Payments-Regulierung in Deutschland

Ein Unternehmen, das in Deutschland Zahlungsdienste anbieten will, braucht eine schriftliche Zulassung der BaFin nach Paragraf 10 des Zahlungsdiensteaufsichtsgesetzes (ZAG), es sei denn, es hält bereits eine Lizenz aus einem anderen EU-Staat, die es nach Deutschland passportiert. Der Antrag umfasst den Geschäftsplan, die Zuverlässigkeit und Eignung von Geschäftsführung und qualifizierten Anteilseignern, eine Beschreibung der internen Governance- und Risikokontrollmechanismen und den Nachweis des Anfangskapitals, das das ZAG für die konkret geplanten Zahlungsdienste verlangt. Die BaFin prüft den Antrag und muss binnen drei Monaten nach Eingang eines vollständigen Antrags entscheiden, wobei ein unvollständiger Antrag diese Frist zurücksetzt. Unternehmen, die nur Zahlungen auslösen oder Kontoinformationen bereitstellen, unterliegen leichteren Kapitalanforderungen als solche, die Kundengelder halten.

Sobald ein Zahlungs- oder E-Geld-Institut lizenziert ist, muss es Kundengelder von seinem eigenen Geld trennen. Das ZAG verlangt diese Absicherung entweder durch ein separates Konto bei einem Kreditinstitut oder durch eine Versicherung oder vergleichbare Garantie, sodass Kundengeld auch überlebt, wenn das Zahlungsunternehmen selbst scheitert. Die Deutsche Bundesbank unterstützt die BaFin bei der laufenden Aufsicht über diese Institute, einschließlich ihrer Sicherungsvereinbarungen und Kapitalausstattung, nicht nur zum Zeitpunkt der Lizenzierung.

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (DORA) der EU unmittelbar für Zahlungs- und E-Geld-Institute und legt eine zweite Pflichtenschicht auf die ZAG-Lizenz. Ein reguliertes Zahlungsunternehmen braucht jetzt ein dokumentiertes IKT-Risikomanagement, muss seine Systeme auf Resilienz testen, größere IKT-Vorfälle innerhalb festgelegter Fristen an die BaFin melden und das Risiko steuern, das seine kritischen IT-Dienstleister, einschließlich Cloud-Anbieter, für den Betrieb darstellen. Ein Fintech, dessen ZAG-Lizenzierung vor 2025 bestand hatte, muss seine IKT-Governance trotzdem auf den DORA-Standard bringen, denn das Gesetz gilt unabhängig davon, wann die Lizenz erteilt wurde.

Die EU ersetzt die zweite Zahlungsdiensterichtlinie durch PSD3, eine neue Richtlinie, und die Payment Services Regulation (PSR), eine unmittelbar geltende Verordnung, die kein neues deutsches Umsetzungsgesetz wie das ZAG mehr braucht. Die Verhandler erzielten am 27. November 2025 eine vorläufige Einigung über das Paket, und Herbert Smith Freehills Kramer erwartet, dass die Regeln ab Mitte bis Ende 2027 gelten. Eine Einschätzung von Freshfields hält fest, dass die BaFin bereits signalisiert hat, ab 2026 eingereichte Zulassungsanträge sollten die Richtung der neuen Regeln widerspiegeln, etwa bei der IBAN-Namensprüfung vor einer Überweisung und schärferen Regeln zur Absicherung von Kundengeldern. Wer heute eine ZAG-Lizenz beantragt, plant damit faktisch für beide Regelwerke zugleich.

Finance Loop ist der Treffpunkt für die Rechts-, Compliance- und Lizenzteams, die ZAG, DORA und das kommende PSD3-Paket in der Praxis durcharbeiten, neben den Banken, Zahlungsinstituten und Fintechs, die sie beraten oder für die sie arbeiten. Es verbindet die Finance-, IT- und KI-Communitys in Deutschland, Österreich und der Schweiz, mit Events in Frankfurt, München, Berlin und Hamburg.

Finance Loop unterstützt When Banks Say 'No', ein Payments-Seminar im NEXTOWER in Frankfurt für Compliance-, Treasury- und Rechtsteams, bei dem Dr. Julia Pfeil von Dentons über Zahlungsverkehr unter Sanktions- und Geldwäscherecht spricht. Finance Loop ist strategischer Partner der Digital Euro Association, Gastgeberin der Digital Euro Conference in Frankfurt. Außerdem kündigte Finance Loop die KI Exchange 2026 in Hamburg an, eine Konferenz von Payment & Banking, deren Programm KI-Governance und DORA-Compliance behandelte, mit erwarteten Sprechern der BaFin. Verwandte Seiten: Zahlungsverkehr in Deutschland, KYC in Deutschland und Finanzkriminalität im Zahlungsverkehr.

Ja, es sei denn, er hält eine Lizenz aus einem anderen EU-Mitgliedstaat, die er nach Deutschland passportiert. Paragraf 10 des Zahlungsdiensteaufsichtsgesetzes verlangt eine schriftliche BaFin-Zulassung, bevor ein Unternehmen Zahlungsdienste in Deutschland anbietet, mit Prüfung von Geschäftsplan, Eignung der Geschäftsführung, Governance und erforderlichem Anfangskapital.

Die BaFin muss binnen drei Monaten nach Eingang eines vollständigen Antrags entscheiden. Diese Frist läuft erst, sobald die BaFin den Antrag als vollständig einstuft. Ein unvollständiger Antrag verlängert den Zeitrahmen spürbar.

Ja. DORA gilt seit dem 17. Januar 2025 unmittelbar für Zahlungs- und E-Geld-Institute in der ganzen EU, unabhängig davon, wann ihre Lizenz erteilt wurde. Es verlangt ein IKT-Risikomanagement, Resilienztests, Vorfallmeldungen an die BaFin und die Überwachung kritischer IT-Dienstleister.