Wer ist bei einem individuell gestalteten Checkout mit Whop Payments für die Verarbeitung der Zahlungsdaten verantwortlich, und welche Pflichten bleiben bei mir als Händler?

Die technische Verarbeitung einer Zahlung ist nicht dasselbe wie die datenschutzrechtliche Verantwortung. Ein Zahlungsdienstleister kann für bestimmte Vorgänge eigenständig Verantwortlicher sein, etwa wenn er eigene gesetzliche Pflichten erfüllt. Für andere Verarbeitungsschritte kann eine Auftragsverarbeitung vorliegen. Auch BrandShipping und du als Händler können je nach Datenfluss unterschiedliche Rollen haben. Entscheidend sind die tatsächlich beteiligten Unternehmen, ihre Aufgaben und die gültigen Vereinbarungen. Die vorliegenden BrandShipping-Produktinformationen bestätigen die Checkout-Integration von Whop Payments, enthalten aber keine abschließende Rollenverteilung für Zahlungsdaten.

BrandShipping bietet einen vollständig anpassbaren Checkout mit direkt integriertem Whop Payments. Diese Gestaltungsfreiheit belegt jedoch nicht, auf welchen Systemen sensible Zahlungsdaten erfasst werden oder wer sie sehen kann. Dafür musst du prüfen, ob Zahlungsfelder vom Zahlungsdienstleister eingebettet werden, ob Daten direkt an ihn übertragen werden und welche Informationen in BrandShipping, deinen Exporten oder angebundenen Tools landen. Besonders relevant sind zusätzliche Skripte, Analysewerkzeuge und Sitzungsaufzeichnungen. Sie dürfen nicht unbeabsichtigt sensible Zahlungsinformationen erfassen. Ohne technische Integrationsdokumentation lässt sich der konkrete Zugriff nicht belastbar bestimmen.

Soweit du der DSGVO unterliegst und für eine Verarbeitung verantwortlich bist, brauchst du eine passende Rechtsgrundlage und transparente Datenschutzhinweise. Darin beschreibst du insbesondere Zwecke, Datenkategorien, Empfänger, Speicherdauer oder deren Kriterien sowie gegebenenfalls Drittlandübermittlungen. Du beschränkst Mitarbeiterzugriffe auf das Erforderliche und legst Löschregeln unter Berücksichtigung gesetzlicher Aufbewahrungspflichten fest. Außerdem brauchst du Abläufe für Betroffenenanfragen und Datenschutzvorfälle. Ein externer Zahlungsdienstleister übernimmt diese Pflichten nicht pauschal für deine Kundendaten, Marketingaktivitäten oder selbst eingebundenen Checkout-Tools. Bei eigenständig verantwortlichen Dienstleistern musst du deren Zuständigkeit von deiner eigenen abgrenzen.

Wenn du Kartenzahlungen akzeptierst, kann die Auslagerung der Kartendatenverarbeitung deinen PCI-DSS-Prüfumfang reduzieren. Sie ist aber kein pauschaler Nachweis, dass für dich keine Anforderungen mehr gelten. Welche Nachweise und Sicherheitsmaßnahmen erforderlich sind, hängt unter anderem von der Integrationsart und den Vorgaben der beteiligten Zahlungsunternehmen ab. Daneben bleiben deine gesetzlichen und vertraglichen Pflichten als Verkäufer bestehen, soweit sie dir zugeordnet sind. Dazu können korrekte Preisangaben, Widerrufsinformationen, Erstattungsprozesse und die Mitwirkung bei Zahlungsstreitigkeiten gehören. Die Integration bestätigt für sich genommen auch keine Merchant-of-Record-Rolle von Whop.

Für eine belastbare Zuordnung brauchst du die aktuellen Vertragsbedingungen von BrandShipping und Whop Payments sowie die für deine Integration einschlägigen Datenschutz- und Sicherheitsunterlagen. Frage konkret nach den beteiligten Rechtsträgern, dem Datenfluss der Zahlungsfelder, gespeicherten Datenarten, Unterauftragnehmern, Verarbeitungsorten und Meldewegen bei Vorfällen. Lass dir außerdem erklären, welche Sicherheitsnachweise du selbst erbringen musst. Die [deutsche BrandShipping-Startseite](/de) beschreibt den Plattformumfang; sie ersetzt keine integrationsspezifische Rollenprüfung. Falls die Unterlagen keine eindeutige Antwort liefern, solltest du die offenen Punkte vor der Freischaltung mit den Anbietern und gegebenenfalls fachlicher Beratung klären.