Was habe ich als Händler mit Datenschutz zu tun?

Als Händler erheben Sie personenbezogene Daten Ihres Kunden, wenn dieser mit einer Karte bezahlt. Sie sind sog. „Verantwortlicher“ im Sinne des Datenschutzrechts.

Müssen Sie einen Vertrag über eine Auftragsverarbeitung mit Ihrem Netzbetreiber/Acquirer abschließen?

Viele der Anfragen, die uns erreichen, beziehen sich auf einen eventuell erforderlichen Vertrag zur Auftragsverarbeitung zwischen Händler und Netzbetreiber/Acquirer. Hierzu möchten wir Folgendes klarstellen:

Nach der früheren Rechtslage haben die Landesaufsichtsbehörden für den Datenschutz sowohl Händler als auch Netzbetreiber (und ebenso Acquirer) als Verantwortliche behandelt. Dies ist auch nach wie vor die gültige behördliche Einschätzung (siehe hierzu beispielsweise das DSK-Kurzpapier Nr. 13 zur Auftragsverarbeitung (Anhang B, S. 4) oder die Auslegungshilfe des BayLDA zur Abgrenzung Auftragsverarbeitung (S. 2)).
Zusätzlich ist festzustellen, dass wir als Netzbetreiber bzw. Acquirer nicht als Auftragsverarbeiter für Sie als Händler tätig werden können, denn unsere Leistungen werden nicht weisungsgebunden, sondern standardisiert für alle unsere Händler einheitlich erbracht und sind weitgehend von der DK (Deutsche Kreditwirtschaft), den Kreditkartenorganisationen/Schemes und den SEPA-Regularien vorgegeben.

Treffen mich als Händler Verpflichtungen als „Verantwortlicher“ nach der DSGVO?

Ja. Jeden Verantwortlichen treffen bestimmte Verpflichtungen. Im Hinblick auf Kartenzahlungen im Handel sind das vor allem die Informationspflichten nach Artikel 13 und 14 DSGVO.

Was muss ich machen, um meine Kunden zu informieren?

Sie bringen einen gut sichtbaren Kassenhinweis mit der Aufschrift "Datenschutz-Informationen für Karteninhaber" am POS-Terminal oder an der Ladenkasse an, möglichst auch zusätzlich beim Karten-Akzeptanzaufkleber an der Ladeneingangstür. Statt des Kassenhinweises sind auch Aufsteller oder Aushänge möglich. Der Kassenhinweis zeigt einen QR-Code und/oder eine URL. Beides führt zu einer Website Ihres Netzbetreibers (z.B. die PAYONE) mit den von der DSGVO geforderten Informationen.
Auf dem Kassenhinweis ergänzen Sie von Hand den Namen Ihres Unternehmens und dessen Kontaktdaten.
Zusätzlich hinterlegen Sie an der Kasse eine Print-Version der von der DSGVO geforderten Informationen.

Die Kassenhinweise und die Print-Version der Informationen für die Kasse erhalten Sie von Ihrem Netzbetreiber (z.B. die PAYONE, soweit wir den Netzbetrieb übernehmen). Ihr Netzbetreiber betreibt auch die Website mit den Informationen. PAYONE hat zu diesem Zweck die Website www.payone.com/dsgvo eingerichtet. Diese Website beinhaltet alle notwendigen und nützlichen Informationen über die Datenverarbeitung durch die PAYONE.

Darüber hinaus wird auf der Vorderseite des Kassenbons ein Hinweis auf unsere Website abgedruckt, sofern Sie ein Terminal besitzen, welches diese technische Möglichkeit bietet und Sie die PAYONE als Netzbetreiber nutzen.

GLOSSAR PCI DSS

PCI DSS

PAYMENT GLOSSAR