Razorpay
Razorpay ist ein indisches Payment Gateway und eine Full Stack Finanzplattform, gegründet 2014 und mit Sitz in Bangalore. Es ermöglicht Online Händlern Zahlungen per Karte, UPI, Banking, Wallet und Ratenfinanzierung anzunehmen. Für europäische Händler mit indischen Kunden bedeutet Razorpay einen grenzüberschreitenden Transfer von Zahlungsdaten nach Indien, ein Land ohne DSGVO Angemessenheitsbeschluss.
Was macht Razorpay?
Was ist Razorpay
Razorpay ist ein indisches Payment Gateway und eine Full Stack Finanzplattform, 2014 von Harshil Mathur und Shashank Kumar gegründet. Sitz ist Bangalore; Razorpay bedient mehr als 10 Millionen Unternehmen in Indien und bietet Karten, UPI, Banking, Wallets, EMI, Abonnements, Auszahlungen und Kredite. Das Unternehmen ist bei der Reserve Bank of India als Payment Aggregator registriert und PCI DSS Level 1 zertifiziert.
Erfasste Daten und Cookies
Razorpay verarbeitet Zahlungsmitteldaten (Kartennummer, Ablauf, eingegebenes CVV, UPI VPA, Bankkonto), Kaeufername, E Mail, Telefon, Rechnungsadresse, IP, Geräte Fingerprint und Transaktionsbetrag. Das von checkout.razorpay.com ausgelieferte Checkout iFrame setzt First Party Cookies auf seiner eigenen Domain für Session, CSRF Schutz und Betrugsdetektion. Bei Redirect oder Hosted Page können weitere Cookies für Partner Attribution gesetzt werden.
DSGVO und ePrivacy Auswirkungen
Für europäische Händler mit indischen Kunden oder Indien Geschäft handelt Razorpay als Auftragsverarbeiter für die Transaktion und als eigenständiger Verantwortlicher für eigene Betrugs und Aufsichtsverpflichtungen. Die ePrivacy Richtlinie gilt für Cookies, die auf der Händlerseite gesetzt würden; das Razorpay iFrame liegt auf einer Drittdomain, daher ist eine Einwilligung für nicht zwingend erforderliche Cookies vor dem Laden des iFrames einzuholen. Zwingend erforderliche Cookies für die Zahlung sind ausgenommen.
Einwilligungspflicht
Für die zwingend erforderlichen Checkout Cookies (Betrugsprävention, Session) ist keine Einwilligung erforderlich. Einwilligung ist für alle im Overlay geladenen Analyse oder Marketing Cookies nötig, und der Händler muss Nutzer über den Transfer nach Indien informieren. Die Datenschutzerklärung muss Razorpay als Auftragsverarbeiter und die Standardvertragsklauseln benennen.
Datentransfers außerhalb des EWR
Die gesamte Razorpay Verarbeitung erfolgt in Indien, das keinen Angemessenheitsbeschluss nach Art. 45 DSGVO besitzt. Transfers aus der EU verlangen Standardvertragsklauseln mit zusätzlichen Massnahmen, eine Transfer Impact Assessment und eine Information der Betroffenen. Kartendaten werden zudem an internationale Kartennetzwerke weitergegeben. DPDPA 2023, Telegraph Act und IT Act erlauben behördlichen Zugriff in Indien und sind in der TIA zu analysieren.
Praktische Schritte zur Compliance
Schließen Sie den Razorpay Data Processing Agreement und die Standardvertragsklauseln ab, führen Sie eine Transfer Impact Assessment mit Blick auf indische Zugriffsbefugnisse durch, führen Sie Razorpay und seine Unterauftragsverarbeiter in Ihrem Verzeichnis von Verarbeitungstätigkeiten, laden Sie den Checkout erst nach Einwilligung zu nicht zwingend erforderlichen Cookies, informieren Sie über den Indien Transfer in Datenschutzerklärung und Checkout, beschränken Sie übertragene Daten auf das Minimum und nutzen Sie Tokenisierung, wo möglich.
Razorpay und die DSGVO
Razorpay ist als „Präferenzen“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- Contract (Art. 6(1)(b) GDPR) for processing the transaction; Legitimate interest (Art. 6(1)(f) GDPR) for fraud prevention; Consent (Art. 6(1)(a) GDPR) for any analytics or marketing cookies set during checkout
- Risikostufe
- high
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive (Cookie Law), PSD2, PCI DSS, DPDPA 2023 (India), RBI Payment Data Storage circular
Datenschutz-Folgenabschätzung (DSFA)
Razorpay verarbeitet Zahlungs und personenbezogene Daten in Indien. Wesentliche DSFA Aspekte: (1) Indien hat keinen DSGVO Angemessenheitsbeschluss, Transfers benötigen SCC und eine Transfer Impact Assessment; (2) RBI Vorgaben verlangen Speicherung der Zahlungsdaten in Indien und schränken Alternativen ein; (3) Razorpay ist PCI DSS Level 1 zertifiziert und bei der RBI als Payment Aggregator registriert; (4) das Checkout iFrame setzt Cookies zur Betrugsprävention, die als zwingend erforderlich gelten können, während Analyse Cookies einwilligungspflichtig sind; (5) Razorpay teilt Daten mit Kartennetzwerken (Visa, Mastercard, RuPay) und Acquiring Banken; (6) das DPDPA 2023 verändert den indischen Rechtsrahmen und ist in der Transfer Impact Assessment zu berücksichtigen.
