Was ändert sich durch PSD2 im Zahlungsverkehr?

Am 14. September 2019 wird’s ernst. Dann nämlich greift die neue Zahlungsdiensterichtlinie PSD2 (Payment Services Directive 2). ratenkauf by easyCredit erklärt, worauf Händler und Verbraucher achten sollten und was sich in Zukunft ändert. Oder bleibt doch das meiste sowieso beim Alten?

Im Oktober 2015 von der Europäischen Kommission beschlossen, zum 13. Januar 2018 in nationales Recht umgesetzt und am 14. September 2019 tritt sie verpflichtend in Kraft. Gemeint ist das Gesetz zur Umsetzung der Zweiten Zahlungsdiensterichtlinie, kurz PSD2. Die Payment Services Directive 2 ist eine EU-Richtlinie zur Regulierung von Finanzinstituten und Drittdiensten, den sogenannten Third Party Providers (TPPs). Dies können Zahlungsauslösedienste sowie Kontoinformationsdienste sein. Unter anderem soll so der europaweite Wettbewerb im Markt gesteigert und die Teilnahme von Nichtbanken an der Zahlungsbranche erleichtert werden. Weitere Ziele der PSD2 sind mehr Sicherheit im Zahlungsverkehr, ein stärkerer Verbraucherschutz sowie die Förderung und den Aufbau von Innovationen.

Anwendung findet die PSD2 für Zahlungen in EU- beziehungsweise EWR-Währungen zwischen im EU- und Europäischen Wirtschaftsraum ansässigen Zahlungsdienstleistern. Angeschlossen sind zudem auch teilweise Zahlungen in fremden Währungen und außerhalb des EWR wie zum Beispiel US-Dollar, Britische Pfund oder Schweizer Franken.

Was bedeutet die PSD2 für (Online-)Händler?

Bislang wurden Kundendaten und -informationen bei einer Zahlungsauslösung per »Screen Scraping« ausgelesen, wenn diese nicht über die herkömmlichen Standards HBCI/FinTS übermittelt wurden. Hierbei greifen Drittdienste auf Kundendaten aus deren Onlinebanking zu. Banken war es aber unmöglich zu erkennen, ob es sich bei diesem Screening um den Kunden selbst oder einen (nicht autorisierten) Dritten handelt. Die Europäische Kommission setzt mit der neuen PSD2 nun die technischen Regulierungsstandards für eine sichere Kommunikation. Mit der PSD2 soll das Screen Scraping durch von den Banken bereitgestellte APIs ersetzt werden. Der Zugriff auf Zahlungskonten und der anschließende Datenaustausch erfolgt dann nur noch und ausschließlich über bestimmte Datenschnittstellen (APIs) der Banken. Gleichzeitig müssen sich deutsche Drittdienstleister bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) registrieren lassen und durch Zertifikate den Banken gegenüber eindeutig identifizieren. Für den Kunden laufen die Prozesse allesamt unsichtbar. Händler können nun durch die Öffnung der Kontoschnittstellen für Drittdienstleister ihren Kunden ganz neue, innovative (Online)-Bezahlmethoden anbieten.

Allerdings reguliert die PSD2 auch die neue Strong Customer Authentication (SCA) für die Initiierung von Kundenzahlungen. Diese schreibt eine Zwei-Faktor-Authentifizierung für Online-Zahlungen vor. Zugegebenermaßen wird dadurch das Betrugsrisiko gesenkt, der Bezahlprozess aber gleichwohl komplizierter. Die PSD2 sieht zwar auch eine Whitelist für Händler vor, doch in der Praxis dürften wohl nur die großen Unternehmen und Big Player davon profitieren. Die Whitelist ist eine TAN-freie IBAN-Liste, über die dann eingerichtete Zahlungsaufträge schnell und ohne TAN abgewickelt werden können. Für kleine Händler wird so die Customer Loyalty und der »Kunden-Catch« noch wichtiger als bislang ohnehin schon, da durch komplizierte Bezahlverfahren Verluste drohen. Seit Januar 2018 gilt zudem das »Surcharge-Verbot«. Für Kartenzahlungen, Überweisungen oder Lastschriften dürfen von Händlerseite keine Extra-Gebühren mehr erhoben werden.

