Stripe und die DSGVO

Mit Einwilligung und Vertrag zu betreiben. Stripe.js lädt nicht erst an der Kasse — es lädt auf jeder Seite, auf der es eingebunden ist.

• Anbieter: Stripe, Inc.
• Zweck: Zahlungsabwicklung
• Setzt Cookies: ja, zur Betrugserkennung
• Einwilligung nötig: für die Zahlung selbst nein, für das Laden auf Nicht-Kassenseiten ja

Was übertragen wird#

• IP-Adresse
• Geräte- und Browsermerkmale zur Betrugserkennung
• die aufgerufene Seite, auch ohne Kaufabsicht

Die Abwicklung einer Zahlung ist zur Vertragserfüllung erforderlich, Art. 6 Abs. 1 lit. b — dafür braucht es keine Einwilligung. Das gilt aber nur für die Seiten, auf denen tatsächlich bezahlt wird. Lädt das Skript auf der Startseite mit, findet dort eine Verarbeitung ohne Vertragsbezug statt.

Was zu tun ist#

• Stripe.js nur auf den Seiten laden, auf denen bezahlt wird — nicht global im Layout.
• Den Auftragsverarbeitungsvertrag abschließen; Stripe stellt ihn bereit.
• Die Betrugserkennung in der Datenschutzerklärung als eigenen Zweck benennen, nicht unter Zahlungsabwicklung verstecken.

Wenn es auch ohne gehen soll#

• Mollie
• Zahlung per Rechnung oder Vorkasse ohne eingebettetes Skript

So findest du heraus, ob es auf deiner Seite läuft#

Im Browser Strg+U für den Quelltext, dann Strg+F nach js.stripe.com/v3. Ein Treffer genügt.

Das findet allerdings nur, was im ausgelieferten Quelltext steht — nicht, was ein Skript später nachlädt. Vollständig prüft der Datenschutz-Check: er lädt die Seite wie ein Browser und protokolliert jede Verbindung, die dabei entsteht.

Der Punkt, der bei Stripe übersehen wird#

Stripe empfiehlt in der eigenen Dokumentation ausdrücklich, Stripe.js auf JEDER Seite zu laden — das verbessert die Betrugserkennung. Genau das macht aus einer vertragsnotwendigen Verarbeitung an der Kasse eine einwilligungspflichtige auf dem Rest der Website. Wer der Empfehlung folgt, handelt technisch richtig und datenschutzrechtlich falsch, und beides steht in derselben Anleitung.

Dieselbe Frage bei ähnlichen Diensten#

• HubSpot — Kundenverwaltung, Formulare, Chat, Newsletter
• Mailchimp — Newsletter-Versand

Das ist keine Rechtsberatung, sondern eine technische Einordnung: Wir messen, was eine Website überträgt, und geben den Stand wieder, soweit er uns bekannt ist. Ob dein Einsatz zulässig ist, hängt vom Einzelfall ab. Wie die Regeln zusammenhängen und was der Angemessenheitsbeschluss von 2023 geändert hat, steht auf der Übersicht zur Serie.