Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Mul-Pay ist die Zahlungs-Gateway- und Aggregatorlösung von GMO Payment Gateway, Inc., einem der größten Zahlungsdienstleister Japans. Sie stellt eine gehostete Zahlungsseite auf mul-pay.jp bereit, die Kartenzahlungen und alternative Zahlungsverfahren serverseitig verarbeitet. Cookies werden ausschließlich auf der Zahlungs-Domain gesetzt, sind technisch notwendig und profitieren für DSGVO-Übermittlungen vom EU-Japan-Angemessenheitsbeschluss.
Mul-Pay ist der einheitliche Payment-Gateway-Dienst von GMO Payment Gateway, Inc., einem der größten Zahlungsdienstleister Japans. Die Lösung unterstützt Kartenzahlungen, Konbini-Zahlungen, Banküberweisungen, Pay-easy, Carrier Billing und zahlreiche japanische E-Wallets. Die Anbindung an die Händler-Webseite erfolgt entweder per serverseitigem API-Aufruf an mul-pay.jp oder per Weiterleitung des Käufers auf eine gehostete Zahlungsseite der Gateway-Domain. In beiden Fällen erreichen sensible Kartendaten den Händler nicht: Sie werden in der GMO-PG-Umgebung erfasst, die eine PCI-DSS-Level-1-Attestierung besitzt.
Cookies werden ausschließlich auf der Domain mul-pay.jp während des Zahlungsschritts geschrieben und sind allesamt technisch notwendig: ein Session-Identifikator, der das Formularsenden mit dem Transaktionsdatensatz verknüpft, ein CSRF-Token gegen Request-Forgery sowie ein kurzlebiges Sicherheitstoken für den 3-D-Secure-Flow, wenn der Issuer dies verlangt. Werbung, Analyse oder persistente Tracking-Cookies werden durch Mul-Pay nicht gesetzt. Übermittelt werden Transaktionsbetrag, Währung, maskierte Kartendaten, das Kryptogramm und bei einigen Zahlungsverfahren Name und Kontaktdaten des Käufers zur Betrugsprävention.
Die im Zahlungsschritt gesetzten Cookies sind nach Art. 5(3) ePrivacy technisch notwendig, da sie für den ausdrücklich gewünschten Zahlungsdienst, nämlich die sichere Verarbeitung der Transaktion, erforderlich sind. Sie benötigen keine Einwilligung und sollten vom Händler nicht über eine CMP blockiert werden. Die Verarbeitung der Karten- und Transaktionsdaten stützt sich auf die Vertragserfüllung (Art. 6(1)(b) DSGVO) sowie auf rechtliche Verpflichtungen aus PCI DSS, Geldwäscheprävention und japanischen Finanzregelungen (Art. 6(1)(c)). GMO Payment Gateway agiert als eigenständig Verantwortlicher für Betrugsmonitoring und als Auftragsverarbeiter bei der Transaktionsausführung im Auftrag des Händlers.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Im Januar 2019 hat die Europäische Kommission Japan einen vollständigen Angemessenheitsbeschluss zuerkannt, 2024 erneuert. Übermittlungen personenbezogener EU-Daten an Mul-Pay erfordern daher weder Standardvertragsklauseln noch eine Transfer Impact Assessment. Der Händler muss jedoch sicherstellen, dass die ergänzenden Regeln der japanischen Personal Information Protection Commission (PPC) im Vertrag referenziert und von GMO Payment Gateway eingehalten werden. Das japanische APPI gilt zusätzlich lokal und erlegt dem Gateway eigene Pflichten auf.
