StampHero — Stand: 3. Oktober 2026
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die in dieser Erklärung beschriebenen Plattformverarbeitungen ist:
Hasan Can Cesur, handelnd unter „StampHero“
Schulstr. 6, 72657 Altenriet
E-Mail: dartlogic.dev@gmail.com
Diese Erklärung betrifft Betreiber von Geschäften, deren Mitarbeiter sowie Kunden, die StampHero nutzen. Für eigene Nutzerkonten, die Bereitstellung und Sicherheit der Plattform sowie die Abrechnung verarbeitet StampHero personenbezogene Daten in eigener Verantwortlichkeit.
Ein Geschäft entscheidet selbst über sein Kundenprogramm, etwa welche Belohnung angeboten wird und an welche Kunden eine Nachricht gesendet wird. Soweit das Geschäft dabei Zwecke und wesentliche Mittel der Verarbeitung festlegt, ist das Geschäft für diese Verarbeitung verantwortlich. StampHero verarbeitet die dabei anfallenden Kundendaten im Rahmen der Plattform als Dienstleister nach Maßgabe der Vereinbarung zur Auftragsverarbeitung (AVV). Das Geschäft muss seine Kunden gesondert über seine eigene Verarbeitung informieren und die erforderlichen Rechtsgrundlagen sicherstellen.
Je nach Kontoart verarbeiten wir eine Firebase-Nutzerkennung, E-Mail-Adresse, Anzeigename, Kontoart (Kunde, Geschäft oder Mitarbeiter), Erstellungszeitpunkt und die Zuordnung von Mitarbeitern zu einem Geschäft. Bei einer Anmeldung über Google oder Apple erhalten wir die für die Anmeldung erforderlichen Kontodaten. Bei einem Start ohne E-Mail-Adresse werden eine zufällige Nutzerkennung und ein Anzeigename verarbeitet. Das Fehlen eines Klarnamens bedeutet nicht zwingend, dass die Daten anonym im Sinne der DSGVO sind.
Zu den Geschäftsdaten gehören insbesondere Geschäftsname, Kategorie, Anschrift, Stempelkarten- und Belohnungseinstellungen, Einladungscode, Tarif- und Testphasenstatus. Die Betriebs-PIN wird in einem geschützten Bereich gespeichert. Bei Mitarbeitern verarbeiten wir Name, E-Mail-Adresse und die Zuordnung zum jeweiligen Geschäft.
Wir verarbeiten Kunden- und Geschäftskennungen, Stempelzahl und Zeitpunkte, Kartenfortschritt, Einlösestatus, Belohnungsdaten, Besuchserinnerungen und Geburtstagsangebote. Bei individuellen Push-Nachrichten werden – abhängig von der Nutzung – Titel, Nachrichtentext, Zielgruppe, geplanter und tatsächlicher Versandzeitpunkt, Versandstatus sowie Empfänger- und Zustellzahlen gespeichert. Zielgruppen können anhand der Stempelaktivität ausgewählt werden. Die App unterstützt zeitlich begrenzte Vorteile, die aus denselben Nachrichtendaten angezeigt werden.
Kunden können Geschlecht und Geburtsdatum freiwillig in ihrem Profil hinterlegen. Außerdem wird eine Einstellung für Geburtstagsangebote verarbeitet. Diese Einstellung ist derzeit standardmäßig aktiviert, sofern sie im Profil nicht deaktiviert wurde; sie kann dort geändert werden. Ohne Geburtsdatum kann ein Geburtstagsangebot nicht anhand des Geburtstags ausgelöst werden. Die Angabe von Geschlecht ist für die Nutzung der grundlegenden Stempelkartenfunktionen nicht erforderlich.
In der Geschäftsoberfläche können Geschäftsinhaber und Mitarbeiter Kundeninformationen zu den Stempelkarten ihres Geschäfts einsehen. Dazu gehören insbesondere Anzeigename, Registrierungsdatum, Stempelstand, Stempelaktivität und Einlösestatus sowie – wenn vom Kunden angegeben – Geschlecht und Geburtsdatum. Die Oberfläche kann daraus Statistiken wie Besuchszeiten, Top-Kunden und Geschlechterverteilung bilden. Geschäftskonten können außerdem Mitarbeiterdaten ihres Geschäfts einsehen.
Für Push-Nachrichten wird ein Geräte- bzw. FCM-Registrierungstoken verarbeitet. Kamera und NFC werden für QR-Scan- bzw. Stempelvorgänge verwendet. Push-Dienstleister erhalten die zur Zustellung nötigen Token und Nachrichtendaten. Beim Aufruf der Website und bei der Nutzung von App- und Cloud-Diensten können technische Verbindungs-, Geräte-, Diagnose- und Sicherheitsdaten anfallen; Umfang und Speicherdauer richten sich auch nach den eingesetzten Diensten und deren Konfiguration.
Wir nutzen Firebase Authentication, Cloud Firestore, Firebase Cloud Messaging, Cloud Functions und Firebase Hosting. Für interne Kennzahlen werden ausgewählte Firestore-Daten in Google Cloud Storage exportiert und in BigQuery verarbeitet. Der Export umfasst Geschäfts-, Stempelkarten-, Belohnungs- sowie bestimmte Kampagnenzustellungsdaten. Nutzerprofile und die geschützte Betriebs-PIN sind laut aktueller Exportkonfiguration nicht enthalten; exportierte Stempelkarten können aber Kundenkennungen, Anzeigenamen und Aktivitätsdaten enthalten.
Anbieter: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Informationen: Firebase-Datenschutz und Google-Cloud-Datenschutz.
