Regulation

Datenschutz-Grundverordnung

Auch: GDPR

EU/UK-Datenschutzgesetz zur Verarbeitung personenbezogener Daten (einschließlich Kartendaten außerhalb des PCI-Perimeters) mit Bußgeldern von bis zu 4 % des weltweiten Umsatzes.

Datenschutz-Grundverordnung bedeutet: EU/UK-Datenschutzgesetz zur Verarbeitung personenbezogener Daten (einschließlich Kartendaten außerhalb des PCI-Perimeters) mit Bußgeldern von bis zu 4 % des weltweiten Umsatzes. Sie kann auch als DSGVO erscheinen.

Im Zahlungsverkehr ist dies nicht nur ein Label; es steuert, wie eine Transaktion, ein Berechtigungsnachweis, ein Risikoereignis oder eine Geldbewegung von den Gegenparteien interpretiert wird. Der Mechanismus wird durch gesetzliche Vorschriften, Scheme-Mandate oder regulierte Marktpraktiken bestimmt.

Die operativen Details sind wichtig, da derselbe Zahlungsfluss je nach Geografie, Kundentyp, Instrument und Ausnahmestatus unterschiedliche Verpflichtungen mit sich bringen kann. Sie wird häufig zusammen mit PCI DSS, PSD2 analysiert, da diese benachbarten Konzepte das kommerzielle und operative Ergebnis bestimmen.

Die praktischen Details finden sich in der Regel in Gateway-Protokollen, Acquirer-Berichten, Scheme-Dateien, Kundendienstaufzeichnungen und Abrechnungsübersichten und nicht in einem einzigen Dashboard. Teams sollten den Wert, den Zeitstempel, die Gegenpartei, die Währung, den Antwortcode und alle mit dem Ereignis verbundenen Ausnahmen oder Haftungsindikatoren aufzeichnen.

Ein häufiger Fehler ist es, die Datenschutz-Grundverordnung als statische Definition zu behandeln. In der Praxis kann die Bedeutung je nach Scheme, Land, MCC, Kartenprodukt, Emittenten, Transaktionskanal und ob die Zahlung vom Kunden oder vom Händler initiiert wird, variieren.

Aus diesem Grund dokumentieren Händler mit hohem Volumen normalerweise Regeln, überwachen Ausnahmen wöchentlich und überprüfen Schwellenwerte, bevor ein kleines operatives Problem zu einem Chargeback-, Finanzierungs- oder Compliance-Problem wird.

Worked example

Ein Händler überprüft eine Transaktion über 500 €, bei der die Datenschutz-Grundverordnung der entscheidende Faktor ist. Der Händler prüft Geografie, Zahlungsart, Kundenstatus und Ausnahmekriterien, bevor er entscheidet, welche Compliance-Behandlung anzuwenden ist.

Die Betriebskosten werden als Non-Compliance-Exposition modelliert, die die Verarbeitungsspanne des Verkaufs übersteigen kann, und die entsprechende Aktion muss beim Checkout oder Onboarding abgeschlossen sein. Schritt 1 ist die Erfassung der ursprünglichen Anfragedaten, einschließlich Betrag, Währung, Ausstellerland, MID und Antwort- oder Statuscode.

Schritt 2 ist die Anwendung der Regelsätze des Händlers, z. B. ob ein erneuter Versuch unternommen, angefochten, erstattet, Waren freigegeben oder zur Überprüfung zurückgehalten werden soll.

Schritt 3 ist der Abgleich des Ergebnisses mit den Acquirer-Berichten, damit die Finanzabteilung die Auswirkungen auf den Cashflow sehen kann.

Wenn die Regel das Ergebnis bei 2. 000 ähnlichen monatlichen Transaktionen um nur 50 Basispunkte verbessert, schützt der Händler etwa 10 zusätzliche Bestellungen vor vermeidbaren Fehlern oder Verlusten.

Scheme notes

Dies ist nicht ausschließlich schemespezifisch, da regulatorische Verpflichtungen aus Gesetzen, Aufsichtsbehörden und lokalen Zahlungssystemregeln und nicht allein von Visa oder Mastercard stammen. Scheme-Regeln sind operativ immer noch wichtig, da sie Nachrichtenfelder, Haftungszuweisung, Nachweisstandards und Überwachungsfolgen definieren.

Die Behandlung im Vereinigten Königreich und im EWR kann nach dem Brexit auseinandergehen, und nationale Schemes oder Banküberweisungswege können separate Regelwerke anwenden. Händler sollten die Scheme-Compliance und die rechtliche Compliance als sich überschneidende Kontrollen behandeln, nicht als Ersatz.

Why it matters for merchants

Kommerziell betrifft dies die Compliance-Kosten, die Zahlungsakzeptanz, Rückerstattungs- und Streitigkeitspflichten sowie das Risiko von behördlichen oder Scheme-Durchsetzungsmaßnahmen.

Für einen Händler, der 500. 000 £ pro Monat verarbeitet, ist eine Bewegung von 25 Basispunkten 1. 250 £ wert, bevor sekundäre Effekte wie Streitigkeiten, Rückstellungen, Support-Tickets oder Kosten für fehlgeschlagene Lieferungen berücksichtigt werden.

Die Auswirkungen sind in Hochrisiko-, Abonnement-, Reise-, Digitalgüter- und grenzüberschreitenden Modellen größer, da Emittentenentscheidungen und Scheme-Überwachung schnell eskalieren können.

Cardflo kann helfen, indem es den Erwerbszugang, die MID-Weiterleitung, Orchestrierungsregeln, die KYB-Überprüfung und gegebenenfalls Chargeback-Tools kombiniert, sodass der Händler nicht von einer einzigen Prozessorinterpretation oder einem festen Transaktionspfad abhängig ist.

Häufig gestellte Fragen

Welche Daten sollte ein Händler für die Datenschutz-Grundverordnung speichern?

Speichern Sie die Transaktions-ID, MID, Acquirer, Betrag, Währung, Ausstellerland, Kartenschema, Antwort- oder Statuscode, Zeitstempel und alle 3DS-, Ausnahme-, Rückerstattungs- oder Streitigkeitsreferenzen. Bei Kartentransaktionen bewahren Sie Autorisierungs- und Clearing-Identifikatoren auf, da Abrechnungs- oder Chargeback-Fragen 30 bis 120 Tage später eintreffen können.

Bei regulierten Abläufen bewahren Sie die Kundenzustimmung und Nachweise für mindestens den Zeitraum auf, der nach lokalem Recht oder Scheme-Regeln erforderlich ist. Gute Aufzeichnungen reduzieren die Untersuchungszeit von Stunden auf Minuten, wenn die Acquirer-Berichterstattung nicht mit dem Bestellsystem übereinstimmt.

Wie oft sollte die Datenschutz-Grundverordnung überprüft werden?

Händler mit hohem Volumen sollten die Ausnahmeraten wöchentlich überprüfen und die Hauptmetrik monatlich nach Scheme, Acquirer, Ausstellerland, MCC und Zahlungsmethode trenden. Eine Bewegung von 20 bis 50 Basispunkten kann erheblich sein, wenn der Händler Tausende von Bestellungen verarbeitet.

Die Finanzabteilung sollte die Auswirkungen auf den Cashflow auf Abrechnungsebene abgleichen, während das Risiko- oder Zahlungsgeschäft die Ursache analysieren sollte. Die Überprüfung nur der Gesamtsummen verbirgt Probleme, die in einem einzelnen BIN-Bereich, einer Region oder einer MID auftreten.

Welcher Schwellenwert löst in der Regel Maßnahmen bei der Datenschutz-Grundverordnung aus?

Der Schwellenwert hängt von der Kategorie ab, aber Händler sollten jede plötzliche Änderung über 10 % relativer Bewegung oder 25 Basispunkte absoluter Bewegung untersuchen. Bei Streitigkeiten und Betrug können Scheme-Schwellenwerte wie 0,9 % unter Visa-Überwachung oder 1,5 % unter Mastercard ECM ein sofortiges Eskalationsrisiko schaffen.

Bei Abrechnungs- oder Preispositionen können sogar 5 bis 15 Basispunkte eine Weiterleitung oder Vertragsprüfung rechtfertigen. Der Schlüssel ist, Schwellenwerte vor Monatsende festzulegen, nicht nachdem eine Prozessorrechnung oder Scheme-Mitteilung eingegangen ist.

Kann die Datenschutz-Grundverordnung zwischen Acquirern unterschiedlich sein?

Ja. Acquirer können Antwortcodes unterschiedlich zuordnen, unterschiedliche Risikoregeln anwenden, unterschiedliche Datenfelder unterstützen und zu unterschiedlichen Zyklen abrechnen.

Ein Acquirer kann eine generische Ablehnung zurückgeben, während ein anderer Emittentenhinweise offenlegt, die einen sicheren Wiederholungsversuch ermöglichen. Die Gebührenbehandlung kann auch vertraglich variieren, insbesondere bei grenzüberschreitenden Transaktionen, FX, Premium-Karten und alternativen Zahlungsmethoden.

Aus diesem Grund sollten Händler, die Orchestrierung verwenden, die Leistung nach Acquirer und Scheme vergleichen, anstatt sich auf eine einzige gemischte Genehmigungs- oder Kostenkennzahl zu verlassen.

Was ist der erste Abhilfeschritt, wenn die Datenschutz-Grundverordnung Verluste verursacht?

Beginnen Sie mit einer 30-Tage-Stichprobe und teilen Sie diese nach Scheme, Ausstellerland, Kartenprodukt, Zahlungsmethode, MID und Antwort- oder Streitigkeitscode auf. Quantifizieren Sie den gefährdeten Wert in bar, nicht nur in Prozentpunkten.

Entscheiden Sie dann, ob die Lösung operativ ist, z. B. bessere Nachweise oder Kundenkommunikation, technisch, z.

B. reichhaltigere Daten oder 3DS-Indikatoren, oder kommerziell, z. B. eine andere Acquirer-Route.

Überprüfen Sie dieselbe Metrik nach einem vollständigen Abrechnungs- oder Streitigkeitszyklus erneut, um zu bestätigen, dass die Änderung funktioniert hat.