Online-Zahlungen für Schweizer KMU: Optionen und vertragliche Anforderungen

Online-Zahlungen: Die Wahl des Dienstleisters hängt nicht nur von den Gebühren ab

Eine Online-Zahlung entgegenzunehmen bedeutet, Informationen zur Identifizierung des Käufers an einen Dienstleister zu übermitteln. Dieser Dienstleister ist oft vielfältig: Zahlungslösung, Hosting, Anti-Betrugs-Tool, Kartenauthentifizierungsmechanismus.

Name, Adresse, Rechnungsdaten, Transaktionshistorie: all dies sind personenbezogene Daten, die der Centre Patronal definiert als «alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen».

Laut derselben Quelle gelten das Gesetz und seine Ausführungsverordnung (DSGVO) sobald personenbezogene Daten durch private Personen verarbeitet werden. Dies betrifft «alle Unternehmen in der Schweiz, unabhängig von ihrer Grösse».

Eine Westschweizer KMU, die einen Zahlungsbutton aktiviert, bewegt sich also nicht in einer Grauzone: Sie fällt in den Anwendungsbereich des neuen Datenschutzgesetzes (nDSG).

Die Wahl des Dienstleisters hat eine zweite, vertragliche Konsequenz. Der Händler entscheidet, warum er diese Daten sammelt: zur Abwicklung der Bestellung, zur Verwaltung von Rückerstattungen und Streitfällen, zur Führung seiner Buchhaltung. Er übernimmt die Rolle des Verantwortlichen für die Datenverarbeitung; der Dienstleister verarbeitet diese Daten in seinem Auftrag, also als Auftragsverarbeiter.

Aus dieser Einstufung ergeben sich die zu verhandelnden Klauseln: Sicherheitsgarantien, Weiterleitung von Kundenanfragen (Zugriff, Berichtigung, Löschung), Verteilung der Verantwortlichkeiten bei einem Vorfall bei einem der Zwischenschalter.

Vergleicht man die Angebote nur anhand der Provision oder der technischen Integrationsfreundlichkeit, lässt man ausser Acht, was später bezahlt werden muss. Ein Vertrag, der schweigt über nachgelagerte Auftragsverarbeiter, den Speicherort der Daten oder die Meldung von Vorfällen, bringt die KMU in eine schwache Position. An dem Tag, an dem sie einem unzufriedenen Kunden oder einer Aufsichtsbehörde antworten muss, kostet dieses Schweigen teuer.

Verantwortlicher für die Datenverarbeitung oder Auftragsverarbeiter: Die erste zu klärende Frage

Der Centre Patronal erinnert an die zwei Definitionen, die das gesamte Gebäude strukturieren. Der Verantwortliche für die Datenverarbeitung ist «die private Person oder das Bundesorgan, das allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt». Der Auftragsverarbeiter ist «die private Person oder das Bundesorgan, das personenbezogene Daten im Auftrag des Verantwortlichen für die Datenverarbeitung verarbeitet».

Dieselbe Quelle nennt das Beispiel des Cloud-Dienstleisters, an den der Verantwortliche IT-Funktionen ausgelagert hat: Er handelt als Auftragsverarbeiter. Ein Zahlungsdienstleister, ein Host der Kasse oder ein Betrugserkennungsdienst befinden sich in einer ähnlichen Situation.

In einer Online-Zahlungskette greifen zwei separate Verträge. Der Akzeptanzvertrag wird mit einem Acquirer unterzeichnet – einer Finanzinstitution, die Zahlungen mit Kredit- und Debitkarten abwickelt. Der Auftragsverarbeitungsvertrag wird mit einem Payment Service Provider (PSP) unterzeichnet, der die Zahlungsmittel technisch in den Shop integriert.

Die Frage ist nicht theoretisch. Die Liste der Compliance-Massnahmen des Centre Patronal beginnt mit der Identifizierung der Rollen. Dort heisst es: «Es gilt zu identifizieren, welche Verantwortlichkeiten gegenüber diesen Daten bestehen, indem bestimmt wird, ob die private Person als Verantwortlicher für die Datenverarbeitung oder als Auftragsverarbeiter handelt.»

