Bei Stripe machen fast alle Erklärungen denselben Fehler, und es ist der Fehler, den man ohne Nachschlagen nicht sieht: Sie nennen Stripe, Inc. in den USA.
Für eine Schweizer Firma ist das die falsche Gesellschaft. Vertragspartnerin ausserhalb Nord- und Südamerikas ist Stripe Payments Europe, Limited, One Wilton Park, Dublin 2, Irland, mit Stripe, Inc. in den USA als Konzernmutter. Diese Angabe liegt bei mir mit Quelle und Prüfdatum vor.
Warum das mehr ist als Erbsenzählerei
Art. 19 Abs. 4 revDSG verlangt, dass du bei einer Auslandbekanntgabe den Staat nennst und die Grundlage. Wenn du „Stripe, Inc., USA“ schreibst, beschreibst du eine Bekanntgabe in die USA, die so nicht stattfindet, und verschweigst die tatsächliche nach Irland.
Das Ergebnis ist paradox: Die Erklärung wirkt strenger, als sie sein müsste, und ist trotzdem falsch. Irland ist ein EWR-Staat mit angemessenem Schutz nach Anhang 1 DSV, die Bekanntgabe dorthin ist der unproblematische Teil. Die USA kommen erst konzernintern dazu, und dafür stützt sich Stripe auf das Swiss-US Data Privacy Framework.
Was Stripe bekommt
- Zahlungsdaten. Betrag, Währung, Zeitpunkt, Bestellreferenz.
- Kartendaten. Diese laufen direkt zu Stripe, nicht über deinen Server. Das ist ein Punkt, den du in der Erklärung nennen darfst, weil er für deine Kundschaft eine gute Nachricht ist.
- Kontaktdaten, je nach Integration: Name, E-Mail, Rechnungsadresse.
- Technische Daten zur Betrugserkennung, darunter IP-Adresse und Gerätemerkmale.
Die Formulierung, die stimmt
Zahlungsabwicklung
Für Kartenzahlungen setzen wir Stripe ein. Vertragspartnerin ist die Stripe Payments Europe, Limited, One Wilton Park, Dublin 2, Irland (Konzernmutter: Stripe, Inc., USA). Übermittelt werden Zahlungs- und Kontaktdaten sowie technische Daten zur Betrugserkennung. Irland ist ein EWR-Staat mit angemessenem Schutz nach Anhang 1 DSV. Für die konzerninterne Bearbeitung in den USA stützt sich Stripe auf das Swiss-US Data Privacy Framework (Art. 16 Abs. 2 lit. d revDSG).
Der häufigste Folgefehler
Wer Stripe nennt, vergisst oft, dass Stripe auf der Seite auch technisch eingebunden ist. Die Bezahlformulare laden Skripte von Stripe, und das passiert bereits beim Aufruf der Seite, nicht erst beim Bezahlen. Für die Erklärung heisst das: Stripe ist bei dir Empfänger von Zahlungsdaten und Anbieter eines eingebundenen Dienstes. Zwei Rollen, ein Abschnitt, aber beide sollten darin vorkommen.