Stripe – DSGVO-konform?

Preismodell: freemium

Hosting-Regionen: US

AVV / DPA: Verfügbar

Zertifizierungen: SOC2, ISO27001

Über Stripe

Stripe ist eine der weltweit meistgenutzten Plattformen für Online-Zahlungen und stellt die technische Infrastruktur für Kartenzahlungen, Abonnements, Rechnungsstellung und Auszahlungen bereit. Vertragspartner für Händler im Europäischen Wirtschaftsraum ist die irische Gesellschaft Stripe Payments Europe; die Konzernmutter Stripe, Inc. hat ihren Sitz in den USA. Datenschutzrechtlich ist die Rolle von Stripe zweigeteilt und in der deutschen Fachliteratur nicht einheitlich bewertet. Ein Teil der Kommentierung sieht Stripe als eigenständig Verantwortlichen, da der Zahlungsdienstleister selbst entscheidet, welche Daten er in welchem Umfang verarbeitet, und dabei regulatorischen Pflichten wie Geldwäscheprävention und Betrugserkennung unterliegt – ein AVV wäre danach nicht erforderlich. Andere Einordnungen sehen Stripe bei der reinen Abwicklung von Transaktionen als Auftragsverarbeiter nach Art. 28 DSGVO. In der Praxis hängt die Rolle von der gewählten Integration ab: Beim gehosteten Checkout von Stripe tritt das Unternehmen sowohl als Verantwortlicher als auch als Auftragsverarbeiter auf, bei eingebetteten Stripe Elements verarbeitet Stripe die Kartendaten direkt, ohne dass diese den Server des Händlers berühren. Unabhängig von dieser Einordnung stellt Stripe einen Auftragsverarbeitungsvertrag bereit, der abgeschlossen werden kann. Beim Serverstandort ist die Lage eindeutig: Stripe verarbeitet personenbezogene Daten auch in den Vereinigten Staaten. Eine ausschließlich europäische Datenhaltung wird nicht angeboten. Als Grundlage der Drittlandübermittlung dient die Teilnahme am EU-US Data Privacy Framework, ergänzt um EU-Standardvertragsklauseln. Zu beachten ist, dass der Angemessenheitsbeschluss zum Data Privacy Framework Gegenstand rechtlicher Auseinandersetzungen auf europäischer Ebene ist – Unternehmen sollten die weitere Entwicklung beobachten und die Übermittlung in ihrem Verarbeitungsverzeichnis sauber dokumentieren. Beim Sicherheitsniveau gehört Stripe zu den am umfassendsten zertifizierten Anbietern im Zahlungsbereich: PCI DSS Level 1 als höchste Stufe des Kartenzahlungsstandards, ergänzt um ISO 27001 und SOC 2. Die Dokumentation zu Datenverarbeitung, Unterauftragsverarbeitern und Sicherheitsmaßnahmen ist öffentlich zugänglich und detailliert. Für Unternehmen im DACH-Raum ergibt sich damit ein differenziertes Bild: technisch und sicherheitstechnisch auf höchstem Niveau und vertraglich sauber aufgestellt, zugleich aber mit einer Datenverarbeitung in den USA, die eine dokumentierte Drittlandübermittlung erfordert. Wer Zahlungsdaten ausschließlich in der EU verarbeiten möchte, sollte europäische Zahlungsdienstleister prüfen. Stand: 07/2026 – Angaben auf Basis öffentlich zugänglicher Herstellerinformationen; keine Rechtsberatung.

Häufige Fragen

Ist Stripe DSGVO-konform?

Stripe kann DSGVO-konform eingesetzt werden. Ein Auftragsverarbeitungsvertrag (AVV/DPA) ist verfügbar. Da eine Verarbeitung in den USA stattfinden kann, sind die Drittlandübermittlung zu dokumentieren und geeignete Garantien sicherzustellen. Die Konformität hängt von der konkreten Nutzung ab.

Bietet Stripe einen AVV (DPA) an?

Ja. Stripe stellt einen Auftragsverarbeitungsvertrag (AVV / Data Processing Agreement) gemäß Art. 28 DSGVO bereit.

Wo hostet Stripe die Daten?

Stripe verarbeitet Daten in: US. Eine Verarbeitung in den USA kann stattfinden.

Welche Zertifizierungen hat Stripe?

Stripe verfügt über: SOC2, ISO27001.

Gibt es DSGVO-konforme Alternativen zu Stripe?

Ja. DSGVO-konforme Alternativen mit EU-Hosting sind u.a.: Billbee, Mollie, Shopify.