Datenschutz am Kartenterminal

Wer ist für die Verarbeitung meiner Daten verantwortlich und an wen kann ich mich wenden?

Zahlung im Lastschriftverfahren / electronic cash („girocard“):
Viele Schritte sind notwendig, damit Sie sicher mit Ihrer Karte bezahlen können. Der Zahlungsempfänger, bei dem Sie mit Karte bezahlen, arbeitet daher mit einem Netzbetreiber zusammen. Zahlungsempfänger und Netzbetreiber bestimmen jeweils in ihrem technischen Einflussbereich die Verarbeitung der Daten und sind in ihrem jeweiligen, getrennten Bereich jeweils eigenständige Verantwortliche für die Verarbeitung:

a) Der Zahlungsempfänger ist verantwortlich für den Betrieb des Zahlungsterminals an der Kasse und sein internes Netz bis zur gesicherten Übermittlung per Internet oder Telefonleitung an den Netzbetreiber. Den Namen und die Kontaktdaten des Zahlungsempfängers finden Sie an der Kasse oder am Ladeneingang.

b) Der Netzbetreiber Verifone Payments ist verantwortlich für den zentralen Netzbetrieb, für die dortige Verarbeitung, Umschlüsselung, Risikoprüfung und die Übermittlung an weitere Verantwortliche: Verifone Payments GmbH, Karl-Hammerschmidt-Straße 1, 85609 Aschheim, T: +49 89 61445-100 / Datenschutzbeauftragter: Datenschutzbeauftragter, Karl-
Hammerschmidt-Straße 1, 85609 Aschheim, E-Mail: datenschutz.vp@verifone.com

Andere Zahlverfahren mit Karte (z.B. Kreditkarten):
Ein „Acquirer“ ist ein Zahlungsinstitut oder eine Bank, die für den Zahlungsempfänger die Zahlungen annimmt und abrechnet. Zahlungsempfänger, Netzbetreiber und Acquirer bestimmen jeweils in ihrem technischen Einflussbereich die Verarbeitung der Daten und sind in ihrem jeweiligen, getrennten Bereich jeweils eigenständige Verantwortliche für die Verarbeitung:

a) Der Zahlungsempfänger: s.o.

b) Der Netzbetreiber Verifone Payments: s.o.

c) Der Acquirer ist ein gemäß des Zahlungsdienstaufsichtsgesetzes (ZAG) regulierter Zahlungsdienstleister, oder eine ge-mäß des Gesetzes über das Kreditwesen (KWG) regulierte Bank, welche(r) für den Zahlungsempfänger die Annahme und Abrechnung der Zahlungsvorgänge durchführt. Wer der Acquirer ist, ist abhängig davon, was für eine Karte Sie verwendet haben. Die Kontaktdaten des Acquirers, der bei der Abwicklung Ihrer Zahlung beteiligt ist, kann daher beim Zahlungsempfänger oder unter Angabe des Zahlungsverfahrens, der Terminal-ID, des Datums und des Namens des Zahlungsempfängers beim oben genannten Netzbetreiber abgefragt werden. Datenschutzinformationen für Karteninhaber zu kartengestützten Zahlungen gemäß Art.13, 14 DSGVO

Welche Daten werden für die Zahlung benutzt?

Zahlung im Lastschriftverfahren:

• Kartendaten, das sind die Daten, die auf Ihrer Karte gespeichert sind: IBAN bzw. Kontonummer und Kurz-Bankleitzahl, Kartenverfallsdatum und Kartenfolgenummer.
• Weitere Zahlungsdaten: Betrag, Datum, Uhrzeit, Kennung des Zahlungsterminals (Ort, Unternehmen und Filiale, in der Sie zahlen), Ihre Unterschrift.
• Im Fall einer Rücklastschrift: Informationen über die Nichteinlösung einer Lastschrift durch Ihre kartenausgebende Bank oder den Widerruf einer Lastschrift durch Sie, Informationen über die ausstehende Forderung, z. B. Ihr Name, Ihre Adresse, Bankkosten, Mahnkosten, Grund für die Rücklastschrift, Kundennummer bei Ihrer Vertragspartei (nicht der Inhalt Ihrer Einkäufe).

