Marketplaces erheben, speichern und verarbeiten als Vermittler personenbezogene Daten von zwei Zielgruppen: Kundinnen und Kunden sowie Anbieter/innen. Daher unterliegen Marketplaces strengen Transparenzregeln, die durch die Datenschutz-Grundverordnung (DSGVO) auferlegt werden, ein Gesetz, das die Erhebung und Verwendung personenbezogener Daten in der EU regelt.

Für Marketplaces ist es wichtig zu wissen, was die DSGVO von Plattformen verlangt und wer für personenbezogene Daten verantwortlich ist. Marketplaces müssen auch verstehen, wie sie das Gesetz befolgen. In diesem Artikel erklären wir, wie sich die DSGVO auf Marketplaces und deren Pflichten gegenüber Kundinnen und Kunden sowie Anbieter/innen auswirkt.

Das Wichtigste auf einen Blick

• Die Datenschutz-Grundverordnung (DSGVO) ist der maßgebliche rechtliche Rahmen für die Verwaltung und Sicherheit personenbezogener Daten in Europa. Ähnlich wie andere Unternehmen, die die personenbezogenen Daten von EU-Bürgerinnen und -Bürgern verarbeiten, sind Marketplaces verpflichtet, die DSGVO einzuhalten.
  
• Gemäß der DSGVO müssen Marketplaces Kundinnen und Kunden sowie Anbieter/innen bestimmte Informationen zur Verfügung stellen und deren Einwilligung einholen. Sie müssen personenbezogene Daten sichern, Verzeichnisse von Verarbeitungstätigkeiten führen und es Einzelpersonen erleichtern, ihre Rechte auszuüben.
  
• Marketplaces müssen ihre Beteiligung an der Datenverarbeitung definieren, bei Bedarf Verträge für gemeinsam Verantwortliche abschließen und strenge Know Your Customer (KYC)-Prüfungen durchführen, um ihre Kundinnen und Kunden zu verifizieren.
  

Übersicht über die DSGVO

Die DSGVO ist ein europäisches Gesetz, das den Schutz und die Sicherheit personenbezogener Daten online in der EU regelt. Sie stärkt die Rechte der Nutzer/innen und trägt dazu bei, ein sichereres digitales Umfeld zu schaffen. Die DSGVO betrifft alle europäischen Unternehmen – einschließlich Marktplätze – sowie internationale Plattformen, die personenbezogene Daten von in der EU ansässigen Personen verarbeiten.

Gemäß der DSGVO gelten Daten als personenbezogen, wenn sie direkt oder indirekt zur Identifizierung einer Einzelperson verwendet werden können. Dazu gehören Vor- und Nachnamen, E-Mail-Adressen, physische Adressen und Internetprotokoll-Adressen (IP-Adressen), Bankdaten, Telefonnummern, Identifikationsnummern und das Internetverhalten.

Für Marktplätze ist die DSGVO-Compliance obligatorisch. Sie kann auch dabei helfen, Vertrauen bei Kundinnen und Kunden sowie Anbieter/innen aufzubauen und das Markenimage zu verbessern.

Allgemeine DSGVO-Pflichten für Marketplaces

Gemäß Artikel 13 und Artikel 14 der DSGVO müssen Plattformen Kundinnen und Kunden sowie Anbieter/innen darüber informieren, dass ihre personenbezogenen Daten verarbeitet werden. Für bestimmte Arten der Verarbeitung, einschließlich gezielter Werbung und E-Mail-Marketing, muss es Anbieter/innen sowie Kundinnen und Kunden ermöglicht werden, der Erhebung und Nutzung ihrer Daten zuzustimmen.

Marketplaces müssen auch eine angemessene Datensicherheit gewährleisten, Verzeichnisse von Datenverarbeitungstätigkeiten führen und es Einzelpersonen ermöglichen, ihre Rechte auszuüben.

Information von Kundinnen und Kunden sowie Anbieter/innen

Kundinnen und Kunden sowie Anbieter/innen auf einer Plattform haben das Recht zu erfahren, ob ihre personenbezogenen Daten erhoben, gespeichert, verwendet oder an Dritte gesendet werden. Zum Zeitpunkt der Datenerhebung müssen Marketplaces Datenschutzrichtlinien anzeigen, die in klaren und einfachen Worten die Art der erhobenen Daten, die Speicherdauer und den Zweck der Erhebung angeben. Sie müssen auch über eine rechtliche Grundlage verfügen, um die Erhebung zu rechtfertigen.

