Missbrauchsprävention & Transparenz

Chargy wird von der Paylane GmbH betrieben, einer Schweizer Gesellschaft mit Sitz in Zug. Wir verkaufen digitale Gutscheine im eigenen Namen und auf eigene Rechnung. Auf dieser Seite beschreiben wir, welche Massnahmen wir gegen Missbrauch, Betrug und Geldwäscherei tatsächlich einsetzen.

Wir beschreiben hier ausschliesslich Kontrollen, die in unserem System aktiv sind. Wo eine Massnahme geplant, aber noch nicht umgesetzt ist, sagen wir das ausdrücklich.

Unsere rechtliche Einordnung

Unser Sortiment besteht aus Gutscheinen, die ausschliesslich beim jeweiligen Herausgeber für dessen eigene Waren oder Dienstleistungen eingelöst werden können. Ein solcher Gutschein ist kein Zahlungsmittel: Er ist nicht übertragbar, nicht auszahlbar und bei keinem Dritten einlösbar.

Gutscheinkarten, die bei beliebigen Dritten eingelöst werden können, führen wir nicht. Die Paylane GmbH ist deshalb weder einer Selbstregulierungsorganisation angeschlossen noch verfügt sie über eine Bewilligung der FINMA, und sie gibt sich auch nicht als beaufsichtigtes Institut aus.

Unabhängig davon halten wir die nachstehenden Massnahmen für richtig und setzen sie freiwillig um.

Verbindliche Kauflimiten

Vor jeder Bestellung prüft das System drei Schwellen. Sie lassen sich nicht abwählen und greifen an allen Zahlungswegen:

• höchstens 3 Bestellungen pro E-Mail-Adresse und Stunde
• höchstens 5 Bestellungen pro IP-Adresse und Stunde
• höchstens CHF 500 Gesamtwert pro E-Mail-Adresse in einem rollenden Fenster von 24 Stunden

Die 500er-Grenze wird vorausschauend geprüft: Der bereits bestellte Tagesbetrag plus der aktuelle Warenkorb müssen darunter bleiben. Damit ist sie zugleich die Obergrenze für eine einzelne Bestellung, und aufeinanderfolgende Kleinbeträge können sie nicht umgehen.

Überwachung und automatische Sperre

• Jede Grenzverletzung erzeugt einen protokollierten Alarm mit Typ, Schweregrad, E-Mail-Adresse, IP-Adresse und Betrag.
• Drei Alarme derselben E-Mail-Adresse innerhalb von 24 Stunden sperren das Kundenkonto automatisch und setzen die zugehörige IP-Adresse auf eine Sperrliste. Der Kunde wird darüber per E-Mail informiert.
• Die Alarme laufen in einer internen Übersicht auf und werden dort manuell bearbeitet.
• Wegwerf- und Weiterleitungs-E-Mail-Adressen erkennen wir gegen eine gepflegte Liste von rund 107 Domains, inklusive Subdomains. Solche Bestellungen werden protokolliert und ausgewertet, aber nicht automatisch abgelehnt.
• Zu jeder Bestellung speichern wir die IP-Adresse.

Integrität der Zahlungen

• Rückmeldungen unserer Zahlungsdienstleister sind kryptografisch signiert und werden vor der Verarbeitung geprüft.
• Der bezahlte Betrag wird gegen den bestellten abgeglichen; jede Abweichung erzeugt einen Alarm.
• Eine eingehende Zahlung ohne zugehörige Bestellung erzeugt ebenfalls einen Alarm.
• Technische Rate-Limits schützen Checkout, Code-Abfragen und Schnittstellen vor automatisierten Zugriffen.
• Karteninhaberdaten berühren unsere Systeme zu keinem Zeitpunkt. Wir sind nach PCI DSS v4.0 als Händler der Stufe 4 mit SAQ A validiert; Autorisierung und 3-D Secure liegen beim Zahlungsdienstleister und beim Acquirer.

Diese Massnahmen sichern die Integrität der Zahlungsabwicklung. Sie sind kein Ersatz für eine Geldwäschereiüberwachung im aufsichtsrechtlichen Sinn, und wir stellen sie auch nicht als eine solche dar.

Manuelle Prüfung im Verdachtsfall

Bei Auffälligkeiten behalten wir uns vor:

• eine Bestellung bis zur Klärung zurückzuhalten und nicht zu liefern
• weitere Angaben zur Person, zur Herkunft der Mittel oder zum Zweck der Bestellung zu verlangen
• die Kundenbeziehung zu beenden, wenn eine Mitwirkung verweigert wird
• bei konkretem Verdacht auf eine Straftat mit den zuständigen Behörden zusammenzuarbeiten und, soweit wir gesetzlich dazu verpflichtet sind, Meldung zu erstatten

In Umsetzung

Die folgenden Massnahmen sind beschlossen, aber noch nicht aktiv. Wir nennen sie hier, damit niemand von einem Schutz ausgeht, den es heute noch nicht gibt:

• Monats- und Lebenslimiten pro Kunde sowie ein Betragslimit pro IP-Adresse
• Mitzählen abgebrochener und abgelehnter Zahlungsversuche bei den Frequenzgrenzen
• automatische Benachrichtigung an ein internes Compliance-Postfach bei Alarmen hoher und kritischer Stufe

Aufbewahrung

Bestell- und Transaktionsunterlagen bewahren wir zehn Jahre auf, entsprechend den Vorgaben des Schweizer Obligationenrechts an die Geschäftsbücher. Einzelheiten zur Bearbeitung personenbezogener Daten stehen in unserer Datenschutzerklärung.