Datenschutz und Zahlungsdienstleister

PayPal und Co. richtig nutzen

Wir geben Ihnen einen Überblick über unterschiedliche Zahlungsdienstleister und die datenschutzrechtlichen Herausforderungen, die beim Einsatz mit diesen einhergehen. Egal, ob im Supermarkt, beim Arzt oder beim Online-Shopping. Heutzutage gibt es viele verschiedene Möglichkeiten eine Rechnung zu begleichen. Welche Varianten für Ihr Unternehmen die richtigen sind, finden Sie in diesem Beitrag vielleicht heraus.

Grundsatz:

Natürlich gibt es immer Grundsätze, die zu beachten sind, wenn der Fokus auf dem Datenschutz liegt – so auch hier – Datenschutz und Zahlungsdienstleister!

Wird ein Fremdanbieter für die Zahlungsabwicklung benötigt, wie z.B. ein Softwareanbieter oder eine ext. Abrechnungsgesellschaft, sind folgende Schritte zu tun:

1. Art der einzukaufenden Dienstleistung festlegen (SaaS oder nur Software lokal installiert oder nur Service)
2. Ort der Datenhaltung festlegen (z.b. EU oder Drittland)
3. Vertragsform für die Dienstleistung festlegen (z.b. Auftragsverarbeitung oder Auslagerung mit Forderungsabtretung)
4. Alles in das Verzeichnis von Verarbeitungstätigkeiten eintragen und die Schutzbedarfsfeststellung durchführen
5. Datenschutzbeauftragten hinzuziehen für die Bewertung
6. Los geht’s!

Bargeldkasse

• • Das Geld liegt zwar vorort im Unternehmen und auf dem Geldschein steht auch kein Name des Kunden drauf, aber die Buchung (also die personenbezogenen Daten) werden in der Regel trotzalledem elektronisch erfasst. Somit findet eben doch eine Datenverarbeitung statt.
  • Der Zusatzaufwand für die Einzahlung bei der Bank ist zwar nicht datenschutzrelevant, wohl aber bei der heute knappen Ressource Personal, doch erwähnenswert.
  • Die Abwicklung von Zahlungen durch Kunden mit Bargeld, bietet also weder weniger Datenverarbeitung noch einen höheren Schutz für die betroffenen Personen, da der Buchungsvorgang softwaregestützt verarbeitet wird.

Dienstleister wie PVS, ZAB und andere

• Diese kommen häufig bei kleineren Unternehmen zum Einsatz, wie Fahrschulen oder Arztpraxen. Sie bieten unterschiedliche Lösungen für die Zahlungsabwicklung in Verbindung mit eigenen Dienstleistungen an. Hier also aufgepasst.
  • Ohne Forderungsabtretung – Hier soll zwar die Rechnung geschrieben und die Kommunikation inkl. Mahnwesen vom Dienstleister übernommen werden, allerdings bleibt Forderungsinhaber das Unternehmen, dass auch die Leistung erbracht hat.
  • Datenschutz?
    • Als Rechtsgrundlage für die Zusammenarbeit und Übertragung der Daten vom Kunden muss ein Vertrag zur Auftragsverarbeitung geschlossen werden. So ist der Dienstleister nur als verlängerter Arm (ausgelagerte Abteilung) zu sehen.
    • Das Unternehmen, dass die Leistung erbracht hat, bleibt alleinige verantwortliche Stelle im Sinne der DSGVO.
    • Da Sie eine quasi interne Zahlungsabwicklung anbieten, muss der Kunde nicht einwilligen, es sind auch keine alternativen Zahlungsmethoden erforderlich.

Hier wichtig im Fokus –> Sie müssen prüfen, ob der Dienstleister datenschutzkonform arbeitet und Sie sind haftbar, für Verstöße gegen Datenschutzbestimmungen und Adressat für Schadenersatzansprüche von Betroffenen.

• • Mit Forderungsabtretung – Hier wird nicht nur die Dienstleistung Rechnungserstellung / Rechnungsversand / Mahnwesen übergeben, sondern auch direkt die eigentliche Forderung mit abgetreten. Das Unternehmen, dass die Leistung erbracht hat, erhält vom Dienstleister den fälligen Betrag noch bevor überhaupt die Rechnung an den Kunden gesendet wurde. So ist man als kleineres Unternehmen immer liquide, allerdings sind auch hier datenschutzrelevante Punkte zu beachten.
  • Datenschutz?
    • Im Falle einer Forderungsabtretung wird der Dienstleister selbst zur verantwortlichen Stelle. Für die Übermittlung der Daten ist eine Einwilligung als Rechtsgrundlage erforderlich.
    • Da diese Zahlungsabwicklung auf einer Einwilligung beruhen würde, und eine Einwilligung auch verweigert werden kann, müsste eine alternative Zahlungsvariante vorgehalten werden.

Hier wichtig im Fokus –> Der Kunde muss wirksam aufgeklärt werden, eine Einwilligung muss vor Herausgabe der Daten eingeholt werden,  beide verantwortlichen Stellen haften jeweils für sich und bei Vertragsverletzung im Innenverhältnis.

Terminals mit denen Kunden per EC-Karte, Kreditkare etc. einfach und sicher zahlen können, kennen wir alle. Ob im Supermarkt, beim Bäcker oder im Schuhgeschäft. Die Kartenlesegeräte sind weit verbreitet. Neben den klassischen Varianten gibt es Anbieter am Markt, die keine klassischen Banken sind. Es handelt sich um Paymentprovider. Diese bieten Unternehmen die Hardware, die Software und die Abwicklung bei der Bank bzw. dem Kreditkarteninstitut.

In beiden Fällen wird prozentual vom Umsatz eine Gebühr für diesen Service einbehalten.

• Datenschutz?
• • Kunde schließt beim Bezahlen direkt einen Vertrag mit dem Anbieter ab
  • Keine Einwilligung erforderlich
  • Kein AVV erforderlich
  • Betroffenen-Information bereitstellen
  • Gilt auch in Verbindung mit Applepay, googlepay, VISA

Weitere Anbieter in direkter Beratung

• Paypal
• Klarna
• Stripe
• Wie bezahlen Sie bei Ihren Lieferanten?

Sie möchten einen Fremdanbieter für Ihre Zahlungsabwicklungen einbinden und benötigen Beratung in Sachen Datenschutz? Wir informieren Sie gerne über Ihre Möglichkeiten.
Kontaktieren Sie uns!