DSGVO bei Cashless-Vending.

Am Automaten entstehen pro Transaktion vier Datentypen: erstens eine Chip- oder Konto-ID, die das auslösende Medium identifiziert (z. B. eine MIFARE-DESFire- EV2-Seriennummer oder ein Mitarbeiter-Konto-Token). Zweitens ein Zeitstempel. Drittens das gewählte Produkt (z. B. „Cappuccino, klein"). Viertens — sofern aktiviert — eine Standort-Kennung des Automaten.

Personenbezogen wird das Ganze erst durch die Verknüpfung der Chip-ID mit einem konkreten Mitarbeiter im Cloud-Panel des Arbeitgebers. Auf dem Automaten selbst und in den Konteo-Servern liegt die Chip-ID nur pseudonymisiert vor — eine Rückführung auf die Person ist ohne Zugang zum Personalverzeichnis des Arbeitgebers nicht möglich. Das ist eine klassische Pseudonymisierung im Sinne des Art. 4 Nr. 5 DSGVO und reduziert das Risiko bei einem etwaigen Datenleck erheblich.

Bewusst nicht erhoben werden bei Konteo: vollständige Mitarbeiter- Klarnamen am Automaten, Geburtsdatum, Kontodaten, Standort-Bewegungsprofile außerhalb der Transaktion und Foto- oder Audio-Aufnahmen. Die Hardware ist eine reine Cashless-Authentifizierung — keine Überwachungs-Plattform.

Eine häufige Sorge betrifft die Granularität der Transaktions-Logs. Theoretisch könnte aus „Mitarbeiter X kauft täglich um 09:15 zwei Cappuccinos und um 14:30 eine Cola" ein Bewegungs- und Konsum-Profil rekonstruiert werden. Konteo begegnet dem mit zwei Maßnahmen: erstens werden Transaktionen am Cloud-Panel standardmäßig nur als aggregierte Monatssumme pro Mitarbeiter angezeigt; Einzel-Transaktionen sind nur in der Reklamations- und Support-Sicht zugänglich und unterliegen einer 90-Tage-Klartextfrist. Zweitens kann der Verantwortliche die Granularität in den Panel-Einstellungen weiter reduzieren — bis hin zu vollständig anonymen Daily-Aggregaten pro Standort, die keinerlei Personenbezug mehr enthalten.

Eine technische Besonderheit ist der Offline-Buffer im Modul: bei Verbindungsabbruch (z. B. eSIM-Funkloch) puffert die Hardware bis zu 48 Stunden lokale Transaktionen verschlüsselt und überträgt sie nach Verbindungsaufnahme. Das schließt einen Datenverlust aus, ohne dass dauerhaft personenbezogene Daten auf der Hardware liegen — sobald die Übertragung bestätigt ist, wird der Puffer gelöscht.

Die Rollenverteilung nach Art. 4 Nr. 7 + 8 DSGVO ist klar: der Arbeitgeber (also das Unternehmen, das die Cashless-Lösung für seine Mitarbeiter einführt) ist Verantwortlicher. Er entscheidet über Zwecke und Mittel der Verarbeitung — wer einen Chip erhält, welche Zuschüsse gelten, wie lange die Daten gespeichert werden.

Konteo ist Auftragsverarbeiter — der Anbieter führt die Verarbeitung weisungsgebunden im Auftrag des Verantwortlichen aus. Die Bindung an die Weisungen läuft formal über den Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO; ein Mustertext liegt bereits unter /auftragsverarbeitung und ist Bestandteil jedes Konteo-Hauptvertrags.

Der Vending-Operator (also der dritte Akteur, der die Hardware physisch betreibt und wartet) ist je nach Setup entweder weiterer Auftragsverarbeiter oder rein technischer Dienstleister ohne Datenkontakt. Auf Konteo-Architekturen mit Cloud-Panel hat der Operator standardmäßig keinen Zugriff auf personenbezogene Transaktionsdaten — der Verantwortliche (Arbeitgeber) bleibt allein in der Hoheit.

