Was ist PSD2?

Auch bekannt als: Payment Services Directive 2, Zweite Zahlungsdiensterichtlinie, Richtlinie (EU) 2015/2366, Zahlungsdiensterichtlinie

• PSD2 ist die Richtlinie (EU) 2015/2366 vom 25. November 2015, in Kraft getreten am 12. Januar 2016
• Die Umsetzungsfrist für die Mitgliedstaaten endete am 13. Januar 2018; in Deutschland erfolgte die Umsetzung durch das ZAG, das am 13. Januar 2018 wirksam wurde
• Die technischen Regulierungsstandards zur starken Kundenauthentifizierung stehen in der Delegierten Verordnung (EU) 2018/389, anwendbar seit dem 14. September 2019
• Die EBA verlängerte mit Stellungnahme vom 16. Oktober 2019 den Migrationszeitraum für die SCA im Kartengeschäft bis zum 31. Dezember 2020
• Die Europäische Kommission legte am 28. Juni 2023 ihren Vorschlag zur Modernisierung des Zahlungsdiensterechts (PSD3 und Zahlungsdiensteverordnung) vor

Was PSD2 regelt

Die Richtlinie hat drei Schwerpunkte. Erstens Marktzugang und Aufsicht: Wer gewerbsmäßig Zahlungsdienste erbringt, braucht eine Erlaubnis, und die Aufsichtsbehörden führen öffentliche Register — Artikel 14 PSD2 ist die Grundlage des deutschen ZAG-Instituts-Registers. Zweitens Sicherheit: PSD2 verpflichtet Zahlungsdienstleister zur starken Kundenauthentifizierung und zu Meldungen bei schwerwiegenden Sicherheitsvorfällen. Drittens Wettbewerb: Zahlungsauslösedienste und Kontoinformationsdienste erhielten erstmals einen regulierten Zugang zu Zahlungskonten, den kontoführende Institute nicht willkürlich verweigern dürfen. Hinzu kommen Verbraucherrechte, etwa engere Haftungsgrenzen bei nicht autorisierten Zahlungen und ein Verbot von Aufschlägen für gängige Kartenzahlungen.

Die technischen Regulierungsstandards

Die operativ wichtigsten Vorgaben stehen nicht in der Richtlinie selbst, sondern in der Delegierten Verordnung (EU) 2018/389 — den technischen Regulierungsstandards zur starken Kundenauthentifizierung. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne nationalen Umsetzungsakt. Sie enthält die praxisrelevanten Ausnahmen von der Authentifizierungspflicht, etwa für kontaktlose Zahlungen am Verkaufsort bis 50 Euro nach Artikel 11 und für Fernzahlungen über geringe Beträge bis 30 Euro nach Artikel 16. Ihr Geltungsbeginn war der 14. September 2019. Weil die Marktseite nicht vorbereitet war, verlängerte die Europäische Bankenaufsichtsbehörde mit ihrer Stellungnahme vom 16. Oktober 2019 den Migrationszeitraum bis zum 31. Dezember 2020.

Was PSD2 für SoftPOS-Anbieter bedeutet

Die Annahme und Abrechnung von Kartenzahlungen ist ein regulierter Zahlungsdienst. In Deutschland fällt sie unter das Akquisitionsgeschäft nach § 1 Absatz 1 Satz 2 Nummer 5 ZAG und erfordert eine Erlaubnis der BaFin nach § 10 ZAG. Anbieter haben deshalb im Kern zwei Wege: eine eigene Erlaubnis oder das Auftreten als Agent eines lizenzierten Instituts nach § 25 ZAG. Daneben existiert eine schmalere dritte Variante — wer ausschließlich Technik liefert und zu keinem Zeitpunkt in den Besitz der zu übertragenden Gelder gelangt, fällt unter die Ausnahme für technische Dienstleister in § 2 Absatz 1 Nummer 9 ZAG. Die Abwicklung selbst übernimmt dann ein lizenziertes Institut im Hintergrund.

Wie es mit PSD3 weitergeht

Die Europäische Kommission hat am 28. Juni 2023 ein Paket zur Modernisierung des Zahlungsdiensterechts vorgelegt. Vorgesehen sind unter anderem ein Austausch betrugsbezogener Daten zwischen Zahlungsdienstleistern, verschärfte Authentifizierungsvorschriften, erweiterte Erstattungsansprüche für Betrugsopfer und eine verbindliche Prüfung, ob IBAN und Empfängername zusammenpassen. Struktureller Kern des Vorschlags ist die Aufteilung: Aufsichtsrechtliche Fragen sollen in einer neuen Richtlinie bleiben, die Verhaltens- und Sicherheitsregeln dagegen in eine unmittelbar geltende Verordnung wandern. Für Händler bedeutet das mittelfristig weniger nationale Auslegungsunterschiede — bis zur Anwendbarkeit gelten aber unverändert PSD2, ZAG und die Delegierte Verordnung (EU) 2018/389.

Abgrenzung — womit PSD2 verwechselt wird

PSD2 wird häufig mit der MIF-Verordnung verwechselt. PSD2 regelt Zulassung, Sicherheit und Rechte der Nutzer, sagt aber nichts über die Höhe von Kartengebühren — dafür ist die Verordnung (EU) 2015/751 über Interbankenentgelte zuständig. Zweite Verwechslung: PSD2 ist eine Richtlinie und wirkt erst über nationales Recht wie das ZAG, während die Delegierte Verordnung (EU) 2018/389 unmittelbar gilt.

Verwandte Begriffe

Häufige Fragen

Gilt PSD2 direkt für mich als Händler?

Die Richtlinie adressiert Zahlungsdienstleister, nicht Händler. Sie merken die Wirkung trotzdem täglich: an der PIN-Abfrage ab bestimmten Beträgen, an der Authentifizierung im Onlineshop und daran, dass Ihr Zahlungsdienstleister eine Erlaubnis oder eine Agentenstellung nachweisen muss. Aufschläge für gängige Verbraucher-Karten sind Ihnen zudem untersagt.

Braucht mein SoftPOS-Anbieter zwingend eine eigene BaFin-Lizenz?

Nicht zwingend. Er kann als Agent eines lizenzierten Instituts nach § 25 ZAG auftreten; dann haftet das Institut für sein Handeln, und beides ist im ZAG-Instituts-Register nachvollziehbar. Ein reiner Technikanbieter, der zu keinem Zeitpunkt Gelder besitzt, kann unter die Ausnahme des § 2 Absatz 1 Nummer 9 ZAG fallen — die Abwicklung übernimmt dann ein lizenziertes Institut.

Was ist der Unterschied zwischen PSD2 und den RTS?

PSD2 ist die Richtlinie, die den Rahmen setzt und über nationales Recht wie das ZAG wirkt. Die technischen Regulierungsstandards stehen in der Delegierten Verordnung (EU) 2018/389 und gelten unmittelbar in allen Mitgliedstaaten. Dort finden sich die konkreten Beträge und Zähler für die Ausnahmen von der starken Kundenauthentifizierung.

Quellen

• EUR-Lex — Richtlinie (EU) 2015/2366 (PSD2)
• EUR-Lex — Delegierte Verordnung (EU) 2018/389 (RTS zur starken Kundenauthentifizierung)
• Europäische Kommission — Modernisierung der Zahlungsdienstleistungen (28.06.2023)

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.