GDPR bir kafe ya da restoranın sadakat programı için ne anlama geliyor?

Üzerinde isim olmayan bir kâğıt kart nadiren veri koruma soruları doğurur. İsim ve e-posta adresi topladığınız ya da kişi başına ziyaretleri sakladığınız anda Genel Veri Koruma Tüzüğü (GDPR, bir AB yasası) devreye girer, e-posta reklamı da ayrıca Alman rekabet hukukuna tabidir. Kulağa olduğundan kötü geliyor, çünkü temiz bir kayıt formu bunun çoğunu karşılar. Bu rehber Kasım 2026 itibarıyla Almanya’yı ve AB’yi kapsıyor. Özellikle reklam kuralları AB ülkeleri arasında farklılık gösteriyor ve bu, kendi durumunuz için bir tavsiye değil. Bir şey kurulumunuza bağlıysa eyaletinizin veri koruma otoritesine ya da Sanayi ve Ticaret Odanıza (IHK) sorun.

Bir sadakat programı GDPR kapsamında misafir onayı gerektirir mi?

Kartı işletmek için genellikle hayır. Almanya’da e-posta reklamı için genellikle evet. Programınıza katılan bir misafir sizinle bir sözleşme yapar, bu yüzden bunun için gereken veriler GDPR Madde 6(1)(b) (sözleşmenin ifası) üzerine dayanabilir. Reklam farklıdır. Almanya Federal Adalet Divanı (BGH) 2008’de büyük bir ödül programı hakkında, üyelik formunu imzalamanın ve bir adres vermenin e-posta ya da SMS reklamına onay olmadığına karar verdi (BGH, VIII ZR 348/06). Karar GDPR’den önce verildi, ama önceden açık onay alma yükümlülüğü hâlâ Haksız Rekabet Yasası’nın (UWG) 7. maddesinde duruyor.

Bu tablo, sık sık birbirine karıştırılan şeyleri ayırıyor:

Almanya’da onay olmadan ne zaman e-postayla teklif gönderebilirsiniz?

Yalnızca UWG md. 7(3) içindeki dar istisna kapsamında ve dört koşulun hepsi birlikte sağlanmalı:

1. Adresi müşteriden bir mal ya da hizmet satışıyla bağlantılı olarak aldınız.
2. Kendi benzer mallarınızın ya da hizmetlerinizin reklamını yapıyorsunuz.
3. Müşteri itiraz etmedi.
4. Adresi alırken ve her e-postada, müşterinin temel iletim ücretleri dışında hiçbir maliyet olmadan her zaman itiraz edebileceğini açıkça belirtiyorsunuz.

Bir damga kartında ilk koşul bile tartışmalıdır, çünkü misafirler çoğu zaman herhangi bir satın almadan bağımsız olarak kaydolur ve tam bu durumla ilgili bir karar bulamadık. Tavsiyemiz: istisnaya güvenmeyin, onay isteyin. Size bir onay kutusuna mal olur ve tartışmadan kurtarır. Almanya’daki veri koruma otoritelerinin (DSK) rehberi, md. 7(3) koşulları sağlanmadığında genellikle onay gerektiğini söylüyor.

Onay nasıl görünmeli?

GDPR Madde 7 ve Gerekçe 32 uyarınca onay gönüllü, açıkça ifade edilmiş, diğer metinden ayrı ve etkin bir adımla verilmiş olmalı. Ödül kartı davasında BGH, ek bir imza ya da kendine ait bir kutu gibi ayrı bir beyan istedi. Çerezler konusunda AB Adalet Divanı, önceden işaretlenmiş bir kutunun geçerli onay olmadığına karar verdi (C-673/17, Planet49). Pazarlama onay kutularını da aynı şekilde ele alın.

Otoriteler ayrıca misafirlerin hangi kanalı kullanacağınızı, neyin reklamını yapacağınızı ve gönderenin kim olduğunu öğrenmesini bekliyor. "Haber almak istiyorum" fazla yetersiz.

Şablonu işletmenize uyarlayın ve Almanya’da Almanca yazın. Kartı kutuya bağlı kılmayın. GDPR Madde 7(4), onayın özgürce verilip verilmediği değerlendirilirken bir hizmetin ona gerekmeyen bir onaya bağlanıp bağlanmadığının azami ölçüde dikkate alınması gerektiğini söylüyor. Bu kuralın ne kadar katı okunacağı konusunda görüşler farklı; kart işaret olmadan çalıştığında bu tartışmadan kaçınırsınız.

Çift onay zorunlu mu ve neyi saklamalısınız?

Hiçbir yasa bu terimi kullanmıyor, ama Alman otoriteleri elektronik onay için çift onayı (double opt-in) gerekli görüyor. Bu, misafirin adresi e-postayla gönderilen bir bağlantı ya da kodla onaylaması demek. Bu, DSK rehberinin 3.3. bölümü. Onayı kanıtlayabilmeniz gerekiyor (GDPR Madde 7(1)) ve saklanmış bir IP adresi yeterli değil.

Rehberden sık gözden kaçan iki nokta. Onay yalnızca zaman geçtiği için sona ermez, ama otoriteler iki yıldan uzun süre kullanılmadıysa yenilenmesini öneriyor. Ve geri almadan sonra da önceki onayı olağan üç yıllık zamanaşımı süresi içinde kanıtlayabilmeniz gerekiyor. Bu bir yasa maddesi değil, otoritelerin yorumu; ama sizi denetleyecek kişilerin uygulayacağı standart bu.

Gizlilik bildiriminiz neleri söylemeli?