Eine oft übersehene Konstellation ist die gemeinsame Verantwortlichkeit (Joint Controllership) nach Art. 26 DSGVO. Sie greift, wenn zwei Parteien gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden. Im Vending kommt das selten vor — typischerweise nur bei kollaborativen Setups (z. B. zwei Konzern-Töchter, die einen Standort gemeinsam betreiben). Wer eine solche Konstellation aufsetzt, braucht zusätzlich zur Datenschutzerklärung eine transparente Vereinbarung, die den Betroffenen zugänglich gemacht wird.

Bei Cashless-Lösungen für Mitarbeiter ist außerdem die Mitbestimmung des Betriebsrats nach § 87 BetrVG zu beachten. Wer Cashless einführt, führt eine technische Einrichtung ein, die das Verhalten oder die Leistung der Beschäftigten zu überwachen geeignet ist — auch wenn das nicht beabsichtigt ist. Eine Betriebsvereinbarung zu Zwecken, Datenkategorien, Aufbewahrung und Löschmechanismen ist deshalb in Unternehmen mit Betriebsrat ratsam und meist erforderlich. Konteo stellt eine Muster-Betriebsvereinbarung als Bestandteil des Onboardings zur Verfügung.

Art. 28 Abs. 3 DSGVO listet zehn Pflichtinhalte, die jeder AVV enthalten muss — sonst ist die Auftragsverarbeitung datenschutzrechtlich nicht abgesichert. Im Vending-Kontext heißt das konkret:

• Gegenstand, Art und Zweck der Verarbeitung (z. B. „Cashless-Bezahlvorgang am Automaten + Abrechnungs-Export an Lohnbuchhaltung").
• Dauer der Verarbeitung (typischerweise Vertragslaufzeit + gesetzliche Aufbewahrungsfristen).
• Art der personenbezogenen Daten (Chip-ID, Transaktions-Zeitstempel, Produkt, ggf. Mitarbeiter-Konto).
• Kategorien betroffener Personen (Mitarbeiter, ggf. Gäste mit Tagesausweisen).
• Pflichten und Rechte des Verantwortlichen (Weisungsrecht, Auditrecht).
• Weisungsgebundenheit des Auftragsverarbeiters (kein „freier" Drittnutz, keine Weitergabe an Werbenetzwerke).
• Verschwiegenheitsverpflichtung aller Personen, die im Auftrag mit den Daten umgehen.
• Technische und organisatorische Maßnahmen (TOM) — siehe nächster Abschnitt.
• Regelungen für Sub-Auftragsverarbeiter (z. B. Hosting-Anbieter, eSIM-Provider).
• Pflichten zur Unterstützung bei Betroffenenrechten und Datenschutzvorfällen.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) stellt einen offiziellen AVV-Mustertext zur Verfügung — Konteos AVV-Vorlage orientiert sich daran und wurde anwaltlich auf den Cashless-Vending-Kontext angepasst. Sub-Auftragsverarbeiter sind in der Anlage zum AVV namentlich aufgeführt (Hosting-Rechenzentren in Frankfurt und Nürnberg, eSIM-Carrier, Backup-Anbieter).

Eine wichtige Klausel betrifft die Mitteilungspflicht bei Änderung der Sub-Auftragsverarbeiter: Konteo verpflichtet sich, jede Aufnahme eines neuen Sub- Auftragsverarbeiters mindestens 30 Tage im Voraus mitzuteilen. Der Verantwortliche kann der Änderung in dieser Frist widersprechen — tut er es nicht, gilt die Änderung als akzeptiert. Diese Klausel ist nach Art. 28 Abs. 2 DSGVO Pflicht und wird in vielen „Standard"-AVVs großer US-Anbieter so verkürzt, dass das Widerspruchsrecht praktisch leerläuft. Bei Konteo ist die Frist vertraglich verankert.

Für Verantwortliche mit eigenem Datenschutz-Audit-Programm bietet Konteo zusätzlich Lese-Zugang zu den jährlichen ISO-27001-Auditberichten der Hosting-Anbieter sowie eine konsolidierte Sub-Auftragsverarbeiter-Übersicht mit allen vertraglichen DSGVO-Zusicherungen — auf Anfrage und unter Vertraulichkeit.

Art. 32 DSGVO verpflichtet Verantwortlichen und Auftragsverarbeiter, technische und organisatorische Maßnahmen (TOM) so umzusetzen, dass ein angemessenes Schutzniveau gewährleistet ist. „Angemessen" heißt: gemessen am Risiko der konkreten Verarbeitung, am Stand der Technik und an den Implementierungskosten.

