Wenn Ihr Produkt die Bankkonten Ihrer Nutzer ausliest und zusammenführt, erbringen Sie einen Kontoinformationsdienst. Das ist der günstigste Einstieg in die regulierte Welt der Zahlungsdienste: kein Anfangskapital, dafür aber eine Berufshaftpflichtversicherung und ein Antrag bei der spanischen Zentralbank, der Banco de España, der sorgfältig aufgebaut sein muss.
Braucht Ihr Produkt eine AISP-Lizenz? Die Antwort erhalten Sie innerhalb von 24 Std.
Schildern Sie uns, welche Daten Sie auslesen, von wem und wofür. Wir sagen Ihnen, ob Sie unter die Regulierung fallen, ob sich eine eigene Lizenz lohnt oder die Lizenz eines Dritten, und was jeder Weg kostet.
Was Open Banking ist, erklären wir hier nicht: Dafür haben wir eigene Seiten. Hier geht es darum, was entschieden, aufgebaut und eingereicht werden muss, damit Ihr Unternehmen registriert wird und tätig werden kann.
Bevor Sie einen Antrag stellen, lohnt sich ein Blick auf den kurzen Weg: den Dienst als Agent eines zugelassenen Instituts erbringen oder auf einen Anbieter setzen, der bereits registriert ist. Weniger Kontrolle und weniger Marge, aber Markteintritt in einem Bruchteil der Zeit.
Wenn Ihr Plan vorsieht, Geld zu bewegen – Zahlungen entgegennehmen, Überweisungen, Wallets –, reicht der Kontoinformationsdienst nicht aus. Dann wird das Projekt zum Zahlungsinstitut: mit Anfangskapital in der gesetzlich festgelegten Höhe, Sicherung der Kundengelder (Safeguarding) und einem Antrag von ganz anderem Gewicht.
Konten auslesen und Zahlungen auslösen sind zwei verschiedene Dienste mit zwei verschiedenen Regelungen. Wenn Sie außerdem Zahlungen vom Konto des Nutzers aus anstoßen wollen, ist diese Seite die richtige für Sie.
Viele Projekte kombinieren Kontoinformationen mit einer anderen gewerblichen oder finanziellen Tätigkeit. Dann werden die Gesellschaftsstruktur und der Umfang der Lizenz festgelegt, bevor der Antrag gestellt wird.
Das hängt von den Diensten ab, die Sie erbringen: Den Katalog in Artikel 2 des Gesetzes 10/2010 sollten Sie mit Ihrem tatsächlichen Geschäftsmodell abgleichen, bevor Sie irgendetwas als gegeben annehmen.
Kontoinformation, Zahlungsauslösung, E-Geld, Kredit oder Kryptowerte: Jedes Modell hat seine eigene Rechtsform und seine eigenen regulatorischen Kosten.
Kaum jemand startet mit dem Wunsch nach einer Zahlungslizenz. Man landet hier, weil das Produkt das Konto des Nutzers auslesen muss und jemand fragt, auf welcher Rechtsgrundlage das geschieht.
„Die PDF-Kontoauszüge, die unsere Kunden hochladen, reichen uns nicht: Wir wollen das Konto mit ihrer Zustimmung auslesen und in wenigen Minuten entscheiden. Man hat uns gesagt, dass das bereits ein regulierter Dienst ist.“
„Unser Mehrwert besteht darin, auf einem Bildschirm zu zeigen, was der Nutzer auf fünf Banken verteilt hat. Ohne Zugang zu den Konten gibt es kein Produkt, und der Zugang setzt eine Registrierung voraus.“
„Wir wollen, dass jede Kontobewegung automatisch in die Software fließt und mit der Rechnung abgeglichen wird. Das ist nur eine weitere Funktion unseres ERP, technisch aber ein Kontoinformationsdienst.“
„Vermietung, Lieferantenauswahl, Kunden-Onboarding: Wir verlangen Nachweise, die sich in zwei Minuten fälschen lassen. Das Konto mit Einwilligung auszulesen, ist zuverlässiger und schneller.“
Die AISP-Regelung ist die günstigste im Zahlungsverkehr, aber deshalb noch lange keine reine Formalität. Diese drei Fehler kosten am meisten Geld und die meisten Monate.