Bei freiwilliger Nutzung von Google Sign-In oder „Mit Apple anmelden“ werden Anmeldeinformationen mit dem jeweiligen Anbieter und Firebase Authentication ausgetauscht. Es gelten ergänzend die Datenschutzhinweise von Google und Apple.
RevenueCat verwaltet In-App-Abonnements. Dafür werden die Firebase-Nutzerkennung als pseudonyme Kennung, Abo- und Kaufstatus sowie Geräte- und App-Informationen verarbeitet. Anbieter: RevenueCat, Inc.; Datenschutzhinweise. Bei Käufen über Apple App Store oder Google Play verarbeiten zusätzlich die jeweiligen Stores Kauf- und Zahlungsdaten nach ihren Datenschutzhinweisen.
Bei direkter Zahlung außerhalb der App, etwa per Rechnung oder über einen Zahlungsdienstleister, werden die für Vertrag, Zahlung und Buchführung erforderlichen Daten an die beteiligten Stellen übermittelt. Für die Zahlungsabwicklung gelten ergänzend deren Datenschutzhinweise.
Die genannten Anbieter können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten oder von dort aus auf Daten zugreifen. Eine Übermittlung erfolgt nur, soweit die Voraussetzungen des Kapitels V DSGVO erfüllt sind, beispielsweise aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien. Einzelheiten zu den eingesetzten Garantien und deren Erhalt können bei den oben verlinkten Anbietern erfragt werden.
Wir speichern personenbezogene Daten nur so lange, wie sie für die genannten Zwecke benötigt werden oder gesetzliche Aufbewahrungspflichten bestehen. Die Dauer hängt von Datenart, Konto- und Vertragsstatus sowie gesetzlichen Pflichten ab. Abrechnungs- und steuerrechtlich relevante Unterlagen können gesetzlichen Aufbewahrungsfristen unterliegen.
Ein Konto kann in der App gelöscht werden. Dabei werden das Firebase-Anmeldekonto und das Nutzerprofil gelöscht. Bei Kunden werden deren Stempelkarten gelöscht. Beim Löschen eines Geschäftskontos werden das Geschäft, dessen geschützte Konfiguration und die zugehörigen Stempelkarten gelöscht; zugeordnete Mitarbeiterkonten werden vom Geschäft getrennt. Belohnungen, Token, Kampagnen- und Versandprotokolle, Wochenzähler, RevenueCat-Daten und bereits erstellte Cloud-Exporte werden durch diesen Vorgang derzeit nicht vollständig automatisch mitgelöscht. Soweit solche Daten weiterhin personenbezogen sind, werden Löschanfragen an dartlogic.dev@gmail.com geprüft und umgesetzt, sofern keine gesetzlichen Aufbewahrungsgründe oder überwiegenden Rechte entgegenstehen. Sicherungskopien und Exporte werden nach den für das jeweilige System geltenden Löschzyklen entfernt.
Beim Aufruf der Website und bei der Nutzung der App werden technische Daten verarbeitet, soweit dies für Auslieferung, Stabilität und Sicherheit erforderlich ist. Die Kamera wird für das Scannen von QR-Codes genutzt; nach aktuellem Funktionsstand werden dabei keine Fotos als Bilddateien gespeichert. NFC wird für Stempelvorgänge verwendet. Push-Mitteilungen können in den Systemeinstellungen des Geräts deaktiviert werden. Ein Widerruf einer datenschutzrechtlichen Einwilligung kann zusätzlich gegenüber dem Verantwortlichen erklärt werden.
Ein Einstieg ohne E-Mail-Adresse ist möglich. Dabei verarbeiten wir weiterhin eine zufällige Konto- bzw. Nutzerkennung, einen Anzeigenamen sowie verknüpfte Stempel-, Geräte- und gegebenenfalls Push-Daten. Diese Informationen können personenbezogen sein, auch wenn kein Klarname verwendet wird. Wird ein anonymes Konto mit einer E-Mail-Adresse verknüpft, werden Konto und bestehende Stempelkarten dem verknüpften Zugang zugeordnet. Wird ein anonymes Konto gelöscht oder geht der Zugang verloren, können die daran gebundenen Stempelkarten nicht wiederhergestellt werden.
Die für Registrierung und Kontoerstellung erforderlichen Angaben sind notwendig, um die jeweiligen Kontofunktionen bereitzustellen. Ohne sie kann ein Konto gegebenenfalls nicht erstellt oder genutzt werden. Geschlecht und Geburtsdatum sind freiwillig. Ohne Geburtsdatum können personalisierte Geburtstagsangebote nicht anhand eines Geburtstags ausgelöst werden. Push-Berechtigungen können abgelehnt werden; dann kann das betreffende Gerät keine Push-Mitteilungen anzeigen.
Du hast nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit eine Verarbeitung auf berechtigten Interessen beruht, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch einlegen. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Für Anfragen zu Verarbeitungen von StampHero wende dich an dartlogic.dev@gmail.com. Betrifft dein Anliegen ein Kundenprogramm, für das dein Geschäft verantwortlich ist, kannst du dich auch an dieses Geschäft wenden. Außerdem hast du das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren.
Nach aktuellem Stand treffen wir keine ausschließlich automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen. Geschäfte können Kunden anhand ihrer Stempelaktivität als Zielgruppe für eigene Kampagnen auswählen.
Wir aktualisieren diese Erklärung, wenn sich unsere Datenverarbeitungen, eingesetzten Dienste oder rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung wird an dieser Stelle veröffentlicht.
Geschäftskunden können die Vereinbarung zur Auftragsverarbeitung (AVV) hier jederzeit digital einsehen.