PayPal und Kreditkarten: Wer alles weiß, wenn du online bezahlst
<html> <header class=„entry-header“><div class=„entry-excerpt“><p>Es gibt in Deutschland einen klaren Platzhirschen im Online-Zahlungsmarkt: PayPal. Dazu kommen noch Kreditkarten, also Visa und Mastercard. Neben dem Geld fließen dabei aber auch Daten – und zwar nicht zu knapp.</p></div><div class=„entry-meta“><time class=„published dt-published posted-on“ datetime=„2024-07-02T16:01:51+00:00“>02.07.2024 um 16:01 Uhr</time> - - in <a href=„https://netzpolitik.org/category/nutzerrechte/“ class=„category“>Nutzerrechte</a> - <a href=„https://netzpolitik.org/2024/paypal-und-kreditkarten-wer-alles-weiss-wenn-du-online-bezahlst/#comments“>eine Ergänzung</a></div></header><figure class=„wp-caption entry-thumbnail“><img width=„860“ height=„484“ src=„https://cdn.netzpolitik.org/wp-upload/2024/07/netzpolitik.org_woman_using_laptop_laptop_showing_shopping_cart_87cc2e3e-f19a-4eb6-83d9-bf61fc204b22-860x484.png“ class=„attachment-landscape-860 size-landscape-860 wp-post-image“ alt=„Eine junge Frau sitzt vor einem Laptop, auf dem ein Einkaufswagen zu sehen ist.“ srcset=„https://cdn.netzpolitik.org/wp-upload/2024/07/netzpolitik.org_woman_using_laptop_laptop_showing_shopping_cart_87cc2e3e-f19a-4eb6-83d9-bf61fc204b22-860x484.png 860w, https://cdn.netzpolitik.org/wp-upload/2024/07/netzpolitik.org_woman_using_laptop_laptop_showing_shopping_cart_87cc2e3e-f19a-4eb6-83d9-bf61fc204b22-380x214.png 380w, https://cdn.netzpolitik.org/wp-upload/2024/07/netzpolitik.org_woman_using_laptop_laptop_showing_shopping_cart_87cc2e3e-f19a-4eb6-83d9-bf61fc204b22-1200x675.png 1200w, https://cdn.netzpolitik.org/wp-upload/2024/07/netzpolitik.org_woman_using_laptop_laptop_showing_shopping_cart_87cc2e3e-f19a-4eb6-83d9-bf61fc204b22-660x372.png 660w, https://cdn.netzpolitik.org/wp-upload/2024/07/netzpolitik.org_woman_using_laptop_laptop_showing_shopping_cart_87cc2e3e-f19a-4eb6-83d9-bf61fc204b22-160x90.png 160w“ sizes=„(max-width: 860px) 100vw, 860px“ referrerpolicy=„no-referrer“ /><figcaption class=„wp-caption-text“>Online bezahlen hinterlässt Daten. – Public Domain erstellt mit Midjourney</figcaption></figure><div class=„entry-content“><p>Stellen wir uns vor, Helga aus Aachen hat in irgendeinem Webshop alle Produkte ausgewählt, die sie haben will. Sie drückt auf den kleinen Einkaufswagen oben rechts auf der Seite, um den Einkauf abzuschließen. Dann sieht sie die Liste der Optionen, wie sie bezahlen kann – und wird wahrscheinlich auf „PayPal“ klicken.</p><p>Deutsche lieben PayPal. Jeder vierte Euro, den sie 2023 im Online-Handel ausgegeben haben, <a href=„https://www.ehi.org/presse/paypal-weiterhin-beliebteste-zahlungsart/“>floss durch den Zahlungsdienst</a>. Danach kamen der Kauf auf Rechnung und die Lastschrift, gefolgt von Kartenzahlung. Die dominieren wiederum Visa und Mastercard. Ganz hinten im Feld, weit abgeschlagen, liegen Sofortüberweisung und Giropay.</p><h3>Deutsche Alternative gescheitert</h3><p>Das heißt zunächst einmal: Wer in Deutschland einen Zahlungsdienst nutzt, nutzt meist den Dienst eines US-amerikanischen Unternehmens. Sofortüberweisung und Giropay machen zusammen weniger als zwei Prozent des Umsatzes aus. Giropay ist ein Projekt deutscher Banken, mit dem sie eigentlich PayPal Marktanteile ablaufen wollten – das hat offensichtlich nicht geklappt. Die Banken haben deshalb vor einigen Wochen angekündigt, den Dienst <a href=„https://www.tagesschau.de/wirtschaft/ende-paydirekt-100.html“>wieder einstellen zu wollen</a>.