Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

Uniqor UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Sascha Schöning
Alter Weg 5
31199 Diekholzen
Telefon: +49 5121 9570590
E-Mail: info@uniqor.de
Website: www.uniqor.de

Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht zu benennen. Für alle Fragen zum Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten.

Wer ist wofür verantwortlich? Für den Betrieb von StampBy, die Anmeldung der Händler und die technischen Protokolle sind wir Verantwortliche. Für die Daten der Karteninhaber – die Kunden eines Geschäfts – ist das jeweilige Geschäft Verantwortlicher; wir sind insoweit Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unserer Vereinbarung zur Auftragsverarbeitung. Wenn Sie eine Karte eines Geschäfts nutzen, richten Sie Auskunfts- und Löschwünsche daher bitte an dieses Geschäft; wir unterstützen es bei der Beantwortung. Die allgemeine Datenschutzerklärung unserer Website finden Sie unter uniqor.de/datenschutz.

2. Server-Logfiles

Beim Aufruf von StampBy übermittelt Ihr Browser automatisch Daten, die unser Webserver in Server-Logfiles speichert: IP-Adresse des zugreifenden Geräts, Datum und Uhrzeit des Zugriffs, aufgerufene Seite bzw. Datei, Statuscode und übertragene Datenmenge, Browser-Typ und -Version sowie Betriebssystem.

Die Verarbeitung erfolgt zur technisch fehlerfreien Bereitstellung der Anwendung sowie zur Gewährleistung der Systemsicherheit und Stabilität, etwa zur Abwehr und Aufklärung von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und stabile Betrieb. Die Logfiles des Webservers werden nach spätestens 14 Tagen automatisch gelöscht. Technische Anwendungsprotokolle (Start- und Fehlermeldungen ohne Passwörter und Nachrichteninhalte) werden bis zu 90 Tage vorgehalten. Zur Abwehr von Angriffen wertet ein Schutzdienst (CrowdSec) Zugriffs-IP-Adressen aus (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

3. Hosting, E-Mail und Sicherungen

StampBy läuft auf einem eigenen Server, den wir bei der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, in einem Rechenzentrum in Deutschland angemietet haben. Den Server betreiben und administrieren wir selbst. netcup stellt die Hardware, den Strom und die Netzanbindung bereit und verarbeitet dabei als Auftragsverarbeiter die auf dem Server gespeicherten Daten. Mit netcup besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer sicheren, schnellen und effizienten Bereitstellung. Eine Übermittlung in Drittländer findet im Rahmen des Hostings nicht statt. Die Emoji-Grafiken der Kartengestaltung lädt unser Server einmalig von jsDelivr (cdn.jsdelivr.net) und speichert sie danach lokal; dabei wird nur die IP-Adresse unseres Servers übermittelt, keine Daten von Karteninhabern oder Händlern.

Unsere E-Mail-Postfächer werden von der ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, betrieben. Über deren Mailserver versenden wir auch die Nachrichten von StampBy (Bestätigungs-, Einladungs- und Kartenlink-Mails). Mit All-Inkl besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Die Verarbeitung erfolgt ausschließlich auf Servern in Deutschland.

Von der Datenbank erstellen wir nächtliche Sicherungen. Eine Kopie davon wird verschlüsselt über eine gesicherte Verbindung zusätzlich auf einen Speicherplatz bei Google Drive (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; gegebenenfalls Google LLC, USA) übertragen, damit im Katastrophenfall eine zweite Kopie außerhalb des Servers existiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Ausfallsicherheit. Für eine mögliche Übermittlung in die USA stützen wir uns auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem Google zertifiziert ist, und ergänzend auf die Standardvertragsklauseln der EU-Kommission. Die lokalen Sicherungen werden nach 30 Tagen, die Kopie bei Google Drive nach 7 Tagen überschrieben. Gelöschte Daten können bis dahin in Sicherungen fortbestehen.

