Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
FastSpring ist eine US Zahlungsplattform nach dem Merchant of Record Modell (MoR), die von Software und SaaS Anbietern eingesetzt wird, um Abrechnung, EU Mehrwertsteuer, Betrugsprävention und globale Steuer Compliance auszulagern. Der gehostete Checkout auf fastspring.com und onfastspring.com setzt nur strikt notwendige First Party Cookies und wickelt die Transaktion über Bright Market LLC als rechtlichen Verkäufer ab. Als MoR übernimmt FastSpring Mehrwertsteuer, Rechnungsstellung und Chargebacks für den Anbieter.
FastSpring ist eine US Zahlungsplattform, eingetragen als Bright Market LLC in Santa Barbara, Kalifornien. Sie agiert als Merchant of Record (MoR) für Software, SaaS und digitale Produkte: Wenn ein Kunde über FastSpring bezahlt, ist Bright Market LLC rechtlich der Verkäufer auf der Rechnung, zieht EU Mehrwertsteuer und andere Verkaufssteuern ein, kümmert sich um Erstattungen, Chargebacks und Streitfälle und zahlt den Nettoumsatz an den Anbieter aus.
Anbieter binden FastSpring per Popup Storefront (Overlay), Web Storefront (gehostete Seite) oder Embedded Storefront (iFrame) ein. Storefront.js und die Order API ermöglichen erweiterte Szenarien wie lokalisierte Preise, Abonnements und B2B Angebote.
Auf dem gehosteten Checkout werden nur strikt notwendige First Party Cookies auf fastspring.com und onfastspring.com gesetzt: ein Session Cookie für den Warenkorb, ein CSRF Token und ein Cookie für den Fraud Risk Score. FastSpring erfasst zudem die für die Transaktion nötigen Rechnungsdaten (Name, E Mail, Adresse, Land, Zahlungsmittel). Beim Einsatz der Library API für lokalisierte Preise erfolgt die Geo IP serverseitig, ohne Cookies auf der Anbieterdomain.
Als MoR speichert FastSpring die für eine DSGVO konforme EU Rechnung, Erstattungen und Zahlungsregeln nötigen Daten. Kartendaten werden über PCI DSS Level 1 Prozessoren tokenisiert; der Anbieter sieht nie die Klartext PAN.
Weil FastSpring als MoR auftritt, ist es Verantwortlicher für Rechnung und Steuerabführung und Auftragsverarbeiter für die Kundendaten des Anbieters. Strikt notwendige Cookies des gehosteten Checkouts sind nach Art. 5(3) ePrivacy bzw. § 25 TTDSG und nach den ePrivacy Leitlinien des EDSA einwilligungsfrei. Die ausdrückliche Wahl des Kunden, den Kauf zu starten, ist die Rechtsgrundlage für die Verarbeitung der Zahlungsdaten.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
FastSpring verarbeitet EU Kundendaten auf AWS US East. Das FastSpring DPA enthält die EU SCC (Module 2 und 3) und das UK IDTA. FastSpring ist selbst zertifiziert nach dem EU US Data Privacy Framework. EU Kunden können zusätzliche Auskünfte zu Zugriffskontrollen und Unterauftragsverarbeitern erhalten.
FastSpring DPA über das Konto unterzeichnen. FastSpring (Bright Market LLC) in der Datenschutzerklärung als MoR und Auftragsverarbeiter nennen, US Übermittlung mit SCC und DPF angeben und in das Verzeichnis nach Art. 30 aufnehmen. Für den gehosteten Checkout ist kein Cookie Banner Update nötig, aber alle an FastSpring Events angebundenen Drittanalysen (Google Analytics, GA4 Ecommerce, Meta CAPI) müssen weiter im einwilligungsgesteuerten Tag Manager liegen.
Websites using FastSpring must obtain user consent under GDPR regulations.
DPIA considerations
Eine DSFA ist für klassische SaaS Abo Abrechnung über FastSpring in der Regel nicht erforderlich. Sie kann relevant werden, wenn die Abrechnung mit umfangreicher Kundenprofilierung, regulierten Branchendaten oder besonderen Datenkategorien auf Aboebene kombiniert wird.
Sample consent text
Zahlungen und Rechnungsstellung auf dieser Website werden von FastSpring (Bright Market LLC, USA) als unser Merchant of Record abgewickelt. FastSpring verarbeitet Ihre Zahlungsdaten und die EU Mehrwertsteuer auf vertraglicher und gesetzlicher Grundlage auf US Infrastruktur. Internationale Übermittlungen in die USA sind durch Standardvertragsklauseln und das EU US Data Privacy Framework abgedeckt.
Third-party domains contacted
fastspring.comonfastspring.comsbl.onfastspring.comd1f8f9xcsvx3ha.cloudfront.netCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| fs_session | first_party | Session | Strictly necessary session cookie on the FastSpring hosted checkout used to maintain the customer cart and the in progress order. |
| fs_csrf | first_party | Session | CSRF protection token used to validate the payment form submission on the FastSpring hosted checkout. |
| fs_risk | first_party | 30 minutes | Strictly necessary fraud risk cookie used by FastSpring for transaction risk scoring during the checkout. |
| fs_locale | first_party | 1 year | Functional cookie used by the FastSpring hosted checkout to remember the customer's language and currency preference between sessions. |
FastSpring verwendet Cookies für Nutzereinstellungen — informieren Sie Besucher mit einem Cookie-Banner.
Im gehosteten FastSpring Checkout werden auf fastspring.com und onfastspring.com nur strikt notwendige First Party Cookies gesetzt: Session Cookie (fs_session) für den Warenkorb, CSRF Token (fs_csrf), Risk Score Cookie (fs_risk). Beim Kartenzahlungsschritt können kurzlebige Risk Cookies des Kartenprozessors hinzukommen.
Nein, die Cookies des gehosteten Checkouts sind strikt notwendig nach Art. 5(3) ePrivacy bzw. § 25 TTDSG und einwilligungsfrei. Der Kunde initiiert den Kauf aktiv, was die Rechtsgrundlage für die Verarbeitung der Zahlungsdaten nach Art. 6(1)(b) DSGVO ist. Optionale Analytics auf der Anbieterdomain (GA4 Ecommerce, Meta CAPI) müssen weiter im einwilligungsgesteuerten Tag Manager liegen.
Vertragserfüllung (Art. 6(1)(b) DSGVO) für die Transaktion. Rechtliche Pflicht (Art. 6(1)(c)) für EU MwSt., AML und Steueraufbewahrung, da FastSpring Merchant of Record ist. Strikt notwendige Cookies sind nach Art. 5(3) ePrivacy einwilligungsfrei.
Ja. Bright Market LLC sitzt in den USA und verarbeitet EU Daten auf AWS US East. Das FastSpring DPA enthält EU SCC und UK IDTA, und FastSpring ist selbst zertifiziert nach dem EU US Data Privacy Framework. Eine TIA sollte US Überwachungsgesetze prüfen.
Standard SaaS Abrechnung über FastSpring erfordert in der Regel keine DSFA. Eine DSFA kann sinnvoll sein, wenn FastSpring mit umfangreichem Profiling, regulierten Branchen oder besonderen Datenkategorien auf Aboebene kombiniert wird.
DPA unterzeichnen, FastSpring (Bright Market LLC) als Merchant of Record und Auftragsverarbeiter in der Datenschutzerklärung nennen, US Übermittlung mit SCC und DPF dokumentieren und in das Verzeichnis nach Art. 30 aufnehmen. Den gehosteten Checkout nutzen, um den Zahlungsdaten Scope minimal zu halten, und optionale Analytics nur im einwilligungsgesteuerten Tag Manager laden.
Andere MoR Plattformen: Paddle (UK mit EU AWS), Lemon Squeezy (USA mit DPF), 2Checkout / Verifone (USA und EU). Non MoR EU Optionen: Stripe Billing (Irland), Mollie Subscriptions (Niederlande), Adyen Subscriptions (Niederlande), Chargebee Billing (USA mit EU Residency im Enterprise Tarif).
Für die meisten Setups ist kein Banner Update nötig (strikt notwendige Cookies). Die Datenschutzerklärung anpassen: FastSpring als Merchant of Record nennen, US Übermittlung mit SCC und DPF beschreiben sowie die Rolle als eigener Verantwortlicher für MwSt. und Steuer.