PCI DSS und Kartendaten auf Ihrer Website: Ihre Pflichten in Rumänien

Wenn Sie auf Ihrer Website Kartenzahlungen akzeptieren möchten, haben Sie wahrscheinlich schon von PCI DSS gehört und sind etwas erschrocken. Die gute Nachricht: Für die meisten kleinen Unternehmen in Rumänien sind die tatsächlichen Pflichten viel einfacher, als sie klingen – vorausgesetzt, die Website ist von Anfang an richtig aufgebaut.

Der Schlüssel liegt in einer einzigen Idee: Die sicherste Karte ist die, die Sie nie berühren. Wenn die Kartendaten nicht über Ihren Server laufen, entfällt der Großteil der PCI-DSS-Last, und das Risiko eines DSGVO-Problems sinkt drastisch. In diesem Artikel erkläre ich, was PCI DSS eigentlich ist, wie es mit der DSGVO in Rumänien zusammenhängt und was Sie als Unternehmer konkret tun müssen – ohne unnötigen Fachjargon.

Was PCI DSS ist (und was nicht)

PCI DSS steht für Payment Card Industry Data Security Standard. Es handelt sich nicht um ein rumänisches oder europäisches Gesetz, sondern um einen Sicherheitsstandard, der von den Kartennetzwerken (Visa, Mastercard und andere) vorgegeben wird. Er gilt für jeden, der Kartendaten speichert, verarbeitet oder überträgt.

Viele Unternehmer glauben, sie müssten ein teures, kompliziertes Zertifikat erwerben. In Wirklichkeit hängt der Umfang der Pflichten davon ab, wie stark Sie die Kartendaten „berühren“:

• Laufen die Kartendaten über Ihren Server, haben Sie ernsthafte und kostspielige Pflichten.
• Nutzen Sie einen Zahlungsdienstleister, der die Karte vollständig übernimmt (Weiterleitung oder von ihm gehostete Felder), reduzieren sich Ihre Pflichten auf einen einfachen Selbstbewertungsfragebogen namens SAQ A.

Für einen gewöhnlichen Online-Shop ist SAQ A der richtige Weg. Kein aufwendiges Zertifikat, sondern eine intelligente Architektur.

Die praktische Lösung: Kartendaten niemals speichern

Die goldene Regel für jede Website in Rumänien lautet, einen spezialisierten Zahlungsdienstleister die Karte verarbeiten zu lassen. In der Praxis bedeutet das die Integration eines Anbieters wie Stripe, Netopia (mobilPay), EuPlătesc oder PayU, der die Kartendaten direkt vom Kunden auf seiner zertifizierten Infrastruktur entgegennimmt.

Der Kunde gibt die Kartendaten entweder auf einer gesicherten Seite des Zahlungsdienstleisters ein oder in einem gehosteten Feld (iframe), das nie Ihren Server berührt. Sie erhalten nur die Zahlungsbestätigung und eine Transaktionskennung.

Was Sie niemals tun dürfen:

• die vollständige Kartennummer in Ihrer Datenbank speichern;
• den CVV-Code (die drei Ziffern) speichern – dieser wird von niemandem jemals gespeichert;
• Kartennummern per E-Mail, WhatsApp oder in einem gewöhnlichen Formular entgegennehmen.

Wenn Sie sich daran halten, bleiben Sie im sicheren Bereich und vereinfachen sich das Leben enorm.

Wo die DSGVO zusätzlich zu PCI DSS greift

PCI DSS deckt die Sicherheit der Kartendaten ab. Die DSGVO (Verordnung 2016/679), in Rumänien von der ANSPDCP durchgesetzt, deckt alle personenbezogenen Daten Ihrer Kunden ab – Name, Adresse, E-Mail, Bestellhistorie und implizit auch zahlungsbezogene Daten.

Beide überschneiden sich, sind aber nicht dasselbe. Auch wenn der Zahlungsdienstleister sich um die Karte kümmert, bleiben Sie für die übrigen Daten verantwortlich. Konkret brauchen Sie:

• eine klare Datenschutzerklärung, die angibt, welche Daten Sie erheben und warum;
• eine Rechtsgrundlage für die Verarbeitung (in der Regel die Vertragserfüllung – die Bestellung);
• HTTPS auf der gesamten Website, verpflichtend, nicht optional;
• nur die Daten zu erheben, die Sie tatsächlich benötigen, nichts darüber hinaus.

Der Zahlungsdienstleister ist im Sinne der DSGVO ein „Auftragsverarbeiter“, und die Beziehung zu ihm sollte durch eine Auftragsverarbeitungsvereinbarung geregelt sein.

Konkrete Checkliste für den Unternehmer

Wenn Sie Ihre Website selbst einrichten oder überprüfen, was jemand für Sie getan hat, hier die kurze Liste, die zählt:

• einen anerkannten Zahlungsdienstleister nutzen und ihn die Karte berühren lassen;
• prüfen, dass HTTPS auf allen Seiten aktiv ist, auch beim Checkout;
• niemals Kartennummern oder CVV irgendwo speichern;
• den vom Zahlungsdienstleister geforderten SAQ-A-Fragebogen ausfüllen (in der Regel einfach und jährlich);
• eine Datenschutz- und eine Cookie-Richtlinie haben, angepasst an Ihr Unternehmen;
• eine Auftragsverarbeitungsvereinbarung mit dem Zahlungsdienstleister und mit der Firma unterzeichnen, die Ihre Website verwaltet;
• Plugins und Plattform aktuell halten, damit keine Schwachstellen entstehen.

Das ist keine einschüchternde Liste. Es ist technischer gesunder Menschenverstand, in Ordnung gebracht.

Wie wir bei MPO Web Studio den Zahlungsteil angehen

Wir bauen Websites, die von Anfang an niemals die Kartendaten berühren. Wir integrieren den passenden Zahlungsdienstleister für Ihr Unternehmen, mit HTTPS standardmäßig und einem sauberen Checkout, sodass Sie im SAQ-A-Bereich bleiben und sich keine unnötigen technischen Sorgen machen müssen.

Wir arbeiten vollständig remote im ganzen Land, mit transparenten Preisen, und bevor Sie etwas bezahlen, können wir Ihnen eine fertig gebaute Demo Ihrer Website vorbereiten, damit Sie genau sehen, wie sie aussieht – einschließlich des Zahlungsablaufs.

Wir sind keine Anwälte und bieten keine Rechtsberatung an; für die DSGVO-Dokumente sollten Sie auch mit einem Spezialisten zusammenarbeiten. Aber den technischen Teil – die Architektur, die Sie sicher hält – machen wir richtig.

Wenn Sie konkret über Ihr Unternehmen sprechen möchten, schreiben Sie uns eine Nachricht auf WhatsApp, und wir antworten einfach, ohne Fachjargon.