Von dieser Einstufung hängen die geforderte Sicherheit, der Umfang der durchzuführenden Prüfungen und die Verteilung der Verantwortlichkeiten im Falle eines Datenlecks oder einer Anfrage einer betroffenen Person ab.

Sie hat auch eine direkte operative Konsequenz. Laut Centre Patronal muss die Person, die die Rolle des Verantwortlichen übernimmt, «sicherstellen, dass ihr Auftragsverarbeiter in der Lage ist, die Datensicherheit zu gewährleisten». Eine KMU kann sich daher nicht damit begnügen, einen Online-Zahlungsdienst zu abonnieren. Sie muss nachweisen können, dass sie die Garantien ihres Dienstleisters geprüft und die Beziehung schriftlich geregelt hat.

Ein und derselbe Dienstleister kann jedoch Rollen kumulieren. Die Verarbeitungen, die er für eigene Zwecke durchführt – Geldwäschereibekämpfungspflichten, Verbesserung seiner Dienste – fallen nicht unter die Auftragsverarbeitung, sondern unter seine eigene Verantwortung. Der Vertrag sollte diese beiden Blöcke unterscheiden, sonst glaubt die KMU fälschlicherweise, dass alles, was ihr Dienstleister tut, durch ihre Weisungen gedeckt ist.

Was das nDSG seit dem 1. September 2023 für Online-Einzüge ändert

Das neue Bundesgesetz über den Datenschutz ist am 1. September 2023 in Kraft getreten. Es ersetzt das Gesetz von 1992. Gemäss einem Compliance-Leitfaden für Schweizer KMU «richtet es das schweizerische Recht an den Normen der EU-DSGVO aus».

Der Centre Patronal präzisiert, dass das Gesetz mit seiner Ausführungsverordnung gilt, sobald personenbezogene Daten durch private Personen, natürliche oder juristische, verarbeitet werden.

Die Grundprinzipien sind mit der Revision nicht verschwunden. Laut Centre Patronal «bleiben die Grundprinzipien des Datenschutzes unverändert»: Rechtmässigkeit, Treu und Glauben, Zweckbindung, Transparenz, Verhältnismässigkeit, Richtigkeit und Datensicherheit müssen bei allen Verarbeitungen personenbezogener Daten angewendet werden.

Angewendet auf eine Zahlungsseite übersetzen sie sich in konkrete Fragen. Ist der Zweck klar definiert (Abwicklung der Bestellung, Management von Streitfällen, Betrugsprävention)? Sind die angeforderten Daten im Verhältnis zu diesem Zweck, oder sammelt die KMU mehr als nötig?

Ist der Käufer darüber informiert, was mit seinen Daten geschieht? Werden die Daten aktuell gehalten? Bietet der Dienstleister ausreichende Sicherheit?

Ein Leitfaden für Schweizer KMU präsentiert sieben zentrale Prinzipien – Transparenz, informierte Einwilligung, Datenminimierung, Recht auf Vergessenwerden, Datenportabilität, Datensicherheit und Verantwortlichkeit. Er betont, dass sie sich nicht nur auf die Erfassung beschränken: Sie erstrecken sich auf die Verwaltung, Nutzung, Speicherung und Löschung von Daten. Dieser Leitfaden verweist für Details zu den Anforderungen auf die Ressourcen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Für eine KMU betrifft die greifbarste Konsequenz die Dokumentation. Der Centre Patronal stellt fest, dass «jedes Unternehmen im Rahmen seiner Tätigkeiten Verarbeitungen personenbezogener Daten vornimmt, sei es von Kunden, Mitarbeitenden oder Lieferanten».

Zahlungsdaten kommen zu diesem Inventar hinzu. Sie müssen einem Zweck, einem identifizierten Dienstleister und in den Unterlagen des Unternehmens beschriebenen Sicherheitsmassnahmen zugeordnet werden können.

