Mobile Payment boomt. Deshalb es gibt einige gesetzliche Vorgaben, die sich mit diesem zukunftsträchtigen, aber auch datenschutzrechtlich sensiblen Bereich auseinandersetzen. Die müssen vor allem die Zahlungsdiensteanbieter umsetzen - doch auch Händler können hier nicht untätig bleiben. etailment-Expertin und Rechtsanwältin Kathrin Schürmann klärt auf.
Die Palette möglicher Zahlungsmodalitäten hat sich in den letzten Jahren enorm vervielfacht. Zur klassischen Bar- oder Kartenzahlung kamen vor allem Anbieter wie PayPal, der bei Online-Zahlungen inzwischen den größten Marktanteil in Deutschland mit über 23 Millionen Privatnutzern hält. Noch nicht ganz so verbreitet sind Mobile Payments, Zahlungen per Handy. Das Smartphone kann kontaktlos an der Ladenkasse eingesetzt werden, indem der integrierte NFC-Chip eingesetzt wird und der Kunde sich mit Fingerabdruck oder Gesichtserkennung ausweist. Bezahlungen über Apps dritter Anbieter und von Online-Käufen sind ebenfalls möglich.
Dass die neuen Dienste erfolgreich sind, kann kaum verwundern. Für die Verbraucher ist es praktisch, mal eben kontaktlos im Laden zu bezahlen oder den Online-Kauf mit dem Fingerabdruck abzuschließen, statt langwierig Kontodaten einzutippen. Mit den Diensten lassen sich zudem leicht Kundenbindungsprogramme implementieren. Gleichzeitig können Kosten gesenkt werden, die durch den Bezahlvorgang zustande kommen, wie im stationären Handel etwa der Schutz oder der Transport von Bargeld. Am Flughafen München können Waren künftig mit dem Handy bezahlt werden, und das ohne App und direkt am Regal, ohne sich noch an einer Kasse anstellen zu müssen. Und an Total-Tankstellen in Düsseldorf und München sollen Kunden direkt an der Zapfsäule bezahlen können. Schließlich gilt: Mit neuen, unkomplizierten Bezahloptionen können Händler mehr Kunden gewinnen.
Doch auch wenn die Devise lautet: Je mehr Bezahloptionen, desto besser, sollte man als Händler die Zahlungsdiensteanbieter überlegt auswählen und Vorkehrungen treffen, um sie rechtlich sicher in den Bezahlprozess einzubinden. Denn bei Datenschutzverstößen drohen Abmahnungen und Bußgelder, aber auch eine Schädigung des Kundenvertrauens. Gerade in Deutschland herrscht trotz genereller Offenheit noch immer eine relativ große Skepsis gegenüber neuen Bezahlmethoden, die laut Bitkom-Umfrage vor allem auf Sicherheitsbedenken zurückzuführen ist. 61% der Smartphone-Nutzer sorgen sich demnach vor Hackerangriffen auf ihr Konto. Und Ende 2018 haben gerade einmal 5% der deutschen Kunden ihren Einkauf mit dem Handy bezahlt.
Was hinzukommt: Die Praxis der Zahlungsdiensteanbieter, die Daten zu sammeln und zu ausführlichen Datensätzen zu kombinieren. Der Nutzer offenbart nicht nur seine sensiblen Zahlungsinformationen, sondern zudem aussagekräftige Metadaten: Online-Käufe geben detailliert Aufschluss über Interessen und Präferenzen, Bezahlungen per Handy dokumentieren ein differenziertes Kauf- und Bewegungsprofil. Das Unternehmen erhält Informationen wie den Standort des Geschäfts, Datum und Uhrzeit des Kaufs, den Betrag, oftmals eine Beschreibung des Kaufgegenstands und ggf. weitere Informationen.
Dass diese Bedenken aber nicht immer berechtigt sein müssen, zeigt sich auf den zweiten Blick. Denn seit September 2019 gelten die Regeln der EU-Zahlungsdiensterichtlinie PSD2 (Payment Services Directive2), die unter anderem die Sicherheit bei Bezahlvorgängen verbessern. Für elektronische Zahlungsvorgänge ist nunmehr eine Zwei-Faktor-Authentifizierung verpflichtend.
Die einfache PIN-Eingabe reicht nicht mehr. Stattdessen müssen zwei Merkmale abgefragt werden, die aus drei Gruppen ausgewählt werden können. Man kann Wissen abfragen, etwa eine PIN; zweitens ist eine Erkennung mit Inhärenz möglich, indem der Kunde mit einer seiner Eigenschaften wie dem Fingerabdruck verknüpft wird; drittens kann er sich mit Besitz ausweisen, zum Beispiel indem er eine TAN vorlegt. Ausgenommen von der Pflicht zur Zwei-Faktor-Authentifizierung sind der Kauf auf Rechnung, das Lastschriftverfahren und Abonnement-Zahlungen.
Die Umstellung auf die neuen Regelungen ist in erster Linie Sache der Zahlungsdiensteanbieter, doch Händler müssen deren Authentifizierungsprozesse in ihrem Onlineshop oder in den Bezahlvorgang an der Kasse technisch implementieren. Zudem sollten die Bezahldienste, mit denen Händler zusammenarbeiten, sorgfältig daraufhin überprüfen, ob sie die neuen Vorgaben umsetzen. Das gilt vor allem dann, wenn man seine Bezahloptionen um mehr als die gängigen Dienste erweitern möchte.
