Warum das keine Formalie ist
Wer ein Terminal in Betrieb nimmt, bekommt in der Regel einen Stapel Unterlagen — und darin eine Frage, die viele überrascht: Warum ist kein Vertrag zur Auftragsverarbeitung dabei? Die Antwort ist kein Versäumnis, sondern eine Rechtsfolge. Beim Netzbetrieb einer Kartenzahlung arbeitet niemand weisungsgebunden für einen anderen. Jeder Beteiligte entscheidet in seinem technischen Einflussbereich selbst über Zwecke und Mittel der Verarbeitung.
Das ist mehr als Juristerei. Es bestimmt, wer auf eine Auskunftsanfrage eines Kunden antworten muss, wer bei einer Datenpanne meldet, wen die Aufsichtsbehörde anspricht und welche Dokumente Sie in Ihrem eigenen Verzeichnis der Verarbeitungstätigkeiten führen müssen. Wer die Rollen falsch einordnet, unterschreibt Verträge, die ins Leere gehen, und rechnet im Ernstfall mit einer Unterstützung, die es so nicht gibt.
Kleiner Trost vorweg: Für den Betrieb an der Kasse ist die Aufteilung erstaunlich praktisch. Sie sind für das verantwortlich, was Sie tatsächlich beeinflussen können — das Gerät, das Netz dahinter, die Belege in Ihrer Schublade. Alles, was ab der gesicherten Übermittlung passiert, verantworten andere.
Drei Rollen, drei Verantwortungsbereiche
Die Kette einer Kartenzahlung lässt sich datenschutzrechtlich in drei Abschnitte zerlegen. Jeder Abschnitt hat einen eigenen Verantwortlichen.
- 01Der Händler als Zahlungsempfänger
- Verantwortlich für den Betrieb des Terminals an der Kasse und für das eigene Netz bis zur gesicherten Übermittlung. Dazu gehören der physische Schutz des Geräts, die Zugänge im Betrieb, der Umgang mit gedruckten Belegen und die Information der Kundschaft.
- 02Der Netzbetreiber
- Verantwortlich für den zentralen Netzbetrieb: die Verarbeitung im Rechenzentrum, die Umschlüsselung, die Risikoprüfung und die Weiterleitung an den richtigen Empfänger. In diesem Abschnitt entscheidet der Netzbetreiber über die Mittel — nicht der Händler.
- 03Der Acquirer
- Ein reguliertes Zahlungsinstitut, das für den Händler die Annahme und Abrechnung der Zahlungsvorgänge durchführt und gegenüber den Kartensystemen auftritt. Hier liegen unter anderem die Pflichten aus dem Geldwäscherecht, aus denen die Unterlagen beim Onboarding stammen.
- 04Die kartenausgebende Bank
- Steht am Ende der Kette und entscheidet über die Freigabe. Sie ist für ihren Teil ebenfalls eigenständig verantwortlich und hat eine eigene Beziehung zur Karteninhaberin oder zum Karteninhaber — Sie als Händler haben darauf keinen Zugriff.
Getrennte Verantwortlichkeit statt Auftragsverarbeitung
Eine Auftragsverarbeitung setzt voraus, dass ein Dienstleister ausschließlich nach Weisung des Auftraggebers verarbeitet. Genau das trifft auf den Netzbetrieb nicht zu. Ein Netzbetreiber kann seine Sicherheitsarchitektur, seine Umschlüsselung und seine Risikoprüfung nicht nach der Weisung eines einzelnen Händlers gestalten — sie folgt den Regeln der Kartensysteme, den Vorgaben der Kreditwirtschaft und den eigenen Sicherheitszertifizierungen. Dasselbe gilt für den Acquirer.
Deshalb ist jeder Beteiligte in seinem Bereich eigenständig Verantwortlicher. Das ist in der Branche seit Jahren die etablierte Einordnung, und sie ist für Sie sogar die angenehmere: Ein Auftragsverarbeiter würde Ihnen die Verantwortung nicht abnehmen, sondern Ihnen zusätzlich Kontroll- und Weisungspflichten aufbürden, die Sie faktisch nicht ausüben könnten.
Die Grenze verläuft nicht am Firmenschild, sondern an der Leistung. Wo ein Netzbetreiber tatsächlich weisungsgebunden für Sie tätig wird — etwa bei einem Reporting-Portal, das Ihre Auswertungen für Sie erstellt, oder bei einer Kassenanbindung, in der Ihre Artikeldaten verarbeitet werden —, kann sehr wohl eine Auftragsverarbeitung vorliegen. Ein sauberes Vertragswerk trennt das. Ein Anbieter, der pauschal alles in einen Auftragsverarbeitungsvertrag packt, hat entweder nicht nachgedacht oder hofft, dass Sie es nicht tun.
Wer entscheidet über welchen Schritt
Der Weg einer einzelnen Kartenzahlung, aufgeteilt nach Entscheidungshoheit. Verantwortlich ist immer, wer über Zweck und Mittel des jeweiligen Schritts bestimmt.
| Schritt | Wer bestimmt Zweck und Mittel | Rolle |
|---|---|---|
| Karte wird am Terminal gelesen, Betrag erfasst | Händler | eigenständig verantwortlich |
| Verschlüsselte Übermittlung aus dem Betriebsnetz | Händler und Netzbetreiber gemeinsam an der Schnittstelle | jeweils für den eigenen Abschnitt verantwortlich |
| Zentrale Verarbeitung, Umschlüsselung, Risikoprüfung | Netzbetreiber | eigenständig verantwortlich |
| Autorisierung, Annahme und Abrechnung | Acquirer | eigenständig verantwortlich |
| Auswertungen und Reports im Händlerportal | Händler, der Anbieter führt aus | in der Regel Auftragsverarbeitung |
| Belege in der Schublade, Archiv im Betrieb | Händler | eigenständig verantwortlich |
Die Einordnung im Einzelfall hängt vom konkreten Leistungsumfang ab und steht in Ihren Verträgen. Stand 1. August 2026.
Auf welche Rechtsgrundlagen sich die Verarbeitung stützt
Für eine Kartenzahlung braucht es keine Einwilligung. Die Verarbeitung stützt sich auf drei Grundlagen, die nebeneinander stehen.
- 01Vertragserfüllung
- Die Prüfung und Durchführung der Zahlung an den Händler. Ohne Verarbeitung der Kartendaten gäbe es keine Zahlung — das ist der Kern des Vorgangs.
- 02Rechtliche Verpflichtung
- Handels- und steuerrechtliche Aufbewahrungspflichten sowie Pflichten aus dem Geldwäscherecht, die den Acquirer treffen. Deshalb lassen sich Transaktionsdaten nicht auf Zuruf löschen.
- 03Berechtigte Interessen
- Betrugsprävention, Begrenzung des Zahlungsausfallrisikos und die Bearbeitung von Rückbelastungen. Das ist die Grundlage für Risikoprüfungen, die im Hintergrund laufen und die Sie als Händler schützen.
- 04Keine Einwilligung nötig
- Ein Einwilligungsformular an der Kasse wäre nicht nur unpraktisch, sondern auch unpassend: Eine Einwilligung muss freiwillig und widerrufbar sein, und beides passt nicht zu einer Zahlung, die ohne Datenverarbeitung nicht funktioniert.
Welche Daten überhaupt anfallen
Bei einer Kartenzahlung entstehen weniger Daten, als viele vermuten. Verarbeitet werden die Kartendaten — Kartennummer, Ablaufdatum und je nach Karte eine Folgenummer —, der Betrag, Datum und Uhrzeit, die Kennung des Terminals sowie das Ergebnis der Verifikation, also ob eine PIN korrekt eingegeben oder unterschrieben wurde. Dazu kommen technische Prüfdaten.
Was nicht entsteht: Ihr Terminal erfährt nicht, wie die Person heißt, wo sie wohnt oder wie hoch ihr Kontostand ist. Es erfährt auch die PIN nicht im Klartext — sie wird im Sicherheitsmodul des Geräts verschlüsselt und verlässt es nur verschlüsselt. Auf Ihrem Händlerbeleg steht die Kartennummer regelmäßig nur verkürzt.
Genau deshalb ist die Versuchung gering und die Regel eindeutig: Kartendaten gehören nicht in Ihr Warenwirtschafts-, Marketing- oder CRM-System. Wer Kartennummern notiert, um später erneut abzubuchen, oder Belege abfotografiert und in einer Chatgruppe teilt, schafft ein Risiko, das kein Sicherheitsstandard mehr auffängt. Trennen Sie Vertragsdaten Ihrer Kundschaft von den Transaktionsdaten der Zahlung.
