Fidelity card e privacy: cosa significa il GDPR per un caffè o un ristorante?

Una tessera di carta senza nome raramente solleva questioni di protezione dei dati. Appena raccogli nomi e indirizzi e-mail o salvi le visite per persona, si applica il Regolamento generale sulla protezione dei dati (GDPR, una legge UE), e la pubblicità via e-mail ricade anche nel diritto tedesco della concorrenza. Sembra peggio di quanto sia, perché un modulo di iscrizione pulito copre quasi tutto. Questa guida riguarda la Germania e l’UE a novembre 2026. Le regole sulla pubblicità in particolare cambiano da un paese UE all’altro, e questo non è un parere sul tuo caso specifico. Se qualcosa dipende dalla tua configurazione, chiedi all’autorità per la protezione dei dati del tuo Land o alla tua Camera di commercio (IHK).

Un programma fedeltà richiede il consenso dei clienti secondo il GDPR?

Per gestire la tessera, di solito no. Per la pubblicità via e-mail in Germania, di solito sì. Un cliente che aderisce al tuo programma conclude un accordo con te, quindi i dati che servono possono basarsi sull’articolo 6, paragrafo 1, lettera b) del GDPR (esecuzione di un contratto). La pubblicità è un’altra cosa. Nel 2008 la Corte federale di giustizia tedesca (BGH) ha stabilito, su un grande programma a punti, che firmare il modulo di adesione e indicare un indirizzo non è un consenso alla pubblicità via e-mail o SMS (BGH, VIII ZR 348/06). La sentenza è precedente al GDPR, ma l’obbligo di ottenere un consenso espresso preventivo è ancora nel § 7 della legge contro la concorrenza sleale (UWG).

Questa tabella separa ciò che spesso viene messo insieme:

Quando puoi mandare offerte via e-mail senza consenso in Germania?

Solo con la stretta eccezione del § 7, comma 3 UWG, e le quattro condizioni devono valere tutte insieme:

1. Hai ricevuto l’indirizzo dal cliente in relazione alla vendita di un prodotto o di un servizio.
2. Pubblicizzi prodotti o servizi tuoi simili.
3. Il cliente non si è opposto.
4. Al momento della raccolta dell’indirizzo e in ogni e-mail dici chiaramente che il cliente può opporsi in qualsiasi momento, senza costi oltre a quelli di trasmissione di base.

Con una tessera a timbri già la prima condizione è incerta, perché spesso i clienti si iscrivono separatamente da un acquisto, e non abbiamo trovato sentenze su questo caso preciso. Il nostro consiglio: non contare sull’eccezione e chiedi il consenso. Ti costa una casella e ti risparmia la discussione. Le indicazioni delle autorità tedesche per la protezione dei dati (la DSK) dicono che in genere il consenso serve quando le condizioni del § 7, comma 3 non sono soddisfatte.

Come deve essere il consenso?

Il consenso deve essere libero, formulato chiaramente, separato dal resto del testo e dato con un’azione attiva, secondo l’articolo 7 del GDPR e il considerando 32. Nel caso della tessera a punti, la BGH ha richiesto una dichiarazione separata, come una firma in più o una casella a sé. Sui cookie, la Corte di giustizia dell’UE ha stabilito che una casella già spuntata non è un consenso valido (C-673/17, Planet49). Tratta allo stesso modo le caselle per il marketing.

Le autorità si aspettano anche che i clienti sappiano quale canale userai, cosa pubblicizzerai e chi invia. “Vorrei ricevere novità” è troppo poco.

Adattalo al tuo locale, e in Germania scrivilo in tedesco. Non far dipendere la tessera dalla casella. L’articolo 7, paragrafo 4 del GDPR dice che, nel valutare se il consenso è libero, si deve tenere nella massima considerazione se un servizio è legato a un consenso che non gli serve. Le opinioni su quanto rigidamente leggere questa regola divergono, e eviti il dibattito se la tessera funziona senza la spunta.

Il doppio opt-in è obbligatorio e cosa devi conservare?

Nessuna legge usa questo termine, ma le autorità tedesche considerano necessario il doppio opt-in per il consenso elettronico. Significa che il cliente conferma l’indirizzo con un link o un codice inviato per e-mail. È la sezione 3.3 delle indicazioni della DSK. Devi poter dimostrare il consenso (articolo 7, paragrafo 1 del GDPR), e un indirizzo IP salvato non basta.

Due punti delle indicazioni che spesso sfuggono. Il consenso non scade solo perché passa il tempo, ma le autorità consigliano di rinnovarlo se non viene usato per più di due anni. E dopo una revoca devi comunque poter dimostrare il consenso precedente, entro il termine ordinario di prescrizione di tre anni. È l’interpretazione delle autorità e non una norma di legge, ma è il criterio che applicherebbe chi ti controlla.

Cosa deve dire la tua informativa sulla privacy?