Zorunlu içerik GDPR Madde 13’te yer alıyor ve misafirler bunu sonra değil, kaydolurken almalı. Kartınız için bu şu demek:

• Tam şirket adı, adresi ve e-postasıyla kimin sorumlu olduğu
• Hangi verileri, neden ve hangi hukuki dayanakla kullandığınız
• Verileri kimin aldığı, örneğin teknik sağlayıcınız
• Verilerin AB dışındaki ülkelere gidip gitmediği
• Verileri ne kadar süre sakladığınız
• Misafirlerin hakları: erişim, silme, otoriteye şikâyet, geri alma
• Doğrudan pazarlamaya itiraz hakkı, diğer bilgilerden ayrı olarak (GDPR Madde 21(4))

Teklifleri hedeflemek için damga verilerini analiz edebilir misiniz?

Programınız genelindeki toplamlar, tek tek misafirlerin profillerinden daha az soru doğurur. Alman otoriteleri bir çizgi çekiyor. Seçim yapılmadan ya da posta kodu gibi kaba ölçütlerle gönderilen pazarlama genellikle menfaat dengesi testinden geçer. Ayrıntılı profiller oluşturan ya da davranışı tahmin eden otomatik seçim ise onların görüşüne göre açık onay gerektirir ve itiraz hakkına işaret etmek yeterli değildir (rehber, bölüm 1.3.2).

"30 gündür gelmeyen herkes bir sonraki ziyarette ek damga alır" gibi basit bir kuralın bir kafe için tam olarak nereye düştüğünü hiçbir kaynak söylemiyor. Pazarlama mesajı içermeyen, program içindeki bir kural bir pazarlama profilinden farklıdır. Şüphe varsa eyalet otoritenize sorun ve programı gizlilik bildiriminizde açıkça anlatın.

Başka ne reklam sayılır? Yorum istekleri ve Wallet mesajları

Yorum isteği de reklam olabilir. BGH 2018’de, faturanın kendisi reklam olmasa da bir fatura e-postasındaki memnuniyet anketini reklam saydı (VI ZR 225/17). Bu yüzden onay yoksa yorum isteklerini ve teklifleri "yeni damga" e-postalarınızın dışında tutun.

Bir Wallet kartında gösterilen mesajlarla ilgili bir karar bulamadık. UWG’nin 7. maddesi elektronik postaya atıf yapıyor ve bir Wallet bildiriminin buna girip girmediği açık bir soru. Bu yüzden Wallet kartındaki bir teklifi reklam e-postası gibi ele alın ve önce onay alın. Sade bir damga bildirimi programın bir parçasıdır.

Verileri ne kadar süre saklayabilirsiniz ve hangi yaştan itibaren?

Yasa sabit bir süre belirlemiyor. GDPR Madde 5(1)(e) uyarınca verileri yalnızca amaç gerektirdiği sürece saklayabilirsiniz. Bu yüzden kendi sürenizi belirleyin, örneğin uzun süre ziyaret olmadığında silmek, ve bunu gizlilik bildiriminize yazın. Yaş konusunda GDPR Madde 8, doğrudan çocuklara sunulan çevrimiçi hizmetlere onay için sınırı 16 olarak belirliyor ve üye devletler bunu düşürebiliyor. Şartlarınızda 16 yaş alt sınırı basit bir çözüm.

Yanlış yaparsanız ne olur?

Onay kurallarının ihlali için GDPR Madde 83(5), 20 milyon euro ya da dünya çapındaki yıllık cironun yüzde 4’ü şeklinde bir üst sınır koyuyor. Bu üst sınır tüm şirketler için geçerli ve bir kafe için tipik bir rakam değil; otoriteler orantılı davranmak zorunda. Almanya’da istenmeyen pazarlama e-postaları, yukarıdaki dava gösterdiği gibi, ihtiyati tedbirlere de yol açabilir.

Böyle bir kayıt pratikte nasıl görünür?

NFCeez dijital damga kartında kayıt şöyle işler: misafirler Smart Page’inizde damga kartına dokunur ya da kayıt bağlantısını veya tezgâhtaki QR kodunu kullanır. Adlarını, soyadlarını ve e-postalarını girer ve adresi e-postayla gönderilen bir kodla onaylarlar. Sonra 16 yaşından itibaren şartlarınızı kabul ederler. Haberler ve teklifler ayrı, isteğe bağlı bir seçimdir. Sonunda kart Apple Wallet’ta ya da Google Wallet’ta durur.

Wallet kartındaki bir teklif yalnızca onay veren misafirlere, haftada en fazla bir kez ve yalnızca açık olduğunuz günlerde ulaşır. Misafirler kartlarını istedikleri zaman kendileri silebilir ve 24 ay kullanılmayan kartlar otomatik olarak silinir. NFCeez kart için şartları ve gizlilik bildirimini sistemin gerçekte yaptıklarından oluşturur, siz de bunları işletmeniz için yayınlarsınız.

Sınır: bu metinler sizin adınızı taşır ve sorumluluk sizde kalır, bu yüzden ikisini de bir kez okuyun. Bir şey sizin durumunuza bağlıysa doğru adres eyaletinizin veri koruma otoritesidir. Dijital damga kartı sayfası kartın nasıl göründüğünü gösteriyor.

Bir sonraki adımınız

Bugün kayıt formunuzu açın ve üç şeyi kontrol edin. Pazarlama kutusu boş ve ayrı mı? Kart işaret olmadan çalışıyor mu? Gizlilik bildirimi hemen orada mı? Büyük resim için sadakat programı planlama rehberimize bakın.