E-Commerce

Paddle

Paddle ist eine britische Zahlungsplattform nach dem Merchant-of-Record-Modell (MoR) und wird von SaaS-Anbietern in Europa weit verbreitet eingesetzt, um Abrechnung, EU-Mehrwertsteuer, Betrugsprävention und Reporting auszulagern. Die Hauptverarbeitung erfolgt in AWS-EU-Regionen; das Vereinigte Königreich profitiert von einem Angemessenheitsbeschluss. Der gehostete Paddle-Checkout setzt ausschließlich strikt notwendige First-Party-Cookies; als Merchant of Record übernimmt Paddle Mehrwertsteuer und Rechnungsstellung im Namen des Verkäufers.

Überblick

Was macht Paddle?

Was ist Paddle?

Paddle ist eine 2012 in London gegründete britische Zahlungsplattform, die als Merchant of Record (MoR) für Software- und digitale Produkte agiert. Verkäufer integrieren Paddle Checkout oder die Paddle-Billing-API; Paddle übernimmt anschließend Kartenverarbeitung, Betrugsprävention, EU-Mehrwertsteuer-Berechnung und -Abführung, Rechnungsstellung, Dunning und Chargebacks im Namen des Verkäufers. Sehr verbreitet bei europäischen SaaS-Anbietern, um compliancestarke Abrechnung auszulagern.

Cookies und erfasste Daten

Paddle verarbeitet die vom Kunden eingegebenen Zahlungsdaten (Kartennummer, Rechnungsadresse, IP, Land zur USt.-Bestimmung), Bestellmetadaten des Verkäufers, Risikosignale für Betrugsprävention und SCA sowie die E-Mail-Adresse des Kunden für Belege und Rechnungen. Auf dem gehosteten Paddle-Checkout-Overlay werden ausschließlich strikt notwendige First-Party-Cookies gesetzt: ein Sitzungs-Cookie, ein CSRF-Token und ein kleiner Risiko-Score-Cookie zur Betrugsprävention. Es kommen keine Werbe- oder Verhaltens-Cookies zum Einsatz.

DSGVO und ePrivacy: Auswirkungen

Für die Cookies des Paddle-Checkouts greift die strikte Notwendigkeitsausnahme nach Art. 5(3) ePrivacy. Zahlungsdaten werden auf Grundlage der Vertragserfüllung (Art. 6(1)(b) DSGVO) verarbeitet, AML-, EU-Mehrwertsteuer- und Steuer-Aufbewahrung auf Grundlage einer rechtlichen Verpflichtung (Art. 6(1)(c)). Da Paddle Merchant of Record ist, agiert es für Teile der Transaktion (insbesondere Steuer-Compliance und Chargebacks) als Verantwortlicher und für andere Teile als Auftragsverarbeiter. Aktualisieren Sie Ihre Datenschutzerklärung entsprechend.

Datenübermittlungen und Hosting

Paddle.com Market Limited ist im Vereinigten Königreich registriert, das von einem Angemessenheitsbeschluss der EU-Kommission profitiert. Die Hauptverarbeitung erfolgt in AWS-EU-Regionen Frankfurt und Dublin, mit Replikation ins UK und begrenzten US-Unterauftragsverarbeitern für Betrugsprävention und Observability. Standardvertragsklauseln finden sich im Paddle-DPA für jeden nicht angemessenen Transfer.

Praktische Compliance-Schritte

Schließen Sie den Paddle-DPA aus dem Dashboard ab. Nennen Sie Paddle in Ihrer Datenschutzerklärung als Merchant of Record und Auftragsverarbeiter mit UK-Angemessenheit und EU-AWS-Hosting. Nutzen Sie den gehosteten Paddle Checkout, um den PCI-DSS-Geltungsbereich zu begrenzen. Konfigurieren Sie SCA- und Risiko-Regeln gemäß PSD2. Legen Sie eine Aufbewahrungsfrist für Transaktionsmetadaten gemäß AML-, EU-Mehrwertsteuer- und Steuerpflichten fest. Dokumentieren Sie die MoR-Verantwortungsteilung (Steuern, Chargebacks, Rückerstattungen).

Datenschutz

Paddle und die DSGVO

Rechtsgrundlage
Contract performance (Art. 6(1)(b) GDPR) for processing payment data necessary to complete a transaction the customer has initiated. Legal obligation (Art. 6(1)(c)) for AML, EU VAT and tax record keeping (Paddle acts as merchant of record). Cookies on the Paddle hosted checkout are strictly necessary and exempt from consent under Art. 5(3) ePrivacy.
Risikostufe
low
Anwendbare Vorschriften
GDPR, UK GDPR, ePrivacy Directive 2002/58/EC, PSD2, EU VAT Directive (Council Directive 2006/112/EC), AMLD5, PCI DSS

Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA ist für Standard-SaaS-Abo-Abrechnung über Paddle in der Regel nicht erforderlich. Sie kann bei umfangreicher Kunden-Profilierung, grenzüberschreitenden Produktflüssen oder besonderen Datenkategorien rund um Abostufen relevant werden.

