fait partie du programme. ## Combien de temps garder les données, et à partir de quel âge ? La loi ne fixe pas de durée précise. Selon l’[article 5(1)(e) du RGPD](https://dsgvo-gesetz.de/art-5-dsgvo/), vous ne pouvez conserver les données que le temps nécessaire à la finalité. Fixez donc votre propre durée, par exemple l’effacement après une longue période sans visite, et indiquez-la dans votre information sur la confidentialité. Pour l’âge, l’[article 8 du RGPD](https://dsgvo-gesetz.de/art-8-dsgvo/) fixe à 16 ans la limite pour le consentement aux services en ligne proposés directement aux enfants, et les États membres peuvent l’abaisser. Un âge minimum de 16 ans dans vos conditions est la réponse simple. ## Que se passe-t-il en cas d’erreur ? Pour les violations des règles de consentement, l’[article 83(5) du RGPD](https://dsgvo-gesetz.de/art-83-dsgvo/) fixe un plafond de 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Ce plafond vaut pour toutes les entreprises et n’est pas un montant typique pour un café, et les autorités doivent rester proportionnées. En Allemagne, des e-mails publicitaires non souhaités peuvent aussi entraîner des injonctions de cessation, comme le montre l’affaire citée plus haut. ## À quoi ressemble une telle inscription en pratique ? Avec la carte à tampons numérique NFCeez, l’inscription se passe ainsi : les clients touchent la carte à tampons sur votre Smart Page, ou utilisent le lien d’inscription ou le QR code au comptoir. Ils saisissent leur prénom, leur nom et leur e-mail, puis confirment l’adresse avec un code reçu par e-mail. Ensuite, ils acceptent vos conditions, à partir de 16 ans. Les nouvelles et les offres sont un choix séparé et facultatif. À la fin, la carte se trouve dans Apple Wallet ou Google Wallet. Une offre sur la carte Wallet n’atteint que les clients qui l’ont acceptée, au maximum une fois par semaine et seulement les jours d’ouverture. Les clients peuvent supprimer eux-mêmes leur carte à tout moment, et les cartes inutilisées pendant 24 mois sont supprimées automatiquement. NFCeez crée les conditions et l’information sur la confidentialité de la carte à partir de ce que fait réellement le système, et vous les publiez pour votre établissement. La limite : ces textes portent votre nom, et la responsabilité reste la vôtre, lisez-les donc une fois. Si quelque chose dépend de votre cas, l’autorité de protection des données de votre Land est le bon interlocuteur. La [page de la carte à tampons numérique](https://nfceez.de/fr/fonctionnalites/carte-de-fidelite-numerique/) montre à quoi ressemble la carte. ## Votre prochaine étape Ouvrez aujourd’hui votre formulaire d’inscription et vérifiez trois choses. La case publicitaire est-elle vide et séparée ? La carte fonctionne-t-elle sans la case cochée ? L’information sur la confidentialité est-elle juste à côté ? Pour une vue d’ensemble, voyez notre guide pour [planifier un programme de fidélité](https://nfceez.de/fr/blog/programme-de-fidelite-restaurant/). [ Comment NFCeez s’y prend Inscription par code, nouvelles en option. Vos clients confirment leur e-mail avec un code, acceptent vos conditions à partir de 16 ans et choisissent séparément s’ils veulent des nouvelles. La carte fonctionne sans cette case. Voir comment ça marche ](https://nfceez.de/fr/fonctionnalites/carte-de-fidelite-numerique/) Sources - [Art. 5 DSGVO](https://dsgvo-gesetz.de/art-5-dsgvo/) - [Art. 6 DSGVO](https://dsgvo-gesetz.de/art-6-dsgvo/) - [Art. 7 DSGVO](https://dsgvo-gesetz.de/art-7-dsgvo/) - [Art. 8 DSGVO](https://dsgvo-gesetz.de/art-8-dsgvo/) - [Art. 13 DSGVO](https://dsgvo-gesetz.de/art-13-dsgvo/) - [Art. 21 DSGVO](https://dsgvo-gesetz.de/art-21-dsgvo/) - [Art. 83 DSGVO](https://dsgvo-gesetz.de/art-83-dsgvo/) - [Erwägungsgrund 32 DSGVO](https://dsgvo-gesetz.de/erwaegungsgruende/nr-32/) - [§ 7 UWG](https://www.gesetze-im-internet.de/uwg_2004/__7.html) - [Orientierungshilfe zur Direktwerbung, Datenschutzkonferenz (Februar 2022)](https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf) - [BGH, Urteil vom 16.07.2008, VIII ZR 348/06](https://lexetius.com/2008,2208) - [Bericht zu BGH, Urteil vom 10.07.2018, VI ZR 225/17, LTO](https://www.lto.de/recht/nachrichten/n/bgh-vizr225-17-online-shop-rechnung-email-kundenzufriedenheitsumfrage-verbotene-werbung/print.html) - [EuGH, Urteil vom 01.10.2019, C-673/17 (Planet49), Abdruck Haufe](https://www.haufe.de/id/entscheidung/eugh-urteil-vom-01102019-c-67317-HI13865910.html) ## Questions sur les programmes de fidélité et le RGPD En Allemagne, seulement si vous pouvez prouver le consentement pour chaque adresse ou remplir les conditions étroites de l’article 7(3) UWG. Si vous ne pouvez faire ni l’un ni l’autre, n’écrivez pas à ces adresses. Nous le déconseillons. L’article 7(4) du RGPD rend plus difficile de considérer un consentement comme libre quand un service est lié à un consentement dont il n’a pas besoin. Si vous ne collectez aucune donnée personnelle, ni nom ni adresse e-mail par exemple, la question ne se pose généralement pas. Cela change dès que vous tenez une liste. Il ne devient pas caduc du seul fait du temps qui passe, selon la jurisprudence allemande citée par les autorités de protection des données. Elles conseillent de le renouveler après plus de deux ans sans utilisation. L’autorité de protection des données de votre Land. Vous pouvez aussi lui poser vos questions, ou à votre chambre de commerce (IHK). ## À lire aussi. [Tous les guides](https://nfceez.de/fr/blog/) [ ### Comment planifier une carte de fidélité rentable pour un café ou un restaurant ? La question clé apparaît rarement dans les guides : combien coûte une récompense par visite, et combien de visites en plus faut-il pour la couvrir ? Voici le calcul. - ](https://nfceez.de/fr/blog/programme-de-fidelite-restaurant/) [ ### Carte de fidélité numérique ou papier : laquelle convient à votre café ? Le papier est bon marché et prêt aujourd’hui. Une carte numérique ne se perd pas et vous montre qui revient. Voici quand chacune convient, et comment passer de l’une à l’autre. - ](https://nfceez.de/fr/blog/carte-de-fidelite-numerique/) [ ### Comment fonctionne une carte de fidélité dans Apple Wallet et Google Wallet ? La carte se range à côté des billets et des cartes d’embarquement, et les clients n’installent aucune app à part. Voici ce qui fonctionne vraiment et ce qu’Apple et Google limitent, sans jargon. - ](https://nfceez.de/fr/blog/carte-de-fidelite-apple-wallet-google-wallet/)