Was macht der verschlüsselte Zahlungsverkehr?
Um Verträge mit Kunden zu schließen, müssen Unternehmen in der Regel ihre Kontodaten abfragen. Bei Zahlungsinformationen wie Namen und Kontonummern handelt es sich um personenbezogene Daten. Unternehmen müssen diese vor unberechtigten Zugriffen schützen.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Das sagt das Gesetz zur Verschlüsselung des Zahlungsverkehrs
Die Pflicht zur Verschlüsselung von personenbezogenen Daten und damit auch von Zahlungsinformationen ergab sich bis Mai 2018 aus § 13 Abs. 7 Telemediengesetz (DDG (ehemals TMG)). Seit dem 25. Mai schreibt die Datenschutz-Grundverordnung (DSGVO) in Artikel 32 Abs. 1 DSGVO vor: Seitenbetreiber müssen unter Berücksichtigung des Stands der Technik und den dafür entstehenden Kosten geeignete Maßnahmen ergreifen, um Userdaten zu schützen. Artikel 32 Art. 1 lit. a wird hier konkret und nennt eine Verschlüsselung von personenbezogenen Daten.
So können Webseitenbetreiber ihren Zahlungsverkehr sicher verschlüsseln
Um den Zahlungsverkehr auf ihrer Webseite zu sichern, können Unternehmen eine TLS-Verschlüsselung nutzen. Die Verschlüsselung schützt Namen und Kontodaten so, dass Dritte diese während der Übertragung nicht auslesen, manipulieren oder missbrauchen können. Dafür können Seitenbetreiber verschiedene Zertifikate erwerben. Diese Zertifikate zählen dabei zu den gängigen Varianten:
DV-Zertifikat: Das DV-Zertifikat bildet die einfachste Vertrauensstufe. Diese können Seitenbetreiber lediglich mit einer E-Mail erhalten und so innerhalb von wenigen Minuten in ihre Seite einbinden. Das Zertifikat bestätigt die Domain einer Seite. User können die Zertifizierung am kleinen Schloss neben der URL erkennen.
OV-Zertifikat: Das OV-Zertifikat weist einen höheren Validierungsgrad als das DV-Zertifikat auf, indem es nicht nur die Domain, sondern auch das Unternehmen, das hinter der Seite steht, bestätigt. Online-Händler und Dienstleistungsanbieter, die auf ihrer Seite sensible Daten wie Namen, Adresse und Zahlungsinformationen abfragen, greifen auf dieses Zertifikat zurück.
EV-Zertifikat: Ist eine Webseite über das EV-Zertifikat validiert, sehen User in der Adresszeile den Namen des Unternehmens in Grün. Es handelt sich dabei um die umfangreichste Validierung. Insbesondere Unternehmen aus der Finanz-Branche setzen auf dieses Zertifikat.
Verschlüsselung in Datenschutzerklärung aufführen
Unternehmen sollten die Verschlüsselung ihrer Seite und des Zahlungsverkehrs in ihrer Datenschutzerklärung ansprechen. Sie sollten User darüber informieren, dass sie aus Sicherheitsgründen vertrauliche Inhalte über TSL verschlüsseln und die Daten so vor einem Zugriff schützen. Dabei können sie ihnen auch erklären, wie Nutzer die Verschlüsselung erkennen.
Rechtsprechung zur Verschlüsselung des Zahlungsverkehrs
Am 11. März 2019 kam das Amtsgericht Bochum zu dem Ergebnis, dass unverschlüsselte E-Mails mit personenbezogenen Daten einen Datenschutzverstoß darstellen (Az. 65 C 485/18). Zahlungsdaten wie Kontonummer oder Kreditkartennummer sind ebenfalls personenbezogene Daten. Der Beschluss des AG lässt sich daher auch auf die unverschlüsselte Übermittlung von Zahlungsinformationen übertragen.