Zu glauben, man bleibe außerhalb der Regulierung, wenn man den Nutzer nach seinen Zugangsdaten fragt: Maßgeblich für den Dienst ist die Tätigkeit, nicht der technische Zugangsweg. Wenn Sie Informationen über Zahlungskonten Ihrer Nutzer als Dienstleistung zusammenführen, brauchen Sie eine Registrierung – ganz gleich, ob Sie die Schnittstelle der Bank oder eine andere Methode nutzen.
Den Antrag zu stellen, wenn es noch kein Produkt gibt: Viele Projekte können den Markt unter der Lizenz eines Dritten testen und ihre eigene beantragen, sobald das Volumen es rechtfertigt. Mit einer Demo und ohne Sicherheitsteam die Registrierung zu beantragen, ist die teuerste Art zu lernen.
Den Teil zu Sicherheit und Daten praktisch leer einzureichen: Über den Antrag eines AISP entscheiden das Management operationeller Risiken, die Geschäftsfortführung, die Zugriffskontrolle und die Verarbeitung personenbezogener Daten. Genau das wird am häufigsten mit zwei allgemeinen Absätzen abgehandelt – und löst die meisten Auskunftsersuchen aus.
| Weg | Was verlangt wird | Wann es sinnvoll ist |
|---|---|---|
| Eigene Registrierung als AISP | Antrag bei der Banco de España: Tätigkeitsprogramm, Unternehmensführung, Sicherheit und Berufshaftpflichtversicherung oder vergleichbare Garantie. Kein Anfangskapital erforderlich. | Wenn die Kontoaggregation der Kern Ihres Produkts ist, Sie die Beziehung zum Nutzer selbst steuern wollen und den EU-Pass für andere Märkte einplanen. |
| Unter der Lizenz eines Dritten | Vertrag mit einem zugelassenen Institut, gegebenenfalls Eintragung als Agent sowie operative Abhängigkeit vom Lizenzinhaber und Abhängigkeit von dessen Ruf. | Wenn Sie sofort an den Markt müssen, die Nachfrage testen wollen oder der Kontozugang nur ein Nebenaspekt eines größeren Produkts ist. |
| Zahlungsinstitut oder hybrides Zahlungsinstitut | Vollständige Regelung: Anfangskapital in der gesetzlich festgelegten Höhe, Sicherung der Kundengelder und eine deutlich aufwendigere Compliance-Struktur. | Wenn Sie neben dem Auslesen von Konten auch Zahlungen auslösen, Zahlungen für Dritte entgegennehmen oder Gelder von Nutzern halten wollen. |
Wir analysieren Ihr Produkt, die Daten, die Sie auslesen müssen, und Ihren kommerziellen Zeitplan und sagen Ihnen, welcher der drei Wege für Sie am besten ist. Steht eine eigene Registrierung an, erstellen wir den vollständigen Antrag bei der Banco de España: Tätigkeitsprogramm, Unternehmensführung, Versicherung, Sicherheit und Datenschutz.
Rechtlicher Überblick · Geprüft im BOE und im Register der Banco de España am 5. November 2026
Ein Kontoinformationsdienstleister wird nicht zugelassen, sondern registriert. Das legt die Vorschrift fest:
Ein Teil der Unterlagen eines Zahlungsinstituts (Art. 3.1 RD 736/2019, der auf Art. 2.1 verweist), unter anderem: Tätigkeitsprogramm, Geschäftsplan, Unternehmensführung und interne Kontrolle, Geschäftsfortführung und Sicherheitsrichtlinie.
