Ja, PayPal, Stripe und andere Zahlungsdienstleister \u00fcbermitteln beim Checkout Daten an Dritte. Ob diese Weitergabe zul\u00e4ssig ist, h\u00e4ngt davon ab, welche Daten zu welchem Zweck \u00fcbertragen werden und ob eine ausreichende Rechtsgrundlage nach der DSGVO vorliegt. Als Website-Betreiber tragen Sie dabei eine eigene Verantwortung, die \u00fcber das blo\u00dfe Einbinden eines Zahlungs-Plugins hinausgeht. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um das Thema Zahlungsanbieter und Datenschutz.<\/p>\n
PayPal und Stripe \u00fcbermitteln beim Checkout eine Reihe personenbezogener und transaktionsbezogener Daten. Dazu geh\u00f6ren Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsinformationen sowie technische Daten wie IP-Adresse und Browser-Informationen. Diese Daten werden an die Server der Zahlungsdienstleister \u00fcbertragen, die ihren Sitz teils au\u00dferhalb der EU haben.<\/p>\n
Im Einzelnen verarbeiten diese Anbieter typischerweise folgende Datenkategorien:<\/p>\n
Besonders relevant aus datenschutzrechtlicher Sicht ist, dass beide Anbieter diese Daten nicht ausschlie\u00dflich zur Zahlungsabwicklung nutzen. PayPal etwa beh\u00e4lt sich vor, Daten f\u00fcr eigene Analysezwecke, Betrugspr\u00e4vention und Produktverbesserungen zu verwenden. Stripe verarbeitet Daten ebenfalls zu eigenen Zwecken und kann Informationen an Subprozessoren weitergeben. Beide Unternehmen haben ihren Hauptsitz in den USA, was zus\u00e4tzliche datenschutzrechtliche Anforderungen mit sich bringt.<\/p>\n
Eine Datenweitergabe an Dritte ist nach der DSGVO unzul\u00e4ssig, wenn keine g\u00fcltige Rechtsgrundlage gem\u00e4\u00df Art. 6 DSGVO vorliegt, die Weitergabe \u00fcber den urspr\u00fcnglichen Verarbeitungszweck hinausgeht oder bei einem Drittstaatentransfer keine geeigneten Garantien bestehen. Entscheidend ist also nicht die Weitergabe an sich, sondern ob Zweck, Rechtsgrundlage und Schutzniveau stimmen.<\/p>\n
Konkret problematisch wird es in folgenden Situationen:<\/p>\n
Wichtig: Nicht jede Datenweitergabe ist automatisch eine Auftragsverarbeitung. PayPal gilt in vielen Konstellationen als eigenst\u00e4ndiger Verantwortlicher, da das Unternehmen Daten auch zu eigenen Zwecken verarbeitet. In diesem Fall ist keine Auftragsverarbeitungsvereinbarung m\u00f6glich, und die Verantwortlichkeiten m\u00fcssen klar getrennt werden.<\/p>\n
Ob ein Zahlungsanbieter Daten unzul\u00e4ssig an Dritte weitergibt, l\u00e4sst sich durch eine Kombination aus technischer Analyse und rechtlicher Pr\u00fcfung feststellen. Auf technischer Ebene zeigt ein Netzwerk-Scan der Checkout-Seite, welche externen Verbindungen beim Ladevorgang aufgebaut werden und welche Daten dabei \u00fcbertragen werden.<\/p>\n
Folgende Pr\u00fcfschritte helfen bei der Einsch\u00e4tzung:<\/p>\n
Ein automatisierter DSGVO-Website-Scan<\/a> kann dabei helfen, externe Dienste und deren Netzwerkaufrufe auf der Checkout-Seite sichtbar zu machen und erste Hinweise auf potenzielle Risiken zu liefern. Eine abschlie\u00dfende rechtliche Bewertung erfordert jedoch immer die Einsch\u00e4tzung eines qualifizierten Datenschutzbeauftragten oder Rechtsanwalts.<\/p>\n Website-Betreiber sind beim Einsatz von Zahlungsdienstleistern nicht nur passive Nutzer einer Technologie. Sie tragen als Verantwortliche im Sinne der DSGVO eigene Pflichten, die unabh\u00e4ngig davon gelten, wer die eigentliche Zahlungsabwicklung durchf\u00fchrt.