Hier ist zu beachten: Für die Bezahlung mit Kreditkarte gibt es eine Übergangsfrist bis zum 31. Dezember 2020. Zu vermeiden ist die Einbindung eines Zahlungsdiensteanbieters, der Daten in Drittstaaten übermittelt oder dort gar seinen Sitz hat, die kein angemessenes Datenschutzniveau bieten. Entscheidend ist auch, welche Daten der Anbieter erfasst, wie diese genutzt und welche Verschlüsselungstechniken verwendet werden. Aufschluss kann darüber die jeweilige Datenschutzerklärung geben. Im Zweifel sollten Händler beim Anbieter nachfragen und dies dokumentieren. Anschließend sollte nach den dort genannten Informationen auch die Datenschutzerklärung des Händlers angepasst werden. Falls die Voraussetzungen vorliegen, muss ein Auftragsverarbeitungsvertrag oder ein Vertrag über eine gemeinsame Verantwortlichkeit geschlossen werden. Welcher Fall vorliegt oder ob sogar von einer getrennten Verantwortlichkeit auszugehen ist, sollte für den jeweiligen Anbieter gesondert geprüft werden.
Wer als Händler Zahlungsaufschläge für die Nutzung eines Dienstes erheben will, muss die Zulässigkeit genau prüfen. Denn kostendeckende Zuschläge bei besonders gängigen bargeldlosen Zahlungsmitteln sind nicht mehr erlaubt. Welche das im Einzelnen sind, kann umstritten sein. Die Einstufung von PayPal wurde daher vor Gericht verhandelt. Jedenfalls fallen Kartenzahlungen, Überweisungen und Lastschriften darunter. Zudem ist auf die AGBs der Zahlungsdiensteanbieter zu achten. PayPal zum Beispiel verbietet Aufschläge bereits in seinen AGBs und sperrt die Händlerkonten bei Verstößen.
Etwas, worauf Online-Händler ganz besonders achten sollten, ist zudem die Gestaltung des Check-Out-Bereichs. Denn Ende November 2019 hat der BGH ein Urteil des OLG Münchens bestätigt, nach dem auf der letzten Bestellseite der Preis und alle wesentlichen Produktmerkmale wie zum Beispiel Material oder Gewicht aufgezählt werden müssen.
Der streitige Link auf die Produktdetailseite, den Amazon in dem Fall stattdessen gesetzt hatte, wurde als unzulässig verworfen. Darüber hinaus sollten alle weiteren wichtigen Angaben aufgelistet werden, beispielsweise über Vertragslaufzeiten oder Kündigungsbedingungen. Händler stehen hier vor der Schwierigkeit, die Bestellabschlussseite dennoch für den Kunden übersichtlich zu gestalten. Denn die maßgebliche Vorschrift, § 312j Abs. 2 BGB, besagt auch: Die Informationen seien „klar und verständlich in hervorgehobener Weise zur Verfügung zu stellen“.
Die Entwicklung elektronischer und mobiler Zahlungsmöglichkeiten schreitet auch hierzulande voran. Diesen Prozess begleiten Bedenken der Verbraucher, die aber durch die neuen gesetzlichen Regelungen, vor allem die PSD2, bereits gut aufgefangen werden. Insbesondere bei den großen Zahlungsdiensteanbietern ist die Umsetzung weitestgehend abgeschlossen, sodass Händler ihr Angebot an Zahlungsoptionen gut ausbauen können. Die Angst der Verbraucher ist vor allem aufgrund der Zwei-Faktor-Authentifizierung und Verschlüsselungsverfahren nicht notwendig, weshalb die Akzeptanz der E-Payments nochmals höher werden dürfte. Trotz allem sollten Händler sich die Vorgehensweise ihrer Zahlungsdienste, die sie auf ihrer Webseite oder in ihrem Laden anbieten, genau ansehen, um auf der sicheren Seite zu sein.
Es ist empfehlenswert, nicht vollständig gesetzeskonforme Anbieter zunächst auszusortieren und bei den übrigen die datenschutzrechtlichen Pflichten einzuhalten: Vor allem passende Vereinbarungen abschließen und an Informationspflichten denken.
Eine Problematik, die nicht nur im Bereich Payment bekannt ist, bleibt natürlich: ganz besonders die großen Anbieter wie Google oder Apple erhalten immer umfassendere Daten der Kunden. Hier bleibt höchstens die Möglichkeit, zusätzlich mit alternativen Anbietern zu kooperieren und auf solche hinzuweisen. So bündeln Banken und Sparkassen das bislang erfolglose Paydirekt mit den Diensten Giropay und Kwitt zu einem einheitlichen Bezahldienst.
Letztlich liegt die Entscheidung aber beim Verbraucher, ob er seine Daten preisgibt oder auf die Dienste verzichtet. Doch so oder so: E-Payment ist im Kommen, die gesetzlichen Anforderungen in Europa sind stark und ein weiterer Ausbau dieses Bereichs in Zukunft ist zu erwarten – Händler sollten also auf dem Laufenden bleiben.
AUCH INTERESSANT:
