> Ist Gumroad DSGVO konform? Wie das Overlay funktioniert, welche Cookies es setzt, warum eine Einwilligung nötig ist und wie US Transfers geregelt sind. > > Canonical: https://www.flowconsent.com/de/services/e-commerce/gumroad E-Commerce # Gumroad Präferenzen · [Offizielle Website](https://gumroad.com) Gumroad ist eine US Merchant of Record Plattform, mit der Creator E Books, Downloads, Software, Mitgliedschaften und Online Kurse verkaufen. Creator verlinken auf eine Gumroad Seite oder binden ein Overlay von gumroad.com auf der eigenen Website ein. Als Merchant of Record zieht Gumroad EU Mehrwertsteuer ein, kümmert sich um Erstattungen und leitet Zahlungen über Stripe und PayPal. Das Overlay setzt nicht strikt notwendige Cookies, daher müssen EU Seiten es an die Einwilligung koppeln und die US Übermittlung dokumentieren. [Gumroad bis zur Einwilligung blockieren](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=ecommerce) · [Meine Website scannen](https://www.flowconsent.com/de/scan) Auf einen Blick - Kategorie [E-Commerce](https://www.flowconsent.com/de/services/e-commerce) - Einwilligung Präferenzen - Vorherige Einwilligung Erforderlich - Dokumentierte Cookies 5 - Drittanbieter-Domains 5 - Server United States (Gumroad Inc., San Francisco, California, headquarters); production hosted on AWS US East regions; static assets and the storefront served from AWS CloudFront and Cloudflare with EU edge presence Überblick ## Was macht Gumroad? ## **Was ist Gumroad?** Gumroad ist eine 2011 von Sahil Lavingia gegründete US Plattform, eingetragen als Gumroad Inc. in San Francisco, Kalifornien. Sie richtet sich an unabhängige Creator, die digitale Güter (E Books, Kurse, Software, Musik, Grafikassets), physische Güter und wiederkehrende Mitgliedschaften verkaufen. Gumroad agiert als Merchant of Record (MoR): Bei jedem Kauf ist Gumroad Inc. rechtlich der Verkäufer auf der Rechnung, zieht EU MwSt. und andere Steuern ein, kümmert sich um Erstattungen und überweist den Nettoumsatz an den Creator. Creator schicken Käufer entweder auf eine gehostete Gumroad Seite (creator.gumroad.com oder gumroad.com/l/PRODUKT) oder nutzen das Gumroad Overlay, ein JavaScript Snippet, das den Checkout in einem iFrame auf der eigenen Seite öffnet. ## **Cookies und Daten** Beim Einsatz des Overlays lädt gumroad.js von gumroad.com. Das iFrame setzt First Party Gumroad Cookies (\_gumroad\_session, \_gumroad\_guid für Cart Attribution, CSRF Token) sowie Cloudflare Bot Management Cookies. Der Stripe Checkout fügt \_\_stripe\_mid und \_\_stripe\_sid hinzu; bei PayPal Zahlung werden paypal\_\* Cookies geladen. Auf seiner eigenen Seite setzt Gumroad zusätzlich Google Analytics 4, Microsoft Clarity und Segment ein. ## **DSGVO und ePrivacy** Das Einbinden des Gumroad Overlays setzt Cookies vor jeder Nutzeraktion und greift damit in Art. 5(3) ePrivacy bzw. § 25 TTDSG ein. Eine vorherige Einwilligung ist erforderlich. Auf dem gehosteten Checkout selbst beruhen die strikt notwendigen Cookies auf Vertragserfüllung und sind einwilligungsfrei. Als Merchant of Record ist Gumroad eigener Verantwortlicher für MwSt., Rechnung und Erstattung. ## **Einwilligung und Implementierung** Bei EU Traffic das Overlay durch einen Button ersetzen, der die gehostete Gumroad Seite in neuem Tab öffnet, solange keine Einwilligung in die funktionale oder Marketing Kategorie vorliegt. Nach Einwilligung gumroad.js laden und Overlay öffnen. Die Käufer Interaktion findet dann auf gumroad.com mit eigener Datenschutzerklärung und Cookie Steuerung statt. ## **Internationale Datenübermittlungen** Die gesamte Verarbeitung läuft auf AWS US East. Das Gumroad DPA enthält EU SCC (Module 2 und 3) und referenziert das EU US Data Privacy Framework. Stripe und PayPal nutzen eigene Mechanismen (EU Entitäten in Irland mit SCC in die USA, DPF Zertifizierung). ## **Praktische Compliance Schritte** Gumroad DPA aus dem Konto unterzeichnen. Overlay an CMP Toggle koppeln und bis zur Einwilligung statischen Link zur gehosteten Seite nutzen. Gumroad, Stripe und PayPal in Datenschutzerklärung und Verzeichnis nach Art. 30 nennen. Merchant of Record Beziehung und US Übermittlung mit SCC und DPF beschreiben. Kundensupport vorbereiten: Käufer wenden sich für Erstattung und MwSt. Beleg an Gumroad. Datenschutz ## Gumroad und die DSGVO Gumroad ist als „Präferenzen“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein. - Rechtsgrundlage Consent (Art. 6(1)(a) GDPR and Art. 5(3) ePrivacy) for the Gumroad overlay loaded on the creator's own site, because the iframe sets non strictly necessary cookies before any action by the visitor. Contract performance (Art. 6(1)(b)) for the purchase the buyer initiates on the Gumroad hosted page itself. Legal obligation (Art. 6(1)(c)) for EU VAT collection and reporting, since Gumroad is the merchant of record. - Risikostufe medium - Anwendbare Vorschriften GDPR, UK GDPR, ePrivacy Directive 2002/58/EC, EU US Data Privacy Framework, EU VAT (OSS / MOSS), PSD2, PCI DSS, US CCPA/CPRA ### Datenschutz-Folgenabschätzung (DSFA) Eine DSFA ist für klassische Creator mit Gumroad nicht erforderlich. Sie kann relevant werden, wenn Creator große Kataloge mit umfangreichem Analytics, Audience Profiling, Kursabschluss Tracking und KI gestützten Empfehlungen kombinieren. ### Beispieltext für Ihr Banner > Verkäufe auf dieser Seite werden von Gumroad (Gumroad Inc., USA) als unser Merchant of Record für digitale Güter abgewickelt. Das Gumroad Overlay setzt funktionale und Analyse Cookies, öffnet ein iFrame zu gumroad.com, verarbeitet Zahlungen über Stripe und PayPal und führt die EU MwSt. für uns ab. Internationale Übermittlungen in die USA sind durch Standardvertragsklauseln und das EU US Data Privacy Framework abgedeckt. Cookies und Tracker ## Was Gumroad setzt und kontaktiert - Tracking-Methode Merchant of record platform for digital creators: hosted product pages on gumroad.com and an embeddable overlay loaded from gumroad.com/js/gumroad.js or gumroad.com/js/gumroad embed.js; the overlay opens an iframe to gumroad.com that hosts the checkout; first party Gumroad session and CSRF cookies are set on gumroad.com, payments are routed through Stripe and PayPal - Serverstandort United States (Gumroad Inc., San Francisco, California, headquarters); production hosted on AWS US East regions; static assets and the storefront served from AWS CloudFront and Cloudflare with EU edge presence - Datenübermittlung außerhalb der EU Gumroad Inc. is established in the United States and processes EU customer data on AWS US East. Gumroad is the merchant of record for digital goods and is registered for EU VAT through the MOSS / OSS scheme. The Gumroad DPA incorporates the EU Standard Contractual Clauses (modules 2 and 3) and references the EU US Data Privacy Framework. Payment processors (Stripe, PayPal) apply their own SCCs and DPF certifications. ### Gesetzte Cookies (5) | Name | Typ | Laufzeit | Zweck | | ------------------ | ------------ | ---------- | ---------------------------------------------------------------------------------------------------------------- | | \_gumroad\_session | third\_party | 2 weeks | Gumroad session cookie set on gumroad.com to keep an authenticated session and an in progress checkout. | | \_gumroad\_guid | third\_party | 1 year | Gumroad attribution and recognition identifier used to attribute purchases to the originating link or affiliate. | | \_\_cf\_bm | third\_party | 30 minutes | Cloudflare bot management cookie set on gumroad.com to distinguish humans from automated traffic. | | \_\_stripe\_mid | third\_party | 1 year | Stripe machine identifier loaded during the Gumroad Stripe checkout step for fraud prevention. | | \_\_stripe\_sid | third\_party | 30 minutes | Stripe session identifier loaded during the Gumroad