GDPR för kundklubb och stämpelkort: checklista 2026

För en kundklubb eller ett stämpelkort kräver GDPR att du har en rättslig grund för varje sak du gör med uppgifterna, att du bara samlar in det du behöver, att du berättar för kunden vad som händer med uppgifterna och att du raderar dem när de inte längre behövs. Vill du skicka erbjudanden via e-post eller sms kräver marknadsföringslagen dessutom som huvudregel kundens samtycke i förväg.

Det är du som driver verksamheten som är personuppgiftsansvarig för medlemmarnas uppgifter, även när de ligger hos en leverantör. Checklistan är skriven för ett café, en salong eller en butik i Sverige med en kundklubb eller ett digitalt lojalitetskort.

Vilka personuppgifter en kundklubb brukar innehålla

Även ett enkelt stämpelkort i mobilen blir en liten kunddatabas. Typiskt innehåller den:

• Namn och ett kort- eller medlemsnummer.
• Kontaktuppgifter som e-postadress och telefonnummer, om du ber om dem.
• Födelsedag, om du ger födelsedagsförmåner.
• Historik: när kunden fick stämplar, vid vilken plats och vilka belöningar som har lösts in.
• Om kunden har sagt ja eller nej till marknadsföring, och när.

GDPR gäller fullt ut även om klubben bara har ett par hundra medlemmar.

Rättslig grund på vanlig svenska

GDPR har sex rättsliga grunder. För en kundklubb hos ett småföretag är det i praktiken tre som spelar roll, och du ska bestämma vilken som gäller innan du börjar samla in något.

Avtal: själva medlemskapet

När kunden går med och godkänner villkoren uppstår ett avtal: du lovar en belöning när kortet är fullt. För att hålla det löftet behöver du veta vems kortet är och hur många stämplar det har. Den behandlingen kan bygga på avtalet. IMY påpekar att grunden bara räcker för det som är nödvändigt för avtalet. Uppgifter utöver det, som intressen eller preferenser, behöver en annan grund.

Samtycke: marknadsföring via e-post och sms

Marknadsföringslagen 19 § säger att du får marknadsföra till privatpersoner via elektronisk post bara om de har samtyckt i förväg. Elektronisk post omfattar enligt lagens definition även sms. Ett giltigt samtycke ska enligt IMY vara frivilligt, specifikt, informerat och otvetydigt. Det betyder en kryssruta som inte är förkryssad, separat från godkännandet av villkoren, och att det ska vara lika lätt att ta tillbaka samtycket som att lämna det.

Undantaget för befintliga kunder

Samma paragraf har ett undantag. Om du fick kundens e-postadress i samband med att du sålde något till hen, får du skicka marknadsföring om dina egna, likartade produkter utan samtycke, under tre villkor: kunden har inte sagt nej, det gäller dina egna liknande produkter och kunden får en tydlig, kostnadsfri och enkel möjlighet att tacka nej både när adressen samlas in och i varje utskick. Enligt 20 § ska varje marknadsföringsmejl dessutom innehålla en giltig adress dit mottagaren kan skicka en begäran om att utskicken ska upphöra.

Det är inte självklart att en anmälan till en gratis kundklubb räknas som en försäljning. Det enklaste och säkraste för en liten verksamhet är därför att be om ett uttryckligt samtycke i anmälningsformuläret.

Intresseavvägning: med rätt för kunden att säga nej

Intresseavvägning kan vara grunden för till exempel uppföljning av hur medlemmarna använder klubben. IMY skriver att även direktmarknadsföring kan vara ett berättigat intresse, men för e-post och sms gäller ändå marknadsföringslagens krav ovan. Avvägningen ska göras och dokumenteras innan du börjar. Rätten att invända mot direktmarknadsföring är enligt IMY absolut: säger kunden nej måste du sluta.

Uppgiftsminimering: be om mindre

Principen om uppgiftsminimering innebär att du bara får samla in uppgifter som är relevanta och nödvändiga för ändamålet. IMY skriver uttryckligen att det inte är tillåtet att samla in uppgifter för eventuella framtida behov. Frågan att ställa för varje fält i formuläret är: vad ska jag använda det här till, och när?

I Stampioo krävs ett namn för att kortet ska fungera. E-post, telefonnummer och födelsedag är valfria fält som du själv väljer om kunden ska fylla i, och du kan slå på en separat ruta för marknadsföringssamtycke. Kunden ser exakt vad hen delar när hen går med. Hur du väljer fält i praktiken beskriver vi i Starta kundklubb utan app.

Information att ge vid anmälan

När du samlar in uppgifterna ska kunden få veta följande, enligt IMY:s sammanställning av rätten till information:

• Vem som är personuppgiftsansvarig och hur man kontaktar dig.
• Varför uppgifterna behandlas och med vilken rättslig grund.
• Vilka som tar emot uppgifterna, till exempel leverantören av kundklubbssystemet.
• Hur länge uppgifterna sparas.
• Kundens rättigheter, och rätten att klaga hos IMY.
• Hur man tar tillbaka ett samtycke.
• Om uppgifter förs över till ett land utanför EU och EES.

Det behöver inte stå allt i själva formuläret. En kort text vid anmälan med en länk till en fullständig integritetstext fungerar bra. I Stampioo godkänner kunden både Stampioos villkor och dina villkor för lojalitetsprogrammet när hen hämtar kortet, och dina villkor visas också på kortets baksida.

