Zuletzt aktualisiert: 18. November 2025

Diese Datenverarbeitungsvereinbarung („DPA“) unterliegt der Vereinbarung, ist Bestandteil derselben und regelt die Verarbeitung personenbezogener Daten durch Stripe und seine verbundenen Unternehmen.

1. Struktur

Befindet sich das Stripe-Konto des Nutzers bzw. der Nutzerin in Nord- oder Südamerika, schließen diese DPA mit Stripe, LLC ab. Wenn sich das Stripe-Konto des Nutzers bzw. der Nutzerin an einem anderen Ort befindet, schließen diese diese DPA mit Stripe Payments Europe, Limited („SPEL“) ab. Dementsprechend beziehen sich Verweise auf „Stripe“ in dieser DPA je nach Fall auf Stripe, LLC oder SPEL.

2. Stripe als Datenverarbeiter und Datenverantwortlicher

3. Verpflichtungen von Stripe als Datenverarbeiter.

3.1 Verpflichtungen.

Wenn Stripe als Datenverarbeiter für den/die Nutzer/in agiert, wird Stripe, soweit dies nach dem Datenschutzrecht erforderlich ist:

(a) personenbezogene Daten im Auftrag des Nutzers/der Nutzerin und gemäß dessen/deren Anweisungen verarbeiten. Stripe wird den/die Nutzer/in informieren, wenn nach seiner Auffassung Anweisungen gegen das Datenschutzrecht verstoßen;

(b) sicherstellen, dass alle Personen, die Stripe zur Verarbeitung personenbezogener Daten ermächtigt, nur im Rahmen des „Need-to-know“-Prinzips Zugang zu personenbezogenen Daten erhalten und sich zur Wahrung der Vertraulichkeit dieser personenbezogenen Daten verpflichten;

(c) den/die Nutzer/in über jede Anfrage informieren, die Stripe von betroffenen Personen (einschließlich „überprüfbarer Verbraucheranfragen“ im Sinne des CCPA) erhält, die ihre Rechte gemäß dem Datenschutzrecht ausüben, um (i) Auskunft über ihre personenbezogenen Daten zu erhalten (z. B. das Recht auf Auskunft gemäß dem CCPA); (ii) ihre personenbezogenen Daten berichtigen oder löschen zu lassen; (iii) die Verarbeitung durch Stripe einzuschränken oder ihr zu widersprechen; oder (iv) die Datenübertragbarkeit (zusammenfassend Anfrage der betroffenen Person). Abgesehen von der Einholung weiterer Informationen, der Identifizierung der betroffenen Person und, falls zutreffend, der Weiterleitung der betroffenen Person an den/die Nutzer/in als Verantwortlichen wird Stripe auf diese Anfragen nicht reagieren, es sei denn, der/die Nutzer/in weist Stripe schriftlich dazu an. Unter Berücksichtigung der Art der Verarbeitung wird Stripe den/die Nutzer/in durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist, dabei unterstützen, ihrer/seiner Verpflichtung zur Beantwortung einer Anfrage einer betroffenen Person nachzukommen;

(d) den/die Nutzer/in über jede Strafverfolgungsanfrage informieren, die Stripe von einer Regierungsbehörde erhält und die von Stripe die Offenlegung personenbezogener Daten oder die Mitwirkung an einer Untersuchung verlangt, die eine Offenlegung personenbezogener Daten durch Stripe erforderlich macht, es sei denn, dies ist gesetzlich verboten;

(e) dem/der Nutzer/in auf dessen/deren schriftliche Anfrage hin angemessene Unterstützung bei der Erfüllung seiner/ihrer Pflichten gemäß dem Datenschutzrecht leisten, und unter Berücksichtigung der Art der Verarbeitung und der Stripe zur Verfügung stehenden Informationen angemessene Informationen zur Verfügung stellen, um den/die Nutzer/in bei der Durchführung einer Datenschutzfolgenabschätzung oder bei der Konsultation einer Aufsichtsbehörde zu unterstützen. Wenn der/die Nutzer/in Stripe um Unterstützung bittet, die über die Pflichten von Stripe gemäß dem Datenschutzrecht oder dieser Vereinbarung hinausgeht, kann Stripe dem/der Nutzer/in eine angemessene Gebühr in Rechnung stellen;

