Stripe und Datenschutz: Was bei jeder Zahlung an Daten fließt
Stripe steckt in fast jedem Shop und jeder Buchungsseite, sobald irgendwo bezahlt wird. Die gute Nachricht zuerst: Stripe setzt keine Cookies, für die du eine Einwilligung einholen musst. Die schlechte: Zahlungsdaten wandern trotzdem in die USA, und ein paar Aufgaben bleiben trotzdem an dir hängen, bevor Stripe sauber in deine Website eingebunden ist.
Überblick
Was ist Stripe?
Stripe ist ein Online-Bezahldienst, über den Websites Zahlungen per Kreditkarte oder Kontodaten abwickeln. Sobald ein Besucher bei dir bezahlt, läuft die eigentliche Zahlung technisch über die Server von Stripe.
| Stripe – DSGVO-Risiko | ||
|---|---|---|
| Cookies | 🟢 | Stripe setzt nur zwei Cookies für die Zahlungsabwicklung selbst, kein Tracking. |
| Externe Verbindungen | 🔴 | Beim Bezahlvorgang baut Stripe automatisch Verbindungen zu eigenen Servern auf. |
| Datenschutzerklärung | 🔴 | Stripe muss namentlich in deiner Datenschutzerklärung stehen. |
| Drittlandtransfer | 🔴 | Zahlungsdaten gehen an Stripe in den USA. |
| Auftragsverarbeitung | 🔴 | Du brauchst einen Vertrag zur Auftragsverarbeitung mit Stripe. |
| Benutzereingaben | 🔴 | Besucher geben ihre Zahlungsdaten direkt bei Stripe ein. |
| KI-Verarbeitung | 🟢 | Stripe übergibt keine Besucherdaten an eine KI-Funktion. |
Was lädt deine Website, bevor jemand zustimmt?
Kostenlos. Ohne Anmeldung. Ergebnis in 60 Sekunden.
Datenverarbeitung
Was macht Stripe mit den Daten deiner Besucher?
Sobald jemand auf deiner Website bezahlt, gibt er seine Kartendaten oder Kontodaten direkt bei Stripe ein – nicht bei dir. Diese Eingabe geht sofort an Stripe-eigene Server weiter, und zwar an Stripe in den USA. Schon beim Laden der Bezahlfunktion baut dein Shop automatisch Verbindungen zu mehreren Stripe-Domains auf, die vor allem der Betrugserkennung dienen, damit gestohlene Kartendaten nicht bei dir durchrutschen.
Zwei Cookies gehören ebenfalls dazu, dienen aber ausschließlich der laufenden Zahlung und keinem Tracking. Weil Stripe die Daten in deinem Auftrag verarbeitet, brauchst du einen Vertrag mit Stripe, der genau das regelt. Und weil die Daten am Ende auf amerikanischen Servern landen, muss auch das in deiner Datenschutzerklärung stehen.
Cookies
Setzt Stripe Cookies, für die du eine Einwilligung brauchst?
Stripe setzt zwei eigene Cookies namens __stripe_mid und __stripe_sid. Beide dienen ausschließlich dazu, eine laufende Zahlung zuzuordnen und Betrug zu erkennen – kein Marketing, keine Statistik, kein Cross-Site-Tracking. Diese Cookies sind technisch notwendig und brauchen keine Zustimmung im Cookie-Banner. Trotzdem gehören sie in deine Datenschutzerklärung, weil sie eine ID von Besuchern speichern.
Externe Verbindungen
Baut Stripe automatisch Verbindungen zu seinen Servern auf?
Sobald die Bezahlfunktion von Stripe auf deiner Seite lädt, holt sie sich automatisch das Bezahl-Skript von Stripe und baut zusätzlich Verbindungen zu weiteren Stripe-Servern auf, die im Hintergrund Geräte- und Verhaltensdaten für die Betrugserkennung sammeln. Diese Verbindungen sind für den Betrieb deiner Zahlungsfunktion notwendig und müssen nicht im Cookie-Banner blockiert werden – sonst bricht die Zahlung ab. Sie gehören aber in deine Datenschutzerklärung.
Benutzereingaben
Welche Daten geben Besucher bei Stripe ein?
