Billgang

Was ist Billgang?

Billgang war eine gehostete Ecommerce Plattform für Verkäufer digitaler Produkte: Softwarelizenzen, Spielkonten und Spielgegenstände, Abonnements, Geschenkkarten und Dateien zum Herunterladen. Händler eröffneten einen Shop auf Billgang oder bauten Billgang Zahlungslinks und Kaufbuttons in ihre eigene Website ein. Die Plattform übernahm Warenkorb, Zahlungsabwicklung (Karten über Zahlungspartner sowie mehrere Kryptowährungen), automatische Auslieferung des gekauften Artikels und Bestellverwaltung. Sie war bei kleinen Händlern aus dem Gaming und Softwarebereich verbreitet, ähnlich wie Sellix oder Sellpass.

Im August 2026 stellte Billgang den Betrieb ein. Händler berichteten, dass sie ihre Guthaben schon Wochen vorher nicht mehr auszahlen konnten. Danach zeigten billgang.com und seine Subdomains eine Seite mit dem Titel „Seized by the Federal Bureau of Investigation“, und die Nameserver der Domain verweisen seither auf ns1.fbi.seized.gov und ns2.fbi.seized.gov. Bis zum Redaktionsschluss wurde keine offizielle Mitteilung gefunden, die Billgang namentlich nennt, und manche Verkäufer sprechen von einem Exit Scam. Für die DSGVO zählt: Die Plattform existiert nicht mehr, der Betreiber wurde nie eindeutig identifiziert, und die Käuferdaten liegen außerhalb Ihrer Kontrolle.

Welche Daten und Cookies Billgang verarbeitete

Als Shop und Checkout Plattform verarbeitete Billgang Mailadressen und IP Adressen der Käufer, Bestellinhalte, ausgelieferte Lizenzschlüssel oder Dateien, Zahlungsreferenzen und bei Kryptozahlungen Wallet Adressen und Transaktionskennungen. Händlerkonten enthielten Identitäts und Auszahlungsdaten. Im Shop nutzte die Plattform typischerweise ein Sitzungscookie für den Checkout, den lokalen Speicher des Browsers für den Warenkorb sowie Cloudflare Cookies wie __cf_bm zum Schutz vor Bots, da billgang.com über Cloudflare ausgeliefert wurde. Eine vollständige Cookieliste hat Billgang nie veröffentlicht; abgesehen von Cloudflare sind die Bezeichnungen daher beschreibend.

Bedeutung für DSGVO und TDDDG

Wer an Käufer in der EU verkauft, ist Verantwortlicher; Billgang war Auftragsverarbeiter und für Zahlung und Betrugsprüfung teilweise eigenständig verantwortlich. Art. 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag mit hinreichenden Garantien. Billgang bot weder einen überprüfbaren Vertrag noch eine identifizierte juristische Person oder einen klaren Hostingstandort, was die Rechenschaftspflicht kaum erfüllbar machte. Nach Art. 5 Abs. 3 der ePrivacy Richtlinie und § 25 TDDDG bedarf jeder Zugriff auf das Endgerät der Einwilligung, sofern er nicht unbedingt erforderlich ist, um den vom Nutzer gewünschten Dienst bereitzustellen.

Einwilligung: was erforderlich war

Sitzungs, Warenkorb und Sicherheitscookies, die für den Kauf nötig sind, fielen unter die Ausnahme des § 25 Abs. 2 TDDDG. Analysetools, Werbepixel oder Chatwidgets, die ein Händler mit seinem Billgang Shop verbunden hatte, durften dagegen erst nach Einwilligung über ein Cookie Banner geladen werden. Heute stellt sich eine andere Frage: Jeder noch eingebundene Billgang Button, jedes Iframe oder Skript lädt eine Beschlagnahmeseite oder schlägt fehl, bricht den Kaufprozess ab und kann Besuchern ein Behördenbanner anzeigen. Diese Elemente gehören entfernt, nicht hinter eine Einwilligung gestellt.

Datenübermittlungen in Drittländer

Billgang hat nie offengelegt, wo Daten gespeichert wurden. Der Datenverkehr lief über Cloudflare, ein nach dem EU US Data Privacy Framework zertifiziertes US Unternehmen, und Zahlungen über Dienstleister und Blockchains außerhalb des EWR. Standardvertragsklauseln (Beschluss 2021/914) oder ein Transfer Impact Assessment, wie sie seit Schrems II erwartet werden, waren für die Plattform selbst nicht nachweisbar. Seit der gemeldeten Beschlagnahme muss man davon ausgehen, dass Käufer und Händlerdaten außerhalb des EWR bei unbekannten Dritten oder Behörden liegen, ganz ohne vertragliche Schutzmaßnahmen.

Praktische Schritte für betroffene Händler

Entfernen Sie zuerst alle Billgang Links, Buttons, Skripte und Weiterleitungen von Ihrer Website und aus der Konfiguration Ihres Cookie Banners, und aktualisieren Sie Datenschutzerklärung und Cookierichtlinie. Prüfen Sie dann, ob der Verlust des Zugriffs auf Käuferdaten eine meldepflichtige Datenpanne nach Art. 33 DSGVO ist: betroffene Datenkategorien, Zahl der Käufer, begründete Entscheidung über die Meldung an die Aufsichtsbehörde binnen 72 Stunden und über die Benachrichtigung der Betroffenen bei hohem Risiko. Exportieren Sie alle Bestelldaten, die Sie noch lokal haben, und beantworten Sie Auskunfts und Löschanfragen ehrlich mit dem Hinweis, dass der frühere Auftragsverarbeiter nicht erreichbar ist.

Wählen Sie als Ersatz einen Anbieter mit identifizierter Gesellschaft, unterzeichnetem Auftragsverarbeitungsvertrag und dokumentiertem Hosting in der EU, etwa einen Shopware oder WooCommerce Shop mit Mollie als Zahlungsanbieter, oder Paddle für Softwareverkäufe. Prüfen Sie Vertrag und Transfermechanismus vor dem Umzug und führen Sie bei großen Datenmengen eine Datenschutzfolgenabschätzung durch.