Andere Zahlverfahren mit Karte:

• Kartendaten, das sind die Daten, die auf Ihrer Kreditkarte gespeichert sind: Kartennummer, Kartentyp (z.B. Visa, Mastercard) und Ablaufdatum.
• Weitere Zahlungsdaten: Betrag, Datum, Uhrzeit, Kennung des Zahlungsterminals (Ort, Unternehmen und Filiale, in der Sie zahlen), Prüfdaten Ihrer kartenausgebenden Bank („EMV-Daten“), ggf. Ihre Unterschrift.
• PIN: Ihre PIN-Eingabe wird kryptographisch gesichert durch die kartenausgebende Bank geprüft. Der Netzbetreiber übernimmt dabei kryptographische Sicherungen und Übermittlungen, speichert jedoch keine PIN und hat keinen Zugriff auf die verschlüsselte PIN.
• Rückabwicklung (Chargeback): Wenn Sie eine Transaktion bestreiten, die mit Ihrer Karte vorgenommen wurde: In diesem Fall können der Einkaufsbeleg und ggf. weitere Informationen über Sie, mit denen der Zahlungsempfänger seine Forderung beweisen will (z.B. Name und Adresse) an das kartenausgebende Institut weitergegeben werden.

Aus welchen Quellen stammen Ihre Daten?

Zahlung im Lastschriftverfahren:

• Die Kartendaten werden vom Zahlungsterminal aus Ihrer Karte ausgelesen.
• Die weiteren Zahlungsdaten stellen das Zahlungsterminal und ggf. direkt der Zahlungsempfänger bereit.
• Ihre Unterschrift erteilen Sie selbst.
• Soweit zur Verhinderung von Kartenmissbrauch und zur Begrenzung des Risikos von Zahlungsausfällen erforderlich, werden Daten aus dem KUNO-System der Polizei und aus internen Datenbanken des Netzbetreibers herangezogen.
• Soweit für die Bearbeitung der Forderung aus einer Rücklastschrift erforderlich, werden unter Einhaltung der gesetzlichen Bestimmungen auch Daten verarbeitet, die aus öffentlich zugänglichen Quellen (z. B. Schuldnerverzeichnissen) entnommen sind oder Namen und postalische Anschriften, die von Dritten (z. B. Ihrer kartenausgebenden Bank oder einer Kreditauskunftei, wie z.B. der SCHUFA Holding AG) übermittelt werden.

electronic cash („girocard“) & Andere Zahlverfahren mit Karte:

• Die Kartendaten werden vom Zahlungsterminal aus Ihrer Karte ausgelesen.
• Die weiteren Zahlungsdaten stellen das Zahlungsterminal und ggf. direkt der Zahlungsempfänger bereit.
• Ihre PIN geben Sie selbst ein. Ihre Unterschrift erteilen Sie selbst.

 

Zu welchem Zweck werden Ihre Daten verarbeitet und auf welcher Rechtsgrundlage?

Zahlung im Lastschriftverfahren:

Zahlungsempfänger:

• Prüfung und Durchführung Ihrer Zahlung an den Zahlungsempfänger zum Zweck der Erfüllung des Vertrags, Art. 6 (1) (b) DSGVO.
• Belegarchivierung zur Erfüllung gesetzlicher Vorschriften, Art. 6 (1) (c) DSGVO.
• Bei ggfs. erfolgendem Verkauf der Forderung an den Netzbetreiber im Wege des Factoring: berechtigtes Interesse des Zahlungsempfängers, Art. 6 (1) (f) DSGVO.

Netzbetreiber:

• Prüfung und Durchführung Ihrer Zahlung an den Zahlungsempfänger zum Zweck der Erfüllung des Vertrags, Art. 6 (1) (b) DSGVO.
• Verhinderung von Kartenmissbrauch und Begrenzung des Risikos von Zahlungsausfällen, Art. 6 (1) (f) DSGVO.
• Vermeidung künftiger Zahlungsausfälle durch Übermittlung von Rücklastschriftdaten, wenn Ihre Zahlung zu einer Rücklastschrift führt, im berechtigten Interesse des Gläubigers, Art. 6 (1) (f) DSGVO.
• Belegarchivierung zur Erfüllung gesetzlicher Vorschriften, Art. 6 (1) (c) DSGVO.
• Forderungsbeitreibung nach einer Rücklastschrift im berechtigten Interesse des Gläubigers, Art. 6 (1) (f) DSGVO.4.

electronic cash („girocard“):

Zahlungsempfänger:

• Prüfung und Durchführung Ihrer Zahlung an den Zahlungsempfänger zum Zweck der Erfüllung des Vertrags, Art. 6 (1) (b) DSGVO.
• Belegarchivierung zur Erfüllung gesetzlicher Vorschriften, Art. 6 (1) (c) DSGVO.

