Mollie

Die Mollie B.V. ist eine niederländische besloten vennootschap (Gesellschaft mit beschränkter Haftung), eingetragen in Keizersgracht 126, 1015 CW Amsterdam, mit der Kamer-van-Koophandel-Nummer 30204462 und der USt-IdNr. NL81.58.39.091.B01. Händler aus dem EWR und der Schweiz unterzeichnen die Nutzungsvereinbarung der Mollie B.V., die niederländischem Recht unterliegt und Streitigkeiten in Amsterdam verhandelt; die Mollie B.V. ist nach dem niederländischen Finanzaufsichtsgesetz (Wft) lizenziert und wird von De Nederlandsche Bank unter der Relationsnummer F0038 beaufsichtigt. Britische Händler unterzeichnen eine separate Nutzungsvereinbarung mit der Mollie UK Ltd (Companies House 14013554, FCA FRN 977968), seit dem 2. November 2023 von der Financial Conduct Authority nach den Payment Services Regulations 2017 zugelassen, mit Streitabdeckung durch den britischen Financial Ombudsman Service. Kontinentaleuropäische Länder (Deutschland, Frankreich, Belgien, Italien, Spanien, Portugal, Österreich, Polen, Tschechien, Ungarn, Slowenien, Rumänien, Griechenland, Dänemark, Schweden, Finnland, Norwegen, Irland, Luxemburg) werden per EWR-Passporting aus der niederländischen Lizenz bedient; eine eigenständige Mollie GmbH oder Mollie SAS gibt es nicht.

Mollie hält zwei niederländische Finanzlizenzen auf derselben DNB-Relationsnummer F0038: eine Zahlungsinstitut-Lizenz nach PSD2 (DNB-Registercode WFTBI, gehalten seit 2012) und eine E-Geld-Institut-Lizenz nach EMD2 (DNB-Registercode WFTEG, hinzugefügt am 16. Januar 2024). Die EMI-Lizenz erweitert Mollies Möglichkeiten um die Ausgabe von E-Geld, das Anbieten von Guthabenkonten und die Bereitstellung lokaler IBAN-Konten. Die Mollie UK Ltd ist ein separates britisches Zahlungsinstitut, seit dem 2. November 2023 von der Financial Conduct Authority unter der FCA Firm Reference Number 977968 zugelassen; sie ist nach aktuellem Verifikationsstand kein britisches EMI. Mollie erklärt zudem die eigene Einhaltung der Leitlinien der Europäischen Bankenaufsichtsbehörde zur Sicherheit von Internetzahlungen. Eine deutsche BaFin-, französische ACPR- oder belgische NBB-Zulassung besteht nicht, weil EWR-Passporting aus der niederländischen Lizenz diese Märkte abdeckt.

Mollie hat keine US-Tochtergesellschaft. Die Gruppe besteht aus der Mollie B.V. (Niederlande, Muttergesellschaft und DNB-reguliert), der Stichting Mollie Payments (Niederlande, Verwahrstiftung unter DNB-Aufsicht über die Mollie B.V.) und der Mollie UK Ltd (Großbritannien, FCA-regulierte Tochtergesellschaft). Es gibt daher keine Mollie-Gesellschaft, die ein US-Gericht direkt nach dem CLOUD Act zwingen könnte. Die Exposition läuft über Subprozessoren und die Google-Cloud-Unterlage: Mollie hat seine Anwendungsplattform laut der öffentlichen Google-Cloud-Kundenfallstudie auf Google Cloud (GKE-Compute, Cloud SQL, Cloud Storage, Cloud CDN, Cloud Load Balancing, Cloud DNS) migriert und dies ist über die Live-HTTP-Header „via: 1.1 google“ auf api.mollie.com beobachtbar. Zu den weiteren US-ansässigen Subprozessoren zählen Zendesk (Helpdesk auf help.mollie.com), Cloudflare (Edge vor help.mollie.com und docs.mollie.com), ReadMe (Entwicklerdokumentation), Instatus (Statusseite), Ekata (eine Mastercard-Tochter, eingesetzt für AML- und KYC-Identitätsprüfung, in Mollies Datenschutzerklärung benannt) sowie Salesforce (Werbe-Cookies und Commerce-Integration). Mollies Datenschutzerklärung sieht ausdrücklich Nicht-EWR-Transfers nach den EU-Standardvertragsklauseln vor; die Sicherheitsseite versichert, dass Daten auf niederländischen Servern gespeichert werden, was beschaffungsreife Käufer Mollie schriftlich bestätigen lassen sollten, etwa als Pinning auf die Google-Cloud-Region europe-west4 (Eemshaven, Niederlande).

