Kundendaten im Laden aufbewahren: Einwilligung, Zugriff und Löschung

Anleitungen · 2026-10-02 · 6 Min. Lesezeit

Die Telefonnummer einer Kundin für Punkte oder Kasbon ist ein personenbezogenes Datum. Was das indonesische PDP-Gesetz und ähnliche Gesetze in Südostasien verlangen, in Alltagssprache.

Schon eine Telefonnummer ist ein personenbezogenes Datum

Ein Laden, der Kunden für Mitgliedspunkte oder Kasbon registriert, speichert ihren Namen und ihre Telefonnummer. In Indonesien sind solche Daten durch das Gesetz Nr. 27 von 2022 über den Schutz personenbezogener Daten geschützt. Nachbarländer haben ähnliche Regeln: den PDPA in Malaysia, Singapur, Thailand und Taiwan, den Data Privacy Act auf den Philippinen und das vietnamesische Datenschutzgesetz, das seit dem 1. Januar 2026 gilt.

Der Kern ist ähnlich: um Einwilligung bitten, nur das Nötige aufbewahren, den Zugriff schützen und Kunden einen Weg geben, die Löschung ihrer Daten zu verlangen.

Um Einwilligung bitten und sie festhalten

In Lamxo kann ein Kunde erst registriert werden, nachdem seine Einwilligung erfasst wurde: wann, durch welche Kassenkraft und mit welcher Fassung des Einwilligungstexts, in der Sprache des Outlets. Ohne Einwilligung lassen sich Kundendaten nicht speichern. Auch die gespeicherten Daten sind begrenzt: Name, Telefonnummer, E-Mail falls vorhanden, Kaufverlauf, Punkte und Kasbon.

Nicht jede Kassenkraft muss jeden Kunden sehen. Der Zugriff auf die Kundenliste wird über eine eigene Berechtigung gesteuert, und jeder Export und jede Löschung von Kundendaten wird im Prüfprotokoll festgehalten.

Wenn ein Kunde die Löschung seiner Daten verlangt

Sie können die Daten eines Kunden exportieren und löschen. Löschen bedeutet, dass Name, Telefonnummer und E-Mail geleert werden, während die Verkaufsaufzeichnungen bestehen bleiben, weil Steuer- und Geldaufzeichnungen aufbewahrt werden müssen. Hat der Kunde noch offenes Kasbon, wird die Löschung mit einem klaren Grund abgelehnt, bis das Kasbon beglichen ist.

Bei einer Datenpanne

Das indonesische PDP-Gesetz verlangt eine Benachrichtigung der Betroffenen und der Behörde spätestens 3×24 Stunden nach Entdeckung einer Datenpanne; einige andere Länder nutzen eine Frist von 72 Stunden. In dieser Beziehung sind Sie als Laden der Verantwortliche, und PT Izaaja Solusi Digital als Anbieter der App ist der Auftragsverarbeiter. Wir informieren Sie so schnell wie möglich, damit Sie Zeit haben, diese Frist einzuhalten.

Die Grenzen

Dieser Artikel ist eine allgemeine Zusammenfassung, keine Rechtsberatung. Die Meldefristen bei Datenpannen in Malaysia, Vietnam, den Philippinen und Taiwan haben wir nicht anhand ihrer amtlichen Texte bestätigt, daher nennen wir sie hier nicht.