Wichtige Entwicklungen der Regulierung von Online-Zahlungen in der Schweiz seit 2023

Wenn die DSGVO in die Zahlungsverträge einer Schweizer KMU Einzug hält

Eine Schweizer KMU unterliegt nicht automatisch der europäischen Verordnung. Der Anwalt Sylvain Métille, zitiert in einer Analyse für Westschweizer KMU, unterscheidet vier Szenarien.

Nicht unterliegende Unternehmen bieten Waren und Dienstleistungen ausschliesslich Kunden in der Schweiz an und haben keine Präsenz in der EU. Diejenigen, die aufgrund ihrer Präsenz in der EU unterliegen, tun dies durch europäische Entitäten.

Extraterritorial unterliegende Unternehmen sind nur in der Schweiz präsent, bieten aber insbesondere Waren oder Dienstleistungen für EU-Ansässige an oder verfolgen deren Handlungen im Internet. Schliesslich unterliegen Schweizer Auftragsverarbeiter europäischer Daten nicht der DSGVO. Bestimmte Pflichten können jedoch in ihren teilweise an die Verordnung angelehnten Auftragsverarbeitungsverträgen übernommen werden.

Das praktische Kriterium ist also folgendes: Wo befinden sich die Kunden und wo ist das Unternehmen ansässig? Dieselbe Quelle erinnert als Grundprinzip daran, dass «das Recht des Landes gilt, in dem sich das Unternehmen befindet». Sie stellt fest, dass viele Westschweizer KMU mindestens einige europäische Kunden oder Lieferanten sowie Grenzgänger in ihrem Personal haben.

Für einen Online-Shop kann die dritte Kategorie ins Spiel kommen. Der Verkauf und die Lieferung an EU-Ansässige reichen aus, um die KMU in den extraterritorialen Anwendungsbereich der Verordnung zu bringen, selbst ohne europäische Tochtergesellschaft. Das ändert nicht nur die Information, die den Kunden gegeben werden muss; es wirkt sich auf den Zahlungsvertrag aus.

Wenn der Händler der DSGVO unterliegt und sein Dienstleister Daten dieser Kunden verarbeitet, muss der Vertrag kompatible Verpflichtungen vorsehen. Diese Verpflichtungen betreffen Sicherheitsmassnahmen, Information im Falle einer Verletzung, die Regelung der nachgelagerten Auftragsverarbeitung und die Unterstützung bei der Beantwortung von Anfragen betroffener Personen.

Der vierte Fall funktioniert umgekehrt und interessiert direkt KMU, die einen Schweizer Dienstleister wählen. Ein in der Schweiz ansässiger Auftragsverarbeiter, der für europäische Kunden arbeitet, kann bereits vertragliche Klauseln anbieten, die an die DSGVO angelehnt sind. Ein solcher Vertrag kommt einer KMU, die in der EU verkauft, zugute, da sie so nicht jeden Punkt des Datenschutzes neu verhandeln muss.

Zu prüfende Klauseln vor der Unterzeichnung mit einem Zahlungsdienstleister

Die Grundanforderung ergibt sich aus der Rollenverteilung. Laut Centre Patronal muss die Person, die die Verantwortung für die Verarbeitung übernimmt, «sicherstellen, dass ihr Auftragsverarbeiter in der Lage ist, die Datensicherheit zu gewährleisten». In einem Online-Zahlungsvertrag übersetzt sich dies in mehrere zu prüfende Punkte. Die untenstehende Liste enthält die Elemente, die üblicherweise in einem Datenauftragsverarbeitungsvertrag erwartet werden.

Der Akzeptanzvertrag mit einem Acquirer legt die Gebühren, Sicherheitsanforderungen und Prozesse für Rückbuchungen fest. Der Auftragsverarbeitungsvertrag mit einem PSP regelt die technische Verbindung zwischen Shop, PSP und Banken. Beide Verträge müssen geprüft werden, da sie unterschiedliche Verantwortlichkeiten verteilen.

