Datenschutz bei Zahlungsdienstleistern: Klarna, PayPal & Co.

Wer in seinem Shopify-Shop Klarna, PayPal, Stripe oder Shopify Payments einbindet, gibt Kundendaten an ein Unternehmen weiter, das diese Daten größtenteils in eigener Verantwortung verarbeitet. Für die meisten Zahlungsdienstleister brauchen Sie deshalb keinen Auftragsverarbeitungsvertrag, wohl aber eine vollständige Nennung in Ihrer Datenschutzerklärung und ein klares Bild davon, welche Daten zu welchem Zweck fließen. Ein häufiger Irrtum unter Shop-Betreibern. Dieser Leitfaden ordnet die DSGVO-Rolle der gängigen Zahlungsdienstleister ein, geht konkret auf Klarna und PayPal ein und zeigt, was Sie als Händler dokumentieren, offenlegen und im Checkout beachten müssen.

Sind Zahlungsdienstleister Auftragsverarbeiter oder eigenständig verantwortlich?

Nein, bei der normalen Zahlungsabwicklung sind Zahlungsdienstleister in aller Regel eindeutig keine Auftragsverarbeiter nach Art. 28 DSGVO und auch keine gemeinsam Verantwortlichen nach Art. 26 DSGVO. Beide Konstruktionen scheitern am gleichen Punkt. Ein Auftragsverarbeiter darf Daten nur nach Weisung des Verantwortlichen verarbeiten, und genau diese Weisungsgebundenheit fehlt bei Klarna, PayPal, Stripe und den meisten anderen Anbietern.

Die Grafik unten zeigt, welche drei getrennten Verträge bei einer Zahlungsabwicklung tatsächlich entstehen.

Ihr Kunde schließt beim Bezahlen einen eigenen Vertrag mit dem Zahlungsdienstleister ab, unabhängig von Ihrem Kaufvertrag mit dem Kunden. Der Anbieter entscheidet selbst, wie er die Zahlung abwickelt, welche Prüfungen er durchführt und wie er seine eigene Infrastruktur betreibt. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden vertritt dazu eine klare Linie: Bei der reinen Zahlungsabwicklung liegt weder eine Auftragsverarbeitung noch eine gemeinsame Verantwortlichkeit vor, weil Zahlungsdienstleister ihre eigenen Zwecke und Mittel bestimmen.

Das ändert sich, sobald ein Anbieter zusätzliche Leistungen für Sie übernimmt, die über die reine Zahlungsabwicklung hinausgehen. Lässt sich ein Zahlungsdienstleister vertraglich verpflichten, in Ihrem Auftrag Kaufstatistiken auszuwerten oder Betrugsprüfungen ausschließlich nach Ihren Vorgaben durchzuführen, kann daraus eine Auftragsverarbeitung nach Art. 28 DSGVO oder eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO werden. Für die Standardintegration von Klarna, PayPal oder Stripe in Ihren Checkout trifft das jedoch normalerweise nicht zu.

Auf welcher Rechtsgrundlage dürfen Zahlungsdienstleister Ihre Kundendaten verarbeiten?

Die Rechtsgrundlage für die Weitergabe der Zahlungsdaten ist Art. 6 Abs. 1 lit. b DSGVO, also die Erforderlichkeit zur Vertragserfüllung. Ohne Namen, Adresse, Bestellsumme und Zahlungsart kann kein Zahlungsdienstleister eine Zahlung abwickeln, deshalb brauchen Sie dafür keine separate Einwilligung Ihrer Kunden.

Anders sieht es bei einer Bonitätsprüfung aus, wie sie Klarna beim Rechnungskauf oder Ratenkauf durchführt. Hier kommt entweder die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO oder das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO infrage. Das berechtigte Interesse trägt vor allem dort, wo Sie als Händler ein wirtschaftliches Ausfallrisiko eingehen, also bei Rechnungskauf und Ratenzahlung. Bei Vorkasse oder sofortiger Zahlung tritt dieses Interesse zurück, weil für Sie kein Zahlungsausfallrisiko besteht, das eine Bonitätsprüfung rechtfertigen würde.

