PSD2 Drittanbieter
Ein PSD2-Drittanbieter, auf Englisch Third-Party Provider oder TPP, ist ein reguliertes Unternehmen, das Dienste rund um das Zahlungskonto eines Kunden bei einer anderen Bank anbietet. Ein Kontoinformationsdienst ruft Angaben wie Kontostände und Umsätze ab, während ein Zahlungsauslösedienst auf Wunsch des Kunden eine Zahlung anstößt. Beide Tätigkeiten nutzen Bankschnittstellen und setzen die Zustimmung des Kunden voraus.
Drittanbieter ermöglichen Angebote wie Multibanking-Apps und Pay-by-Bank-Checkouts, ohne selbst die kontoführende Bank zu sein. Der Anbieter verbindet den kundenseitigen Dienst mit dem Konto, das bei der bisherigen Bank des Kunden bleibt. Ob eine Registrierung oder Erlaubnis erforderlich ist, hängt von der Rolle des Anbieters und dem Land ab, in dem der Dienst angeboten wird.
Drei Arten von TPP
Die PSD2 nennt drei Dienste, die ein Dritter für ein Konto erbringen kann, das er nicht führt. Ein Kontoinformationsdienst, AISP, liest Salden und Umsätze. Ein Zahlungsauslösedienst, PISP, löst eine Zahlung vom Konto aus; siehe Zahlungsauslösedienst. Ein kartenausgebender Zahlungsdienstleister, CBPII, fragt bei der Bank, ob Deckung für eine Kartenzahlung besteht.
Ein Unternehmen kann eine oder mehrere Rollen haben. Der Kunde authentifiziert sich bei seiner eigenen Bank, der Drittanbieter sieht und speichert die Zugangsdaten zum Online-Banking also nie.
Zulassung, Register und Zertifikat
Ein Drittanbieter braucht die Zustimmung einer Aufsicht, bevor er ein Konto berührt. In Deutschland registriert sich ein AISP bei der BaFin, ein PISP braucht eine Erlaubnis als Zahlungsinstitut; beide stehen im Register der BaFin und im zentralen Register der EBA und können ihren Dienst per EU-Pass im EWR anbieten. Der Weg dorthin verlangt Geschäftsplan, Risikoanalyse und Compliance-Handbücher, die Zulassung bringt laufende Meldungen und Prüfungen.
An der Schnittstelle der Bank weist sich der Drittanbieter mit einem qualifizierten eIDAS-Zertifikat aus, das Zulassungsnummer, Aufsicht und Rollen enthält; siehe PSD2-Zertifikate. Viele Firmen werden gar kein Drittanbieter: Sie bauen auf der Plattform eines zugelassenen TPP auf oder nutzen einen technischen Dienstleister, der Bankanbindungen liefert, aber keine Zulassung hat. Die regulierte Tätigkeit bleibt dann beim zugelassenen Partner.
Pflichten der Bank gegenüber Drittanbietern
Nach der PSD2 muss eine Bank zugelassenen Drittanbietern Zugang über eine eigene Schnittstelle oder ihre Kundenschnittstelle geben, ohne einen Vertrag zu verlangen, und deren Anfragen wie die des Kunden behandeln. Die meisten deutschen Banken bauen diese Schnittstelle nach dem Berlin-Group-Standard. Dienste über das gesetzliche Minimum hinaus lassen sich über das SPAA-Schema bepreisen.
PSD3 und die Zahlungsdiensteverordnung behalten das Modell bei und ergänzen Pflichten auf beiden Seiten, darunter ein Dashboard, in dem Kunden erteilte Zugriffe sehen und widerrufen. Die Bestätigung des Kunden bei der Bank beschreibt starke Kundenauthentifizierung.
Kommende Events zu Payments und Open Banking
Finance Loop und PSD2-Drittanbieter
Finance Loop ist der Treffpunkt für Drittanbieter, die API-Teams der Banken, an die sie sich anbinden, und die Aufsicht und Compliance beider Seiten in Deutschland, Österreich und der Schweiz. Finance Loop verbindet die Finanz-, IT- und KI-Communities, mit Events in Frankfurt, München, Berlin und Hamburg.
Finance Loop ist Partner der Digital Euro Association, deren Digital Euro Conference in Frankfurt digitale Geldinfrastruktur neben Open Banking behandelt.
Was ist ein PSD2-Drittanbieter?
Ein PSD2-Drittanbieter ist ein zugelassenes Unternehmen, das mit Zustimmung des Kunden auf dessen Konto bei einer anderen Bank zugreift, um Daten zu lesen oder Zahlungen auszulösen. Nach der PSD2 ist es ein AISP, ein PISP, ein CBPII oder eine Kombination.
Was unterscheidet AISP und PISP?
Ein AISP liest Kontodaten und kann kein Geld bewegen. Ein PISP löst eine Zahlung vom Konto des Kunden aus. In Deutschland braucht der AISP eine BaFin-Registrierung, der PISP eine Erlaubnis als Zahlungsinstitut.
Braucht ein TPP einen Vertrag mit der Bank?
Nach der PSD2 muss eine Bank einen zugelassenen Drittanbieter ohne Vertrag an ihre Schnittstelle lassen. Ein Vertrag kommt nur für Dienste über das gesetzliche Minimum hinaus ins Spiel, etwa Premium-APIs nach dem SPAA-Schema.
PSD2-Drittanbieter und Finance Loop
Finance Loop behandelt Drittanbieter im Track Zahlungsverkehr & digitales Geld, zusammen mit Kontoinformation, Zahlungsauslösung und PSD3. Drittanbieter treffen die Banken, deren Schnittstellen sie nutzen, bei Finance-Loop-Events.
Finance Loop ist ein Experten-Netzwerk, das die institutionelle Nutzung neuer Technologien im Finanzwesen fördert, wie KI, digitale Zahlungen sowie Cloud- und Blockchain-Lösungen. Finance Loop hilft seinen Mitgliedern, Fähigkeiten und persönliche Netzwerke in diesen Bereichen aufzubauen: Investment & digitale Vermögenswerte, Zahlungsverkehr & digitales Geld, Digitale Infrastruktur & Souveränität und Risiko & Compliance.