Besucher tippen ihre Kartennummer, das Ablaufdatum, die Prüfziffer und meist auch ihre E-Mail-Adresse direkt in das Bezahlfeld von Stripe ein. Diese Angaben gehen erst raus, wenn das Formular abgeschickt wird – ein Cookie-Banner hilft hier nicht. Direkt beim Bezahlfeld muss ein Hinweis auf deine Datenschutzerklärung stehen, und weil die Daten bei Stripe verarbeitet werden, brauchst du zusätzlich einen Vertrag mit Stripe.
Drittlandtransfer
Werden Zahlungsdaten in die USA übertragen?
Stripe verarbeitet die Zahlungsdaten deiner Besucher bei Stripe in den USA, auch wenn dein Vertrag über eine europäische Stripe-Gesellschaft läuft. Stripe hat sich gegenüber der US-Regierung offiziell verpflichtet, mit Daten aus der EU nach europäischen Datenschutzstandards umzugehen – diese Selbstverpflichtung ist der Grund, warum die Übertragung erlaubt ist. Für dich bedeutet das: Du musst in deiner Datenschutzerklärung nennen, dass Daten in die USA gehen.
Auftragsverarbeitung
Brauchst du einen Auftragsverarbeitungsvertrag mit Stripe?
Weil Stripe die Zahlungsdaten deiner Besucher nach deinen Vorgaben verarbeitet, brauchst du mit Stripe einen Auftragsverarbeitungsvertrag (AVV) – das ist der Vertrag, der Stripe verpflichtet, die Daten nur für deine Zahlungen zu nutzen und sonst nichts damit anzustellen. Stripe stellt diesen Vertrag direkt in deinem Stripe-Konto zum Akzeptieren bereit, du musst ihn also nicht selbst anfordern oder aushandeln.
Datenschutzerklärung
Muss Stripe in deine Datenschutzerklärung?
Stripe muss namentlich in deiner Datenschutzerklärung stehen, weil Besucher dort ihre Zahlungsdaten eingeben und diese automatisch an Stripe in die USA gehen. Nach Einschätzung von e-recht24.de gehört Stripe als eigener Punkt in die Datenschutzerklärung, sobald du den Dienst einbindest.
Wir nutzen Stripe für Zahlungsanbieter.
Stripe stellt beim Laden der Website automatisch eine Verbindung zu Servern von Stripe, LLC her. Diese Verbindung ist technisch notwendig und erfolgt auf Grundlage unseres berechtigten Interesses an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Dabei können unter anderem die IP-Adresse sowie Browser- und Geräteinformationen verarbeitet werden.
Wenn du über ein Formular von Stripe deine Daten eingibst, werden diese durch ein KI-System verarbeitet und an Stripe, LLC übermittelt. Soweit Stripe, LLC die Daten in unserem Auftrag verarbeitet, besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
Bei der Nutzung von Stripe kann eine Übermittlung personenbezogener Daten in die USA stattfinden. Grundlage der Übermittlung ist das EU-US Data Privacy Framework.
Alternative
Gibt es datenschutzfreundlichere Alternativen zu Stripe?
Hier siehst du, wo Stripe im DSGVO-Vergleich zu anderen Zahlungsanbieter steht – sortiert nach Datenschutzarbeit. So erkennst du auf einen Blick, ob es Alternativen mit weniger Datenschutzaufwand gibt oder Stripe in Sachen Datenschutz bereits gut aufgestellt ist.
Fehler
Welche Fehler kommen bei Stripe in unseren DSGVO-Checks am häufigsten vor?
Stripe taucht bei 3 % der Websites auf, die unser DSGVO-Scanner bisher geprüft hat. Dabei wurden folgende Fehler festgestellt:
Prozentangaben beziehen sich auf Websites, bei denen Stripe gefunden wurde.
DSGVO-Check
Warum lohnt sich ein DSGVO-Check für deine Stripe-Einbindung?
Ein Scan auf datenrein.de zeigt dir sofort, ob Stripe auf deiner Website aktiv ist, welche Verbindungen und Cookies dabei tatsächlich gesetzt werden und ob deine Datenschutzerklärung schon alles Nötige nennt – statt dass du das selbst mühsam nachvollziehen musst.
Jeder Scan liefert außerdem echte Signale, die wir bekannten Tools wie Stripe zuordnen oder als neuen Fall in unsere Recherche aufnehmen. Dadurch wird die Erkennung mit jedem Scan ein Stück besser, wovon am Ende jede Website profitiert, die wir prüfen.
