SumUp
Zusammenfassung aus Eigentümerschaft und CLOUD-Act-Risiko.
-
EU-souverän In EU-/EWR-/Schweizer Eigentum und betrieben, ohne erkennbares CLOUD-Act-Risiko.
-
EU-ansässig EU-betrieben, mit höchstens geringfügigem oder vorübergehendem US-Bezug.
-
EU-gehostet Dieser Eintrag EU-Hosting verfügbar, aber ein US-Mutterkonzern oder Hyperscaler-Unterauftragsverarbeiter erzeugt ein materielles Risiko.
-
US-verbunden Von einem US-Unternehmen betrieben, direkt der US-Jurisdiktion unterworfen.
London-based mPOS fintech (originally Berlin), 4M+ SMBs, heavy US-VC funding (Goldman Sachs led €1.5B 2024); US$10-15B London listing in preparation.
SumUp bietet EU-Hosting in dem Vereinigten Königreich, doch ein US-Mutterkonzern oder Unterauftragsverarbeiter hinterlässt ein materielles CLOUD-Act-Risiko. Gelistet unter Zahlungen.
Bewertungsnotizen
SumUp is London-headquartered British fintech (HQ moved from Berlin to London long ago, founded 2012 by Daniel Klein, Alessandro Leoni, Marc Alexander Christ, Stefan Jeschonnek), serving 4M+ SMBs across the US, UK, Germany, France, and dozens of other markets, but the cap table is heavily US-funded (Goldman Sachs led €1.5B May 2024, plus Bain Capital Credit, Crestline, Oaktree, American Express), the company operates a US entity (SumUp Inc., Delaware), uses US banking partners (Fifth Third Bank as Payment Facilitator, Piermont Bank for banking services), and a London listing at US$10-15B is being prepared: ownership_signal: eu_hq_us_funded, cloud_act_exposure: material; a public self-serve DPA is available, but it grants general authorisation to engage sub-processors without naming any and no sub-processors list is published, which caps the score at 3.
Befund
- CLOUD Act
- CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
-
- Eigentümer
- Eigentümerschaft
Wo die letztliche Kontrolle über das Betreiberunternehmen liegt.
-
EU-Eigentum In der EU ansässig und EU-kontrolliert; keine nennenswerte US-Beteiligung.
-
EU-Sitz, US-finanziert Dieser Eintrag EU-Hauptsitz, aber von US-Risikokapital oder -Private-Equity kontrolliert.
-
EU-Tochter, US-Mutter Europäische Betriebsgesellschaft im Eigentum einer US-Muttergesellschaft.
-
US-Eigentum Das Betreiberunternehmen selbst hat seinen Hauptsitz in den USA.
-
Sonstige Eine Nicht-EU-Jurisdiktion. Schweizer/EWR-Eigentum gilt hier als europäisch; UK und andere nicht.
-
- Unterauftragsverarbeiter
- — nicht offengelegt
Geprüfte Signale
-
EU-/Angemessenheits-Hosting: Ja
-
EU-/Angemessenheits-Betreiber: Ja
-
Keine US-CLOUD-Act-Exposition: Nein
-
Öffentlicher AVV: Ja
-
Unterauftragsverarbeiter offengelegt: Nein
-
Open-Source-Clients: Nein
-
Zertifizierung durch Dritte: Nein
Springen zu
Über SumUp
SumUp is a London-headquartered British fintech (founded in Berlin in 2012 by Daniel Klein, Alessandro Leoni, Marc Alexander Christ, and Stefan Jeschonnek; CEO Daniel Klein) focused on mobile point-of-sale (mPOS), card terminals, and integrated payments for small businesses. The product targets the segment Square dominates in the US (micro-merchants, mobile traders, market vendors, hospitality, retail) with a hardware-led entry (the iconic SumUp Air card reader at €19 one-time) and a flat transaction fee (~1.39% in DACH; varies by market). The company serves 4M+ SMBs across the United States, the United Kingdom, Germany, France, and dozens of other markets across Europe and South America.
For an EU-sovereignty audit SumUp sits squarely in the "European brand, US-funded structurally" tier. The cap table is dominated by US institutional investors: Goldman Sachs (which led a US$624M / €1.5B funding round in May 2024 at an US$8.5B valuation), Bain Capital Credit, Crestline, Oaktree Capital Management, and American Express all hold significant positions, alongside Temasek (Singapore), BBVA Ventures (Spain), and Groupon (US). The company operates SumUp Inc. (a Delaware entity at 1209 Orange Street, Wilmington, the classic Delaware-registered-agent address) for US operations and uses US banking partners (Fifth Third Bank as registered Payment Facilitator and Piermont Bank for FDIC-member banking services in the US). As of April 2026 SumUp is reported to be preparing a possible London listing at a valuation of US$10-15B, with Deutsche Bank, Goldman Sachs, Jefferies and JPMorgan lining up the float and leadership said to prefer London to New York. Neither venue is an EU listing, so the ownership signal is unaffected either way.
Pricing in Germany: a pay-as-you-go tier at €0/month and 1.39% in person or 2.5% online, and a Payments Plus subscription (renamed from SumUp One) at €19/month for 0.79% domestic and 1.39% on premium, international and Amex cards, with custom terms above €10,000/month. Hardware is priced separately and is no longer listed on the pricing page. Best fit: micro-merchants and hospitality / retail SMBs wanting an inexpensive hardware-led card-acceptance solution. Procurement-grade EU buyers requiring an EU-controlled ownership chain should look at Adyen (Euronext Amsterdam) or Worldline (Euronext Paris), the two publicly-listed European processors in this category, instead.
Unterauftragsverarbeiter-Karte · nicht offengelegt
Rahmenwerke & Zertifizierungen · keine gelistet
Funktionsmatrix
Tabelle 1Funktionen von SumUp
Integration & Zugriff
Compliance & Governance
Preise & Tarife
Öffentliche Dokumente
Alternativen in dieser Kategorie
-
NiederlandeEU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein -
-
FrankreichEU-gehostetCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich Dieser Eintrag US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Nein Subprozessoren: Nein Open Source: Nein -
-
NorwegenEU-ansässigCLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
-
Keines EU-Betreiber, kein US-Mutterkonzern, keine relevanten US-Unterauftragsverarbeiter.
-
Gering Dieser Eintrag Ein vorübergehender US-Unterauftragsverarbeiter (CDN, Karten); ruhende Daten bleiben in der EU.
-
Erheblich US-Mutterkonzern oder ein zentraler Unterauftragsverarbeiter ist ein US-Hyperscaler.
-
Direkt Der Betreiber selbst ist US-ansässig.
Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein -
| Produkt | Souveränität | CLOUD Act | Signale | Ab |
|---|---|---|---|---|
Adyen
Niederlande
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Ja
Open Source: Nein
|
— |
Alma
Frankreich
|
EU-gehostet | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Nein
Subprozessoren: Nein
Open Source: Nein
|
— |
Dintero
Norwegen
|
EU-ansässig | CLOUD-Act-Risiko
Wie stark Kundendaten US-Behörden nach dem CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ausgesetzt sind.
|
Öffentl. AVV: Ja
Subprozessoren: Ja
Open Source: Nein
|
— |