Datenschutz & Haftung

Datenschutzinformationen

Händler mit physischem Terminal POS-Netzbetrieb

Sehr geehrte Damen und Herren,

am 25. Mai 2018 tritt die neue Datenschutzgrundverordnung (DSGVO) in Kraft. Dazu haben wir zahlreiche Anfragen erhalten. Deshalb möchten wir Sie auf diesem Wege darüber informieren, was die DSGVO für die Akzeptanz kartengestützter Zahlungen im Handel bedeutet.

1. Was habe ich als Händler mit Datenschutz zu tun?

Als Händler erheben Sie personenbezogene Daten Ihres Kunden, wenn dieser bei Ihnen mit einer Karte bezahlt: Die Kartennummer Ihres Kunden ist ein personenbezogenes Datum, da die Kartennummer sich auf eine identifizierbare natürliche Person bezieht. Damit sind auch die weiteren Daten der Kartenzahlung, z.B. Betrag und Datum, personenbezogene Daten.

Sie als Händler sind sog. „Verantwortlicher“ im Sinne des Datenschutzrechts. Auch wir als Netzbetreiber sind Verantwortliche, wenn wir die Daten Ihrer Kunden verarbeiten.

2. Muss ich einen Vertrag über eine Auftragsverarbeitung mit meinem Netzbetreiber abschließen?

Viele der Anfragen, die uns erreichen, beziehen sich auf einen eventuell erforderlichen Vertrag zur Auftragsverarbeitung zwischen Händler und Netzbetreiber. Hierzu möchten wir Folgendes klarstellen:

Nach der bisherigen Rechtslage haben die Aufsichtsbehörden sowohl Händler als auch Netzbetreiber als Verantwortliche behandelt. Wir haben keinen Hinweis der Aufsichtsbehörden erhalten, dass sich daran unter der DSGVO etwas ändert. Der Bundesverband der electronic cash-Netzbetreiber (BecN), dessen Mitglied wir sind, steht dazu bereits im Kontakt mit den Aufsichtsbehörden. Jedoch sind diese momentan völlig überlastet, so dass die Abstimmung noch Zeit in Anspruch nehmen wird.

Es ist nicht ausgeschlossen, dass die Rollen der Beteiligten beim kartengestützten Zahlungsverkehr mittelfristig anders bewertet werden. Dies kann aber nur in einer Weise geschehen, die mit allen Beteiligten abgestimmt ist. Dazu gehören neben den Aufsichtsbehörden auch die Kreditkartenorganisationen (Schemes), die Deutsche Kreditwirtschaft (DK) und der Handelsverband Deutschland (HDE). Kurzfristige Insellösungen sind weder zielführend noch erforderlich.

Bitte beachten Sie insbesondere: Wir als Netzbetreiber können nicht als Auftragsverarbeiter für Sie als Händler tätig werden. Hintergrund ist, dass es uns faktisch nicht möglich ist, Daten ausschließlich auf Weisung eines Händlers zu verarbeiten. Unsere Prozesse müssen standardisiert für alle unsere Händler einheitlich ablaufen und sie sind weitgehend von der DK, den Kreditkarten-Schemes und den SEPA-Regularien vorgegeben.

3. Treffen mich als Händler Verpflichtungen als „Verantwortlicher“ nach der DSGVO?

Ja. Jeden Verantwortlichen treffen bestimmte Verpflichtungen nach der DSGVO. Im Hinblick auf die Akzeptanz kartengestützter Zahlungen im Handel sind vor allem die Informationspflichten nach Artikel 13 und 14 DSGVO von Bedeutung.