Neben der DSGVO gilt für Zahlungsdienstleister zusätzlich das Zahlungsdiensteaufsichtsgesetz (ZAG), das die europäische Zahlungsdiensterichtlinie PSD2 in deutsches Recht umsetzt. § 59 ZAG erlaubt Zahlungsdienstleistern eine eigene Betrugspräventions-Verarbeitung, verlangt für Verarbeitungen über die reine Leistungserbringung hinaus aber eine ausdrückliche Zustimmung des Kunden. Für Sie als Händler ändert das nichts an der DSGVO-Rechtsgrundlage aus Art. 6 DSGVO, es erklärt aber, warum Zahlungsdienstleister zusätzlich eigene Einwilligungstexte für Betrugsprävention einholen.

Klarna und DSGVO: Bonitätsprüfung, Rechnungskauf und Ihre Pflichten als Händler

Klarna ist als DSGVO-Rolle für die Standardzahlungsabwicklung ein eigenständig Verantwortlicher, kein Auftragsverarbeiter. Klarna ist eine in Schweden regulierte Bank und trifft eigene Entscheidungen darüber, wie sie Zahlungen absichert und Risiken bewertet. Für Ihren Shop bedeutet das: Sie brauchen für die reine Zahlungsabwicklung mit Klarna keinen Auftragsverarbeitungsvertrag, müssen Klarna aber vollständig und namentlich in Ihrer Datenschutzerklärung nennen.

Welche Daten übermittelt Klarna für die Bonitätsprüfung?

Bei Rechnungskauf und Ratenkauf übermittelt Klarna Name, Adresse, Geburtsdatum und die Bestelldaten an eigene Scoring-Systeme, um eine Bonitätsprüfung durchzuführen. Diese Prüfung läuft unabhängig von Ihrem Shop-System, und Klarna trifft die Entscheidung über Annahme oder Ablehnung der Zahlungsart eigenständig, ohne dass Sie als Händler darauf Einfluss nehmen. Für Vorkasse oder Sofortüberweisung entfällt dieser Schritt, weil dort kein Ausfallrisiko besteht, das eine Prüfung rechtfertigt.

Brauchen Sie einen AVV mit Klarna?

Nein, für die normale Integration von Klarna als Zahlungsmethode benötigen Sie keinen Auftragsverarbeitungsvertrag, weil Klarna die Daten für eigene Zwecke und mit eigenen Mitteln verarbeitet. Klarna bietet Händlern über den eigenen Händlersupport eine Selbstprüfung an, mit der Sie die aktuelle Einordnung für Ihre spezifische Integration nachvollziehen können, etwa wenn Sie zusätzliche Klarna-Produkte wie Onsite-Messaging oder erweiterte Checkout-Widgets einsetzen. Nutzen Sie ausschließlich die Standardzahlungsarten, bleibt es bei der eigenständigen Verantwortlichkeit ohne AVV-Pflicht.

PayPal und Datenschutz im Shop: Käuferschutz, Datenweitergabe und Verantwortlichkeit

PayPal ist ebenfalls kein Auftragsverarbeiter, sondern verarbeitet Zahlungsdaten als eigenständig Verantwortlicher. Der Grund ist derselbe wie bei Klarna: Sie geben PayPal lediglich den Auftrag, eine bestimmte Geldsumme einzuziehen, haben aber keinen Einfluss darauf, wie PayPal diese Transaktion technisch abwickelt oder welche Prüfungen im Hintergrund laufen. PayPal hat seinen Sitz in Luxemburg und unterliegt damit unmittelbar der DSGVO sowie zusätzlich dem luxemburgischen Bankaufsichtsrecht. Der Screenshot unten zeigt einen Auszug aus PayPals eigener Datenschutzerklärung, auf die Sie von Ihrer eigenen Datenschutzerklärung aus verlinken sollten.

Was passiert mit Ihren Shop-Daten bei einem Käuferschutz-Fall?