Netzbetreiber:

• Prüfung und Durchführung Ihrer Zahlung an den Zahlungsempfänger zum Zweck der Erfüllung des Vertrags, Art. 6 (1) (b) DSGVO.
• Belegarchivierung zur Erfüllung gesetzlicher Vorschriften, Art. 6 (1) (c) DSGVO.
• Abrechnung der Gebühren, die der Zahlungsempfänger Ihrer kartenausgebende Bank schuldet, Art. 6 (1) (f) DSGVO.

Andere Zahlverfahren mit Karte:

Zahlungsempfänger:

• Prüfung und Durchführung Ihrer Zahlung an den Zahlungsempfänger zum Zweck der Erfüllung des Vertrags, Art. 6 (1) (b) DSGVO
• Belegarchivierung zur Erfüllung gesetzlicher Vorschriften, Art. 6 (1) (c) DSGVO.

Netzbetreiber:

• Prüfung und Durchführung Ihrer Zahlung an den Zahlungsempfänger zum Zweck der Erfüllung des Vertrags, Art. 6 (1) (b) DSGVO.

Acquirer:

• Prüfung und Durchführung Ihrer Zahlung an den Zahlungsempfänger zum Zweck der Erfüllung des Vertrags, Art. 6 (1) (b) DSGVO.
• Verhinderung von Kartenmissbrauch und Begrenzung des Risikos von Zahlungsausfällen Art. 6 (1) (c) DSGVO.
• Sichere Übertragung Ihrer Daten gemäß den gesetzlichen Bestimmungen und den Bestimmungen der Kreditkartenorganisation, Art. 6 (1) (c) und (f) DSGVO.
• Abrechnung der Gebühren, die der Zahlungsempfänger Ihrer kartenausgebenden Bank schuldet, Art. 6 (1) (f) DSGVO.
• Belegarchivierung zur Erfüllung gesetzlicher Vorschriften, Art. 6 (1) (c) DSGVO
• Forderungsbeitreibung nach einer Rückbelastung (sog. „Charge Back“) im berechtigten Interesse des Gläubigers, Art. 6 (1) (f) DSGVO.

 

Wer bekommt die Daten?

Zahlung im Lastschriftverfahren:

• Außer dem Zahlungsempfänger und dem Netzbetreiber benötigen weitere Stellen Ihre Daten, um die Zahlung durchzuführen oder um gesetzliche Vorschriften zu erfüllen. Ausschließlich in diesem Umfang werden Ihre Daten vom Zahlungsempfänger weitergegeben, und zwar an die folgenden Stellen:
• Ihre kartenausgebende Bank und den Zahlungsdienstleister des Zahlungsempfängers
• die von der Deutschen Kreditwirtschaft (DK) zwischengeschalteten Stellen, die Abrechnung (auch „ Clearing und Settlement“ genannt) von Zahlungen übernehmen
• Strafverfolgungsbehörden, nur in den gesetzlich vorgesehenen Fällen
• Geldwäschemeldestellen, nur in den gesetzlich vorgesehenen Fällen
• Im Fall einer Rücklastschrift kann die jeweilige Kontonummer und Bankleitzahl zur Adressermittlung an die kartenausgebende Bank oder an die SCHUFA Holding AG weitergegeben werden. Nähere Informationen über die SCHUFA erhalten Sie unter www.schufa.de/datenschutz.
• Im Fall einer trotz Mahnung nicht bezahlten Forderung aus einer Rücklastschrift ein gemäß RDG registrierter Inkassodienstleister

electronic cash („girocard“):

• Ihre kartenausgebende Bank und den Zahlungsdienstleister des Zahlungsempfängers
• die von der Deutschen Kreditwirtschaft zwischengeschalteten Stellen, die Abrechnung (auch „Clearing und Settlement “ genannt) von Zahlungen übernehmen
• Strafverfolgungsbehörden, nur in den gesetzlich vorgesehenen Fällen
• Geldwäschemeldestellen, nur in den gesetzlich vorgesehenen Fällen

Andere Zahlverfahren mit Karte:

• das Zahlungskartensystem, z.B. Visa oder Mastercard
• Ihre kartenausgebende Bank und die Bank des Acquirers
• die von den Kreditkartenorganisationen zwischengeschalteten Stellen, die Abrechnung (auch „Clearing und Settlement“ genannt) von Zahlungen übernehmen
• Strafverfolgungsbehörden, in den gesetzlich vorgesehenen Fällen
• Geldwäschemeldestellen, in den gesetzlich vorgesehenen Fällen

Werden Daten in ein Drittland oder an eine internationale Organisation übermittelt?

