Datenschutzhinweise REWE Pay (Stand: Mai 2026)

Diese Informationen geben dir einen Überblick über die Verarbeitung deiner personenbezogenen Daten, wenn du den Service REWE Pay in deinem Kundenkonto der REWE App nutzt. Wir informieren dich darüber, welche Daten wir von dir erheben und wie wir sie verwenden. Außerdem klären wir dich über deine Rechte nach geltendem Datenschutzrecht auf und teilen dir mit, an wen du dich bei Fragen wenden kannst. Im Rahmen der Nutzung von REWE Pay ist neben der OC Payment GmbH die REWE Markt GmbH für die Verarbeitung deiner personenbezogenen Daten zur Bereitstellung und Verwaltung der REWE App und die Registrierung für das Kundenkonto eigenständig verantwortlich.

Datenschutzhinweise für die Datenverarbeitungen, die nach Kundenkonto-Registrierung und -Log-In im Kundenkonto stattfinden, findest du hier.

Datenschutzhinweise für die Nutzung der REWE-App (Android und iOS) findest du hier.

1. Wer ist für die Datenverarbeitung des Services REWE Payverantwortlich?

Verantwortlich im datenschutzrechtlichen Sinne ist die:

OC Payment GmbH

Domstraße 20

50668 Köln

E-Mail: info@paymenttools.com

2. An wen kannst du dich bei Fragen zur Datenverarbeitung wenden?

Der Datenschutzbeauftragte des Verantwortlichen ist unter folgenden Kontaktdaten erreichbar.

OC Payment GmbH

Datenschutzkoordination

Domstraße 20

50668 Köln

E-Mail: dataprotection@paymenttools.com

Falls du Fragen zu deinen Betroffenenrechten (wie Datenauskunft, Datenlöschung oder Werbewiderspruch) hast sowie bei weiteren datenschutzrechtlichen Fragen kontaktiere bitte dataprotection@paymenttools.com. Bei Fragen zum REWE Kundenkonto und zur REWE App verweisen wir auf die Datenschutzhinweise für die Nutzung des REWE Kundenkontos und die Datenschutzhinweise für die Nutzung der REWE App. In diesem Zusammenhang kannst du dich direkt an kundenmanagement@rewe.de wenden.

3. Welche Daten verarbeiten wir von dir?

Im Rahmen der Aktivierung und Nutzung von REWE Pay verarbeiten wir folgende personenbezogene Daten:

• Vorname
• Nachname
• Geburtsdatum
• E-Mail-Adresse
• Telefonnummer (optional) 
• Adresse (Straße, Hausnummer, Postleitzahl, Ort, Land) 
• Kunden-ID 
• Interne Nutzerkennung (z. B. Nutzer-ID eines Kontoinformationsdienstes) 
• Karteninformationen im Zuge einer EFT-Lastschrifttransaktion 
• IBAN 
• Mandatsreferenz 
• Datum, Uhrzeit und Betrag von Transaktionen 
• Terminal-ID 
• Device-ID 

 

Im Rahmen des digitalen Onboarding-Prozesses erhalten wir vom Kontoinformationsdienstleister:

• Kontotyp (z. B. Girokonto)
• Kontowährung
• Verifikationsstatus des Kontos

Die Erhebung dieser Daten ist notwendig, um REWE Pay zu aktivieren und die Zahlungstransaktionen zu verarbeiten.

4. Besteht eine Pflicht zur Bereitstellung der Daten?

Die Bereitstellung deiner Daten ist gesetzlich nicht vorgeschrieben. Einige der genannten Daten sind jedoch erforderlich, um die mobile Bezahlfunktion REWE Pay aktivieren und verwenden zu können. Ohne die Mitteilung der zur Zahlung benötigten Daten sind wir nicht in der Lage, dir die Funktion bereitzustellen.

5. Für welche Zwecke verarbeiten wir deine Daten und auf welcher Rechtsgrundlage erfolgt dies?

Wenn du den Service REWE Pay in deiner App aktivieren möchtest, wird zunächst der in deiner REWE App im Kundenkonto hinterlegte Aztec Code an der Kasse gescannt. Anschließend wird deine Karte wie gewohnt zur Zahlung verwendet, wodurch dein Girokonto mit REWE Pay verknüpft wird.  

Erfolgt die Aktivierung in der Filiale, unterschreibst du anschließend am Signpad ein SEPA- Dauerlastschriftmandat. Durch das Scannen des Codes, das Einstecken deiner Karte und das Unterschreiben auf dem Signpad führst du deine erste REWE Pay Zahlung durch, welche an uns übermittelt wird, zusammen mit weiteren zahlungsrelevanten Informationen (wie Datum, Kaufbetrag, IBAN, Terminal-ID und Mandatsreferenz). Diese Daten werden zur Risikoüberprüfung und Autorisierung erhoben und an uns weitergeleitet. Nach erfolgreicher Aktivierung von REWE Pay werden die verwendeten Zahlungsdaten verschlüsselt gespeichert. Das damit von dir erteilte SEPA-Dauerlastschriftmandat ermöglicht uns, zukünftige Abbuchungen von deinem Girokonto vorzunehmen. 

Alternativ kannst du dein Girokonto im Rahmen eines digitalen Onboarding-Prozesses verknüpfen. Hierzu wirst du auf eine sichere Eingabemaske eines externen Kontoinformationsdienstes weitergeleitet, über die du dich direkt gegenüber deiner Bank authentifizierst. 

Der Kontoinformationsdienst ruft die zur Verifikation erforderlichen Kontoinformationen (insbesondere Name des Kontoinhabers, IBAN, Verifikationsstatus, Kontostand) bei deiner Bank ab und übermittelt diese nach erfolgreicher Authentifizierung verschlüsselt an uns. Wir verwenden diese Daten zur Erstellung des SEPA-Lastschriftmandats und zur Verknüpfung deines Girokontos mit REWE Pay. 

Die Verarbeitung im Rahmen der Kontoinformationsabfrage erfolgt durch den Anbieter dieses Dienstes eigenständig als Verantwortlicher. Weitere Informationen hierzu findest du in den Datenschutzhinweisen des jeweiligen Anbieters im Verifizierungsprozess. 

Rechtsgrundlage für die beschriebene Datenverarbeitung für die Nutzung des Services REWE Pay mitsamt der Erteilung des SEPA-Dauerlastschriftmandats ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (Vertragserfüllung) und § 25 Abs. 2 Nr. 2 TDDDG. 

Darüber hinaus verarbeiten wir personenbezogene Daten zur Durchführung von Risikoprüfungen im Rahmen der Zahlungsabwicklung. Hierzu werden Zahlungs- und Transaktionsdaten, insbesondere IBAN, Name, Geburtsdatum sowie Informationen zu bisherigen Transaktionen und Zahlungsausfällen an einen spezialisierten Dienstleister übermittelt und mit dort geführten Sperrlisten abgeglichen. 

Der Dienstleister nutzt diese Daten zur Bewertung von Zahlungsausfallrisiken, zur Erkennung wiederkehrender Rücklastschriften und zur Identifizierung missbräuchlicher Nutzungsmuster. Auf Basis dieses Abgleichs wird automatisiert entschieden, ob eine Zahlung zugelassen oder abgelehnt wird und unter welchen Bedingungen REWE Pay genutzt werden kann. 

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f DSGVO im berechtigten Interesse an der Vermeidung von Zahlungsausfällen und der Betrugsprävention. 

 Im Falle von Zahlungsverzug werden deine Daten zudem zur Geltendmachung offener Forderungen verarbeitet. Dies kann die Einschaltung eines Inkassodienstleisters umfassen. Die Verarbeitung erfolgt sowohl zur Vertragserfüllung gemäß Art. 6 Abs. 1 S. 1 lit. b DSGVO als auch im berechtigten Interesse an der Durchsetzung rechtlicher Ansprüche gemäß Art. 6 Abs. 1 S. 1 lit. f DSGVO. 

Bei einem Missbrauchsverdacht behalten wir uns das Recht vor, dein REWE Pay Konto zu sperren, um Risiken wie unautorisierte Abbuchungen, Identitätsmissbrauch oder systematische Betrugsversuche frühzeitig zu erkennen und finanzielle Verluste für das Unternehmen sowie betroffene Kund:innen zu vermeiden. Diese Verarbeitung erfolgt auf Grundlage des berechtigten Interesses gemäß Art. 6 Abs. 1 S. 1 lit. f DSGVO. 

Zur Sicherstellung des Betriebs und der Wartung des Services REWE Pay kann es erforderlich sein, dass personenbezogene Daten im Rahmen von Supportmaßnahmen verarbeitet werden. Die Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. 

6. Datenquellen

Wir erhalten personenbezogene Daten von dir selbst, wenn du diese im Rahmen der Aktivierung des Services REWE Pay angibst.

Sofern du den digitalen Onboarding-Prozess nutzt, erhalten wir bestimmte Daten zudem von deiner Bank über einen externen Kontoinformationsdienst. 

7. Erfolgt eine automatisierte Entscheidungsfindung einschließlich Profiling?

Im Rahmen der Nutzung von REWE Pay erfolgt eine automatisierte Entscheidungsfindung gemäß Art. 22 DSGVO. 

Diese betrifft insbesondere die Entscheidung, ob dir die Nutzung der Zahlungsfunktion REWE Pay zur Verfügung gestellt wird sowie die Festlegung individueller Bezahllimits. 

Zur Bewertung deiner Zahlungsfähigkeit werden automatisiert Zahlungs- und Transaktionsdaten, Bonitätsinformationen sowie Risikobewertungen verarbeitet. 

Die automatisierte Entscheidung erfolgt gemäß Art. 22 Abs. 2 lit. a DSGVO, da sie für den Abschluss und die Durchführung des Vertrags über die Nutzung von REWE Pay erforderlich ist. 

