PSD2-Drittanbieter im Open Banking

Die PSD2 nennt drei Dienste, die ein Dritter für ein Konto erbringen kann, das er nicht führt. Ein Kontoinformationsdienst, AISP, liest Salden und Umsätze. Ein Zahlungsauslösedienst, PISP, löst eine Zahlung vom Konto aus; siehe Zahlungsauslösedienst. Ein kartenausgebender Zahlungsdienstleister, CBPII, fragt bei der Bank, ob Deckung für eine Kartenzahlung besteht.

Ein Unternehmen kann eine oder mehrere Rollen haben. Der Kunde authentifiziert sich bei seiner eigenen Bank, der Drittanbieter sieht und speichert die Zugangsdaten zum Online-Banking also nie, wie Yapily (auf Englisch), selbst ein zugelassener TPP, erklärt.

Ein Drittanbieter braucht die Zustimmung einer Aufsicht, bevor er ein Konto berührt. In Deutschland registriert sich ein AISP bei der BaFin, ein PISP braucht eine Erlaubnis als Zahlungsinstitut; beide stehen im Register der BaFin und im zentralen Register der EBA und können ihren Dienst per EU-Pass im EWR anbieten. Der Weg dorthin verlangt Geschäftsplan, Risikoanalyse und Compliance-Handbücher, die Zulassung bringt laufende Meldungen und Prüfungen.

An der Schnittstelle der Bank weist sich der Drittanbieter mit einem qualifizierten eIDAS-Zertifikat aus, das Zulassungsnummer, Aufsicht und Rollen enthält; siehe PSD2-Zertifikate. Viele Firmen werden gar kein Drittanbieter: Sie bauen auf der Plattform eines zugelassenen TPP auf oder nutzen einen technischen Dienstleister, der Bankanbindungen liefert, aber keine Zulassung hat. Die regulierte Tätigkeit bleibt dann beim zugelassenen Partner.

Nach der PSD2 muss eine Bank zugelassenen Drittanbietern Zugang über eine eigene Schnittstelle oder ihre Kundenschnittstelle geben, ohne einen Vertrag zu verlangen, und deren Anfragen wie die des Kunden behandeln. Die meisten deutschen Banken bauen diese Schnittstelle nach dem Berlin-Group-Standard. Dienste über das gesetzliche Minimum hinaus lassen sich über das SPAA-Schema bepreisen.

PSD3 und die Zahlungsdiensteverordnung behalten das Modell bei und ergänzen Pflichten auf beiden Seiten, darunter ein Dashboard, in dem Kunden erteilte Zugriffe sehen und widerrufen. Die Bestätigung des Kunden bei der Bank beschreibt starke Kundenauthentifizierung.

Finance Loop ist der Treffpunkt für Drittanbieter, die API-Teams der Banken, an die sie sich anbinden, und die Aufsicht und Compliance beider Seiten in Deutschland, Österreich und der Schweiz. Es verbindet die Finanz-, IT- und KI-Communitys, mit Events in Frankfurt, München, Berlin und Hamburg.

Finance Loop ist strategischer Partner der Digital Euro Association, deren Digital Euro Conference in Frankfurt digitale Geldinfrastruktur neben Open Banking behandelt.

Ein zugelassenes Unternehmen, das mit Zustimmung des Kunden auf dessen Konto bei einer anderen Bank zugreift, um Daten zu lesen oder Zahlungen auszulösen. Nach der PSD2 ist es ein AISP, ein PISP, ein CBPII oder eine Kombination.

Ein AISP liest Kontodaten und kann kein Geld bewegen. Ein PISP löst eine Zahlung vom Konto des Kunden aus. In Deutschland braucht der AISP eine BaFin-Registrierung, der PISP eine Erlaubnis als Zahlungsinstitut.

Nein. Nach der PSD2 muss eine Bank einen zugelassenen Drittanbieter ohne Vertrag an ihre Schnittstelle lassen. Ein Vertrag kommt nur für Dienste über das gesetzliche Minimum hinaus ins Spiel, etwa Premium-APIs nach dem SPAA-Schema.