Zahlung im Lastschriftverfahren:

Nein, eine solche Übermittlung findet nicht statt.

electronic cash („girocard“):

Nein, eine solche Übermittlung findet nicht statt.

Andere Zahlverfahren mit Karte:

Der Acquirer leitet Ihre Daten an das Zahlungskartensystem weiter. Die meisten globalen Zahlungskartensysteme haben ihren Hauptsitz sowie Datenverarbeitungssysteme in Drittländern, d.h. außerhalb des Europäischen Wirtschaftsraums.

Die Weiterleitung erfolgt zu dem Zweck, um Ihre Zahlung zu autorisieren und auszuführen. Der Acquirer leitet Ihre Daten an das Zahlungskartensystem und damit bei globalen Zahlungskartenverfahren an einen Standort außerhalb des Europäischen Wirtschaftsraums weiter. Dies erfolgt gemäß den jeweils dafür geltenden gesetzlichen Anforderungen, etwa zum Zweck der Erfüllung des Vertrages mit dem ausländischen Zahler, und um Ihre Zahlung zu autorisieren und auszuführen.

Über die Verarbeitung Ihrer Daten durch das Zahlungskartensystem informieren Sie sich bitte in dessen Datenschutzbestimmungen:

• Mastercard Europe SA, Chaussée de Tervuren 198A, 1410 Waterloo, Belgien, für die Zahlungsmarken „Mastercard“ und „Maestro“, https://www.mastercard.de/de-de/datenschutz.html
• Visa Europe Services LLC, eingetragen in Delaware USA, handelnd durch die Niederlassung in London, 1 Sheldon Square, London W2 6TT, Großbritannien, für die Zahlungsmarken „Visa“, „Visa Electron“ und „V PAY“ https://www.visa.de/nutzungsbedingungen/visaglobale-datenschutzmitteilung/mitteilung-zu-zustandigkeitsfragen-fur-den-ewr.html
• American Express Payment Services Ltd., Zweigniederlassung Frankfurt am Main, Theodor-Heuss-Allee 112, 60486 Frankfurt am Main, für die Zahlungsmarke “American Express“; https://www.americanexpress.com/de/content/privacy-po-licy-statement.html
• Diners Club International Ltd., 2500 Lake Cook Road, Riverwoods, IL 60016, USA, für die Zahlungsmarken “Diners”, “Diners Club” und “Discover”; https://www.dinersclub.de/fileadmin/media/Kartenauftraege/Formulare_AT_und_DE/Daten-verarbeitung/DC_ATDE_Information_zur_Datenverarbeitung.pdf
• JCB International Co., Ltd., 5-1-22, Minami Aoyama, Minato-Ku, Tokio, Japan, für die Zahlungsmarke „JCB“;http://www.jcbeurope.eu/de/privacy/index.html
• Union Pay International Co., Ltd., German Branch, An der Welle 4, 60322 Frankfurt, für die Zahlungsmarken „CUP” und „Union Pay” http://www.unionpayintl.com/en/aboutUs/companyProfile/contactUs/6.4

 

Wie lange werden meine Daten gespeichert?

Zahlung im Lastschriftverfahren / electronic cash („girocard“) / Andere Zahlverfahren mit Karte:

Daten zu einzelnen Zahlungstransaktionen werden bei Verifone Payments gemäß § 8 GWG und § 30 ZAG nach fünf (5) Jahren gelöscht, soweit sie nicht Teil von Unterlagen sind, die längeren Aufbewahrungspflichten unterliegen. Handelsbriefe und andere handels- und steuerrechtlich relevante Daten wie Bücher oder Buchungsbelege werden bei Verifone Payments gemäß Handelsgesetzbuch (HGB) und Abgabenordnung (AO) gelöscht, die Aufbewahrungsfristen betragen zum Teil sechs (6) Jahre, in vielen Fällen auch zehn (10) Jahre.

Forderungsdaten aus Rücklastschriften werden gelöscht, sobald die Forderung vollständig beglichen ist, soweit sie nicht Teil von Unterlagen sind, die entsprechend längeren Aufbewahrungspflichten gemäß HGB und AO unterliegen.

 

Welche Datenschutzrechte habe ich?

