Zahlungsgateways und Checkout-Anbieter

• Directive (EU) 2015/2366 — PSD2 and strong customer authentication
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2022/2554 — DORA
• Regulation (EU) 2023/1113 on transfers of funds

Wer muss benennen

Zahlungsanbieter außerhalb der Union, die EU-Händler und Verbraucher bedienen. Die Bereitstellung von Zahlungsdiensten erfordert die Genehmigung einer in einem Mitgliedstaat ansässigen Stelle; der DSGVO-Vertreter befasst sich nur mit der Datenseite.

Schwellen und Ausnahmen

Die Genehmigungsschwellen hängen vom Dienst ab. Die Ausnahmen für begrenzte Netzwerke und Handelsvertreter sind eng und müssen bewertet und nicht angenommen werden.

Was auf das Etikett gehört

Nicht physisch. Händler- und Verbraucherdaten sind gemäß PSD2 erforderlich, einschließlich der Identität des Anbieters, der Gebühren und der Ausführungszeiten, sowie des Vertreters in der Datenschutzerklärung.

Marktplatz-Felder

Kartensysteme und Acquirer verlangen PCI DSS-Konformität als vertragliche Bedingung, und Händler benötigen DORA-kompatible Bedingungen, wenn sie Finanzinstitute sind.

Unterlagen, die Sie vorhalten müssen

Genehmigungsunterlagen, Sicherheitsvorkehrungen für Benutzerfonds, Dokumentation zur Umsetzung der starken Kundenauthentifizierung mit den angewendeten Ausnahmen, AML-Programm, Verfahren zur Vorfallberichterstattung, Artikel 30 Aufzeichnungen, die Artikel 27 Benennung und DORA-Register der Informationen für ICT-Drittanbietervereinbarungen.

Normen und Prüfungen

PCI DSS-Bewertung, Tests zur starken Kundenauthentifizierung und für DORA-relevante Anbieter die Teilnahme an Resilienztests.

Sprachanforderungen

Händler- und Verbraucherinformationen in der Sprache der bedienten Märkte.

Ab wann es gilt

Genehmigung vor der Bereitstellung von Dienstleistungen. DORA gilt seit dem 17. Januar 2025.

Aufbewahrungsfristen

Transaktionsaufzeichnungen gemäß PSD2 und nationalem Recht, in der Regel mindestens fünf Jahre, und AML-Aufzeichnungen für denselben Zeitraum.

Was bei Verstößen passiert

Verbot der Tätigkeit und Widerruf der Genehmigung, DSGVO-Strafen von bis zu 4 % des Umsatzes und Systemstrafen für PCI-Verstöße. Der Betrieb ohne Genehmigung ist in mehreren Mitgliedstaaten strafbar.

Wer kontrolliert

Nationale Finanzaufsichtsbehörden und die EBA, Datenschutzbehörden und Kartensysteme vertraglich.

Wo die Grenze verläuft

Zahlungsdaten sind personenbezogene Daten mit hoher Sensibilität, und die Aufbewahrungspflichten gemäß AML stehen im Widerspruch zur Minimierung, es sei denn, sie sind als rechtliche Verpflichtung dokumentiert. Anbieter, die als technische Dienstleister und nicht als Zahlungsinstitute agieren, müssen nachweisen können, dass sie niemals Gelder oder Kontodaten in einer Weise halten, die eine Genehmigung auslöst.

Häufige Fragen

Erlaubt uns ein DSGVO-Vertreter, Zahlungen in der EU zu verarbeiten?

Nein. Zahlungsdienste erfordern die Genehmigung einer etablierten Stelle. Der Vertreter erfüllt nur Artikel 27.

Fallen wir unter DORA?

Zahlungsinstitute sind Finanzinstitute gemäß DORA, und ICT-Anbieter für sie unterliegen dem Regime für Drittanbieter-Risiken, einschließlich des Registers der Informationen.