Da die Cookies technisch notwendig sind und die Übermittlung auf Angemessenheit beruht, wird die Einwilligungsschwelle für den reinen Zahlungsschritt nicht überschritten. Eine DSFA ist für das Gateway allein selten erforderlich, sollte aber in der umfassenderen DSFA zum E-Commerce-Stack adressiert werden. Zu dokumentierende Schutzmaßnahmen sind PCI-DSS-Level-1-Kontrollen, die verpflichtende Anwendung von 3-D Secure 2 auf EU-Karten, Transportverschlüsselung, Tokenisierung der Kartennummern und Aufbewahrungsfristen für Transaktions-Metadaten (üblicherweise 5 bis 10 Jahre zu Steuer- und AML-Zwecken).
Schließen Sie den AVV mit GMO Payment Gateway ab, verweisen Sie in der Datenschutzerklärung auf den EU-Japan-Angemessenheitsbeschluss und führen Sie mul-pay.jp in der Cookie-Richtlinie als Zahlungsdomain. Konfigurieren Sie die CMP so, dass das Gateway niemals blockiert wird, und weisen Sie im Checkout deutlich auf die Weiterleitung an einen japanischen Dienstleister hin. Aktivieren Sie 3-D Secure 2, um der Starken Kundenauthentifizierung nach PSD2 zu entsprechen, wenn der Issuer im EWR sitzt. Dokumentieren Sie die Aufbewahrung von Token und Transaktions-Logs getrennt von Marketing-Daten.
Websites using Mul-Pay must obtain user consent under GDPR regulations.
DPIA considerations
Eine DSFA ist für die reine Zahlungsstufe in der Regel nicht erforderlich, da Mul-Pay einen begrenzten Datensatz zu einem klar definierten Vertragszweck auf japanischer Infrastruktur verarbeitet, die vom EU-Angemessenheitsbeschluss erfasst ist. Der Händler muss jedoch den Datenfluss im Verzeichnis von Verarbeitungstätigkeiten dokumentieren, die Aufbewahrung von Transaktions-Metadaten für PCI DSS und Geldwäsche-Prävention (üblicherweise 5 bis 10 Jahre) sowie die Unterauftragsverarbeiter von GMO Payment Gateway festhalten. Bei 3-D Secure tritt die ausstellende Bank als weiterer Beteiligter hinzu.
Sample consent text
Im Zahlungsschritt werden Sie auf das sichere Mul-Pay-Gateway weitergeleitet, das GMO Payment Gateway in Japan betreibt. Die auf der Mul-Pay-Seite gesetzten Cookies sind technisch notwendig, um Ihre Zahlung sicher abzuwickeln und Betrug zu verhindern; sie erfordern keine Einwilligung. Karten-Daten werden nicht beim Händler gespeichert. Sie werden von Mul-Pay nach PCI DSS verarbeitet und auf Grundlage des EU-Japan-Angemessenheitsbeschlusses aus der EU nach Japan übermittelt.
Third-party domains contacted
mul-pay.jpp01.mul-pay.jpp02.mul-pay.jpgmopg.jpCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| MULPAY_SESSION | strictly-necessary | Session | Session identifier set on mul-pay.jp that links the buyer payment form to the transaction record. Required to deliver the payment service requested by the buyer. |
| XSRF-TOKEN | strictly-necessary | Session | CSRF token used to validate form submissions on the Mul-Pay hosted payment page and prevent request forgery. |
| mulpay_3ds | strictly-necessary | 15 minutes | Short lived token used during the 3-D Secure 2 challenge flow to bind the issuer authentication step to the original transaction. |
Mul-Pay verwendet Cookies für Nutzereinstellungen — informieren Sie Besucher mit einem Cookie-Banner.
Mul-Pay schreibt im Zahlungsprozess ausschließlich technisch notwendige Cookies auf der Domain mul-pay.jp: einen Session-Identifikator, der den Käufer mit dem Transaktionsdatensatz verbindet, ein XSRF-Token für den CSRF-Schutz der gehosteten Zahlungsseite und ein kurzlebiges 3-D-Secure-Token, falls der Issuer eine starke Authentifizierung verlangt. Werbe-, Analyse- oder persistente Tracking-Cookies werden nicht gesetzt.
