Gibt mein Zahlungsanbieter (z. B. PayPal, Stripe) unzulässig Daten an Dritte weiter?

Ja, PayPal, Stripe und andere Zahlungsdienstleister übermitteln beim Checkout Daten an Dritte. Ob diese Weitergabe zulässig ist, hängt davon ab, welche Daten zu welchem Zweck übertragen werden und ob eine ausreichende Rechtsgrundlage nach der DSGVO vorliegt. Als Website-Betreiber tragen Sie dabei eine eigene Verantwortung, die über das bloße Einbinden eines Zahlungs-Plugins hinausgeht. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um das Thema Zahlungsanbieter und Datenschutz.

Welche Daten übermitteln PayPal und Stripe beim Checkout?

PayPal und Stripe übermitteln beim Checkout eine Reihe personenbezogener und transaktionsbezogener Daten. Dazu gehören Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsinformationen sowie technische Daten wie IP-Adresse und Browser-Informationen. Diese Daten werden an die Server der Zahlungsdienstleister übertragen, die ihren Sitz teils außerhalb der EU haben.

Im Einzelnen verarbeiten diese Anbieter typischerweise folgende Datenkategorien:

• Identifikationsdaten: Name, E-Mail-Adresse, Lieferanschrift
• Zahlungsdaten: Kreditkartennummer (bei Stripe in tokenisierter Form), Kontoverbindungen, Transaktionsbeträge
• Gerätedaten: IP-Adresse, Browser-Typ, Betriebssystem, Zeitstempel
• Verhaltensdaten: Klickverhalten auf der Checkout-Seite, Sitzungsdaten

Besonders relevant aus datenschutzrechtlicher Sicht ist, dass beide Anbieter diese Daten nicht ausschließlich zur Zahlungsabwicklung nutzen. PayPal etwa behält sich vor, Daten für eigene Analysezwecke, Betrugsprävention und Produktverbesserungen zu verwenden. Stripe verarbeitet Daten ebenfalls zu eigenen Zwecken und kann Informationen an Subprozessoren weitergeben. Beide Unternehmen haben ihren Hauptsitz in den USA, was zusätzliche datenschutzrechtliche Anforderungen mit sich bringt.

Was gilt laut DSGVO als unzulässige Datenweitergabe an Dritte?

Eine Datenweitergabe an Dritte ist nach der DSGVO unzulässig, wenn keine gültige Rechtsgrundlage gemäß Art. 6 DSGVO vorliegt, die Weitergabe über den ursprünglichen Verarbeitungszweck hinausgeht oder bei einem Drittstaatentransfer keine geeigneten Garantien bestehen. Entscheidend ist also nicht die Weitergabe an sich, sondern ob Zweck, Rechtsgrundlage und Schutzniveau stimmen.

Konkret problematisch wird es in folgenden Situationen:

• Zweckentfremdung: Der Zahlungsanbieter nutzt Kundendaten für eigene Werbezwecke, ohne dass dafür eine separate Einwilligung vorliegt.
• Fehlende Transparenz: Betroffene Personen wurden in der Datenschutzerklärung nicht ausreichend über die Weitergabe informiert.
• Drittstaatentransfer ohne Garantien: Daten werden in Länder ohne angemessenes Datenschutzniveau übermittelt, ohne dass Standardvertragsklauseln oder eine Zertifizierung im EU-US Data Privacy Framework vorliegen.
• Keine Auftragsverarbeitungsvereinbarung: Wenn der Zahlungsdienstleister als Auftragsverarbeiter tätig ist, fehlt ein gültiger Vertrag gemäß Art. 28 DSGVO.

Wichtig: Nicht jede Datenweitergabe ist automatisch eine Auftragsverarbeitung. PayPal gilt in vielen Konstellationen als eigenständiger Verantwortlicher, da das Unternehmen Daten auch zu eigenen Zwecken verarbeitet. In diesem Fall ist keine Auftragsverarbeitungsvereinbarung möglich, und die Verantwortlichkeiten müssen klar getrennt werden.

Wie erkennt man, ob ein Zahlungsanbieter Daten unzulässig weitergibt?

Ob ein Zahlungsanbieter Daten unzulässig an Dritte weitergibt, lässt sich durch eine Kombination aus technischer Analyse und rechtlicher Prüfung feststellen. Auf technischer Ebene zeigt ein Netzwerk-Scan der Checkout-Seite, welche externen Verbindungen beim Ladevorgang aufgebaut werden und welche Daten dabei übertragen werden.