Beispieltext für Ihr Banner

Zahlungen und Rechnungsstellung auf dieser Website werden von Paddle (Paddle.com Market Limited, Vereinigtes Königreich) als unser Merchant of Record abgewickelt. Paddle verarbeitet Ihre Zahlungsdaten und die EU-Mehrwertsteuer auf Grundlage des Vertrags und gesetzlicher Pflichten auf EU-AWS-Infrastruktur. Details in unserer Datenschutzerklärung.
Cookies und Tracker

Was Paddle setzt und kontaktiert

Tracking-Methode
merchant of record SaaS payment platform; hosted Paddle Checkout overlay or Paddle Billing API with first party session and risk cookies on the Paddle hosted pages
Serverstandort
European Union (Paddle.com Market Limited, London, United Kingdom; primary EU processing on AWS regions in Frankfurt and Dublin)
Cookieloser Modus verfügbar
Ja
Datenübermittlung außerhalb der EU
Paddle.com Market Limited is a UK company. The UK benefits from a European Commission adequacy decision under the GDPR. EU customer data is processed primarily on AWS EU regions (Frankfurt, Dublin) with replication to the UK and limited US sub processors for fraud prevention. Standard Contractual Clauses are included in the Paddle DPA for any transfer outside the EEA or the UK.

Gesetzte Cookies (3)

NameTypLaufzeitZweck
paddle_sessionfirst_partySessionStrictly necessary session cookie used to maintain the customer session on the Paddle hosted checkout while a payment is in progress.
paddle_csrffirst_partySessionCSRF protection token used to validate the payment form submission on the Paddle hosted checkout.
paddle_riskfirst_party30 minutesStrictly necessary risk score cookie used by Paddle for fraud prevention during the transaction.

Kontaktierte Drittanbieter-Domains (4)

  • paddle.com
  • checkout.paddle.com
  • cdn.paddle.com
  • buy.paddle.com
Fragen

Häufige Fragen zu Paddle

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.

Welche Cookies setzt Paddle?

Auf dem gehosteten Paddle-Checkout-Overlay werden ausschließlich strikt notwendige First-Party-Cookies gesetzt: ein Sitzungs-Cookie (paddle_session), ein CSRF-Token (paddle_csrf) und ein kleiner Risiko-Score-Cookie (paddle_risk) zur Betrugsprävention während der Transaktion. Paddle setzt keine Werbe- oder Verhaltens-Cookies.

Brauche ich eine Einwilligung für Paddle?

Für die Anzeige des gehosteten Paddle-Checkouts ist kein Banner erforderlich, da die Cookies nach Art. 5(3) ePrivacy strikt notwendig sind. Eine Einwilligung wird erst relevant, wenn Sie optionale Marketing-Komponenten von Paddle auf Ihren eigenen Seiten einbinden, was Paddle standardmäßig nicht verlangt.

Was ist die Rechtsgrundlage für die Verarbeitung von Zahlungsdaten über Paddle?

Vertragserfüllung (Art. 6(1)(b) DSGVO) für die zur Transaktion notwendigen Daten. Rechtliche Verpflichtung (Art. 6(1)(c)) für AML-, EU-Mehrwertsteuer- und Steueraufbewahrung (Paddle ist Merchant of Record für diese Pflichten). Strikt notwendige Cookies des Checkouts stützen sich auf Art. 5(3) ePrivacy.

Übermittelt Paddle Daten in Drittländer?

Paddle.com Market Limited ist im Vereinigten Königreich registriert, das von einem Angemessenheitsbeschluss der EU-Kommission profitiert. Die Hauptverarbeitung erfolgt in AWS-EU-Regionen Frankfurt und Dublin, mit Replikation ins UK und begrenzten US-Unterauftragsverarbeitern für Betrugsprävention und Observability. Standardvertragsklauseln finden sich im Paddle-DPA für jeden nicht angemessenen Transfer.

Brauche ich eine DSFA für Paddle?

Standard-SaaS-Abo-Abrechnung über Paddle erfordert in der Regel keine DSFA. Eine DSFA kann bei umfangreicher Kunden-Profilierung, grenzüberschreitenden Produktflüssen oder besonderen Datenkategorien rund um Abostufen relevant werden.

Wie integriere ich Paddle rechtskonform?

Schließen Sie den Paddle-DPA aus dem Dashboard ab. Nennen Sie Paddle in der Datenschutzerklärung als Merchant of Record und Auftragsverarbeiter mit UK-Angemessenheit und EU-AWS-Hosting. Nutzen Sie den gehosteten Paddle Checkout, um den PCI-DSS-Geltungsbereich zu begrenzen. Konfigurieren Sie SCA- und Risiko-Regeln gemäß PSD2. Legen Sie eine Aufbewahrungsfrist für Transaktionsmetadaten gemäß AML-, EU-Mehrwertsteuer- und Steuerpflichten fest.

Welche Alternativen zu Paddle für SaaS-Abrechnung in der EU gibt es?

Weitere Merchant-of-Record-Plattformen sind Lemon Squeezy (US), FastSpring (US) und die EU-Anbieter ConsentMagic / 2Checkout. Für EU-Optionen ohne MoR können Stripe Billing, Mollie-Abonnements und Adyen Subscriptions die wiederkehrenden Zahlungen abwickeln, während die EU-Mehrwertsteuer-Compliance beim Verkäufer verbleibt.

Wie sollte ich meine Cookie-Erklärung für Paddle aktualisieren?

In den meisten Setups ist keine Aktualisierung des Banners notwendig, da der gehostete Paddle-Checkout nur strikt notwendige Cookies nach Art. 5(3) ePrivacy setzt. Erwähnen Sie Paddle in der Datenschutzerklärung als Merchant of Record und Auftragsverarbeiter, mit UK-Angemessenheit, EU-AWS-Hosting und Rechtsgrundlage je Schritt (Zahlungen, MwSt., Betrugsprävention).

Machen Sie Ihre Website noch heute konform.

Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.