Datenschutzerklärung — Unternehmenskonto

Für Gewerbetreibende, die Cardit bestellen und im Inhaberportal („Konto“) sowie an der Kasse nutzen. Stand: Oktober 2026. Die Verarbeitung in der Wallet der Gäste beschreibt die Datenschutzerklärung Wallet, die öffentlichen Seiten die Datenschutzerklärung Website.

1. Verantwortlicher

YOURLEAF GmbH, Zur Zugbrücke 2, 26203 Wardenburg, Deutschland
E-Mail: info@cardit.info · Telefon: 04407 913 6812
Weitere Angaben im Impressum.

2. Welche Daten wir verarbeiten

Bestell- & Vertragsdaten: Betriebsname, Ansprechpartner, Rechnungs- und Standortanschrift, E-Mail, Telefon (falls angegeben), Branche, gebuchte Pakete, Vertragslaufzeit, Kündigungen, Hinweise zur Bestellung und woher die Anfrage kam (z. B. Website). Zweck: Vertragsanbahnung und -durchführung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Konto- & Zugangsdaten: E-Mail und Passwort (nur als Hash gespeichert), Einmal-Links zum Setzen bzw. Zurücksetzen des Passworts, Einstellungen (z. B. Monatsbericht, Tagesbetrieb) sowie Zeitpunkte wie Aktivierung und Nutzung der Garantie. Beim Anmelden setzen wir ein technisch notwendiges Sitzungs-Cookie. Zweck: sicherer Kontozugang. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Sicherheit); § 25 Abs. 2 Nr. 2 TDDDG.
Kasse & Kassen-Schnittstelle: gekoppelte Kassengeräte (Bezeichnung, letzte Nutzung) und Schlüssel der Kassen-Schnittstelle (Bezeichnung, Rechte, zugeordneter Kassenhersteller, letzte Nutzung; der Schlüssel selbst nur als Hash). Zweck: Betrieb und Absicherung der Kasse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Personal: Lädst du Mitarbeitende ein, speichern wir den Namen, unter dem sie beitreten, Rolle und Rechte, die persönliche PIN (nur als Hash), wann sie sich zuletzt angemeldet haben, wer welche Buchung und Einlösung gemacht und wer eine Push-Nachricht versendet hat. Für diese Daten bist du als Arbeitgeber verantwortlich, wir verarbeiten sie in deinem Auftrag (siehe Ziffer 3 und AVV). Bitte informiere dein Personal darüber; die Beitrittsseite nennt ihm die gespeicherten Angaben ebenfalls.
Öffentliche Anbieterangabe: Aus Firma, Ansprechpartner und Anschrift entsteht die Angabe, wer für die Bonuskarte verantwortlich ist. Sie wird öffentlich auf der Karte, in der Wallet und auf dem Aushang gezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO (Anbieterkennzeichnung).
Von dir eingestellte Inhalte: Logo, Farben, Bilder, Öffnungszeiten, Belohnungs-, Angebots- und Nachrichtentexte, Partnerprogramme. Für diese Inhalte und die daran bestehenden Rechte bist du verantwortlich (siehe AGB Ziffer 6). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Zahlungsdaten: Die Zahlung läuft über Stripe (siehe Ziffer 4). Wir speichern keine vollständigen Kartendaten, sondern die Kennungen bei Stripe, Zahlungsstatus, eingelöste Gutscheincodes und Belege. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie lit. c (steuer-/handelsrechtliche Aufbewahrung).
Rechnungs- & Buchhaltungsdaten: Rechnungen und Storno-Belege mit fortlaufender Nummer, aus steuer- und handelsrechtlichen Gründen (§ 147 AO, § 257 HGB) aufzubewahren. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
E-Mails & Support: Wir schicken dir Rechnungen, Bestätigungen (z. B. einer Kündigung), auf Wunsch den Monatsbericht und Antworten auf deine Anfragen. Nachrichten aus dem Kontaktformular im Konto erreichen uns als E-Mail mit Angabe deiner Bonuskarten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Server-Logs: IP-Adresse, Zeitpunkt und Anfrage, zur Sicherheit des Dienstes, nach kurzer Zeit überschrieben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Im Konto und an der Kasse gibt es keine Reichweitenmessung und keine Dienste Dritter zur Analyse. Lernvideos und alle übrigen Inhalte kommen von unseren eigenen Servern.

3. Gäste- und Personaldaten = Auftragsverarbeitung

Soweit über deine Bonuskarte personenbezogene Daten deiner Gäste (z. B. Punkte, Besuche, Zielgruppen, Partnerprogramme) oder deines Personals verarbeitet werden, bist du der Verantwortliche und wir handeln als dein Auftragsverarbeiter nach Art. 28 DSGVO. Die Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV), den du bei der Bestellung bestätigst. Bindest du ein Kassensystem an, gehen Daten deiner Karte auf deine Weisung an dieses System und seinen Hersteller.

4. Empfänger & Dienstleister

Hosting, Sicherungen und E-Mail-Versand: Hetzner Online GmbH, Deutschland (Auftragsverarbeiter, Art. 28 DSGVO). E-Mails versenden wir über unseren eigenen Mailserver dort.
Zahlung: Stripe Payments Europe, Ltd. (Irland) bzw. Stripe, Inc. (USA). Dabei kann eine Übermittlung in die USA erfolgen; Stripe stützt sich auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework. Details in der Datenschutzerklärung von Stripe.

Eine darüber hinausgehende Weitergabe oder ein Verkauf von Daten findet nicht statt.

5. Speicherdauer

Vertrags- und Kontodaten speichern wir für die Dauer des Vertrags. Bestellanfragen, die nie bezahlt wurden, anonymisieren wir nach 18 Monaten. Nach Vertragsende und Auslaufphase bleiben Konto und Bonuskarte erhalten, damit du die Karte wiederaufnehmen kannst. Die Daten deiner Gäste zu dieser Karte löschen wir 6 Monate nach Ende der Auslaufphase und kündigen das 30 Tage vorher per E-Mail an (Details im AVV, Ziffer 10). Konto und Karte löschen wir auf deinen Wunsch (E-Mail genügt). Rechnungen und Buchungsbelege bewahren wir so lange auf, wie es das Steuer- und Handelsrecht verlangt (bis zu 10 Jahre). Sicherungskopien werden im Rahmen der regelmäßigen Rotation überschrieben.

6. Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie Beschwerde bei einer Aufsichtsbehörde (für uns: Die Landesbeauftragte für den Datenschutz Niedersachsen). Kontakt: info@cardit.info. Mitarbeitende wenden sich mit ihren Rechten an ihren Arbeitgeber; Anfragen, die bei uns eingehen, leiten wir an ihn weiter und unterstützen ihn dabei.

7. Keine automatisierte Entscheidung

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt.