PSD3 und die Zahlungsdiensteverordnung

Die zweite Zahlungsdiensterichtlinie (PSD2) von 2015 regelt, wie Banken, Zahlungs- und E-Geld-Institute in der EU Zahlungsdienste anbieten. Jeder Mitgliedstaat hat sie in eigenes Recht umgesetzt, Deutschland im Zahlungsdiensteaufsichtsgesetz (ZAG) und im BGB. Die EU-Kommission schlug die Nachfolge am 28. Juni 2023 in zwei Texten vor, am selben Tag auch die Verordnung über den Zugang zu Finanzdaten (FIDA).

PSD3 ist eine Richtlinie zu Zulassung und Aufsicht. Sie hebt die E-Geld-Richtlinie von 2009 auf und stellt E-Geld-Institute unter dasselbe Regime wie Zahlungsinstitute. Die Zahlungsdiensteverordnung (PSR) enthält die Verhaltensregeln: starke Kundenauthentifizierung, Kontozugang, Betrugshaftung und Transparenz bei Gebühren. Eine Verordnung braucht kein nationales Umsetzungsgesetz, also gilt für ein Zahlungsinstitut in Frankfurt derselbe Text wie in Paris oder Vilnius.

Parlament und Rat einigten sich am 27. November 2025 vorläufig. Die Pressemitteilung des Parlaments (auf Englisch) nennt die Änderungen für Kunden. Der Rat veröffentlichte die finalen Kompromisstexte am 23. April 2026, der ECON-Ausschuss billigte den Text am 5. Mai 2026, so der Legislative Train des Parlaments (auf Englisch). Das Paket tritt 20 Tage nach Veröffentlichung im EU-Amtsblatt in Kraft.

Die meisten Pflichten greifen später. Die Kanzlei Arthur Cox (auf Englisch) liest die Texte so: 21 Monate Umsetzungsfrist für PSD3, die Namensprüfung der PSR gilt 27 Monate nach Inkrafttreten. Nach PSD2 zugelassene Institute dürfen bis zu 27 Monate weiterarbeiten, während sie der Aufsicht zeigen, dass sie die neuen Anforderungen erfüllen. Marc Pussar und Jonas Sturies fassen bei KPMG Law zusammen, was PSD3 und PSR für Zahlungsdienstleister und Banken bedeuten.

Nach der PSR prüft ein Zahlungsdienstleister vor einer Überweisung, ob Name und IBAN des Empfängers zusammenpassen. Weichen sie ab, lehnt er den Auftrag ab und informiert den Zahler. Für Euro-Überweisungen gilt diese Empfängerüberprüfung schon nach der Instant-Payments-Verordnung, wie die Seite zu Echtzeitüberweisungen in Europa erklärt; die PSR weitet sie aus. Startet oder ändert ein Betrüger eine Zahlung, gilt sie als nicht autorisiert.

Beim Identitätsbetrug gibt sich ein Betrüger als Bankmitarbeiter aus und bringt den Kunden dazu, eine Zahlung freizugeben. Laut Parlament erstattet die Bank dann den vollen Betrag, wenn der Kunde den Betrug bei der Polizei anzeigt und die Bank informiert. Wer keine angemessene Betrugsprävention betreibt, trägt den Schaden. Erstmals haften auch Online-Plattformen: Wer von betrügerischen Inhalten erfährt und sie nicht entfernt, haftet gegenüber dem Zahlungsdienstleister, der erstattet hat. Sehr große Plattformen müssen prüfen, ob ein Werbekunde für Finanzdienste eine Lizenz hat. Wie deutsche Banken Betrug heute erkennen, zeigt die Seite zur Betrugsprävention.

PSD2 gab lizenzierten Drittanbietern Zugang zu Zahlungskonten. Das neue Paket behält diesen Zugang und regelt die Bedingungen genauer. Banken müssen Zahlungsinstituten diskriminierungsfrei Kontozugang geben, eine eigene Schnittstelle (API) betreiben und Kunden ein Dashboard bieten, das zeigt, welche Anbieter ihre Konten lesen dürfen, und in dem sie diese Erlaubnis widerrufen. Den Berlin-Group-Standard der meisten deutschen Banken erklärt die Seite zu Open Banking in Deutschland.

Die starke Kundenauthentifizierung bleibt, mit klareren Regeln für vom Händler ausgelöste Zahlungen. Anbieter müssen kostenlose Verfahren anbieten, die nicht allein vom Smartphone abhängen. Vor einer Zahlung sehen Kunden alle Entgelte, auch für Währungsumrechnung und feste Gebühren am Geldautomaten. Geschäfte dürfen bis zu 150 Euro Bargeld ohne Einkauf auszahlen; das Parlament will so den Bargeldzugang auf dem Land sichern.

In Deutschland wird PSD3 im ZAG umgesetzt, und die BaFin lässt Zahlungs- und E-Geld-Institute danach zu und beaufsichtigt sie. Die BaFin erwartet bereits, dass neue Erlaubnisanträge der Richtung von PSD3 folgen, wie Freshfields (auf Englisch) aus ihren Hinweisen berichtet. Ein Institut mit ZAG-Lizenz muss nachweisen, dass es die neuen PSD3-Anforderungen erfüllt, etwa bei der Sicherung von Kundengeldern. Lizenz, Sicherung und DORA-Pflichten behandelt die Seite zur Regulierung im Zahlungsverkehr.

Finance Loop ist der Treffpunkt für alle, die Zahlungsregeln in Produkte und Prozesse übersetzen: Compliance- und Rechtsteams bei Banken, Zahlungs- und E-Geld-Instituten und die Fintechs und Beratungen, die mit ihnen arbeiten. Es verbindet die Finance-, IT- und KI-Communitys in Deutschland, Österreich und der Schweiz, mit Events in Frankfurt, München, Berlin und Hamburg.

Finance Loop unterstützt When Banks Say 'No', ein Payments-Seminar in Frankfurt für Compliance, Treasury und Recht zu blockierten Zahlungen, De-Risking und Sanktionen. Sopra Steria, das PSD3, PSR und FiDA zu seinen Bankthemen in Deutschland zählt, hatte einen Speaker bei der Digital Finance Night von Finance Loop in Frankfurt. Zur Sibos in Frankfurt organisierte Finance Loop ein Side Event im TechQuartier zu Payments und Blockchain.

Capital & Code ist eine eintägige Konferenz in Frankfurt zu Stablecoins, tokenisierten Fonds und Payments, ausgerichtet vom Euro-Stablecoin-Emittenten AllUnity. Im Panel zur Zukunft des Bezahlens sitzen Mastercard, AllUnity, Worldline und PayPal. Finance Loop ist Medienpartner der Konferenz.

PSD2 ist eine Richtlinie, die jeder Mitgliedstaat selbst umgesetzt hat. Die Nachfolge hat zwei Teile: PSD3, eine Richtlinie zu Zulassung und Aufsicht, die auch die E-Geld-Richtlinie aufnimmt, und die Zahlungsdiensteverordnung mit den Verhaltensregeln, die direkt gilt. Neu sind die Namensprüfung bei Überweisungen, die Erstattung bei Identitätsbetrug, die Haftung von Plattformen, Dashboards für Open Banking und Authentifizierung ohne Smartphone.

Das Paket tritt 20 Tage nach Veröffentlichung im Amtsblatt in Kraft. Dann haben die Mitgliedstaaten 21 Monate, um PSD3 umzusetzen, und die Namensprüfung der PSR gilt 27 Monate nach Inkrafttreten, so Arthur Cox. Nach PSD2 zugelassene Institute haben bis zu 27 Monate, um die neuen Regeln nachzuweisen.

Ja. PSD3 hebt die Richtlinie 2009/110/EG auf und stellt E-Geld-Institute unter dieselben Zulassungs- und Aufsichtsregeln wie Zahlungsinstitute. Die Ausgabe von E-Geld bleibt erlaubnispflichtig, aber in einem gemeinsamen Rahmen.

Nein. Die Verordnung über den Zugang zu Finanzdaten wurde am selben Tag wie PSD3 und PSR vorgeschlagen und soll den Datenzugang über Zahlungskonten hinaus auf Spar-, Anlage-, Renten- und Versicherungsdaten ausweiten. Sie ist ein eigenes Gesetzgebungsverfahren. Der Zugang zu Zahlungskonten steht in der PSR.