Datenschutz

1. Verantwortlicher

Scratch Concept's GmbH
Dehnhaide 1b, 22081 Hamburg, Deutschland
Telefon: 040 76960360 · E-Mail: office@scratchconcepts.de

Die Marke HAKAN ABI sowie der Gastronomiebetrieb befinden sich in der Wohlwillstraße 51, 20359 Hamburg.

2. Welche Daten wir verarbeiten

Kontodaten: Vor- und Nachname, E-Mail-Adresse und Postleitzahl (Pflichtangaben) sowie freiwillig dein Geburtsdatum (für den Geburtstagsbonus).
Anmeldedaten: Du meldest dich ohne Passwort an. Dafür schicken wir dir einen Einmalcode an deine E-Mail-Adresse. Wir speichern den Code nur als Prüfsumme (Hash), seine Ablaufzeit und die Zahl der Eingabeversuche.
Programmdaten: Stempelgutschriften, Prämien-Einlösungen und ggf. Goldkarten-Buchungen mit Zeitpunkt, Buchungsart (Scan, manuelle Eingabe oder Bonus), Betrieb und Kasse sowie der Kennung des buchenden Mitarbeiters; dazu dein aktueller Stempelstand.
Goldkarte (nur für ausgewählte Gäste): dein Gold-Status, die Gültigkeitsregeln (Zeitraum, Wochentage, Uhrzeiten, Gratis-Artikel pro Tag), eine interne Notiz des Betreibers sowie jede Gratis-Verbuchung mit Zeitpunkt und Kürzel des Mitarbeiters.
Kassen-Scan: Beim Scannen deines QR-Codes sieht unser Personal nur deinen Vornamen mit Anfangsbuchstaben des Nachnamens, deine Mitgliedsnummer, deinen Stempelstand, einlösbare Prämien und offene Einlöse-Codes. Jeder Scan wird mit Zeitpunkt, Betrieb, deiner Konto-Kennung und einem Kürzel der scannenden Person protokolliert — ohne weitere persönliche Daten.
Wallet-Daten: Nutzt du Apple Wallet, speichern wir zusätzlich eine Geräte-Kennung und ein Push-Token deines iPhones, damit sich deine Karte automatisch aktualisiert (siehe Abschnitt 6).
Einwilligungsnachweise: Zeitpunkt und Version deiner Zustimmungen sowie eines Widerrufs.
Technische Daten: beim Aufruf der Seite übliche Server-Protokolldaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Typ) zur Sicherstellung des Betriebs.

Es gilt der Grundsatz der Datenminimierung — wir erheben nur, was das Programm braucht.

3. Musst du die Daten angeben?

Vorname, Nachname, E-Mail-Adresse und Postleitzahl brauchen wir, um dein Konto anzulegen und das Bonusprogramm durchzuführen. Ohne diese Angaben kannst du nicht teilnehmen. Eine gesetzliche Pflicht, sie anzugeben, besteht nicht. Geburtsdatum und Werbe-Einwilligungen sind freiwillig — ohne sie bekommst du lediglich keinen Geburtstagsbonus bzw. keine Aktions-Nachrichten. Teilnehmen kannst du ab 16 Jahren.

4. Zwecke und Rechtsgrundlagen

Durchführung des Bonusprogramms (Konto, Stempel, Prämien, Geburtstags- und Willkommensbonus): Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
Anmeldung per Einmalcode und Sitzungsverwaltung: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz deines Kontos vor Missbrauch).
Goldkarte: Verwaltung des von uns vergebenen Status, Prüfung der Gültigkeit und des Tageslimits — Art. 6 Abs. 1 lit. b DSGVO. Die Goldkarte ist eine freiwillige Zusatzleistung; du kannst sie jederzeit ablehnen oder entfernen lassen.
Werbliche E-Mails und Wallet-Aktionshinweise: nur, wenn du dafür jeweils gesondert ein Häkchen setzt (Art. 6 Abs. 1 lit. a DSGVO). Beide Einwilligungen sind freiwillig und keine Voraussetzung für die Teilnahme. Du kannst sie jederzeit im Profil oder per Nachricht an club@hakanabi.de widerrufen; die Verarbeitung bis zum Widerruf bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO). Wallet-Hinweise kannst du zusätzlich direkt in deiner Handy-Wallet für die Karte abschalten.
Herkunftsanalyse (Postleitzahl): Auswertung, aus welchen Stadtteilen unsere Gäste kommen — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Standort- und Angebotsplanung). Deine Postleitzahl ist beim Anlegen des Kontos eine Pflichtangabe. Die Auswertung erfolgt nur zusammengefasst nach Stadtteilen, ohne Bezug auf einzelne Personen.