Wer die Daten außerdem zu sehen bekommt
Die Empfänger ergeben sich aus dem Ablauf, nicht aus einer Weitergabeentscheidung. Beteiligt sind die kartenausgebende Bank, der Zahlungsdienstleister des Händlers, Clearing- und Settlementstellen sowie bei Kreditkarten zusätzlich die Kartensysteme. Hinzu kommen Strafverfolgungs- und Geldwäschebehörden, soweit sie gesetzlich Auskunft verlangen können.
Für Sie als Händler ist das ein Punkt, den Sie in Ihrer eigenen Datenschutzerklärung und in Ihrem Verzeichnis der Verarbeitungstätigkeiten abbilden sollten — nicht mehr als ein Absatz, aber er sollte stimmen. Formulierungen wie "Ihre Daten werden nicht weitergegeben" sind an dieser Stelle nachweislich falsch.
Üblich und von Händlern erwartet ist außerdem ein eigenes Informationsblatt für Karteninhaber, das Sie auslegen oder verlinken können. Es beschreibt die Verarbeitung entlang der Kette und nennt die Ansprechpartner für Betroffenenrechte. Fragen Sie danach, wenn Ihnen kein solches Blatt angeboten wird.
Löschen und aufbewahren gleichzeitig
Ein scheinbarer Widerspruch beschäftigt viele Betriebe: Die Datenschutz-Grundverordnung verlangt, Daten zu löschen, sobald der Zweck entfallen ist. Handels- und Steuerrecht verlangen, dieselben Daten über Jahre aufzubewahren. Aufgelöst wird das über die Rechtsgrundlage: Solange eine gesetzliche Aufbewahrungspflicht besteht, ist die Speicherung erforderlich und ein Löschverlangen greift insoweit nicht durch.
Praktisch heißt das: Transaktionsdaten und Belege bleiben über die jeweiligen Fristen erhalten, werden aber in ihrer Nutzung eingeschränkt — sie dienen dann nur noch der Erfüllung dieser Pflicht und nicht mehr der Auswertung. Was Sie darüber hinaus gespeichert haben, etwa eine selbst geführte Liste von Stammkunden mit Zahlungsverhalten, unterliegt dieser Privilegierung nicht.
Die Fristen unterscheiden sich zwischen Deutschland und Österreich und je nach Unterlagenart. Wichtig für die Anbieterauswahl ist ein anderer Punkt: Klären Sie vor Vertragsschluss, wie lange Sie nach Vertragsende noch an Ihre Transaktionsdaten kommen und in welchem Format. Daten, die Sie aufbewahren müssen, aber nicht mehr abrufen können, sind der unangenehmste Fall überhaupt.
Was Sie im Betrieb konkret tun sollten
Keine dieser Aufgaben ist groß. Zusammen ergeben sie den Nachweis, dass Sie Ihren Teil der Kette im Griff haben.
- 01Verzeichnis der Verarbeitungstätigkeiten ergänzen
- Nehmen Sie die Kartenzahlung als eigenen Eintrag auf: Zweck, Datenkategorien, Empfänger, Fristen. Ein Eintrag, eine halbe Seite — aber er fehlt in vielen Betrieben.
- 02Datenschutzerklärung anpassen
- Ein Absatz zur Kartenzahlung mit den tatsächlichen Empfängern. Vermeiden Sie Pauschalaussagen, die der Realität einer Zahlungskette widersprechen.
- 03Informationsblatt für Karteninhaber bereithalten
- Zum Aushang an der Kasse oder als Link. So können Sie auf Nachfragen sofort verweisen, statt selbst erklären zu müssen, was im Rechenzentrum passiert.
- 04Zugänge und Rollen ordnen
- Wer darf im Händlerportal Transaktionen einsehen, wer darf stornieren? Persönliche Zugänge statt eines geteilten Passworts, und beim Ausscheiden von Personal wird der Zugang gelöscht — nicht das Passwort geändert.
- 05Belege sicher aufbewahren
- Händlerbelege gehören nicht in den offenen Papierkorb hinter dem Tresen. Sie sind Buchungsbelege und enthalten Zahlungsdaten. Abschließbar lagern, geordnet vernichten.
- 06Verträge einmal durchsehen
- Prüfen Sie, für welche Leistungen ein Auftragsverarbeitungsvertrag geschlossen wurde und für welche nicht — und ob diese Abgrenzung zur tatsächlichen Leistung passt.
