Wir prüfen, ob Ihr Payment Gateway ein von der Erlaubnispflicht ausgenommener technischer Dienstleister ist oder einen zulassungspflichtigen Zahlungsdienst nach der PSD2 und dem Königlichen Gesetzesdekret 19/2018 erbringt: Besitz von Kundengeldern, Einordnung als Zahlungsinstitut oder PISP, Tätigkeit als Agent eines zugelassenen Instituts, starke Kundenauthentifizierung (SCA) und Geldwäscheprävention.
Kostenlose Beratung
Wir antworten Ihnen innerhalb von 24 Std.
Sechs Bausteine, um festzustellen, ob Ihr Gateway eine Lizenz braucht und gegebenenfalls welche: von der Analyse des regulierten Bereichs bis zu Zulassung, Sicherheit und Compliance.
Wir prüfen, ob Ihr Gateway unter die Ausnahme für technische Dienstleister fällt – technische Unterstützung, ohne zu irgendeinem Zeitpunkt in den Besitz der Gelder zu gelangen – oder ob es einen zulassungspflichtigen Zahlungsdienst nach der PSD2 und dem Königlichen Gesetzesdekret 19/2018 erbringt.
Liegt ein Zahlungsdienst vor, legen wir den Weg fest: Lizenz als Zahlungsinstitut beantragen, Registrierung als Zahlungsauslösedienstleister (PISP) oder Tätigkeit als Agent eines bereits zugelassenen Instituts, während die eigene Lizenz noch im Verfahren ist.
Der entscheidende Punkt: Gelangt das Gateway in den Besitz der Gelder des Zahlers oder bündelt es sie, bevor es sie an den Händler auszahlt, überschreitet es die regulatorische Grenze und braucht eine Zulassung und Safeguarding.
Wir prüfen die von der PSD2 verlangte starke Kundenauthentifizierung, die anwendbaren Ausnahmen und den Datensicherheitsstandard der Kartenbranche (PCI DSS) sowie – wo anwendbar – den Rahmen für die digitale operationale Resilienz (DORA).
Erbringt das Gateway einen Zahlungsdienst, ist es geldwäscherechtlich Verpflichteter: Wir implementieren Risikobewertung, KYC, Monitoring, den Vertreter gegenüber dem SEPBLAC und das Reporting.
Wir ordnen die Verträge mit dem Acquirer, den Kartensystemen und den technischen Dienstleistern sowie die Verteilung der Verantwortlichkeiten, damit das Modell in der Praxis funktioniert.
Nicht alle Gateways sind vor dem Gesetz gleich: Technische Unterstützung zu leisten ist etwas anderes, als mit Geldern in Berührung zu kommen oder Zahlungen auszulösen. Die aufsichtsrechtliche Einordnung hängt davon ab, was Ihre Plattform genau tut.
„Das rein technische Gateway übermittelt Daten und verbindet den Händler mit dem Acquirer, ohne zu irgendeinem Zeitpunkt in den Besitz der Gelder zu gelangen. Es ist von der Zulassungspflicht ausgenommen, aber die Grenze muss dokumentiert werden.“
„Der Aggregator oder Payment Facilitator, der die Gelder entgegennimmt und anschließend an den Händler auszahlt, erbringt einen Zahlungsdienst: Er braucht eine Zulassung und muss die Kundengelder sichern (Safeguarding).“
„Löst das Gateway Zahlungen vom Konto des Kunden aus (Open Banking), handelt es sich um einen Zahlungsauslösedienst: Er ist reguliert, auch wenn das Gateway nie in den Besitz der Gelder gelangt.“
„Verlangt das Modell, Gelder zu verwalten und mehrere Zahlungsdienste zu erbringen, führt der Weg über eine eigene Lizenz als Zahlungsinstitut – mit dem dazugehörigen Kapital, Governance und Compliance.“
Anzunehmen, ein Gateway brauche nie eine Lizenz, ist ein häufiger Fehler: Sobald es mit Geldern in Berührung kommt oder Zahlungen auslöst, fällt es in den Anwendungsbereich der PSD2. Wer ohne Zulassung tätig ist, riskiert die Blockade des Geschäfts und Sanktionen.
Der häufigste Fehler: davon auszugehen, dass ein Gateway „nur Technologie“ ist. Die Grenze liegt darin, ob zu irgendeinem Zeitpunkt Gelder gehalten werden; wird sie ohne Zulassung überschritten, zeigt sich das Problem erst, wenn das Geschäft bereits läuft.
Die Zahlungsauslösung ist reguliert, auch wenn Sie keine Gelder berühren: Wer ein technisches Gateway mit einem PISP verwechselt, arbeitet ohne die erforderliche Registrierung bei der Banco de España.
Safeguarding und Geldwäscheprävention sind nicht optional: Erbringt das Gateway einen Zahlungsdienst, muss es die Kundengelder sichern und die Pflichten zur Geldwäscheprävention vom ersten Tag an erfüllen.
Wer Zahlungsdienste ohne vorherige Zulassung der Banco de España (der spanischen Zentralbank) erbringt, riskiert die Einstellung seiner Tätigkeit.
Die Sanktionsvorschriften des RDL 19/2018 erfassen auch, wer Zahlungsdienste ohne Zulassung erbringt – einschließlich der Haftung der Geschäftsleiter.
Acquirer, Banken und Kartensysteme verlangen vor der Integration eines Gateways eine klare aufsichtsrechtliche Einordnung: Ohne sie werden Integrationen blockiert.
Vor dem Start oder der Skalierung sollten Sie den regulierten Bereich prüfen: ob Ihr Modell mit Geldern in Berührung kommt, Zahlungen auslöst oder Gelder bündelt – und welcher Weg zur Zulassung oder als Agent für Sie der richtige ist.
Ein Payment Gateway (Zahlungsgateway) ist die Technologie, die einen Händler mit dem Zahlungsökosystem – Acquirer, Kartensysteme, Banken – verbindet, um Transaktionen zu autorisieren und abzuwickeln. In seiner einfachsten Form übermittelt und schützt es Daten, ohne in den Besitz der Gelder zu gelangen.
Die entscheidende Frage ist nicht technischer, sondern regulatorischer Natur: Hält es zu irgendeinem Zeitpunkt die Gelder oder löst es die Zahlung aus, ist es keine bloße technische Unterstützung mehr.
Das kommt darauf an. Ist es ein technischer Dienstleister, der Unterstützung leistet, ohne zu irgendeinem Zeitpunkt in den Besitz der Gelder zu gelangen, ist es nach der PSD2 und dem Königlichen Gesetzesdekret 19/2018 von der Zulassungspflicht ausgenommen.
Kommt es mit den Geldern in Berührung, bündelt es sie oder löst es Zahlungen aus, erbringt es einen Zahlungsdienst und braucht eine Zulassung (Zahlungsinstitut), eine Registrierung (PISP) oder muss als Agent eines zugelassenen Instituts tätig werden.
Wenn sich seine Funktion auf die technische Unterstützung beschränkt – Verarbeitung und Speicherung von Daten, Authentifizierung, Netzwerke, Terminals – und es nicht in den Besitz der zu übertragenden Gelder gelangt. Diese Ausnahme ist in der PSD2 und im RDL 19/2018 vorgesehen.
Wichtig: Die Ausnahme gilt nicht für Zahlungsauslöse- und Kontoinformationsdienste, die reguliert sind, auch wenn der Anbieter nicht in den Besitz der Gelder gelangt.
Sie unterscheiden sich darin, ob sie mit den Geldern in Berührung kommen, und in ihrer Zulassung:
Ein PISP (Zahlungsauslösedienstleister) löst im Rahmen von Open Banking einen Zahlungsauftrag vom Bankkonto des Kunden aus. Anders als ein technisches Gateway ist er reguliert – er muss bei der Banco de España registriert sein –, auch wenn er nie in den Besitz der Gelder gelangt.
Viele moderne Gateways integrieren Zahlungsauslösedienste und fallen damit in den regulierten Bereich.
Die starke Kundenauthentifizierung (SCA) ist die Vorgabe der PSD2, den Nutzer bei elektronischen Zahlungen mit mindestens zwei voneinander unabhängigen Faktoren (etwas, das er weiß, besitzt oder ist) zu verifizieren. Sie wird in der Delegierten Verordnung (EU) 2018/389 näher geregelt und lässt bestimmte Ausnahmen zu.
Das Gateway muss SCA unterstützen und die Ausnahmen korrekt anwenden, um die Reibung nicht zu erhöhen und keine Haftung für Betrug zu übernehmen.
Erbringt das Gateway einen Zahlungsdienst, ist es nach dem Gesetz 10/2014 Verpflichteter: Es muss eine Risikobewertung, Sorgfaltspflichten (KYC) und Monitoring umsetzen, einen Vertreter gegenüber dem SEPBLAC benennen und verdächtige Transaktionen melden.
Ein rein technischer Anbieter, der keine Zahlungsdienste erbringt, ist aufgrund dieser Tätigkeit kein Verpflichteter.
Ja. Eine Alternative zur eigenen Lizenz ist die Tätigkeit als Agent eines bereits zugelassenen Zahlungsinstituts – mit Eintragung im entsprechenden Register und unter der Verantwortung dieses Instituts.
Das ist ein üblicher Weg, um schneller zu starten oder das Modell zu validieren, setzt aber einen soliden Vertrag und Kontrollen voraus, die das Hauptinstitut überwacht.
PCI DSS (Payment Card Industry Data Security Standard) ist der Datensicherheitsstandard der Kartenbranche, den alle einhalten müssen, die Kartendaten speichern, verarbeiten oder übermitteln. Er ist keine Lizenz, sondern eine vertragliche Anforderung der Kartensysteme – aber unerlässlich, um ein Gateway sicher zu betreiben.
Es ist das Königliche Gesetzesdekret 19/2018 vom 23. November über Zahlungsdienste und andere dringende Maßnahmen im Finanzbereich, mit dem Spanien die PSD2 (Richtlinie (EU) 2015/2366) umgesetzt hat. Es regelt, wer Zahlungsdienste erbringen darf, die Zahlungsinstitute, die Zahlungsauslösung, die Kontoinformationsdienste und die Ausnahmen vom Anwendungsbereich.
Es ist eine Ausnahme der PSD2 für Instrumente, mit denen sich Waren oder Dienstleistungen nur in einem begrenzten Netz von Anbietern oder aus einem sehr begrenzten Produktsortiment erwerben lassen (zum Beispiel Geschenkkarten einer Handelskette). Ab bestimmten Schwellenwerten muss sie der Banco de España gemeldet werden. Sie ist von der Ausnahme für Handelsvertreter zu unterscheiden.
PSD3 und die Zahlungsdiensteverordnung (PSR) befinden sich in der Schlussphase des Gesetzgebungsverfahrens (politische Einigung Ende 2025 und Kompromisstext 2026, praktische Anwendung voraussichtlich um 2027). Sie werden die PSD2 ersetzen, Zahlungsinstitute und E-Geld-Institute zu einer einzigen Kategorie zusammenführen, die SCA und die Haftung bei Betrug verschärfen und Open Banking ausweiten. Sie sollten Ihr Projekt mit diesem Horizont planen.
Das ist die Frage, die alles entscheidet. Fließt das Geld über Konten des Gateways, bevor es beim Händler ankommt, oder bündelt das Gateway es und zahlt es aus, dann hält es die Gelder und erbringt einen Zahlungsdienst. Fließt das Geld direkt vom Zahler zum Acquirer/Händler und übermittelt das Gateway nur Daten, hält es sie nicht.