(f) den/die Nutzer/in im Falle eines Datenvorfalls bei Stripe unverzüglich informieren, was bei Datenvorfällen, die sich auf personenbezogene Daten auswirken, die der DSGVO oder der UK-DSGVO unterliegen, spätestens 48 Stunden nach Kenntniserlangung des Datenvorfalls geschieht. Soweit Stripe bekannt, wird Stripe in der Benachrichtigung an den/die Nutzer/in in angemessenen Einzelheiten Folgendes beschreiben: (i) die Art der personenbezogenen Daten, die Gegenstand des Datenvorfalls waren, (ii) die Kategorien und die potenzielle Anzahl der betroffenen Personen oder Datensätze (einschließlich ihrer Länder) und (iii) den Status der Untersuchung durch Stripe sowie die aktuelle oder geplante Sanierung. Im Anschluss an die Benachrichtigung wird Stripe relevante Aktualisierungen bereitstellen, um den/die Nutzer/in bei der Einhaltung seiner/ihrer Pflichten gemäß dem Datenschutzrecht zu unterstützen;

(g) auf schriftliche Anfrage des Nutzers/der Nutzerin zu Audits oder Inspektionen beitragen, indem Stripe dem/der Nutzer/in Audit-Berichte zur Verfügung stellt. Auf diese Anfrage hin und höchstens einmal jährlich wird Stripe unverzüglich Unterlagen bereitstellen oder einen schriftlichen Fragebogen zur Datensicherheit von angemessenem Umfang und angemessener Dauer bezüglich der Verarbeitung personenbezogener Daten durch Stripe und seine verbundenen Unternehmen ausfüllen. Alle bereitgestellten Berichte und Unterlagen, einschließlich etwaiger Antworten auf einen Sicherheitsfragebogen, stellen vertrauliche Informationen von Stripe dar; und

(h) nach Wahl des Nutzers/der Nutzerin alle im Zusammenhang mit den Diensten verarbeiteten personenbezogenen Daten löschen oder an den/die Nutzer/in zurückgeben und vorhandene Kopien nach Beendigung der Vereinbarung löschen, mit der Ausnahme, dass Stripe nicht verpflichtet ist, diese personenbezogenen Daten zu löschen oder zurückzugeben oder vorhandene Kopien zu löschen, sofern die Speicherung dieser personenbezogenen Daten oder dieser Kopien durch Stripe (i) erforderlich ist, damit Stripe seine Rechte aus diesem Vertrag ausüben und seine Pflichten daraus erfüllen kann; oder (ii) gemäß dem Datenschutzrecht für einen längeren Zeitraum erforderlich oder zulässig ist.

3.2 Unterverarbeiter.

(a) Stripe beauftragt Unterverarbeiter, zu denen auch seine verbundenen Unternehmen gehören können, soweit dies zur Erbringung der Dienste erforderlich ist. Der Nutzer bzw. die Nutzerin stimmt der Nutzung der bestehenden Unterverarbeiter durch Stripe, wie in der Liste der Unterverarbeiter von Stripe aufgeführt, zu und erteilt Stripe eine allgemeine schriftliche Genehmigung, Unterverarbeiter zu beauftragen, sofern dies zur Erbringung der Dienste erforderlich ist. Wenn der/die Nutzer/in E-Mail-Benachrichtigungen über die Liste der Unterverarbeiter von Stripe abonniert, benachrichtigt Stripe den/die Nutzer/in per E-Mail mindestens 30 Tage vor Inkrafttreten der Änderungen darüber, dass Stripe beabsichtigt, dieser Liste einen oder mehrere Unterverarbeiter hinzuzufügen. Der Nutzer bzw. die Nutzerin kann innerhalb von 30 Tagen nach Erhalt der Mitteilung über die Änderung aus berechtigten Gründen angemessen Widerspruch einlegen. Der Nutzer bzw. die Nutzerin erkennt an, dass die Unterverarbeiter von Stripe für die Bereitstellung der Dienste wesentlich sind und dass, wenn der/die Nutzer/in der Nutzung eines Unterverarbeiters durch Stripe widerspricht, Stripe ungeachtet gegenteiliger Bestimmungen in der Vereinbarung (einschließlich dieser Datenverarbeitungsvereinbarung) nicht verpflichtet ist, dem/der Nutzer/in die Dienste bereitzustellen, für die Stripe diesen Unterverarbeiter nutzt.

(b) Stripe schließt mit jedem Unterverarbeiter eine schriftliche Vereinbarung ab, die diesem Unterverarbeiter Verpflichtungen auferlegt, die mit den Verpflichtungen von Stripe gemäß dieser Datenverarbeitungsvereinbarung vergleichbar sind, einschließlich der Verpflichtung, angemessene Datensicherheitsmaßnahmen zu implementieren. Wenn ein Unterverarbeiter seinen Datenschutzpflichten aus dieser Vereinbarung nicht nachkommt, haftet Stripe gegenüber dem/der Nutzer/in für die Handlungen und Unterlassungen seines Unterverarbeiters im selben Umfang, in dem Stripe haften würde, wenn Stripe die entsprechenden Dienste direkt im Rahmen dieser Datenverarbeitungsvereinbarung erbringen würde.

3.3 CCPA.

Soweit der CCPA Anwendung findet und Stripe als Datenverarbeiter agiert, wird Stripe (außer zur Bereitstellung der Dienste von Stripe, wie gesetzlich zulässig): (a) personenbezogene Daten nicht verkaufen oder weitergeben (im Sinne des CCPA); (b) personenbezogene Daten nicht außerhalb der direkten Geschäftsbeziehung mit dem/der Nutzer/in aufbewahren, verwenden oder offenlegen, es sei denn, dies dient der Bereitstellung der Produkte und Dienste von Stripe und ist zur Einhaltung gesetzlicher Vorschriften erforderlich; und (c) personenbezogene Daten, die vom/von der oder über den/die Nutzer/in eingehen, nicht mit personenbezogenen Daten kombinieren, die von oder im Namen einer Einzelperson eingehen oder aus den eigenen Interaktionen von Stripe mit der Einzelperson erfasst werden. Stripe bestätigt, dass es die Anforderungen in dieser Datenverarbeitungsvereinbarung bezüglich des CCPA versteht und einhalten wird und für personenbezogene Daten das gleiche Datenschutzniveau gewährleisten wird, wie es im CCPA vorgeschrieben ist. Stripe wird den/die Nutzer/in informieren, falls es feststellt, dass es seinen Verpflichtungen gemäß dem CCPA nicht mehr nachkommen kann, und wird angemessene und geeignete Schritte unternehmen, um unbefugte Verarbeitungen personenbezogener Daten zu beheben.

3.4 Haftungsausschluss.

Ungeachtet gegenteiliger Bestimmungen in der Vereinbarung, einschließlich dieser Datenverarbeitungsvereinbarung, haften Stripe und seine verbundenen Unternehmen nicht für Ansprüche einer betroffenen Person, die sich aus oder im Zusammenhang mit den Handlungen oder Unterlassungen von Stripe oder einem seiner verbundenen Unternehmen ergeben, sofern Stripe in Übereinstimmung mit den Anweisungen des Nutzers/der Nutzerin gehandelt hat.

4. Pflichten des Nutzers/der Nutzerin als Datenverantwortliche/r.

4.1 Anweisungen.

Der Nutzer bzw. die Nutzerin darf Stripe nur rechtmäßige Anweisungen erteilen;

4.2 Einhaltung der Datenschutzgesetze.

Der Nutzer bzw. die Nutzerin muss die ihm/ihr obliegenden Pflichten aus dem Datenschutzrecht einhalten und erfüllen, einschließlich der Rechte der betroffenen Personen, der Datensicherheit und Vertraulichkeit, und sicherstellen, dass er/sie über eine geeignete Rechtsgrundlage für die in der Vereinbarung, einschließlich dieser Datenverarbeitungsvereinbarung, beschriebene Verarbeitung personenbezogener Daten verfügt; und

4.3 Offenlegungen.

Der Nutzer bzw. die Nutzerin muss betroffenen Personen (einschließlich Kundinnen und Kunden) alle erforderlichen Mitteilungen zukommen lassen (u. a. durch Bereitstellung einer Datenschutzerklärung) und von diesen alle erforderlichen Rechte, Erlaubnisse und Einwilligungen einholen, damit Stripe die vom/von der Nutzer/in bereitgestellten personenbezogenen Daten rechtmäßig und wie in der Vereinbarung, einschließlich dieser Datenverarbeitungsvereinbarung, beschrieben verarbeiten kann. Der Nutzer bzw. die Nutzerin ist allein für den Inhalt der Mitteilungen verantwortlich, die er/sie seinen/ihren Kundinnen und Kunden zukommen lässt.

5. Pflichten von Stripe als Datenverantwortlicher.

Stripe muss bei der Verarbeitung personenbezogener Daten seine Pflichten aus dem Datenschutzrecht einhalten und erfüllen, einschließlich der Bereitstellung einer Datenschutzerklärung, in der erläutert wird, wie und zu welchen Zwecken Stripe personenbezogene Daten erfasst, verwendet, aufbewahrt, offenlegt und schützt.

6. Datenübertragungen.

6.1 Grenzüberschreitende Datenübertragungen durch den/die Nutzer/in.

Der Nutzer bzw. die Nutzerin erkennt an, dass er/sie zur Bereitstellung der Dienste durch Stripe personenbezogene Daten an Stripe, LLC in den USA überträgt. Umfasst die Übertragung personenbezogene Daten, die einen Datenübertragungsmechanismus erfordern, so findet der Zusatz für Datenübertragungen, der Bestandteil dieser Datenverarbeitungsvereinbarung ist, Anwendung.

