Diese Datenschutzerklärung informiert Sie (im Folgenden „Nutzer“, „Sie“, „Ihnen“, „Ihrer“) über die Verarbeitung Ihrer personenbezogenen Daten bei der Nutzung der Mobile App „Mobiles Bezahlen“ (die „App“) zur Teilnahme an unserer Bezahlplattform. 

Die S-Payment GmbH, Am Wallgraben 115, 70565 Stuttgart (im Folgenden „S-Payment“) ist Verantwortliche im Sinne der Datenschutzgrundverordnung für die Verarbeitung Ihrer personenbezogenen Daten bei der Nutzung der App für mobile Endgeräte mit Android-Betriebssystemen, soweit nicht bei besonderen Anwendungen sonstige Anbieter datenschutzrechtlich verantwortlich sind und hierauf hingewiesen wird. Weitere Informationen zur App finden Sie auch in den Lizenz- und Nutzungsbedingungen, abrufbar in dieser App unter „Rechtliches“.

Datenschutzrechtlich Verantwortliche für die im Zusammenhang mit der in die App standardisiert eingebundenen Anwendung „Digitale Karten“ und den Einsatz der vom Nutzer hinterlegten digitalen Karten verarbeiteten personenbezogenen Daten sind je nach Verarbeitungsvorgang entweder S-Payment, das Institut (das Sie in der App über die Eingabe der BLZ/BIC oder des Namens des entsprechenden Instituts ausgewählt haben; siehe dazu unten Ziffer 2.d)), die Akzeptanzstellen oder der Betreiber des jeweiligen Geldautomaten. Für weitere Informationen betreffend die Institute siehe auch Ziffer 6.b).

Die App bündelt Funktionen und Anwendungen (insbesondere Zahlungsanwendungen) von Dritten, der Star Finanz-Software Entwicklung und Vertriebs GmbH und S-Payment und stellt technische Unterstützungsleistungen bereit, damit sich der Nutzer Zugang zu diesen Anwendungen verschaffen kann. So können Sie mithilfe der App verschiedene Anwendungen bzw. Zahlungsanwendungen, wie sie Ihnen von Ihrer Bank oder Sparkasse (zusammen „Institute“) nach Maßgabe der Vertragsbedingungen, Nutzungshinweise und -voraussetzungen Ihres Instituts (die „Instituts-Services“) oder von Drittanbietern angeboten werden, durch Auswahl und Registrierung in der App einbinden (Institute und Drittanbieter zusammen auch „Anbieter“; Instituts-Services und die Anwendungen bzw. Zahlungsanwendungen von Drittanbietern zusammen auch die „Services“). Welche Services konkret Gegenstand der App sein können, ist den in der App dazu angezeigten Auswahlfenstern zu entnehmen. Die App stellt Funktionen für den einfachen und komfortablen Einsatz der Services zur Verfügung.

Mittels der in die App standardisiert eingebundenen Anwendung „Digitale Karten“ können Nutzer digitale Versionen ihrer bereits vorhandenen physischen Zahlungskarten (wie Sparkassen-Card (Debitkarte) – ggf. auch als Debitkarte mit Debit-Funktionalitäten im Rahmen von fremden Debitkartensystemen (Debit Mastercard / „DMC“ und Visa Debit / „VID“), Mastercard/Visa Card (Kreditkarte), bzw. Mastercard Basis/Visa Basis Card (Debitkarte)), wie sie ihnen von ihrem Institut nach Maßgabe der Kartenbedingungen, Nutzungshinweise und -voraussetzungen des Instituts angeboten werden (die „digitale Karte“), auf Basis der sog. HCE-Technologie (Host Card Emulation) in einer Art digitalen Brieftasche hinterlegen, um mit ihren mobilen Endgeräten (z.B. Smartphone, Tablet) an POS-Kassensystemen von Unternehmen und bei Online-Händlern, die diese digitalen Karten akzeptieren („Akzeptanzstellen“), oder mobil bei Käufen in Apps zu bezahlen oder Barabhebungen- bzw. -einzahlungen an einem Geldautomaten vorzunehmen. 

Die in die App standardisiert eingebundene Anwendung „Digitale Karten“ dient ausschließlich als digitales Aufbewahrungsmittel für die vom Nutzer hinterlegten digitalen Karten (entsprechend einer Geldbörse bei physischen Zahlungskarten). S-Payment ist mit Blick auf die Integration der digitalen Karten in die Anwendung und die Unterstützung entsprechender Zahlungsvorgänge mittels der digitalen Karte des Instituts lediglich technischer Dienstleister und hat insbesondere keine Kontrolle über die auf den hinterlegten digitalen Karten enthaltenen Informationen bzw. die durch die Nutzer auf Basis der digitalen Karten ausgeführten Transaktionen. Ausschließlich das Institut, das die digitale Karte herausgibt, erbringt die Zahlungsdienstleistung der Kartenzahlung. Ein Vertrag über den Einsatz der digitalen Karte, die in der Anwendung hinterlegt wird, besteht jeweils ausschließlich zwischen dem Nutzer und seinem Institut nach Maßgabe der Kartenbedingungen, Nutzungshinweise und -voraussetzungen.

Die App dient im Übrigen ausschließlich als Plattform für die technische Einbettung von entsprechenden vom Nutzer ausgewählten Services.  

S-Payment erbringt keine Zahlungsdienstleistungen, nicht gegenüber dem Nutzer und auch nicht in unterstützender Weise für Zahlungsdienstleister und ist auch nicht zur Ausführung, Auslösung oder Abwicklung von Zahlungen beauftragt.

Verantwortliche für die Datenverarbeitung im Rahmen der Erbringung von Zahlungsdienstleistungen sind ausschließlich die jeweiligen Anbieter.  

Beim Download der App übermitteln Sie personenbezogene Daten an den Anbieter des jeweiligen App Stores (Google Play Store oder Apple App-Store), jedoch nicht an S-Payment. Für die Verarbeitung personenbezogener Daten durch den Anbieter des App Stores ist die S-Payment nicht verantwortlich.

Wir erhalten Einsicht in die statistische Auswertung über Downloads unserer App. Beispielsweise erhalten wir Informationen darüber, welche Betriebssysteme eingesetzt werden und welche Version diese aufweisen. Es handelt sich dabei um anonyme Daten. Eine Zusammenführung dieser anonymen Daten mit Ihren personenbezogenen Daten nehmen wir nicht vor. 

Wenn Sie eine Bewertung und/oder einen Kommentar zu unserer App im jeweiligen App Store veröffentlichen, verarbeiten wir personenbezogene Daten (z. B. Ihren Nutzernamen) von Ihnen, indem wir Einsicht in Ihre veröffentlichte Bewertung nehmen.  

Wir speichern die Bewertungen (Anzahl der Sterne und Kommentar) in einer anonymen Auswertung zu Zwecken des Qualitätsmanagements und zur Verbesserung unserer App. Rechtsgrundlage für die Verarbeitung Ihrer personenbezogenen Daten bei der Einsichtnahme in die Bewertungen unserer App und Anonymisierung für die Speicherung ist Art. 6 Abs. 1 Satz 1 lit. f) DSGVO. Im Rahmen einer Interessensabwägung sind wir vor dem Hintergrund, dass es sich bei Ihrer Bewertung um eine freiwillig von Ihnen veröffentlichte Information handelt, zu dem Schluss gekommen, dass Ihre Interessen und Grundrechte unsere Interessen in diesem Fall nicht überwiegen.  

Um die App nutzen zu können, müssen Sie diese zunächst einrichten und vor der ersten Verwendung den Lizenz- und Nutzungsbedingungen der App zustimmen. Das Anlegen eines Nutzerkontos ist beim Einrichten der App nicht erforderlich. Des Weiteren ist es für die Nutzung der App erforderlich, dass Sie die BLZ/BIC oder den Namen des entsprechenden Instituts in der App eingeben, damit die App eine Verbindung mit Ihrem Institut herstellen kann. Die Bankleitzahl wird zu diesem Zweck gespeichert. Für die oben genannten Verarbeitungsvorgänge ist die S-Payment verantwortliche Stelle. Sie werden außerdem aufgefordert, eine App-PIN zum Schutz Ihrer App frei zu wählen. Bitte verwenden Sie hierfür keine von Ihnen bereits genutzte PIN, insbesondere nicht die PIN Ihrer Sparkassen-Card (Debitkarte) (ggf. auch als DMC oder VID), Mastercard/Visa Card (Kreditkarte), bzw. Mastercard Basis/Visa Basis Card (Debitkarte), Ihres Online-Banking-Zugangs oder Ihres Endgeräts (z. B. Ihres Smartphones). Aus Gründen der Sicherheit wird die PIN lokal aber nicht im Klartext auf Ihrem Endgerät in einem sicheren Bereich gespeichert.

Bei der Verwendung der App ist in der Regel ein Verbindungsaufbau zum Internet erforderlich, beispielsweise um Ihnen Inhalte in der App zur Verfügung zu stellen oder Sicherheitsabfragen vorzunehmen sowie für die Aktivierung. Dabei verarbeitet die App die IP-Adresse des Endgeräts und weitere vorgangsbezogene Daten.

Die vorgangsbezogenen Daten werden zu Zwecken der Sicherheit und einer ggf. erforderlichen Sicherheitsüberprüfung in Logfiles (Protokollen) für die Dauer von einem Jahr gespeichert. Eine darüber hinausgehende Verarbeitung dieser Daten findet nicht statt.

Rechtsgrundlage für die Verarbeitung Ihrer personenbezogenen Daten bei der Erhebung von Logfiles ist Art. 6 Abs. 1 Satz 1 lit. f) DSGVO. Im Rahmen einer Interessenabwägung sind wir vor dem Hintergrund, dass die vorgangsbezogenen Daten im Rahmen des Verbindungsaufbaus zum Internet stets verarbeitet und kurzzeitig zu – den auch in Ihrem Interesse liegenden- Zwecken der Sicherheit und Sicherheitsprüfung vorgehalten werden, zu dem Schluss gekommen, dass Ihre Interessen und Grundrechte unsere Interessen in diesem Fall nicht überwiegen.

aa. Für die im Folgenden unter dieser Ziffer 2. d) aa. dargestellten Verarbeitungsvorgänge (einschl. Übermittlungen an Dritte) ist Ihr kartenausgebendes Institut, die jeweilige Akzeptanzstelle bzw. der jeweilige Betreiber des Geldautomaten oder die Kreditkartenunternehmen Mastercard und Visa verantwortliche Stelle. Soweit die S-Payment in diesem Zusammenhang Daten verarbeitet, handelt sie dabei lediglich als Auftragsverarbeiter des entsprechenden Instituts. 

Um eine digitale Karte zur Nutzung in der App abzurufen, müssen Sie in einem weiteren Schritt über die allgemeine Online-Banking-Schnittstelle zu Ihrem Institut die Onlinebanking-Zugangsdaten Ihres Instituts (Benutzername, Passwort) angeben. Diese Daten werden nicht durch S-Payment, sondern durch Ihr Institut in gleicher Weise wie bei einem allgemeinen Zugriff auf Ihre Online-Banking-Anwendung verarbeitet. Bitte beachten Sie auch die Datenschutzhinweise Ihrer Sparkasse. 

Nach der Eingabe der Online-Banking-Zugangsdaten wird dem Nutzer eine Auswahl von Karten in der App angezeigt, die der Nutzer als digitale Karten zur Nutzung in der App aktivieren kann. Der Nutzer kann eine oder mehrere dieser digitalen Karten nach Maßgabe der Nutzungsvoraussetzungen und Hinweise seines Instituts auswählen. Wenn er eine digitale Karte auswählt, werden die physisch sichtbaren Kartendaten (Kartennummer, Ablaufdatum) mit der digitalen Karte sowie die zum Einsatz der digitalen Karte herunterzuladenden Bezahlschlüssel in der App hinterlegt, damit die digitalen Karten für Zahlungseinsätze verwendet werden können. Die Hinterlegung in der App erfolgt dabei konkret in der Anwendung in der dort hinterlegten abgesicherten Softwareinstanz (SDK), die von der S-Payment als technischer Dienstleisterin des jeweiligen kartenausgebenden Instituts zur Verfügung gestellt wird. 

Bestimmte von den Instituten ausgegebene physische Karten (zurzeit Mastercard/Visa Card (Kreditkarte), bzw. Mastercard Basis/Visa Basis Card (Debitkarte)) können aus Sicherheitsgründen nach den Vorgaben der Kartensysteme nur in einem bestimmten territorialen Bereich auch als digitale Karte abgerufen werden. Ggf. wird im Zusammenhang mit der Auswahl von solchen Karten (vgl. zum Auswahlvorgang die Ausführungen im vorherigen Absatz) daher für das Institut beim Abruf einer digitalen Karte der Standort des Nutzers anhand von GPS-Daten ermittelt, um sicherzustellen, dass der Nutzer, der diese Karten aktivieren möchte, sich nicht in Ländern befindet, in denen die im Zusammenhang mit der Anwendung angebotenen digitalen Karten nicht ausgewählt werden können. Diese Standortdaten werden zu dem vorgenannten Zweck zusammen mit der dazugehörigen (Kredit-)Kartennummer des Nutzers an die entsprechende Kartengesellschaft (wie z. B. Mastercard) weitergeleitet. 

Im Zusammenhang mit der Anwendung wird eine bestimmte Root-Detection-Technologie verwendet, um die Anwendung und Ihre Daten vor der missbräuchlichen Erweiterung von Schreib- und Leserechten durch den Nutzer selbst bzw. durch Dritte zu schützen. Bei einer Root-Detection-Prüfung handelt es sich um eine lokal in der Anwendung vorgenommene Prüfung zu der Frage, ob für das entsprechende Endgerät erweiterte Schreib- und Leserechte (Rooting) eingeräumt wurden. In diesem Zusammenhang werden von S-Payment und Ihrem Institut grundsätzlich keine personenbezogenen Daten verarbeitet. Es wird in diesem Zusammenhang aber aus Missbrauchs- und Betrugsbekämpfungszwecken im Fall eines erkannten Rootings die Information in der Anwendung verarbeitet, dass ein entsprechendes Rooting stattgefunden hat. Zudem wird das Ergebnis der Rooting-Prüfung zu Missbrauchs- und Betrugsbekämpfungszwecken ggf. an die relevanten Kartengesellschaften übermittelt (zurzeit betrifft dies Visa). 

Bei diesen Kartengesellschaften handelt es sich zum Teil um Unternehmen mit Sitz in der EU sowie mit einem Hauptsitz in den USA (zurzeit Mastercard und Visa). Die vorstehend in Ziffer 2. d) aa) genannten Daten und ggf. auch weitere Daten betreffend die Abwicklung einer Zahlung werden von den entsprechenden Kartengesellschaften (zu den vorgenannten bzw. entsprechenden Zwecken) ggf. in den USA verarbeitet (mit Blick auf die entsprechenden Verarbeitungen durch diese Kartengesellschaft sind die jeweiligen Kartengesellschaften selbst die verantwortliche Stelle im datenschutzrechtlichen Sinn). Teilweise verwenden diese Kartengesellschaften mit den Datenschutzbehörden abgestimmte sog. verbindliche interne Datenschutzvorschriften (Binding Corporate Rules), die sicherstellen, dass ein angemessenes Datenschutzniveau mit Blick auf Ihre in den USA verarbeiteten Daten besteht. Weitergehende Informationen zu diesen verbindlichen internen Datenschutzvorschriften erhalten Sie von den entsprechenden Kartengesellschaften. 

