Datenschutz-Analyse · Klarna Bank AB · 2025
111 Millionen Nutzer. 180 Millionen Dollar Werbeeinnahmen. Kaufhistorie, Bankkonten, KI-generierte Verhaltensprofile — und bestätigter Datenverkauf an Werbepartner. Was Klarna wirklich sammelt, wie lange es gespeichert wird und warum die schwedische Datenschutzbehörde zweimal einschreiten musste.
111 Mio.
Aktive Nutzer
$180 Mio.
Werbeeinnahmen 2024
790 Tsd.
Händler-Partner
45
Märkte weltweit
671 T€
DSGVO-Bußgeld
Scroll
01
Kernzahlen im Überblick
// 01Die Dimension
des Datenhungers
Zahlen, die zeigen, wie Klarna sich vom Zahlungsdienst zur datengetriebenen Werbeplattform transformiert hat — und was das für 111 Millionen Nutzer bedeutet.
$180 Mio.
Werbeeinnahmen 2024 — 13× mehr als 2020. Nutzerdaten sind längst das eigentliche Produkt neben der Kreditvergabe.
Klarna F-1 SEC-Filing, Sept. 2025
10 Jahre
Maximale Speicherdauer für Vertragsdaten. Auch nach Kontoschließung bleibt der Großteil der Daten gesetzlich verpflichtend erhalten.
Klarna Datenschutzerklärung v11.1.0, März 2025
671.000 €
DSGVO-Bußgeld der schwedischen IMY — wegen 7 gleichzeitig verletzter DSGVO-Artikel. Bestätigt vom Berufungsgericht März 2024.
IMY Entscheidung SE-2022-06 / Urteil 2829-23
2,3 Mio.
KI-Kundengespräche im ersten Monat des OpenAI-Assistenten (Feb. 2024) — 66 % aller Support-Kontakte in einem Monat.
Klarna Pressemitteilung, Februar 2024
288.000
Interne Schätzung potenziell betroffener Login-Accounts beim App-Datenleck November 2025 — Schadensrisiko: $41,8 Mio.
Geleakte interne Klarna-Dokumente, Nov. 2025
4.300+
Europäische Banken im Open-Banking-Netzwerk. 150 Mio. Transaktionen/Jahr — Klarna sieht alle Kontobewegungen der verbundenen Nutzer.
Klarna Open Banking Platform, 24 Märkte
Das Geschäftsmodell dahinter: Klarna verdient dreifach: (1) Händler-Provisionen pro Transaktion, (2) Zinsen auf Ratenzahlungen, (3) Werbeumsätze durch Daten-Profiling. Das erklärt, warum Klarna ein fundamentales wirtschaftliches Interesse an möglichst umfassenden Nutzerdaten hat — unabhängig von der tatsächlichen Zahlungsabwicklung.
02
Vollständige Dateninventur
// 02Was Klarna über dich weiß
Klarnas Datenschutzerklärung v11.1.0 listet 12 Kategorien personenbezogener Daten. Rot markierte Einträge sind besonders sensibel oder für einen Zahlungsdienst unverhältnismäßig.
Identität & Kontakt
13 Typen
Zahlung & Finanzen
10 Typen
Kaufverhalten & Profiling
10 Typen
Gerät, App & Tracking
12 Typen
Open-Banking-Daten
7 Typen · besonders kritisch
Sensible Sonderkategorien
Art. 9 DSGVO
Open Banking: Der unsichtbare Zugriff. Die Verbraucherzentrale Baden-Württemberg warnt explizit: Wer Klarna den Kontenzugriff via PSD2 erlaubt, gibt einen vollständigen Finanzspiegel preis — Mietzahlungen, Streaming-Abos, Arztbesuche, Kneipenausgaben. „Diese Daten ermöglichen ein detailliertes Profil des tatsächlichen Lebensstandards, das weit über die reine Bonitätsprüfung hinausgeht."
03
Erhebungskanäle
// 037 Wege, wie Klarna
Daten sammelt
Klarna setzt ein mehrstufiges System zur Datenerhebung ein, das weit über den einzelnen Zahlungsvorgang hinausgeht — auch ohne aktiven Kauf bei einem Händler.
01
Checkout-Tracking
Bei jeder Zahlung an einem der 790.000 Händler — das Klarna-Web-SDK erfasst Nutzerdaten bereits im Checkout, bevor der Kauf abgeschlossen wird
02
Klarna App
Integrierter In-App-Browser trackt jede Bewegung auf Händler-Seiten; GPS-Standort; Push-Klickverhalten; App-Nutzungsmuster
03
Web SDK & Cookies
Klarna-Widget auf Händler-Websites trackt auch Nicht-Käufer. Performance-Cookies bis 3 Jahre, Targeting-Cookies bis 180 Tage
04
Open Banking (PSD2)
Direktzugriff auf Bankkonten — 150 Mio. Transaktionen/Jahr via 4.300+ Banken in 24 europäischen Ländern (ehem. Sofort GmbH)
05
Kreditauskunfteien
Schufa, Creditreform Boniversum, infoscore, Deutsche Post Direkt — bei jeder BNPL-Anfrage automatisch abgefragt
06
Email Connect
Optionaler Zugriff auf das E-Mail-Konto des Nutzers zur automatischen Erfassung von Kaufbestätigungen, Abonnements und Lieferinfos
07
Datenhändler & Partner
Externe „Data Vendors", Marketing-/Werbepartner, Banken, öffentliche Datenbanken, Inkassounternehmen als Rückkanal
⚡
KI-Echtzeit-Scoring
100+ Datenpunkte werden pro Transaktion in Echtzeit durch ML-Modelle analysiert → Kreditentscheidung in unter 1 Sekunde
04
Verwendungszwecke & Werbegeschäft
// 04Wofür Klarna
deine Daten nutzt
Offiziell für Zahlungsabwicklung und Betrugsschutz — aber Klarnas wachsendes Werbegeschäft zeigt, dass Nutzerdaten zunehmend kommerzialisiert werden.
01
Zahlungsabwicklung & Kreditvergabe
Kernfunktion: Kreditwürdigkeitsprüfung, Transaktionsverarbeitung, Rechnungsstellung an Händler und Kunden
02
ML-Kreditscoring in Echtzeit
100+ Datenpunkte pro Transaktion; ML-Modelle haben Kreditausfälle um 56% gesenkt; Ausfallrate global unter 1%
03
Verhaltensbasiertes Werbeprofiling
Interessen, Hobbys, Einstellungen aus Clickstream & Kaufverhalten; eigener Klarna Ads Manager seit Nov. 2023
04
Cross-Context Behavioral Advertising
Bestätigter Datenverkauf/-sharing an Rakuten, Criteo, PubMatic, Google DoubleClick (CCPA-Disclosure)
05
KI-Training & Produktoptimierung
Anonymisierte Nutzungsdaten für ML-Modelle; Rechtsgrundlage: berechtigtes Interesse (Art. 6 I f DSGVO) — ohne explizite Einwilligung
06
Personalisierte Produktempfehlungen
Shopping-Feed in der App basierend auf Kaufhistorie + Browsing-Verhalten; 5,6 Mio. Produkte indexiert
07
Bonitätsmeldung an Kreditauskunfteien
Bei Zahlungsverzug: Schufa-Eintrag. Seit Feb. 2023 (nach Verbraucherdruck): keine Beeinflussung des Schufa-Scores bei normalen Anfragen
Werbeeinnahmen-Wachstum (USD)
+1.285%
Wachstum 2020 → 2024 · Klarna F-1 Filing
Ads Manager (seit Nov. 2023): Händler kaufen Werbeflächen direkt im Klarna-Ökosystem — auf Basis von Kaufhistorie, Browsing-Verhalten und Suchbegriffen der 111 Mio. Nutzer. Werbeformate: Product Cards, Sponsored Search, Native Banners, Post-Purchase Offers.
05
Datenweitergabe & Datenverkauf
// 05Wer bekommt
deine Daten?
Bestätigt durch CCPA-Disclosure: Klarnas US-Datenschutzerklärung (durch Kaliforniens Datenschutzgesetz zur vollständigen Offenlegung gezwungen) bestätigt: Klarna hat in den letzten 12 Monaten E-Mail-Adressen, Geräte-IDs, IP-Adressen und App-Nutzungsdaten an Marketing- und Media-Unternehmen verkauft und geteilt — ausdrücklich für „cross-context behavioral advertising". Die europäische Datenschutzerklärung schweigt dazu.
06
Datenspeicherung & Aufbewahrungsfristen
// 06Bis zu 10 Jahre —
auch nach Kontoschließung
Klarnas Datenschutzerklärung nennt gestaffelte Fristen. Ein vollständiges Löschen aller Daten ist faktisch unmöglich — gesetzliche Aufbewahrungspflichten sorgen dafür, dass relevante Daten jahrelang bleiben.
📜 Vertragsdaten (Verjährung)
bis 10 Jahre
🚨 Geldwäsche-Verdachtsdaten (AML)
bis 10 Jahre
💼 Buchhaltungsdaten
7 Jahre
🕵️ Daten bei Betrugsagenturen
bis 6 Jahre
⚖️ Schuldenbezogene Daten
3 Jahre
📞 Telefon-Aufnahmen (Betrug)
bis 3 Jahre
🍪 Performance-Cookies
bis 3 Jahre
📞 Telefon-Aufnahmen (Qualität)
90 Tage
🔍 Bonitätsprüfungs-Anfragen
90 Tage
🎯 Targeting-Cookies
180 Tage
Rekord: 3 Jahre und 7 Monate. In einem dokumentierten Fall benötigte Klarna mehr als drei Jahre, um einem Auskunftsersuchen nach Art. 15 DSGVO nachzukommen — statt der vorgeschriebenen 30 Tage. Die IMY rügte Klarna zusätzlich 2024, weil ein Nutzer seine eigene E-Mail-Adresse nicht ändern konnte: Klarna erklärte dies sei „technisch nicht möglich" — ein klarer Verstoß gegen das Berichtigungsrecht Art. 16 DSGVO.
07
Strafen, Datenpannen & Behördenverfahren
// 07Eine Chronik
des Kontrollverlusts
Von Datenpannen über DSGVO-Bußgelder bis hin zu Geldwäsche-Strafen — Klarna hat in wenigen Jahren eine bemerkenswerte Sammlung regulatorischer Konflikte angehäuft.
App-Sicherheitslücke: Fremde Konten sichtbar
31 Minuten lang konnten eingeloggte Klarna-Nutzer auf die Konten anderer Kunden zugreifen: Name, Adresse, Kaufhistorie und teilverschleierte Kartendaten waren lesbar. Offiziell gestand Klarna ~9.500 betroffene Nutzer ein — interne Dokumente, die 2025 bei einem weiteren Vorfall auftauchten, schätzen jedoch 288.000 potenziell exponierte Login-Accounts mit einem internen Rechtsrisiko von $41,8 Millionen USD. Klarna verweigerte die Offenlegung des wahren Ausmaßes.
Schwedische IMY bestraft Klarna — 7 DSGVO-Artikel verletzt
Nach 372 Nutzerbeschwerden seit 2018 und einer koordinierten Untersuchung durch Datenschutzbehörden aus 8 EU-Ländern (Österreich, Dänemark, Deutschland, Finnland, Italien, Niederlande, Norwegen, Schweden) verhängte die IMY das Bußgeld. Gleichzeitig verletzt: fehlende Zweck- und Rechtsgrundlagenangaben, widersprüchliche Drittlandtransfer-Informationen, unzureichende Aufbewahrungsfristen, mangelhafte Betroffenenrechte-Information, fehlendes Profiling-Disclosure. Im März 2024 bestätigte das Berufungsgericht Stockholm (Az. 2829-23) die Strafe in voller Höhe.
671.000 €
Digitalcourage: Klarna ist „grandiose Nebelmaschine"
Digitalcourage verlieh Klarna den BigBrotherAward 2022 in der Kategorie Verbraucherschutz. Begründung: „Klarna bündelt intransparent Daten und Macht als Shopping-Service, Zahlungsdienstleister, Preisvergleichsportal, persönlicher Finanzmanager, Bonitätskontrolleur und Bank." Dr. Thilo Weichert (Deutsche Vereinigung für Datenschutz) ergänzte, Klarnas Datenschutzerklärung sei eine „grandiose Nebelmaschine, aus der die konkreten Datenverarbeitungen weder nachvollzogen, geschweige denn auf ihre Plausibilität hin überprüft werden könnten."
Berichtigungsrecht verletzt — E-Mail-Änderung „technisch unmöglich"
Ein Nutzer wollte seine im Klarna-Account hinterlegte E-Mail-Adresse korrigieren. Klarna lehnte ab mit der Begründung, dies sei „technisch nicht möglich" — ein direkter Verstoß gegen Art. 16 DSGVO (Recht auf Berichtigung). Die IMY rügte Klarna formell. Parallel läuft eine weitere IMY-Untersuchung zu übermäßigen Identifizierungsanforderungen, die das Einreichen von Datenschutzanfragen praktisch erschweren und so Betroffenenrechte aushöhlen.
Finansinspektionen: Erhebliche Mängel bei Geldwäsche-Compliance
Die schwedische Finanzaufsichtsbehörde verhängte eine Strafe von 500 Millionen SEK wegen „erheblicher Mängel" bei der Geldwäsche-Risikoanalyse. Diese Strafe berührt auch den Datenschutz: Klarna rechtfertigt seine umfangreiche Datensammlung (Einkommensnachweise, Bankkontoauszüge, Berufsangaben) teilweise mit AML-Pflichten — ein Argument, das Verbraucherschützer als überproportional bewerten.
~$46 Mio.
Post-IPO-Leck: Recycelte Rufnummern öffnen fremde Konten
Wenige Wochen nach dem Börsengang an der NYSE (10. September 2025, Bewertung ~$15 Mrd.) wurde ein kritisches Sicherheitsproblem bekannt: Neue Besitzer wiederverwendeter Mobilnummern wurden automatisch in die Klarna-Konten der vorherigen Inhaber eingeloggt — mit vollem Zugriff auf Kaufhistorie, gespeicherte Zahlungsmethoden und persönliche Daten. Interne Dokumente (geleakt an Medien) schätzen 288.000 potenziell betroffene Logins und ein Rechtsrisiko von $41,8 Millionen USD. Der Aktienkurs fiel anschließend über 20% unter den IPO-Ausgabepreis.
$41,8 Mio. Risiko
08
KI-Assistent, OpenAI & automatisierte Entscheidungen
// 08Deine Finanzdaten —
via OpenAI verarbeitet
Klarna war 2024 das prominenteste Beispiel für den Einsatz von KI im Finanzkundenservice. Die Datenschutz-Implikationen blieben weitgehend undiskutiert.
Gespräche — erster Monat
2,3 Mio.
= 66% aller Klarna-Kundenservice-Kontakte im Februar 2024
OpenAI-Assistent ersetzt Arbeit von 700 Vollzeitstellen
OpenAI-Assistent ersetzt Arbeit von 700 Vollzeitstellen
853
Arbeitsstellen ersetzt bis Q3 2025
$60M
Einsparungen durch KI 2024
~2 Min.
Ø Antwortzeit (statt 11 Min.)
25%
Weniger Wiederholungsanfragen
Unklar: Welche Daten fließen zu OpenAI?
Klarna dokumentiert nirgends explizit, welche Kundendaten (Kontonummern, Bestelldetails, Finanzlage) konkret an OpenAI-Server übertragen werden. The Pragmatic Engineer warnte: „Trusting it with sensitive financial data is a bad idea."
US-Serververarbeitung bis 2025
Vor Einführung von OpenAIs EU-Datenresidenz (2025) wurden alle Konversationen auf US-Servern verarbeitet — rechtlich problematisch nach Schrems II und ohne adäquate Schutzmaßnahmen für Finanzdaten.
AlgorithmWatch: Fälschlich als Betrügerin markiert
Klarnas automatisiertes Scoring stufte eine Nutzerin fälschlicherweise als Betrügerin ein und leitete sie ohne jede menschliche Aufsicht direkt an ein Inkassounternehmen weiter — potenzieller Verstoß gegen DSGVO Art. 22 (Verbot vollautomatisierter Entscheidungen).
Agentic Protocol: 100 Mio. Produkte für externe KI
Seit Dezember 2025 macht Klarna strukturierte Daten zu über 100 Millionen Produkten und 400 Millionen Preisen für externe KI-Agenten zugänglich — eine neue Ebene der Datenverknüpfung mit Drittdiensten ohne klare DSGVO-Grundlage.