Die Aufsicht über Zahlungsdienste in Spanien liegt bei der Banco de España. Sie erteilt die Zulassungen und führt das Register der Zahlungsinstitute, der Agenten sowie der Zahlungsauslöse- und Kontoinformationsdienstleister. Ein rein technischer Anbieter wird für diese Tätigkeit nicht registriert, sollte aber dokumentieren, warum er außerhalb des regulierten Bereichs liegt.
Ob eine Zulassung nötig ist und wie viel Kapital verlangt wird, hängt davon ab, ob das Gateway mit den Geldern in Berührung kommt und welchen Zahlungsdienst es erbringt. Wir helfen Ihnen, Ihr Modell einzuordnen, bevor Sie starten.
Zwei Fragen bestimmen die Einordnung: ob das Gateway zu irgendeinem Zeitpunkt die Gelder hält und welchen Zahlungsdienst es genau erbringt.
Bevor Sie sich auf Honorare festlegen, klären wir den regulierten Bereich und den passenden Weg. So vermeiden Sie, eine Lizenz zu beantragen, die Sie nicht brauchen – oder, schlimmer noch, ohne die Lizenz tätig zu sein, die Sie tatsächlich brauchen.
| Modell | Technisches Gateway | Aggregator / Facilitator | PISP | Zahlungsinstitut |
|---|---|---|---|---|
| Lizenz nötig? | Nein (ausgenommen) | Ja | Eigene Registrierung | Ja |
| Hält es Gelder? | Nein | Ja | Nein | Ja, mit Safeguarding |
| Zulassung | Keine (Ausnahme dokumentieren) | Zahlungsinstitut | PISP-Registrierung bei der BdE | Zulassung als Zahlungsinstitut |
| Anfangskapital (Richtwert) | Nicht anwendbar | 125.000 € | 50.000 € | 20.000 € bis 125.000 € je nach Diensten |
| Aufsichtsbehörde | Banco de España (Abgrenzung) | Banco de España | Banco de España | Banco de España |
Richtwerte zu Vergleichszwecken. Das genaue Kapital und die aufsichtsrechtliche Einordnung hängen von den konkreten Zahlungsdiensten des Gateways ab und davon, ob es die Gelder hält; sie müssen im Einzelfall anhand des Königlichen Gesetzesdekrets 19/2018 und der PSD2 geprüft werden.
Die Einordnung eines Gateways ist kein Etikett, sondern das Ergebnis einer Analyse von Geldfluss, erbrachten Diensten und Sicherheit. Entscheidend ist, den richtigen Weg zu wählen, bevor das Produkt gebaut wird.
Zuallererst muss geklärt werden, ob das Geld über das Gateway fließt und welchen Dienst es erbringt. Davon hängt ab, ob es eine Lizenz oder Registrierung braucht oder ausgenommen ist.
Starke Kundenauthentifizierung, Ausnahmen und PCI-DSS-Konformität müssen früh geklärt werden: Sie wirken sich auf Reibung, Betrug und die Beziehung zu Acquirern und Kartensystemen aus.
Liegt ein Zahlungsdienst vor, müssen Geldwäscheprävention und die Verträge mit Acquirer und Dienstleistern von Beginn an mitgeplant werden – nicht als Anhängsel.
Wenn Sie die Einordnung Ihres Gateways prüfen oder die Zulassung vorbereiten möchten, finden Sie hier unsere Leistungen zur Fintech-Regulierung und zur Lizenz als Zahlungsinstitut.
Ein Gateway einzuordnen heißt nicht, ihm ein Etikett zu geben: Es geht um ein Bündel stimmiger Entscheidungen (Geldfluss, Zahlungsdienste, Sicherheit und Compliance), die bestimmen, ob es eine Lizenz braucht. Hier finden Sie eine Übersicht, wie das in der Praxis umgesetzt wird.
1) GeldflussZiel ist nicht, dem Gateway möglichst schnell ein Etikett zu geben, sondern zu sehen, ob das Geld darüber fließt. Davon hängt die gesamte Einordnung ab.