4. Händlerkonto

Für die Registrierung und Nutzung des Dashboards verarbeiten wir Name, E-Mail-Adresse, ein gehashtes Passwort, auf Wunsch das Geheimnis der Zwei-Faktor-Anmeldung, Angaben zum Geschäft (Name, Anschrift, Kontakt, USt-IdNr.), Rollen im Team, Karten- und Standortkonfiguration sowie ein Protokoll der Änderungen im Dashboard. Bei jeder Anmeldung speichern wir IP-Adresse und Browserkennung der Sitzung; bei sicherheitsrelevanten Aktionen (Annahme der Auftragsverarbeitung, Datenexport, Kartenlöschung) wird im Protokoll die gekürzte IP-Adresse vermerkt. Bearbeiter-Namen stehen in den Stempel- und Einlösebewegungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Rechnungen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Die Registrierung ist nur für Unternehmer vorgesehen und wird entsprechend bestätigt. Für die Anmeldung per Passkey speichern wir den öffentlichen Schlüssel und eine Gerätebezeichnung; biometrische Daten verlassen Ihr Gerät nicht. Die Adresse Ihres Geschäfts wird zur Ermittlung der Koordinaten (Standort-Hinweise) an den Kartendienst OpenStreetMap/Nominatim übermittelt.

5. Karteninhaber

Wer eine Karte eines Geschäfts über den QR-Code anlegt, gibt einen Namen (genügt als Vorname) und optional eine E-Mail-Adresse sowie – nur wenn das Geschäft eine Geburtstagsaktion anbietet – Tag und Monat des Geburtstags an und willigt in die Nutzung der Karte ein (Art. 6 Abs. 1 lit. a DSGVO). Mindestalter ist 16 Jahre, sonst ist die Zustimmung der Eltern nötig. Gespeichert werden außerdem eine Kundennummer, Zeitpunkt und gekürzte IP-Adresse (letztes Oktett bzw. letzte 80 Bit entfernt) der Einwilligung als Nachweis, die Stempel- und Einlösebewegungen mit Zeitpunkt, Standort und Quelle, Geschenke und Gutscheine des Geschäfts, ein persönlicher Empfehlungscode (und, wenn Sie geworben haben oder geworben wurden, die Verknüpfung beider Karten), auf Wunsch ein von Ihnen hochgeladenes Hintergrundfoto, freiwillige Rückmeldungen an das Geschäft sowie technische Kennungen der Wallet-Registrierung. Ein Geschäft kann zusätzlich eine Telefonnummer zu Ihrer Karte erfassen. Der Wallet-Karte beigefügt sind außerdem die letzten Bewegungen (Verlauf) und Ihr persönlicher Kartenlink; beides liegt damit auch bei Apple bzw. Google. Die E-Mail-Adresse dient dazu, Ihnen einen persönlichen Link zur Karte zu senden, mit dem Sie sie bei einem Gerätewechsel erneut laden können.

Beitritt ohne Anmeldung. Bietet ein Geschäft den Beitritt „nur scannen“ an, legt das Scannen des QR-Codes die Karte an, ohne dass Name, E-Mail-Adresse oder Geburtstag eingegeben werden. Die Karte wird auf Ihre Anforderung hin bereitgestellt (Art. 6 Abs. 1 lit. b DSGVO). Gespeichert werden Kundennummer, Zeitpunkt der Anlage, ggf. der Standort des QR-Codes und die Stempelbewegungen. Damit jede Person je Programm nur eine Karte erhält, setzen wir ein technisch erforderliches Cookie mit einer zufälligen Geräte-Kennung; in der Datenbank liegt nur ein Prüfwert (Hash) davon (Art. 6 Abs. 1 lit. b und f DSGVO; Interesse: Schutz vor Mehrfach- und Missbrauchsausgabe). Die Zuordnung gilt je Gerät und Browser: wer das Cookie löscht oder ein zweites Gerät nutzt, kann eine weitere Karte erhalten. Ohne E-Mail-Adresse können wir Ihnen bei Verlust des Geräts keinen Kartenlink senden; wenden Sie sich dann an das Geschäft. Es gibt keine Zuordnung zwischen Geschäften. Aktionsnachrichten sind in diesem Modus nicht möglich, da keine Einwilligung eingeholt wird.

Aktionsnachrichten. Nur wenn Sie beim Beitritt ausdrücklich zustimmen, kann das Geschäft Ihnen Aktionsnachrichten auf die Karte senden (z. B. Bonusstempel zum Geburtstag, „Wir vermissen dich“, Angebote). Die Einwilligung ist freiwillig und jederzeit widerrufbar. Ob Sie bedacht werden, richtet sich nach einfachen Regeln (z. B. Zeit seit dem letzten Besuch, Stempelstand); eine Entscheidung mit rechtlicher Wirkung nach Art. 22 DSGVO findet nicht statt. Ein Geschäft kann einen Teil der Karten bewusst nicht bedenken, um die Wirkung einer Aktion zu messen (Art. 6 Abs. 1 lit. f DSGVO).