Folgende Prüfschritte helfen bei der Einschätzung:

1. Netzwerkaufrufe analysieren: Beim Aufruf der Checkout-Seite lässt sich im Browser oder mit spezialisierten Tools beobachten, zu welchen Domains Verbindungen aufgebaut werden. Jede externe Domain ist ein potenzieller Datentransfer.
2. Datenschutzerklärung des Anbieters prüfen: Beschreibt der Zahlungsdienstleister, an welche Dritte er Daten weitergibt und zu welchem Zweck? Fehlen diese Angaben oder sind sie vage, ist Vorsicht geboten.
3. Zertifizierungsstatus prüfen: Ist der Anbieter im EU-US Data Privacy Framework zertifiziert? Das ist eine relevante Garantie für den transatlantischen Datentransfer, ersetzt aber keine vollständige Prüfung.
4. Consent-Verhalten beobachten: Lädt die Zahlungsintegration Skripte bereits vor einer Einwilligung? Das kann datenschutzrechtlich problematisch sein, wenn dabei personenbezogene Daten verarbeitet werden.

Ein automatisierter DSGVO-Website-Scan kann dabei helfen, externe Dienste und deren Netzwerkaufrufe auf der Checkout-Seite sichtbar zu machen und erste Hinweise auf potenzielle Risiken zu liefern. Eine abschließende rechtliche Bewertung erfordert jedoch immer die Einschätzung eines qualifizierten Datenschutzbeauftragten oder Rechtsanwalts.

Welche Pflichten haben Website-Betreiber beim Einsatz von Zahlungsanbietern?

Website-Betreiber sind beim Einsatz von Zahlungsdienstleistern nicht nur passive Nutzer einer Technologie. Sie tragen als Verantwortliche im Sinne der DSGVO eigene Pflichten, die unabhängig davon gelten, wer die eigentliche Zahlungsabwicklung durchführt.

Informationspflichten gegenüber Nutzern

Die Datenschutzerklärung muss alle eingesetzten Zahlungsanbieter nennen, den Zweck der Datenverarbeitung erläutern und auf eventuelle Drittstaatentransfers hinweisen. Betroffene Personen müssen vor dem Checkout wissen, welche Daten zu welchem Zweck an wen übermittelt werden. Fehlen diese Angaben oder sind sie veraltet, liegt eine eigenständige Pflichtverletzung vor.

Vertragliche Absicherung

Soweit der Zahlungsanbieter als Auftragsverarbeiter tätig ist, muss ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen werden. Stripe bietet einen solchen Vertrag standardmäßig an. Bei PayPal ist die Situation komplexer, da PayPal in vielen Fällen als eigenständiger Verantwortlicher auftritt. In diesem Fall sollten die jeweiligen Datenschutzhinweise von PayPal in der eigenen Datenschutzerklärung verlinkt und erläutert werden.

Technische und organisatorische Maßnahmen

Website-Betreiber sollten sicherstellen, dass Zahlungsskripte nur dann geladen werden, wenn sie tatsächlich benötigt werden, und dass keine unnötigen Daten übertragen werden. Die Einbindung sollte so gestaltet sein, dass Tracking-Funktionen des Zahlungsanbieters nicht unkontrolliert aktiviert werden.

Was droht bei DSGVO-Verstößen durch Zahlungsanbieter-Integration?

Bei DSGVO-Verstößen im Zusammenhang mit der Zahlungsanbieter-Integration drohen Website-Betreibern Bußgelder durch Datenschutzbehörden, zivilrechtliche Abmahnungen sowie Schadensersatzansprüche betroffener Personen. Die Verantwortlichkeit liegt dabei beim Website-Betreiber, auch wenn der eigentliche Verstoß technisch beim Zahlungsdienstleister liegt.

Konkret können folgende Konsequenzen eintreten:

• Aufsichtsbehördliche Maßnahmen: Datenschutzbehörden können Untersuchungen einleiten, Verwarnungen aussprechen oder Bußgelder verhängen. Die Höhe richtet sich nach Art, Schwere und Dauer des Verstoßes sowie dem Umsatz des Unternehmens.
• Abmahnungen: Mitbewerber oder qualifizierte Verbände können bei fehlerhafter oder fehlender Information über Zahlungsanbieter in der Datenschutzerklärung wettbewerbsrechtlich abmahnen.
• Schadensersatzansprüche: Art. 82 DSGVO ermöglicht es betroffenen Personen, bei nachgewiesenem Schaden Schadensersatz zu verlangen. Gerichte in Deutschland haben solche Ansprüche in verschiedenen Konstellationen anerkannt.
• Reputationsschäden: Datenschutzvorfälle werden zunehmend öffentlich. Ein bekannt gewordener Verstoß kann das Vertrauen von Kunden nachhaltig beeinträchtigen.