Soweit Kartengesellschaften personenbezogene Daten des Nutzers in den USA verarbeiten, wird ein angemessenes Datenschutzniveau regelmäßig dadurch sichergestellt, dass entsprechende sog. EU-Standardvertragsklauseln beziehungsweise verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) verwendet werden, die gewährleisten, dass ein entsprechendes Schutzniveau erreicht wird. Weitere Informationen zu den entsprechenden Regelungen erhalten Sie von den entsprechenden Kartengesellschaften. 

Darüber hinaus ist eine Übermittlung der Zahlungsabwicklungsdaten an diese Unternehmen für die Abwicklung entsprechender Mastercard-/ Visa-Zahlungen (d.h. Zahlungen mit Mastercard/Visa Card (Kreditkarte), Mastercard Basis/Visa Basis Card (Debitkarte) oder mit der Debitfunktionalität von Mastercard bzw. Visa, soweit Ihre Sparkassen-Card mit einer Debit Mastercard (DMC) oder Visa Debit (VID) Funktion ausgestattet ist) erforderlich. 

bb. Um eine digitale Karte hinzuzufügen und für Zahlungen bei Akzeptanzstellen oder Barabhebungen- bzw. -einzahlungen an einem Geldautomaten einsetzen zu können, müssen Sie über die allgemeine Online-Banking-Schnittstelle zu Ihrem Institut jeweils einmalig eine TAN (Transaktionsnummer) Ihres Instituts eingeben, damit das Institut verifizieren kann, dass es sich tatsächlich um den berechtigten Nutzer handelt, der sich mit den Online-Banking-Zugangsdaten in der App angemeldet hat. Diese TAN wird in der App nicht gespeichert. 

Ggf. müssen Sie nach den Kartenbedingungen Ihres Instituts am Geldautomaten Ihre kartenbezogene Geheimzahl Ihres Instituts (PIN) wie bei einem Einsatz der physischen Karte eingeben, um eine Barabhebung- bzw. -einzahlung an einem Geldautomaten ausführen zu können.  

Eine Authentifizierung nach den Kartenbedingungen für individualisierte Authentifizierungsverfahren Ihres Instituts ist über die sog. Consumer Device Cardholder Verification Method (kurz: CDCVM) möglich. Als CDCVM bezeichnet man Methoden zur Authentifizierung des Nutzers über das mobile Endgerät des Nutzers unter Einsatz von Technologien zur Gesichtserkennung, zur Erkennung von Fingerabdrücken aber auch Entsperrcodes wie PIN- oder Mustereingabe. Eine Authentifizierung über CDCVM am Geldautomaten ist derzeit allerdings noch nicht möglich. 

Bitte beachten Sie, dass weder S-Payment noch Ihr Institut in diesem Zusammenhang entsprechende Daten erhebt und / oder speichert (z. B. Fingerabdruck oder PIN). Die entsprechenden Prozesse laufen vollständig innerhalb der in der Anwendung hinterlegten abgesicherten Softwareinstanz ab, in die die digitalen Karten abgelegt werden (SDK). Dieses SDK wird von der S-Payment GmbH als Dienstleister des jeweiligen kartenausgebenden Instituts zur Verfügung gestellt. Das SDK wird jedoch eine Transaktion nur dann freigeben, wenn die entsprechende Transaktion über eine der vorgenannten Authentifizierungsmethoden bestätigt wurde. Weitergehende Informationen zu den vorgenannten Authentifizierungsmethoden finden Sie in der Dokumentation zu Ihrem Android-Betriebssystem bzw. zu Ihrem mobilen Endgerät. 

Wenn Sie die digitale Karte zur Bezahlung von Waren oder Dienstleistungen bei einer Akzeptanzstelle (Händler) an der Kasse, im Online-Handel oder für Käufe in Apps oder für Barabhebungen- bzw. -einzahlungen an einem Geldautomaten verwenden, übermittelt Ihr mobiles Endgerät einen technisch notwendigen, die digitale Karte repräsentierenden Datensatz (der allerdings nicht den Namen des Nutzers enthält) an die Akzeptanzstelle bzw. an den Geldautomaten. 

Die Akzeptanzstelle bzw. der Betreiber des Geldautomaten übermittelt diese Daten sowie Zahlbetrag, Währung, Ort, Kassen- oder Terminal-ID, Zeitpunkt und Nummer des Vorgangs sowie Name und ggf. Filialbezeichnung der Akzeptanzstelle bzw. Standort des Geldautomaten an Ihr Institut bzw. an dessen technischen Dienstleister, damit die Zahlung oder Barabhebung- bzw. -einzahlung an einem Geldautomaten abgewickelt werden kann. 

Ihnen können in der Anwendung über die dort hinterlegte abgesicherte Softwareinstanz, in die die digitalen Karten abgelegt werden (SDK) ggf. bestimmte Informationen zu den von Ihnen durchgeführten Transaktionen zur Verfügung gestellt werden (insb. Bezahlbetrag und Bezahldatum), damit Sie einen Überblick über die bereits getätigten Transaktionen erhalten. Die entsprechenden Daten werden Ihnen von Ihrem Institut zur Verfügung gestellt. Bitte beachten Sie hierbei: Diese Transaktionshistorie stellt keinen rechtsgültigen Kontoauszug dar. Rechtsverbindliche Buchungen und Rechnungsabschlüsse erfolgen nur nach Maßgabe der Allgemeinen Geschäftsbedingungen Ihres Instituts. 

cc. Rechtsgrundlage für die in Ziffer 2. d) aa. und bb. genannte Verarbeitung und Übermittlung von personenbezogenen Daten durch S-Payment als Auftragsverarbeiter Ihres Institutes bzw. durch Ihr Institut ist Art. 6 Abs. 1 S. 1 lit. b) DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen).

