natürlich kann er mit der bankverbindung im internet shoppen gehen, brauchst nur irgendwo anzugeben: kauf per bankeinzug
das muss dir trotzdem keine angst machen, du kannst solchen einzügen - ich glaube innerhalb von sechs wochen - widersprechen und die bank schreibt dir den zu unrecht eingezogenen betrag sofort wieder gut.
so etwas ist mir aber noch nie passiert und ich habe meine bankverbindung schon oft rausgegeben. macht ja auch jedes unternehmen auf dem briefpapier, also keine angst!
zur zweiten fage: meistens reicht sogar schon allein die iban, zur sicherheit solltest du die bic trotzdem auch weitergeben.