Il contenuto obbligatorio è nell’articolo 13 del GDPR, e i clienti devono riceverla quando si iscrivono, non dopo. Per la tua tessera significa:

• Chi è il titolare, con ragione sociale completa, indirizzo ed e-mail
• Quali dati usi, perché e su quale base giuridica
• Chi riceve i dati, per esempio il tuo fornitore tecnico
• Se i dati vanno in paesi fuori dall’UE
• Per quanto tempo li conservi
• I diritti dei clienti: accesso, cancellazione, reclamo all’autorità, revoca
• Il diritto di opporsi al marketing diretto, separato dalle altre informazioni (articolo 21, paragrafo 4 del GDPR)

Puoi analizzare i dati dei timbri per mirare le offerte?

I totali su tutto il programma sollevano meno domande dei profili dei singoli clienti. Le autorità tedesche tracciano una linea. Il marketing inviato senza selezione, o con criteri generici come il codice postale, di solito supera il bilanciamento degli interessi. Una selezione automatica che crea profili dettagliati o prevede comportamenti richiede secondo loro un consenso esplicito, e rimandare al diritto di opposizione non basta (indicazioni, sezione 1.3.2).

Nessuna fonte dice esattamente dove ricada, per un caffè, una regola semplice come “chi non viene da 30 giorni riceve un timbro extra alla prossima visita”. Una regola interna al programma senza messaggio pubblicitario è diversa da un profilo di marketing. Nel dubbio, chiedi all’autorità del tuo Land e descrivi apertamente il programma nell’informativa sulla privacy.

Cos’altro conta come pubblicità? Richieste di recensione e messaggi nel Wallet

Anche una richiesta di recensione può essere pubblicità. Nel 2018 la BGH ha considerato pubblicità un sondaggio di soddisfazione in un’e-mail con la fattura, anche se la fattura in sé non lo era (VI ZR 225/17). Quindi, senza consenso, tieni richieste di recensione e offerte fuori dalle e-mail di “nuovo timbro”.

Non abbiamo trovato sentenze sui messaggi mostrati su una tessera nel Wallet. Il § 7 UWG parla di posta elettronica, e se una notifica del Wallet rientri è una questione aperta. Quindi tratta un’offerta su una tessera nel Wallet come un’e-mail pubblicitaria e ottieni prima il consenso. Un semplice avviso di timbro fa parte del programma.

Per quanto puoi conservare i dati, e da che età?

La legge non fissa un periodo preciso. Secondo l’articolo 5, paragrafo 1, lettera e) del GDPR, puoi conservare i dati solo finché lo richiede lo scopo. Quindi fissa un tuo periodo, per esempio la cancellazione dopo un lungo tempo senza visite, e scrivilo nell’informativa sulla privacy. Sull’età, l’articolo 8 del GDPR fissa a 16 anni il limite per il consenso ai servizi online offerti direttamente ai minori, e gli Stati membri possono abbassarlo. Un’età minima di 16 anni nelle tue condizioni è la risposta semplice.

Cosa succede se sbagli?

Per le violazioni delle regole sul consenso, l’articolo 83, paragrafo 5 del GDPR fissa un tetto di 20 milioni di euro o del 4 per cento del fatturato annuo mondiale. Quel tetto vale per tutte le aziende e non è una cifra tipica per un caffè, e le autorità devono restare proporzionate. In Germania le e-mail pubblicitarie non volute possono portare anche a diffide e ordini di cessazione, come mostra il caso citato sopra.

Com’è in pratica un’iscrizione così?

Con la tessera a timbri digitale NFCeez l’iscrizione funziona così: i clienti toccano la tessera a timbri sulla tua Smart Page, oppure usano il link di iscrizione o il codice QR al banco. Inseriscono nome, cognome ed e-mail e confermano l’indirizzo con un codice inviato per e-mail. Poi accettano le tue condizioni, dai 16 anni in su. Novità e offerte sono una scelta separata e facoltativa. Alla fine la tessera sta in Apple Wallet o Google Wallet.

Un’offerta sulla tessera nel Wallet raggiunge solo i clienti che hanno dato il consenso, al massimo una volta a settimana e solo nei giorni in cui sei aperto. I clienti possono cancellare da soli la tessera in qualsiasi momento, e le tessere non usate per 24 mesi vengono cancellate in automatico. NFCeez crea le condizioni e l’informativa sulla privacy della tessera in base a ciò che il sistema fa davvero, e tu le pubblichi per il tuo locale.

Il limite: quei testi portano il tuo nome, e la responsabilità resta tua, quindi leggili entrambi una volta. Se qualcosa dipende dal tuo caso, l’autorità per la protezione dei dati del tuo Land è il posto giusto a cui chiedere. La pagina della tessera a timbri digitale mostra com’è la tessera.

Il tuo prossimo passo

Apri oggi il tuo modulo di iscrizione e controlla tre cose. La casella per il marketing è vuota e separata? La tessera funziona senza la spunta? L’informativa sulla privacy è proprio lì? Per il quadro generale, vedi la nostra guida a pianificare un programma fedeltà.