Die Entscheidung kann dazu führen, dass dir REWE Pay nicht zur Verfügung gestellt wird oder deine Nutzung eingeschränkt wird. 

Du hast das Recht, eine Überprüfung der Entscheidung durch eine Person zu verlangen, deinen Standpunkt darzulegen und die Entscheidung anzufechten. Hierzu kannst du dich an dataprotection@paymenttools.com wenden. 

8. Wer hat Zugang zu deinen Daten und aus welchem Grund?

Die Abwicklung und Absicherung der Zahlungsvorgänge erfolgt durch die OC Payment GmbH in eigener Verantwortung.

Darüber hinaus können Dienstleister, die uns bei der Erfüllung unserer Aufgaben unterstützen, Zugang zu deinen Daten erhalten. Dies sind Dienstleister der folgenden Kategorien:

• Zahlungsdienstleister und Banken für die Abwicklung von Zahlungen.
• Inkassounternehmen für die Geltendmachung von Forderungen.
• Entwicklungsdienstleister für Programmierung, Entwicklung, Wartung und Support von Software-Anwendungen.
• Dienstleister, die uns bei der Verhinderung von betrügerischen Aktivitäten unterstützen.
• Auskunfteien für die Durchführung von Bonitätsprüfungen.
• Externe Kontoinformationsdienste zur Durchführung der Kontoverifikation und Erteilung des SEPA- Dauerlastschriftmandats im Rahmen des Onboarding-Prozesses. 

Es erfolgt keine Drittlandübermittlung.

9. Wie lange werden die Daten gespeichert?

Wir speichern deine personenbezogenen Daten grundsätzlich nur so lange, wie dies für die Erfüllung der in diesen Datenschutzhinweisen beschriebenen Zwecke erforderlich ist. Sobald die Daten für die jeweiligen Zwecke nicht mehr benötigt werden, werden sie gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten oder sonstigen gesetzlichen Gründe einer Löschung entgegenstehen. 

Eine längere Speicherung kann insbesondere erforderlich sein: 

• zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten, 
• zur Durchführung und Abwicklung von Zahlungsvorgängen, 
• zur Bearbeitung von Rückabwicklungen oder Rücklastschriften, 
• zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche, 
• zur Verhinderung missbräuchlicher oder betrügerischer Nutzung, 
• sowie zur Erfüllung regulatorischer Anforderungen. 

Im Regelfall gelten dabei folgende Speicherdauern bzw. Kriterien zur Festlegung der Speicherdauer: 

• Zahlungsinformationen und Transaktionsdaten werden gelöscht, sobald sie für die Durchführung und Abwicklung der Zahlungsvorgänge nicht mehr erforderlich sind und keine gesetzlichen oder regulatorischen Aufbewahrungspflichten entgegenstehen. 
• Das SEPA-Dauerlastschriftmandat endet grundsätzlich 3 Jahre nach der letzten Nutzung. Mandatsbezogene Daten können darüber hinaus gespeichert bleiben, soweit dies zur Erfüllung gesetzlicher Aufbewahrungspflichten, zur Bearbeitung von Rückabwicklungen oder zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist. 
• Wenn du den Service REWE Pay deaktivierst oder dich vorzeitig abmeldest, erfolgt die Verarbeitung bestimmter mandats- und zahlungsbezogener Daten nur noch, soweit dies für die Beendigung des Vertragsverhältnisses sowie zur Erfüllung gesetzlicher oder regulatorischer Anforderungen erforderlich ist.

10. Welche Rechte hast du?

10.1. Auskunft

Du kannst im Rahmen des Art. 15 DSGVO Auskunft über deine von uns verarbeiteten personenbezogenen Daten verlangen.

10.2. Berichtigung

Sollten deine Angaben nicht (mehr) zutreffend sein, kannst du im Rahmen des Art. 16 DSGVO die Berichtigung deiner Daten verlangen. Sollten deine Daten unvollständig sein, kannst du eine Vervollständigung verlangen.

10.3. Löschung

Du hast im Rahmen des Art. 17 DSGVO das Recht, die Löschung deiner Daten zu verlangen. Es dürfen jedoch keine Vorschriften bestehen, die uns zur Aufbewahrung deiner Daten verpflichten.

10.4. Einschränkung der Verarbeitung

Du hast im Rahmen des Art. 18 DSGVO das Recht, die Einschränkung der Verarbeitung deiner Daten zu verlangen.

10.5. Widerspruch

Du hast im Rahmen des Art. 21 DSGVO das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, gegen die Verarbeitung deiner Daten Widerspruch einzulegen. Im Falle eines berechtigten Widerspruchs werden wir deine Daten nicht mehr verarbeiten.

10.6. Beschwerderecht

Du bist berechtigt, bei einer Datenschutzaufsichtsbehörde Beschwerde einzureichen.

10.7. Datenübertragbarkeit

Du hast im Rahmen des Art. 20 DSGVO das Recht, personenbezogene Daten, die du uns mitgeteilt hast, in einem elektronischen Format zu erhalten.