PISP in Spanien: Anbieter von Zahlungsauslösediensten

Ein PISP (Payment Initiation Service Provider oder Zahlungsauslösedienstleister) ist eine Kategorie von Zahlungsdienstleistern, die in der PSD2 (Richtlinie (EU) 2015/2366) geregelt ist. Sie erlaubt es Dritten, mit ausdrücklicher Zustimmung des Nutzers Zahlungen von dessen Bankkonto auszulösen, ohne dass der Nutzer selbst auf seine Bank zugreifen muss.

Der PISP agiert als Vermittler zwischen dem zahlenden Nutzer und der kontoführenden Bank: Er löst den Zahlungsauftrag über die offenen Zugangsschnittstellen (APIs) aus, die Banken nach dem Open-Banking-Rahmen der PSD2 Dritten zur Verfügung stellen müssen.

PISP sind eine Schlüsselfigur im europäischen Fintech-Ökosystem: Sie ermöglichen Sofortzahlungen, Checkout ohne Karte, B2B-Zahlungslösungen und neue Geschäftsmodelle auf Grundlage des Zugangs zu Zahlungsdaten.

Der PISP (Payment Initiation Service Provider) löst Zahlungsaufträge vom Konto des Nutzers aus, während der AISP (Account Information Service Provider) nur auf die Kontoinformationen des Nutzers zugreift, um Daten zusammenzuführen, auszuwerten oder darzustellen, ohne Zahlungen auszuführen.

Beide sind in der PSD2 geregelt und benötigen eine Zulassung oder Registrierung bei der zuständigen Aufsicht, doch ihre Pflichten unterscheiden sich: PISP tragen eine höhere Verantwortung für Sicherheit und Authentifizierung, weil sie Transaktionen auslösen, bei denen Geld fließt, während AISP nur lesend tätig sind.

Ein und dasselbe Unternehmen kann die doppelte Erlaubnis als PISP und AISP erhalten, wenn sein Geschäftsmodell Zahlungsauslösung und Kontoinformation verbindet. Das ist bei umfassenden Open-Banking-Lösungen üblich.

In Spanien wird die Zulassung als PISP bei der Banco de España, der spanischen Zentralbank, beantragt. Sie ist nach dem Königlichen Gesetzesdekret 19/2018 über Zahlungsdienste und dem Königlichen Dekret 736/2019 die zuständige Aufsichtsbehörde für Zahlungsinstitute.

Erforderliche Unterlagen für die PISP-Lizenz:

• Tätigkeitsprogramm mit Beschreibung der geplanten Zahlungsauslösedienste.
• Geschäftsplan mit Finanzprognosen für drei Jahre.
• Beschreibung der Organisationsstruktur und der Unternehmensführung (Corporate Governance).
• Richtlinie zur Informationssicherheit und Plan für das Management operationeller Risiken.
• Verfahren für das Management schwerwiegender Vorfälle und deren Meldung an die Banco de España.
• Mechanismen der internen Kontrolle und Revision sowie AML/CFT-Richtlinie.

Das Zulassungsverfahren dauert in der Regel drei bis sechs Monate ab Einreichung des vollständigen Antrags, je nach Komplexität des Geschäftsmodells und Qualität der eingereichten Unterlagen.

Die starke Kundenauthentifizierung (SCA) gehört zu den anspruchsvollsten Anforderungen der PSD2 an PISP. Bevor er eine Zahlung auslöst, muss der PISP sicherstellen, dass der Nutzer von seiner Bank mit mindestens zwei der drei möglichen Faktoren authentifiziert wurde: etwas, das der Nutzer weiß (PIN, Passwort), etwas, das er besitzt (Mobilgerät, Karte), und etwas, das er ist (Biometrie).

PISP speichern keine Bankzugangsdaten des Nutzers: Sie greifen mit dem im SCA-Prozess erzeugten Authentifizierungstoken auf die Schnittstelle der Bank (Produktiv-API) zu. So ist die Transaktion sicher, ohne die Zugangsdaten des Nutzers zu gefährden.

Die korrekte Umsetzung der SCA ist entscheidend, damit der PISP bei Beschwerden über nicht autorisierte Zahlungsvorgänge von der Haftung befreit ist.

PISP gehören zu den Verpflichteten nach dem Gesetz 10/2010 über die Prävention von Geldwäsche und Terrorismusfinanzierung. Daraus ergeben sich eine Reihe besonderer Pflichten, die auf das Geschäftsmodell der Zahlungsauslösung zugeschnitten sind.

Zu den wichtigsten Pflichten gehören die Identifizierung und Überprüfung der Identität der Kunden (KYC), die Ermittlung des wirtschaftlich Berechtigten, wenn der Auftraggeber eine juristische Person ist, die laufende Überwachung der ausgelösten Transaktionen auf auffällige Muster und Verdachtsmeldungen an den SEPBLAC.

Das AML/CFT-System des PISP muss zu seiner Stellung in der Zahlungskette passen: Der PISP hält zwar keine Kundengelder, hat aber Zugang zu wertvollen Transaktionsdaten, mit denen er sorgfältig und vertraulich umgehen muss.

Die Europäische Kommission hat im Juni 2023 die Vorschläge für die PSD3 und die neue Zahlungsdiensteverordnung (PSR) veröffentlicht. Sie bringen wichtige Änderungen für PISP: gestärkte Zugangsrechte zu den Bankschnittstellen, einen besseren Haftungsrahmen bei Betrug, neue Informationspflichten gegenüber dem Nutzer und höhere Anforderungen an die Interoperabilität.

Die PSD3 erweitert zudem den Anwendungsbereich von Open Banking und stärkt die Wettbewerbsposition der PISP gegenüber den Banken, die Schnittstellen in höherer Qualität und mit besseren Verfügbarkeitsgarantien bereitstellen müssen.

Unternehmen, die bereits unter der PSD2 als PISP tätig sind, müssen ihre regulatorische Dokumentation und ihre technischen Systeme überprüfen, um sich an die neuen Anforderungen der PSD3 anzupassen, sobald sie in spanisches Recht umgesetzt ist.

Die gesetzliche Frist für die Entscheidung über die Zulassung als PISP beträgt drei Monate ab Vollständigkeit des Antrags; ergeht keine Entscheidung, gilt der Antrag als abgelehnt (Art. 11.2 RDL 19/2018). Die Frist kann sich verlängern, wenn die Behörde zusätzliche Unterlagen oder Erläuterungen zum Geschäftsmodell anfordert.

Die Kosten der Rechtsberatung für die PISP-Lizenz hängen von der Komplexität des Geschäftsmodells, der Zahl der beantragten Zahlungsdienste und dem Vorbereitungsstand des Unternehmens ab. Hinzu kommen die Aufsichtsgebühren der Banco de España und die Kosten für die technische Umsetzung der geforderten Sicherheitssysteme.

Spezialisierte Beratung von Beginn an senkt das Risiko zusätzlicher Auskunftsersuchen der Banco de España deutlich und verkürzt den Weg zur PISP-Lizenz.