Widerspruchsrecht: Du kannst dieser Auswertung jederzeit widersprechen (Art. 21 DSGVO) — per E-Mail an club@hakanabi.de oder indem du die Postleitzahl in deinem Profil löschst. Deine Postleitzahl wird dann nicht mehr ausgewertet; dein Bonuskonto bleibt davon unberührt.

Missbrauchsvermeidung und IT-Sicherheit (z. B. Scan-Protokolle, Sperrung kompromittierter Codes): Art. 6 Abs. 1 lit. f DSGVO.
Server-Protokolle (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Typ): Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren und stabilen Betrieb sowie an der Abwehr von Angriffen.
Gesetzliche Aufbewahrung (Buchungsunterlagen): Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.

5. Dein QR-Code

Dein persönlicher QR-Code enthält keine personenbezogenen Daten, sondern nur eine zufällige, kryptografisch signierte Kennung. Die Zuordnung zu deinem Konto erfolgt ausschließlich auf unseren Systemen. Hast du den Verdacht, dass dein Code missbraucht wurde, schreib uns an club@hakanabi.de — wir stellen dir einen neuen Code aus; der alte wird dann sofort ungültig.

6. Apple Wallet / Google Wallet (optional)

Du kannst deine Karte freiwillig in Apple Wallet oder Google Wallet speichern. Dabei werden die Karteninhalte (Name, Mitgliedsnummer, Stempelstand, ggf. Gold-Status, QR-Kennung) übertragen.

Apple Wallet: Damit sich deine Karte automatisch aktualisiert, speichern wir eine Geräte-Kennung und einen Push-Token deines iPhones. Bei Änderungen senden wir ein Aktualisierungs-Signal ohne Inhalte über den Push-Dienst von Apple (Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA; in Europa: Apple Distribution International Ltd., Cork, Irland). Löschst du die Karte aus deiner Wallet, entfernen wir die Geräte-Zuordnung.
Google Wallet: Die Karteninhalte werden über die Google Wallet API auf Servern von Google gespeichert und dort aktualisiert (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland; Google LLC, Mountain View, CA, USA).

Apple Inc. und Google LLC sind unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO). Ergänzend gelten die Datenschutzhinweise von Apple bzw. Google für die Wallet-Funktion deines Geräts.

7. Empfänger und Auftragsverarbeiter

Für Betrieb und Wartung der Plattform setzen wir technische Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein. Mit ihnen bestehen Auftragsverarbeitungsverträge; sie verarbeiten deine Daten ausschließlich nach unserer Weisung.

Hosting der Anwendung: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Der Betrieb erfolgt in einem Rechenzentrum in der Europäischen Union (Region Frankfurt am Main).
Datenbank: Neon Inc., USA, mit Datenhaltung in der Europäischen Union (Region Frankfurt am Main).
E-Mail-Versand: Anmeldecodes und Hinweise zum Programm — mit deiner Einwilligung auch werbliche E-Mails — senden wir über unser Postfach club@hakanabi.de bei der Strato AG (IONOS-Gruppe), Otto-Ostrowski-Straße 7, 10249 Berlin. Strato verarbeitet dabei deine E-Mail-Adresse und den Inhalt der Nachricht auf Servern in Deutschland.

Die technische Betreuung und Wartung der Plattform erfolgt durch den Verantwortlichen selbst; ein weiterer externer Dienstleister ist hierfür nicht eingebunden.