Artikel 6 der DSGVO listet die rechtlichen Grundlagen für die Erhebung und Verarbeitung personenbezogener Daten auf:

• Erfüllung eines Vertrags
  
• ausdrückliche Einwilligung der Einzelperson
  
• Erfüllung einer rechtlichen Verpflichtung
  
• Schutz lebenswichtiger Interessen
  
• Wahrnehmung einer Aufgabe im öffentlichen Interesse
  
• Wahrung eines berechtigten Interesses (z. B. Website-Sicherheit, Betrugsprävention, interne Verwaltung, Marketing)
  

Marketplaces müssen Kundinnen und Kunden sowie Anbieter/innen auch darüber informieren, ob ihre Daten an Dritte (z. B. Unterauftragnehmer/innen oder Zahlungsdienstleistern) weitergegeben werden, und die Empfänger/innen der Daten benennen. Für die DSGVO-Compliance ist es wichtig sicherzustellen, dass Datenschutzrichtlinien leicht zugänglich sind. Beispielsweise können sie angezeigt werden, wenn Kundinnen und Kunden sowie Anbieter/innen Konten erstellen, oder auf jeder Webseite.

Zustimmung einholen

In bestimmten Fällen müssen Marketplaces die informierte Einwilligung von Einzelpersonen einholen, um ihre Daten zu verwenden, insbesondere wenn die Verarbeitung nicht auf einer der rechtlichen Grundlagen beruht (z. B. die Erfüllung eines Vertrags oder ein berechtigtes Interesse).

Insbesondere ist eine Einwilligung für E-Mail-Marketing, nicht wesentliche Cookies, eine Datenerhebung, die zu Diskriminierung führen könnte (z. B. nach ethnischer Zugehörigkeit oder sexueller Orientierung), sowie die Wiederverwendung von Daten für andere Zwecke erforderlich.

Kundinnen und Kunden sowie Anbieter/innen müssen vor der Verarbeitung frei und unmissverständlich einwilligen können. Die verwendete Sprache muss klar, einfach und leicht verständlich sein. Marketplaces dürfen keine vorab angekreuzten Kästchen verwenden.

Schutz von Daten

Ein notwendiger Bestandteil der DSGVO-Compliance ist der Schutz personenbezogener Daten. Plattformen müssen zuverlässige Sicherheitsmaßnahmen ergreifen und betrügerische Aktivitäten antizipieren. Sie müssen gespeicherte Daten verschlüsseln und das Transport Layer Security (TLS)-Protokoll befolgen. Dies verhindert, dass abgefangene, durchgesickerte oder gestohlene Daten gelesen werden können. Marketplaces müssen auch die Anforderungen des Payment Card Industry Data Security Standard (PCI DSS) erfüllen, um Zahlungsinformationen zu schützen.

Für eine zusätzliche Sicherheitsebene können Marketplaces beim Anmelden bei Konten auch eine starke Kundenauthentifizierung (SCA) verlangen und die Zugriffsrechte der Mitarbeiter/innen einschränken.

Die meisten Plattformen ernennen einen Datenschutzbeauftragten (Data Protection Officer, DPO), um die DSGVO-Compliance zu überwachen. DPOs sind nützlich, wenn sensible Daten in großem Umfang verarbeitet werden. Sie können eine unparteiische Bewertung der aktuellen Datenverwaltungspraktiken abgeben und Beratung anbieten. Marketplaces müssen Datenschutzverletzungen innerhalb von 72 Stunden den zuständigen Behörden – der Commission nationale de l’informatique et des libertés (CNIL) – melden.

Hinweis: Marketplaces mit Unterauftragnehmer/innen (z. B. Zahlungsdienstleistern oder E-Mail-Anbietern) müssen sicherstellen, dass die Unterauftragnehmer/innen ebenfalls die DSGVO einhalten und ein angemessenes Sicherheitsniveau aufrechterhalten. Artikel 28 der DSGVO erfordert die Unterzeichnung von Auftragsverarbeitungsverträgen (AVV), um den Einsatz von Unterauftragnehmer/innen zu regeln.

Führung von Verarbeitungsverzeichnissen

Gemäß Artikel 30 der DSGVO müssen Marketplaces, die personenbezogene Daten online verarbeiten und mehr als 250 Mitarbeiter/innen haben, Verarbeitungsverzeichnisse führen. Die Verzeichnisse müssen detaillierte Beschreibungen der Verarbeitung enthalten, die eine Übersicht über die durchgeführten Vorgänge bieten. Dies umfasst Informationen über die beteiligten Parteien (z. B. Verantwortliche, DPOs und Unterauftragnehmer/innen), Datenkategorien, Datennutzung, Datenempfänger/innen, Speicherdauer und Sicherheitsmaßnahmen.

