Braintree
Braintree ist die Merchant Payment Processing Plattform von PayPal Holdings und bietet Kartenzahlung, PayPal, Venmo, Apple Pay, Google Pay und SEPA Lastschrift in einer Integration.
Was macht Braintree?
Was ist Braintree?
Braintree ist die Merchant Payment Processing Plattform von PayPal Holdings Inc. mit Hauptsitz in Chicago. Sie bietet eine einzige Integration für Kartenzahlungen, PayPal, Venmo, Apple Pay, Google Pay, SEPA Lastschrift, Bancontact, iDEAL, Sofort, Klarna und viele europäische Zahlmethoden. Händler binden Braintree über Hosted Fields (iframes mit reduziertem PCI Scope), das Drop in UI oder die GraphQL API ein. Im Hintergrund kümmert sich Braintree um Tokenisierung, 3DS2 Starke Kundenauthentifizierung, Fraud Detection (Kount, ThreatMetrix) und das Vault für wiederkehrende Zahlungen.
Welche Daten und Cookies erhebt Braintree?
Braintree setzt First Party Cookies auf der Händler Domain (BraintreeJS_ für den SDK Zustand) und Third Party Cookies auf braintreegateway.com und paypal.com, wenn PayPal oder Venmo Buttons angezeigt werden (LANG, tsrce, x-pp-s, l7_az, ts, ts_c, _ga gebunden an paypal.com). Die erweiterten Fraud Detection Skripte (collector.js, Data Collector) erstellen einen Fingerabdruck mit User Agent, Bildschirmauflösung, Plug ins, Schriften, IP und Verhaltenssignalen. Kartendaten werden tokenisiert und direkt aus dem iframe an Braintree übertragen, ohne den Haendlerserver zu berühren.
DSGVO und ePrivacy Implikationen
Zahlungs Cookies, die strikt erforderlich sind, um die vom Nutzer angeforderte Transaktion abzuschließen, fallen unter die Ausnahme von Artikel 5(3) ePrivacy bzw. § 25 TDDDG. Die Fraud Detection Skripte gehen jedoch in vielen Fällen über das strikt Notwendige hinaus und erfordern eine Einwilligung, außer es liegt ein dokumentiertes ueberwiegendes berechtigtes Interesse zur Betrugsprävention vor. CNIL und EDSA unterscheiden essenzielle Anti Fraud Funktionen (berechtigtes Interesse zulässig) von breitem Verhaltensprofiling (einwilligungspflichtig). Braintree und der Händler sind unabhängige Verantwortliche für die Zahlungsverarbeitung.
Consent Management mit Braintree
Laden Sie Hosted Fields und Drop in UI ohne vorherige Einwilligung, da sie strikt erforderlich sind. Laden Sie collector.js (Data Collector) nur nach Einwilligung oder dokumentieren Sie eine Interessenabwägung, die die Datenerhebung auf das für Betrugsprävention Notwendige begrenzt. Praeladen Sie PayPal Smart Buttons nicht vor Einwilligung, wenn sie Third Party Cookies auf paypal.com setzen, die über den Checkout Bedarf hinausgehen.
Datentransfers, PCI DSS und EU Gateway
Braintree stellt ein EU Gateway in Irland bereit (payments-eu.braintree-api.com), doch Kartendaten und Fraud Signale können über PayPal Holdings in den USA verarbeitet werden für PCI DSS, Geldwäschebekämpfung, Streitfälle und Risk Scoring. Transfers stützen sich auf EU SCC und die PayPal DPF Zertifizierung. Dokumentieren Sie den Mechanismus im Verarbeitungsverzeichnis und informieren Sie die Nutzer in der Datenschutzerklärung.
Praktische Compliance Checkliste
Unterzeichnen Sie den Braintree Händlervertrag und das PayPal DPA mit EU SCC. Aktivieren Sie das EU Gateway wenn möglich. Lösen Sie Hosted Fields und Drop in UI ohne Einwilligung aus (strikt erforderlich). Setzen Sie den erweiterten Data Collector hinter ein CMP Gate oder dokumentieren Sie eine Interessenabwägung. Listen Sie Braintree Cookies in der Cookie Richtlinie als Funktional oder Betrugsprävention. Nennen Sie PayPal (Europe) Sarl & Cie, S.C.A und PayPal Inc. als unabhängige Verantwortliche in der Datenschutzerklärung mit US Transfer Hinweis.
Braintree und die DSGVO
Braintree ist als „Notwendig“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Performance of a contract (article 6(1)(b) GDPR) for the actual payment processing, combined with legitimate interest for fraud prevention. Strictly necessary status applies to checkout cookies, but the fraud detection scripts that fingerprint the device usually require consent under article 5(3) ePrivacy.
- Risikostufe
- medium
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive, TTDSG, PCI DSS, PSD2 Strong Customer Authentication, AMLD5, French Data Protection Act, UK GDPR and PECR
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA ist empfehlenswert, wenn Braintree mit den erweiterten Fraud Detection Skripten (Kount, ThreatMetrix) kombiniert wird, wenn Händler Kartendaten über das Vault Feature für wiederkehrende Zahlungen speichern oder wenn 3DS2 Risk Based Authentication ein breites Spektrum an Verhaltenssignalen verarbeitet.
