FIDA: Open Banking für alles, was kein Zahlungskonto ist

Drei Instrumente, eine Richtung, verschiedene Reichweiten. Die Zahlungsdiensteverordnung erhält den PSD2-Zugang zu Zahlungskonten, kostenfrei, und verschärft ihn. PSD3 regelt Zulassung und Aufsicht der Zahlungsinstitute. FIDA regelt alles andere: die Daten, die eine Bank, ein Versicherer oder ein Wertpapierhaus hält und die kein Zahlungskonto sind. Als Verordnung gilt sie unmittelbar in jedem Mitgliedstaat, ohne nationale Umsetzung.

Diese Trennung zählt beim Zuschnitt eines Projekts. Wer für die PSR baut, erweitert eine bestehende PSD2-Schnittstelle. Wer für FIDA baut, öffnet Datenbereiche, die nie eine externe API hatten, in Systemen, die nie dafür gedacht waren, oft in einer Versicherungs- oder Wertpapierplattform statt im Kernbanksystem. Kernbanksysteme in Deutschland beschreibt, wie diese Systeme aussehen.

Die Reichweite ist groß. Vorschlag und Verhandlungspositionen umfassen Immobilien- und Verbraucherkredite, Konten und Spareinlagen, Anlageinstrumente, Kryptowerte, Nicht-Lebensversicherungen, Altersvorsorgeansprüche und Daten zur Kreditwürdigkeitsprüfung. Simmons & Simmons hält fest, dass die Fassungen von Kommission, Parlament und Rat erheblich auseinandergehen, wie weit das genau reicht.

Was draußen bleiben soll, ist so interessant wie das Drinnen. Eingabedaten für Geeignetheits- und Angemessenheitsprüfungen, Drittdaten und die Daten aus einem Kreditantragsprozess wurden zur Ausnahme vorgeschlagen, wie Deloitte anmerkt, und Lebens- und Krankenversicherungsprodukte waren durchgehend umstritten. Wer seine Dateninventur plant, sollte die Grenze als offen behandeln und mehr erfassen als das Minimum.

FIDA würde die API nicht vom Gesetzgeber schreiben lassen. Stattdessen müssen Datenhalter und Datennutzer einem Datenzugangssystem beitreten, einem Gremium mit Datenhaltern, Datennutzern und Verbraucherorganisationen, das die gemeinsamen Standards, Schnittstellen und Bedingungen setzt. Die Mitgliedschaft wäre für erfasste Unternehmen Pflicht.

Deshalb zählen das SPAA-Verfahren und die openFinance-Arbeit der Berlin Group kommerziell: Ein laufendes Branchenverfahren ist ein Kandidat, das FIDA-System seines Bereichs zu werden. Die offenen Fragen sind erheblich, und Simmons & Simmons listet sie: wie ein System grenzüberschreitend arbeitet, wer es beaufsichtigt, wie die Vergütung darin bestimmt wird und ob jede Datenart überhaupt ein System braucht, wenn die Kundennachfrage für manche unbelegt ist.

Jeder Datenhalter müsste dem Kunden ein Berechtigungs-Dashboard geben: eine Stelle, an der sichtbar ist, welche Unternehmen auf welche Daten zu welchem Zweck zugreifen, und an der eine Berechtigung endet. Für Kunden ist das der sichtbarste Teil von FIDA und der einzige, den die meisten je anfassen.

Für ein Institut ist es schwerer, als es aussieht. Ein Dashboard muss Berechtigungen aus verschiedenen Kanälen und verschiedenen Systemen in einer Ansicht bündeln, nahezu in Echtzeit. Ob der Kunde dort eine Berechtigung ändern darf oder sie nur sieht, war umstritten, weil ein reines Anzeige-Dashboard viel einfacher zu bauen und viel weniger nützlich ist. Wer die PSD2-Consent-Mechanik aus dem Berlin-Group-Standard betreibt, hat das Fundament dafür.

