Datenschutz beim Online-Bezahlen: Welche Daten fließen

Beim Online-Bezahlen geht es beim Datenschutz selten um die Frage, ob Daten anfallen. Sie fallen immer an. Die Frage ist, welche Art von Daten das sind und wie lange sie dich identifizierbar machen.

Genau daran unterscheiden sich die Verfahren. Und genau dieser Unterschied treibt eine Mehrheit der Menschen in Deutschland um: 58 Prozent der Befragten nennen den Schutz der Privatsphäre als Vorteil von Bargeld — mehr als jeden anderen Punkt, auch mehr als die bessere Ausgabenkontrolle.

Datenschutz beim Online-Bezahlen: die drei Ebenen

Es hilft, drei Ebenen zu trennen, weil sie oft durcheinandergehen.

Die erste Ebene ist der Händler. Er erfährt, was dein Zahlungsmittel ihm mitteilt. Bei einer Kartenzahlung sind das Karteninhaber, Kartennummer, Ablaufdatum und Prüfziffer. Bei einer Lastschrift ist es deine IBAN und damit deine Bank. Bei einem prepaid-basierten Verfahren ist es ein Code und ein Betrag.

Die zweite Ebene ist der Zahlungsweg. Zwischen dir und dem Händler stehen je nach Verfahren mehrere Beteiligte: die kartenausgebende Bank, der Zahlungsabwickler des Händlers, das Kartensystem, gegebenenfalls ein Bezahldienst. Jeder von ihnen sieht einen Ausschnitt.

Die dritte Ebene ist deine Bank. Sie sieht auf dem Kontoauszug, wohin dein Geld geflossen ist — und damit oft, bei wem du eingekauft hast.

Wer über Datenschutz beim Bezahlen spricht und nur die erste Ebene meint, übersieht die anderen beiden. Ein Verfahren kann gegenüber dem Händler sparsam sein und gegenüber der Bank trotzdem sichtbar.

Welche Datenspur hinterlässt welche Bezahlart

Die folgende Übersicht ordnet die gängigen Verfahren nach dem, was sie tatsächlich weitergeben. Sie enthält bewusst keine Bewertung, weil die richtige Wahl vom Anwendungsfall abhängt.

Bezahlart	Was der Händler bekommt	Was auf dem Kontoauszug steht	Wie lange die Kennung gilt
Kreditkarte	Kartennummer, Name, Ablaufdatum	Händlername	Jahre, bis zum Kartenablauf
Debitkarte	Kartennummer, Name	Händlername	Jahre
Lastschrift	IBAN, Name	Händlername	unbegrenzt, solange das Konto besteht
Überweisung	IBAN, Name	Empfängername	unbegrenzt
Bezahldienst (z. B. PayPal)	E-Mail-Adresse, Kontoverknüpfung	Name des Bezahldienstes	unbegrenzt, plus Kaufhistorie im Konto
Prepaid-Code	Code und Betrag	je nach Kaufweg	einmalig
CashtoCode	Code und Betrag	bei Barzahlung: kein Eintrag	einmalig, Verfall nach 7 Tagen

Der interessanteste Wert in dieser Tabelle steht in der letzten Spalte. Eine Kartennummer ist eine dauerhafte Kennung: Sie verbindet alle deine Käufe über Jahre hinweg zu einem Profil, sobald jemand sie zusammenführt. Ein Transaktionscode kann das nicht, weil er nach einem einzigen Vorgang verbraucht ist.

Warum Bargeld beim Datenschutz vorn liegt — und was das online bedeutet

Bargeld hat eine Eigenschaft, die kein digitales Verfahren nachbildet: Es überträgt Wert ohne Kennung. Wer bar zahlt, gibt nichts weiter außer dem Geld selbst.

Das ist der Grund, warum die Zustimmung zum Bargeld trotz sinkender Nutzung stabil bleibt. Der Anteil ist deutlich gefallen — von 58 Prozent aller Transaktionen im Jahr 2021 auf 45 Prozent im Jahr 2025 —, aber die Begründung derjenigen, die es weiter nutzen, hat sich nicht verschoben.

Online lässt sich diese Eigenschaft nicht direkt übertragen. Bargeld hat keinen Netzwerkanschluss. Was sich übertragen lässt, ist das Prinzip: Der Wert wird vorab und getrennt vom Kauf beglichen, und in den Kauf selbst geht nur noch ein Nachweis ein, dass das geschehen ist.

Genau das leistet der Barcode bei uns. Du erzeugst ihn im Bezahlvorgang des Anbieters, zahlst ihn an einer Verkaufsstelle bar, und die Gutschrift erfolgt innerhalb von Sekunden nach der Bestätigung an der Kasse. Bankdaten nehmen dabei nie den Weg über unser System, weil sie gar nicht erst abgefragt werden. Mehr dazu steht auf unserer Seite zum diskret bezahlen im Internet.