Nicht als dedizierte konsolidierte Liste. Anders als Stripe, Adyen und Square führt Mollie keinen einzelnen öffentlichen Subprozessoren-Index. Subprozessoren werden auf zwei Flächen referenziert: (1) Die Datenschutzerklärung unter mollie.com/legal/privacy benennt Ekata ausdrücklich (Identitätsprüfung, AML- und KYC-Screening) und verweist auf Kategorien von Verarbeitern, darunter Infrastrukturanbieter, Kundenservice- und CRM-SaaS, Werbenetzwerke sowie AML/CFT-Screening-Partner; (2) die Cookie-Richtlinie unter mollie.com/cookies benennt Google DoubleClick, X (vormals Twitter) und Salesforce als Betreiber von Werbe-Cookies. Die Google-Cloud-Beziehung ist separat auf Googles öffentlicher Kundenfallstudien-Seite unter cloud.google.com/customers/mollie dokumentiert. Live-DNS- und HTTP-Sondierungen fördern zusätzlich Zendesk, Cloudflare, ReadMe, Instatus und Framer als Betreiber von Mollies Hilfssubdomains zutage. Das Fehlen einer konsolidierten Liste auf DPA-Niveau ist eine dokumentierte Lücke gegenüber Mollies größeren PSP-Wettbewerbern.

Mollie unterzeichnet keinen klassischen Auftragsverarbeitungsvertrag nach Artikel 28 mit Händlern. Die in der Help-Center-DPA-Seite dokumentierte Position lautet, dass Mollie und der Händler nicht auf Weisung des jeweils anderen handeln, sondern beide unabhängige Verantwortliche für die von ihnen verarbeiteten personenbezogenen Daten sind. Das spiegelt Mollies Stellung nach der PSD2 und dem niederländischen Wwft (Wet ter voorkoming van witwassen en financieren van terrorisme) wider: Das Zahlungsinstitut hat eigene AML-, KYC- und Transaktionsüberwachungspflichten, die unabhängig vom Verantwortlichen-Status des Händlers sind. Praktisch erhalten Händler, die eine Verantwortlicher-Verantwortlicher-Vereinbarung oder eine gemeinsame Verantwortlichkeit anfragen, eine solche; Händler, die erwarten, dass Mollie als ihr Auftragsverarbeiter nach ihrem eigenen DPA-Muster auftritt, stoßen auf Widerstand. Die veröffentlichte Landingpage für den Datenverarbeitungsvertrag unter mollie.com/legal/data-processing-agreement und der einschlägige Help-Center-Artikel führen Händler durch den Ablauf.

Mollie hält PCI DSS Level 1 für die Verarbeitung von Kartendaten auf höchster Stufe; eine Attestation of Compliance ist Händlern auf Anfrage verfügbar, der Geltungszeitraum der AoC wird auf der öffentlichen Sicherheitsseite jedoch nicht veröffentlicht. Mollie veröffentlicht zudem jährliche ISAE-3402-Type-2-Prüfungen mit Deloitte als externem Auditor, die den Zahlungsprozess und die ihn unterstützenden IT-Anwendungen abdecken. ISO/IEC 27001 und SOC 2 werden auf Mollies öffentlichen Sicherheitsseiten nicht beworben; entweder hält Mollie sie ohne sie zu publizieren, oder das Unternehmen stützt sich auf seinen Stack aus ISAE 3402 plus PCI DSS plus DNB- und FCA-Aufsicht als Prüfgrundlage. Die neuere Sicherheitsseite verweist außerdem auf ein internes Penetrationstest-Team, das regelmäßige Cyberangriffssimulationen durchführt.

Am 11. Dezember 2025 vereinbarte Mollie die Übernahme der GoCardless Ltd, eines britischen Lastschriftspezialisten (Companies House 07495895, FCA FRN 597190, zugelassen nach den Payment Services Regulations 2017), für rund 1,05 Mrd. EUR. Mehr als 90 Prozent der Gegenleistung erfolgen in Mollie-Aktien, der Rest in bar. Der Abschluss der Transaktion wird Mitte 2026 erwartet, vorbehaltlich der regulatorischen Genehmigung durch DNB, FCA und die zuständigen Wettbewerbsbehörden. Nach Abschluss bedient die kombinierte Gruppe angegebene 350.000 europäische Händler und erweitert Mollies Abdeckung von UK Bacs Direct Debit erheblich. Der Stack der juristischen Personen nach Closing wird die GoCardless Ltd (Großbritannien) neben der Mollie UK Ltd (Großbritannien) und der Mollie B.V. (Niederlande) umfassen; DPA, Datenschutzerklärung und Subprozessoren-Exposition werden zum Closing erneut betrachtet. Bis Mai 2026 war der Deal noch nicht abgeschlossen, und die bestehende Mollie-B.V.-Nutzungsvereinbarung, Datenschutzerklärung und Lizenzen bleiben die vertragliche Grundlage für europäische Händler.