Sicherheit und Datenschutz bei Mollie: Was Shopbetreiber wissen müssen

Zahlungsdaten sind das Sensibelste, was in einem Onlineshop durch die Leitung geht. Wenn Sie Mollie als Zahlungsanbieter einsetzen, wollen Sie zwei Dinge wissen: Wie sicher sind die Daten Ihrer Kunden, und was müssen Sie selbst für die DSGVO erledigen?

Ich richte Mollie regelmäßig in WooCommerce-Shops in Österreich und Deutschland ein. Hier ist mein Überblick, ohne Marketingsprache und mit den Punkten, die in der Praxis tatsächlich nachgefragt werden.

Die kurze Antwort

• Mollie erfüllt den Kartenstandard PCI DSS auf höchster Stufe. Kartendaten landen bei richtiger Einrichtung nie auf Ihrem Server.
• 3-D Secure und die starke Kundenauthentifizierung nach PSD2 laufen automatisch mit.
• Mollie ist ein lizenziertes E-Geld-Institut mit Sitz in den Niederlanden und unter Aufsicht der niederländischen Zentralbank.
• Datenschutzrechtlich ist Mollie für die Zahlungsabwicklung eigener Verantwortlicher, kein Auftragsverarbeiter. Das hat Folgen für den AV-Vertrag und Ihre Datenschutzerklärung.

Wenn Sie Mollie noch gar nicht kennen, lesen Sie zuerst meinen Überblick Was ist Mollie? Zahlungsarten und Gebühren.

PCI DSS: was das für Sie heißt

PCI DSS ist der Sicherheitsstandard der Kartenorganisationen. Jedes Unternehmen, das Kreditkartendaten verarbeitet, speichert oder überträgt, muss ihn einhalten. Mollie erfüllt nach eigenen Angaben die höchste Stufe und weist das mit einer Konformitätsbescheinigung (Attestation of Compliance) nach. Dazu kommen eine unabhängige Prüfung nach den Trust Services Criteria des AICPA und eine jährliche Kontrolle durch externe Wirtschaftsprüfer.

Für Sie als Shopbetreiber ist der entscheidende Punkt ein anderer: Wo werden die Kartendaten eingegeben? Im Mollie-Plugin für WooCommerce gibt es zwei Wege. Entweder leitet Ihr Shop zum gehosteten Checkout von Mollie weiter, oder die Kartenfelder werden über Mollie Components direkt in Ihren Checkout eingebettet. In beiden Fällen tippen Ihre Kunden die Kartennummer in ein Feld, das von Mollie ausgeliefert wird. Ihr WordPress sieht die Daten nie.

Das ist gut so. Ihr Shop bleibt damit aus dem aufwendigen Teil der PCI-Pflichten heraus. Bauen Sie deshalb keine eigenen Kartenfelder und installieren Sie keine Plugins, die Zahlungsdaten „zwischenspeichern“ wollen.

3-D Secure, PSD2 und starke Kundenauthentifizierung

Seit der EU-Zahlungsdiensterichtlinie PSD2 gilt im EWR die starke Kundenauthentifizierung (SCA). Bei Kartenzahlungen heißt das in der Praxis 3-D Secure: Der Kunde bestätigt die Zahlung zusätzlich, meist in der App seiner Bank.

Mollie wickelt das automatisch ab. Sie müssen nichts konfigurieren. Bei manchen Zahlungen greift eine Ausnahme, etwa bei sehr kleinen Beträgen, dann entfällt die Bestätigung. Das entscheiden Mollie und die Bank des Kunden.

Ein Vorteil, den viele übersehen: Wenn eine Zahlung per 3-D Secure bestätigt wurde, liegt das Risiko bei einer späteren Betrugsreklamation in der Regel nicht mehr bei Ihnen. Das schützt gerade kleine Shops vor bösen Überraschungen.

Betrugsbekämpfung

Mollie prüft Transaktionen laufend auf auffällige Muster und blockiert verdächtige Zahlungen. Laut Mollie überwacht ein Sicherheitsteam die Systeme rund um die Uhr, interne Tester führen Penetrationstests durch. Ihre Kunden merken davon nichts, solange alles normal läuft.

Was Sie selbst tun können: Schützen Sie Ihren Mollie-Account mit Zwei-Faktor-Authentifizierung und geben Sie Mitarbeitern im Dashboard nur die Rechte, die sie wirklich brauchen. Die meisten Probleme, die ich sehe, entstehen nicht bei Mollie, sondern bei einem schwachen Passwort im Shop oder im Zahlungs-Dashboard.

Wo werden die Daten verarbeitet?

Mollie B.V. sitzt in Amsterdam und ist bei der De Nederlandsche Bank als E-Geld-Institut lizenziert. Damit unterliegt Mollie der europäischen Finanzaufsicht und der DSGVO. Für den britischen Markt gibt es eine eigene Gesellschaft mit FCA-Lizenz.

Ganz ehrlich: „Alles bleibt in der EU“ kann ich Ihnen nicht versprechen, und Mollie verspricht das auch nicht. Laut Datenschutzerklärung können Dienstleister von Mollie personenbezogene Daten in einzelnen Fällen außerhalb des EWR verarbeiten. Mollie sichert solche Übermittlungen dann mit den passenden Verträgen und EU-Standardvertragsklauseln ab. Das ist der übliche Standard bei europäischen Zahlungsanbietern.

AV-Vertrag: brauchen Sie einen mit Mollie?

Hier liegt der häufigste Irrtum. Viele Checklisten sagen pauschal: „Mit jedem Dienstleister einen AV-Vertrag abschließen.“ Bei Mollie passt das für die Zahlungsabwicklung nicht.

