Datenschutzerklärung

1 Verantwortlicher

Payline GmbH August-Bebel-Str. 89 14482 Potsdam Deutschland

Geschäftsführer: Jackie Weijie Cheng, Tobias Kuffert

E-Mail: info@payline.one

2 Kontakt für Datenschutzanfragen

E-Mail: datenschutz@payline.one

Für interne Bearbeitung zuständig: Tobias Kuffert, CTO

Bearbeitung erfolgt manuell.

3 Geltungsbereich

Diese Datenschutzerklärung gilt für:

• unsere öffentliche Website inklusive Compliance Center
• das Merchant Portal
• Hosted Checkout-Seiten unter checkout.payline.one sowie eingebettete Checkout-Komponenten bei Händlern
• unsere APIs und Webhooks für Händler

Hinweis zur Rollenverteilung im Checkout: Beim Kauf über einen Händler bleibt der Händler Vertragspartner und in der Regel Verantwortlicher im Sinne der DSGVO für die Bestelldaten. Payline stellt die Checkout-Technologie bereit und verarbeitet Daten im Checkout typischerweise als Auftragsverarbeiter für den Händler. Die Zahlungsabwicklung erfolgt über unseren Zahlungsdienst-Partner Mollie B.V. Je nach Verarbeitungsschritt kann Mollie als eigener Verantwortlicher handeln, insbesondere für die Durchführung der Zahlung und risikobasierte Prüfungen.

4 Kategorien personenbezogener Daten

Je nach Nutzung verarbeiten wir insbesondere:

Stammdaten:

Name, E-Mail-Adresse, Telefonnummer, Unternehmensdaten, Anschrift, Branche

Nutzungsdaten:

Zugriffszeiten, aufgerufene Seiten, technische Geräte- und Browser-Informationen, IP-Adresse, Ereignisdaten

Kommunikationsdaten:

Inhalte aus Freitextfeldern, E-Mail-Kommunikation

Checkout- und Transaktionsdaten:

Warenkorb-Details, Rechnungs- und Lieferadresse, Transaktions-IDs, Payment Token, Webhook Payloads

KYC- und Merchant-Verifikationsdaten:

Rechtsform, Unternehmensname, Geschäftsführer, Registerdaten (HRB, Gewerbenummer, USt-Id), IBAN, Shop-URL, Dokumente je nach Rechtsform, Statusdaten zum KYC-Prozess

Risikodaten:

Auffälligkeiten, Velocity-Informationen, Sperrvermerke bei Betrugsverdacht

5 Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken und auf folgenden Rechtsgrundlagen:

Bereitstellung unserer Website, des Merchant Portals, des Checkouts, der APIs, IT-Sicherheit

Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO

Anbahnung und Durchführung von Verträgen mit Händlern, Support, Kommunikation

Rechtsgrundlage: Vertrag und vorvertragliche Maßnahmen, Art. 6 Abs. 1 lit. b DSGVO

Erfüllung rechtlicher Pflichten, insbesondere im Zusammenhang mit KYC-Anforderungen über unseren Zahlungsdienst-Partner

Rechtsgrundlage: rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO, soweit anwendbar

Webanalyse über Google Analytics nach Einwilligung

Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG

Anzeige von Videos auf der Kundenseite über Vimeo, geladen erst nach Ihrem Klick

Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG

6 Website-Betrieb, Zugriffsdaten und Logfiles

Beim Aufruf unserer Website und unserer Systeme werden technisch bedingt Daten verarbeitet, um Inhalte auszuliefern und die Sicherheit zu gewährleisten. Dazu können gehören: IP-Adresse, Datum und Uhrzeit, angeforderte Ressource, Referrer, User-Agent sowie Fehler- und Sicherheitsereignisse.

Speicherdauer:

• Technische Server-Logs: 30 Tage
• Security- und Login-Ereignisse: 90 Tage
• Audit-Logs im Merchant Portal: bis Vertragsende

Diese Werte passen wir an, sobald die konkreten Logquellen final dokumentiert sind.

7 Cookies, Consent und Einwilligungsverwaltung

Wir nutzen technisch notwendige Cookies und vergleichbare Technologien, um grundlegende Funktionen bereitzustellen (z. B. Sessions, Login, Sicherheitsfunktionen).

Für nicht notwendige Technologien, insbesondere Webanalyse, holen wir vorab eine Einwilligung ein. Dafür verwenden wir eine eigene Consent-Lösung mit den Kategorien:

• Statistik (z. B. Google Analytics)
• Marketing (Erfolgsmessung unserer Anzeigen über Google Ads)

Solange Sie nicht zugestimmt haben, laden wir keine Statistik-Werkzeuge und stellen keine Verbindung zu Google her. Ihre Entscheidung speichern wir im lokalen Speicher Ihres Browsers, nicht auf unserem Server.

Videos auf der Kundenseite laden wir unabhängig davon erst, wenn Sie ein Video selbst starten. Diese Einwilligung erteilen Sie mit dem Klick auf den Abspielknopf.

Widerruf und Änderung: Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern. Dafür stellen wir einen Link „Cookie-Einstellungen" im Footer bereit.

8 Google Analytics und Google Ads

Sofern Sie eingewilligt haben, nutzen wir Google Analytics zur Analyse der Nutzung unserer Website und zur Verbesserung unseres Angebots. Anbieter ist regelmäßig Google Ireland Limited.

Datenverarbeitung und IP-Adresse: Nach Angaben von Google werden bei EU-Traffic IP-Adressen für die Ableitung grober Standortdaten genutzt und anschließend verworfen; sie werden nicht dauerhaft protokolliert oder gespeichert.

Einstellungen:

• Google Signals und Werbefunktionen: deaktiviert
• Aufbewahrungsdauer: 26 Monate

Google Ads und Erfolgsmessung

Sofern Sie eingewilligt haben, setzen wir Google Ads ein. Wir schalten Anzeigen in der Google-Suche und messen, welche Anzeige zu einer Anfrage geführt hat. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Was dabei übermittelt wird:

• die Klickkennung der Anzeige (Parameter gclid) und Cookies mit der Vorsilbe _gcl, in der Regel für bis zu 90 Tage
• die Meldung, dass auf unserer Seite ein Beratungstermin gebucht oder die Rufnummer, WhatsApp oder die Mailadresse angeklickt wurde
• nicht übermittelt werden Ihr Name, Ihre Rufnummer, Ihre Mailadresse und der Inhalt Ihrer Anfrage

Zweck ist die Erfolgsmessung unserer Anzeigen und die Aussteuerung künftiger Anzeigen. Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird das Werbe-Tag nicht geladen und es findet keine Übermittlung statt. Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen" im Footer widerrufen; die gesetzten Kennungen löschen wir dabei.

Drittlandtransfer und Absicherung: Es kann nicht ausgeschlossen werden, dass Daten in Konstellationen außerhalb des EWR verarbeitet werden. Wir nutzen zur Absicherung EU-Standardvertragsklauseln.

9 Kontaktformular und Preisrechner

Wenn Sie uns über das Kontaktformular oder den Preisrechner kontaktieren, verarbeiten wir Ihre Angaben – insbesondere Name, E-Mail-Adresse, Unternehmen, Telefonnummer sowie Angaben zu Transaktionsvolumen und Warenkorb-Höhe – um Ihre Anfrage zu beantworten, Sie zurückzurufen, Angebote oder Preis-Infos zu übermitteln und den Vorgang zu dokumentieren.

Empfänger und Systeme:

• E-Mail-Kommunikation läuft über Microsoft Outlook bzw. Microsoft 365
• Lead- und Kundenverwaltung erfolgt in Pipedrive

Weitergabe an Partner: Eine Weitergabe erfolgt grundsätzlich nicht, außer wenn es im Rahmen der konkreten Vertragsdurchführung erforderlich ist, insbesondere zu KYC-Zwecken an unseren Zahlungsdienst-Partner Mollie B.V.

Speicherdauer: Leads ohne Vertrag: 24 Monate, anschließend Löschung oder Anonymisierung, sofern keine Pflichten entgegenstehen.

10 Terminbuchung über Cal

Für Terminvereinbarungen nutzen wir Cal. Dabei werden die von Ihnen eingegebenen Daten – typischerweise Name, E-Mail-Adresse, Unternehmen, Terminwunsch und Notizen – verarbeitet, um den Termin zu koordinieren und durchzuführen.

11 Videos über Vimeo

Auf der Seite Kunden binden wir zwei Videos über den Dienst Vimeo ein. Anbieter ist Vimeo.com, Inc., 330 West 34th Street, New York, NY 10001, USA.

Kein Kontakt vor dem Klick: Solange Sie ein Video nicht starten, wird nichts von Vimeo geladen. Sie sehen bis dahin nur ein Standbild, das von unserem eigenen Server kommt. Erst wenn Sie den Abspielknopf oder eine Kapitelmarke anklicken, laden wir den Player von Vimeo nach. Dabei werden Ihre IP-Adresse sowie technische Angaben zu Browser, Betriebssystem und Gerät an Vimeo übertragen. Vimeo kann dabei Cookies und vergleichbare Kennungen setzen und den Abruf einem bestehenden Vimeo-Konto zuordnen, wenn Sie dort angemeldet sind.

Rechtsgrundlage: Einwilligung, die Sie durch das aktive Starten des Videos erteilen, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Starten Sie kein Video, findet keine Übermittlung an Vimeo statt.

Do Not Track: Wir rufen den Player mit dem Parameter dnt=1 auf. Vimeo verzichtet damit nach eigenen Angaben auf Tracking-Cookies und wertet den Abruf nicht für eigene Werbezwecke aus.

Drittlandtransfer: Eine Verarbeitung in den USA ist möglich. Zur Absicherung gilt das, was im Abschnitt zu Übermittlungen in Drittländer beschrieben ist.

Weitere Angaben finden Sie in der Datenschutzerklärung von Vimeo unter vimeo.com/privacy.

12 Merchant Portal, Registrierung und Login

Bei Nutzung des Merchant Portals verarbeiten wir Daten zur Anlage und Verwaltung des Accounts, zur Authentifizierung und zur Administration.

Erhobene Daten bei initialem Onboarding: Name, E-Mail, Firma inklusive Anschrift, Telefonnummer, Branche

Login: Passwort plus Zwei-Faktor-Code per E-Mail

13 Hosted Checkout (checkout.payline.one) und eingebettete Checkout-Komponenten

Im Hosted Checkout verarbeiten wir Endkundendaten im Auftrag des jeweiligen Händlers, soweit dies für die Durchführung des Kaufes und der Zahlung erforderlich ist. Dazu gehören typischerweise: Name, E-Mail, Telefonnummer, Rechnungs- und Lieferadresse, Warenkorb-Details, IP-Adresse und Device-Daten.

Zahlungsdaten: Kartendaten und IBAN werden technisch direkt an Mollie über ein iFrame verarbeitet. Payline erhält diese sensiblen Zahlungsdaten nicht im Klartext.

Speicherung bei Payline: Wir speichern Payment Token, Transaktions-IDs, technische Logs sowie Webhook Payloads zur Fehleranalyse, zur Abwicklung und zur Sicherheit.

Hinweise im Checkout: Im Checkout verlinken wir die Datenschutzhinweise des Händlers, von Payline sowie von Mollie, um Transparenz zu schaffen.

14 APIs und Webhooks

Bei Nutzung unserer APIs und Webhooks verarbeiten wir Daten, die Händler an unsere Schnittstellen senden oder die wir im Rahmen von Events erzeugen (z. B. Transaktions-IDs, Statusinformationen, technische Metadaten, Webhook Payloads). Zweck ist die technische Bereitstellung, Synchronisierung von Zahlungsstatus und die Fehleranalyse.

15 KYC-Prozess bei Mollie und Signaturen über Scrive

Für die Händler-Verifikation werden KYC-Daten über Payline erfasst und per API an Mollie übermittelt. Dokumente werden je nach Rechtsform angefordert und an Mollie weitergeleitet. Payline speichert diese Dokumente nicht dauerhaft.

Im KYC-Prozess werden zwei Verträge über Scrive zur Signatur bereitgestellt.

KYC-Daten können sich je nach Anforderungen von Mollie erweitern.

16 Pay by bank über YAXI

Für Zahlungen per „pay by bank" wird ein Partner (YAXI GmbH) eingebunden. Eine Identifizierung durch YAXI findet nicht statt; der Zweck ist die Bereitstellung der jeweiligen Zahlungsart.

17 Betrugsprävention, Risikoscoring und automatisierte Entscheidungen

Wir nutzen Mechanismen zur Betrugsprävention und Risikobewertung, insbesondere bei SEPA-Lastschrift und Zahlungen über YAXI, um Missbrauch zu verhindern und die Sicherheit zu erhöhen. Dabei können IP-Adresse, Device-Merkmale, Warenkorb, Land, Velocity und Informationen aus früheren Transaktionen berücksichtigt werden.

Konsequenzen: Es kann zu Sperrungen bestimmter Kundinnen und Kunden oder Händler bei Verdacht auf Betrug kommen, insgesamt oder für bestimmte Zahlungsarten. Zudem kann Mollie als Zahlungsdienst-Partner risikobasierte Entscheidungen treffen (z. B. Ablehnungen oder Prüfungen auf Basis von Blacklists).

Prüfung und Support: Betroffene können sich an unseren Support wenden, damit der Fall geprüft werden kann. Alternativ können je nach Fall andere Zahlungsarten genutzt werden, sofern verfügbar.

18 Empfänger und Dienstleister

Je nach Zweck können Empfänger sein:

• Hosting: Hetzner (Checkout, Dashboard, Portal und paymentbezogene Systeme)
• Website-Hosting: Hetzner
• CRM: Pipedrive
• Terminbuchung: Cal
• Signaturen: Scrive
• Zahlungsdienst-Partner: Mollie B.V.
• Zahlungsart-Partner: YAXI GmbH
• E-Mail-Betrieb: Microsoft Outlook bzw. Microsoft 365
• Webanalyse und Anzeigenmessung (nach Einwilligung): Google Analytics, Google Ads
• Videos (nach Klick auf den Abspielknopf): Vimeo

19 Übermittlungen in Drittländer

Soweit bei einzelnen Anbietern eine Verarbeitung außerhalb des EWR nicht ausgeschlossen werden kann, erfolgt dies auf Basis geeigneter Garantien, insbesondere EU-Standardvertragsklauseln.

20 Speicherdauer und Löschung

Grundsatz: Wir speichern personenbezogene Daten nur so lange, wie es für die Zwecke erforderlich ist, oder solange gesetzliche Pflichten bestehen.

Regeln:

• Leads ohne Vertrag: 24 Monate
• Händler- und Checkout-relevante Daten: bis Vertragsende
• Logs, Security, Audit: siehe Abschnitt Logfiles

21 Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Vorgaben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen bestimmte Verarbeitungen. Sie können eine Einwilligung jederzeit widerrufen.

Kontakt: datenschutz@payline.one

22 Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

23 Pflicht zur Bereitstellung von Daten

Die Bereitstellung bestimmter Daten ist erforderlich, um Anfragen zu beantworten, Termine zu vereinbaren, ein Merchant-Konto zu führen oder Zahlungen abzuwickeln. Ohne diese Daten kann die jeweilige Leistung ganz oder teilweise nicht erbracht werden.

24 Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen. Details zu Sicherheitsmaßnahmen können wir im Compliance Center in angemessenem Umfang erläutern.

25 Änderungen

Wir können diese Datenschutzerklärung anpassen, wenn sich Rechtslage, Systeme oder Verarbeitungen ändern. Der aktuelle Stand ist oben angegeben.