Rechtsgrundlage für die in Ziffer 2. d) aa. Abs. 4 genannten Verarbeitungen und Übermittlungen von personenbezogenen Daten betreffend Ihren Standort ist Art. 6 Abs. 1 S. 1 lit. f) DSGVO (berechtigte Interessen; das berechtigte Interesse liegt darin, dass die entsprechende Kartengesellschaft [z. B. Mastercard oder Visa] den Einsatz seiner digitalen Karten räumlich einschränken können muss [z. B. aufgrund regulatorischer Vorgaben in einzelnen Ländern oder Vorgaben der Kartensysteme]. Zu diesem Zweck ist es notwendig, dass die entsprechende Kartengesellschaft bereits in einem frühen Stadium erkennen kann, ob sich ein Nutzer der App in einem Land befindet, in dem digitale Karten nicht ausgewählt bzw. verwendet werden können) und (je nach Fall) Art. 46 Abs. 2 lit. b) bzw. Art. 47 DSGVO (bzw. ggf. Art. 49 Abs. 1 lit. b und c DSGVO). 

Rechtsgrundlage für die in Ziffer 2. d) aa. Abs. 5 genannten Verarbeitungen und Übermittlungen von personenbezogenen Daten betreffend Root Detection ist (soweit es sich bei den in diesem Zusammenhang verarbeiteten Daten überhaupt um personenbezogene Daten handelt) Art. 6 Abs. 1 S. 1 lit. f) DSGVO (berechtigte Interessen; das berechtigte Interesse folgt aus dem in Ziffer 2. d) bb. Abs. 5 genannten Zweck – Missbrauchs- und Betrugsbekämpfung) und [je nach Fall] Art. 46 Abs. 2 lit. b) bzw. Art. 47 DSGVO (bzw. ggf. Art. 49 Abs. 1 lit. b) und c) DSGVO). 

dd. Für den Betrieb der in der Anwendung hinterlegten abgesicherten Softwareinstanz, in die die digitalen Karten abgelegt werden (SDK) bzw. für die im Zusammenhang mit dem Einsatz der digitalen Karte abzuwickelnden Bezahlvorgänge werden von der S-Payment als Auftragsverarbeiter der Institute bzw. von den Instituten ggf. externe Dienstleister eingesetzt, die personenbezogene Daten von Ihnen im Auftrag von S-Payment bzw. im Auftrag des Instituts verarbeiten. Diese Dienstleister (Auftragsverarbeiter) verarbeiten die Daten ausschließlich nach den Weisungen von

S-Payment bzw. von den Instituten. Rechtsgrundlage für die in diesem Punkt 2. b) dd. beschriebene Datenverarbeitung ist Art. 6 Abs. 1 S. 1 lit. b) DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen) und Art. 28 DSGVO (Auftragsverarbeiter).

ee. Soweit sich aus den übrigen Ausführungen dieser Datenschutzerklärung keine andere Speicherdauer ergibt, speichert S-Payment Ihre von S-Payment im Zusammenhang mit der Nutzung der Anwendung bzw. das jeweilige Institut Ihre vom Institut mit dem Einsatz der digitalen Karte erlangten personenbezogenen Daten i.d.R. für die Dauer des jeweiligen Vertragsverhältnisses mit Ihnen (siehe für weitere Informationen zur Dauer der relevanten Vertragsverhältnisse (i) die Regelungen zur Vertragsdauer in den Lizenz- und Nutzungsbedingungen der App, und (ii) in den Kartenbedingungen und Allgemeinen Geschäftsbedingungen des jeweiligen Instituts), danach nur, in dem Umfang und soweit S-Payment bzw. das jeweilige Institut dazu aufgrund zwingender gesetzlicher Aufbewahrungspflichten verpflichtet ist. Soweit S-Payment bzw. das jeweilige Institut Ihre Daten nicht mehr für die oben beschriebenen Zwecke benötigt, werden diese während der jeweiligen gesetzlichen Aufbewahrungsfrist lediglich gespeichert und nicht für andere Zwecke verarbeitet. 

ff. S-Payment und die Institute unterhalten aktuelle technische Maßnahmen zur Gewährleistung der Datensicherheit, insbesondere zum Schutz Ihrer personenbezogenen Daten vor Gefahren bei Datenübertragungen sowie vor Kenntniserlangung durch Dritte. Diese werden dem aktuellen Stand der Technik entsprechend jeweils angepasst. 

gg. Die S-Payment betreibt den sog. „Payment Profil Server“ und verarbeitet in diesem Rahmen personenbezogene Daten. Das Anlegen eines sog. „Payment Profils“ ist freiwillig. Anhand eines vorhandenen Payment Profils kann durch die Systeme bei der Authentifizierung einer Zahlung mit der girocard in giropay (E-Commerce) ein Abgleich ermöglicht werden, sodass eine explizite App eines Nutzer / einer Nutzerin zur Zahlungsaufforderung adressiert wird, um den Zahlungsvorgang zu erleichtern. Rechtsgrundlage 

Zu diesem Zweck übermittelt die S-Payment die personenbezogenen Daten, die in der App Mobiles Bezahlen über eine Eingabemaske erhoben wurden, an einen Subdienstleister. Bei diesem Subdienstleister handelt es sich um ein Unternehmen der Sparkassenfinanzgruppe zur Datenaufbereitung mit dem Verträge i. S. d. Art 28 DSGVO abgeschlossen wurden. Zur Erfüllung des vorgenannten Zwecks können alle beteiligten Entitäten von giropay auf die Payment Profile zugreifen, um einen Abgleich zu ermöglichen. Die S-Payment verarbeitet dabei folgende personenbezogene Daten: 

• E-Mail-Adresse
• durch den Nutzer / die Nutzerin festzulegender Name der App / des Gerätemodells (zur Wiedererkennung im Online-Shop)
• Identifikationsnummern (ProfileID, AppID, Cloud ID)
• Betriebssystem (iOS / Android)
• Bankleitzahl (BLZ)

Die S-Payment verarbeitet diese personenbezogenen Daten so lange das Payment Profil nicht gelöscht wird, das bedeutet bis zum Zurücksetzen der App, das Löschen des Profils in der App oder auf Anfrage entsprechend Ziffer 5 dieser Datenschutzerklärung. Im Fall, dass Ihre Sparkasse an der girocard im E-Commerce mit giropay nicht mehr teilnimmt, wird das Payment Profil ebenfalls gelöscht. 

Die S-Payment verarbeitet Ihre personenbezogenen Daten auf Grundlage Ihrer Einwilligung im Rahmen des Anlegens Ihres Payment Profils (Art. 6 Abs. 1 S. 1 lit. a DSGVO). 

Sie haben jederzeit das Recht, ihre Einwilligung zu widerrufen. Durch Löschen Ihres Payment Profils in der App Mobiles Bezahlen widerrufen Sie Ihre Einwilligung in die Verarbeitung Ihrer personenbezogenen Daten. 

hh. Die S-Payment verarbeitet im Rahmen des Payment Profil Servers zudem weiterhin personenbezogene Daten durch ein Audit-Log. In dieser fortlaufend automatisch geschriebenen Datei werden Abläufe dokumentiert, die Rückschlüsse über Vorgänge bzgl. der Profile ermöglichen. Im Fall einer Löschung eines Profils wird auch dieser Löschvorgang erfasst und im Audit-Log dokumentiert. Dadurch werden die personenbezogenen Daten des Profils (siehe Ziffer 2 d. gg.) für einen Zeitraum von 6 Monaten über die Löschung hinaus gespeichert, um den Löschvorgang zu dokumentieren und anschließend gelöscht. 

Die S-Payment verarbeitet Ihre personenbezogenen Daten auf Grundlage eines berechtigten Interesses an einer Dokumentation von Vorgängen mit Bezug auf personenbezogene Daten, insbesondere zu Nachweiszwecken (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Im Rahmen der Interessensabwägung ist die S-Payment zum Ergebnis gekommen, dass das Interesse der betroffenen Person am Schutz der personenbezogenen Daten das Interesse der S-Payment, datenschutzrechtlichen Grundsätzen nachzukommen und Nachweise führen zu können, nicht überwiegt, insbesondere da die Speicherung zeitlich begrenzt ist und das Anlegen eines Profils stets freiwillig ist. 

Neben der standardisiert eingebundenen Anwendung „Digitale Karten“ bündelt die App Services von verschiedenen Anbietern, die mithilfe der App genutzt werden können (vgl. Ziff. 1 Absatz 3). Für den Abruf, welche Services Ihnen von den Anbietern zur Verfügung gestellt werden, verarbeiten wir die Angabe, welches Institut Sie ausgewählt haben. Darüber hinaus ist es für die Zuordnung zu Ihrem Institut in der App erforderlich, dass Sie die die BLZ/BIC oder den Namen des entsprechenden Instituts eingeben oder hinzufügen, damit die App eine Verbindung mit Ihrem Institut herstellen kann. 

Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 Satz 1 lit. b) DSGVO 

Wir übermitteln als Ihr technischer Dienstleister bei der Nutzung der App personenbezogene Daten an nachfolgende Empfänger beziehungsweise Kategorien von Empfängern, damit diese Zahlungsdienstleistungen für Sie erbringen und Zahlungen auslösen, ausführen und abwickeln können.

Dabei handelt es sich um Verarbeitungsvorgänge, für die Ihr kontoführendes Institut verantwortliche Stelle ist.

Bitte beachten Sie auch die Datenschutzerklärung Ihres Institutes.

Wenn Sie die App auf dem Betriebssystem Android nutzen, setzen wir Teile der Google Firebase-Technologie von Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043 USA („Google“) ein.

Wir verarbeiten mit diesen Werkzeugen personenbezogene Daten von Ihnen. 

Firebase Crashlytics („FC“): Wir sammeln unter Einsatz von FC im Falle eines technischen Fehlers oder Absturzes der App Daten zu diesem konkreten Ereignis (z. B. welche Funktion der App, welche Betriebssystemversion und welche Art von Gerät der Nutzer im Zeitpunkt des Auftretens des Fehlers genutzt hat). Die in diesem Zusammenhang erhobenen Daten helfen uns, die App zu verbessern bzw. künftige Ausfälle und Störungen der App zu minimieren. Folgende personenbezogene Daten werden dabei verarbeitet:

• Crashlytics-Installations-UUIDs
• Absturzspuren

Diese personenbezogenen Daten werden 90 Tage lang gespeichert.