FIDA würde dem Datenhalter eine Vergütung für die Bereitstellung erlauben, und das ist der strukturelle Unterschied zu PSD2, wo der Zugang kostenlos ist. Die Vergütung würde im Datenzugangssystem gesetzt und nicht von jedem Unternehmen einzeln, und für Banken wird damit aus einer Compliance-Kostenstelle eine mögliche Erlösposition.

Wie die Höhe bestimmt wird, ist einer der offenen Punkte und der, der die Branche am meisten interessiert. Zu niedrig, und die API ist reine Kosten, dann baut man das Minimum. Zu hoch, und kein Datennutzer kann die Daten bezahlen, dann liefert die Verordnung nichts. Dieselbe Rechnung läuft im Markt freiwillig über SPAA, und Variable Recurring Payments zeigen, wie die Preisfrage ein Produkt um Jahre verzögert.

FIDA steckt seit 2025 im Trilog zwischen Parlament, Rat und Kommission und ist nicht abgeschlossen. Im Herbst 2026 steht kein Termin für weitere Trilogrunden fest, und die Fortsetzung ist offen, weshalb die Frage berechtigt ist, ob das Verfahren in der laufenden Kommissionsperiode fertig wird. Jedes selbstsicher genannte Datum verdient Misstrauen.

Auch der Übergangszeitraum ist offen, und die drei Institutionen liegen auseinander: Die Kommission schlug 24 Monate nach Inkrafttreten vor, das Parlament 30 bis 38 Monate und der Rat 18 bis 48 Monate je nach Datenart. Diese Spanne legt die realistische Anwendung in die Gegend von 2028 bis 2029, und die deutsche Umsetzungssicht nennt 24 bis 48 Monate nach Inkrafttreten.

Als Verordnung gilt FIDA unmittelbar in Deutschland, ohne deutsches Umsetzungsgesetz, wobei die BaFin sie durch Aufsichtspraxis ergänzt und die neue Kategorie des Finanzinformationsdienstleisters zulässt, den FISP, der eigene Lizenz, Versicherungsdeckung und eine echte Niederlassung statt einer Hülle braucht. Ein Versicherer fällt genauso darunter wie eine Bank, siehe Insurtech in Deutschland.

Die sinnvolle Vorbereitung ist kein FIDA-Projekt. Sie ist eine Dateninventur mit der Antwort, welche Kundendaten das Haus hält, in welchem System, in welcher Qualität und wer intern dafür zuständig ist. Die Arbeit an Governance, IT und Drittparteienrisiko überschneidet sich stark mit MaRisk, BAIT und DORA, wer die sauber gemacht hat, startet also nicht bei null. Nicht übertragbar ist der API-Betrieb für Daten, die das Haus nie verlassen haben.

FIDA ist die geplante EU-Verordnung über einen Rahmen für den Zugang zu Finanzdaten, oft Open-Finance-Verordnung genannt. Sie würde Banken, Versicherer, Wertpapierhäuser und andere Finanzinstitute verpflichten, Kundendaten auf Weisung des Kunden an zugelassene Datennutzer weiterzugeben, über APIs und nach den Regeln von Datenzugangssystemen, gegen Vergütung.

Nein. FIDA ist eine eigene Verordnung auf eigenem Gesetzgebungsweg. PSD3 und die Zahlungsdiensteverordnung regeln Zahlungsdienste und halten den Zugang zu Zahlungskontodaten kostenfrei. FIDA regelt andere Finanzdaten und führt eine Vergütung ein. Beide sind in der Absicht verwandt und rechtlich getrennt, und sie kommen nicht gleichzeitig.

Es gibt kein festes Datum. Die Verordnung ist im Trilog, und die drei Institutionen schlugen Übergangsfristen von 18 bis 48 Monaten nach Inkrafttreten vor. Nach den veröffentlichten Positionen ist eine Anwendung um 2028 oder 2029 die realistische Erwartung, und im Herbst 2026 hatten die Verhandlungen keine geplante Fortsetzung.