Datenschutz bei Kartenzahlung und Telemetrie

Das Wichtigste in Kürze

• Verkaufs- und Füllstandsdaten ohne Bezug zu Personen sind keine personenbezogenen Daten.
• Kartendaten verarbeitet der Zahlungsanbieter; klären Sie mit ihm, wer wofür verantwortlich ist.
• Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
• Eine Kamera ist nur nach dokumentierter Abwägung zulässig, mit Hinweisschild vor dem erfassten Bereich und kurzer Speicherdauer.
• Kundenkarten, Apps oder Kameras machen Datenschutzhinweise nötig, etwa per QR-Code am Gerät.

Welche Daten am Automaten anfallen

Wer Zahlungsdaten zur Abwicklung und Abrechnung im eigenen Namen verarbeitet, ist dafür selbst verantwortlich. Ob ein Anbieter für Sie als Auftragsverarbeiter oder als eigener Verantwortlicher tätig wird, steht in seinen Vertragsunterlagen; fragen Sie nach, wenn es dort nicht klar beschrieben ist.

Verträge und Sicherheit

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, etwa eine Plattform, die Kundenkonten oder Mitarbeiterkarten für Sie speichert, schließen Sie mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Viele Anbieter stellen dafür einen Mustervertrag bereit. Prüfen Sie, wo die Daten gespeichert werden und welche Unterauftragnehmer beteiligt sind.

Die DSGVO verlangt außerdem angemessene Sicherheit der Verarbeitung (Art. 32 DSGVO). Am Automaten heißt das vor allem: eigene Zugangsdaten je Person für das Portal des Anbieters, starke Passwörter und keine geteilten Konten. Terminals mit eigener Mobilfunkverbindung binden Sie nicht in das Firmennetz des Standortgebers ein; so bleiben Ihre Daten von seinem Netz getrennt. Für Kamera, App oder Kundenkonten führen Sie in der Regel ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO).

Erheben Sie selbst personenbezogene Daten, etwa über eine App oder ein Kundenkonto, informieren Sie die Betroffenen nach den Informationspflichten der Art. 12 ff. DSGVO. Am Automaten eignet sich dafür ein kurzer Hinweis mit QR-Code, der auf die vollständige Datenschutzerklärung führt.

Videoüberwachung am Automaten

Für Kameras privater Betreiber gilt Art. 6 Abs. 1 Buchstabe f DSGVO; § 4 BDSG ist nach der Rechtsprechung des Bundesverwaltungsgerichts auf Private nicht anwendbar. Die Überwachung muss für ein berechtigtes Interesse erforderlich sein, etwa den Schutz vor Aufbruch, und die Interessen der Gefilmten dürfen nicht überwiegen. Halten Sie diese Abwägung schriftlich fest und beachten Sie:

• nur den Automaten und den Bereich direkt davor erfassen, keine Gehwege, Sitzplätze oder Arbeitsplätze
• keine Tonaufnahme
• ein Hinweisschild vor dem erfassten Bereich mit Verantwortlichem, Zweck und Kontakt, nach dem Muster der Datenschutzkonferenz
• Aufnahmen nur kurz speichern und dann automatisch löschen
• den Betriebsrat des Standortgebers beteiligen, wenn die Kamera Beschäftigte erfassen kann

Der Standortgeber muss der Kamera zustimmen. Regeln Sie im Aufstellungsvertrag, wer Verantwortlicher ist und wer Aufnahmen einsehen darf.

So gehen Sie vor

1. Datenflüsse notieren: je Automat Zahlung, Telemetrie, App und Kamera erfassen.
2. Verträge prüfen: Unterlagen der Anbieter auf Auftragsverarbeitung prüfen und ablegen.
3. Zugänge sichern: Portal-Zugänge je Person anlegen und Passwörter sicher verwahren.
4. Kamera nur mit Plan: Abwägung dokumentieren, Blickwinkel begrenzen, Schild anbringen, Löschfrist einstellen.
5. Informieren: Datenschutzhinweise bereitstellen, etwa per QR-Code am Automaten.

Checkliste

• Datenflüsse je Automat dokumentiert
• Auftragsverarbeitung geregelt, wo nötig
• Zugänge personenbezogen und geschützt
• Kamera nur mit Abwägung, Schild und Löschfrist
• Datenschutzhinweise am Gerät erreichbar

Quellen

• Datenschutz-Grundverordnung (DSGVO), Art. 6 Abs. 1 Buchstabe f, Art. 12 ff., Art. 28, Art. 30 und Art. 32
• Bundesdatenschutzgesetz (BDSG), § 4, und Bundesverwaltungsgericht zur Videoüberwachung durch Private
• Datenschutzkonferenz (DSK): Orientierungshilfe „Videoüberwachung durch nicht-öffentliche Stellen“ mit Musterschildern
• Betriebsverfassungsgesetz (BetrVG), Mitbestimmung bei technischen Überwachungseinrichtungen

Wie Sie den Vertrag mit dem Zahlungsanbieter vorbereiten, zeigen die Anleitungen Nayax-Konto eröffnen und freischalten und Nayax Core: Maschine und Gerät einrichten im Hilfe-Center; was die Telemetrie liefert, beschreibt der Beitrag Telemetrie: Bestand und Verkäufe aus der Ferne. Antworten auf Einzelfragen finden Sie unter den häufigen Fragen zur Zahlung.