Stripe

Ja. Stripe hat erhebliche Anstrengungen unternommen, um die DSGVO-Konformität zu gewährleisten: Stripe Payments Europe Limited ist in Irland zugelassen und verarbeitet europäische Zahlungen innerhalb der EU. Stripe stellt einen DSGVO-konformen AVV, SCC für etwaige US-Datentransfers und PCI DSS-Zertifizierung für die Sicherheit von Kartendaten bereit. Stripe veröffentlicht auch eine Datenschutzerklärung und Datenschutzressourcen speziell für Händler. Website-Betreiber müssen jedoch ihren eigenen Teil der Compliance sicherstellen: den AVV akzeptieren, Stripe in der Datenschutzerklärung offenlegen und Datenpflichten für Käufer erfüllen.

Die Kernrechtsgrundlage für die Stripe-Zahlungsabwicklung ist die Vertragserfüllung (Art. 6(1)(b) DSGVO), da die Erfassung von Zahlungsdaten für die Ausführung der Bestellung notwendig ist. Darüber hinaus gilt die rechtliche Verpflichtung (Art. 6(1)(c)) für regulatorische Anforderungen wie PSD2-Authentifizierung, AML/KYC-Prüfungen und Aufbewahrungspflichten für Finanzdaten. Das berechtigte Interesse (Art. 6(1)(f)) deckt die Betrugsprävention über Stripe Radar ab. Für optionale Marketing- oder Analysefunktionen (z.B. Stripe Sigma Berichte an Dritte) ist eine Einwilligung erforderlich.

Die Stripe.js-Cookies (__stripe_mid und __stripe_sid) dienen ausschließlich der Betrugsprävention und Transaktionssicherheit. Sie sind für die sichere Zahlungsabwicklung funktional notwendig und erfordern daher im Allgemeinen keine separate Cookie-Einwilligung unter der ePrivacy-Richtlinie. Sie fallen unter die Ausnahme für "strictly necessary" Cookies. Sie sollten jedoch in Ihrer Cookie-Erklärung unter der Kategorie der notwendigen/funktionalen Cookies offengelegt werden. Wenn Sie optionale Stripe-Produkte wie Stripe Radar Advanced oder Stripe Fraud Protection nutzen, können für Analyse-Cookies zusätzliche Offenlegungen erforderlich sein.

Stripe Payments Europe Limited verarbeitet die meisten europäischen Transaktionsdaten innerhalb der EU (Irland). Einige unterstützende Funktionen wie Stripe Radar (Betrugserkennung), Stripe Sigma (Analysen) und globale Plattformdienste können Daten an Stripe Inc. in den USA übertragen. Stripe stellt SCC als Mechanismus für diese Übertragungen bereit. Händler sollten den AVV von Stripe akzeptieren und in ihrer Datenschutzerklärung auf die Stripe-Datenschutzrichtlinie für vollständige Details zu Datentransfers verweisen.

Ihre Datenschutzerklärung sollte enthalten: (1) dass Zahlungen über Stripe Payments Europe Limited (Irland) abgewickelt werden; (2) welche Daten Stripe erfasst (Zahlungskartendaten, Geräteinformationen, IP-Adresse) und zu welchen Zwecken (Transaktionsverarbeitung, Betrugsprävention, regulatorische Compliance); (3) die Rechtsgrundlagen (Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse); (4) dass einige Daten zur US-Verarbeitung an Stripe Inc. übertragen werden können und SCC gelten; (5) einen Link zur Stripe-Datenschutzrichtlinie; (6) wie Nutzer Datenlöschanträge stellen können.

Eine DSFA ist für die Standard-Stripe-Zahlungsabwicklung im Allgemeinen nicht erforderlich, da die Kernverarbeitung auf einer notwendigen Vertragsrechtsgrundlage basiert und Stripe starke Sicherheits- und DSGVO-Konformitätsmaßnahmen bereitstellt. Sie kann jedoch erforderlich werden bei: (1) großen E-Commerce-Plattformen, die Zahlungsdaten in sehr großem Umfang verarbeiten; (2) Marktplätzen mit Stripe Connect, bei denen mehrere Parteien Finanzdaten teilen; (3) Kombination von Zahlungsdaten mit umfangreichen Kundenprofildaten für Marketing- oder Kreditrisikobewertungen.

Für DSGVO-Datenlöschungsanträge im Zusammenhang mit Stripe: (1) Kundendaten aus Ihrem eigenen System löschen. (2) Eine Datenlöschanfrage an Stripe über das Stripe-Dashboard (Kunden-Tab, Datenschutzanfragen) oder die Stripe API senden. (3) Beachten, dass Stripe bestimmte Transaktionsdaten aus gesetzlichen Gründen (AML, Steuerrecht) für einen vorgeschriebenen Zeitraum aufbewahren muss, selbst nach einem Löschantrag. (4) Den Antragsteller über den Zeitrahmen und etwaige gesetzliche Aufbewahrungspflichten informieren, die einer vollständigen Löschung entgegenstehen können.

Nein, nicht automatisch. Stripe stellt eine DSGVO-konforme Infrastruktur für die Zahlungsabwicklung bereit, aber die Gesamtkonformität liegt beim Website-Betreiber (dem Datenverantwortlichen). Ihre Pflichten umfassen: (1) Akzeptieren des AVV von Stripe; (2) Informieren der Käufer über die Zahlungsverarbeitung durch Stripe in Ihrer Datenschutzerklärung; (3) Sicherstellen der Rechtmäßigkeit der Datenerhebung auf Ihrer Seite vor der Weitergabe an Stripe; (4) Bearbeiten von Betroffenenrechten (Auskunft, Löschung, Einschränkung) für Zahlungsdaten; (5) Implementieren starker Kundenauthentifizierung (SCA) für PSD2-Konformität.