Öffnet ein Kunde einen Käuferschutz-Fall, muss Ihr Shop Bestell- und Versanddaten wie Tracking-Nummern oder Lieferbestätigungen an PayPal übermitteln, damit PayPal die Reklamation prüfen kann. Diese Datenweitergabe ist Teil der eigenständigen Fallbearbeitung durch PayPal und findet unabhängig von Ihrer Datenschutzerklärung statt, sollte dort aber als möglicher Verarbeitungszweck erwähnt sein. Seit einer Anpassung der PayPal-Nutzungsbedingungen im Oktober 2024 kann PayPal Nutzerdaten zudem in einem breiteren Umfang an verbundene Unternehmen und weitere Dritte weitergeben, was Ihre eigene Datenschutzerklärung ebenfalls widerspiegeln sollte, ohne dass Sie eine feste Liste dieser Empfänger führen müssen.

Ist PayPal ein Auftragsverarbeiter?

Nein, PayPal ist definitiv kein Auftragsverarbeiter nach Art. 28 DSGVO, weil PayPal wie eine Bank eigenständig handelt und getrennte Verträge mit Käufer und Händler abschließt. Eine verbreitete Fehlannahme unter Shop-Betreibern ist, für PayPal vorsorglich einen AVV abzuschließen. Das ist nicht nur unnötig, sondern verwischt auch die tatsächliche Verantwortlichkeitsstruktur, die PayPal selbst und die datenschutzrechtliche Fachliteratur übereinstimmend als eigenständige Verantwortlichkeit einordnen.

Stripe, Shopify Payments und Kreditkarten: US-Anbieter und Drittlandtransfer

Stripe und Shopify Payments, das intern auf Stripe-Infrastruktur aufbaut, sowie klassische Kreditkartennetzwerke bringen einen zusätzlichen Aspekt ins Spiel: den Datentransfer in ein Drittland. Stripe verarbeitet Endnutzerdaten je nach genutztem Produkt teils als eigenständig Verantwortlicher und teils als Auftragsverarbeiter, wie das Unternehmen in seiner eigenen Datenschutzrichtlinie darlegt, und ein Teil der Verarbeitung läuft über US-amerikanische Konzerngesellschaften.

Für Sie als Händler bedeutet das: Prüfen Sie, ob der jeweilige Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist. Ist das der Fall, dürfen Daten ohne zusätzliche Garantien in die USA übermittelt werden. Fehlt eine solche Zertifizierung oder ein Angemessenheitsbeschluss nach Art. 45 DSGVO, braucht es zusätzliche Garantien wie Standardvertragsklauseln nach Art. 46 DSGVO. Kreditkartennetzwerke wie Visa und Mastercard leiten Daten zudem an ausstellende Bank, Kartennetzwerk und Acquiring-Bank weiter, ein mehrstufiger Empfängerkreis, den Sie in Ihrer Datenschutzerklärung nicht einzeln auflisten, aber dem Grunde nach benennen sollten.

Datensicherheit bei der Zahlungsabwicklung: Ihre Pflichten nach Art. 32 DSGVO

Nach Art. 32 DSGVO müssen Sie als Händler und Ihr Zahlungsdienstleister gemeinsam geeignete technische und organisatorische Maßnahmen (TOM) umsetzen, die dem Risiko der Zahlungsdatenverarbeitung angemessen sind. Dazu gehören insbesondere:

• Transportverschlüsselung (TLS) im gesamten Checkout
• Pseudonymisierung von Bestelldaten in Reports und Backups
• rollenbasierte Zugriffskontrollen auf Kundendaten in Ihrem Shopsystem
• regelmäßige Sicherheitsüberprüfungen der eingebundenen Zahlungs-Widgets

Zahlungsdaten gelten zwar meist nicht als besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO, das Missbrauchsrisiko bei Kreditkarten- oder Kontonummern rechtfertigt aber trotzdem ein höheres Schutzniveau als bei einer einfachen Newsletter-Anmeldung. Prüfen Sie deshalb, ob Ihr Zahlungsdienstleister nach dem Zahlungsdiensteaufsichtsgesetz (ZAG) reguliert ist und eine aktuelle PCI-DSS-Zertifizierung vorweisen kann, bevor Sie ihn einbinden. Verzichten Sie außerdem darauf, vollständige Kartennummern oder Prüfziffern in Ihrem eigenen Shopsystem zu speichern, denn diese Daten sollen ausschließlich beim zertifizierten Zahlungsdienstleister verbleiben.

