Buy Me a Coffee

Was ist Buy Me a Coffee?

Buy Me a Coffee, oft BMC abgekürzt, ist eine US Creator Plattform, eingetragen als Buy Me a Coffee Inc. in San Francisco, Kalifornien. Creator (Autoren, Illustratoren, Podcaster, Open Source Maintainer) richten eine öffentliche Seite ein und betten entweder einen gelben Buy Me a Coffee Button oder ein erweitertes Widget in ihre eigene Website ein. Besucher können einmalige Trinkgelder geben, Monatsmitglieder werden, kostenpflichtige Beiträge kaufen oder Extras wie den Zugang zu einer privaten Community bezahlen.

BMC betreibt die öffentliche Seite, den Zahlungsfluss, Supporter Nachrichten und das Dashboard. Zahlungen laufen über Stripe (Standard in den meisten Ländern) oder PayPal. Die Website des Creators muss nur das button.js Skript laden oder ein iFrame einbinden; alles andere passiert auf buymeacoffee.com.

Cookies und erhobene Daten

Wenn der BMC Button oder das Widget auf einer Drittseite eingebunden ist, lädt button.js von cdnjs.buymeacoffee.com. Sobald das iFrame zu buymeacoffee.com geöffnet wird, setzen Cloudflare Bot Management Cookies (__cf_bm, _cfuvid) und BMC Funktionscookies (_bmc_session, CSRF Token) auf der Domain buymeacoffee.com. Klickt der Supporter, lädt ein Checkout iFrame Stripe.js oder das PayPal SDK, die eigene Cookies setzen (m, __stripe_mid, __stripe_sid, paypal_*).

BMC nutzt auf seiner Domain Analyse Tools, üblicherweise Google Analytics 4, Microsoft Clarity, HubSpot und Segment. Diese Cookies werden nicht auf der Creator Domain gesetzt, betreffen aber Besucher, die über den Embed zu buymeacoffee.com gelangen.

DSGVO und ePrivacy

Das Einbinden des BMC Widgets greift in Art. 5(3) ePrivacy bzw. § 25 TTDSG: Das iFrame setzt Cookies, die nicht strikt notwendig sind, um einen vom Nutzer ausdrücklich angeforderten Dienst zu erbringen. Das Widget lädt auf jeder Seite, auf der es eingebunden ist, bevor der Besucher aktiv wird. Das Laden ohne Einwilligung ist daher in Deutschland, Frankreich, Spanien, Italien und den meisten EU Staaten unzulässig.

Sobald der Supporter aktiv klickt, um Trinkgeld zu senden oder Mitglied zu werden, beruht die Zahlungsabwicklung auf Vertragserfüllung (Art. 6(1)(b) DSGVO) und auf Stripe oder PayPal als separaten Auftragsverarbeitern. Der Creator bleibt Verantwortlicher für die im BMC Dashboard sichtbaren Supporter Daten.

Einwilligung und Implementierung

Bei EU Traffic sollte der BMC Embed bis zur Einwilligung mindestens für die funktionale Kategorie blockiert sein. Üblich ist ein statischer gelber Platzhalter, der bei Klick die BMC Seite in einem neuen Tab öffnet, solange keine Einwilligung vorliegt. Alternativ leiten Sie nur per Direktlink auf buymeacoffee.com/Ihrname und verzichten ganz auf den Embed.

Internationale Datenübermittlungen

Die gesamte BMC Verarbeitung läuft auf AWS US Regionen. Das BMC DPA enthält die EU Standardvertragsklauseln und verweist auf das EU US Data Privacy Framework. Stripe ist für EU Kunden in Irland niedergelassen, überträgt aber unter SCC in die USA. PayPal Luxembourg verarbeitet EU Zahlungsdaten unter eigener DPF Zertifizierung.

Eine TIA ist sinnvoll für Creator mit hohem Volumen und sollte US Überwachungsgesetze (FISA 702, EO 12333) und Restrisiken trotz DPF berücksichtigen.

Praktische Compliance Schritte

BMC DPA unterzeichnen. BMC als Drittanbieter im CMP eintragen und Embed an funktionale Einwilligung koppeln. Buy Me a Coffee, Stripe und PayPal in Datenschutzerklärung und Verzeichnis nach Art. 30 nennen. Übermittlung in die USA mit SCC und DPF dokumentieren. Zugriff auf Supporter Nachrichten und Zahlungsmetadaten im BMC Dashboard auf berechtigte Personen beschränken.