Heute tritt die zweite Zahlungsverkehrsrichtlinie (PSD2) in Kraft

Seit der ersten Entwurfsfassung sind 29 Monate
vergangen. Das EU Parlament hatte Anfang Oktober 2015 zugestimmt. Der
Europäische Rat im Dezember 2015. Die Richtlinie war noch vor Weihnachten im
Amtsblatt veröffentlicht worden. Heute tritt sie in Kraft.

Was bedeutet dies für die Welt des Zahlungsverkehrs?

Die Richtlinie enthält zahlreiche Verschärfungen der Ausnahmevorschriften, d.h. sie engt den Bereich der Tätigkeiten ein, die nicht einer Erlaubnis zum Betrieb von Zahlungsdiensten bedürfen. Die Richtlinie bietet erstmals eine umfassende Regulierung der sogenannten „dritten Zahlungsdienstleister“; dies sind Zahlungsauslösedienste (wie z.B. Sofortüberweisung oder iDeal) und Kontoinformationsdienste (wie z.B. Mint und Vaamo). Sie enthält zahlreiche neue Risikomanagement- und Sicherheitsvorschriften für Zahlungsdienstleister, so z.B. auch Neuerungen für die verstärkte Authentifizierung des Nutzers von Zahlungsdiensten. Hierdurch sollen Zahlungen unter Abwesenden zukünftig noch sicherer und Missbrauchsfälle vermieden werden.

Wann müssen Zahlungsdienstleister die PSD2 beachten?

Die Richtlinie muss erst in nationales Recht umgesetzt werden, bevor sie für Unternehmen und Verbraucher gilt. Hierfür hat der europäische Gesetzgeber eine Frist bis zum 13. Januar 2018 gesetzt. An diesem Tag treten alle nationalen Umsetzungsgesetze in Kraft.

Die Vorschriften über „dritte Zahlungsdienstleister“ haben eine längere Übergangsfrist. Solche Dienste, die vor dem 13. Januar 2016 bestanden, dürfen auch nach dem 13. Januar 2018 noch ohne Erlaubnis weiterbetrieben werden, nämlich bis zu dem Datum, an dem die Vorschriften über die sichere Authentifizierung und die sichere Kommunikation in Kraft treten. Das wird voraussichtlich spätestens Mitte 2018, aber vielleicht auch schon früher, der Fall sein. Neue „dritte Zahlungsdienstleister“ müssen aber ab dem 13. Januar 2018 eine Erlaubnis zum Geschäftsbetrieb haben.

Zahlreiche Aufgaben der Europäischen Bankenaufsichtsbehörde (EBA)

Die EBA hat in den nächsten zwei Jahren noch insgesamt 6 technische Regulierungsstandards und 5 sogenannte Leitlinien zu entwickeln und diese müssen in Kraft gesetzt werden.

Im Einzelnen (jeweils mit Nennung des Artikels der PSD2, in dem sich der Auftrag an die EBA findet):

Technische Regulierungsstandards

Art. 5(6): Technische Regulierungsstandards zur Präzisierung u.a. der Informationen, die den zuständigen Behörden in dem Antrag auf Zulassung von Zahlungsinstituten zu übermitteln sind.

Art. 15(4): Technische Regulierungsstandards zur Festlegung der technischen Anforderungen für die Entwicklung, den Betrieb und die Führung des elektronischen zentralen Registers und für den Zugang zu den darin enthaltenen Angaben.

Art. 28(5): Technische Regulierungsstandards zur Festlegung der Rahmenbedingungen für die Zusammenarbeit und den Informationsaustausch zwischen den zuständigen Behörden des Herkunftsmitgliedstaats und denen des Aufnahmemitgliedstaats.

Art. 29(5): Technische Regulierungsstandards, in denen die Kriterien bestimmt werden, die bei der Festlegung — in Einklang mit dem Grundsatz der Verhältnismäßigkeit — der Umstände, unter denen die Benennung einer zentralen Kontaktstelle angebracht ist, und bei der Festlegung der Aufgaben dieser Kontaktstellen anzuwenden sind.

Art. 95(4): Technische Regulierungsstandards zu den Kriterien und den Bedingungen für die Festlegung und Überwachung von Sicherheitsmaßnahmen.

Art 98(1): Technische Regulierungsstandards für die Authentifizierung und die Kommunikation.

Technische Regulierungsstandards werden erst wirksam, sobald die Europäische Kommission sie mittels delegierter Rechtsakte gebilligt hat und ihnen damit verbindliche Rechtswirkung verleiht.

Leitlinien

Art. 5(4): Leitlinien für die Kriterien, anhand deren die Mindestdeckungssumme der Berufshaftpflichtversicherung oder einer anderen gleichwertigen Garantie (für „dritte Zahlungsdienstleister“) festgelegt werden.

Art. 5(5): Leitlinien für u.a. die Informationen, die den zuständigen Behörden in dem Antrag auf Zulassung von Zahlungsinstituten zu übermitteln sind.

Art. 95(3): Leitlinien für die Festlegung, Anwendung und Überwachung der Sicherheitsmaßnahmen, gegebenenfalls unter Einbeziehung von Zertifizierungsverfahren.

Art. 96(3): Leitlinien für Zahlungsdienstleister zur Klassifizierung der schwerwiegenden Vorfälle [Sicherheitsvorfälle] sowie Inhalt, Format — einschließlich Standardformblättern für die Meldungen — und Verfahren für die Meldung solcher Vorfälle. Leitlinien für die zuständigen Behörden über Kriterien für die Bewertung der Relevanz eines Vorfalls und Einzelheiten der Meldung von Vorfällen an andere nationale Behörden.

Art 100(6): Leitlinien für die zuständigen Behörden zu den Beschwerdeverfahren, die in Betracht zu ziehen sind, um die Gewährleistung und Überwachung der Einhaltung der Richtlinie sicherzustellen.

Leitlinien sind von den nationalen Aufsichtsbehörden und von der EZB, wenn sie als Aufsichtsbehörde tätig wird, zu beachten, es sei denn diese widersprechen der Anwendung; diesen Widerspruch hat die EBA zu veröffentlichen. Sie kann auch die Gründe veröffentlichen.

Fazit

Jedem der Regelwerke (Technische Regulierungsstandards und Leitlinien) wird eine Anhörung der EBA vorangehen. Die Diskussion über den technischen Regulierungsstandard zur Authentifizierung und Kommunikation hat die EBA bereits Anfang Dezember 2015 ins Leben gerufen. Hier geht es um die Fortentwicklung der EBA Leitlinien vom Dezember 2014.

Die nationalen Regierungen werden Ausführungsgesetze zur PSD2 entwerfen und in den nationalen Parlamenten erörtern müssen. Allerdings sind die Spielräume für national eigenständige Regelungen im Rahmen der PSD2 sehr gering. Bei den Ausführungsgesetzen geht es also vor allem um richtige Umsetzung.

Besonders im Jahr 2016 werden Zahlungsdienstleister an zahlreichen Stellen durch Kommentare und Hinweise an die Aufsichtsbehörden versuchen können, auf die Regulierung Einfluss zu nehmen. Die Qualität der Regulierung liegt damit auch teilweise in der Hand der Stakeholder.