Hintergrundfoto. Ein hochgeladenes Foto ist für Sie, das Team des Geschäfts und – als Teil der Karte – für Apple bzw. Google sichtbar. Metadaten (z. B. Aufnahmeort) werden entfernt. Das Geschäft kann Fotos entfernen; Sie können es jederzeit selbst löschen.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden: Auf Ihrer Kartenseite unter „Meine Daten“ können Sie die Aktionsnachrichten abbestellen und Ihre Karte samt Daten selbst löschen; alternativ wenden Sie sich an das Geschäft. Name, Kontaktdaten, Geburtstag, Foto, Rückmeldungen und Geschenke werden gelöscht; Stempelbewegungen bleiben ohne Namen und Kontaktdaten über die Kartennummer pseudonymisiert für die Statistik des Geschäfts erhalten.

Hinweis in der Nähe. Hinterlegt ein Geschäft Standorte oder zusätzliche Orte (z. B. Bahnhof, Fußgängerzone), enthält Ihre Karte deren Koordinaten, und Ihr Gerät kann die Karte in der Nähe auf dem Sperrbildschirm vorschlagen (Apple Wallet) bzw. Sie benachrichtigen (Google Wallet). Die Ortung führt ausschließlich Ihr Gerät bzw. dessen Wallet durch (Apple oder Google, jeweils in eigener Verantwortung nach deren Bedingungen). Wir und das Geschäft erhalten Ihren Standort nicht und speichern keine Standortdaten von Ihnen. Den Stempelstand zeigt der Hinweis nur, wenn Sie auf Ihrer Kartenseite „Hinweis in der Nähe“ ausdrücklich eingeschaltet haben (Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, nicht voreingestellt). Ohne Einwilligung steht dort nur ein neutraler Hinweis ohne Stempelstand, und bei Google entfällt die Benachrichtigung. Gespeichert wird nur der Zeitpunkt Ihrer Einwilligung; Sie können sie jederzeit auf der Kartenseite widerrufen, die Karte wird dann aktualisiert. Zusätzlich können Sie die Ortungshinweise in den Einstellungen Ihres Geräts abstellen. Bei Google sind höchstens etwa vier Benachrichtigungen pro Tag möglich; Radius und Zeitpunkt legen die Wallets fest.

6. Apple Wallet und Google Wallet

Die Karten werden über Apple Wallet (Apple Inc., One Apple Park Way, Cupertino, USA; für den EWR Apple Distribution International Ltd., Irland) und Google Wallet (Google Ireland Limited) ausgeliefert. Dorthin gelangen die Inhalte der Karte (Name des Geschäfts, Logo, Stand, Name des Karteninhabers, Kundennummer, Barcode, Adresse und Öffnungszeiten, Standort-Koordinaten des Geschäfts, ein gewähltes Hintergrundfoto, Geschenke und Mitteilungstexte) sowie technische Kennungen und Push-Token, damit Aktualisierungen und Mitteilungen zugestellt werden können. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und die Vertragserfüllung (lit. b). Für die Verarbeitung durch Apple und Google gelten deren Datenschutzbestimmungen; Sie können eine Karte jederzeit in der Wallet löschen. Daten gehen erst an Apple bzw. Google, wenn Sie „Zu Apple Wallet“ bzw. „Zu Google Wallet“ antippen. Google verarbeitet die an Google übermittelten Daten nach eigenen Bedingungen in eigener Verantwortung; Apple lädt die Karte direkt von unserem Server und erhält über den Push-Dienst technische Kennungen.