2) DienstAcquiring, Ausführung, Zahlungsauslösung oder Kontoinformation. Jeder Dienst hat seine eigene Zulassung oder Registrierung und sein eigenes Kapital.
3) SicherheitStarke Kundenauthentifizierung, Ausnahmen und PCI DSS. Werden sie vernachlässigt, steigen Betrug, Reibung und das Risiko gegenüber den Kartensystemen.
4) ComplianceAML/CFT, gegebenenfalls Safeguarding der Gelder und Verträge mit Acquirer und Dienstleistern. Das macht aus der Einordnung ein tragfähiges und vertretbares Betriebsmodell.
SchnellentscheidungSie halten keine Gelder und lösen keine Zahlungen aus: technischer Dienstleister, von der Zulassungspflicht ausgenommen.
Sie lösen Zahlungen vom Konto des Kunden aus: Registrierung als PISP bei der Banco de España.
Sie nehmen Gelder entgegen und zahlen sie aus: Lizenz als Zahlungsinstitut oder Agent eines zugelassenen Instituts.
Klare Analyse, ob das Gateway an irgendeiner Stelle des Kreislaufs die Gelder hält.
Geldflussdiagramm, Kontenschema und Beschreibung des Abwicklungskreislaufs.
Bestimmung der erbrachten Dienste (Acquiring, Ausführung, Auslösung, Information).
Funktionale Beschreibung des Dienstes und Abgleich mit den Zahlungsdiensten des RDL 19/2018.
Gegebenenfalls Begründung der Ausnahme für technische Dienstleister, begrenzte Netze oder Handelsvertreter.
Bericht zur aufsichtsrechtlichen Einordnung und, falls erforderlich, Meldung an die Banco de España.
Starke Kundenauthentifizierung, Umgang mit Ausnahmen und Sicherheit der Kartendaten.
SCA-Richtlinie, Ausnahmenmatrix und PCI-DSS-Zertifizierung oder -Fragebogen.
Verhältnismäßiger Rahmen zur Geldwäscheprävention, wenn ein Zahlungsdienst erbracht wird.
Geldwäsche-Handbuch, Risikobewertung, KYC-Akten und Benennung des Vertreters gegenüber dem SEPBLAC.
Klare Verteilung der Verantwortlichkeiten zwischen Acquirer, Kartensystemen und technischen Dienstleistern.
Verträge mit dem Acquirer, Vereinbarungen mit Dienstleistern, SLA und Business-Continuity-Rahmen.
Erkennen Sie sie vor dem Start, damit Sie nicht außerhalb des erlaubten Rahmens tätig werden oder eine unnötige Lizenz beantragen.
Wenn Sie die Einordnung eines Payment Gateways klären, begegnen Ihnen diese Begriffe in der aufsichtsrechtlichen Analyse, in den Verträgen und im Umgang mit der Banco de España und den Kartensystemen.
Technologie, die den Händler mit dem Acquirer und den Kartensystemen verbindet, um Zahlungen zu autorisieren und abzuwickeln. Seine Einordnung hängt davon ab, ob es die Gelder hält oder Zahlungen auslöst.
Anbieter technischer Unterstützung für Zahlungsdienste, der zu keinem Zeitpunkt in den Besitz der Gelder gelangt. Von der Zulassungspflicht ausgenommen – außer bei Zahlungsauslöse- und Kontoinformationsdiensten.
Von der Banco de España zugelassenes Institut, das Zahlungsdienste erbringt und Kundengelder mit Safeguarding verwaltet. Anfangskapital zwischen 20.000 € und 125.000 € je nach Diensten.
Dienst, der einen Zahlungsauftrag vom Bankkonto des Kunden auslöst. Er ist reguliert – eine Registrierung ist erforderlich –, auch wenn er nie in den Besitz der Gelder gelangt. Anfangskapital von 50.000 €.
Facilitator, der die Gelder aus den Transaktionen entgegennimmt und anschließend an den Händler auszahlt. Da er die Gelder hält, erbringt er einen Zahlungsdienst und braucht eine Zulassung.