EU AI Act: Kreditscoring = Hochrisiko-KI
Klarnas ML-Kreditscoring fällt unter den EU AI Act als Hochrisiko-KI-System — ab 2026 gelten strenge Anforderungen an Transparenz, Bias-Erkennung und menschliche Aufsicht bei automatisierten Kreditentscheidungen.
09
Direktvergleich der Zahlungsdienste
// 09Klarna vs. Apple Pay
vs. Google Pay vs. PayPal
Im Vergleich zeigt sich: Klarna nimmt unter den großen Zahlungsdiensten eine Sonderposition ein — als einziger Dienst mit vollständigem Bonitätsprofiling, Open-Banking-Zugriff und bestätigtem Datenverkauf.
Kriterium
🍎 Apple Pay
🤖 Google Pay
🅿️ PayPal
🛍️ Klarna
💳 Kartenspeicherung
Apple PayLokal (Secure Element), keine Serverkopie
Google PayVerschlüsselt auf Google-Servern
PayPalAuf PayPal-Servern
KlarnaAuf Klarna-Servern inkl. CVV-Speicherung
🔍 Transaktionstracking
Apple PayKein Tracking durch Apple
Google PayTeilweise (Google Wallet)
PayPalKaufhistorie gespeichert
KlarnaUmfassendes Profiling aller Transaktionen
🏦 Bankkonto-Zugriff
Apple PayKein Zugriff
Google PayKein Zugriff
PayPalKein Zugriff
KlarnaJa — Open Banking (PSD2), alle Kontobewegungen
📉 Bonitätsprüfung
Apple PayKeine
Google PayKeine
PayPalNur bei Kreditfunktionen
KlarnaJa — bei jeder BNPL-Transaktion
📢 Verhaltens-Profiling
Apple PayNicht vorhanden
Google PayEingeschränkt / Google-Ökosystem
PayPalBegrenzt
KlarnaUmfassend — eigener Ads Manager seit 2023
💰 Bestätigter Datenverkauf
Apple PayNein — Policy verbietet es
Google PayEingeschränkt
PayPalBegrenzt, für Werbung
KlarnaJa — CCPA-Disclosure bestätigt
🤖 KI-Kundeninteraktion
Apple PayNicht vorhanden
Google PayGoogle Assistant (optional)
PayPalBegrenzt, isoliert
KlarnaOpenAI-Assistent verarbeitet Finanzdaten
⏳ Speicherdauer nach Kündigung
Apple PaySofortige Datenlöschung möglich
Google PayStandardlöschung binnen 18 Monaten
PayPalMehrere Jahre (Belege)
KlarnaBis 10 Jahre, keine echte Löschung
💼 Geschäftsmodell
Apple PayHardware & Services (kein Werbemodell)
Google PayWerbung (Alphabet-Konzern)
PayPalTransaktionsgebühren
KlarnaTransaktionen + Zinsen + Werbedaten
10
Regulatorischer Ausblick
// 10Der regulatorische
Sturm zieht auf
Drei neue Regelwerke werden Klarnas Datengeschäft unter Druck setzen — mit fundamentalen Auswirkungen auf das BNPL-Modell.
CCD2 — ab Nov. 2026
EU-Verbraucherkreditrichtlinie
Die bisherige Ausnahme für Kleinkredite unter 200 € entfällt. Klarna muss künftig bei jeder BNPL-Transaktion eine vollständige Kreditwürdigkeitsprüfung nach EBA-Standards durchführen, standardisierte Informationsblätter bereitstellen und ein 14-tägiges Widerrufsrecht gewähren. Begriffe wie „zinsfrei" könnten reguliert werden. Das EU-BNPL-Volumen: ~191 Mrd. USD (2025), Prognose 294 Mrd. USD (2030).
EU AI Act — ab 2026
Kreditscoring als Hochrisiko-KI
Klarnas ML-Kreditscoring-System fällt unter die Hochrisiko-KI-Kategorie des EU AI Acts (Anhang III). Ab 2026: Transparenzpflichten über Scoring-Logik, Bias-Erkennung und -Minderung, menschliche Aufsicht bei allen automatisierten Kreditentscheidungen, vollständige technische Dokumentation. AlgorithmWatch hat bereits Fälle dokumentiert, in denen Klarna diese Standards nicht erfüllt.