Umfang der Verarbeitung: Welche Kategorien von Daten werden verarbeitet (Identität des Käufers, Kontaktdaten, Transaktionsdaten), für welche Zwecke und für welche Operationen. Die vom Centre Patronal gewählte Definition der Verarbeitung ist breit: «die Erfassung, Speicherung, Aufbewahrung, Nutzung, Änderung, Übermittlung, Archivierung, Löschung oder Vernichtung von Daten». Sie bietet eine gute Grundlage, um zu beschreiben, was der Dienstleister tatsächlich tut.

Rolle und Verantwortlichkeiten: Der Vertrag muss festlegen, wer für jeden Operationsblock Verantwortlicher für die Datenverarbeitung und wer Auftragsverarbeiter ist, einschliesslich wenn der Dienstleister bestimmte Daten für eigene Zwecke verarbeitet. Sicherheitsgarantien: Welche Massnahmen verpflichtet sich der Dienstleister aufrechtzuerhalten (Zugriffskontrolle, Verschlüsselung, Protokollierung, Incident-Management) und wie weist er dies nach. Nachgelagerte Auftragsverarbeitung: Liste der in der Zahlungskette involvierten Auftragsverarbeiter, Bedingungen der Information bei Änderungen, Widerspruchsrecht des Händlers.

Speicherort und Übermittlungen: Wo die Daten gehostet und verarbeitet werden und unter welchen Bedingungen sie ausserhalb der Schweiz übertragen werden dürfen. Meldung von Vorfällen: Innerhalb welcher Frist und über welchen Kanal wird der Händler über eine Datenverletzung informiert, und mit welchen Informationen. Anfragen betroffener Personen: Wer bearbeitet eine Anfrage auf Zugriff, Berichtigung oder Löschung, und innerhalb welcher Frist wird sie an den Händler weitergeleitet.

Vertragsende: Rückgabe oder Löschung der Daten, einschliesslich der bei Auftragsverarbeitern gespeicherten Daten. Audit und Nachweis: Prüfungsrechte, Bescheinigungen oder Berichte, die der Dienstleister zur Verfügung stellt.

Letzter Punkt, oft vergessen: Die Abstimmung mit den Allgemeinen Geschäftsbedingungen (AGB) des Händlers. Die Information des Käufers setzt voraus, den Dienstleister zu nennen, auf dessen Datenschutzrichtlinie zu verweisen und den Zweck des Einzugs in den AGB zu beschreiben. Vertrag und AGB müssen dieselbe Geschichte erzählen; eine Divergenz zwischen den beiden ist schwer einer Person zu erklären, die fragt, was mit ihren Daten geschieht.

Vertragsoptionen: Schweizer Dienstleister, europäischer Dienstleister oder Auftragsverarbeiter europäischer Daten

Die in der Schweiz verwendeten Online-Zahlungsmittel sind gut identifiziert. Twint dominiert das mobile Bezahlen mit mehr als 5 Millionen aktiven Nutzern. Visa- und Mastercard-Debit- und Kreditkarten bleiben der Standard, insbesondere für Einkäufe über 100 CHF. Rechnung, Postkonto, PayPal und Apple Pay ergänzen das Angebot.

Um diese Zahlungsmittel zu integrieren, greift eine KMU auf einen Payment Service Provider (PSP) zurück. Die für Schweizer Online-Shops bekannten PSPs sind DataTrans, Nexi, PayPal, Payrexx, PostFinance, Stripe, Wallee und Worldline. Der Vergleich der neun Hauptanbieter umfasst auch Datatrans von Planet, saldiaPay und zahls.ch. Saferpay wird ebenfalls als Schweizer Gateway genannt.

Die Kosten eines PSP setzen sich aus Installationsgebühren, monatlichen Fixkosten und Transaktionsgebühren zusammen. Letztere variieren je nach Transaktionsvolumen zwischen CHF 0.20 und CHF 1.10. Für Kreditkartenzahlungen kommen Provisionsgebühren von 2,5% bis 3,5% des Kaufpreises hinzu, die an das Finanzinstitut gezahlt werden, das die Transaktionen abrechnet.