Stripe checkout step for fraud detection. | ### Kontaktierte Drittanbieter-Domains (5) - `gumroad.com` - `public-files.gumroad.com` - `static.gumroad.com` - `js.stripe.com` - `www.paypal.com` Fragen ## Häufige Fragen zu Gumroad Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Welche Cookies setzt Gumroad? Beim Laden des Gumroad Overlays werden First Party Gumroad Cookies auf gumroad.com gesetzt (\_gumroad\_session, \_gumroad\_guid für Cart Attribution, CSRF Token) sowie Cloudflare Bot Management Cookies (\_\_cf\_bm, \_cfuvid). Der Stripe Checkout fügt \_\_stripe\_mid, \_\_stripe\_sid und m hinzu. Bei PayPal werden paypal\_\* Cookies geladen. ### Brauche ich Einwilligung für das Gumroad Overlay? Ja. Das Overlay lädt gumroad.js, bevor der Besucher etwas tut, und setzt nicht strikt notwendige Cookies. Art. 5(3) ePrivacy bzw. § 25 TTDSG fordern vorherige Einwilligung. Bis dahin Overlay durch statischen Button zum Gumroad Seitenlink (neuer Tab) ersetzen. ### Was ist die Rechtsgrundlage? Einwilligung (Art. 6(1)(a) DSGVO und Art. 5(3) ePrivacy) für Overlay und Cookies. Vertragserfüllung (Art. 6(1)(b)) für den Kauf auf der gehosteten Gumroad Seite. Rechtliche Pflicht (Art. 6(1)(c)) für die EU MwSt., weil Gumroad Merchant of Record ist. ### Übermittelt Gumroad Daten in Drittländer? Ja. Gumroad Inc. sitzt in den USA und verarbeitet EU Daten auf AWS US East. Das Gumroad DPA enthält EU SCC (Module 2 und 3) und referenziert das Data Privacy Framework. Stripe und PayPal nutzen eigene Übermittlungsmechanismen. ### Brauche ich eine DSFA für Gumroad? Für einen Creator mit wenigen Produkten nicht. Sie wird relevant, wenn Gumroad mit umfangreicher Kundenprofilierung, Audience Mailings, Kursabschluss Tracking und KI Empfehlungen kombiniert wird. ### Wie setze ich Gumroad rechtskonform ein? DPA unterzeichnen, Overlay an CMP Toggle koppeln, bis zur Einwilligung statischen Link nutzen, Gumroad, Stripe und PayPal in der Datenschutzerklärung nennen, US Übermittlung mit SCC und DPF dokumentieren, Gumroad in das Verzeichnis nach Art. 30 aufnehmen und Erstattungs und MwSt. Beleg Anfragen an Gumroad als MoR weiterleiten. ### Gibt es Alternativen zu Gumroad? EU freundliche Creator Commerce Plattformen: Lemon Squeezy (USA mit DPF, eigene Seite), Paddle (UK MoR), Podia, Kajabi (USA), Teachable (USA), SendOwl (UK), Tipeee (Frankreich), Lemonway, Stripe Checkout / Payment Links für Eigenregie. Non MoR: Mollie (Niederlande) oder Adyen (Niederlande). ### Wie aktualisiere ich Cookie und Datenschutzerklärung? Gumroad und Stripe Cookies nach Kategorien in der Cookie Erklärung listen. In der Datenschutzerklärung Gumroad als Merchant of Record für digitale Güter, das Overlay, das iFrame zu gumroad.com, die US Übermittlung mit SCC und DPF sowie die Rolle von Stripe und PayPal als separate Auftragsverarbeiter beschreiben. Gleiche Kategorie ## Weitere Dienste: E-Commerce [Ganze Kategorie ansehen](https://www.flowconsent.com/de/services/e-commerce) ### [Haravan](https://www.flowconsent.com/de/services/e-commerce/haravan) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/haravan) · ### [Feefo](https://www.flowconsent.com/de/services/e-commerce/feefo) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/feefo) · ### [Prima Software](https://www.flowconsent.com/de/services/e-commerce/prima-software) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/prima-software) · ### [Conjured](https://www.flowconsent.com/de/services/e-commerce/conjured) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/conjured) · ### [Binance Pay](https://www.flowconsent.com/de/services/e-commerce/binance-pay) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/binance-pay) · ### [Shoefitr.io](https://www.flowconsent.com/de/services/e-commerce/shoefitr-io) [Präferenzen](https://www.flowconsent.com/de/services/e-commerce/shoefitr-io) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)