Als anerkannter Maßnahmenkatalog hat sich der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) etabliert. Aufsichtsbehörden in Deutschland erkennen die Umsetzung von Grundschutz-Bausteinen regelmäßig als Beleg für Art. 32 DSGVO an. Sechs Pflichtblöcke gelten praktisch immer:

• Verschlüsselung in Übertragung und Speicherung. TLS 1.3 für jede Verbindung zwischen Modul, Cloud-Panel und Lohnabrechnungssystem; AES-128 oder stärker für Chip-Daten und Datenbank-Spalten mit personenbezogenem Inhalt.
• Zugriffskontrolle. Rollenbasierte Berechtigungen im Cloud-Panel; Multi-Faktor-Authentifizierung für Admin-Konten; physische Zugangsbeschränkungen für Hardware-Wartung.
• Pseudonymisierung. Chip-IDs nicht direkt mit Klarnamen verknüpft; die Verknüpfungs-Tabelle liegt ausschließlich beim Verantwortlichen.
• Verfügbarkeit und Belastbarkeit. Redundante Speicherung, getestete Wiederherstellungsprozeduren, SLA-Definition. Konteo dokumentiert RTO und RPO im Service-Level.
• Regelmäßige Überprüfung. Penetrations-Test mindestens jährlich; Log-Reviews; Patch-Management mit definierten Reaktionszeiten.
• Auditierbarkeit. Manipulationssichere Logs für alle Zugriffe auf personenbezogene Daten; Audit-Recht des Verantwortlichen vertraglich verankert (siehe AVV).

Praktisch heißt das für eine Cashless-Vending-Architektur: die Mitarbeiter-Chips speichern ausschließlich eine verschlüsselte Seriennummer — keine personenbezogene Information ist physisch auf dem Chip. Die Kommunikation Modul ↔ Cloud-Panel läuft ausnahmslos über TLS 1.3 mit zertifikatsbasierter Authentifizierung. Das Cloud-Panel selbst erzwingt für Admin-Accounts MFA (TOTP oder WebAuthn) und protokolliert jede Berechtigungs-Änderung sowie jeden Daten-Export in einem unveränderlichen Audit-Log, das nur Lese- Zugriff für privilegierte Konten erlaubt.

Patches an Modul-Firmware und Cloud-Panel folgen einer vierstufigen Klassifizierung : kritische Sicherheits-Patches in unter 24 Stunden, high-priority innerhalb von 7 Tagen, normale Updates im monatlichen Wartungs-Fenster, sicherheitsneutrale Feature-Updates im Quartalsrhythmus. Backups laufen täglich verschlüsselt in ein separates EU-Rechenzentrum; die Wiederherstellung wird quartalsweise unter realen Bedingungen geübt, dokumentiert und die Recovery-Time (RTO) gegen den vertraglich zugesicherten Wert geprüft.

Wer eine eigene Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erstellt — was bei systematischer Verarbeitung personenbezogener Daten von Beschäftigten oft Pflicht ist — kann die hier beschriebenen TOM eins zu eins übernehmen. Konteo liefert auf Anfrage eine maschinell prüfbare TOM-Liste im Format der BSI-IT-Grundschutz-Bausteine, die direkt in die DSFA-Vorlagen der Landesdatenschutzbehörden eingespeist werden kann.

Personenbezogene Daten dürfen nach Art. 44 ff. DSGVO grundsätzlich nur in der EU oder einem als „angemessenes Datenschutz-Niveau" anerkannten Drittland verarbeitet werden. Der Europäische Gerichtshof hat im Schrems-II-Urteil (16. Juli 2020) festgehalten, dass die USA wegen ihrer weitreichenden Überwachungsgesetze (FISA 702, EO 12333) kein angemessenes Niveau bieten. Datentransfers in die USA bleiben möglich — aber nur mit erheblichem Mehraufwand: Standardvertragsklauseln (SCC) plus Transfer-Impact-Assessment (TIA) plus ggf. ergänzende Maßnahmen.