Was Sie zu Zahlungsdienstleistern in Ihre Datenschutzerklärung schreiben müssen

Nach Art. 13 und Art. 14 DSGVO müssen Sie jeden eingesetzten Zahlungsdienstleister namentlich nennen, den Verarbeitungszweck beschreiben und auf die Datenschutzerklärung des jeweiligen Anbieters verlinken. Eine pauschale Formulierung wie “wir arbeiten mit verschiedenen Zahlungsdienstleistern zusammen” reicht nicht aus, weil sie Ihren Kunden keine konkrete Information darüber gibt, wer tatsächlich beteiligt ist.

Für jeden Anbieter gehört ein eigener Absatz in Ihre Datenschutzerklärung: der Name des Unternehmens und Sitzlandes, die verarbeiteten Datenkategorien, die Rechtsgrundlage sowie ein Link zur externen Datenschutzerklärung des Anbieters. Bei Anbietern mit Sitz oder Datenverarbeitung außerhalb der EU ergänzen Sie einen Hinweis auf die eingesetzte Garantie, etwa eine Data-Privacy-Framework-Zertifizierung oder Standardvertragsklauseln. Die folgende Übersicht fasst die DSGVO-Rolle der wichtigsten Anbieter noch einmal visuell zusammen.

Diese Übersicht ordnet die wichtigsten Anbieter für Ihre Datenschutzerklärung ein:

Anbieter	Rolle nach DSGVO	AVV nötig?	Besonderheit
Klarna	Eigenständig Verantwortlicher	Nein, bei Standardzahlung	Bonitätsprüfung bei Rechnungs- und Ratenkauf
PayPal	Eigenständig Verantwortlicher	Nein	Datenweitergabe im Käuferschutz-Fall
Stripe / Shopify Payments	Je nach Produkt eigenständig oder Auftragsverarbeiter	Prüfen, produktabhängig	Teilweise US-Datentransfer
Kreditkarte (Visa, Mastercard)	Eigenständig Verantwortlicher	Nein	Mehrstufiger Empfängerkreis (Bank, Netzwerk, Acquirer)

Brauche ich einen Auftragsverarbeitungsvertrag (AVV) mit meinem Zahlungsdienstleister?

Nein, für die klassischen Zahlungsmethoden wie Klarna, PayPal, Kreditkarte oder die Standardintegration von Stripe und Shopify Payments brauchen Sie keinen AVV, weil diese Anbieter als eigenständig Verantwortliche handeln. Ein AVV wird nur dann relevant, wenn ein Anbieter zusätzliche Dienstleistungen exklusiv nach Ihren Weisungen für Sie erbringt.

Mit dieser kurzen Prüfung stellen Sie fest, ob Sie im Einzelfall doch einen AVV brauchen:

• Verarbeitet der Anbieter die Daten für die reine Zahlungsabwicklung und trifft dabei eigene Entscheidungen? Dann eigenständige Verantwortlichkeit, kein AVV nötig.
• Erbringt der Anbieter eine zusätzliche Leistung wie Statistikauswertung oder Betrugsprüfung ausschließlich nach Ihren konkreten Vorgaben? Dann prüfen Sie eine Auftragsverarbeitung nach Art. 28 DSGVO.
• Legen Sie gemeinsam mit dem Anbieter Zwecke und Mittel der Verarbeitung fest, etwa bei einem gemeinsam betriebenen Treueprogramm? Dann prüfen Sie eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.
• Sind Sie unsicher, welche Konstellation zutrifft? Fragen Sie beim Anbieter aktiv nach dessen eigener DSGVO-Einordnung, viele Zahlungsdienstleister stellen dazu eigene Erklärungen bereit.

