Scalapay

Scalapay setzt einen Zahlungssession-Cookie, der für den BNPL-Checkout-Flow unerlässlich ist, einen Geräte-Fingerprint-Cookie zur Betrugsprävention und Marketing-Mess-Cookies von widget.scalapay.com, die Seitenaufrufe und Konversionsereignisse verfolgen. Der Session- und Betrugserkennungs-Cookie sind notwendig und können ohne Einwilligung gesetzt werden, aber die Marketing- und Analyse-Cookies erfordern eine vorherige aktive Zustimmung des Nutzers. Händler sollten prüfen, welche dieser Cookies vom Scalapay-Widget-Snippet in ihrer spezifischen Integration geladen werden.

Eine Einwilligung ist für das Marketing-Pixel und die Retargeting-Cookies erforderlich, die Scalapay über widget.scalapay.com lädt; diese dürfen nach der ePrivacy-Richtlinie und DSGVO nicht vor dem Opt-in des Nutzers gesetzt werden. Der Zahlungssession-Cookie kann als unbedingt erforderlich behandelt werden und benötigt keine vorherige Einwilligung. Händler in Italien müssen auch die spezifischen Cookie-Leitlinien des Garante einhalten. Der sicherste Ansatz ist, den vollständigen Scalapay-Snippet erst nach Erteilung des Marketing-Einwilligung zu laden.

Die Kern-Zahlungsverarbeitung und Ratenvereinbarung stützt sich auf die Vertragserfüllung (Art. 6(1)(b) DSGVO). Der Soft-Credit-Check nutzt berechtigte Interessen (Art. 6(1)(f)), wobei manche Verantwortliche zur Sicherheit explizite Einwilligung bevorzugen. Marketing-Pixel-Verarbeitung und Retargeting erfordern eine Einwilligung (Art. 6(1)(a) DSGVO). Betrugsbekämpfung stützt sich auf berechtigte Interessen. Italienische Händler müssen auch das Codice Privacy berücksichtigen, das spezifische Verfahren für automatisierte Kreditwürdigkeitsprüfungen vorschreibt.

Scalapays Kernverarbeitung ist EU-basiert, mit Hauptsitz in Mailand und Aktivitäten in Frankreich. Betrugs-Scoring-Engines, Analytics-Unterauftragnehmer oder Zahlungspartner können jedoch Datenflüsse außerhalb des EWR beinhalten. Händler sollten die aktuelle Unterauftragnehmer-Liste und das DPA von Scalapay anfordern und prüfen, um etwaige Drittlandstransfers zu identifizieren. Wo Transfers bestehen, den Rechtsmechanismus (SCC oder Angemessenheitsbeschluss) verifizieren und diese in der Datenschutzerklärung offenlegen.

Eine DSFA wird dringend empfohlen und kann obligatorisch sein, wenn Ihre Nutzung eine umfangreiche Verarbeitung von Verbraucher-Finanzdaten, automatisierte Kreditwürdigkeitsprüfungen oder Profiling beinhaltet, das den Zugang zu Waren oder Dienstleistungen beeinflussen kann. Die Kombination aus Verbraucheridentität, Kaufhistorie und Soft-Credit-Daten erstellt ein Finanzprofil, das mehrere DSGVO-Art. 35-Risikofaktoren auslöst. Die Bewertung muss Scalapays Datenflüsse kartieren und Restrisikominderungsmaßnahmen dokumentieren.

Trennen Sie das Zahlungs-Widget (wesentliche Funktion) vom Marketing-Pixel (Einwilligung erforderlich) und laden Sie diese auf unterschiedlichen Einwilligungsauslösern. Zeigen Sie EU-Verbraucherkredit-Vorabinformationen (effektiver Jahreszins, Gesamtbetrag, Rückzahlungsplan) an, bevor der Verbraucher sich verpflichtet. Nehmen Sie Scalapay in Ihre Datenschutzerklärung auf und beschreiben Sie den Soft-Credit-Check und die Rechtsgrundlage. Unterzeichnen Sie das Scalapay-DPA und implementieren Sie einen Mechanismus, mit dem Nutzer sich vom Marketing-Tracking abmelden können, ohne die Zahlungsoption zu verlieren.

Europäische Alternativen umfassen Klarna (Schweden, gute DSGVO-Bilanz), Alma (Frankreich, EU-reguliert) und Checkout-native BNPL-Lösungen, die direkt von Zahlungsabwicklern angeboten werden. Die wichtigsten Datenschutz-Differenziatoren sind: EU-Datenspeicherung, minimales Marketing-Tracking, transparente Unterauftragnehmer-Listen und vorgefertigte DSGVO-Einwilligungs-Tools für Händler.

Fügen Sie Ihrer Cookie-Richtlinie einen Scalapay-Abschnitt mit dem Zahlungssession-Cookie (wesentlich, Sitzungsdauer), dem Betrugspräventions-Cookie (wesentlich, 1 Jahr) und den Marketing-Cookies von widget.scalapay.com (Analytik/Marketing, 1 Jahr, Einwilligung erforderlich) hinzu. Ergänzen Sie in Ihrer Datenschutzerklärung Scalapay als Auftragsverarbeiter oder gemeinsamen Verantwortlichen und beschreiben Sie den Soft-Credit-Check, die geteilten Daten, die Rechtsgrundlage, die Aufbewahrungsfrist und das Widerspruchsrecht des Verbrauchers. Aktualisieren Sie beide Dokumente, wenn Scalapay sein DPA oder seine Unterauftragnehmer-Liste überarbeitet.