6.2 Grenzüberschreitende Datenübertragungen durch Stripe.

Stripe und seine verbundenen Unternehmen können personenbezogene Daten weltweit übertragen, sofern dies zur Bereitstellung der Dienste erforderlich ist. Insbesondere können personenbezogene Daten an Stripe, LLC in den USA und an verbundene Unternehmen und Unterverarbeiter von Stripe in anderen Gerichtsbarkeiten übertragen werden.

7. Konflikt.

Im Falle eines Konflikts zwischen den Bestimmungen dieser Datenverarbeitungsvereinbarung und einer Bestimmung:

(a) der Vereinbarung über die Verarbeitung personenbezogener Daten, haben die Bestimmungen dieser Datenverarbeitungsvereinbarung Vorrang; und

(b) des Zusatzes für Datenübertragungen, haben die Bestimmungen des Zusatzes für Datenübertragungen Vorrang.

8. Definitionen.

Großgeschriebene Begriffe, die in dieser Datenverarbeitungsvereinbarung nicht definiert sind, haben die Bedeutung, die ihnen in der Vereinbarung zugewiesen wird.

„Vereinbarung“ hat die Bedeutung, die im Stripe-Rahmenvertrag zwischen dem/der Nutzer/in und Stripe unter www.stripe.com/legal/ssa angegeben ist, oder wie anderweitig zwischen den Parteien vereinbart.

„Autorisierte Dienste“ bezeichnet Dienste, die von einer Regierungsbehörde lizenziert, autorisiert oder reguliert werden.

„CCPA“ bezeichnet den California Consumer Privacy Act von 2018, Cal. Civ. Code Sections 1798.100-1798.199, und die zugehörigen Ausführungsbestimmungen.

„Datenverantwortlicher“ bezeichnet das Unternehmen, das allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet, wozu gegebenenfalls ein „Unternehmen“ im Sinne des CCPA gehören kann.

„Datenvorfall“ bezeichnet eine unbefugte oder unrechtmäßige Verarbeitung, Nutzung, Änderung oder Zerstörung sowie einen unbefugten oder unrechtmäßigen Zugriff, Verlust oder eine unbefugte oder unrechtmäßige Offenlegung von personenbezogenen Daten, die sich im Besitz oder unter der Kontrolle einer Partei oder ihres verbundenen Unternehmens oder eines Subunternehmers, Agenten oder Vertreters einer Partei oder ihres verbundenen Unternehmens befinden.

„Datenschutzrahmen“ bezeichnet, je nach Anwendbarkeit, das vom US-Handelsministerium betriebene Selbstzertifizierungsprogramm „EU-US“, „Swiss-US“ oder „UK-US“ im Rahmen des Datenschutzrahmens.

„Datenverarbeiter“ bezeichnet die Einrichtung, die im Auftrag des Datenverantwortlichen personenbezogene Daten verarbeitet, was, falls zutreffend, einen „Dienstleister/in“ gemäß Definition im CCPA umfassen kann.

„Datensicherheitsmaßnahmen“ bezeichnet technische und organisatorische Maßnahmen, die dazu bestimmt sind, personenbezogene Daten auf einem Sicherheitsniveau zu sichern, das dem Risiko der Verarbeitung angemessen ist.

„Betroffene Person“ bezeichnet eine identifizierte oder identifizierbare natürliche Person, auf die sich die personenbezogenen Daten beziehen.

„Datenübertragungsmechanismus“ bezeichnet einen Übertragungsmechanismus, der die rechtmäßige grenzüberschreitende Übertragung persönlicher Daten gemäß den Datenschutzgesetzen ermöglicht, wozu auch die Übertragungsmechanismen gehören, die gemäß den Datenschutzgesetzen im EWR, in der Schweiz und im Vereinigten Königreich erforderlich sind, wie z. B. der Data Privacy Framework, die EWR-Standardvertragsklauseln (EWR-SCCs), das britische Addendum für die internationale Datenübertragung und jeder unter den Datenschutzgesetzen verfügbare Datenübertragungsmechanismus, der in diese DPA aufgenommen wird.

„Zusatzvereinbarung für die Datenübertragung“ bezeichnet die Zusatzvereinbarung für die Datenübertragung unter www.stripe.com/legal/dta in ihrer jeweils gültigen Fassung.