Entscheidend ist: Die Aufsichtsbehörden prüfen nicht nur, ob ein Zahlungsanbieter selbst datenschutzkonform handelt, sondern auch, ob der Website-Betreiber seiner Informationspflicht nachgekommen ist und die Integration ordnungsgemäß dokumentiert hat.

Wie lässt sich die DSGVO-Konformität der Zahlungsintegration dauerhaft sicherstellen?

Die DSGVO-Konformität einer Zahlungsintegration lässt sich dauerhaft sicherstellen, indem technische Prüfungen, vertragliche Absicherungen und regelmäßige Dokumentationspflichten kombiniert werden. Da Zahlungsanbieter ihre Dienste, Subprozessoren und Datenschutzrichtlinien regelmäßig ändern, reicht eine einmalige Prüfung nicht aus.

Empfehlenswerte Maßnahmen im Überblick:

• Regelmäßige technische Scans: Prüfen Sie die Checkout-Seite regelmäßig auf neue externe Verbindungen und unerwartete Datenübertragungen. Änderungen an Zahlungs-Plugins können unbemerkt neue Tracker oder Drittanbieter einführen.
• Datenschutzerklärung aktuell halten: Passen Sie die Datenschutzerklärung an, wenn sich die eingesetzten Zahlungsanbieter oder deren Datenverarbeitungspraktiken ändern. Ein dynamischer Datenschutzgenerator kann dabei unterstützen, relevante Dienste aktuell zu dokumentieren.
• Vertragsunterlagen prüfen: Stellen Sie sicher, dass Auftragsverarbeitungsverträge vorliegen, wo sie erforderlich sind, und dass diese die aktuellen Subprozessoren des Anbieters abdecken.
• Consent-Management überprüfen: Wenn Zahlungsskripte Tracking-Funktionen enthalten, müssen diese durch ein korrekt konfiguriertes Consent-Management-System gesteuert werden.
• Änderungen der Anbieter beobachten: Abonnieren Sie die Datenschutz-Updates Ihrer Zahlungsanbieter und prüfen Sie, ob Änderungen Auswirkungen auf Ihre eigene Datenschutzdokumentation haben.

Wie decareto bei der Prüfung von Zahlungsintegrationen unterstützt

Wir bei decareto unterstützen Datenschutzbeauftragte, Agenturen und Compliance-Teams dabei, die datenschutzrechtlichen Risiken von Zahlungsintegrationen systematisch zu identifizieren. Unsere Plattform scannt Websites automatisiert und erkennt dabei auch externe Dienste und Netzwerkaufrufe, die durch Zahlungsanbieter wie PayPal oder Stripe ausgelöst werden.

Was decareto konkret leistet:

• Automatische Erkennung externer Dienste: Unsere Datenbank mit über 4.000 Drittanbietern identifiziert typischerweise, welche Dienste beim Checkout-Prozess aktiv werden und Daten übertragen.
• Bewertung von Rechtsgrundlagen: Für jeden erkannten Dienst wird geprüft, ob eine Einwilligung erforderlich ist und ob diese über ein Consent-Banner tatsächlich eingeholt wird.
• Hinweise auf Drittstaatentransfers: Wir zeigen an, ob ein Dienst Daten in unsichere Drittstaaten überträgt und ob eine Zertifizierung im EU-US Data Privacy Framework vorliegt.
• Dauerhaftes Monitoring: Hunderte Websites lassen sich kontinuierlich überwachen. Bei Änderungen werden automatische Benachrichtigungen ausgelöst, sodass neue Risiken durch Plugin-Updates oder Anbieteränderungen nicht unbemerkt bleiben.
• Strukturierte Berichte: Die Ergebnisse werden übersichtlich aufbereitet und können direkt mit Kunden oder internen Teams geteilt werden, inklusive konkreter Handlungsempfehlungen.

Unsere Scans liefern Hinweise und Anhaltspunkte für datenschutzrechtliche Risiken. Sie ersetzen jedoch keine rechtliche Beratung durch einen qualifizierten Datenschutzbeauftragten oder Rechtsanwalt. Wenn Sie wissen möchten, welche externen Dienste Ihre Checkout-Seite aktuell lädt, starten Sie jetzt mit decareto und erhalten Sie in wenigen Minuten einen strukturierten Überblick.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.

Ähnliche Artikel

• Welche Barrierefreiheitsanforderungen gelten für digitale Dokumente?
• Welche Auswirkungen hat Google Analytics auf die DSGVO-Compliance meiner Website?
• Was ist der Unterschied zwischen WCAG-Stufe A und AA in der Praxis?
• Welche Rechtsgrundlage muss meine Website für die Verarbeitung personenbezogener Daten nachweisen können?
• Welche Barrierefreiheitspflichten gelten für Web-Agenturen seit dem BFSG?