DSGVO und Kartenzahlung: Was Händler mit Zahlungsdaten dürfen — und was nicht

Wenn ein Kunde mit Karte bezahlt, passiert mehr als eine Zahlung: Daten wandern vom Terminal zum Acquirer, von dort zum Kartennetzwerk, zur Kartenbank des Kunden und zurück. Händler stehen mittendrin — und haften für das, was mit den Daten in ihrem Bereich passiert.

Die gute Nachricht: Als stationärer Händler mit zertifiziertem Terminal berühren sie die sensiblen Kartendaten meist gar nicht selbst. Die schlechte: Datenschutzpflichten gibt es trotzdem — bei digitalen Bons, Kassensystem-Logs, Kundenbindungsprogrammen und der Datenschutzerklärung.

Welche Daten entstehen bei einer Kartenzahlung?

Bei jeder Kartentransaktion entstehen mehrere Datenpunkte — aber nicht alle liegen beim Händler:

Datenpunkt	Wer sieht es?	Liegt beim Händler?
Kartennummer (PAN)	Kartennetzwerk, Acquirer, Kartenbank	Nein (maskiert: ****1234)
Karteninhaber-Name	Kartenbank, ggf. Acquirer	Nein
Ablaufdatum	Kartennetzwerk, Acquirer	Nein
Transaktionsbetrag	Alle Beteiligten	Ja
Zeitstempel	Alle Beteiligten	Ja
Terminal-ID / Händler-ID	Acquirer, Kartennetzwerk	Ja
Referenznummer (ARN)	Alle Beteiligten	Ja
IP-Adresse (Online)	Acquirer, Gateway	Nicht immer

Der Händler sieht in seiner Kassensoftware typischerweise: Betrag, Datum, Zahlungsart (Visa/Girocard), maskierte Kartennummer und Referenznummer. Die vollständige PAN (Primary Account Number) liegt nie im Kassensystem eines normalen Einzelhändlers.

Das ist kein Zufall — es ist Absicht. PCI-DSS (der Datensicherheitsstandard der Kartennetzwerke) schreibt vor, dass vollständige Kartennummern außerhalb zertifizierter Systeme nicht gespeichert werden dürfen.

PCI-DSS vs. DSGVO: Zwei Regelwerke, ein Datensatz

Händler mit Kartenzahlung bewegen sich in zwei Rechtsrahmen gleichzeitig:

PCI-DSS ist kein Gesetz, sondern ein vertraglicher Standard der Kartennetzwerke (Visa, Mastercard). Er regelt die technische Sicherheit von Kartendaten: wie sie übertragen, gespeichert (oder eben nicht gespeichert) und geschützt werden müssen. Verstöße führen zu Vertragsstrafen oder dem Verlust der Akzeptanzzulassung.

DSGVO ist EU-Recht und gilt für alle personenbezogenen Daten — also auch für Transaktionsdaten, soweit sie einer Person zuordenbar sind. Betrag + Datum + Referenz allein sind anonym; Betrag + Datum + maskierte Kartennummer + Kassenbon-Nummer können unter Umständen einer Person zugeordnet werden.

Die beiden Regelwerke ergänzen sich: PCI-DSS verhindert, dass Kartendaten in die falschen Hände geraten. Die DSGVO regelt, was Händler mit den Daten tun dürfen, die sie rechtmässig haben.

→ Details zur technischen Sicherheitspflicht: PCI-DSS: Was Händler wirklich tun müssen

Was Händler speichern dürfen — und was nicht

Erlaubt:

• Transaktionsbetrag, Datum, Uhrzeit
• Zahlungsart (Karte, Bar, TWINT)
• Maskierte Kartennummer (z.B. ****1234)
• Acquirer-Referenznummer (für Chargeback-Abwehr)
• Z-Abschluss und Tagesberichte

Nicht erlaubt (PCI-DSS):

• Vollständige Kartennummer nach Autorisierung
• CVV/CVC nach Autorisierung
• PIN in jeglicher Form
• Magnetstreifendaten nach Autorisierung

Wer ein zertifiziertes Terminal und eine reguläre Kassen-Software nutzt, verstösst hier meist nicht automatisch — die Daten kommen gar nicht erst ins System. Riskant wird es, wenn Händler selbst Daten abschreiben, Screenshots machen oder Transaktionslogs exportieren, ohne zu wissen, was darin steckt.

Auftragsverarbeitung: Wer ist für was verantwortlich?

