Die zweite europäische Zahlungsdiensterichtlinie, kurz PSD2, richtet sich an Banken und Zahlungsdienstleister, nicht an deinen Betrieb. Angekommen ist sie bei dir trotzdem: als PIN-Abfrage am Terminal, als zusätzlicher Freigabeschritt im Onlineshop, als Klausel im Akzeptanzvertrag. Wer weiß, welche Regel wozu gehört, ärgert sich seltener über Zahlungen, die anders laufen als früher.
Was die Richtlinie regelt
Die PSD2 ist eine europäische Richtlinie, die über das Zahlungsdiensteaufsichtsgesetz und das Bürgerliche Gesetzbuch in deutsches Recht übernommen wurde. Vier Themen daraus wirken bis in den Verkaufsraum: wer Zahlungsdienste erbringen darf und dafür eine Erlaubnis der Aufsicht braucht, wie eine Zahlung freigegeben werden muss, wer auf Kontodaten zugreifen darf und wer haftet, wenn eine Zahlung nicht vom Kontoinhaber stammt.
Dazu kommt eine Regel, die im Alltag oft falsch erinnert wird: Für die gängigen bargeldlosen Zahlarten darfst du kein zusätzliches Entgelt verlangen. Das betrifft die Überweisung, die SEPA-Lastschrift und die verbreiteten Verbraucherkarten.
Starke Kundenauthentifizierung: zwei aus drei Kategorien
Der bekannteste Teil ist die starke Kundenauthentifizierung. Eine Zahlung muss mit Merkmalen aus zwei verschiedenen Kategorien freigegeben werden: Wissen, also PIN oder Passwort, Besitz, also Karte oder Smartphone, und Inhärenz, also Fingerabdruck oder Gesicht. Zwei Merkmale aus derselben Kategorie genügen nicht, deshalb reicht die Karte allein ebenso wenig wie die PIN allein.
Entscheidend ist, wer prüft. Das tut die Bank der Kundschaft, also der Kartenherausgeber. Du löst die Prüfung aus, über das Ergebnis entscheidest du nicht. Diskussionen an der Kasse bringen deshalb nichts, wenn eine Karte plötzlich eine Freigabe verlangt.
Was davon am Terminal ankommt
Kontaktloses Zahlen ohne PIN bleibt möglich, aber begrenzt. Im Chip der Karte läuft ein Zähler mit, der die Beträge und die Anzahl der Zahlungen ohne Freigabe mitzählt. Ist eine Grenze erreicht, verlangt das Terminal die PIN, danach beginnt der Zähler von vorn. Die geltenden Grenzwerte stehen in der zugehörigen europäischen Verordnung und werden von den Kartensystemen umgesetzt; den aktuellen Stand nennt dir dein Netzbetreiber oder dein Acquirer.
Die Stolperstelle: Die Abfrage wirkt zufällig, weil der Zähler in der Karte sitzt und nicht im Terminal. Zwei Kunden hintereinander mit demselben Betrag können unterschiedlich behandelt werden. Das ist kein Defekt und kein Grund, das Gerät neu zu starten.
Zugang zum Konto für Drittdienste
Banken müssen anderen erlaubten Anbietern Zugang zum Konto geben, wenn die Kundschaft zustimmt. Daraus sind zwei Dienstarten entstanden: Kontoinformationsdienste, die Umsätze auslesen, etwa für Buchhaltung oder Bonitätsprüfung, und Zahlungsauslösedienste, die eine Überweisung im Namen der Kundschaft anstoßen. Hinter mancher Bezahlung per Onlinebanking in einem Shop steckt genau das.
Für deinen Betrieb ist das eher Chance als Pflicht. Buchhaltungsprogramme, die Kontoumsätze automatisch holen, arbeiten über diese Schnittstelle. Voraussetzung ist immer deine ausdrückliche Zustimmung, und die Bank darf den Zugang nicht schlechter ausgestalten als ihr eigenes Onlinebanking.
Haftung bei nicht autorisierten Zahlungen
Wird eine Zahlung ohne Zustimmung des Kontoinhabers ausgelöst, muss dessen Zahlungsdienstleister den Betrag grundsätzlich erstatten und sich das Geld anderswo holen. Dieser Mechanismus erklärt, warum die Freigabeschritte so hartnäckig durchgesetzt werden: Wer die Prüfung auslässt, trägt am Ende meist selbst den Schaden. Im Ladengeschäft mit Chip und PIN betrifft dich das selten, im Onlinegeschäft unmittelbar.
Was die Richtlinie nicht regelt
Ebenso wichtig ist, was nicht darin steht. Die PSD2 sagt nichts über die Höhe der Entgelte, die dein Acquirer dir berechnet, nichts über die Ausstattung deines Terminals und nichts über die Interchange zwischen den Banken. Letztere ist in einer eigenen europäischen Verordnung geregelt. Wer in Verkaufsgesprächen hört, ein Angebot sei wegen der PSD2 so gestaltet, sollte genauer nachfragen.
Wo wir aufhören
Ob eine bestimmte Klausel in deinem Akzeptanzvertrag zulässig ist, wer im Einzelfall haftet und ob eine geplante Abwicklung eine eigene Erlaubnis braucht, sind Rechtsfragen. Sie gehören zu deiner Rechtsberatung. Wir ordnen die Regeln ein, damit du die richtige Frage stellen kannst.
