Die PSD2, die zweite Zahlungsdiensterichtlinie
Die PSD2 ist die Richtlinie (EU) 2015/2366, das EU-Regelwerk für Zahlungsdienste und die Unternehmen, die sie erbringen. Sie hat Bankkonten für zugelassene Drittdienste geöffnet und die starke Kundenauthentifizierung zur Regel für Online-Zahlungen gemacht. In Deutschland steht sie im Zahlungsdiensteaufsichtsgesetz (ZAG) und im BGB, siehe Zahlungsverkehr: Regulierung.
Zahlungsdienste und Kontozugang nach PSD2
Die PSD2 löste die erste Zahlungsdiensterichtlinie von 2007 ab. Deutschland setzte sie zum 13. Januar 2018 mit dem Zahlungsdiensteumsetzungsgesetz um, wie die Bundesbank erläutert. Ihr Anhang nennt die erlaubnispflichtigen Zahlungsdienste: Ein- und Auszahlungen, Überweisungen, Lastschriften und Kartenzahlungen, die Ausgabe von Zahlungsinstrumenten und das Akquisitionsgeschäft, das Finanztransfergeschäft, Zahlungsauslöse- und Kontoinformationsdienste.
Erbringen dürfen sie nur bestimmte Institute: Banken, E-Geld-Institute, Zahlungsinstitute, Postgiroämter, Zentralbanken und Behörden. Ein Zahlungsinstitut braucht ein Anfangskapital von 20.000 Euro nur für das Finanztransfergeschäft, 50.000 Euro nur für Zahlungsauslösedienste und 125.000 Euro für die übrigen Dienste, so Artikel 7 der Richtlinie. Artikel 3 nennt die Ausnahmen, etwa Zahlungen über einen Handelsvertreter, der nur für eine Seite handelt, und Instrumente, die nur in einem begrenzten Netz von Geschäften gelten.
PSD2-Schnittstelle: Zahlungsauslösung und Kontoinformation
Die PSD2 hat zwei Dienste unter Aufsicht gestellt, die vorher ohne Erlaubnis liefen. Ein Zahlungsauslösedienst startet eine Überweisung vom Online-Konto des Zahlers bei einer anderen Bank, ein Kontoinformationsdienst zeigt die Salden mehrerer Konten an einem Ort. Den Zugang darf die kontoführende Bank nicht von einem Vertrag mit dem Anbieter abhängig machen (Artikel 66 und 67).
Die Technik regeln die Standards zur Authentifizierung und sicheren Kommunikation, die Delegierte Verordnung (EU) 2018/389. Banken mussten ihre Schnittstellen ab dem 14. März 2019 zum Test öffnen und ab dem 14. September 2019 alle Vorgaben erfüllen. In Deutschland nutzen die meisten Banken dafür den Standard der Berlin Group, siehe Berlin Group API und Open Banking in Deutschland.
Authentifizierung, Erstattung und Haftung
Artikel 97 verlangt eine starke Kundenauthentifizierung, wenn ein Zahler online auf sein Konto zugreift, eine elektronische Zahlung auslöst oder über einen Fernkanal mit Betrugsrisiko handelt. Die Europäische Bankenaufsichtsbehörde EBA hat die technischen Standards dazu entworfen und erlässt Leitlinien zur PSD2, darunter die Leitlinien zur Betrugsmeldung.
Bei einer nicht autorisierten Zahlung erstattet der Zahlungsdienstleister den Betrag spätestens bis zum Ende des folgenden Geschäftstags (Artikel 73). Bei Verlust oder Diebstahl der Karte haftet der Zahler mit höchstens 50 Euro, außer bei Betrug oder grober Fahrlässigkeit (Artikel 74). Eine Lastschrift kann der Zahler acht Wochen lang zurückfordern (Artikel 76), und eine Überweisung erreicht die Bank des Empfängers bis zum Ende des nächsten Geschäftstags (Artikel 83).
Die PSD2 in Deutschland, der Weg zur PSD3
Der aufsichtsrechtliche Teil steht im neu gefassten ZAG, nach dem die BaFin Zahlungs- und E-Geld-Institute zulässt und beaufsichtigt. Der zivilrechtliche Teil, von der Autorisierung über die Erstattung bis zur Haftung, steht in den §§ 675c ff. BGB. § 270a BGB verbietet Entgelte für die Zahlung per SEPA-Überweisung, SEPA-Lastschrift oder Verbraucherkarte.
Die EU ersetzt die PSD2 durch die PSD3 und die Zahlungsdiensteverordnung. Bis diese gelten, bleiben die PSD2, die deutschen Gesetze dazu und die danach erteilten Erlaubnisse in Kraft.
Kommende Payments-Events
Was ist die PSD2, einfach erklärt?
Die PSD2 ist das EU-Gesetz, das regelt, wer für andere Geld bewegen darf, wie eine Zahlung zu authentifizieren ist und was ein Kunde zurückbekommt, wenn eine Zahlung schiefgeht. Sie erlaubt zugelassenen Apps außerdem, mit Zustimmung des Kunden Zahlungen vom Bankkonto auszulösen oder den Kontostand abzurufen.
Ist die PSD2 Richtlinie oder Verordnung?
Eine Richtlinie. Jeder Mitgliedstaat hat sie in eigenes Recht übertragen, Deutschland über das ZAG und das BGB. Die technischen Standards zur starken Kundenauthentifizierung sind dagegen eine delegierte Verordnung und gelten unmittelbar. Die Nachfolger trennen beides: Die PSD3 ist eine Richtlinie, die Zahlungsdiensteverordnung gilt direkt.
Wer braucht eine PSD2-Lizenz?
Jedes Unternehmen, das einen der Zahlungsdienste aus dem Anhang gewerbsmäßig erbringt und keine Bank oder andere ausgenommene Stelle ist. In Deutschland erteilt die BaFin die Erlaubnis nach dem ZAG. Ein in einem anderen EU- oder EWR-Staat zugelassenes Institut kann deutsche Kunden nach einer Anzeige bei seiner Heimataufsicht über den Europäischen Pass bedienen.
Was unterscheidet PSD2 und PSD3?
Die PSD3 übernimmt Dienste und Erlaubnisse der PSD2 und bezieht die E-Geld-Richtlinie in denselben Rahmen ein. Die Verhaltensregeln wandern in die Zahlungsdiensteverordnung, mit einer Namensprüfung vor Überweisungen, Erstattung bei bestimmten Betrugsfällen mit falscher Identität und strengeren Regeln für Bankschnittstellen. Den Stand beschreibt die PSD3-Seite.
Die PSD2 und Finance Loop
Finance Loop behandelt die PSD2 im Feld Payments & digitales Geld, wo Open Banking, Kartenzahlung und Echtzeitüberweisung auf ihren Regeln laufen, und im Feld Risk & Compliance. Finance Loop unterstützt When Banks Say 'No', ein Zahlungsverkehrsseminar in Frankfurt für Compliance-, Treasury- und Rechtsteams, und veranstaltet Events in Frankfurt, München, Berlin und Hamburg.
Finance Loop ist ein Experten-Netzwerk und will neue Technologien im Finanzwesen voranbringen, wie KI, digitale Zahlungen sowie Cloud- und Blockchain-Lösungen. Finance Loop hilft seinen Mitgliedern, Fähigkeiten und persönliche Netzwerke in diesen Feldern aufzubauen: Investment & digitale Vermögenswerte, Payments & digitales Geld, Digitale Infrastruktur & Souveränität und Risk & Compliance.