Bei der Kartenzahlung gibt es mehrere Beteiligte, die Daten verarbeiten:

• Acquirer (z.B. PAYONE, Worldline, SumUp): verarbeitet die Transaktion im Auftrag des Händlers
• Kassensystem-Anbieter (z.B. ready2order, orderbird): speichert Transaktionsdaten auf Servern des Anbieters
• Kartennetzwerk (Visa, Mastercard): eigenverantwortlicher Datenverarbeiter — kein AVV möglich

Für Acquirer und Kassensystem-Anbieter gilt: Sobald sie personenbezogene Daten im Auftrag des Händlers verarbeiten, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO Pflicht. Die meisten seriösen Anbieter stellen ihn bereit — aber Händler müssen ihn aktiv abschliessen, er kommt nicht automatisch.

Datenübermittlung in die USA: Was seit Privacy Shield gilt

Visa und Mastercard sind US-Konzerne. Transaktionsdaten werden über ihre globale Infrastruktur verarbeitet — auch wenn Händler und Acquirer in der EU sitzen.

Seit dem EU-US Data Privacy Framework (DPF, gültig seit Juli 2023) ist die Datenübermittlung in die USA für zertifizierte US-Unternehmen wieder rechtssicher möglich. Visa und Mastercard sind unter dem DPF zertifiziert. Händler müssen das in ihrer Datenschutzerklärung kommunizieren — mit Verweis auf das DPF und den Empfänger.

Digitale Bons und Datenschutz

Viele Kassensysteme bieten digitale Quittungen per E-Mail oder SMS an. Das klingt praktisch — ist aber datenschutzrechtlich heikel:

• Die E-Mail-Adresse des Kunden ist ein personenbezogenes Datum
• Sie darf nur für den Versand des Bons verwendet werden, nicht für späteres Marketing
• Der Kunde muss aktiv zustimmen — ein vorausgefülltes Opt-in-Feld reicht nicht
• Die Adresse darf nicht gespeichert werden, wenn kein Kundenkonto besteht

Händler, die digitale Bons anbieten, sollten sicherstellen, dass das Kassensystem E-Mail-Adressen nicht dauerhaft speichert — oder zumindest eine klare Einwilligungslösung hat.

Videoüberwachung an der Kasse

Viele Händler überwachen den Kassenbereich per Kamera. Das ist datenschutzrechtlich möglich, aber an Bedingungen geknüpft:

• Hinweispflicht: Aufkleber mit Kamera-Symbol, Verantwortlichem und Speicherdauer
• Speicherdauer: maximal 72 Stunden (bei konkretem Verdacht länger möglich)
• Keine Überwachung von Umkleidekabinen, Sanitärbereichen, Pausenräumen

Bilder, die zeigen, wie Kunden die PIN eingeben, sind besonders sensibel — technisch sollten Kameras so ausgerichtet sein, dass das PIN-Pad nicht im Bild ist.

Mitarbeiterdaten und Kassenzugriff

Kassensysteme protokollieren oft, wer wann welche Transaktion durchgeführt hat — mit Mitarbeiter-Login, Schichtdaten und Kassenöffnungen. Diese Daten sind Mitarbeiterdaten und unterliegen dem Beschäftigtendatenschutz (§ 26 BDSG).

Händler dürfen Mitarbeiterdaten aus dem Kassensystem für Abrechnungs- und Kontrollzwecke verwenden — nicht aber für eine unverhältnismässige Dauerüberwachung. Die Daten müssen nach Ende des Arbeitsverhältnisses gelöscht werden, sobald keine Aufbewahrungspflichten mehr gelten.

Checkliste: DSGVO-Pflichten für den Kassenbetrieb

1. Datenschutzerklärung aktualisieren: Acquirer, Kassensystem-Anbieter und Kartennetzwerke nennen
2. AVV abschliessen mit Kassensystem-Anbieter und Acquirer
3. Digitale Bons: Einwilligung einholen, E-Mail nicht dauerhaft speichern
4. Videoüberwachung: Hinweispflicht erfüllen, Speicherdauer begrenzen
5. Mitarbeiterdaten: Löschkonzept für ausgeschiedene Mitarbeiter
6. Aufbewahrung: Transaktionsdaten nach Ablauf der 10-Jahres-Frist löschen

---

→ PCI-DSS: Was Händler wirklich tun müssen → Chargeback: Was passiert, wenn Kunden eine Zahlung anfechten?