Das Institut muss seine Hauptverwaltung, seinen Sitz und einen Teil seiner Tätigkeit in Spanien haben (Art. 15.2 RDL 19/2018).
Wenn Sie zusätzlich Zahlungen auslösen wollen, brauchen Sie eine Zulassung als PISP mit 50.000 € Kapital. Alle Formen im Vergleich finden Sie unter den Lizenzen der Banco de España.
Zum 5. November 2026 verzeichnet das Institutsregister der Banco de España 5 spanische Kontoinformationsdienstleister.
Eine Registrierung. Der AISP wird in das Sonderregister der Banco de España eingetragen und wie ein Zahlungsinstitut behandelt, jedoch ohne die Zulassung und ohne das Kapital, die für ein solches erforderlich sind (Art. 15 RDL 19/2018). Im Gegenzug ist die Haftpflichtversicherung Pflicht (Art. 16.2).
Quellen: RDL 19/2018 (Art. 15, 16 und 19), RD 736/2019 (Art. 1, 2 und 3), Institutsregister der Banco de España (Stand 5. November 2026).
Ein AISP ist der Anbieter, der befugt ist, den Kontoinformationsdienst zu erbringen: mit Einwilligung des Nutzers auf die Daten seiner Zahlungskonten zuzugreifen und sie in konsolidierter Form darzustellen. Er bewegt kein Geld, löst keine Zahlungen aus und hält keine Kundengelder.
Wenn Sie den allgemeinen Rahmen verstehen wollen – was Open Banking ist oder was die PSD2 eingeführt hat –, finden Sie dazu eigene Seiten: Open Banking und PSD2. Auf dieser Seite geht es um etwas anderes: um den Antrag, der Ihr Unternehmen zu einem registrierten AISP macht.
Keines. Das überrascht fast alle Projekte: Die Regelung für Kontoinformationsdienstleister verlangt kein Anfangskapital. Im Gegenzug verlangt sie eine Berufshaftpflichtversicherung oder eine vergleichbare Garantie, die die Haftung gegenüber den Banken und gegenüber den Nutzern abdeckt.
Das heißt nicht, dass das Projekt nichts kostet: Struktur, Sicherheit, Compliance und Prüfungen müssen finanziert werden. Doch die Einstiegshürde liegt unvergleichlich niedriger als bei einem Zahlungsinstitut.
In vielen Fällen ja, und das ist die erste Frage, die wir stellen. Zwei übliche Wege: den Dienst als Agent eines zugelassenen Instituts erbringen oder Ihr Produkt auf einem Anbieter aufbauen, der bereits registriert ist und den Zugang zu den Konten bereitstellt.
Keiner der beiden Wege befreit Sie von allem: Sie unterschreiben einen Vertrag mit Pflichten, hängen von einer fremden Lizenz ab, und für Ihre Datenverarbeitung bleiben Sie selbst verantwortlich. Sie können damit aber den Markt testen, ohne einen Antrag zu stellen. Prüfen Sie außerdem die Ausnahmen von der Regelung für Zahlungsdienste, bevor Sie davon ausgehen, dass Sie darunter fallen.
Die Vorschriften sehen drei Monate ab Vollständigkeit des Antrags vor; ergeht keine Antwort, gilt der Antrag als abgelehnt (Art. 1.2 und 3.2 RD 736/2019). Über den tatsächlichen Zeitplan entscheidet aber etwas anderes. Ein vollständiger Antrag, bei dem die Unterlagen zu Sicherheit und Datenschutz wirklich ausgearbeitet sind, kommt voran; ein halbfertiger gerät in eine Schleife von Auskunftsersuchen, die länger dauern kann als die gesamte Vorbereitung.
Was wir Ihnen vorab sagen können, ist, wonach gefragt wird und in welcher Reihenfolge. Genau das verkürzt den Zeitplan: mit schriftlichen Antworten anzukommen, bevor die Fragen gestellt werden.
Nur wenn Sie vom Konto des Nutzers aus Zahlungen auslösen wollen. Informationen auslesen und zusammenführen ist ein Dienst; eine Überweisung auszulösen ist ein anderer, mit eigener Regelung – hier durchaus mit Anforderungen an Kapital und Versicherung –, die wir unter Zahlungsauslösedienst erläutern.
Viele Projekte beginnen mit dem AIS, prüfen, ob die Nutzer es annehmen, und ergänzen den PIS später. Wenn Sie schon wissen, dass es darauf hinausläuft, sollten Sie Tätigkeitsprogramm und Struktur von Anfang an auf die Erweiterung auslegen, statt später nachzubessern.
Das muss im Einzelfall geprüft werden, ohne es in die eine oder andere Richtung vorauszusetzen. Der Katalog der Verpflichteten steht in Artikel 2 des Gesetzes 10/2010, und seine Anwendung hängt von den Diensten ab, die Sie tatsächlich erbringen: Ein Projekt, das nur Informationen zusammenführt, ist nicht in derselben Lage wie eines, das die Aggregation mit anderen Zahlungs- oder Finanzdiensten kombiniert.
Was Sie aber schon beim Design klären sollten, sind die Kundenidentifizierung und die Nachvollziehbarkeit der Zugriffe. Wir analysieren das mit Ihnen im Rahmen unserer Leistung zur Geldwäscheprävention (AML/CFT).
Das ist die Hälfte des Antrags und der Teil, bei dem die meisten Projekte zu kurz greifen. Der Zugriff stützt sich auf eine ausdrückliche Einwilligung, die auf den konkreten Zweck beschränkt ist, dem der Nutzer zugestimmt hat: Sie dürfen diese Daten weder für andere Zwecke weiterverwenden noch länger als nötig speichern.
Das erfordert ein Konzept für Datenminimierung, Speicherfristen, interne Zugriffskontrolle, Verschlüsselung, ein Verzeichnis von Verarbeitungstätigkeiten und gegebenenfalls eine Datenschutz-Folgenabschätzung. Die Zahlungsaufsicht fragt danach, und zusätzlich wacht die Datenschutzbehörde: Wir bearbeiten das gemeinsam mit unserer Leistung zum Datenschutz.
Dann kommt eine weitere Regulierungsebene hinzu. Die Kreditwürdigkeitsprüfung und das Credit Scoring natürlicher Personen sind ein Hochrisiko-Anwendungsfall der KI-Verordnung (AI Act, Verordnung (EU) 2024/1689), deren Pflichten für Hochrisiko-Systeme im Wesentlichen ab August 2026 gelten.
Für Ihr Projekt heißt das: Modell-Governance, Datenqualität, technische Dokumentation, menschliche Aufsicht und Nachvollziehbarkeit der Entscheidungen. Das ist mit einem gut aufgestellten AISP vollkommen vereinbar, muss aber von Anfang an eingeplant werden. Mehr dazu unter KI-Verordnung (AI Act).
Ja. Das Paket PSD3/PSR, das die Kommission im Juni 2023 vorgeschlagen hat, befindet sich noch im Gesetzgebungsverfahren, und über die Open-Finance-Verordnung (FIDA) wird noch verhandelt. Keines der beiden schafft die Registrierung ab: Beide zielen darauf, Schnittstellen, Verantwortlichkeiten und den Datenzugang über den Zahlungsverkehr hinaus neu zu ordnen.
Wer bereits registriert ist, startet mit fertiger Struktur, fertigen Verträgen und Kontrollen; wer wartet, fängt bei null an, wenn sich der Markt schon bewegt hat. Wir verfolgen beide Gesetzgebungsverfahren unter PSD3 und FIDA.
Ein AISP-Antrag ist kurz im Vergleich zu dem eines Zahlungsinstituts, wird aber in den entscheidenden Punkten genauso streng geprüft: Unternehmensführung, Sicherheit und Daten. Das ist der Weg.
Wir analysieren, welche Daten Sie auslesen, von wem, mit welcher Einwilligung und wofür. Daraus ergibt sich, ob Sie eine eigene Registrierung brauchen, ob sich der Weg über einen Dritten lohnt oder ob Ihr Fall unter eine Ausnahme von der Regelung für Zahlungsdienste fällt.
Tätigkeitsprogramm, Gesellschaftsstruktur sowie Zuverlässigkeit und fachliche Eignung, Berufshaftpflichtversicherung, Sicherheitsrichtlinie und Management operationeller Risiken, Geschäftsfortführung, Auslagerung und Datenschutz. Alles in sich stimmig.
Zertifikate und Anbindung an die Schnittstellen der Institute, Verträge mit Nutzern und Dienstleistern, Vorfallmanagement, Meldewesen gegenüber der Aufsicht sowie regelmäßige Überprüfung von Versicherungen, Richtlinien und Kontrollen.
Wenn Ihr Modell auch Geld bewegen soll, sehen Sie sich vorher die Lizenz als Zahlungsinstitut oder das Modell des hybriden Zahlungsinstituts an, denn dann ändert sich die Gesellschaftsstruktur.
Begriffe, die Ihnen im Antrag, in den Verträgen mit den Banken und in den Auskunftsersuchen begegnen. Wer sie präzise verwendet, vermeidet wochenlange Missverständnisse.
Registriertes Institut, das mit Einwilligung des Nutzers auf die Informationen zu dessen Zahlungskonten zugreift und sie in konsolidierter Form darstellt.
Kontoinformationsdienst: die regulierte Tätigkeit, die die Registrierungspflicht auslöst. Er bestimmt sich danach, was Sie tun, nicht nach der Technologie, die Sie einsetzen.
Kontoführender Zahlungsdienstleister: das Institut, das den Zugriff auf die Informationen ermöglichen muss, wenn der Nutzer ihn autorisiert.
Verfahren, mit dem sich der Nutzer gegenüber seiner Bank authentifiziert, um den Zugriff zu autorisieren, mit den voneinander unabhängigen Elementen, die die Vorschriften verlangen.
Kanal, den die Institute den registrierten Anbietern zur Verfügung stellen, mit Anforderungen an Verfügbarkeit und Leistung sowie Ausweichmechanismen.
Deckung – oder vergleichbare Garantie –, die gegenüber den kontoführenden Instituten und gegenüber den Nutzern für die Tätigkeit des Anbieters einsteht.
Ausdrückliche Zustimmung des Nutzers, beschränkt auf den konkret akzeptierten Zweck, widerruflich und mit Nachweis darüber dokumentiert, wann und wie sie eingeholt wurde.
Öffentliche Eintragung, die belegt, dass Sie zur Tätigkeit berechtigt sind. Die Banken prüfen sie, bevor sie Ihnen Zugang gewähren – und Ihre Kunden sollten es auch tun.
Der europäische Rahmen erlaubt es, die Tätigkeit per Notifizierung über Ihre Aufsichtsbehörde auf andere EU-Länder auszuweiten, zu den gesetzlich festgelegten Bedingungen.
Genaue Beschreibung, welche Informationen ausgelesen werden, von welchen Konten, zu welchem Zweck und mit welcher Customer Journey, ohne Unklarheiten über den Umfang des Dienstes.
Dienstbeschreibung mit Datenflüssen und Screens, Architekturdiagrammen, Nutzungsbedingungen für Nutzer und Beschreibung der technischen und personellen Mittel.
Gegründete Gesellschaft mit transparenter Eigentümerstruktur und einem Leitungsorgan, dessen Mitglieder zuverlässig und fähig sind, ein beaufsichtigtes Institut zu führen.
Gründungsurkunde und Satzung, Übersicht über Gesellschafter und wirtschaftlich Berechtigte, Fit-and-Proper-Fragebögen, belegte Lebensläufe und Führungszeugnisse.
Deckung oder vergleichbare Garantie, angemessen im Verhältnis zum Risikoprofil, zum erwarteten Volumen und zu den Märkten, in denen Sie tätig sein werden.
Police oder verbindliche Zusage des Versicherers mit Deckungsumfang und Ausschlüssen, begründete Berechnung der Deckungssumme und Nachweis der regelmäßigen Verlängerung.
Dokumentiertes Management operationeller und sicherheitsrelevanter Risiken, Zugriffskontrolle, Verschlüsselung, Vorfallmanagement und die Fähigkeit, bei einem Ausfall weiterzuarbeiten.
Genehmigte Sicherheitsrichtlinie, Risikoanalyse, Verfahren für Vorfälle mit Kommunikationswegen, Plan zur Geschäftsfortführung und durchgeführte Tests.
Verarbeitung beschränkt auf den Zweck, in den eingewilligt wurde, mit Datenminimierung und begrenzter Speicherdauer; kritische Dienstleister unter wirksamer vertraglicher Kontrolle.
Verzeichnis von Verarbeitungstätigkeiten, Einwilligungstexte und Nachweis ihrer Einholung, gegebenenfalls Datenschutz-Folgenabschätzung sowie Verträge mit Dienstleistern und Auftragsverarbeitern.
Wenn Sie sich in einem davon wiedererkennen, sollten Sie innehalten und die Einordnung prüfen, bevor Sie sich mit der ersten Bank verbinden.
Auf dieser Seite geht es um eine konkrete Leistung: den Zulassungs- und Registrierungsantrag des AISP bei der Banco de España. Wenn Sie den Rahmen verstehen wollen – was Open Banking ist, was die PSD2 eingeführt hat, was sich mit PSD3 ändern wird oder wie weit der Zugang zu Finanzdaten mit FIDA reichen wird –, gibt es zu jedem Thema eigene Seiten, die Ihnen dabei besser helfen als dieser Text.
Das Modell für den Zugang zu Daten und Konten, das diesen Institutstyp erst möglich gemacht hat – von Grund auf erklärt und ohne Antragsjargon.
Die Richtlinie (EU) 2015/2366 und ihre Umsetzung in Spanien durch das Königliche Gesetzesdekret 19/2018, mit ihren Diensten, Akteuren und Pflichten.
Das im Juni 2023 vorgeschlagene Paket befindet sich noch im Gesetzgebungsverfahren: was verhandelt wird und was Sie in Ihrem Design vorwegnehmen sollten.
Der Zugang zu Daten über Anlagen, Versicherungen und Altersvorsorge, über den gerade verhandelt wird, und was er für Anbieter bedeutet, die bereits Konten aggregieren.
Und wenn Sie loslegen wollen, kommt es auf die Reihenfolge an: Vergleichen Sie zuerst den Weg als Agent eines Zahlungsinstituts mit der eigenen Registrierung, prüfen Sie, ob Ihr Fall unter eine Ausnahme von der Regelung für Zahlungsdienste fällt, und werfen Sie einen Blick auf die Übersicht der Fintech-Lizenzen, um Ihr Projekt einzuordnen.
Erklären Sie uns, wie Ihr Produkt funktioniert und was Sie mit den Kontodaten Ihrer Nutzer machen. Wir sagen Ihnen, ob Sie eine eigene Registrierung brauchen und wo Sie anfangen sollten.
Letzte Aktualisierung: 4. August 2026
Der Kontoinformationsdienstleister (AISP) ist der Institutstyp, über den – nach vorheriger Einwilligung des Nutzers – auf die Informationen seiner Zahlungskonten zugegriffen wird, um sie in konsolidierter Form darzustellen. Rechtsgrundlage ist die PSD2 (Richtlinie (EU) 2015/2366) und in Spanien das Königliche Gesetzesdekret 19/2018 (RDL 19/2018); die Registrierung obliegt der Banco de España. Dieser Text erklärt nicht, was Open Banking ist (dafür gibt es unsere Seite zu Open Banking und die Seite zur PSD2): Hier geht es darum, wie der Antrag aufgebaut wird.
