KVKK-Grundsatzentscheidung 2026: Risiken bei Kundenkarten mit Telefonnummer

⏱️ Lesezeit: 12 min · 📁 Kategorie: KVKK & Digitale Compliance

KVKK-Grundsatzentscheidung 2026: Risiken bei Kundenkarten mit Telefonnummer

Die am 28. Februar 2026 im Amtsblatt veröffentlichte Entscheidung der Datenschutzbehörde,
Grundsatzentscheidung Nr. 2026/266, markiert einen wichtigen Wendepunkt für
die in der Türkei verbreiteten Kundenkartensysteme.

Nach der Entscheidung kann die Nutzung durch Dritte beim Einkauf von der Telefonnummer des Karteninhabers
oder Kartennummer,
ohne ausreichende Verifizierung als KVKK-Verstoß
gelten.

1️⃣ Worum geht es bei der Entscheidung? 🔑 Nettoergebnis:
Die bloße Angabe einer Telefon- oder Kundenkartennummer bei einer Transaktion
gilt allein nicht als sichere Verifizierung.

Kundenkartenprogramme werden im Einzelhandel zur Kundenbindung,
Kampagnensteuerung und Umsatzsteigerung verbreitet eingesetzt.

Viele Geschäfte halten es jedoch für ausreichend, an der Kasse
lediglich eine Telefonnummer anzugeben.
Dieses Modell gilt als riskant in Bezug auf KVKK.

2️⃣ Szenarien in Beschwerden bei der Kammer gesehen

• Einkaufen mit der Telefonnummer eines anderen
• Verwendung von Treuekartenpunkten durch Dritte
• Erhalt eines Rabatts ohne Kenntnis der betreffenden Person
• Abrechnung im Namen des Inhabers der Treuekarte
• Schreiben von Kunden-Transaktionsaufzeichnungen an die falsche Person

Diese Situationen verursachen fehlerhafte Datenverarbeitung und
Datensicherheitsverstöße.

📌 Typischer Ablauf eines Verstoßes:
Jemand erfährt eine Telefonnummer → nennt sie an der Kasse → die Transaktion erfolgt ungeprüft →
Rabatte oder Punkte werden verwendet -> KVKK-Verletzung tritt auf 3️⃣ Rechtsbeurteilung in Bezug auf KVKK

In der Entscheidung des Vorstands wurden insbesondere drei grundlegende Artikel der KVKK hervorgehoben.

KVKK m.4 - Allgemeine Grundsätze

Personenbezogene Daten müssen genau und aktuell sein.
Die Verarbeitung von Treuekarten-Transaktionen an die falsche Person verstößt gegen dieses Prinzip.

KVKK m.5 - Datenverarbeitungsbedingungen

Käufe ohne Wissen und Willen der betroffenen Person
können sich nicht auf die Bedingungen rechtmäßiger Datenverarbeitung stützen.

KVKK m.12 - Datensicherheit

Verantwortliche müssen zur Verhinderung rechtswidriger Datenverarbeitung
die erforderlichen technischen und organisatorischen Maßnahmen ergreifen.

📌 Kritische Erkennung:
Die Klausel „Die Karte ist personenbezogen“ im Kartenvertrag
entzieht die Verantwortung für den Verantwortlichen nicht. 4️⃣ Risiken des Handels mit Telefonnummer

Telefonnummer allein ist keine sichere Authentifizierungsmethode.
Sie kann daher von Dritten verwendet werden.

• Telefonnummern sind leicht zu erlernen
• Zahlen können geteilt werden
• Keine Authentifizierung
• Zustimmung kann nicht überprüft werden
• Falsche Kundenaufzeichnungen treten auf

📌 Kommentar von KVKK:
Die Nummer zu kennen erlaubt keine Verarbeitung im Namen dieser Person. 5️⃣ Validierungsverfahren für KVKK

Nach der Entscheidung müssen Verantwortliche
starke Verifizierungsmechanismen einrichten.

• SMS-Verifizierungscode
• Überprüfung mobiler Anwendungen
• QR-Code-Auswertung
• Überprüfung des Barcodes
• Passwort der Treuekarte

Die vorgeschlagene Methode ab 2026:

• Telefonnummer + SMS-Verifizierung
• Überprüfung mobiler Anwendungen
• Passwort der Karte

6️⃣ Risikobasierter Prüfansatz

Die Datenschutzbehörde erklärte, dass Verifizierungsmechanismen
dem Transaktionsrisiko entsprechend eingesetzt werden können.

• Treuepunkte sammeln → geringes Risiko
• Ermäßigung -> mittleres Risiko
• Treuepunkte einlösen → hohes Risiko
• Rechnung ausstellen → hohes Risiko

📌 Praktischer Ansatz:
Nicht jede Transaktion erfordert die gleiche Überprüfung.
Bei riskanten Transaktionen muss eine starke Überprüfung vorgenommen werden. 7️⃣ Anforderungen an die Einhaltung der Vorschriften für Unternehmen

Verantwortliche müssen
ihre Kundenkartensysteme überprüfen.

• Kassenabläufe analysieren
• Es müssen Kontrollmechanismen eingerichtet werden.
• Treuekarten-Software muss aktualisiert werden
• KVKK-Texte müssen überarbeitet werden
• Die Ausbildung des Personals muss durchgeführt werden

Die ursprünglich sechsmonatige Umsetzungsfrist nach Beschluss 2026/266 wurde durch den Beschluss 2026/1491 vom 22. Juli 2026 bis zum 28. Februar 2027 verlängert.

8️⃣ Der Ansatz des KVKK-Vorstands zur Treuekarte (2026)

Die Datenschutzbehörde betrachtet Kundenkartenprogramme
als Systeme zur Verarbeitung personenbezogener Daten.

Daher sind Loyalty Card Systeme nicht nur Marketing-Tools,
sondern müssen auch als Datensicherheitsinfrastruktur behandelt werden.

9️⃣ KVKK-Checkliste zur Einhaltung der Vorschriften

• ✔ Überprüfungsmechanismus
• ✔ SMS-Verifikationssystem
• ✔ Sicherheitsanalyse der Treuekarte
• ✔ Aktualisierung des KVKK-Prozesses
• ✔ Ausbildung des Personals
• ✔ Maßnahmen zur Datensicherheit

🧠 Expertenergebnis

Kundenkartensysteme gehören zu den risikoreichen
Datenverarbeitungstätigkeiten nach der KVKK.

Ältere Systeme, die Transaktionen allein anhand einer Telefonnummer durchführen,
sind mit dem KVKK-Ansatz von 2026 unvereinbar geworden.

Richtig strukturierte Treueprogramme reduzieren beide das Strafrisiko
und erhöhen das Kundenvertrauen.

KVKK-Compliance-Analyse für Kundenkarten anfragen