Plattformen mit weniger als 250 Mitarbeiter/innen müssen nur für bestimmte Arten der Verarbeitung Verzeichnisse führen.

Wahrung der Rechte von Einzelpersonen

Jede Einheit, die der DSGVO unterliegt, muss die Datenschutzrechte wahren und es Einzelpersonen erleichtern, ihre Rechte auszuüben. Dazu gehören das Recht auf Auskunft, Berichtigung, Widerspruch und Einschränkung der Verarbeitung sowie das Recht auf Löschung und Datenübertragbarkeit.

Marketplace-Pflichten für Kundinnen und Kunden unter der DSGVO

Gemäß der DSGVO müssen Marketplaces das Prinzip der Datenminimierung befolgen, was bedeutet, dass sie nur personenbezogene Daten erheben dürfen, die für den angegebenen Zweck absolut notwendig sind. Dieses Prinzip gilt sowohl für Kundinnen und Kunden als auch für Anbieter/innen.

Das bedeutet, dass Plattformen nur das Minimum an Informationen erheben dürfen, das für die Bestellung erforderlich ist, und es Plattformen untersagt ist, Daten für undefinierte Zwecke zu erheben.

Marketplace-Pflichten für Anbieter/innen unter der DSGVO

Marketplaces müssen ihre Beteiligung an der Datenverarbeitung definieren. In der Regel gelten sie als Verantwortliche für Daten im Zusammenhang mit dem Plattformbetrieb. Dies umfasst das Erstellen von Konten und das Kategorisieren von Produkten. Gleichzeitig gelten Anbieter/innen als Verantwortliche für Daten im Zusammenhang mit aufgegebenen Bestellungen.

Marketplaces können jedoch als gemeinsam Verantwortliche für Daten angesehen werden, wenn sie aktiv an der Festlegung der Zwecke und Methoden der Verarbeitung mitwirken. Zum Beispiel gehen einige Marketplaces über die reine Verbindung von Kundinnen und Kunden mit Anbieter/innen hinaus und nutzen Kundendaten für gezielte Werbung oder Treueprogramme. In diesen Fällen müssen die Parteien einen Vertrag für gemeinsam Verantwortliche unterzeichnen.

Dies macht strenge Know Your Customer (KYC)-Prozesse noch wichtiger. Marketplaces müssen die Identität ihrer Geschäftspartner/innen überprüfen, bevor sie mit ihnen Geschäfte machen. KYC hilft bei der Authentifizierung von Anbieter/innen und gewährleistet eine sichere, zuverlässige und transparente Umgebung für Kundinnen und Kunden.

Stripe Connect wurde speziell für Marketplaces entwickelt. Es wickelt den KYC-Prozess ab, indem es die Identität von Anbieter/innen bei der Registrierung auf der Plattform überprüft.

So kann Stripe Connect Sie unterstützen

Stripe Connect orchestriert Geldbewegungen unter mehreren Parteien für Softwareplattformen und Marktplätze. Es bietet schnelles Onboarding, integrierte Komponenten, globale Auszahlungen und mehr.

Mit Connect können Sie Folgendes umsetzen:

• Markteinführung innerhalb weniger Wochen: Nutzen Sie von Stripe gehostete oder integrierte Funktionalität, um schneller live zu gehen. Vermeiden Sie die Vorlaufkosten und die Entwicklungszeit, die normalerweise für Zahlungsvermittlungen erforderlich sind.

• Skalierende Zahlungsverwaltung: Nutzen Sie Tools und Services von Stripe, damit Sie keine zusätzlichen Ressourcen für Margin-Reporting, Steuerformulare, Risiken, globale Zahlungsmethoden oder Onboarding-Compliance aufwenden müssen.

• Weltweites Wachstum: Helfen Sie Ihren Nutzerinnen und Nutzern, mehr Kundinnen und Kunden weltweit zu erreichen – mit lokalen Zahlungsmethoden und der Möglichkeit, Umsatzsteuer, Sales Tax (Verkaufssteuer) und GST einfach zu berechnen.

• Schaffung neuer Umsatzquellen: Optimieren Sie den Zahlungsumsatz, indem Sie Gebühren für jede Transaktion einziehen. Monetarisieren Sie die Funktionen von Stripe, indem Sie Vor-Ort-Zahlungen, sofortige Auszahlungen, Einzug der Sales Tax, Finanzierung, Firmenkreditkarten und mehr auf Ihrer Plattform ermöglichen.

Erfahren Sie mehr über Stripe Connect oder starten Sie noch heute.

Häufig gestellte Fragen zur DSGVO und zu Marketplaces