Was wir über dich wissen — und was nicht

Diese Frage lässt sich kurz beantworten: Wir wissen nichts über dich, weil wir nichts erheben.

Es gibt bei uns kein Endkundenkonto, keinen Login, kein Profil und keine Zahlungshistorie. Nicht erforderlich sind: E-Mail-Adresse, Passwort, Telefonnummer, Ausweisdokument, Bankverbindung und App-Installation. Warum das so gebaut ist, steht ausführlich auf der Seite zum CashtoCode Konto.

Der Barcode selbst trägt eine Transaktionsnummer. Der Kassenscan ordnet sie dem Partner zu, die Bestätigung löst die Gutschrift aus. Aus dieser Nummer lässt sich weder deine Identität noch deine Bankverbindung noch dein Standort ableiten.

Das hat eine unbequeme Kehrseite, die zur Ehrlichkeit dazugehört: Weil wir keine Konten führen, können wir dir bei einem bereits bezahlten, aber verlorenen Code auch nicht helfen. Es gibt keinen Datensatz, in dem wir nachsehen könnten. Ein bezahlter Code verhält sich wie Bargeld in der Jackentasche.

Diskret ist nicht spurlos

An dieser Stelle wird in der Werbung viel übertrieben, deshalb hier die nüchterne Fassung.

Diskret bedeutet: Bei dem Anbieter, bei dem du einzahlst, landen keine Bank- oder Kartendaten. Deine Bank erfährt bei Barzahlung nicht, wofür das Geld war.

Diskret bedeutet nicht, dass die Zahlung unsichtbar wäre:

• Der Anbieter kennt dich bereits aus deiner Registrierung und weiß, dass eine Einzahlung erfolgt ist.
• Zahlst du den Barcode an der Kasse mit Karte statt bar, bleibt der Vorgang über dein Kartenkonto nachvollziehbar.
• Der Kassenbon existiert und nennt den Betrag.

Wer etwas anderes verspricht, verkauft eine Geschichte. Der praktische Nutzen liegt in der Datensparsamkeit — dem Grundsatz, den auch Artikel 5 der Datenschutz-Grundverordnung formuliert: nur die Daten erheben, die für den Zweck nötig sind. Für eine Einzahlung sind das ein Betrag und ein Nachweis. Nicht mehr.

Die Ausweispflicht bleibt — und das ist richtig so

Eine Bezahlmethode hebt keine gesetzliche Pflicht auf. Bei Casinos und Wettanbietern schreiben das Geldwäschegesetz und das Glücksspielrecht eine Identitätsprüfung vor. Diese Pflicht liegt beim Anbieter, und sie gilt unabhängig davon, womit du einzahlst.

Das ist keine Einschränkung unseres Verfahrens, sondern die Arbeitsteilung: Der Anbieter prüft, wer du bist, weil er es muss. Wir übertragen den Betrag, ohne zusätzlich zu erfahren, wer du bist, weil es dafür keinen Grund gibt. Warum bei uns trotzdem keine CashtoCode Registrierung nötig ist, erklärt die entsprechende Hilfeseite.

Ein Anbieter, der auf die Ausweisprüfung verzichtet, ist übrigens kein Vorteil, sondern ein Warnsignal für seine Lizenzlage. Dass ein Anbieter uns akzeptiert, sagt für sich genommen nichts über seine Seriosität aus — das prüfst du getrennt.

Worauf du beim Code selbst achtest

Der Code gehört ausschließlich in das Bezahlfenster des Anbieters, das über eine verschlüsselte HTTPS-Verbindung läuft. Wir fordern einen Code nie per E-Mail, SMS oder Telefon an. Es gibt bei uns überhaupt keine Endkunden-Hotline — Support läuft ausschließlich über das offizielle Kontaktformular, und dort werden allenfalls Teile eines Codes erfragt, nie der vollständige.

Weitere Sicherheitseigenschaften erklärt die Seite sicher im Internet bezahlen mit CashtoCode.

Was du daraus mitnimmst

Datenschutz beim Bezahlen ist eine Abwägung, keine Rangliste. Lastschrift und Karte geben dir Rückholrechte, die eine Barzahlung nicht kennt — eine autorisierte Lastschrift lässt sich acht Wochen lang zurückholen, ein bezahlter Code nicht. Dafür hinterlassen sie eine Kennung, die dich über Jahre hinweg wiedererkennbar macht.

Für wiederkehrende Beziehungen zu einem Händler, dem du vertraust, ist die dauerhafte Kennung praktisch. Für einen einzelnen Vorgang bei einem Anbieter, mit dem dich sonst nichts verbindet, ist sie überflüssig — und dann ist ein Verfahren, das nach einer Transaktion verbraucht ist, schlicht die sparsamere Wahl.