Remember-Me: Stammkunden ohne Ausweis
Wer jeden Abend sein Getränk holt, will nicht jeden Abend den Ausweis auflegen. Deshalb kann man sich am Automaten als Stammkunde merken lassen – freiwillig, nur auf diesem Gerät, und ohne dass ein Foto gespeichert wird.
Stammkunde werden: nur nach einer echten Prüfung
Das Angebot kommt erst, wenn die Altersprüfung schon bestanden ist – per Ausweis-Chip oder ID Austria, und nur ab 18. Wer „Stammkunde werden“ antippt, schaut noch einmal kurz in die Kamera. Das Handy vergleicht dieses Gesicht mit dem Foto aus dem Ausweis-Chip bzw. aus ID Austria. Passen die beiden nicht zusammen, wird nichts gespeichert.
Diese zweite Aufnahme hat einen Grund: Zwischen „Prüfung bestanden“ und „Stammkunde werden“ könnte jemand anderer vor die Kamera treten. Weil die Anmeldung ohne das Ausweisfoto gar nicht möglich ist, fällt so ein Tausch auf.
Gespeichert wird eine Zahlenreihe, kein Foto
Ein Modell auf dem Gerät rechnet das Gesicht in eine Zahlenreihe um. Als Vorlage nehmen wir das Ausweisfoto selbst: Es ist nach Passbildregeln aufgenommen, scharf, frontal, gleichmäßig ausgeleuchtet, und es ist genau das Foto, das gerade geprüft wurde. Das Foto bleibt nur im Arbeitsspeicher und ist weg, sobald der Vorgang endet.
Auf dem Gerät liegt danach pro Stammkunde:
- die Zahlenreihe, verschlüsselt mit AES-256 und einem Schlüssel, den das Gerät in seinem geschützten Schlüsselspeicher hält,
- ein Spitzname, kein echter Name,
- die Information „über 18“ und womit sie geprüft wurde,
- wann das Profil angelegt und zuletzt benutzt wurde.
Kein Name, kein Geburtsdatum, keine Dokumentnummer, keine Kaufhistorie. Stammkunde ist bei uns kein Treueprogramm, sondern nur die Aussage: Dieses Gesicht wurde an diesem Tag als volljährig geprüft. Aus der Zahlenreihe lässt sich praktisch kein erkennbares Gesicht zurückrechnen.
Die Datenbank bleibt auf dem Automaten. Sie wird nicht in die Cloud kopiert und nicht mit anderen Automaten geteilt. Wer in einem zweiten Shop Stammkunde sein möchte, meldet sich dort noch einmal an.
Der nächste Besuch: nur das Gesicht
Beim nächsten Mal tippt man auf „Stammkunde“ und schaut in die Kamera. In der neuesten Version beginnt die Erkennung schon, während das kurze Erklärvideo läuft. Das Gerät wählt aus den Bildern das frontalste aus, rechnet daraus die Zahlenreihe und vergleicht sie mit allen gespeicherten Stammkunden auf diesem Gerät. Passt eines gut genug, erscheint „Willkommen zurück“ mit dem Spitznamen – und dann kommt die Lebenderkennung: Erst wenn sie bestätigt, dass wirklich ein Mensch vor dem Automaten steht, ist der Kauf frei.
Löschen: mit einer Wischbewegung
Wer nicht mehr Stammkunde sein will, wischt auf seiner eigenen Willkommenskarte nach links und bestätigt. Das Profil wird sofort endgültig gelöscht, beim nächsten Besuch gilt wieder die volle Prüfung. Löschen kann man nur sich selbst – der Automat zeigt nie eine Liste anderer Stammkunden, also kann auch niemand fremde Profile sehen oder löschen.
Und wer einfach nicht mehr kommt, wird automatisch vergessen: 90 Tage nach dem letzten Besuch löscht der Automat das Profil von selbst. Jede erfolgreiche Erkennung setzt die Frist neu. Wer regelmäßig kommt, bleibt Stammkunde. Wer drei Monate wegbleibt, nicht.
Was wir bewusst nicht bauen
Eine zentrale Gesichtsdatenbank, die Stammkunden über alle Automaten hinweg erkennt, wäre technisch nur ein Speicherwechsel. Wir haben sie nicht gebaut und planen sie nicht. Gesichtsdaten, die das Gerät verlassen, wären eine andere Datenschutzlage – und ein Grund mehr, warum der Automat gar nicht wissen will, wer Sie sind. Ihm reicht: volljährig, schon einmal geprüft, wirklich hier.