# Stripe Data Processing Agreement — Snapshot

**Quelle:** https://stripe.com/legal/dpa
**Snapshot-Datum:** 18. Mai 2026
**Original-Stand:** 18. November 2025

> ⚠ Zusammenfassung. Vollständiger Wortlaut bei Stripe.

---

## Vertragspartner für Pulse

Für Pulse (Essential Advertising GmbH, Deutschland) gilt:
- **Stripe Payments Europe, Limited (SPEL)** — Dublin, Irland (EU)
- Keine Drittland-Übermittlung im Regelfall (EU-Entität)

---

## Stripe's Doppelrolle

### Als Processor (Auftragsverarbeiter)
- Verarbeitung im Auftrag des Users zur "Service-Bereitstellung der Stripe-Plattform"
- Bereitstellung der Stripe-Produkte + Services für den User

### Als Controller (eigener Verantwortlicher)
- Fraud-Detection
- Compliance-Screening
- Finanz-Risiko-Bewertung
- Service-Improvement

---

## User-Pflichten (= Pulse)

- Nur **rechtmäßige Weisungen** an Stripe
- Compliance mit allen anwendbaren Datenschutz-Gesetzen
- **Einwilligungen** der Data Subjects einholen, bevor Daten an Stripe übergeben werden

---

## Stripe-Pflichten (Processor-Teil)

### Vorfall-Meldung
- Daten-Vorfälle werden "ohne unangemessene Verzögerung" gemeldet
- DSGVO/UK-GDPR-betroffene Vorfälle: **maximal 48 Stunden**

### Subprozessoren
- **30 Tage Vorlauf** bei neuen Subprozessoren
- User-Widerspruchsrecht aus berechtigten Gründen

### Betroffenenrechte
- Stripe unterstützt bei Auskunfts-, Korrektur-, Lösch- und Portabilitäts-Anfragen

---

## Sicherheits-Framework

- **Jährliche Datenschutz-Schulung** für alle Mitarbeiter
- **AES-256** at Rest, **TLS 1.2+** in Transit
- Physische Zugangskontrolle via Third-Party-Rechenzentren
- **PCI DSS Level 1** Zertifizierung
- Jährliche **SOC 1 + SOC 2** Auditberichte

---

## Akzeptanz-Mechanismus

Für EU-Kunden (Essential Advertising GmbH): **automatisch beim Stripe-Account-Anlegen** akzeptiert.
Stripe ist die einzige EU-Entität in unserer Subprozessor-Liste — keine zusätzlichen Drittland-Mechanismen nötig.

---

## Pulse-Setup

- **Account:** Essential Advertising GmbH (über Stripe Payments Europe Limited)
- **Status:** Stripe in Beta-Phase aktuell deaktiviert (keine Zahlungen)
- **Daten:** wenn aktiv: Stripe-Customer-ID, Subscription-ID, Rechnungsanschrift, USt-IdNr.
- **NIE übermittelt an Pulse:** Karten-/Kontodaten (verbleiben bei Stripe)
- **Aufbewahrung:** Rechnungsdaten 10 Jahre (§147 AO, §257 HGB)