Mollie schreibt in der eigenen Datenschutzerklärung, dass es für die Zahlungsabwicklung als Verantwortlicher im Sinne der DSGVO handelt. Das ist bei regulierten Zahlungsinstituten üblich: Sie müssen Daten aus eigener gesetzlicher Pflicht verarbeiten, etwa für Geldwäscheprüfungen und Aufbewahrungsfristen. Ein Auftragsverarbeiter arbeitet dagegen nur nach Ihren Weisungen. Das trifft auf eine Bank nicht zu.

Die Folge: Für die Zahlungsabwicklung brauchen Sie in der Regel keinen AV-Vertrag mit Mollie. Eine Ausnahme nennt Mollie selbst: Wenn Sie das Rechnungsprodukt von Mollie nutzen, ist Mollie dafür Auftragsverarbeiter. Dann gehört ein AV-Vertrag dazu.

Ich bin kein Anwalt. Wenn Ihr Shop besondere Daten verarbeitet oder Sie unsicher sind, lassen Sie das von einer Rechtsberatung prüfen. Die Grundlage aber ist klar und steht bei Mollie schwarz auf weiß.

Was in Ihre Datenschutzerklärung gehört

Mollie muss in Ihrer Datenschutzerklärung stehen. Diese Punkte sollten Sie abdecken:

• Empfänger: Mollie B.V., Amsterdam, als eigenständig Verantwortlicher für die Zahlungsabwicklung, mit Link zur Datenschutzerklärung von Mollie.
• Welche Daten: Name, Rechnungsadresse, E-Mail, Bestellbetrag, Zahlungsdaten der gewählten Zahlungsart, IP-Adresse und technische Daten aus dem Checkout.
• Zweck und Rechtsgrundlage: Abwicklung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO), dazu gesetzliche Pflichten und Betrugsprävention.
• Weitere Anbieter: Wenn Sie über Mollie Klarna, PayPal oder Apple Pay anbieten, kommen diese Anbieter als weitere Empfänger dazu.
• Drittlandübermittlung: ein Hinweis, dass Mollie Daten in Einzelfällen außerhalb des EWR auf Basis von Standardvertragsklauseln verarbeiten lässt.

Wie Sie den Shop insgesamt rechtlich sauber aufstellen, beschreibe ich in WooCommerce in Österreich rechtssicher starten.

Hinweise zur Einrichtung in WooCommerce

Das offizielle Plugin „Mollie Payments for WooCommerce“ ist kostenlos. Ein paar Punkte, die ich bei jeder Einrichtung prüfe:

1. Testmodus zuerst: Mollie gibt Ihnen einen Test- und einen Live-API-Key. Testen Sie jede Zahlungsart einmal im Testmodus, bevor Sie live gehen.
2. API-Keys schützen: Die Keys gehören in die Plugin-Einstellungen, nicht in Screenshots, E-Mails oder Support-Tickets.
3. Webhooks erreichbar halten: Mollie meldet den Zahlungsstatus an Ihren Shop zurück. Ein Wartungsmodus, ein Passwortschutz auf der Website oder eine zu strenge Firewall blockieren diese Meldungen. Dann bleiben Bestellungen auf „Zahlung ausstehend“ hängen.
4. SSL überall: Ohne gültiges HTTPS gehört ein Shop nicht online.
5. Updates einspielen: Das Mollie-Plugin, WooCommerce und WordPress aktuell halten. Die meisten Sicherheitslücken im Shop entstehen durch veraltete Software, nicht beim Zahlungsanbieter.

Ob Mollie oder Stripe besser zu Ihrem Shop passt, vergleiche ich in Stripe vs. Mollie. Beide sind bei der Sicherheit auf vergleichbarem Niveau. Der Unterschied liegt eher bei Zahlungsarten und Gebühren.

Mein Fazit

Bei der Zahlungssicherheit nimmt Ihnen Mollie fast alles ab: PCI DSS, 3-D Secure und Betrugsprüfung laufen im Hintergrund. Ihre Aufgabe ist überschaubar, aber sie ist da: Datenschutzerklärung richtig formulieren, Zugänge absichern, Shop aktuell halten.

Wenn Sie Ihren WooCommerce-Shop mit Mollie selbst einrichten und verstehen wollen, was dabei passiert, zeige ich Ihnen das in meiner WooCommerce-Schulung, remote und 1:1 an Ihrem eigenen Shop.

Häufige Fragen

Ist Mollie DSGVO-konform?

Mollie ist ein in den Niederlanden lizenziertes E-Geld-Institut und unterliegt der DSGVO. Übermittlungen außerhalb des EWR sichert Mollie laut eigener Datenschutzerklärung mit Standardvertragsklauseln ab. Ihre Datenschutzerklärung müssen Sie trotzdem selbst anpassen.

Brauche ich einen AV-Vertrag mit Mollie?

Für die Zahlungsabwicklung in der Regel nicht. Mollie handelt dafür als eigener Verantwortlicher. Nur für das Rechnungsprodukt von Mollie ist Mollie Auftragsverarbeiter, dann brauchen Sie einen AV-Vertrag.

Sieht mein Shop die Kreditkartendaten meiner Kunden?

Nein, wenn Sie das offizielle Plugin nutzen. Die Kartendaten werden im gehosteten Checkout oder in eingebetteten Feldern von Mollie eingegeben und erreichen Ihren Server nicht.

Muss ich 3-D Secure selbst aktivieren?

Nein. Mollie führt die starke Kundenauthentifizierung nach PSD2 automatisch durch. Ob eine Zahlung eine Bestätigung braucht, entscheiden Mollie und die Bank des Kunden.

Wo sitzt Mollie?

Mollie B.V. hat seinen Sitz in Amsterdam und steht unter Aufsicht der De Nederlandsche Bank. Für Großbritannien gibt es eine eigene Gesellschaft mit FCA-Lizenz.