Laufende IMY-Verfahren
Schwedische Datenschutzbehörde
Zwei parallele Verfahren: (1) Untersuchung übermäßiger Identifizierungsanforderungen beim Einreichen von DSGVO-Anfragen. (2) Fortlaufende Beschwerden (372 seit 2018). Zugleich: Die verhängte DSGVO-Strafe von 671.000 € entspricht bei einem Umsatz von 2,81 Mrd. USD nur 0,024 % des Jahresumsatzes — weit unter dem DSGVO-Maximum von 4 %.
Der IPO als Wendepunkt: Klarnas Börsengang am 10. September 2025 (NYSE: KLAR) verpflichtet zu erhöhter Transparenz durch SEC-Berichtspflichten. Das F-1-Filing offenbarte erstmals die tatsächlichen Werbeeinnahmen — und zeigte, wie weit sich Klarna vom reinen Zahlungsdienst entfernt hat. Gleichzeitig erhöht die Börsennotiertheit den Druck, Datenschutzvorfälle öffentlich zu melden.
11
Deine Rechte & Gegenmassnahmen
// 11Was du tun kannst —
und was wirklich hilft
DSGVO-Rechte existieren bei Klarna auf dem Papier, sind in der Praxis aber oft schwer durchsetzbar. Diese Maßnahmen sind tatsächlich wirksam.
Datenkopie anfordern
thx4data@protonmail.com
Art. 15 DSGVO gibt dir das Recht auf eine vollständige Kopie aller gespeicherten Daten. Stelle einen schriftlichen, datierten Antrag per E-Mail. Klarna muss innerhalb von 30 Tagen antworten. Klarna liefert eine verschlüsselte PDF — in einem dokumentierten Extremfall dauerte es aber 3 Jahre und 7 Monate.
⏱ Mittel — 1 bis 4 WochenBankzugriff NICHT gewähren
App → Persönliche Finanzen → Deaktivieren
Verbraucherzentralen empfehlen ausdrücklich: Gewähre den Open-Banking-Zugriff auf dein Konto grundsätzlich nicht. Einmal aktiviert, liest Klarna alle Kontobewegungen der letzten 30–90 Tage — Miete, Arztkosten, Ausgaben im Supermarkt.
✓ Einfach — sofort wirksamWerbung widersprechen
App → Einstellungen → Benachrichtigungen
Du hast ein absolutes Widerspruchsrecht gegen Direktwerbung ohne Begründungspflicht (Art. 21 II DSGVO). Push-Benachrichtigungen in App-Einstellungen deaktivieren. Newsletter-Abmeldung über den Link in Klarna-Mails.
✓ Einfach — sofort wirksamProfiling widersprechen
thx4data@protonmail.com (schriftlich)
Berufe dich auf persönliche Umstände beim Widerspruch gegen Profiling auf Basis „berechtigter Interessen" (Art. 21 I DSGVO). Klarna muss dann prüfen, ob ihr Interesse überwiegt. Ohne schriftliche Begründung hat der Widerspruch wenig Chancen.
⏱ Mittel — Ergebnis unsicherKonto schließen
Kundenservice · Live Chat in App
Kein Lösch-Button vorhanden. Kundenservice kontaktieren, alle verwendeten E-Mail-Adressen angeben, alle offenen Beträge begleichen. Bearbeitungszeit bis 2 Wochen. Wichtig: Gesetzliche Aufbewahrungspflichten sichern Daten trotzdem bis zu 10 Jahre — das Konto wird gesperrt, nicht wirklich gelöscht.
⚠ Schwierig — unvollständigAlternative verwenden
Apple Pay · Banküberweisung · Barzahlung
Stärkste Schutzwirkung. Apple Pay: keine Servererfassung, kein Profiling, kein Datenverkauf. Direkte Banküberweisung: keine externe Bonitätsprüfung. Wer BNPL nutzen will, kann Ratenkauf über die eigene Hausbank anfragen — ohne Cross-Platform-Profiling.
✓ Beste OptionBeschwerde einreichen: Beim Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) unter bfdi.bund.de — oder beim Landesdatenschutzbeauftragten deines Bundeslandes. Alternativ direkt bei der schwedischen IMY (imy.se) — zuständig für Klarna Bank AB als Hauptverantwortlichem. Seit 2018 gingen dort 372 Beschwerden gegen Klarna ein. Die EDPB koordiniert länderübergreifende Verfahren.