Was kaum jemand weiß und viele Geschäftspläne verändert: Die Regelung für Kontoinformationsdienstleister verlangt kein Anfangskapital. Im Gegenzug verlangt sie eine Berufshaftpflichtversicherung oder eine vergleichbare Garantie, die gegenüber den kontoführenden Instituten und gegenüber den Nutzern für Schäden aus Ihrer Tätigkeit einsteht. Allein dieser Unterschied trennt zwei Welten: Das Zahlungsinstitut startet mit Kapital in der gesetzlich festgelegten Höhe und mit der Pflicht, Kundengelder zu sichern, während ein AISP mit einer deutlich schlankeren Struktur aufgebaut werden kann, weil er nie mit dem Geld in Berührung kommt. Was er mit den übrigen beaufsichtigten Instituten teilt, sind die qualitativen Anforderungen: Unternehmensführung, Risikomanagement, Sicherheit, Geschäftsfortführung und Kontrolle der Dienstleister. Hier gibt es keine Erleichterungen. Deshalb besteht der häufigste Fehler bei diesen Projekten nicht darin, das Kapital zu unterschätzen – es gibt keines –, sondern die Kosten für den Betrieb eines beaufsichtigten Instituts: Policen, die verlängert, Richtlinien, die überprüft, Vorfälle, die gemeldet, und Prüfungen, die bestanden werden müssen. Genau dort setzt unsere Arbeit an: Wir beziffern diese Kosten und legen einen Zeitplan fest, bevor Sie entscheiden, ob Sie eine eigene Registrierung wollen oder sich lieber auf die Lizenz eines Dritten stützen, während Sie Ihr Produkt validieren.
Ein AISP-Antrag ist kürzer als der eines Zahlungsinstituts, wird aber in den wirklich wichtigen Punkten genauso streng gelesen. Der erste Block ist das Tätigkeitsprogramm: welche Informationen Sie auslesen werden, von welchen Konten, zu welchem Zweck, mit welcher Customer Journey und mit welcher technischen Architektur. Es muss so konkret sein, dass jeder beim Lesen den Datenfluss aufzeichnen könnte. Der zweite ist die Struktur: Gesellschaft, Gesellschafter, wirtschaftlich Berechtigte und Leitungsorgan, mit der Zuverlässigkeit und Eignung derjenigen, die ein beaufsichtigtes Institut führen werden. Der dritte ist die Berufshaftpflichtversicherung oder die vergleichbare Garantie, mit einem Deckungsumfang, der im Verhältnis zu Ihrem Volumen und zu den Märkten, in denen Sie tätig sein werden, begründet ist. Der vierte – der die meisten Auskunftsersuchen auslöst – ist das Paket zu Sicherheit und operationellen Risiken: Zugriffskontrolle, Verschlüsselung, Vorfallmanagement, Plan zur Geschäftsfortführung und Tests, die tatsächlich durchgeführt und nicht nur versprochen wurden. Der fünfte betrifft personenbezogene Daten und Dienstleister: ausdrückliche und granulare Einwilligung, Datenminimierung, begrenzte Speicherdauer und Auslagerungsverträge mit den Dritten, die Ihre Anbindung tragen. Fünf Blöcke, die dieselbe Geschichte erzählen müssen: Wenn das Tätigkeitsprogramm das eine sagt und die Sicherheitsrichtlinie etwas anderes, kommt das Auskunftsersuchen von ganz allein.