FC unterliegt den Nutzungsbedingungen für Firebase Crashlytics und wird von den zugehörigen Datenverarbeitungsbedingungen abgedeckt, abrufbar unter folgendem Link: 

https://firebase.google.com/terms/crashlytics-app-distribution-data-processing-terms/ 

Firebase Cloud Messaging („FCM“): FCM dient dazu, Push-Nachrichten (die nur innerhalb der App angezeigt werden) übermitteln zu können, damit wir dem Nutzer bestimmte (für ihn relevante Nachrichten) mitteilen können. Dabei wird dem mobilen Endgerät des Nutzers eine pseudonymisierte Firebase-Installations-IDs zugeteilt, die den Push-Nachrichten als Ziel dient. 

Firebase-Installations-IDs werden gespeichert, bis wir einen API-Aufruf zum Löschen der ID ausführen. Nach dem Aufruf werden die Daten innerhalb von 180 Tagen aus den Live- und Backup-Systemen entfernt. 

FCM unterliegt den Google APIs Terms of Service (Nutzungsbedingungen) und wird von den zugehörigen Datenverarbeitungs- und Sicherheitsbedingungen abgedeckt, abrufbar unter folgenden Links: 

https://developers.google.com/terms/ 

https://firebase.google.com/terms/data-processing-terms 

Rechtsgrundlage für die Verarbeitung Ihrer personenbezogenen Daten beim Einsatz von Firebase-Diensten ist Art. 6 Abs. 1 Satz 1 lit. f) DSGVO. Im Rahmen einer Interessenabwägung sind wir zu dem Schluss gekommen, dass Ihre Interessen und Grundrechte unser Interesse an der Verbesserung unserer App in diesem Fall nicht überwiegen, insbesondere da es sich um pseudonymisierte Daten handelt. 

Google ist für die Verarbeitung personenbezogener Daten in diesem Fall Auftragsverarbeiter. 

Die personenbezogenen Daten werden dabei auf den Servern bzw. über Server von Google verarbeitet und zu diesem Zweck in die USA übermittelt. Die sichere Verarbeitung personenbezogener Daten in einem Drittstaat geschieht dabei auf Grundlage der "Crashlytics und App Distributions DPST: Mustervertragsklauseln" abrufbar unter folgendem Link: 

https://firebase.google.com/terms/crashlytics-app-distribution-mcc 

Weitere Informationen zu diesen Google-Firebase-Diensten finden Sie auf den Webseiten von Google unter folgendem Link: 

https://firebase.google.com/support/privacy 

Google Analytics ist ein Webanalysedienst der Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland („Google“).

Google Analytics verwendet Cookies, die für statistische Zwecke eine Analyse der Benutzung dieser Website durch Sie ermöglichen. In unserem Auftrag wird Google diese Informationen benutzen, um Reports über die Nutzung der Website zusammenzustellen und um weitere verbundene Dienstleistungen zu erbringen.

Darüber hinaus wird Google Analytics mit seinen entsprechenden Werbefunktionen zu Marketingzwecken analysieren, wie viele Nutzerbrowser bspw. eine spezifische Produktseite aufgerufen haben. Anhand dieser Informationen können entsprechende Zielgruppen gebildet werden. Zusätzlich werden Daten hinzugefügt von angemeldeten Google-Produkte-Nutzern, wenn diese ihre Zustimmung zur Verknüpfung ihres Web- und App-Browserverlaufs von Google mit ihrem Google-Konto erteilt haben und Informationen aus ihrem Google-Konto zum Personalisieren von Anzeigen verwendet werden. Auch auf Basis demografischer Merkmale können Berichte erstellt oder zielgerichtete Ansprachen erfolgen. Dies findet allerdings immer nur dann statt, wenn Google-Produkte-Nutzer eine entsprechende Einwilligung erteilt haben. Dies erfolgt bei Nutzern mit einem Google-Account bei Akzeptanz der Nutzungsbedingungen während des Registrierungsprozesses und kann über die dortigen Einstellungen verwaltet werden. Google-Produkte-Nutzer ohne Google-Account haben auf den Webseiten oder in Apps von solchen Dritten, die Werbung von Google einsetzen, die Möglichkeit ihre Zustimmung zur Erhebung demografischer Merkmale zu erteilen. Wird die Zustimmung nicht erteilt, können diese Daten auch nicht verarbeitet und an uns vermittelt werden. Informationen zum Datenschutz und zu den Nutzungsbedingungen bei Google finden Sie hier https://www.google.de/intl/de/policies/privacy. 

Die durch Ihre Benutzung dieser Website erzeugten Informationen können auch an einen Server von Google in den USA übertragen und dort gespeichert werden. 

Im Rahmen der für diese Website aktivierten IP-Anonymisierung wird jedoch Ihre IP-Adresse von Google vor Speicherung gekürzt. Dadurch können die übermittelten Informationen nicht mehr einer einzelnen Person zugeordnet werden. 

Für den datenschutzkonformen restriktiven und sicheren Einsatz für Google Analytics bestehen innerhalb der Sparkassen-Finanzgruppe Vereinbarungen gem. Art. 28 DSGVO, welche u. a. die frühzeitige IP-Anonymisierung festlegen. Zudem wurden mit Google Individualvereinbarungen getroffen, die vorsorglich – nämlich trotz bestehender, möglichst frühzeitiger Anonymisierung – sicherstellen, dass Google Informationen, die aus der Analyse des Nutzerverhaltens von Kunden aus der Sparkassen-Finanzgruppe gewonnen werden, nicht für eigene Zwecke nutzen darf. 

Die im Rahmen von Google Analytics verarbeiteten und mit Cookies verknüpften Daten werden nach 26 Monaten automatisch gelöscht. 

Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 Satz 1 lit. a DSGVO. 

Bei jeder Verwendung der Anwendung Card Control, müssen Sie über die allgemeine Online-Banking-Schnittstelle zu Ihrem Institut die Onlinebanking-Zugangsdaten Ihres Instituts (Benutzername, Passwort) angeben. Diese Daten werden nicht durch S-Payment, sondern durch Ihr Institut in gleicher Weise wie bei einem allgemeinen Zugriff auf Ihre Online-Banking-Anwendung verarbeitet. Dies geschieht zu Identifikationszwecken, um Ihnen Ihre Karten anzuzeigen und diese mit den Funktionen von Card Control verwalten zu können. Bitte beachten Sie auch die Datenschutzhinweise Ihrer Sparkasse. 

Für die Verarbeitung von personenbezogenen Daten, die im Rahmen der Nutzung der App stattfinden, werden von der S-Payment ggf. externe Dienstleister (Auftragsverarbeiter) eingesetzt, die personenbezogene Daten von Ihnen im Auftrag der S-Payment verarbeiten. Mit diesen Dienstleistern wurden Auftragsverarbeitungsverträge geschlossen und die Dienstleister verarbeiten Ihre personenbezogenen Daten ausschließich gemäß den Weisungen der S-Payment.

Soweit sich aus den übrigen Regelungen dieser Datenschutzerklärung keine andere Speicherdauer ergibt, speichert S-Payment die im Zusammenhang mit der Nutzung der App erhobenen personenbezogenen Daten i. d. R. für die Dauer des jeweiligen Vertragsverhältnisses mit Ihnen (siehe für weitere Informationen zur Dauer die Regelungen zur Vertragsdauer in den Lizenz- und Nutzungsbedingungen der App). 

Darüber hinaus speichert S-Payment Ihre personenbezogenen Daten nur in dem Umfang, solange zwingende gesetzliche Aufbewahrungspflichten dies vorschreiben. Soweit S-Payment Ihre personenbezogenen Daten nicht mehr für die vorgenannten Verarbeitungszwecke benötigt, werden sie während der jeweiligen gesetzlichen Aufbewahrungsfrist lediglich gespeichert und nicht für andere Zwecke verarbeitet und ggf. gesperrt

Sie haben das Recht, von der S-Payment jederzeit Auskunft darüber zu erhalten, ob personenbezogene Daten von Ihnen verarbeitet werden.

Soweit die gesetzlichen Voraussetzungen vorliegen, haben Sie gegenüber S-Payment ferner Rechte auf Berichtigung und/oder Vervollständigung, Löschung bzw. Einschränkung der Verarbeitung der entsprechenden personenbezogenen Daten, Datenübertragbarkeit sowie das Recht, der Verarbeitung Ihrer personenbezogenen Daten durch S-Payment bzw. durch das entsprechende Institut zu widersprechen. Wenn Sie eine Einwilligung zur Nutzung von personenbezogenen Daten erteilt haben, können Sie diese jederzeit (für die Zukunft) widerrufen.

Wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten durch S-Payment gegen das anwendbare Daten-schutzrecht verstößt, haben Sie das Recht, sich bei einer Aufsichtsbehörde für den Datenschutz zu beschweren

a) Sie können mit S-Payment unter folgender Adresse in Kontakt treten:

S-Payment GmbH | Am Wallgraben 115 | 70565 Stuttgart

E-Mail: info@s-payment.com | Telefon: +49 711 78299-0

Für Fragen zum Thema Datenschutz bei S-Payment (einschl. der Geltendmachung Ihrer Rechte nach Ziffer 5) können Sie sich auch direkt an den Datenschutzbeauftragten der S-Payment wenden. Die Kontaktdaten des Datenschutzbeauftragten sind:  

S-Payment GmbH | Datenschutzbeauftragter | Am Wallgraben 115 |  70565 Stuttgart

E-Mail: datenschutz@s-payment.com

b) Weitere Informationen zu Ihrem kartenausgebenden Institut (insb. die Kontaktdaten) finden Sie in den Einstellungen der App unter dem Punkt „Kontakt“ – „Meine Sparkasse“. Dort finden Sie u. a. auch einen Link zu der Webseite des entsprechenden Instituts. Auf dieser Webseite finden Sie unter dem Punkt „Datenschutz“ die Kontaktdaten des Datenschutzbeauftragten des jeweiligen Instituts, an den Sie sich mit Ihren Fragen zum Thema Datenschutz wenden können (etwa zur Geltendmachung Ihrer Rechte nach Ziffer 5).

Weitergehende datenbezogene Informationen finden Sie auch unter:

https://www.sparkasse.de/unsere-loesungen/privatkunden/bezahlverfahren/mobiles-bezahlen.html