Beispieltext für Ihr Banner
Wir verwenden Razorpay, ein indisches Payment Gateway, um Karten, UPI und Banking Zahlungen zu verarbeiten. Razorpay setzt zwingend erforderliche Cookies im Checkout Fenster zur Betrugsprävention und teilt Transaktionsdaten mit Kartennetzwerken und Acquiring Banken. Ihre Zahlungsdaten werden auf Grundlage der Standardvertragsklauseln nach Indien übermittelt und dort gespeichert.
Was Razorpay setzt und kontaktiert
- Tracking-Methode
- JavaScript checkout SDK (checkout.razorpay.com) with iframe overlay; first-party cookies set on the iframe for fraud prevention and session continuity; server-side API calls for payment processing
- Serverstandort
- India: primary data centres in Mumbai with disaster recovery sites; data residency in India under RBI Storage of Payment System Data circular
- Datenübermittlung außerhalb der EU
- Razorpay Software Private Limited is headquartered in Bangalore, India. The Indian Reserve Bank requires payment data to be stored in India. India has no adequacy decision under Art. 45 GDPR, so transfers from the EU require Standard Contractual Clauses under Art. 46(2)(c) and a Transfer Impact Assessment that accounts for the Indian Telegraph Act and the Digital Personal Data Protection Act 2023. Card payments traverse Visa, Mastercard or RuPay networks.
Gesetzte Cookies (4)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| rzp_checkout_anonymous_token | Functional | Session | Anonymous session identifier set by the Razorpay checkout iframe to maintain context during the payment flow. |
| rzp_device_id | Functional | 1 year | Persistent device identifier used by Razorpay for fraud detection across payment sessions. |
| rzp_stored_user_id | Functional | 1 year | Stores a customer identifier when the buyer uses Razorpay saved instruments to speed up future checkouts. |
| csrf_token | Functional | Session | CSRF protection token used by the Razorpay checkout API to validate requests during a payment session. |
Kontaktierte Drittanbieter-Domains (5)
razorpay.comcheckout.razorpay.comapi.razorpay.comcdn.razorpay.comlumberjack.razorpay.com
Häufige Fragen zu Razorpay
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Welche Cookies setzt der Razorpay Checkout?
Razorpay setzt First Party Cookies auf der Domain checkout.razorpay.com (rzp_checkout_*, rzp_device_id, rzp_stored_user_id, csrf_token) für Session, Geräte Fingerprint und Betrugsdetektion. Diese sind für das Checkout iFrame zwingend erforderlich. Analyse Cookies im Overlay erfordern eine Einwilligung.
Brauche ich eine Einwilligung, um den Razorpay Checkout zu laden?
Für die zwingend erforderlichen Cookies, die der Checkout zur Verarbeitung einer Zahlung setzt, ist keine Einwilligung erforderlich. Sie müssen die Nutzer über den Transfer nach Indien und die Auftragsverarbeiter Rolle von Razorpay informieren. Beim Einbinden vor Einwilligung dürfen nur zwingend erforderliche Cookies geladen werden.
Was ist die Rechtsgrundlage für Zahlungen über Razorpay?
Vertragserfüllung (Art. 6(1)(b) DSGVO) deckt die Verarbeitung der vom Kunden gewünschten Transaktion ab. Berechtigtes Interesse (Art. 6(1)(f) DSGVO) deckt Betrugsprävention, Geldwäschebekämpfung und Pruefpflichten ab. Marketing Cookies im Checkout benötigen Einwilligung (Art. 6(1)(a) DSGVO).
Wo verarbeitet Razorpay Daten, und gibt es Transfers nach Indien?
Die gesamte Razorpay Verarbeitung erfolgt in Indien, primär in Mumbai, mit Disaster Recovery in anderen indischen Regionen. Indien hat keinen DSGVO Angemessenheitsbeschluss, daher müssen EU Verantwortliche SCC nutzen, eine Transfer Impact Assessment mit indischen Zugriffsbefugnissen dokumentieren und Betroffene über den Transfer informieren.
Brauche ich eine DSFA für Razorpay?
Eine DSFA ist für jeden Händler empfehlenswert, der personenbezogene Daten über Razorpay verarbeitet, wegen des Drittlandtransfers und des Datenvolumens. Sie sollte den Transfer nach Indien, das Teilen mit Kartennetzwerken, DPDPA 2023 und RBI Regeln, die Aufbewahrung von Zahlungsdaten und Tokenisierungsstrategien abdecken.
Wie integriere ich Razorpay DSGVO konform?
Schließen Sie das Razorpay Data Processing Agreement und die SCC ab, führen Sie eine Transfer Impact Assessment durch, beschränken Sie die übertragenen Daten auf das Notwendige, bevorzugen Sie Tokenisierung statt Rohkartendaten, nennen Sie Razorpay in der Datenschutzerklärung und am Checkout, und laden Sie kein nicht zwingend erforderliches Skript vor Einwilligung.
Welche DSGVO Alternativen zu Razorpay gibt es für EU Händler?
Für EU zentrische Flows kommen Stripe, Adyen, Mollie, Klarna oder Worldline in Frage, die überwiegend im EWR verarbeiten und etablierte SCC Rahmenwerke haben. Razorpay bleibt relevant, wenn Sie speziell Zahlungen aus Indien (UPI, RuPay, indisches Banking) annehmen müssen.
Wie sollte ich meine Cookie und Datenschutzerklärung an Razorpay anpassen?
Führen Sie Razorpay als Auftragsverarbeiter, nennen Sie die geteilten Zahlungsdatenkategorien, weisen Sie auf den Transfer nach Indien hin, verweisen Sie auf SCC und Ihre Transfer Impact Assessment, beschreiben Sie die vom iFrame gesetzten Cookies und ihren Betrugspraeventionszweck und verlinken Sie die Razorpay Datenschutzerklärung und das DPA.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.