Deutschland und Österreich: dieselbe Verordnung, andere Zuständigkeit
Die Datenschutz-Grundverordnung gilt in beiden Märkten unmittelbar und mit denselben Grundsätzen. Unterschiede gibt es bei der Aufsicht und bei den ergänzenden nationalen Regeln: In Deutschland sind für nicht-öffentliche Stellen die Aufsichtsbehörden der Länder zuständig, in Österreich die österreichische Datenschutzbehörde.
Für den Zahlungsverkehr selbst kommt hinzu, dass die aufsichtsrechtliche Landschaft unterschiedlich ist: In Deutschland führt die Bundesanstalt für Finanzdienstleistungsaufsicht die Zahlungsinstitute, in Österreich die Finanzmarktaufsicht. Das berührt den Datenschutz nicht direkt, erklärt aber, warum Vertragsunterlagen in beiden Märkten unterschiedlich aussehen.
Was in beiden Ländern gleich bleibt: Die Aufteilung der Verantwortlichkeiten entlang der Zahlungskette folgt der technischen Wirklichkeit, nicht dem Firmensitz. Wer wo entscheidet, ändert sich an der Grenze nicht.
Häufige Fragen zum Datenschutz bei Kartenzahlungen
Warum bekomme ich keinen Auftragsverarbeitungsvertrag für den Netzbetrieb?
Weil beim Netzbetrieb keine Auftragsverarbeitung vorliegt. Der Netzbetreiber entscheidet in seinem Abschnitt selbst über Zwecke und Mittel und ist dort eigenständig verantwortlich. Für Leistungen, bei denen tatsächlich weisungsgebunden für Sie gearbeitet wird — etwa ein Reporting-Portal oder eine Kassenanbindung —, ist ein Auftragsverarbeitungsvertrag dagegen der richtige Weg.
Ein Kunde verlangt Auskunft über seine Zahlung. Was muss ich tun?
Sie müssen über das Auskunft geben, was Sie selbst verarbeiten: den Vorgang an Ihrer Kasse, den Beleg, gegebenenfalls Ihre Buchhaltung. Für die Verarbeitung im zentralen Netzbetrieb und beim Acquirer verweisen Sie an die dort genannten Ansprechpartner — genau dafür ist das Informationsblatt für Karteninhaber da.
Speichert mein Terminal Kartennummern?
Ein zugelassenes Terminal speichert keine vollständigen Kartendaten für Ihren Zugriff. Für den Ablauf notwendige Daten werden verschlüsselt verarbeitet und weitergeleitet; auf Ihrem Beleg erscheint die Kartennummer regelmäßig verkürzt. Sie selbst sollten Kartennummern nirgends notieren.
Darf ich Belege mit Kartendaten einfach in den Müll werfen?
Nein. Händlerbelege sind Buchungsbelege und enthalten Zahlungsdaten. Sie sind über die gesetzlichen Fristen aufzubewahren und danach so zu vernichten, dass sie nicht rekonstruierbar sind. Der offene Papierkorb hinter dem Tresen erfüllt das nicht.
Brauche ich einen Datenschutzbeauftragten, weil ich Karten annehme?
Die Annahme von Kartenzahlungen allein begründet das nicht. Ob eine Bestellpflicht besteht, hängt von anderen Kriterien ab, etwa der Zahl der beschäftigten Personen und der Art der Verarbeitung. Das ist eine Frage für Ihre rechtliche Beratung.
Was passiert bei einer Datenpanne im Rechenzentrum?
Dann trifft die Melde- und gegebenenfalls Benachrichtigungspflicht den dort Verantwortlichen — also den Netzbetreiber beziehungsweise Acquirer, nicht Sie. Für Vorfälle in Ihrem eigenen Bereich, etwa ein entwendetes Terminal oder abhandengekommene Belege, sind Sie zuständig. Melden Sie einen Gerätediebstahl deshalb sofort auch Ihrem Anbieter.
Rechtsstand und Vorbehalt
Die Angaben auf dieser Seite geben den Stand vom 1. August 2026 wieder. Sie beschreiben die in der Zahlungsbranche etablierte Einordnung der Verantwortlichkeiten und sind eine allgemeine Orientierung.
Diese Darstellung ersetzt keine Rechtsberatung. Welche Rolle in Ihrem konkreten Aufbau vorliegt, welche Verträge Sie brauchen und welche Dokumentation Ihr Betrieb führen muss, hängt vom Einzelfall ab. Lassen Sie Ihre Vertragsunterlagen im Zweifel prüfen, bevor Sie unterschreiben.