Übermittlung in die USA: Die vorgenannten Hosting- und Datenbank-Anbieter sind US-Unternehmen. Auch wenn die Verarbeitung in der EU (Frankfurt am Main) stattfindet, lässt sich ein Zugriff aus den USA nicht vollständig ausschließen. Beide Anbieter sind unter dem EU-U.S. Data Privacy Framework zertifiziert; hierfür liegt ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 vor (Art. 45 DSGVO). Zusätzlich haben wir mit beiden Anbietern die Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhältst du auf Anfrage unter club@hakanabi.de.

Außer an die hier genannten Stellen geben wir deine Daten nicht weiter; ein Verkauf deiner Daten findet nicht statt.

8. Speicherdauer

Dein Konto und deine Programmdaten speichern wir, solange dein Konto besteht. Für weitere Daten gilt:

– Einmalcodes für die Anmeldung sind 10 Minuten gültig und werden danach bzw. nach erfolgreicher Anmeldung gelöscht.
– Server-Protokolle mit IP-Adresse löscht unser Hosting-Anbieter automatisch innerhalb weniger Tage, sofern kein Sicherheitsvorfall eine längere Aufbewahrung erfordert.
– Scan- und Sicherheitsprotokolle enthalten keine Klartextdaten; wir bewahren sie für die Dauer deiner Teilnahme auf, danach nur noch ohne Namensbezug unter einer internen Kennung, solange Nachweispflichten bestehen.
– Den Nachweis deiner Einwilligungen und Widerrufe bewahren wir zu Nachweiszwecken auf (Art. 7 Abs. 1 DSGVO) — nach einer Kontolöschung nur noch ohne Namensbezug.
– Wallet-Geräte-Zuordnungen entfernen wir, sobald du die Karte aus deiner Wallet löschst oder dein Konto löschst.

Wenn du dein Konto löschst, entfernen wir sofort deinen Namen, deine Postleitzahl, dein Geburtsdatum und deine E-Mail-Adresse, sperren deinen QR-Code und löschen deine Wallet-Geräte-Zuordnungen sowie eine eventuelle Goldkarte. Stempel-Buchungen, Einwilligungsnachweise und Sicherheitsprotokolle bleiben ohne Namensbezug unter einer internen Kennung erhalten, solange gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen (§ 147 AO, § 257 HGB, Art. 7 Abs. 1 DSGVO).

9. Cookies

Diese Anwendung verwendet ausschließlich ein technisch notwendiges Cookie für deine Anmeldung (Name „ha_session", signierte Sitzungskennung, § 25 Abs. 2 Nr. 2 TDDDG). Es wird beim Abmelden gelöscht und läuft spätestens nach 30 Tagen ab. Darüber hinaus speichern wir für dein Mitgliedskonto keine Informationen auf deinem Gerät und lesen keine aus; deine Wallet-Karte liegt ausschließlich in der Wallet-App deines Geräts. Im Kassen-Bereich für unser Personal wird lediglich eine Scanner-Einstellung lokal im Browser gemerkt. Es gibt kein Tracking, keine Werbe-Cookies und keine Einbindung von Drittanbieter-Diensten; Schriften werden von unserem eigenen Server geladen. Deshalb ist kein Cookie-Banner erforderlich.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

Deine Werbe-Einwilligungen (Angebote per E-Mail, Aktionshinweise auf der Wallet-Karte) kannst du jederzeit mit Wirkung für die Zukunft widerrufen — direkt in deinem Profil oder per Nachricht an club@hakanabi.de; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO). Name, Postleitzahl und Geburtsdatum änderst du im Profil selbst; dein Konto kannst du dort auch löschen. Für eine Änderung deiner E-Mail-Adresse und alle anderen Anliegen schreib uns an club@hakanabi.de.

Keine automatisierten Entscheidungen: Wir treffen keine Entscheidungen, die allein auf einer automatisierten Verarbeitung beruhen und für dich rechtliche Wirkung haben oder dich ähnlich stark beeinträchtigen (Art. 22 DSGVO). Es findet kein Profiling statt. Stempel und Prämien werden nur gezählt; die Goldkarte und eine Kontosperrung vergeben bzw. entscheiden wir persönlich, nicht automatisch.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI).