Kassendaten für erfolgreiches Marketing nutzen – mit Blick auf die DSGVO

Die wertvollsten Marketinginformationen liegen oft nicht in teuren Analysetools, sondern bereits im eigenen Kassensystem: Welche Produkte werden besonders häufig gekauft? Welche Artikel landen regelmäßig gemeinsam im Warenkorb? Wann ist am meisten los – und welche Kundinnen und Kunden kommen immer wieder?

Richtig ausgewertet, helfen diese Daten dabei, Angebote gezielter zu planen, Kunden besser zu verstehen und langfristige Kundenbeziehungen aufzubauen. Sobald Kassendaten jedoch einer bestimmten Person zugeordnet werden, müssen Datenschutz und rechtliche Rahmenbedingungen von Anfang an mitgedacht werden.

In diesem Beitrag erfahren Sie, welche Möglichkeiten Kassendaten für Ihr Marketing bieten und welche grundlegenden Datenschutzregeln Betriebe in Österreich beachten sollten.

Was Kassendaten über Ihr Geschäft verraten

Auch ohne personenbezogene Kundendaten liefert ein modernes Kassensystem wertvolle Erkenntnisse. Typische Auswertungen zeigen beispielsweise:

• Topseller und Ladenhüter in bestimmten Zeiträumen,
• saisonale Veränderungen im Kaufverhalten,
• häufig gemeinsam gekaufte Produkte,
• durchschnittliche Warenkorbwerte,
• besonders umsatzstarke Tage und Uhrzeiten,
• Unterschiede zwischen Standorten oder Verkaufsbereichen.

Solche Berichte helfen dabei, Entscheidungen nicht nur aus dem Bauchgefühl heraus zu treffen. Aktionen können zu den tatsächlich passenden Zeiten geplant, Produktkombinationen sinnvoll zusammengestellt und Personaleinsätze besser auf Stoßzeiten abgestimmt werden.

Ein Café könnte beispielsweise erkennen, dass am Freitagnachmittag besonders häufig Kaffee und Kuchen gemeinsam bestellt werden. Statt eine beliebige Rabattaktion zu starten, kann es daraus ein zeitlich begrenztes Freitagsangebot entwickeln und anschließend anhand der Kassendaten überprüfen, ob die Aktion tatsächlich erfolgreich war.

Anonyme Auswertungen und personenbezogene Daten unterscheiden

Solange eine Auswertung tatsächlich anonym ist und keine Rückschlüsse auf einzelne Personen zulässt, stehen vor allem betriebswirtschaftliche Erkenntnisse im Mittelpunkt.

Anders sieht es aus, wenn Käufe einem Kundenkonto, einer Kundenkarte, einer E-Mail-Adresse oder einer anderen identifizierbaren Person zugeordnet werden. Dann handelt es sich um personenbezogene Daten und die Vorgaben der DSGVO sind zu beachten.

Auch pseudonymisierte Daten bleiben grundsätzlich personenbezogene Daten, wenn eine Zuordnung mithilfe zusätzlicher Informationen weiterhin möglich ist. Werden Kaufhäufigkeit, Interessen oder Lieblingsprodukte einzelner Personen automatisiert analysiert, kann außerdem eine Form des Profilings vorliegen.

Vom Kassenbericht zum Stammkunden-Marketing

Mit Kundenkonten oder Kundenkarten können Betriebe zusätzliche Funktionen anbieten, etwa:

• Punkte- und Bonusprogramme,
• digitales Guthaben,
• individuelle Rabatte,
• Geburtstagsaktionen,
• exklusive Angebote für Stammkunden,
• Informationen über passende Produkte oder Dienstleistungen.

Dabei sollten Kundenbindungsprogramm und Werbeeinwilligung voneinander getrennt betrachtet werden. Die Teilnahme an einem Bonusprogramm bedeutet nicht automatisch, dass die Person auch einen Newsletter oder personalisierte Werbung erhalten möchte.

Für jede Verwendung der Kundendaten muss deshalb festgelegt werden, zu welchem Zweck die Daten verarbeitet werden und auf welcher Rechtsgrundlage dies geschieht. Je nach konkretem Anwendungsfall können beispielsweise die Vertragserfüllung, eine Einwilligung, eine gesetzliche Verpflichtung oder ein berechtigtes Interesse infrage kommen.

Die wichtigsten Datenschutzregeln im Alltag

1. Einen klaren Zweck festlegen

Daten sollten nur für vorher festgelegte und nachvollziehbare Zwecke erhoben werden.

Wer eine E-Mail-Adresse ausschließlich für die Zusendung eines digitalen Belegs erhält, darf sie nicht automatisch auch für Werbenachrichten verwenden. Kassen-, Buchhaltungs- und Marketingdaten sollten deshalb technisch und organisatorisch sauber voneinander getrennt werden.

2. Nur notwendige Daten erheben

Für ein einfaches Kundenkonto sind möglicherweise Name und E-Mail-Adresse ausreichend. Geburtsdatum, Telefonnummer oder Adresse sollten nur abgefragt werden, wenn diese Angaben für eine konkrete Funktion tatsächlich benötigt werden.

Je weniger personenbezogene Daten erhoben werden, desto geringer sind Verwaltungsaufwand und Datenschutzrisiko.

3. Kundinnen und Kunden transparent informieren

Bereits bei der Datenerhebung sollte verständlich erklärt werden:

• welche Daten verarbeitet werden,
• wofür die Daten verwendet werden,
• auf welcher Rechtsgrundlage die Verarbeitung erfolgt,
• wie lange die Daten gespeichert werden,
• wer Zugriff darauf erhält,
• welche Rechte die betroffene Person hat.

Eine gut erreichbare Datenschutzerklärung kann diese Informationen bereitstellen. Ein bloßer Link ohne verständliche Erklärung des konkreten Vorgangs reicht jedoch nicht immer aus.

4. Einwilligungen eindeutig dokumentieren

Wird eine Verarbeitung auf eine Einwilligung gestützt, muss diese freiwillig, informiert, eindeutig und für einen bestimmten Zweck erfolgen. Vorab aktivierte Checkboxen sollten nicht verwendet werden.

Für Newsletter empfiehlt sich in der Praxis ein Double-Opt-in-Verfahren. Dabei wird die Anmeldung erst bestätigt, nachdem die Person einen Link in einer Bestätigungs-E-Mail aufgerufen hat. Dadurch lässt sich die Einwilligung besser nachweisen und der Missbrauch fremder E-Mail-Adressen reduzieren. Die österreichische Datenschutzbehörde hat sich bereits mit einem Fall befasst, in dem ein fehlendes Double-Opt-in-Verfahren als unzureichende Datensicherheitsmaßnahme beurteilt wurde.

5. Regeln für Werbe-E-Mails beachten

Für elektronische Direktwerbung ist in Österreich grundsätzlich eine vorherige Einwilligung erforderlich.

Für bestehende Kunden sieht § 174 Abs. 4 TKG 2021 unter engen Voraussetzungen eine Ausnahme vor. Diese kann insbesondere dann relevant sein, wenn die Kontaktdaten im Zusammenhang mit einem Verkauf oder einer Dienstleistung erhoben wurden, ausschließlich eigene ähnliche Produkte oder Dienstleistungen beworben werden und die betroffene Person sowohl bei der Datenerhebung als auch in jeder Nachricht einfach und kostenlos widersprechen kann.

Ob diese Ausnahme im konkreten Fall greift, sollte sorgfältig geprüft werden. Die bloße Tatsache, dass jemand bereits einmal etwas gekauft hat, erlaubt nicht automatisch jede Form von E-Mail-Werbung.

6. Abmeldung und Widerspruch einfach ermöglichen

Jede Werbenachricht sollte eine gut sichtbare, kostenlose und unkomplizierte Möglichkeit zur Abmeldung enthalten – in der Praxis üblicherweise über einen funktionierenden Abmeldelink.

Widerspricht eine Person der Verarbeitung ihrer Daten für Direktwerbung, dürfen ihre Daten nicht weiter für diesen Zweck verwendet werden. Dieses Widerspruchsrecht gilt auch für Profiling, soweit es mit der Direktwerbung zusammenhängt.

7. Auskunft, Berichtigung und Löschung ermöglichen

Kundinnen und Kunden können unter anderem Auskunft darüber verlangen, welche personenbezogenen Daten über sie verarbeitet werden. Unrichtige Daten müssen berichtigt werden können.

Auch eine Löschung kann verlangt werden. Das bedeutet jedoch nicht, dass sämtliche Informationen immer sofort entfernt werden dürfen. Gesetzliche Aufbewahrungspflichten, etwa für bestimmte Buchhaltungs- oder Geschäftsunterlagen, können einer vollständigen Löschung entgegenstehen.

Das Kassensystem beziehungsweise die angeschlossene Kundenverwaltung sollte daher zwischen Daten unterscheiden können, die weiterhin gesetzlich aufbewahrt werden müssen, und Daten, die nicht mehr für Marketingzwecke verwendet werden dürfen.

Praktisch umsetzen: klein und kontrolliert beginnen

Für den Einstieg ist keine komplizierte Marketingautomatisierung notwendig. Sinnvoller ist ein klarer, schrittweiser Aufbau:

1. Zunächst anonyme Kassenberichte auswerten.
2. Ein einfaches und verständliches Kundenprogramm definieren.
3. Einwilligungen und Widersprüche nachvollziehbar dokumentieren.
4. Mit wenigen, relevanten Kundensegmenten beginnen.
5. Aktionen aus tatsächlichen Kaufdaten ableiten.
6. Den Erfolg jeder Aktion anhand von Umsatz, Warenkorbwert oder Wiederkaufsrate auswerten.

Eine erste Segmentierung könnte beispielsweise zwischen Neukunden, regelmäßigen Stammkunden und länger inaktiven Kunden unterscheiden. Dabei sollte jedoch immer geprüft werden, ob die jeweilige Verarbeitung datenschutzrechtlich zulässig ist und ob die betroffenen Personen transparent informiert wurden.

Fazit

Marketing mit Kassendaten bedeutet: weniger vermuten und mehr auf tatsächliches Kaufverhalten reagieren.

Anonyme Berichte helfen bereits dabei, Sortiment, Aktionen und Personaleinsatz zu verbessern. Kundenkonten und Bonusprogramme eröffnen zusätzliche Möglichkeiten für eine langfristige Kundenbindung – bringen jedoch auch datenschutzrechtliche Verantwortung mit sich.

Wer klare Zwecke definiert, nur notwendige Daten erhebt, Einwilligungen sauber dokumentiert und Widersprüche zuverlässig berücksichtigt, schafft eine gute Grundlage für nachhaltiges Stammkunden-Marketing.

Wie Kassensystem, Kundenverwaltung und Marketingprozesse sinnvoll zusammenspielen können, zeigen wir Ihnen gerne in einem kostenlosen Erstgespräch mit Lonio.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Datenschutzberatung. Die rechtliche Beurteilung hängt vom konkreten Geschäftsmodell, den verwendeten Daten und den jeweiligen Marketingmaßnahmen ab. Für eine verbindliche Prüfung wenden Sie sich bitte an eine qualifizierte Rechts- oder Datenschutzberatung.