Das ändert sich für Onlineshopper

Die wohl wichtigste und prominenteste Neuregelung der PSD2 ist die Zwei-Faktor-Authentifizierung für Online-Zahlungen. Dies bedeutet für den Kunden gewiss mehr Sicherheit im Zahlungsverkehr, doch Online-Zahlungen müssen nun grundsätzlich durch zwei unabhängige Merkmale aus den Kategorien Wissen (beispielsweise PIN, Passwort etc.), Inhärenz (Fingerabdruck, Gesichtserkennung) und Besitz (zum Beispiel Smartphone, TAN-Generator, Karte etc.) authentifiziert werden. Beträge bis 30 Euro sind von der SCA befreit. Auch für Transaktionen zwischen 30 und 500 Euro soll auf die Authentifizierung verzichtet werden, wenn das jeweilige Zahlungsmittel definierte Betrugsquoten nicht überschreitet.

Die starke Authentifizierung greift ebenso für Zahlungen via Onlinebanking. Neben den Log-in-Daten wird künftig auch die Eingabe einer TAN nötig sein. Hierbei wird das veraltete iTAN-Verfahren durch ein sogenanntes dynamisches TAN-Verfahren ersetzt. Beim dynamischen TAN-Verfahren wird für jede Transaktion eine neue TAN generiert. Aber Vorsicht vor SMS-Gebühren. Banken könnten so quasi Kontoführungsgebühren durch die Hintertür induzieren.

Gegen Missbrauch oder Betrug bei Kartenzahlungen sind Verbraucher dank PSD2 ebenfalls besser geschützt. Die Selbstbeteiligung am Schaden, der bei einer Verfügung mit gestohlener, verlorener oder durch Missbrauch verwendeter Zahlungskarten entsteht, wurde von ehemals 150 Euro auf 50 Euro gesenkt. Zudem müssen Zahlungen, die nicht autorisiert wurden, dem Konto innerhalb eines Bankarbeitstages erstattet werden.

Was es sonst noch rund um PSD2 zu wissen gibt

Zum 14. September 2019 dürfen auch Drittdienstleister Zugriff auf die Kundendaten des kontoführenden Finanzinstituts haben. Als »Dritte« bezeichnet man Nichtbanken, die Kontoinformationsdienste und Zahlungsauslösedienste anbieten. Ein Drittdienstleister kann zum Beispiel ein FinTech, ein Telekommunikations – oder Großhandelsunternehmen sein. Um auf das Bankkonto zugreifen zu können, benötigen die Drittanbieter vor dem Datenaustausch die Zustimmung des Kontoinhabers. Die Zustimmung gilt für 90 Tage, danach bedarf es der erneuten Legitimierung durch den Kontoinhaber. Die Drittdienstleister sind allesamt an die Richtlinien der DSGVO gebunden. Die erwähnten Zertifikate für »Dritte« werden zum Beispiel von der Bundesdruckerei ausgestellt.

Zahlungsauslösedienstleister

Payment Initiation Service Provider (PISP) bieten Zahlungsauslösedienste (ZAD). Sie werden vom Kontoinhaber beauftragt, Zahlungen als Kundenauftrag beim kontoführenden Finanzinstitut (in der Regel das eigene Girokonto bei einer Bank) auszulösen.

Kontoinformationsdienste

Account Information Service Provider (AISP) sind Kontoinformationsdienste (KID) beziehungsweise Aggregatoren, die im Namen des Kontoinhabers Kundendaten und Kontoinformationen elektronisch beim kontoführenden Finanzinstituts einholen und so eine komplette Finanzübersicht anbieten. Es werden auch die Daten von unterschiedlichen Zahlungskonten konsolidiert und dem Kunden bereitgestellt.

Gewohnt entspannt mit ratenkauf by easyCredit

Für unsere Kunden und Partner ändert sich durch die PSD2 erst einmal nichts. Denn wiederkehrende Zahlungen wie beispielsweise Abonnement-Zahlungen und Lastschriften werden nicht vom Verbraucher angestoßen und fallen damit nicht unter die strengen Regularien der neuen EU-Richtlinie. Das heißt für Händler sowie Kunden, dass der ratenkauf by easyCredit weiterhin entspannt bleibt.

Mit ratenkauf by easyCredit können Kunden im Onlineshop sowie im stationären Handel schnell, flexibel und medienbruchfrei ihre Einkäufe ganz bequem in Raten finanzieren. (Online-)Shopper können ab einem Warenkorbwert von 200 Euro bis zu maximal 5.000 Euro einkaufen – verteilt auf mindestens 6 und absolute 36 Monate. Raten können angepasst und gegebenenfalls auch gestundet werden. Sondertilgungen und die vorzeitige Rückzahlung des Warenkorbwerts sind ebenso möglich – natürlich kostenlos. Neben der reinen Abwicklung und Anbindung des Zahlungsverkehrs übernimmt ratenkauf by easyCredit auch das Risiko- und Forderungsmanagement.