</p><p>Giropay sollte eigentlich eine datenschutzfreundliche Option zum Online-Bezahlen sein. Mit „extra sicheren Servern in Deutschland“ <a href=„https://web.archive.org/web/20240407012240/https:/www.giropay.de/kunden/bezahlen-mit-giropay.html“>wirbt der Dienst</a>: „Das bedeutet für dich besonders guten Datenschutz nach strengsten deutschen Regeln.“ Trotz deutscher Begeisterung für den Datenschutz: Die angepriesenen extra sicheren Server haben offensichtlich nicht gereicht, um sich gegen PayPal, Visa und Mastercard durchzusetzen.</p><p>Aber braucht es denn eine datenschutzfreundliche Alternative zu deren Angeboten?</p><h3>Mit wem teilt PayPal Daten? Ja.</h3><p>Für diese Frage ist gut zu wissen: PayPal hat eine luxemburgische Banklizenz. Damit muss das Unternehmen sich an luxemburgisches Bankrecht halten. Dazu gehört, dass es eine Liste mit allen Unternehmen veröffentlichen muss, an die Daten von Kund:innen weitergegeben werden.</p><p>Diese Liste ist <a href=„https://web.archive.org/web/20240518211642/https:/www.paypalobjects.com/marketing/ua/pdf/DE/de/third-parties-list.pdf“>als PDF-Dokument 46 Seiten lang</a> und enthält ungefähr 1.000 Unternehmen. Die sind unterteilt in Zahlungsanbieter, Kreditauskunfteien, Finanzprodukte, Geschäftspartnerschaften, Marketing und Sonstige. Dort findet sich etwa LLC Havas Digital, die russische Tochter des französischen Werbeunternehmens Havas, oder Cheetah Mobile Inc. in China. Auch an Facebook, Twitter und Yahoo gibt PayPal Daten für personalisierte Werbeanzeigen weiter.</p><p>Die weitergegebenen Daten sind umfangreich: beispielsweise Name, Anschrift, E-Mail-Adresse, die Art der genutzten PayPal-Dienste, Transaktionsinformationen, IDs von Cookies, Anzeigen und Geräten. <a href=„https://web.archive.org/web/20240630192140/https://www.paypal.com/de/legalhub/privacy-full“>Laut seiner Datenschutzerklärung</a> erstellt PayPal auch Profile über seine Kund:innen. Die können „Verhaltensmuster und persönliche Vorlieben wie Geschlecht, Einkommen, Surf- und Kaufgewohnheiten und Kreditwürdigkeit“ widerspiegeln.</p><p>PayPal will diese Daten in Zukunft nicht mehr nur an Dritte weitergeben, sondern selber ein Werbegeschäft aufbauen, <a href=„https://www.wsj.com/articles/paypal-is-planning-an-ad-business-using-data-on-its-millions-of-shoppers-cc5e0625“>berichtete das Wall Street Journal</a>. Der „Advanced Offers“-Dienst soll etwa Händlerinnen dabei helfen, Rabatte und andere Angebote für PayPal-Kunden zu personalisieren. Wer seine Daten nicht in dem neuen PayPal-Werbenetzwerk haben will, muss der Benutzung widersprechen. Das Angebot ist momentan für die Vereinigten Staaten geplant.</p><p>Auf Anfrage von netzpolitik.org sagte PayPal, man verdiene kein Geld mit Transaktionsdaten. Die Verarbeitung personenbezogener Daten entspreche den maßgeblichen Gesetzen.</p><h3>Anonymisierte Daten?</h3><p>Ähnlich sieht es bei Visa und Mastercard aus, den zwei weltweit führenden Anbietern von Kartenzahlungen. Visa sammelt laut <a href=„https://usa.visa.com/legal/global-privacy-notice.html“>seiner Datenschutzerklärung</a> unter anderem Daten, um Werbung auszuspielen. Dazu gehören etwa Daten über Interaktionen und Standorte, oder auch biometrische Daten. Das Unternehmen führt auch andere Analysen durch und erstellt größere Datensätze, um andere Unternehmen zu beraten. Welche Daten darin landen, steht aber nicht in der Erklärung – denn dabei handele es sich nicht mehr um persönliche Daten, meint Visa.