Moneris Payment Gateway

Was Moneris ist

Moneris ist ein grosses kanadisches Zahlungsgateway und Zahlungsabwickler, das von Händlern genutzt wird, um Kartenzahlungen online und im Geschäft anzunehmen. Es bietet gehostete Tokenisierung, die Zahlungsdetails auf den Systemen von Moneris hält, während der Kunde auf der Haendlerwebsite bleibt. Indem Moneris die sensiblen Kartendaten selbst verarbeitet, hilft es Händlern, ihre eigene Exposition gegenüber Karteninhaberdaten zu verringern. Es arbeitet nach den strengen Anforderungen des Sicherheitsstandards der Zahlungskartenindustrie.

Welche Daten und Cookies erfasst werden

Beim Checkout verarbeitet Moneris Karteninhaberdaten wie Kartennummer, Ablaufdatum und Sicherheitscode sowie Transaktionsbetraege und Kennungen. Seine gehosteten Zahlungsseiten und Skripte können Cookies setzen und Pixel verwenden, darunter ein Cookie, das einen Browser mit tokenisierten Kartennummern verknüpft, und in manchen Implementierungen das Offlinx Cookie. Diese Informationen sind personenbezogene Daten nach der DSGVO und umfassen besonders sensible Finanzdetails. Die Kartennummer selbst ist zudem regulierte Karteninhaberdaten nach PCI DSS.

DSGVO und ePrivacy Auswirkungen

Die Verarbeitung von Zahlungsdaten zur Erfüllung einer Bestellung beruht in der Regel auf der Erfüllung eines Vertrags nach der DSGVO, sodass für die Zahlung selbst keine Einwilligung erforderlich ist. Alle Cookies, die nicht unbedingt erforderlich sind, etwa Marketing oder Analyse Cookies beim Checkout, benötigen jedoch eine vorherige Einwilligung nach Art. 5(3) der ePrivacy Richtlinie. Der Händler und Moneris müssen ihre jeweiligen Rollen als Verantwortlicher und Auftragsverarbeiter klären und eine geeignete Vereinbarung treffen. Transparenz über die Finanzverarbeitung und die beteiligten Parteien ist unerlässlich.

Anforderungen an die Einwilligung

Die Zahlungsabwicklung benötigt keine Einwilligung, da sie zur Erfüllung des Vertrags mit dem Kunden erforderlich ist. Unbedingt erforderliche Checkout Cookies, die die Zahlung lediglich funktionsfähig machen, sind ebenfalls von der Einwilligungspflicht ausgenommen. Alle zusätzlichen Cookies für Marketing, für über das Notwendige hinausgehendes Betrugsprofiling oder für Analyse müssen hinter einem Einwilligungsbanner gesperrt werden. Wo das Offlinx Cookie oder ähnliche Werbefunktionen vorhanden sind, müssen sie bis zur Zustimmung des Besuchers deaktiviert bleiben.

Internationale Datentransfers

Moneris verarbeitet Daten in Kanada, das von einem partiellen Angemessenheitsbeschluss der EU profitiert, der die gewerbliche Tätigkeit nach PIPEDA abdeckt, sodass Transfers aus der EU nach Kanada keine zusätzlichen Garantien erfordern. Diese wichtige Nuance unterscheidet Moneris von in den USA ansässigen Anbietern. Moneris gibt jedoch an, personenbezogene Daten weiter in die USA und auf die Philippinen übertragen zu können, und diese Weitertransfers benötigen Standardvertragsklauseln, eine Transfer Folgenabschätzung und ergänzende Massnahmen. Der Händler sollte bestätigen, wohin die Daten tatsächlich fließen, und die Garantien entsprechend dokumentieren.

Praktische Schritte zur Konformität

Bestätigen Sie die Rollen als Verantwortlicher und Auftragsverarbeiter mit Moneris und schließen Sie einen Auftragsverarbeitungsvertrag, der Karteninhaberdaten und Weitertransfers abdeckt. Nutzen Sie die gehostete Tokenisierung, um Kartendaten aus Ihren eigenen Systemen herauszuhalten und im PCI DSS Geltungsbereich zu bleiben. Sperren Sie alle nicht erforderlichen Checkout Cookies hinter einem Einwilligungsbanner und weisen Sie Moneris klar in den Datenschutz und Cookie Richtlinien aus. Erfassen Sie die Datenflüsse nach Kanada, in die USA und auf die Philippinen und dokumentieren Sie den Angemessenheitsbeschluss und die verwendeten Klauseln.