„Datenschutzgesetz“ bezeichnet die Gesetze, die für die Verarbeitung persönlicher Daten im Rahmen der Vereinbarung und dieses DPA gelten, einschließlich internationaler, bundesstaatlicher, staatlicher, regionaler und lokaler Gesetze, die in irgendeiner Weise mit Privatsphäre, Datenschutz oder Datensicherheit in Zusammenhang stehen.

„EWR“ bezeichnet den Europäischen Wirtschaftsraum.

„EWR-Standardvertragsklauseln“ bezeichnet Modul 1 (Übertragung: von Verantwortlichem zu Verantwortlichem) und Modul 2 (Übertragung: von Verantwortlichem zu Verarbeiter) der Standardvertragsklauseln, die im Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der DSGVO dargelegt sind.

„DSGVO“ bezeichnet die Datenschutz-Grundverordnung (EU) 2016/679.

„Anweisungen“ bezeichnet jegliche Kommunikation oder Unterlagen, einschließlich solcher, die über eine Stripe-API oder das Stripe-Dashboard bereitgestellt werden, oder schriftliche Vereinbarungen zwischen dem Nutzer/der Nutzerin und Stripe, durch die der Datenverantwortliche einen Datenverarbeiter anweist, bestimmte Verarbeitungen persönlicher Daten für diesen Datenverantwortlichen durchzuführen.

„Gemeinsamer Verantwortlicher“ (Joint Controller) bezeichnet einen Datenverantwortlichen, der gemeinsam mit einem oder mehreren Datenverantwortlichen die Zwecke und Mittel der Verarbeitung persönlicher Daten festlegt.

„Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen und im Zusammenhang mit den Diensten verarbeitet werden, und umfasst „personenbezogene Daten“ gemäß Definition in der DSGVO sowie „persönliche Informationen“ gemäß Definition im CCPA.

„Datenschutzerklärung“ bezeichnet eine oder alle öffentlich einsehbaren Datenschutzerklärungen, Datenschutzhinweise, Datenrichtlinien, Cookie-Richtlinien, Cookie-Hinweise oder ähnliche öffentliche Richtlinien oder Hinweise, die die Praktiken und Verpflichtungen einer Partei in Bezug auf personenbezogene Daten regeln.

„Abwickeln“ bezeichnet die Durchführung eines Vorgangs oder einer Reihe von Vorgängen im Zusammenhang mit persönlichen Daten oder Sätzen von persönlichen Daten, wie z. B. das Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Anpassen oder Verändern, Abrufen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreiten oder anderweitiges Bereitstellen, Abgleichen oder Kombinieren, Einschränken, Löschen oder Vernichten, wie im Datenschutzgesetz beschrieben. „Abgewickelt“ und „Abwicklung“ haben entsprechende Bedeutungen.

„Sensible Daten“ bezeichnet, sofern diese Daten nach dem Datenschutzrecht als besondere Kategorie personenbezogener Daten behandelt werden: (a) personenbezogene Daten, bei denen es sich um genetische Daten, biometrische Daten, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person handelt; (b) Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder die Gewerkschaftszugehörigkeit; (c) Geolokalisierungsdaten; oder (d) sensible personenbezogene Daten im Sinne des CCPA.

„Unterverarbeiter“ bezeichnet ein Unternehmen, das ein Datenverarbeiter damit beauftragt, in seinem Namen und im Zusammenhang mit den Diensten personenbezogene Daten zu verarbeiten.

„Liste der Unterverarbeiter von Stripe“ bezeichnet die Liste der Unterverarbeiter und verbundenen Unternehmen von Stripe, die unter www.stripe.com/legal/service-providers zu finden ist, in ihrer jeweils gültigen Fassung.

„Aufsichtsbehörde“ bezeichnet eine unabhängige Behörde, die (i) von einem Mitgliedstaat der Europäischen Union gemäß Artikel 51 der DSGVO eingerichtet wurde; oder (ii) die für den Datenschutz zuständige Behörde, die die Aufsicht und den Zuständigkeitsbereich über den Nutzer/die Nutzerin hat.

UK DSGVO bezeichnet die DSGVO, wie sie durch Abschnitt 3 des European Union (Withdrawal) Act 2018 in nationales Recht des Vereinigten Königreichs umgesetzt und durch die Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 geändert wurde.

„Zusatzvereinbarung für die internationale Datenübertragung des Vereinigten Königreichs“ bezeichnet die vom Information Commissioner's Office des Vereinigten Königreichs herausgegebene Zusatzvereinbarung für die internationale Datenübertragung zu den EWR-Standardvertragsklauseln.

ANHANG: STRIPE DATENSICHERHEIT

DPA herunterladen

Klicken Sie hier, um die Stripe-DPA herunterzuladen