Wer von vornherein in der EU hostet, vermeidet diese Komplexität. Konteos Server stehen in Frankfurt am Main und Nürnberg — beide Rechenzentren mit ISO-27001-zertifizierten Betreibern, EU-rechtlicher Jurisdiktion und damit ohne Schrems-II-Implikation. Die eSIMs der Cashless-Module roamen ebenfalls über EU-Carrier. Sub- Auftragsverarbeiter werden vertraglich auf EU/EWR begrenzt.

Ein zusätzliches Argument ist die Datenresidenz — die Frage, in welcher physischen Region die Daten zu jedem Zeitpunkt tatsächlich liegen. Auch bei EU-Tochtergesellschaften US-amerikanischer Cloud-Anbieter kann der Konzern-Mutter über den CLOUD Act eine Herausgabepflicht entstehen; die EU-Tochter dürfte dem zwischen den beiden Rechtsregimen nur schwer entgehen. Bei einem rein deutschen oder europäischen Anbieter existiert dieser Konflikt nicht. Initiativen wie GAIA-X und der EU-Data- Sovereignty-Frame formalisieren diese Anforderung — ohne dass sie für einen einzelnen Vending-Operator zwingend wären. Für die meisten DACH-Operatoren reicht eine vertragliche Zusage des Anbieters, dass Daten ausschließlich in EU-Rechenzentren verarbeitet werden, und eine entsprechende Sub-Auftragsverarbeiter- Liste mit Sitz-Angaben.

Konkret prüfbar ist das vor Vertragsabschluss in drei Schritten: die Sub-Auftragsverarbeiter-Liste im AVV-Anhang einsehen, die Sitz- Adressen aller dort genannten Anbieter auf EU/EWR verifizieren und eine vertragliche Klausel verlangen, die jede Standort-Verlagerung aus dem EU-Raum als ablehnungswürdige Vertragsänderung qualifiziert.

Die Aufbewahrungsdauer richtet sich nach zwei gegenläufigen Pflichten: einerseits dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) — Daten nur so lange, wie für den Zweck nötig — andererseits handels- und steuerrechtlichen Aufbewahrungspflichten. § 257 HGB verlangt für buchhalterisch relevante Belege sechs bzw. zehn Jahre Aufbewahrung; bei Vending-Cashless-Daten greift das, sobald die Daten Eingang in die Lohnabrechnung oder Umsatzsteuer-Voranmeldung finden.

Praktische Empfehlung für Konteo-Setups: Transaktions-Detaildaten (Chip-ID, Zeitstempel, Produkt) 90 Tage im Klartext für Support- und Reklamations-Anfragen; danach Aggregation auf monatliche Summen pro Mitarbeiter-Konto. Aggregierte Daten bleiben sechs Jahre für die HGB-Pflicht, werden dann gelöscht (Art. 17 DSGVO „Recht auf Vergessenwerden"). Die Lösch-Routine ist im Cloud-Panel konfigurierbar und auditierbar.

Ein häufiges Spannungsfeld entsteht zwischen Lohnabrechnungs-Pflicht und DSGVO-Speicherbegrenzung: Die Lohnbuchhaltung muss Belege zehn Jahre vorhalten, die DSGVO will dieselben Daten so früh wie möglich gelöscht sehen. Der gangbare Weg ist die Trennung: pseudonymisierte Buchungs-Summen fließen in die Lohnbuchhaltung, wo sie ihre HGB-Aufbewahrung durchlaufen; die Verknüpfung zwischen Chip-ID und Klarnamen liegt ausschließlich im Personalverzeichnis des Arbeitgebers und unterliegt dort seinen eigenen Lösch-Regeln. So bleibt der DSGVO-Schutz intakt, ohne die HGB-Aufbewahrung zu unterlaufen.

Bei einer Verletzung des Schutzes personenbezogener Daten greift Art. 33 DSGVO: Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntnis. Verantwortlich für die Meldung ist der Verantwortliche (Arbeitgeber); der Auftragsverarbeiter (Konteo) unterstützt unverzüglich mit allen relevanten technischen Informationen — diese Pflicht ist im AVV verankert.

Für Konteo-Verträge ist die zuständige Behörde das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach (Sitz Konteo: Coburg, Bayern). Verantwortliche (Arbeitgeber) melden bei ihrer eigenen zuständigen Behörde — meist das jeweilige Landesdatenschutzamt am Hauptsitz. Konteo dokumentiert jeden Vorfall in einem manipulationssicheren Incident-Log und liefert binnen 24 Stunden eine vorläufige Lagebewertung an den Verantwortlichen.