<\/p>\n Die Datenschutzerkl\u00e4rung muss alle eingesetzten Zahlungsanbieter nennen, den Zweck der Datenverarbeitung erl\u00e4utern und auf eventuelle Drittstaatentransfers hinweisen. Betroffene Personen m\u00fcssen vor dem Checkout wissen, welche Daten zu welchem Zweck an wen \u00fcbermittelt werden. Fehlen diese Angaben oder sind sie veraltet, liegt eine eigenst\u00e4ndige Pflichtverletzung vor.<\/p>\n Soweit der Zahlungsanbieter als Auftragsverarbeiter t\u00e4tig ist, muss ein Vertrag zur Auftragsverarbeitung gem\u00e4\u00df Art. 28 DSGVO abgeschlossen werden. Stripe bietet einen solchen Vertrag standardm\u00e4\u00dfig an. Bei PayPal ist die Situation komplexer, da PayPal in vielen F\u00e4llen als eigenst\u00e4ndiger Verantwortlicher auftritt. In diesem Fall sollten die jeweiligen Datenschutzhinweise von PayPal in der eigenen Datenschutzerkl\u00e4rung verlinkt und erl\u00e4utert werden.<\/p>\n Website-Betreiber sollten sicherstellen, dass Zahlungsskripte nur dann geladen werden, wenn sie tats\u00e4chlich ben\u00f6tigt werden, und dass keine unn\u00f6tigen Daten \u00fcbertragen werden. Die Einbindung sollte so gestaltet sein, dass Tracking-Funktionen des Zahlungsanbieters nicht unkontrolliert aktiviert werden.<\/p>\n Bei DSGVO-Verst\u00f6\u00dfen im Zusammenhang mit der Zahlungsanbieter-Integration drohen Website-Betreibern Bu\u00dfgelder durch Datenschutzbeh\u00f6rden, zivilrechtliche Abmahnungen sowie Schadensersatzanspr\u00fcche betroffener Personen. Die Verantwortlichkeit liegt dabei beim Website-Betreiber, auch wenn der eigentliche Versto\u00df technisch beim Zahlungsdienstleister liegt.<\/p>\n Konkret k\u00f6nnen folgende Konsequenzen eintreten:<\/p>\n Entscheidend ist: Die Aufsichtsbeh\u00f6rden pr\u00fcfen nicht nur, ob ein Zahlungsanbieter selbst datenschutzkonform handelt, sondern auch, ob der Website-Betreiber seiner Informationspflicht nachgekommen ist und die Integration ordnungsgem\u00e4\u00df dokumentiert hat.<\/p>\n Die DSGVO-Konformit\u00e4t einer Zahlungsintegration l\u00e4sst sich dauerhaft sicherstellen, indem technische Pr\u00fcfungen, vertragliche Absicherungen und regelm\u00e4\u00dfige Dokumentationspflichten kombiniert werden. Da Zahlungsanbieter ihre Dienste, Subprozessoren und Datenschutzrichtlinien regelm\u00e4\u00dfig \u00e4ndern, reicht eine einmalige Pr\u00fcfung nicht aus.<\/p>\n Empfehlenswerte Ma\u00dfnahmen im \u00dcberblick:<\/p>\n Wir bei decareto unterst\u00fctzen Datenschutzbeauftragte, Agenturen und Compliance-Teams dabei, die datenschutzrechtlichen Risiken von Zahlungsintegrationen systematisch zu identifizieren. Unsere Plattform scannt Websites automatisiert und erkennt dabei auch externe Dienste und Netzwerkaufrufe, die durch Zahlungsanbieter wie PayPal oder Stripe ausgel\u00f6st werden.<\/p>\n Was decareto konkret leistet:<\/p>\nWelche Pflichten haben Website-Betreiber beim Einsatz von Zahlungsanbietern?<\/h2>\n
Informationspflichten gegen\u00fcber Nutzern<\/h3>\n
Vertragliche Absicherung<\/h3>\n
Technische und organisatorische Ma\u00dfnahmen<\/h3>\n
Was droht bei DSGVO-Verst\u00f6\u00dfen durch Zahlungsanbieter-Integration?<\/h2>\n
\n
Wie l\u00e4sst sich die DSGVO-Konformit\u00e4t der Zahlungsintegration dauerhaft sicherstellen?<\/h2>\n
\n
Wie decareto bei der Pr\u00fcfung von Zahlungsintegrationen unterst\u00fctzt<\/h2>\n
\n