Zahlung im Lastschriftverfahren / electronic cash („girocard“) / Andere Zahlverfahren mit Karte:

Jede betroffene Person hat folgende Datenschutzrechte:

• das Recht auf Auskunft nach Artikel 15 DSGVO
• das Recht auf Berichtigung nach Artikel 16 DSGVO
• das Recht auf Löschung nach Artikel 17 DSGVO
• das Recht auf Einschränkung der Verarbeitung nach Artikel 18 DSGVO
• das Recht auf Widerspruch aus Artikel 21 DSGVO8.
• das Recht auf Datenübertragbarkeit aus Artikel 20 DSGVO
• das Recht auf Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde (Artikel 77 DSGVO i.V.m. § 19 BDSG)

Beim Auskunftsrecht und beim Löschungsrecht gelten die Einschränkungen nach §§ 34 und 35 BDSG

Werden meine Daten für eine automatisierte Entscheidungsfindung verwendet?

Zahlung im Lastschriftverfahren:

Zahlungsempfänger:
Zur Verhinderung von Kartenmissbrauch und zur Begrenzung des Risikos von Zahlungsausfällen sind Höchstbeträge für Zahlungen innerhalb bestimmter Zeiträume festgelegt. In die Entscheidungsfindung fließt zusätzlich mit ein, wenn zuvor eine Lastschrift von Ihrer kartenausgebenden Bank mangels Deckung nicht eingelöst oder von Ihnen widerrufen wurde (Rücklastschrift).

Diese Information wird nicht in die Entscheidungsfindungmit einbezogen, wenn die Rücklastschrift erfolgt ist im Zusammenhang mit einem Widerruf, oder wenn Sie Rechte aus dem zugrunde liegenden Geschäft geltend machen (z.B. wegen eines Sachmangels bei einem Kauf). Das Hinzuziehen dieser Informationen dient zur Verhinderung künftiger Zahlungsausfälle. Mit dem vollständigen Ausgleich offener Forderungen werden diese Daten gelöscht.

Mit Hilfe dieser Informationen kann der Netzbetreiber an Zahlungsempfänger, die an sein System angeschlossen sind, Empfehlungen für ihre Entscheidung erteilen, ob sie eine Zahlung im Lastschriftverfahren akzeptieren wollen. Der Netzbetreiber kann zu diesem Zweck Rücklastschriftinformationen von allen bei ihm angeschlossenen Zahlungsempfängern verwenden; für eine kurze Zeit – wenige Tage – zur Verhinderung von Kartenmissbrauch Zahlungsinformationen auch zahlungsempfängerübergreifend auswerten; darüber hinaus nur solche Zahlungsinformationen auswerten, die er vom selben Zahlungsempfänger erhalten hat. Eine Nutzung Ihrer Daten zum Zweck der Bonitätsprüfung findet nicht statt. Ihre Zahlungsdaten werden ausschließlich für die Entscheidung darüber genutzt, ob dem jeweiligen Zahlungsempfänger eine Zahlung im Lastschriftverfahren empfohlen wird.

electronic cash („girocard“) / Andere Zahlverfahren mit Karte:

Wenn Sie Ihre Karte zur Bezahlung verwenden wollen, muss die Kartenzahlung erst autorisiert werden. Die Autorisierung erfolgt automatisch unter Verwendung Ihrer Daten. Dabei können insbesondere folgende Erwägungen eine Rolle spielen: Zahlungsbetrag, Ort der Zahlung, bisheriges Zahlungsverhalten, Zahlungsempfänger, Zahlungszweck. Ohne Autorisierung ist die Kartenzahlung nicht möglich. Dies hat keinen Einfluss auf andere Zahlungsmethoden (z.B. andere Karten oder Bargeld).

 

Widerspruchsrecht im Einzelfall

Zahlung im Lastschriftverfahren / electronic cash („girocard“) / Andere Zahlverfahren mit Karte:

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, bei dem jeweils Verantwortlichen jederzeit Widerspruch einzulegen gegen die Verarbeitung von Daten, die aufgrund von Artikel 6 (1) (f) DSGVO erfolgt, also gegen die Verarbeitung von Daten auf der Grundlage einer Interessenabwägung. Wenn Sie berechtigt Widerspruch einlegen, werden Ihre Daten nicht mehr aufgrund von Artikel 6 (1) (f) DSGVO verarbeitet, mit zwei Ausnahmen:

• Ihre Daten werden weiter verarbeitet, soweit der Verantwortliche zwingende schutzwürdige Gründe für die Verarbeitung nachweisen kann, die Ihre Interessen, Rechte und Freiheiten überwiegen, insbesondere z.B. bei gesetzlichen Aufbewahrungspflichten und zur Durchführung einer am Zahlungsterminal schon begonnenen, aber noch nicht abgeschlossenen Zahlung.
• Ihre Daten werden weiter verarbeitet, wenn dies der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient