Sicherheit
Was wir halten, wo es liegt und welche Regeln gelten
Eine Closed-Loop-Plattform steht regulatorisch ungewöhnlich da: Sie bewegt Geld, ohne Kartendaten zu berühren und ohne eine Bank zu sein. Diese Seite sagt klar, was das für Datenschutz, Lizenzierung und den Umfang Ihrer eigenen Pflichten bedeutet.
Updated
Updated
Drei Dinge, bei denen Genauigkeit lohnt
Datenschutz. Die GDPR-Konformität ist in die Plattform eingebaut und nicht an den Rändern ergänzt: Datenminimierung, Auskunftsrecht, Recht auf Löschung, Portabilität und Einwilligungsverwaltung, mit Rechenzentren in der EU als Standard und verfügbaren Auftragsverarbeitungsverträgen. Daten werden nie verkauft, an Dritte weitergegeben oder für Werbung genutzt.
Lizenzierung. Closed-Loop-Programme laufen unter der PSD2-Ausnahme für begrenzte Netze und vergleichbaren Regelungen anderswo — deshalb brauchen die üblichen Fälle keine EMI-Lizenz. Wenn ein Programm an den Rand dieser Ausnahme gerät — ein Händlernetz, das breit genug ist, um nicht mehr begrenzt zu sein —, sagen wir das während des Entwurfs und nicht nach dem Start.
PCI DSS. Der Closed-Loop-Ablauf bewegt Guthaben zwischen Konten in unserem Journal und berührt nie eine Kartennummer. Das heißt, er erweitert Ihren PCI-Umfang nicht: Kartendaten bleiben die Domäne Ihres PSP, und 7Konto steht als separate Zahlungsmethode daneben.
- Von PSD3 wird erwartet, dass es die Closed-Loop-Regeln verschärft und konforme Programme bestandsgeschützt lässt; wir verfolgen das und informieren Partner rechtzeitig vor jeder strukturellen Änderung.
- Die gesamte Kommunikation ist im Transport verschlüsselt, und der Zugriff auf den Adminbereich ist rollenbasiert und protokolliert.
- Händler- und Karteninhaberdaten gehören Ihnen und dem Händler — wir verarbeiten sie, wir besitzen sie nicht.
Was wir von einem Partner erwarten
- 01
Das Netz beschreiben
Welche Händler den Wert annehmen, damit sich die Position als begrenztes Netz ehrlich beurteilen lässt.
- 02
Die Datenflüsse abstimmen
Was aus Ihren Systemen geladen wird, was wir zurückgeben und was gespeichert bleibt.
- 03
Den AVV unterschreiben
Einen Auftragsverarbeitungsvertrag über die Verarbeitung, die wir in Ihrem Auftrag vornehmen.
- 04
Uns auf dem Laufenden halten
Wenn sich das Händlernetz wesentlich verbreitert, muss die regulatorische Position überprüft werden, bevor sie ein Problem wird.
Details
- Hosting
- EU als Standard; andere Regionen auf Anfrage
- Verschlüsselung
- Im Transport, durchgehend
- Zugriffskontrolle
- Rollenbasiert, je Mandant, protokolliert
- Speicherdauer
- Je Programm, konfigurierbar, standardmäßig minimiert
- Datenverkauf
- Nie — keine Werbung, keine Weitergabe an Dritte
- Unterauftragsverarbeiter
- Im Auftragsverarbeitungsvertrag offengelegt
Fragen dazu
Brauche ich eine EMI- oder Banklizenz?
Für die üblichen Closed-Loop-Fälle nicht: Geschenkkarten, Benefit-Konten für Mitarbeitende, Gastkonten im Hotel, Zahlungen auf Veranstaltungen. Sie fallen unter die Ausnahme für begrenzte Netze in PSD2 und vergleichbare Regelungen anderswo. Wenn ein Programm an den Rand dieser Ausnahme gerät — etwa bei einem sehr breiten Händlernetz —, sagen wir das, bevor es gebaut wird, nicht danach.
Ist 7Konto GDPR-konform?
Ja, und zwar eingebaut statt nachträglich angeschraubt: Datenminimierung, Recht auf Löschung, Auskunftsrecht, Portabilität und Einwilligungsverwaltung. Standardmäßig Rechenzentren in der EU, Auftragsverarbeitungsverträge verfügbar.
Wo werden Kundendaten gespeichert?
Standardmäßig in Rechenzentren in der EU, was GDPR unkompliziert hält und die Latenz für europäische Händler niedrig. Andere Regionen sind verfügbar, wo ein Kunde sie braucht. Daten werden nie verkauft, an Dritte weitergegeben oder für Werbung genutzt.
Wie greift PSD2, und was ist mit PSD3?
Closed-Loop-Programme laufen unter der Ausnahme für begrenzte Netze in PSD2, und wir helfen Partnern, ihre Einführung so zu strukturieren, dass sie darin bleibt. Von PSD3 wird erwartet, dass es die Regeln verschärft und bestehende konforme Programme bestandsgeschützt lässt; wir verfolgen das und informieren Partner rechtzeitig vor jeder strukturellen Änderung.
Was ist mit PCI DSS im Onlineablauf?
Der Onlineablauf berührt niemals Kartennummern — er bewegt Guthaben zwischen Closed-Loop-Konten, was regulatorisch etwas anderes ist als die Verarbeitung von Open-Loop-Karten. PCI DSS gilt für Kartendaten, und die bleiben in der Verantwortung Ihres PSP; 7Konto steht als separate Zahlungsmethode daneben.
Stellen Sie uns die Compliance-Frage, bevor Sie bauen
Ein kostenloser 30-Tage-Pilot, eingerichtet und begleitet von unserem Team.