Einen fertigen AVV mit einem echten Auftragsverarbeiter, etwa Ihrem Hosting- oder E-Mail-Marketing-Anbieter, schließen Sie am besten strukturiert und dokumentiert ab. Wie ein solcher Vertrag aufgebaut sein muss, erklärt unser Leitfaden zum Auftragsverarbeitungsvertrag (AVV) für Online-Shops.

Einwilligung und Cookie-Hinweise beim Bezahlvorgang richtig gestalten

Binden Sie Klarna-Onsite-Messaging, PayPal-Smart-Buttons oder andere eingebettete Zahlungswidgets ein, setzen diese teils eigene Cookies, sobald sie geladen werden, noch bevor der Kunde eine Zahlungsart ausgewählt hat. Ob dafür eine Einwilligung nach § 25 TTDSG nötig ist, hängt davon ab, ob das Cookie technisch notwendig ist, um die gewählte Funktion überhaupt bereitzustellen.

Ein Klarna-Preishinweis, der beim Laden der Produktseite automatisch Ratenoptionen anzeigt, ist in der Regel nicht technisch notwendig für den reinen Seitenaufruf und braucht deshalb eine Einwilligung, bevor er geladen wird. Ein Zahlungsbutton, den der Kunde erst nach eigener Auswahl der Zahlungsart anklickt, gilt dagegen meist als technisch notwendig für diesen einen Schritt. Binden Sie solche Widgets erst nach der Auswahl der Zahlungsart im Checkout ein, statt sie bereits auf der Produktseite vorzuladen, reduzieren Sie den Einwilligungsbedarf spürbar und halten den Checkout gleichzeitig schlanker. Wie Sie Ihr Cookie-Banner insgesamt sauber kategorisieren, zeigt unser Artikel zu Cookie-Kategorien und Tag-Steuerung.

Häufige Fragen zu Zahlungsdienstleistern und Datenschutz

Muss ich Klarna in meiner Datenschutzerklärung nennen, auch wenn ich keinen AVV mit Klarna habe?

Ja, die Nennungspflicht nach Art. 13 DSGVO gilt unabhängig davon, ob ein AVV besteht, weil sie sich aus der Informationspflicht gegenüber Ihren Kunden ergibt und nicht aus der Vertragsart mit dem Anbieter.

Darf ich PayPal-Zahlungsdaten ohne Einwilligung des Kunden weitergeben?

Ja, für die eigentliche Zahlungsabwicklung reicht Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage aus, weil die Datenübermittlung zur Erfüllung des Kaufvertrags erforderlich ist und keine zusätzliche Einwilligung braucht.

Ist Stripe ein Auftragsverarbeiter oder ein eigenständig Verantwortlicher?

Das kommt auf das konkrete Stripe-Produkt an. Für einzelne Dienste tritt Stripe laut eigener Datenschutzrichtlinie als Auftragsverarbeiter auf, für andere, etwa die eigene Betrugsprävention, als eigenständig Verantwortlicher, weshalb Sie die genutzte Stripe-Integration im Zweifel konkret prüfen sollten.

Wie lange darf ich Bonitätsdaten aus einer Klarna-Prüfung speichern?

Speichern Sie nur die Daten, die Sie für die eigene Buchhaltung und gesetzliche Aufbewahrungsfristen benötigen, üblicherweise die handels- und steuerrechtlichen Fristen von sechs beziehungsweise zehn Jahren, und nicht das eigentliche Scoring-Ergebnis von Klarna, das bei Klarna selbst verbleibt.

Welche Bußgelder drohen bei fehlender Nennung eines Zahlungsdienstleisters in der Datenschutzerklärung?

Verstöße gegen die Informationspflichten nach Art. 13 und 14 DSGVO können nach Art. 83 Abs. 5 DSGVO mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, wobei Aufsichtsbehörden bei Erstverstößen kleiner Shops in der Praxis meist zunächst auf eine Nachbesserung hinwirken.