Als Richtwert: Twint wird mit ca. 1,3% + 0,30 CHF pro Transaktion berechnet, Stripe mit 2,9% + 0,30 CHF für Schweizer Karten und PayPal mit 2,49% bis 3,4% + 0,55 CHF. PostFinance Checkout liegt bei rund 2,5% + monatlichen Fixkosten, während Datatrans auf Offertenbasis mit einem Abonnement und ca. 1 bis 2,5% arbeitet.

Die Wahl zwischen einem Schweizer und einem europäischen Dienstleister hängt dann vom anwendbaren DSGVO-Regime ab. Die vier oben beschriebenen Kategorien bestimmen, ob der Vertrag an die DSGVO oder nur an das nDSG angelehnt sein muss. Ein Schweizer PSP kann ausserhalb der Schweiz hosten, und ein europäischer PSP kann auf anderswo ansässige Auftragsverarbeiter zurückgreifen.

Das anwendbare Regime gibt einen ersten Auswahlrahmen. Eine KMU, die ausschliesslich an Kunden in der Schweiz verkauft und keine Präsenz in der EU hat, befindet sich in der ersten von Sylvain Métille beschriebenen Kategorie. Sie unterliegt nicht der DSGVO, und ihr Zahlungsvertrag kann ausschliesslich auf der Basis des nDSG aufgebaut werden. Dies ist der einfachste Fall, und ein in der Schweiz ansässiger Dienstleister beantwortet ihn mit klauselnkonformen Auftragsverarbeitungsverträgen nach schweizerischem Recht.

Eine KMU mit einer Entität in der EU fällt in die zweite Kategorie: Sie unterliegt der DSGVO durch ihre europäische Präsenz. Der Vertrag mit ihrem Zahlungsdienstleister – unabhängig von dessen Sitz – muss dieses Regime widerspiegeln.

Eine nur in der Schweiz präsente KMU, die aber an EU-Ansässige verkauft, fällt in die dritte Kategorie, die der extraterritorialen Anwendung. Auch ohne europäische Entität muss der Datenschutz der EU-Käufer organisiert werden. Der Vertrag des Dienstleisters ist der erste Ort, wo sich dies materialisiert.

Die vierte Kategorie, die der Schweizer Auftragsverarbeiter europäischer Daten, ist aus Verhandlungssicht die interessanteste. Diese Dienstleister unterliegen nicht der DSGVO, aber bestimmte Pflichten können in ihren teilweise an die Verordnung angelehnten Auftragsverarbeitungsverträgen übernommen werden. Ein Schweizer Zahlungsdienstleister, der mit einer europäischen Kundschaft arbeitet, kann daher einen Auftragsverarbeitungsvertrag anbieten, der bestimmte, teilweise an die DSGVO angelehnte Pflichten übernimmt.

Die Wahl reduziert sich nicht auf «Schweizer Dienstleister oder europäischer Dienstleister». Drei Fragen helfen bei der Entscheidung: In welchem Regime befindet sich die KMU (Verkauf nur in der Schweiz, Präsenz in der EU, Verkauf an EU-Ansässige)? Deckt der Vertrag des Dienstleisters dieses Regime bereits ab, oder muss er ergänzt werden? Wo werden die Daten tatsächlich verarbeitet und durch welche Auftragsverarbeiter?

Ein Schweizer Dienstleister kann ausserhalb der Schweiz hosten und ein europäischer Dienstleister kann sich auf anderswo ansässige Auftragsverarbeiter stützen. Es ist die gesamte Kette, nicht der Hauptsitz, die bestimmt, was der Vertrag vorsehen muss.