E-Mail-Bestätigung beim Beitritt. Wenn das Geschäft sie eingeschaltet hat, senden wir im Auftrag des Geschäfts eine E-Mail mit einem Bestätigungslink an die angegebene Adresse. Die Mail enthält keine Werbung. Erst nach Ihrem Klick auf den Button wird die Karte angelegt; bis dahin speichern wir Ihre Angaben aus dem Formular höchstens 24 Stunden und löschen sie danach automatisch. Der Link wird nur als Prüfwert gespeichert, ist einmalig verwendbar und läuft nach 24 Stunden ab. Haben Sie die Mail nicht angefordert, ignorieren Sie sie. Rechtsgrundlage ist die Bereitstellung der Karte (Art. 6 Abs. 1 lit. b DSGVO). Jedes Geschäft führt Ihre Karte getrennt; wir verknüpfen Karten verschiedener Geschäfte nicht miteinander, auch wenn Sie dieselbe E-Mail-Adresse verwenden.

7. Cookies und Speicherung auf Ihrem Endgerät

Wir setzen keine Cookies zur Analyse, Reichweitenmessung oder Werbung ein und binden keine Dienste zur Analyse oder Werbung ein. Technisch erforderlich und deshalb ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG) sind:

• ein Sitzungs-Cookie nach der Anmeldung im Händler-Dashboard (bis zu 30 Tage), dazu ein Zwischenspeicher-Cookie für die Sitzung sowie kurzlebige Hilfs-Cookies bei der Zwei-Faktor- und Passkey-Anmeldung,
• für Karteninhaber, nur bei Geschäften mit Beitritt ohne Anmeldung, ein Cookie mit einer zufälligen Geräte-Kennung, damit pro Gerät nur eine Karte entsteht (bis zu 400 Tage; Sie können es in Ihrem Browser löschen),
• für Karteninhaber, nur bei Geschäften mit aktivem Selbststempeln per NFC-Tag, ein Cookie und ein Eintrag im lokalen Speicher des Browsers mit dem persönlichen Kartenlink, damit der Tag Ihre Karte erkennt (bis zu 400 Tage; Sie können beides in Ihrem Browser löschen),
• bei der Registrierung ein Eintrag im lokalen Speicher des Browsers mit dem gewählten Tarif,
• im Händler-Dashboard ein Eintrag im lokalen Speicher des Browsers, ob der Hinweis zur Installation als App ausgeblendet wurde.

Ein Cookie-Banner ist daher nicht erforderlich.

8. Zahlungen und Rechnungen

Rechnungen für kostenpflichtige Tarife stellen wir mit unserer Anwendung Uniqinvoice. Soweit Zahlungen über Stripe abgewickelt werden (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland), werden die dafür erforderlichen Daten an Stripe übermittelt; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Übermittlung in Drittländer

Die Daten werden auf Servern in Deutschland verarbeitet. Eine Übermittlung in Drittländer außerhalb der EU beziehungsweise des EWR kommt in Betracht bei Apple Wallet und Google Wallet (Ziffer 6), der Spiegelung der Sicherungen zu Google Drive (Ziffer 3) und der Abwicklung von Zahlungen über Stripe (Ziffer 8), soweit diese Wege genutzt werden. Wir stützen die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger darunter zertifiziert ist (Art. 45 DSGVO), und im Übrigen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Ein dem europäischen Recht vollständig entsprechendes Datenschutzniveau kann in Drittländern gleichwohl nicht in jedem Fall gewährleistet werden.

10. SSL-/TLS-Verschlüsselung

StampBy nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am Schloss-Symbol in der Adresszeile Ihres Browsers und daran, dass die Adresse mit „https://“ beginnt.

11. Ihre Rechte als betroffene Person

Soweit wir Verantwortliche sind (Händlerkonto, Betrieb, Protokolle), stehen Ihnen gegenüber uns hinsichtlich der Sie betreffenden personenbezogenen Daten folgende Rechte zu. Für die Daten Ihrer Karte richten Sie diese Rechte an das Geschäft, das die Karte ausgegeben hat; wir unterstützen es dabei und leiten Anfragen unverzüglich weiter:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@uniqor.de oder an unsere Postanschrift. Betrifft Ihr Anliegen die Daten einer Karte, wenden Sie sich bitte an das Geschäft, das die Karte ausgegeben hat (Ziffer 1).

12. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie gemäß Art. 77 DSGVO das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Telefon: +49 511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Website: lfd.niedersachsen.de

13. Speicherdauer im Überblick

14. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig. Durch die Weiterentwicklung von StampBy oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, sie anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Siehe auch Impressum.

Stand: Oktober 2026