</p><p>Den Standpunkt teilt Mastercard. „Wir bei Mastercard haben einen ungewöhnlichen Vorteil, und zwar können wir Echtzeitdaten sehen und so erkennen, was funktioniert und was nicht“, so der Marketingchef von Mastercard <a href=„https://www.youtube.com/watch?v=BPGpLMesvEg“>in einem Interview</a>. „Wir haben sogar ein paar Analyseunternehmen aufgekauft, um die Daten zu untersuchen, die wir haben – dabei respektieren wir völlig die Privatsphäre der Kund:innen. Wir schauen uns also keine persönlichen Daten an, es sind alles aggregierte Daten, die komplett anonymisiert wurden.“ Auch eine Sprecherin des Unternehmens unterstrich gegenüber netzpolitik.org, dass Mastercard anonymisierte und aggregierte Datensätze nutzt.</p><p>Nur weil Datensätze keine Klarnamen enthalten, <a href=„https://netzpolitik.org/2019/weitere-studie-belegt-luege-anonymer-daten/“>sind sie nicht automatisch anonym</a>. Wenn eine Person laut ihren Bewegungsdaten jeden Tag nachts im gleichen Haus ist, dann lässt sich darauf schließen, dass sie dort wohnt. Mit genug zusammengeführten Daten auch aus anderen Quellen könnten sich Personen eventuell wieder identifizieren lassen.</p><p>Mastercard machte vor einigen Jahren <a href=„https://www.bloomberg.com/news/articles/2018-08-30/google-and-mastercard-cut-a-secret-ad-deal-to-track-retail-sales“>einen Werbedeal mit Google</a>, seine Daten waren auch in andere Datenplattformen wie <a href=„https://pirg.org/edfund/resources/how-mastercard-sells-data/“>Audience Marketplace von Adobe und Microsofts Xandr</a> verfügbar. Von den Mastercard-Analysen kann man sich <a href=„https://www.mastercard.de/de-de/datenschutz/datenanalyse-abmeldung.html“>online abmelden</a>.</p><p>Visa stellte sein bisheriges Werbungsdatengeschäft <a href=„https://thefinancialtechnologyreport.com/visa-ad-solutions-shuttered-what-comes-next/“>2021 überraschend ein</a>. Im Mai kündigte das Unternehmen dann an, man werde die Daten seiner Kund:innen bald <a href=„https://qz.com/visa-data-tokens-ai-marketing-retailers-transactions-1851481158“>durch sogenannte Tokens mit Geschäftskund:innen teilen</a>. Visa antwortete nicht auf eine Anfrage von netzpolitik.org zu seinem Umgang mit Daten.</p><h3>Keine Auskunft über verarbeitete Daten</h3><p>Marek Jessen forscht beim Zentrum verantwortungsbewusste Digitalisierung, einem Netzwerk hessischer Hochschulen, zu Finanzen und Daten. (Hinweis: Das Netzwerk hat die Recherche für diese Artikelserie finanziell unterstützt.) „Es ist schwierig, entsprechende Infos zu finden“, sagt er zu netzpolitik.org. „Da können wir nur mit Indizien arbeiten.“</p><p>Er hat dabei auch das beste Werkzeug eingesetzt, das Menschen in der EU gegenüber großen Datenunternehmen haben: <a href=„https://dsgvo-gesetz.de/art-15-dsgvo/“>Artikel 15 der Datenschutzgrundverordnung</a>. Demnach haben Nutzer:innen Anspruch auf eine Kopie der Daten, die ein Unternehmen über sie hält. Diese Kopie hat Jessen dreimal angefordert – zuerst online, dann per Einschreiben an die PayPal-Zentralen in Deutschland und in Luxemburg.</p><p>„Das hat in allen drei Varianten, in denen ich es probiert habe, nicht funktioniert“, berichtet Jessen. Zurück kam immer nur ein Standardhinweis auf die Datenschutzerklärung von PayPal. Das sei ernüchternd, aber auch bezeichnend gewesen, meint der Wissenschaftler. Er würde gerne sehen, dass Datenschutzbehörden hier mehr hinter den Rechten von Bürger:innen stehen.