Lieber verzichten wir auf ein Mandat, als Ihnen einen Antrag zu verkaufen, den Sie nicht brauchen. Es gibt mindestens drei Situationen, in denen ein Aggregationsprojekt ohne eigene Registrierung an den Markt gehen kann. Erstens: als Agent eines zugelassenen Instituts tätig werden, mit Vertrag, gegebenenfalls Eintragung und dem Schutzschirm seiner Lizenz. Zweitens: Ihr Produkt auf einem bereits registrierten Anbieter aufbauen, der den Zugang zu den Konten bereitstellt, während Sie die wertschöpfende Ebene liefern; Sie verlieren Marge und Kontrolle über die technische Beziehung, gewinnen aber Monate. Drittens: prüfen, ob Ihr Fall unter eine Ausnahme von der Regelung für Zahlungsdienste fällt – solche Ausnahmen gibt es, und manchmal lösen sie das ganze Problem. Keiner der drei Wege ist kostenlos: Sie haften weiterhin für die Datenverarbeitung, für den Vertrag mit Ihrem Nutzer und für Ihre eigene Sicherheit, und bei den ersten beiden akzeptieren Sie zudem wirtschaftliche und operative Bedingungen, die Sie nicht steuern – Gebühr pro Abfrage, Abdeckung der Banken, Servicequalität und Priorität gegenüber anderen Kunden des Anbieters. Und keiner gilt für immer: Wenn die Kontoaggregation zum Kern des Geschäfts wird, wird die Abhängigkeit von einer fremden Lizenz zum strategischen Risiko – Änderungen bei Preis, Bedingungen oder Eigentümer –, und die eigene Registrierung ist dann kein Kostenfaktor mehr, sondern ein Vermögenswert. Diesen Übergang sollten Sie planen, nicht improvisieren.
Der Rahmen bewegt sich an zwei Fronten. Das Paket PSD3/PSR, das die Kommission im Juni 2023 vorgeschlagen hat, befindet sich noch im Gesetzgebungsverfahren und soll den Kontozugang, die Schnittstellen und die Verteilung der Verantwortlichkeiten zwischen Banken und Anbietern neu ordnen. Und die Verordnung über den Zugang zu Finanzdaten – FIDA, im Juni 2023 vorgeschlagen und ebenfalls in Verhandlung – will das Modell über den Zahlungsverkehr hinaus auf Anlagen, Versicherungen und Altersvorsorge ausdehnen, über zugelassene Anbieter und Systeme für den Datenaustausch. Keines der beiden schafft den Institutstyp oder die Registrierung ab; beide heben die Messlatte bei Unternehmensführung, Sicherheit und Verträgen an. Die praktische Schlussfolgerung ist das Gegenteil dessen, was man intuitiv annehmen würde: Wer sich jetzt registriert, geht in dieses Szenario mit einem gegründeten Institut, eingespielten Kontrollen und einer bestehenden Beziehung zur Aufsicht, und die Anpassung kostet ihn eine Überarbeitung; wer wartet, fängt bei null an, wenn der Markt bereits aufgeteilt ist. Hinzu kommt der übrige Rechtsrahmen, den ein Finanzdatenprojekt mit sich bringt – Datenschutz, operationelle Resilienz und, wenn Sie mit automatisierten Modellen entscheiden, die KI-Verordnung (AI Act). Das von Anfang an zu ordnen, kostet einen Bruchteil dessen, was der spätere Umbau kostet, wenn Sie bereits Nutzer haben, unterschriebene Verträge mit kontoführenden Instituten und eine Aufsicht, die Ihnen schriftlich Fragen stellt. Unsere Empfehlung, sobald das Geschäft validiert ist: Warten Sie nicht auf die perfekte Vorschrift, sondern registrieren Sie sich nach dem geltenden Rahmen und bereiten Sie den Antrag so vor, dass er aufnehmen kann, was noch kommt.
Dieser Inhalt dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die zitierten Vorschriften können nach dem angegebenen Aktualisierungsdatum geändert worden sein: Prüfen Sie stets die geltende Fassung oder sprechen Sie uns an, damit wir Ihren konkreten Fall analysieren.
Maßgebliche Vorschriften, mit Link zum amtlichen Text:
Vorschriften und Links im geprüft.