Was macht Visa?
Visa ist ein US-amerikanischer Zahlungsanbieter mit Sitz in Kalifornien. Unternehmen können Kunden auf ihrer Webseite mit Visa bezahlen lassen. Kunden benötigen dafür lediglich eine Kreditkarte, Debitkarte oder Guthabenkarte des Zahlungsanbieters. Visa beschäftigt gut 14.000 Mitarbeiter und gehört neben MasterCard zu den größten Anbietern von Zahlungskarten. Was müssen Unternehmen datenschutzrechtlich beachten, wenn sie Visa im Checkout als Zahlungsoption anbieten?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Warum Visa datenschutzrechtlich für Unternehmen relevant ist
Um online Produkte oder Dienstleistungen mit Visa bezahlen zu können, müssen Verbraucher sensible Daten wie ihren Namen und ihre Kreditkartennummer angeben. Unternehmen erheben auf diese Weise personenbezogene Daten und geben diese an Visa weiter. Die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) schreiben dafür verschiedene Pflichten vor.
Wie können Unternehmen Visa DSGVO-konform nutzen?
Um Visa als Zahlungsmittel DSGVO-konform auf ihrer Webseite einzubinden, müssen Unternehmen diese rechtlichen Vorgaben beachten:
Datenschutzerklärung anpassen
Immer wenn Unternehmen personenbezogene Daten erheben, müssen sie in ihrer Datenschutzerklärung darauf hinweisen. Sie müssen daher einfach verständlich aufführen,
- warum sie bei der Zahlung über Visa personenbezogene Daten erheben,
- wie lange sie die Daten speichern und
- welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 DSGVO).
Unternehmen sollten in diesem Kontext auch erwähnen, dass Nutzer der Datenerhebung widersprechen können. Das gilt jedoch nicht für die Daten, die zwingend notwendig sind, um eine Zahlung über Visa abzuwickeln.
Datensparsamkeit beachten
In der Regel benötigen Unternehmen den Namen und die Kreditkartennummer, um Kunden über Visa bezahlen zu lassen. Weitere Daten sollten sie dabei nicht erheben. Denn: Der Grundsatz der Datensparsamkeit der DSGVO gibt vor, dass Unternehmen nur die Daten erheben dürfen, die für den angestrebten Zweck zwingend notwendig sind.
Vertrag zur Auftragsverarbeitung abschließen?
Unabhängig davon, welche Daten Unternehmen für die Bezahlung über Visa erheben, entscheidet der Zahlungsanbieter selbst, welche Daten er für die Zahlungsabwicklung verwendet. Das bedeutet für die Praxis: Visa wird nicht als Auftragsverarbeiter für Unternehmen tätig, sondern handelt in einem eigenen Macht- und Organisationsbereich. Unternehmen müssen mit Visa daher keinen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen.
Rechtsprechung zu Visa
Bisher liegt – soweit ersichtlich – keine Rechtsprechung zum Datenschutz von Visa vor.
