Das Zahlungsdiensteaufsichtsgesetz (ZAG)

Das geltende Gesetz stammt vom 17. Juli 2017 und trat am 13. Januar 2018 in Kraft, zur Frist der PSD2, wie der Gesetzestext ausweist. Es hat 14 Abschnitte, von den Begriffen und der Erlaubnis über die Sicherungsanforderungen und den Europäischen Pass bis zu den Pflichten aller Zahlungsdienstleister und den Strafvorschriften.

§ 1 nennt die Zahlungsdienste, von Einzahlung und Überweisung bis zum Akquisitionsgeschäft, Finanztransfergeschäft, Zahlungsauslöse- und Kontoinformationsdienst. Das ZAG reicht über Banken und Fintechs hinaus: Die Kanzlei SZA Schilling, Zutt & Anschütz (auf Englisch) nennt Lieferplattformen, die Kundengeld an Restaurants weiterleiten. § 2 zählt die Ausnahmen auf, etwa Handelsvertreter, die nur für eine Seite handeln, technische Dienstleister und Gutscheine oder Karten, die nur in einem begrenzten Netz gelten. Wer sich auf das begrenzte Netz stützt, muss es der BaFin anzeigen, sobald die Zahlungen der letzten zwölf Monate eine Million Euro übersteigen.

Wer im Inland gewerbsmäßig Zahlungsdienste erbringt, braucht nach § 10 die schriftliche oder elektronische Erlaubnis der BaFin, ein E-Geld-Emittent nach § 11. Die BaFin entscheidet binnen drei Monaten nach vollständigem Antrag und lehnt ab, wenn die Unterlagen nach zwölf Monaten noch fehlen. Ein reiner Kontoinformationsdienst lässt sich nach § 34 registrieren. Ablauf und Kosten beschreiben Zahlungsverkehr: Regulierung und BaFin-Lizenz.

§ 12 setzt das Anfangskapital: 20.000 Euro nur für das Finanztransfergeschäft, 50.000 Euro nur für Zahlungsauslösedienste, 125.000 Euro für die übrigen Zahlungsdienste und 350.000 Euro für ein E-Geld-Institut. Nach § 17 sind Kundengelder jederzeit getrennt zu halten, auf einem Treuhandkonto bei einem Kreditinstitut oder einer Zentralbank, in sicheren liquiden Aktiva oder abgedeckt durch eine Versicherung oder Garantie eines konzernfremden Unternehmens. Gelder für E-Geld sind nach § 18 spätestens fünf Geschäftstage nach Ausgabe zu sichern.

Abschnitt 10 des ZAG gilt für alle Zahlungsdienstleister, auch für Banken. Die §§ 48 bis 52 geben zugelassenen Zahlungsauslöse- und Kontoinformationsdiensten Zugang zu Kundenkonten über die Schnittstelle der Bank, die Rechtsgrundlage für Open Banking in Deutschland, und § 55 verlangt die starke Kundenauthentifizierung. Die §§ 53 und 54 regeln operative Risiken und Vorfallsmeldungen.

Auch für Euro-Stablecoins zählt die ZAG-Erlaubnis. Nach MiCAR darf nur ein Kreditinstitut oder ein E-Geld-Institut einen E-Geld-Token öffentlich anbieten, ein deutscher Emittent außerhalb der Bankbranche braucht also eine Erlaubnis nach § 11. Das ZAG regelt den Emittenten, MiCAR die Regeln für den Token.

Bevor ein Institut Zahlungsdienste über einen Agenten erbringt, zeigt es nach § 25 der BaFin und der Bundesbank Name und Anschrift des Agenten an, seine Kontrollen gegen Geldwäsche, seine Geschäftsleiter und die geplanten Dienste. Die BaFin entscheidet binnen zwei Monaten über die Eintragung ins Register, erst danach darf der Agent beginnen. Die §§ 38 und 39 regeln den Europäischen Pass: Ein im EWR zugelassenes Institut darf in Deutschland ohne BaFin-Erlaubnis tätig sein.

Die BaFin hat die ZAG-MaRisk, ihre Mindestanforderungen an das Risikomanagement von Zahlungs- und E-Geld-Instituten, am 27. Mai 2024 als Rundschreiben 07/2024 (BA) veröffentlicht, wie die Bundesbank angibt. Institute reichen nach § 29 Monatsausweise ein, und seit dem 17. Januar 2025 gilt für ihr IT-Risiko DORA. Nach § 63 ist das Erbringen von Zahlungsdiensten oder E-Geld-Geschäft ohne Erlaubnis strafbar, mit bis zu fünf Jahren Freiheitsstrafe.

Das ZAG ist das Zahlungsdiensteaufsichtsgesetz. Es verlangt eine BaFin-Erlaubnis für Zahlungsdienste und E-Geld und überträgt den aufsichtsrechtlichen Teil der PSD2 in deutsches Recht.

Die BaFin erteilt die Erlaubnis und trifft die Maßnahmen. Die Bundesbank stellt Meldeformulare und Merkblätter für ZAG-Institute bereit, von der Agentenanzeige bis zum Monatsausweis, und wirkt an der laufenden Aufsicht mit. Sie verlinkt auch eine nicht amtliche englische Fassung des Gesetzes.

Für Kryptowerte selbst gelten MiCAR und das Kreditwesengesetz. Das ZAG gilt aber für den Emittenten eines Euro-E-Geld-Tokens außerhalb der Bankbranche, der eine E-Geld-Erlaubnis nach dem ZAG braucht.

Die PSD3 ist eine Richtlinie, Deutschland muss sie also wieder ins ZAG übertragen, und die E-Geld-Richtlinie geht im selben Rahmen auf. Die Verhaltensregeln wandern in die unmittelbar geltende Zahlungsdiensteverordnung. Den Stand zeigt die PSD3-Seite.