Was macht Giropay?
Giropay ist ein Online-Zahlungsverfahren. Unternehmen können dies in ihrem Check-out als Zahloption anbieten. Giropay basiert auf einer Überweisung per Online-Banking und wurde speziell für den E-Commerce entwickelt. Kunden müssen beim Bezahlvorgang lediglich ihre Bank – beispielsweise über die IBAN – benennen und können die Zahlung dann mit wenigen Klicks abschließen. Seit dem ersten Dezember 2020 gehört Giropay zu Paydirekt. Beide Marken agieren jetzt unter der Dachmarke Giropay. Was müssen Unternehmen datenschutzrechtlich beachten, wenn sie Giropay in ihren Zahlungsprozess einbinden?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellenWarum ist Giropay datenschutzrechtlich relevant?
Bieten Unternehmen Giropay als Zahlungsoption in ihrem Check-out an, erheben sie dabei von Kunden in der Regel die IBAN und geben diese an Giropay weiter. Giropay kann die Kunden dann zu der entsprechenden Bank weiterleiten. Bei der IBAN – und anderen Daten, die die vom Kunden gewünschte Bank identifizieren – handelt es sich um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) besonders geschützt. Unternehmen müssen daher verschiedene gesetzliche Vorschriften beachten.
Giropay DSGVO-konform verwenden
Um Giropay rechtskonform als Zahlungsoption anzubieten, müssen Unternehmen diese datenschutzrechtlichen Verpflichtungen berücksichtigen:
Datenschutzerklärung aktualisieren
Unternehmen müssen in ihrer Datenschutzerklärung darauf hinweisen, dass sie Giropay für die Zahlungsabwicklung beauftragt haben. Dabei sollten sie in einer einfach verständlichen Sprache erklären,
- warum sie für Giropay personenbezogene Daten erheben,
- wie lange sie die Daten speichern und
- welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. b DSGVO).
Möglichkeit zum Datenwiderspruch aufführen
User können jederzeit der Verwendung ihrer personenbezogenen Daten widersprechen. Darauf müssen Unternehmen Nutzer aufmerksam machen. Der Widerspruch gilt jedoch nicht für die Daten, die Unternehmen zwingend benötigen, um die Zahlung über Giropay abzuwickeln.
Vertrag zur Auftragsverarbeitung abschließen?
Zahlungsdienstleister wie Giropay entscheiden grundsätzlich selbst, welche Kundendaten sie wie verwenden. Unternehmen haben darauf keinen Einfluss. Giropay verarbeitet die Daten im eigenen Macht- und Organisationsbereich. Der Zahlungsdienstleister arbeitet daher nicht weisungsgebunden. Das heißt für die Praxis: Unternehmen müssen keinen Vertrag zur Auftragsverarbeitung (AV-Vertrag) mit Giropay abschließen.
Rechtsprechung zu Giropay
Bisher liegt – soweit ersichtlich – keine Rechtsprechung zu Giropay vor.
Aktuelles zu Paydirekt
Eine Verbraucherin fand in ihrem Paydirekt-Konto eine Auflistung aller Produkte, die sie in einem Sexshop und in einer Online-Apotheke gekauft hatte. Die Datenschutzorganisation Noyb reichte im Februar 2022 daher eine Beschwerde gegen den hinter Paydirekt stehenden Anbieter Giropay ein. Der Vorwurf: Giropay hat die Daten der Verbraucherin ohne Einwilligung verarbeitet. Der hessische Landesbeauftragte für Datenschutz und Informationsfreiheit muss jetzt entscheiden, ob Giropay auf diese Weise gegen die DSGVO verstoßen hat.
