Mastercard

Was Mastercard auf einer Händlerseite tut

Mastercard erscheint auf europäischen Online, Shops in zwei Auspraegungen. Erstens als Mastercard JavaScript, SDK, das Zahlungsdienstleister (Adyen, Stripe, Worldpay) im Checkout laden, um Kartennummern clientseitig zu tokenisieren. Zweitens als Weiterleitung zu idcheck.mastercard.com für die starke Kundenauthentifizierung gemäß 3D Secure 2. Beide Flows verarbeiten personenbezogene Daten und können Cookies setzen, daher müssen sie vor jeder DSFA und jedem Datenschutzhinweis exakt erfasst werden.

Erfasste Cookies und Signale

Während des Mastercard Identity Check erhält der Browser des Karteninhabers Akamai, Cookies (AKA_A2, bm_sz, _abck) zur Bot, Erkennung, Adobe Analytics Cookies (s_cc, s_sq, AMCV_*) zur Messung der Mastercard, Seiten sowie ein IDS, Cookie, das ein frictionless Authentifizierungsergebnis speichert. Der 3DS, Server von Mastercard sammelt zudem den Geräte, Fingerprint (Browser, Version, Sprache, Bildschirmgröße, Zeitzone), den User, Agent und die öffentliche IP des Karteninhabers sowie Händler, ID und Transaktionsbetrag. Kartennamen und PANs werden über den Mastercard, Token, Vault pseudonymisiert, bleiben aber im Sinne der DSGVO personenbezogene Daten.

DSGVO, PSD2 und ePrivacy Grundlage

Für die Zahlung selbst ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) einschlägig, verstärkt durch lit. c wegen der PSD2, Pflicht zur starken Kundenauthentifizierung. Für das Betrugs, Scoring stützen sich Mastercard und Händler auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die auf idcheck.mastercard.com gesetzten Cookies sind nach Section 25 TTDSG bzw. Art. 5 Abs. 3 ePrivacy unbedingt erforderlich, weil sie dem vom Nutzer ausdrücklich angeforderten Authentifizierungsdienst dienen. Sie gehören daher nicht in den Consent, Banner. Zusätzliche Analyse, oder Marketing, Cookies, die der Händler auf seiner eigenen Checkout, Seite einsetzt, benötigen weiterhin eine Einwilligung.

Datentransfers in die USA

Mastercard International Inc. hat ihren Sitz in Purchase, New York. Authentifizierungs, und Betrugsdaten laufen regelmäßig durch Mastercards US, Rechenzentren und werden in das weltweite Verarbeitungsnetz repliziert. Der Transfer stützt sich auf Standardvertragsklauseln zwischen Händler bzw. Acquirer und Mastercard und wird durch das EU, US Data Privacy Framework ergänzt, soweit die betroffenen Mastercard, Gesellschaften zertifiziert sind. Aufsichtsbehörden in der EU verlangen ein Transfer Impact Assessment, das die Risiken nach FISA 702 und EO 12333 sowie etwaige zusätzliche Schutzmaßnahmen dokumentiert.

Umsetzungs, Checkliste

Erfassen Sie jeden Mastercard, Beruehrungspunkt (SDK, iframe, Redirect) in Ihrem Verarbeitungsverzeichnis. Nennen Sie Mastercard International Inc. als Empfänger in Ihrer Datenschutzerklärung und ergänzen Sie die USA in der Liste der Empfängerländer. Schließen Sie über Ihren Acquirer den Mastercard, AVV ab. Dokumentieren Sie die Rechtsgrundlagen, Aufteilung (Vertrag für Zahlung, berechtigtes Interesse für Betrugsprävention). Schließen Sie die 3DS, Cookies vom Consent, Banner aus, vermischen Sie sie aber niemals mit Analyse, oder Marketing, Tags auf derselben Domain.