Lagring och radering

Uppgifter får inte sparas längre än de behövs för ändamålet, och därefter ska de raderas eller anonymiseras. GDPR anger ingen fast tid, så du behöver bestämma en själv. Din salong kan till exempel bestämma att medlemmar som inte har varit på besök på två år rensas en gång per år. Skriv in regeln i integritetstexten och följ den.

Kvitton och annat bokföringsunderlag har egna lagkrav på hur länge de ska sparas. Håll dem åtskilda från klubbens medlemsregister. I Stampioo kan du radera en kunds namn och kontaktuppgifter permanent från kundvyn, vilket också avslutar kundens lojalitetskort.

Kundens rättigheter

Medlemmarna har rätt att få veta vilka uppgifter du har om dem och få en kopia, att få fel rättade, att få uppgifterna raderade, att begränsa behandlingen i vissa fall, att invända och att få ut uppgifter de själva har lämnat i ett användbart format. Du ska normalt svara inom en månad. Tiden kan förlängas med två månader, men då ska kunden få veta det och varför inom den första månaden.

Hur viktigt det är att göra det lätt att säga nej till reklam visar IMY:s beslut mot H&M. Myndigheten konstaterade att bolaget inte slutade med direktmarknadsföring utan onödigt dröjsmål när kunder invände, och att det saknades rutiner som gjorde det enkelt att invända. Sanktionsavgiften blev 350 000 kronor. En liten verksamhet behöver inget avancerat system, men en rutin: vem läser begäranden, var noteras de och vem raderar.

Leverantörens roll: personuppgiftsbiträde

När en tjänst lagrar medlemmarnas uppgifter åt dig är leverantören personuppgiftsbiträde och du personuppgiftsansvarig. Biträdet får bara behandla uppgifterna för din räkning och enligt dina instruktioner, men ansvaret för att reglerna följs ligger kvar hos dig. Ta därför reda på hur leverantören beskriver sin roll, hur uppgifterna skyddas, vilka underleverantörer som används och vad som händer med uppgifterna när du slutar använda tjänsten.

Hos Stampioo framgår rollerna av användarvillkoren: verksamheten är personuppgiftsansvarig för sina kunders uppgifter och Allvia AB, som står bakom Stampioo, är personuppgiftsbiträde och behandlar uppgifterna bara för att tillhandahålla tjänsten. Säger du upp tjänsten kan dina kunder samla stämplar som vanligt till slutet av den betalda perioden. All data, även lojalitetskorten, raderas 60 dagar efter att perioden har tagit slut, och fram till dess kan du återaktivera kontot. Har du frågor om villkoren går det bra att kontakta oss.

Checklista för din kundklubb

• Skriv ner vilka uppgifter klubben samlar in och varför.
• Bestäm rättslig grund för varje ändamål innan du börjar.
• Ta bort fält i formuläret som du inte har en konkret användning för.
• Använd en ej förkryssad ruta för samtycke till marknadsföring via e-post och sms, separat från villkoren.
• Ha med en avregistreringslänk och en giltig adress i varje marknadsföringsmejl.
• Publicera en integritetstext och länka till den vid anmälan.
• Bestäm hur länge uppgifter sparas och när inaktiva medlemmar rensas.
• Ha en rutin för begäranden om tillgång, rättelse och radering, med svar inom en månad.
• Ta reda på hur leverantören beskriver sin roll som personuppgiftsbiträde och vad som händer med uppgifterna när du slutar använda tjänsten.
• För register över behandlingen. Undantaget för företag under 250 anställda gäller enligt IMY inte behandling som sker regelbundet, och IMY rekommenderar ett register för alla.
• Ge personalen tillgång bara till det de behöver, med egna inloggningar.

Mall: integritetstext för din kundklubb

Anpassa texten inom hakparentes till din verksamhet och ta bort det som inte stämmer. Låt gärna någon som kan dataskydd läsa igenom den.

[Företagsnamn], org.nr [nummer], [adress], är personuppgiftsansvarig för uppgifterna i vårt lojalitetsprogram. Du når oss på [e-post].

Vi behandlar ditt namn, ditt kortnummer och dina stämplar och belöningar för att kunna ge dig förmånerna i programmet. Grunden är avtalet mellan dig och oss när du går med. [Om du ber om det: Vi behandlar också din e-postadress, ditt telefonnummer eller din födelsedag för att [ändamål].]

Om du har kryssat i att du vill ha erbjudanden skickar vi marknadsföring till [e-post och/eller sms] med stöd av ditt samtycke. Du kan ta tillbaka samtycket när som helst via länken i varje utskick eller genom att kontakta oss.

Vi använder Stampioo, som tillhandahålls av Allvia AB, för att administrera lojalitetskorten. Allvia AB är vårt personuppgiftsbiträde och behandlar uppgifterna bara enligt våra instruktioner. Kortet sparas i Apple Wallet eller Google Wallet i din telefon. [Ange om uppgifter förs över utanför EU och EES och med vilket skydd.]

Vi sparar dina uppgifter så länge du är medlem. Om du inte har använt kortet på [tid] raderar vi dina uppgifter. Du kan också när som helst be oss radera dem.

Du har rätt att begära tillgång till, rättelse eller radering av dina uppgifter, att begränsa behandlingen, att invända mot den och att få ut uppgifter du har lämnat. Du har också rätt att klaga hos Integritetsskyddsmyndigheten (IMY).

GDPR för en kundklubb handlar mest om ordning: få uppgifter, tydlig information och en rutin för att radera. Vill du förstå begreppen bättre finns vår ordlista som reder ut skillnaden mellan stämpelkort, klippkort och kundklubb. Och när du är redo att sätta upp kortet går vår guide till ett digitalt lojalitetsprogram igenom varje steg.