Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Scalapay ist ein italienischer Buy Now Pay Later (BNPL) Anbieter, der Einkäufe in zinsfreie Raten aufteilt und sich hauptsächlich auf Mode und Lifestyle-E-Commerce in Italien und Frankreich konzentriert. Es bindet ein Checkout-Widget auf Händlerseiten ein und nutzt ein Marketing- und Konversions-Tracking-Pixel. Da Scalapay finanzielle Verbraucherdaten verarbeitet und Soft-Credit-Checks durchführt, löst die Integration sowohl DSGVO-Einwilligungspflichten als auch sektorspezifische Anforderungen unter der EU-Verbraucherkreditrichtlinie und PSD2 aus.
Scalapay ist eine italienische Buy Now Pay Later (BNPL) Fintech, die es Verbrauchern ermöglicht, Einkäufe in drei oder vier zinsfreie Raten aufzuteilen. Gegründet 2019 in Mailand, konzentriert sie sich auf Mode, Beauty und Lifestyle-E-Commerce in Italien, Frankreich, Spanien, Portugal, Deutschland und Australien. Händler binden das Scalapay-Checkout-Widget über ein JavaScript-Snippet von cdn.scalapay.com oder widget.scalapay.com ein, das Ratenvorschauen auf Produktseiten anzeigt und den Zahlungsfluss abwickelt. Als regulierter Verbraucherkreditanbieter gehen seine Datenschutzpflichten über die allgemeinen DSGVO-Anforderungen hinaus und umfassen sektorspezifische Regeln unter der EU-Verbraucherkreditrichtlinie und PSD2.
Scalapay erhebt Verbraucheridentitätsdaten (Name, E-Mail, Telefon, Adresse), Bestelldaten (Artikel, Beträge, Händler-ID) und Zahlungsplanddaten. Bei der Berechtigungsprüfung führt es einen Soft-Credit-Check durch, der keine sichtbare Spur in der Kreditakte hinterlässt, aber dennoch eine Verarbeitung finanzieller personenbezogener Daten darstellt. Das Marketing-Pixel (von widget.scalapay.com) erfasst Seitenaufruf- und Konversionsereignisse. Cookies umfassen einen Zahlungssession-Identifier, einen Betrugserkennungs-Token und Marketing-Mess-Cookies. Der Zahlungssession-Cookie ist für den Checkout unerlässlich; alle anderen erfordern eine Einwilligung.
Die Kernzahlungsverarbeitung stützt sich auf die Vertragserfüllung (Art. 6(1)(b) DSGVO). Soft-Credit-Checks können durch berechtigte Interessen (Art. 6(1)(f)) gerechtfertigt werden, wobei viele Praktiker zur Sicherheit auf Einwilligung setzen. Marketing-Pixel-Verarbeitung und Retargeting erfordern eine Einwilligung nach Art. 6(1)(a) DSGVO und der ePrivacy-Richtlinie. Italienische Händler müssen auch den Cookie-Richtlinien des Garante entsprechen. Das italienische Codice Privacy (D.Lgs. 196/2003 in der durch D.Lgs. 101/2018 geänderten Fassung) gilt für italienische Betroffene parallel zur DSGVO.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Da Scalapay Zahlungsaufschubpläne anbietet, können Händler, die es als Zahlungsoption integrieren, Co-Offenlegungspflichten nach der EU-Verbraucherkreditrichtlinie (2008/48/EG) und ihrer Nachfolgerin (2023/2225/EU) haben. Diese verlangen vorvertragliche Informationen für Verbraucher, einschließlich des effektiven Jahreszinses (auch wenn er 0% beträgt), des Gesamtkreditbetrags und des Rückzahlungsplans. Die kommende Verbraucherkreditrichtlinie II erhöht die Transparenzanforderungen für BNPL. Händler müssen sicherstellen, dass ihr Checkout-Flow den Kreditcharakter der Transaktion nicht verschleiert.
Das Checkout-Widget kann ohne Einwilligung geladen werden, wenn es auf die Anzeige von Rateninformationen mit wesentlichen Session-Cookies beschränkt ist. Das Marketing-Pixel auf widget.scalapay.com und Retargeting-Cookies müssen jedoch hinter einer vorherigen Einwilligung stehen. Die CMP-Einwilligungsschicht muss Scalapay unter 'Zahlungen' (wesentlich) und 'Marketing' oder 'Analytik' (Einwilligung erforderlich) kategorisieren. Einwilligungsnachweise müssen mit Zeitstempeln gespeichert werden, und der Widerruf muss durch Blockierung nachfolgender Pixel-Anfragen respektiert werden.