4. Was muss ich machen, um meine Kunden zu informieren?

Wir als Netzbetreiber und Acquirer (Ihr Vertragspartner für die Kreditkartenakzeptanz) arbeiten an einer Lösung, um Ihnen die Erfüllung dieser Informationspflichten so einfach wie möglich zu machen. Wir möchten, dass Sie als Händler zur Erfüllung der Pflichten nach Artikel 13 und 14 DSGV keinen größeren Aufwand haben, sondern lediglich folgende Maßnahmen ergreifen:

• Sie bringen einen gut sichtbaren Aushang mit der Aufschrift "Datenschutz-Hinweis für Karteninhaber" an der Kasse und an der Ladeneingangstür an. Der Aushang zeigt einen QR-Code und eine URL. Beides führt zu dieser Website mit den von der DSGVO geforderten Informationen.
• Auf dem Aushang ergänzen Sie von Hand den Namen Ihres Unternehmens und entsprechende Kontaktdaten. Falls Sie einen Datenschutzbeauftragten haben, ergänzen Sie auch dessen E-Mail-Adresse.
• Zusätzlich hinterlegen Sie an der Kasse eine Print-Version der von der DSGVO geforderten Informationen.

Die Print-Version der Informationen für die Kasse können Sie hier zum selbst Ausdrucken herunterladen:

Datenschutz-Informationen zu bargeldlosen Zahlungen - Print-Version

Wenn Sie auf Grund von sachlichen Verhältnissen abweichende Angaben zu unseren machen möchten, verwenden Sie bitte unsere editierbare Version:

Datenschutz-Informationen zu bargeldlosen Zahlungen - editierbare Version

Es gibt allerdings Fälle, in denen Sie als Händler noch mehr tun müssen:

• Wenn Sie auch Kreditkarten akzeptieren, müssen Sie den Kunden auch über den Acquirer als Verantwortlichen informieren. Im Zweifel bedeutet dies, dass Sie zwei Aushänge anbringen und zwei Print-Versionen der Informationen an der Kasse hinterlegen müssen, einmal von uns, als Ihrem Netzbetreiber und einmal von Ihrem Acquirer.
• Wenn Sie bei kartengestützten Zahlungen nicht nur die von uns in der Information für Ihre Kunden beschriebenen Standardverfahren nutzen, sondern die personenbezogenen Daten darüber hinaus verarbeiten, z.B. in Ihrem Kassensystem.

Diesbezüglich können wir Sie nicht unterstützen und Sie sollten sich im Zweifel entsprechend beraten lassen.

5. Wurden die Kunden nicht bereits von ihrer Bank ausreichend informiert?

Falls der Kunde bereits über die Informationen verfügen würde, müssten Sie als Händler nicht erneut informieren. Möglicherweise hat die kartenausgebende Bank dem Kunden schon Informationen gegeben. Ob und wie der Kunde allerdings tatsächlich informiert wurde, entzieht sich unserer und Ihrer Kenntnis. Sie und wir als Verantwortliche müssen nach der DSGVO aber selbst dafür gerade stehen, dass der Kunde vollständig informiert wird. Deshalb kann sich keiner von uns darauf verlassen, dass der Kunde bereits von seiner Bank informiert wurde.

Außerdem kann der Kunde von seiner Bank keine Informationen über Sie als Händler und über uns als Netzbetreiber erhalten haben, da die Bank ja nicht wissen kann, wo der Kunde seine Karte überall einsetzen wird. Diese Informationen kann der Kunde nur im Zeitpunkt der Zahlung, also bei Ihnen vor Ort, erhalten.

Unser Ansatz ist es daher, den Kunden bei jedem Zahlungsvorgang vollständig zu informieren.

6. Wie ist nun der weitere Ablauf?

Der BecN hat die Initiative ergriffen, die hier vorgestellte Lösung zu den Informationspflichten nach der DSGVO bei kartengestützten Zahlungen mit der DK und dem HDE abzustimmen. Nach erfolgter Abstimmung, die derzeit noch nicht abgeschlossen ist, gehen wir davon aus, dass wir sodann zeitnah mit dem Roll-out beginnen können. Der Rollout umfasst die Aktivierung der Website, die Bereitstellung der Aufkleber und der Print-Versionen durch uns als Ihr Netzbetreiber. Sie erhalten erneut Bescheid, sobald Sie die Materialien bei uns bestellen können.