Adyen

Was ist Adyen?

Adyen ist eine niederländische Zahlungsplattform, gegründet 2006 in Amsterdam. 2017 erhielt sie die Banklizenz der EZB und wird als Kreditinstitut reguliert. Adyen bietet eine einheitliche Plattform für Online-, In-Store- und In-App-Zahlungen und wird unter anderem von Spotify, Uber, Booking.com, eBay und Microsoft eingesetzt. Händler integrieren Adyen über das Drop-in, das Components SDK, gehostete Zahlungsseiten oder die API.

Cookies und erfasste Daten

Adyen verarbeitet die vom Kunden eingegebenen Zahlungsdaten (Kartennummer, Kontodaten, Rechnungsadresse, IP), Risikosignale für Betrugsprävention und SCA sowie die vom Händler übermittelten Metadaten. Auf der gehosteten Adyen-Checkout-Seite werden ausschließlich strikt notwendige First-Party-Cookies gesetzt: ein Sitzungscookie, ein CSRF-Token und ein kleiner Risiko-Score-Cookie. Es kommen keine Werbe- oder Verhaltens-Cookies von Adyen zum Einsatz.

DSGVO und ePrivacy: Auswirkungen

Für die Cookies des Adyen-Checkouts greift die strikte Notwendigkeitsausnahme nach Art. 5(3) ePrivacy, sodass kein Banner für die Anzeige der Zahlungsseite erforderlich ist. Zahlungsdaten werden auf Grundlage der Vertragserfüllung (Art. 6(1)(b) DSGVO) verarbeitet, AML- und PSD2-Aufbewahrung auf Grundlage einer rechtlichen Verpflichtung (Art. 6(1)(c)). Der Händler muss Adyen dennoch in seiner Datenschutzerklärung als Auftragsverarbeiter nennen und den Adyen-DPA abschließen.

Datenübermittlungen und Hosting

Für europäische Händler verarbeitet Adyen Daten auf EU-Infrastruktur, betrieben von Adyen N.V. und Adyen Issuer N.V. Internationale Händler können zusätzliche regionale Rechenzentren nutzen; Übermittlungen stützen sich in diesen Fällen auf die Standardvertragsklauseln im Adyen-DPA. Die Kommunikation mit Kartenschemen (Visa, Mastercard, internationale Wallets) bleibt in Adyens Verantwortung und unterliegt den Karten-Scheme-Regeln und der PSD2.

Praktische Compliance-Schritte

Schließen Sie den Adyen-DPA aus dem Customer Area ab. Nehmen Sie Adyen in die Liste der Auftragsverarbeiter Ihrer Datenschutzerklärung auf und nennen Sie EU-Hosting und PSD2. Konfigurieren Sie SCA und Risiko-Regeln gemäß PSD2. Nutzen Sie den gehosteten Checkout oder das Drop-in, um den PCI-DSS-Geltungsbereich zu begrenzen. Legen Sie eine Aufbewahrungsfrist für Transaktionsmetadaten gemäß AML- und Steueranforderungen fest.