Händler sollten: (1) das Ratenvorschau-Widget (funktional) vom Marketing-Pixel (Einwilligung erforderlich) trennen; (2) Scalapay in der Datenschutzerklärung mit einer Beschreibung der Soft-Credit-Verarbeitung aufnehmen; (3) das Scalapay-DPA unterzeichnen und aktuell halten; (4) die erforderlichen vorvertraglichen EU-Verbraucherkreditinformationen anzeigen; (5) Verbraucher klar über den Soft-Credit-Check informieren; (6) eine DSFA durchführen wenn die Verarbeitung in großem Maßstab erfolgt; und (7) die Cookie-Richtlinientabellen aktualisieren und Scalapay-Cookies separat mit Zweck und Rechtsgrundlage auflisten.
Websites using Scalapay must obtain user consent under GDPR regulations.
DPIA considerations
Eine Datenschutz-Folgenabschätzung wird vor dem Einsatz von Scalapay dringend empfohlen, insbesondere wenn Soft-Credit-Daten verarbeitet werden oder das Marketing-Pixel das Kaufverhalten in großem Maßstab verfolgt. Wesentliche Risikobereiche: (1) Kombination von Verbraucheridentität, Bestell- und Zahlungsdaten zu detaillierten Finanzprofilen; (2) Soft-Credit-Anfragedaten, die finanzielle Vulnerabilität indirekt offenbaren können; (3) Marketing-Pixel-Daten (von widget.scalapay.com) ermöglichen Cross-Site-Verhaltensprofilierung; (4) Verarbeitung unter DSGVO und dem italienischen Codice Privacy für italienische Betroffene; (5) Vorvertragliche Offenlegungspflichten nach der EU-Verbraucherkreditrichtlinie. Die DSFA muss alle Datenflüsse über das Scalapay-Widget kartieren und prüfen, ob die Unterauftragnehmer-Kette Daten außerhalb des EWR freigibt.
Sample consent text
Wir bieten Scalapay als Ratenzahlungsoption an. Durch die Auswahl von Scalapay beim Checkout stimmen Sie zu, dass Scalapay S.r.l. Ihre persönlichen Daten, Bestelldaten und Zahlungsdaten verarbeitet, um Ihre Berechtigung zu prüfen, Ihren Ratenplan zu erstellen und Sie über Ihre Zahlungen zu informieren. Scalapay kann eine Soft-Credit-Prüfung durchführen, die sich nicht auf Ihre Kreditwürdigkeit auswirkt. Scalapay setzt über widget.scalapay.com auch Tracking-Cookies und ein Marketing-Pixel auf unserer Website. Sie können das Marketing-Pixel separat akzeptieren oder ablehnen; zahlungsbezogene Cookies sind für den Checkout-Ablauf erforderlich. Weitere Informationen finden Sie in unserer Datenschutzerklärung und der Datenschutzerklärung von Scalapay unter scalapay.com/privacy.
Third-party domains contacted
scalapay.comcdn.scalapay.comintegration.scalapay.comwidget.scalapay.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| scalapay_session | functional | Session | Essential payment session cookie that maintains the BNPL checkout state, order reference and authentication context during the Scalapay installment payment flow. Required for the payment to complete. |
| scalapay_device | functional | 1 year | Device fingerprint token used by Scalapay's fraud prevention system to identify and authenticate returning devices, reducing false-positive declines and detecting fraudulent transactions. |
| scp_track | marketing | 1 year | Marketing and conversion tracking cookie loaded from widget.scalapay.com. Tracks page views, product impressions and completed purchases to attribute sales to Scalapay and enable retargeting of consumers who viewed but did not complete an installment checkout. |
| scp_analytics | analytics | 6 months | Analytics cookie measuring widget rendering performance, installment plan selection rates and checkout funnel drop-off points to help Scalapay improve its merchant integration experience. |
| scp_ab | functional | 30 days | A/B testing cookie used to assign users to different Scalapay widget UI variants (e.g. 3 vs 4 installment display) and measure which presentation drives higher BNPL adoption rates. |
Scalapay verwendet Cookies für Nutzereinstellungen — informieren Sie Besucher mit einem Cookie-Banner.
Scalapay setzt einen Zahlungssession-Cookie, der für den BNPL-Checkout-Flow unerlässlich ist, einen Geräte-Fingerprint-Cookie zur Betrugsprävention und Marketing-Mess-Cookies von widget.scalapay.com, die Seitenaufrufe und Konversionsereignisse verfolgen. Der Session- und Betrugserkennungs-Cookie sind notwendig und können ohne Einwilligung gesetzt werden, aber die Marketing- und Analyse-Cookies erfordern eine vorherige aktive Zustimmung des Nutzers. Händler sollten prüfen, welche dieser Cookies vom Scalapay-Widget-Snippet in ihrer spezifischen Integration geladen werden.
