Was macht Stripe?
Stripe ist ein Online-Bezahldienst, über den Webseitenbetreiber User im Netz Waren und Dienstleistungen bargeldlos bezahlen lassen können. Um das Zahlungssystem zu nutzen, müssen User ihre Bankdaten – in der Regel in Form ihrer Kreditkartendaten oder Girokontodaten – hinterlegen. Stripe bietet seinen Service in 25 Ländern an. Was müssen Seitenbetreiber beim Einsatz von Stripe datenschutzrechtlich beachten?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Darum ist Stripe datenschutzrechtlich relevant
Nutzer geben bei jeder Transaktion, die sie auf einer Webseite über Stripe tätigen, ihre Bankdaten an. Stripe erhält so Zugriff auf Informationen wie
- Vor- und Nachnamen,
- Adresse,
- E-Mail-Adresse,
- IP-Adresse,
- Telefonnummer,
- Kreditkartenummer,
- Kontodeckung,
- Umsätze und
- Kreditrahmen des Dispokredits.
Dabei handelt es sich teilweise um personenbezogene Daten. Diese Daten sind besonders schützenswert. Webseitenbetreiber müssen daher verschiedene, von der Datenschutz-Grundverordnung (DSGVO) vorgeschriebene Pflichten erfüllen.
Stripe datenschutzkonform verwenden
Um Stripe datenschutzkonform in den Zahlungsprozess einzubinden, müssen Webseitenbetreiber diesen Pflichten nachkommen:
Datenschutzerklärung anpassen
Seitenbetreiber müssen in ihrer Datenschutzerklärung aufführen,
- warum Stripe personenbezogene Daten erhält,
- wie lange Stripe diese speichert,
- wie Stripe die Daten verwendet und
- welche Rechtsgrundlage das erlaubt.
Diese Pflichten schreibt Art. 13 DSGVO vor.
Möglichkeit zum Datenwiderspruch aufführen
User können der Verwendung ihrer Daten jederzeit widersprechen. Darauf müssen Seitenbetreiber Nutzer hinweisen. Die Möglichkeit zum Widerspruch gilt jedoch nicht für die Daten, die Seitenbetreiber brauchen, um die Zahlung über Stripe abzuwickeln. Dazu gehören in der Regel Name und Zahlungsdaten wie Kontonummer oder Kreditkartennummer.
Vertrag zur Auftragsverarbeitung abschließen?
Geben Seitenbetreiber personenbezogene Daten weiter, um sie von einem Dritten weisungsgebunden verarbeiten zu lassen, müssen sie mit diesem einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Als Zahlungsdienstleister Stripe entscheidet jedoch selbst, welche der personenbezogenen Daten es in welchem Umfang verarbeitet. Stripe nutzt die Daten daher in einem eigenen Macht- und Organisationsbereich. Damit liegt gemäß Art. 29 DSGVO keine Weisungsgebundenheit vor. Seitenbetreiber müssen mit Stripe daher keinen AV-Vertrag schließen.
Rechtsprechung zur Verwendung von Stripe
Bisher liegt – soweit ersichtlich – keine Rechtsprechung zu Stripe und Datenschutz vor.