Verifizierung des Nutzers mit mindestens zwei unabhängigen Faktoren bei elektronischen Zahlungen, vorgeschrieben durch die PSD2 und näher geregelt in der Delegierten Verordnung (EU) 2018/389, mit abschließend festgelegten Ausnahmen.
Standard der Kartenbranche für alle, die Kartendaten speichern, verarbeiten oder übermitteln. Er ist keine Lizenz, sondern eine vertragliche Anforderung der Kartensysteme.
Rechtsnorm, mit der die PSD2 in Spanien umgesetzt wurde. Sie regelt die Zahlungsdienste, die Zahlungsinstitute, die Zahlungsauslöse- und Kontoinformationsdienste sowie die Ausnahmen vom Anwendungsbereich.
Pflicht, die zur Ausführung von Zahlungsvorgängen entgegengenommenen Kundengelder getrennt und geschützt zu halten. Gilt, wenn das Gateway in den Besitz der Gelder gelangt.
Laden Sie unseren Leitfaden mit dem vollständigen Rahmen herunter: wann ein Gateway ausgenommen ist, wann es eine Lizenz braucht, welcher Status der richtige ist und welche Anforderungen an Sicherheit und Compliance gelten.
Erzählen Sie uns, wie Ihr Gateway funktioniert, und wir erklären Ihnen, ob es eine Lizenz braucht und welcher Weg für Ihr Projekt am effizientesten ist.
Die Einordnung eines Payment Gateways richtet sich nach der Richtlinie (EU) 2015/2366 (PSD2) und ihrer Umsetzung in Spanien, dem Königlichen Gesetzesdekret 19/2018 vom 23. November über Zahlungsdienste. Aufsicht und Zulassung liegen bei der Banco de España, die prüft, ob die Tätigkeit ein Zahlungsdienst ist und welcher Status ihr entspricht.
Das RDL 19/2018 nimmt technische Dienstleister von seinem Anwendungsbereich aus, die Zahlungsdienste unterstützen – Verarbeitung und Speicherung von Daten, Authentifizierung, Netzwerke, Terminals –, ohne zu irgendeinem Zeitpunkt in den Besitz der zu übertragenden Gelder zu gelangen. Ein Gateway, das sich auf diese Funktion beschränkt, liegt außerhalb des regulierten Bereichs; die Ausnahme erstreckt sich jedoch nicht auf Zahlungsauslöse- und Kontoinformationsdienste.
Wenn das Gateway die Gelder hält oder bündelt, erbringt es einen Zahlungsdienst und braucht eine Zulassung als Zahlungsinstitut (Anfangskapital von 20.000 € bis 125.000 € je nach Diensten). Löst es Zahlungen vom Konto des Kunden aus, ist es ein PISP (eigene Registrierung); bündelt es Kontoinformationen, ein AISP. Möglich ist auch die Tätigkeit als Agent eines bereits zugelassenen Zahlungsinstituts.
Liegt ein Zahlungsdienst vor, gelten die starke Kundenauthentifizierung nach der Delegierten Verordnung (EU) 2018/389, das Safeguarding der Kundengelder und die Pflichten zur Geldwäscheprävention nach dem Gesetz 10/2014. Hinzu kommt auf vertraglicher Ebene der von den Kartensystemen verlangte Datensicherheitsstandard für Kartendaten (PCI DSS).
PSD3 und die Zahlungsdiensteverordnung (PSR) befinden sich in der Schlussphase des Gesetzgebungsverfahrens. Sie werden die PSD2 ersetzen, Zahlungsinstitute und E-Geld-Institute zu einer einzigen Kategorie zusammenführen und Authentifizierung, Betrugshaftung und Open Banking stärken; die praktische Anwendung wird voraussichtlich um 2027 erwartet. Sie sollten das Gateway mit Blick auf diesen Horizont gestalten.
Maßgebliche Vorschriften, mit Link zum amtlichen Text:
Vorschriften und Links im geprüft.