Zahlungsverkehr Regulierung Deutschland

Ein Unternehmen, das in Deutschland Zahlungsdienste anbieten will, braucht eine schriftliche Zulassung der BaFin nach Paragraf 10 des Zahlungsdiensteaufsichtsgesetzes (ZAG), es sei denn, es hält bereits eine Lizenz aus einem anderen EU-Staat, die es nach Deutschland passportiert. Der Antrag umfasst den Geschäftsplan, die Zuverlässigkeit und Eignung von Geschäftsführung und qualifizierten Anteilseignern, eine Beschreibung der internen Governance- und Risikokontrollmechanismen und den Nachweis des Anfangskapitals, das das ZAG für die konkret geplanten Zahlungsdienste verlangt. Die BaFin prüft den Antrag und muss binnen drei Monaten nach Eingang eines vollständigen Antrags entscheiden, wobei ein unvollständiger Antrag diese Frist zurücksetzt. Unternehmen, die nur Zahlungen auslösen oder Kontoinformationen bereitstellen, unterliegen leichteren Kapitalanforderungen als solche, die Kundengelder halten.

Sobald ein Zahlungs- oder E-Geld-Institut lizenziert ist, muss es Kundengelder von seinem eigenen Geld trennen. Das ZAG verlangt diese Absicherung entweder durch ein separates Konto bei einem Kreditinstitut oder durch eine Versicherung oder vergleichbare Garantie, sodass Kundengeld auch bei einem Ausfall des Zahlungsunternehmens geschützt bleibt. Die Deutsche Bundesbank unterstützt die BaFin bei der laufenden Aufsicht über diese Institute, einschließlich ihrer Sicherungsvereinbarungen und Kapitalausstattung, nicht nur zum Zeitpunkt der Lizenzierung.

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (DORA) der EU unmittelbar für Zahlungs- und E-Geld-Institute und ergänzt die ZAG-Lizenz um weitere Pflichten. Ein reguliertes Zahlungsunternehmen braucht jetzt ein dokumentiertes IKT-Risikomanagement, muss seine Systeme auf Resilienz testen, größere IKT-Vorfälle innerhalb festgelegter Fristen an die BaFin melden und das Risiko steuern, das seine kritischen IT-Dienstleister, einschließlich Cloud-Anbieter, für den Betrieb darstellen. Ein Fintech, das seine ZAG-Lizenz vor 2025 erhielt, muss seine IKT-Governance trotzdem auf den DORA-Standard bringen, denn das Gesetz gilt unabhängig davon, wann die Lizenz erteilt wurde.

Die EU ersetzt die zweite Zahlungsdiensterichtlinie durch PSD3, eine neue Richtlinie, und die Payment Services Regulation (PSR), eine unmittelbar geltende Verordnung, die kein neues deutsches Umsetzungsgesetz wie das ZAG mehr braucht. Die Verhandler erzielten am 27. November 2025 eine vorläufige Einigung über das Paket, und Herbert Smith Freehills Kramer erwartet, dass die Regeln ab Mitte bis Ende 2027 gelten. Eine Einschätzung von Freshfields hält fest, dass die BaFin bereits signalisiert hat, ab 2026 eingereichte Zulassungsanträge sollten die Richtung der neuen Regeln widerspiegeln, etwa bei der IBAN-Namensprüfung vor einer Überweisung und schärferen Regeln zur Absicherung von Kundengeldern. Wer heute eine ZAG-Lizenz beantragt, plant damit faktisch für beide Regelwerke zugleich.

Finance Loop ist der Treffpunkt für die Rechts-, Compliance- und Lizenzteams, die ZAG, DORA und das kommende PSD3-Paket in der Praxis durcharbeiten, neben den Banken, Zahlungsinstituten und Fintechs, die sie beraten oder für die sie arbeiten. Finance Loop verbindet die Finance-, IT- und KI-Communities in Deutschland, Österreich und der Schweiz, mit Events in Frankfurt, München, Berlin und Hamburg.

Finance Loop unterstützt When Banks Say 'No', ein Payments-Seminar im NEXTOWER in Frankfurt für Compliance-, Treasury- und Rechtsteams, bei dem Dr. Julia Pfeil von Dentons über Zahlungsverkehr unter Sanktions- und Geldwäscherecht spricht. Finance Loop ist Partner der Digital Euro Association, Gastgeberin der Digital Euro Conference in Frankfurt. Außerdem kündigte Finance Loop die KI Exchange 2026 in Hamburg an, eine Konferenz von Payment & Banking, deren Programm KI-Governance und DORA-Compliance behandelte, mit erwarteten Sprechern der BaFin. Verwandte Seiten: Zahlungsverkehr in Deutschland, KYC in Deutschland und Finanzkriminalität im Zahlungsverkehr.

Nicht jeder Zahlungsdienstleister benötigt eine gesonderte Erlaubnis der BaFin als Zahlungsinstitut. In Deutschland zugelassene CRR-Kreditinstitute können Zahlungsdienste ohne diese zusätzliche ZAG-Erlaubnis erbringen. Wer ausschließlich Kontoinformationsdienste anbietet, unterliegt der Registrierung nach Paragraf 34. Tätigkeiten, die die gesetzlichen Ausnahmen in Paragraf 2 erfüllen, gelten nicht als Zahlungsdienste nach dem ZAG, können aber Anzeigepflichten unterliegen. Zahlungsinstitute mit einer Erlaubnis aus einem anderen EU-Staat können nach dem vorgeschriebenen grenzüberschreitenden Anzeigeverfahren innerhalb ihres Erlaubnisumfangs in Deutschland tätig werden.

Die BaFin muss binnen drei Monaten nach Eingang eines vollständigen Antrags entscheiden. Diese Frist läuft erst, sobald die BaFin den Antrag als vollständig einstuft; ein unvollständiger oder unklarer Antrag kann den Zeitrahmen deutlich über drei Monate hinaus verlängern.

DORA gilt seit dem 17. Januar 2025 unmittelbar für Zahlungs- und E-Geld-Institute in der ganzen EU, unabhängig davon, wann ihre Lizenz erteilt wurde. DORA verlangt ein IKT-Risikomanagement, Resilienztests, Vorfallmeldungen an die BaFin und die Überwachung kritischer IT-Dienstleister.