Eine Einwilligung ist für das Marketing-Pixel und die Retargeting-Cookies erforderlich, die Scalapay über widget.scalapay.com lädt; diese dürfen nach der ePrivacy-Richtlinie und DSGVO nicht vor dem Opt-in des Nutzers gesetzt werden. Der Zahlungssession-Cookie kann als unbedingt erforderlich behandelt werden und benötigt keine vorherige Einwilligung. Händler in Italien müssen auch die spezifischen Cookie-Leitlinien des Garante einhalten. Der sicherste Ansatz ist, den vollständigen Scalapay-Snippet erst nach Erteilung des Marketing-Einwilligung zu laden.
Die Kern-Zahlungsverarbeitung und Ratenvereinbarung stützt sich auf die Vertragserfüllung (Art. 6(1)(b) DSGVO). Der Soft-Credit-Check nutzt berechtigte Interessen (Art. 6(1)(f)), wobei manche Verantwortliche zur Sicherheit explizite Einwilligung bevorzugen. Marketing-Pixel-Verarbeitung und Retargeting erfordern eine Einwilligung (Art. 6(1)(a) DSGVO). Betrugsbekämpfung stützt sich auf berechtigte Interessen. Italienische Händler müssen auch das Codice Privacy berücksichtigen, das spezifische Verfahren für automatisierte Kreditwürdigkeitsprüfungen vorschreibt.
Scalapays Kernverarbeitung ist EU-basiert, mit Hauptsitz in Mailand und Aktivitäten in Frankreich. Betrugs-Scoring-Engines, Analytics-Unterauftragnehmer oder Zahlungspartner können jedoch Datenflüsse außerhalb des EWR beinhalten. Händler sollten die aktuelle Unterauftragnehmer-Liste und das DPA von Scalapay anfordern und prüfen, um etwaige Drittlandstransfers zu identifizieren. Wo Transfers bestehen, den Rechtsmechanismus (SCC oder Angemessenheitsbeschluss) verifizieren und diese in der Datenschutzerklärung offenlegen.
Eine DSFA wird dringend empfohlen und kann obligatorisch sein, wenn Ihre Nutzung eine umfangreiche Verarbeitung von Verbraucher-Finanzdaten, automatisierte Kreditwürdigkeitsprüfungen oder Profiling beinhaltet, das den Zugang zu Waren oder Dienstleistungen beeinflussen kann. Die Kombination aus Verbraucheridentität, Kaufhistorie und Soft-Credit-Daten erstellt ein Finanzprofil, das mehrere DSGVO-Art. 35-Risikofaktoren auslöst. Die Bewertung muss Scalapays Datenflüsse kartieren und Restrisikominderungsmaßnahmen dokumentieren.
Trennen Sie das Zahlungs-Widget (wesentliche Funktion) vom Marketing-Pixel (Einwilligung erforderlich) und laden Sie diese auf unterschiedlichen Einwilligungsauslösern. Zeigen Sie EU-Verbraucherkredit-Vorabinformationen (effektiver Jahreszins, Gesamtbetrag, Rückzahlungsplan) an, bevor der Verbraucher sich verpflichtet. Nehmen Sie Scalapay in Ihre Datenschutzerklärung auf und beschreiben Sie den Soft-Credit-Check und die Rechtsgrundlage. Unterzeichnen Sie das Scalapay-DPA und implementieren Sie einen Mechanismus, mit dem Nutzer sich vom Marketing-Tracking abmelden können, ohne die Zahlungsoption zu verlieren.
Europäische Alternativen umfassen Klarna (Schweden, gute DSGVO-Bilanz), Alma (Frankreich, EU-reguliert) und Checkout-native BNPL-Lösungen, die direkt von Zahlungsabwicklern angeboten werden. Die wichtigsten Datenschutz-Differenziatoren sind: EU-Datenspeicherung, minimales Marketing-Tracking, transparente Unterauftragnehmer-Listen und vorgefertigte DSGVO-Einwilligungs-Tools für Händler.
Fügen Sie Ihrer Cookie-Richtlinie einen Scalapay-Abschnitt mit dem Zahlungssession-Cookie (wesentlich, Sitzungsdauer), dem Betrugspräventions-Cookie (wesentlich, 1 Jahr) und den Marketing-Cookies von widget.scalapay.com (Analytik/Marketing, 1 Jahr, Einwilligung erforderlich) hinzu. Ergänzen Sie in Ihrer Datenschutzerklärung Scalapay als Auftragsverarbeiter oder gemeinsamen Verantwortlichen und beschreiben Sie den Soft-Credit-Check, die geteilten Daten, die Rechtsgrundlage, die Aufbewahrungsfrist und das Widerspruchsrecht des Verbrauchers. Aktualisieren Sie beide Dokumente, wenn Scalapay sein DPA oder seine Unterauftragnehmer-Liste überarbeitet.