Das interne Konteo-Incident-Response-Playbook folgt vier Stufen: Erkennung (durch Monitoring-Trigger oder externe Meldung) → Eindämmung (sofortige Sperrung kompromittierter Konten, Isolation betroffener Systeme) → Forensik (Log-Auswertung, Umfang- Klärung, Betroffenen-Identifikation) → Wiederherstellung + Lessons-Learned. Jeder Schritt ist zeitlich vorgegeben; die ersten beiden müssen innerhalb von vier Stunden nach Erkennung abgeschlossen sein, damit der Verantwortliche genug Vorlauf für die eigene 72-Stunden-Meldung hat.

Zur Erinnerung: nicht jeder Sicherheits-Vorfall ist meldepflichtig. Art. 33 DSGVO verlangt die Meldung nur, wenn ein Risiko für die Rechte und Freiheiten der Betroffenen besteht — bei rein technischen Ausfällen ohne Datenleck, oder bei erfolgsverschlossenen Angriffsversuchen, entfällt sie. Die Risikoabwägung muss aber dokumentiert sein und im Auditfall vorgelegt werden können. Konteo führt für jeden Vorfall ein einheitliches Bewertungsraster, das die Schwellen-Kriterien des European Data Protection Board (EDPB-Guidelines 9/2022) anwendet.

Das Digitale-Dienste-Gesetz (DDG) ist 2024 in Kraft getreten und löst zusammen mit dem TTDSG das frühere TMG ab. Für Anbieter von Telemediendiensten — und das Cloud-Panel von Konteo ist einer — gelten unter anderem die Impressums-Pflichten nach § 5 DDG und die Cookie- bzw. Tracking-Einwilligungs-Pflichten nach § 25 TTDSG.

Konteo erfüllt das ohne Aufwand für den Endkunden: das Panel setzt keine Tracking-Cookies, hat keine Werbenetzwerk-Integration und benötigt keine Einwilligungs-Banner. Pflicht-Impressums-Inhalte stehen unter /impressum; die vollständige Datenschutzerklärung unter /datenschutz.

Eine Differenzierung lohnt sich an dieser Stelle zwischen drei getrennten Konteo-Komponenten und ihren jeweiligen DDG-Pflichten. Das Cashless-Modul am Automaten ist ein eingebettetes System ohne Webbrowser-Schnittstelle; es löst keine DDG-Pflichten aus. Das Cloud-Panel ist ein authentifiziertes B2B-SaaS — hier greifen die Pflichten zu Impressum, Datenschutzerklärung und Einwilligungs-Mechanik, aber deutlich reduziert: ohne Tracking entfällt der Cookie-Banner- Aufwand vollständig. Die Marketing-Website konteo.de ist statisch, setzt keine Tracking-Pixel und arbeitet ohne Analytics — Impressum und Datenschutzerklärung sind dort die einzigen DDG-/TTDSG-Verpflichtungen.

Was bedeutet das praktisch für eine Migration?

Wer eine bestehende Cashless- oder Münz-Lösung auf Konteo migriert, folgt aus DSGVO-Sicht einer einfachen Sequenz: erst die Rechtsgrundlage klären (regelmäßig Einwilligung der Mitarbeiter und/oder Betriebsvereinbarung), dann den AVV unterschreiben (in dieser Reihenfolge — der AVV setzt eine wirksame Verarbeitungs-Grundlage voraus), die TOM-Liste an die eigene DSFA anhängen, und parallel die Datenschutzerklärung um den neuen Verarbeitungs-Block ergänzen. Anschließend wird die Hardware installiert, die Mitarbeiter-Chips ausgegeben und ein Test-Lauf mit ein bis zwei Standorten gefahren.

Dieser Ablauf ist in der Regel innerhalb von zwei bis vier Wochen erledigt — auch in Unternehmen mit aktivem Betriebsrat. Konteo unterstützt mit Mustertexten für Betriebsvereinbarung, AVV-Anhang und Mitarbeiter-Information; ein Rechtsgutachten durch einen eigenen Anwalt bleibt empfohlen, ist aber bei einer Standard- Konstellation meist auf eine Schluss-Prüfung beschränkt.