Vorteile und Einschränkungen der Wahl eines Schweizer vs. europäischen Dienstleisters

Pragmatische Compliance und vertragliche Checkliste für eine Westschweizer KMU

Der vom Centre Patronal für eine KMU vorgeschlagene Ansatz beginnt mit der Identifizierung der Rollen: Für jede Verarbeitung bestimmen, ob das Unternehmen als Verantwortlicher für die Datenverarbeitung oder als Auftragsverarbeiter handelt. Angewendet auf Online-Zahlungen übersetzt sich dieser Schritt in ein schriftliches Inventar. Es listet auf, welche Zahlungsdaten durch welche Kanäle (Kassenseite, Zahlungslink, Terminal, Abonnement) an welche Dienstleister und für welche Zwecke fliessen.

Dieses Inventar ist auch der Moment, um die anderen Verarbeitungen des Unternehmens zu erfassen. Wie dieselbe Quelle erinnert, verarbeitet jedes Unternehmen Daten seiner Kunden, Mitarbeitenden und Lieferanten.

Zweiter Schritt: Den Dienstleister prüfen. Die Person, die die Verantwortung für die Verarbeitung übernimmt, muss sicherstellen, dass ihr Auftragsverarbeiter in der Lage ist, die Datensicherheit zu gewährleisten. Man muss die schriftlichen Zusagen, die angekündigten technischen Massnahmen und die Liste der in der Zahlungskette involvierten nachgelagerten Auftragsverarbeiter anfordern.

Diese Prüfung betrifft auch die Gebühren. Fordern Sie die Tarifübersicht an: Installationsgebühren, monatliche Fixkosten, Transaktionsgebühren (CHF 0.20 bis 1.10) und Kartenprovisionen (2,5% bis 3,5%). Vergleichen Sie diese Kosten mit den Zahlungsmitteln, die Ihre Kunden tatsächlich nutzen.

Dritter Schritt: Dokumentieren. Der KMU-Leitfaden zum nDSG betont, dass die Datenschutzprinzipien sich auf die Verwaltung, Nutzung, Speicherung und Löschung erstrecken. Er verweist auf die Ressourcen des EDÖB für detaillierte Anforderungen.

Konkret: Den Vertrag, die den Kunden übermittelten Informationen und die Beschreibung der Sicherheitsmassnahmen mit der Datei der Verarbeitungen aufbewahren.

Vierter Schritt: Die AGB und den Vertrag aktualisieren. Die AGB müssen den Zweck des Einzugs beschreiben und auf die Datenschutzrichtlinie des Dienstleisters verweisen. Der Vertrag muss die Punkte der untenstehenden Checkliste abdecken.

Fünfter Schritt: Die Übung bei jedem Wechsel des Dienstleisters, Hostings oder der Konfiguration der Kassenseite wiederholen. Ein neues technisches Modul bedeutet einen neuen zu qualifizierenden und zu dokumentierenden Auftragsverarbeiter.

Vor der Unterzeichnung zu prüfende vertragliche Checkliste.

Rolle jeder Partei (Verantwortlicher für die Datenverarbeitung / Auftragsverarbeiter) und Umfang der Operationen. Kategorien der verarbeiteten Daten und Zwecke.

Vom Dienstleister garantierte Sicherheitsmassnahmen und zugehörige Nachweise. Liste der nachgelagerten Auftragsverarbeiter und Bedingungen der Information oder des Widerspruchs.

Ort der Verarbeitung und Bedingungen der Übertragung ausserhalb der Schweiz. Frist und Kanal der Benachrichtigung im Falle einer Datenverletzung.

Bearbeitung von Anfragen auf Zugriff, Berichtigung und Löschung. Schicksal der Daten bei Vertragsende (Rückgabe oder Löschung).

Prüfungsrechte und verfügbare Dokumente. Kohärenz mit den AGB und der dem Käufer gegebenen Information.

Ein Vertrag, der diese zehn Punkte beantwortet, versetzt die KMU in die Lage, nachzuweisen, dass sie ihre Rollen identifiziert und ihren Dienstleister geregelt hat. Genau das erwartet das nDSG von einem Verantwortlichen für die Datenverarbeitung.

Vertragliche Checkliste für die Compliance mit den Anforderungen des nDSG und der DSGVO