Nein. Die auf der Mul-Pay-Zahlungsseite gesetzten Cookies sind für die Verarbeitung der vom Käufer ausdrücklich angeforderten Transaktion technisch notwendig. Nach Art. 5(3) ePrivacy sind sie einwilligungsfrei. Der Händler sollte die Mul-Pay-Domain nicht über die CMP blockieren, da sonst die Zahlung nicht abgeschlossen werden kann.
Die Vertragserfüllung (Art. 6(1)(b) DSGVO) ist die maßgebliche Grundlage für die Zahlungsverarbeitung; ohne sie kann der Händler den Kauf nicht liefern. Rechtliche Verpflichtungen (Art. 6(1)(c)) decken PCI DSS, Geldwäscheprävention und japanische Finanzregelungen ab. Das berechtigte Interesse (Art. 6(1)(f)) kann das eigenständige Betrugs-Monitoring von GMO Payment Gateway tragen.
Japan profitiert von einem Angemessenheitsbeschluss der Europäischen Kommission vom Januar 2019, der 2024 erneuert wurde. Übermittlungen an Mul-Pay sind daher ohne SCC und ohne Transfer Impact Assessment zulässig. Der Händler sollte die Adäquanz dennoch in der Datenschutzerklärung erwähnen und sicherstellen, dass die ergänzenden Regeln der japanischen Personal Information Protection Commission von GMO Payment Gateway eingehalten werden.
Eine DSFA ist für die reine Zahlungsintegration selten erforderlich, da der Datensatz begrenzt, der Zweck klar definiert und das Empfängerland durch einen Angemessenheitsbeschluss gedeckt ist. Mul-Pay sollte trotzdem in der DSFA zum gesamten E-Commerce-Stack und im Verzeichnis nach Art. 30 erwähnt werden. Dokumentieren Sie die Aufbewahrung der Transaktions-Metadaten (üblicherweise 5 bis 10 Jahre zu Steuer- und AML-Zwecken) und die von GMO Payment Gateway bereitgestellte Unterauftragsverarbeiter-Liste.
Nutzen Sie wenn möglich die Server-zu-Server-API, damit Kartendaten ausschließlich auf der Seite von GMO Payment Gateway verbleiben, oder verwenden Sie die gehostete Zahlungsseite über HTTPS mit einem klaren Hinweis auf die Weiterleitung an einen japanischen Dienstleister. Schließen Sie den AVV mit GMO Payment Gateway, listen Sie mul-pay.jp in der Cookie-Richtlinie als Zahlungsdomain und blockieren Sie das Gateway niemals über die CMP. Erzwingen Sie 3-D Secure 2 zur Erfüllung der starken Kundenauthentifizierung nach PSD2, wenn der Issuer im EWR sitzt.
Ja. Adyen (Niederlande), Mollie (Niederlande), Worldline (Frankreich), Nexi (Italien) und Stripe Europe (Irland) sind EU-Zahlungsdienstleister mit vergleichbaren Funktionssätzen. Für rein europäische Geschäfte sind sie meist vorzuziehen, da sie jede Drittlanddimension entfallen lassen. Mul-Pay bleibt die naheliegende Wahl, wenn der Zielmarkt Japan ist und die Käufer japanische Zahlverfahren wie Konbini oder Pay-easy erwarten.
Nennen Sie Mul-Pay als Zahlungs-Gateway von GMO Payment Gateway, Inc. auf der Domain mul-pay.jp, klassifizieren Sie die Cookies als technisch notwendig und verweisen Sie im Abschnitt zu internationalen Übermittlungen auf den EU-Japan-Angemessenheitsbeschluss. Weisen Sie darauf hin, dass die Zahlungs-Cookies ausschließlich während des Checkouts gesetzt werden, dem Händler nicht zugänglich sind und dass die Datenschutzerklärung des Gateways auf der Mul-Pay-Webseite abrufbar ist.