Jusletter IT

Die Zahlungsdiensterichtlinie (auch Payment Services Directive 2, PSD 2)¹ soll im europäischen Binnenmarkt einheitliche Wettbewerbsbedingungen für Zahlungsdienste schaffen, die Effizienz von Zahlungsdiensten erhöhen, den Verbraucherschutz und die Sicherheit verbessern und die Innovation fördern. Die PSD 2 ersetzt seit dem 12. Januar 2016 die erste Zahlungsdiensterichtlinie von 2007 und ist durch die EU-Mitgliedstaaten bis 13. Januar 2018 in das nationale Recht umzusetzen.

Zahlungsdienste werden in Anhang I der Richtlinie definiert. Es handelt sich um Dienste für Einzahlungen und Abhebungen, für Lastschriften und Überweisungen sowie für Vorgänge im Kontext von Zahlungskarten. Ebenfalls unter den Begriff fallen die bisher nicht regulierten Zahlungsauslösedienste (Dienste, die im Auftrag des Kunden eine Zahlung von einem bei einem anderen Zahlungsdienstleister geführten Konto auslösen) und Kontinformationsdienste (Dienste, die dem Kunden in Echtzeit einen Überblick über seine Konten bei anderen Dienstleistern vermitteln).²

Unter die Richtlinie fallen insbesondere viele Technologieunternehmen im Finanzsektor (FinTech). Ihr Ziel ist zumeist, Zahlungsdienstleistungen dank moderner Informationstechnologie einfacher und schneller zu machen. Dabei geht es nicht mehr allein um Transaktionen vom PC aus, sondern insbesondere um mobile Anwendungen auf dem Smartphone.³

Für FinTech-Unternehmen ist insbesondere interessant, dass die PSD 2 bestimmten Diensteanbietern Zugang zu Zahlungssystemen und den Zahlungskontoinformationen von Kreditinstituten gewährt (selbstverständlich nur mit Zustimmung des jeweiligen Kunden).⁴ Der Zugang erfolgt über ein Application Programming Interface (API), also über eine definierte elektronische Schnittstelle. Er soll Drittanbietern den Marktzugang vereinfachen und den Wettbewerb und die Innovation stärken, indem das Monopol der Banken auf deren Zahlungsdaten beseitigt wird. Die Europäische Bankenaufsichtsbehörde EBA regelt die technischen Details für diesen Zugang.

Unternehmen, die Zahlungsdienste erbringen, benötigen eine Bewilligung. Weil Zahlungsauslöse- und Kontoinformationsdienste inzwischen Zugang zu sensiblen Informationen erhalten, unterstehen auch sie neu dieser Bewilligungspflicht. Die Unternehmen müssen u.a. in ihrem Herkunftsstaat und bei der EBA registriert sein und – abgesehen von Kontoinformationsdiensten – ein minimales Anfangskapital aufweisen.⁵

Die Art. 95 ff. PSD 2 regeln den Umgang mit sicherheitsrelevanten Risiken und die Kundenauthentifizierung.

So muss der Zahlungsdienstleister beispielsweise bei schwerwiegenden Vorfällen die zuständige Behörde und, sofern deren finanzielle Interessen betroffen sein könnten, seine Kunden informieren. Bevor der Kunde zudem auf sein Zahlungskonto zugreifen oder Zahlungsvorgänge auslösen kann, muss er sich bei der kontoführenden Anbieterin authentifizieren. Dabei muss eine starke Kundenauthentifizierung erfolgen, d.h. mindestens eine Zwei-Faktor-Authentifizierung mit Elementen der Kategorien Wissen (wie ein Passwort), Besitz (wie eine Chipkarte) oder «Inhärenz» (dazu gehören z.B. Fingerabdruck, Iris- oder Gesichtserkennung). Bei Zahlungsvorgängen müssen zudem entweder der Betrag oder der Zahlungsempfänger in einem Authentifizierungselement integriert werden.

Die Beweislast für die korrekte Authentifizierung sowie die korrekte Aufzeichnung und Buchung von Vorgängen liegt beim Dienstleister. Nur wenn der Dienstleister beweist, dass der Kunde absichtlich oder grob fahrlässig einen Schaden verursacht hat, haftet der Kunde.⁶

Als EU-Richtlinie ist die PSD 2 für Schweizer Unternehmen nicht verbindlich. Die Eidgenössische Finanzmarktaufsicht FINMA sieht die PSD 2 zudem hauptsächlich als wettbewerbspolitisch motivierte Regulierung. Nachdem sie bisher kein Regulierungsmandat wettbewerbsrechtlicher Stossrichtung hat, beabsichtigt die FINMA keine analoge Regulierung für die Schweiz, insbesondere nicht für den Zugriff von Dritten.⁷

Simon Schlauri