Beispieltext für Ihr Banner
Wir nutzen Braintree by PayPal, um Ihre Zahlungen zu verarbeiten und betruegerische Transaktionen zu erkennen. Braintree setzt Cookies auf Ihrem Endgeraet, um den Checkout zu sichern und verdaechtiges Verhalten zu erkennen. Zahlungs Cookies sind strikt erforderlich, die erweiterten Fraud Skripte zur Geraeteanalyse laufen jedoch nur mit Ihrer Einwilligung.
Was Braintree setzt und kontaktiert
- Tracking-Methode
- Hosted Fields JavaScript SDK, Drop in UI and direct API calls. First party fraud detection cookies plus optional PayPal Pay Later and Venmo widgets
- Serverstandort
- United States headquarters (Chicago) with EU gateway in Dublin (payments-eu.braintree-api.com)
- Datenübermittlung außerhalb der EU
- Braintree is a subsidiary of PayPal Holdings Inc. headquartered in the United States. An EU gateway exists in Ireland, but card data and fraud signals can be processed in the US for PCI DSS, fraud detection and dispute management. Transfers rely on EU SCCs and on the PayPal DPF certification.
Gesetzte Cookies (6)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| BraintreeJS_* | Functional | Session | Maintains the Hosted Fields and Drop in UI state on the merchant domain during checkout. Strictly necessary for the payment to complete. |
| ts | Functional | 3 years | PayPal session cookie used by Braintree when PayPal buttons are loaded. Helps recognise the user during the PayPal flow. |
| ts_c | Functional | 3 years | PayPal companion cookie to ts, used together for session continuity in the PayPal checkout. |
| l7_az | Functional | 30 minutes | Load balancer routing cookie on paypal.com used during the checkout to keep the user on the same backend instance. |
| tsrce | Functional | 3 days | PayPal traffic source cookie set when Smart Buttons are displayed for analytics and attribution. |
| x-pp-s | Functional | Session | PayPal session identifier used during the PayPal Smart Button flow. |
Kontaktierte Drittanbieter-Domains (6)
braintreegateway.combraintree-api.compayments-eu.braintree-api.compaypal.compaypalobjects.comvenmo.com
Häufige Fragen zu Braintree
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Welche Cookies setzt Braintree?
Braintree setzt First Party Cookies auf der Händler Domain zur Pflege des Hosted Fields Status sowie Third Party Cookies auf braintreegateway.com und paypal.com (LANG, tsrce, x-pp-s, l7_az, ts, ts_c), wenn PayPal oder Venmo Buttons gerendert werden. Die erweiterte Fraud Detection (collector.js) erzeugt zusätzlich einen im Browser gespeicherten Geräte Fingerabdruck.
Ist Einwilligung für Braintree erforderlich?
Hosted Fields und Drop in UI Cookies sind strikt erforderlich und nach Artikel 5(3) ePrivacy bzw. § 25 TDDDG einwilligungsfrei. Die erweiterten Fraud Detection Skripte und die PayPal Smart Buttons benötigen in der Regel eine Einwilligung, außer eine dokumentierte Interessenabwägung trägt sie.
Welche Rechtsgrundlage gilt für Braintree?
Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für die Zahlungsabwicklung. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für essenzielle Anti Fraud Maßnahmen. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für nicht essenzielles Profiling, Marketing Buttons und verhaltensbasierte Fraud Detection.
Wie sieht es mit US Transfers aus?
Braintree bietet ein EU Gateway in Irland, doch Karten und Fraud Daten können in den USA durch PayPal Holdings verarbeitet werden. Transfers stützen sich auf EU SCC und die PayPal DPF Zertifizierung.
Brauche ich eine DSFA für Braintree?
Eine DSFA ist empfehlenswert bei Aktivierung der erweiterten Fraud Detection (Kount, ThreatMetrix), bei 3DS2 Risk Based Authentication mit breiten Verhaltenssignalen oder bei der Speicherung von Karten im Vault für wiederkehrende Zahlungen in großem Maßstab.
Wie setze ich Braintree DSGVO konform um?
Laden Sie Hosted Fields ohne Einwilligung. Laden Sie den erweiterten Collector nur nach Einwilligung oder unter dokumentiertem berechtigten Interesse. Unterzeichnen Sie den Braintree Händlervertrag und das PayPal DPA mit EU SCC. Aktivieren Sie das EU Gateway. Informieren Sie die Nutzer in der Datenschutzerklärung mit einer ausgewogenen Balance zwischen Transparenz und Sicherheit.
Welche Alternativen gibt es zu Braintree in Europa?
Stripe Connect, Adyen, Mollie (niederländisch, nur EU), Worldline, Checkout.com, GoCardless für SEPA, Klarna für BNPL oder lokale Anbieter wie Lemonway und Lyra Network. Die meisten bieten vergleichbare PCI DSS Compliance und 3DS2 Unterstützung mit unterschiedlichem EU Footprint.
Wie dokumentiere ich Braintree in der Cookie Richtlinie?
Listen Sie die First Party Cookies BraintreeJS_ und die Third Party Cookies auf braintreegateway.com und paypal.com mit Domain, Laufzeit und Zweck. Klassifizieren Sie Zahlungs Cookies als Strikt Erforderlich und Fraud Detection Cookies als Betrugsprävention. Nennen Sie PayPal (Europe) Sarl & Cie, S.C.A und PayPal Inc. als unabhängige Verantwortliche in der Datenschutzerklärung mit Transfer Hinweis.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.