</p><p>PayPal wies auf Anfrage von netzpolitik.org darauf hin, dass Nutzer:innen ihre Daten über die <a href=„https://www.paypal.com/myaccount/privacy/data/dar“>Webseite des Unternehmens</a> herunterladen können. Die Seite enthält aber einen Hinweis, dass in diesem Download manche gespeicherte Daten nicht enthalten sind. Dazu gehören etwa Marketing-Präferenzen und für „andere Dienste“ genutzte Daten.</p><h3>Das Problem liegt auch an Banken</h3><p>Auch Jan Penfrat von European Digital Rights, dem Dachverband der europäischen digitalen Zivilgesellschaft, sieht die Lage auf dem Zahlungsmarkt kritisch. „Der Status Quo ist nicht so gut“, meint er im Gespräch mit netzpolitik.org. „Momentan ist die einzige datensparsame Variante, online zu bezahlen, Bargeld zu schicken – oder eine SEPA-Überweisung.“</p><p>Denn die gibt es ja auch noch: Kostenlose, sofortige Überweisungen zwischen Banken im Euroraum, ohne Dienstleister dazwischen. Auch die dümpeln aber bei einem einstelligen Prozentanteil des Onlinehandels herum. Für „sehr enttäuschend“ hält es Penfrat, dass die europäische Bankenindustrie es im letzten Jahrzehnt nicht hinbekommen hat, eine Alternative zu den US-Anbietern aufzubauen. Hier habe es eine Enttäuschung nach der anderen gegeben.</p><h3>Vielleicht bald eine europäische Alternative</h3><p>Auch gerade werkeln Banken in einigen europäischen Ländern an einem neuen Projekt. Das heißt <a href=„https://www.epicompany.eu/major-eurozone-banks-start-implementation-phase-unified-payment-scheme-solution-european-payment-initiative-epi/“>European Payments Initiative</a>, kurz EPI. Beteiligt sind Banken aus Belgien, Deutschland, Frankreich, den Niederlanden und Spanien. Deren Dienst, genannt „wero“, soll nun auch grenzübergreifend Online-Zahlungen ermöglichen – im Gegensatz zu Giropay etwa, oder den nationalen Bezahlsystemen in Belgien oder den Niederlanden. In Deutschland ist wero <a href=„https://www.tagesschau.de/wirtschaft/verbraucher/wero-paypal-bezahlsystem-digital-wallet-epi-bargeld-smartphone-100.html“>heute gestartet</a>.</p><p>Ob diese Initiative aber Erfolg haben wird, wird sich erst noch zeigen müssen. Und auch wenn EPI es einmal auf den Markt schafft: Es sind noch nicht alle Euroländer vertreten, ganz zu schweigen von allen EU-Ländern. Und selbst in den schon beteiligten Ländern machen nicht alle Banken mit, <a href=„https://www.sibs.com/wp-content/uploads/sites/13/2023/12/231214_Leading-European-mobile-payment-solutions-MB-WAY-BANCOMAT-Pay-and-BIZUM-establish-a-partnership-for-interoperability_VF.pdf“>es gibt auch schon ein Konkurrenzprojekt</a>.</p><p>Die Europäische Union und die Europäische Zentralbank hatten schon vor einigen Jahren die Nase voll von den Fehlstarts der Bankenbranche. Sie arbeiten gerade an einem staatlichen Projekt: dem Digitalen Euro. Ein öffentliches Zahlungssystem, mit dem Nutzer:innen einfach und datensparsam bezahlen können sollen, im Internet und im echten Leben, auch offline. Wenn der aber überhaupt kommt, soll er frühestens 2028 eingeführt werden.</p><p><em>Dieser Artikel ist Teil einer <a href=„https://netzpolitik.org/tag/digitaler-euro/“>Reihe zum Digitalen Euro</a>. Die Recherche wurde vom <a href=„https://zevedi.de/efin-mercator-journalist-in-residence-maximilian-henning/“>Zentrum verantwortungsbewusste Digitalisierung</a> durch sein Journalist-in-Residence-Programm finanziell unterstützt.</em><img src=„https://vg03.met.vgwort.de/na/b53571c3fcc54352a22e3262e4bf29e2“ width=„1“ height=„1“ alt=„“ referrerpolicy=„no-referrer“ /></p></div> </html>
Falls nicht anders bezeichnet, ist der Inhalt dieses Wikis unter der folgenden Lizenz veröffentlicht: CC Attribution-Noncommercial-Share Alike 4.0 International