Rechtliches

Datenschutzerklärung

Gemäß DSGVO

1. Verantwortlicher

Tarik Celik, TAVORA (Einzelunternehmen)
Bayenstraße 11, 50678 Köln, Deutschland
tarik@tavora.koeln · Telefon 0159 0149 9058

2. Welche Daten wir erheben

Beim Erstellen einer digitalen Treuekarte:

Vorname — freiwillig, erscheint auf deiner Karte
Geburtstag — freiwillig, nur Tag und Monat, ohne Jahr
E-Mail-Adresse — freiwillig, nur bei teilnehmenden Betrieben

Technisch entstehen zusätzlich:

eine Kennung deiner Karte und ein Zugangsschlüssel, damit nur dein Gerät sie aktualisieren kann
dein Stempelstand und ein Verlauf deiner Stempel mit Datum und Uhrzeit (daraus ergibt sich, an welchen Tagen du da warst)
wann du eine Prämie eingelöst hast
Zeitpunkt der Anmeldung und welcher Betrieb deine Karte ausgegeben hat
falls du über den Link eines anderen Gastes kommst: dass du geworben wurdest
der Push-Token deines Geräts, falls du Mitteilungen erlaubst, und ein technisches Protokoll der Abrufe deiner Karte

Standort: Auf der Karte ist die Adresse des Betriebs hinterlegt. Ob du in der Nähe bist, prüft allein dein Handy — dein Standort wird dabei nicht an uns oder den Betrieb übermittelt.

3. Wozu und auf welcher Grundlage

Betrieb deiner Karte — Karte erstellen, Stempel zählen, Prämie freischalten, Karte im Wallet aktuell halten. Grundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsverhältnisses).

Mitteilungen zu deiner Karte — Hinweise zu Stempeln und Prämien. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.

Geburtstagsgruß — nur wenn du deinen Geburtstag angegeben hast. Grundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch die freiwillige Angabe).

Angebote und Erinnerungen des Betriebs — zum Beispiel ein Angebot des Tages, ein Dankeschön nach deinem Besuch, eine Erinnerung, wenn du länger nicht da warst, oder die Bitte um eine Bewertung. Diese Nachrichten kommen nur von dem Betrieb, bei dem du deine Karte geholt hast, nie von anderen. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Betriebs, seine Gäste über Angebote rund um die Treuekarte zu informieren).

Abschalten: Alle Mitteilungen kannst du jederzeit beenden — in der Wallet die Karte öffnen, auf „…“ tippen und Mitteilungen ausschalten. Das ist zugleich dein Widerspruch nach Art. 21 DSGVO. Deine Karte funktioniert danach ganz normal weiter.

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt: Über dich wird nichts automatisch entschieden, was rechtliche Folgen für dich hätte. Zur geschätzten Geschlechterverteilung im Betriebs-Bericht siehe Abschnitt 4.

4. Was der Betrieb sieht

Der Betrieb, bei dem du deine Karte holst, sieht überwiegend zusammengefasste Zahlen: wie viele Karten ausgegeben wurden, wie viele Gäste Stempel gesammelt haben, wie viele heute dazugekommen sind. Deine E-Mail-Adresse und dein Geburtstag sind für den Betrieb nicht sichtbar. Beim Stempeln sieht das Personal den Stempelstand deiner Karte.

Drei Auswertungen gehen darüber hinaus, und das soll hier ehrlich stehen:

Bestenliste: Bei den fünf treuesten Gästen erscheint dein Vorname mit der Zahl deiner Besuche und wie viele Tage dein letzter Besuch her ist; bei Betrieben mit Punktekarte zusätzlich deine gesammelten Punkte.

Prämien-Nachweis: Einmal im Monat bekommt der Betrieb für seine Buchhaltung eine Liste der eingelösten Prämien mit Vorname und Datum der Einlösung.

Geschlechterverteilung: Aus den Vornamen aller Karten wird eine geschätzte Geschlechterverteilung berechnet — als Prozentzahl über alle Gäste, nicht als Merkmal an deiner Karte. Wir fragen dein Geschlecht nirgends ab und speichern es auch nicht; die Schätzung entsteht bei jedem Aufruf neu und wird nicht abgelegt. Möchtest du das nicht, gib bei der Anmeldung einfach keinen Namen an — die Karte funktioniert ohne genauso.

5. Weitergabe und Dienstleister

Deine Daten werden nicht verkauft und nicht zu Werbezwecken an Dritte weitergegeben.

Für den Betrieb setzen wir ein:

Supabase — Datenbank (Rechenzentrum Frankfurt am Main, EU)
Vercel — Hosting (USA)
Apple und Google — Wallet-Karte und Mitteilungen
Postmark — E-Mail-Versand (USA)
cron-job.org — zeitgesteuerte Abläufe (Deutschland)

Bei Anbietern mit Sitz in den USA werden Daten in ein Drittland übermittelt. Das geschieht auf Grundlage von Standardvertragsklauseln der EU-Kommission bzw. des EU-US Data Privacy Framework.

6. Speicherdauer

Wir speichern deine Daten, solange deine Karte genutzt wird. Karten, die 24 Monate ohne Stempel bleiben, werden samt der dazugehörigen Daten gelöscht; die Prüfung erfolgt derzeit von Hand. Du kannst jederzeit vorher die Löschung verlangen — eine formlose Nachricht an tarik@tavora.koeln genügt. Gelöscht werden dann deine Angaben, die Registrierung deines Geräts und die Abrufe deiner Karte.

Bewerbungen als Vertriebler (tavora.koeln/vertrieb): Name, Telefonnummer und deine freiwilligen Angaben zu dir speichern wir, um dich wegen einer Mitarbeit anzurufen — auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und zur Anbahnung einer Zusammenarbeit (lit. b). Kommt keine Zusammenarbeit zustande, löschen wir die Angaben spätestens sechs Monate nach dem Gespräch. Die Einwilligung kannst du jederzeit widerrufen — eine Nachricht an tarik@tavora.koeln genügt.

Briefe an Läden (tavora.koeln/fuer/…): Wir schreiben Gastronomie- und Gewerbebetrieben in Köln gelegentlich einen persönlichen Brief mit einem Entwurf ihrer Stempelkarte. Die Geschäftsadresse und, wo öffentlich genannt, die Namen der Inhaber stammen aus öffentlichen Quellen wie Google Maps, dem Impressum oder Presseberichten. Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot vorzustellen (Art. 6 Abs. 1 lit. f DSGVO). Wird die Seite über den QR-Code im Brief geöffnet, bekommen wir eine kurze Benachrichtigung, dass sie aufgerufen wurde; dabei setzen wir keine Cookies und speichern keine Gerätedaten. Du kannst jederzeit widersprechen (Art. 21 DSGVO), dann löschen wir die Daten und schreiben dir nicht mehr — eine Nachricht an tarik@tavora.koeln genügt. Kommt keine Zusammenarbeit zustande, löschen wir die Angaben spätestens sechs Monate nach dem letzten Kontakt.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Wende dich dafür an tarik@tavora.koeln.

8. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

Datenschutz­erklärung