Die PSD 2 (Payment Service Directive 2): Definition, Auswirkungen und Ausnahmen für den stationären Handel
Durch den rasanten Anstieg des Zahlungsverkehrs im Onlinehandel steigt gleichzeitig auch das Risiko der Betrugsfälle. Zum einen ist das natürlich bedauerlich und gleichzeitig nahezu unvermeidlich.
Um ein sicheres und geschützteres Umfeld für Verbraucher bei der Zahlungsabwicklung zu erzeugen, hat das Europäische Parlament Ende 2015 Pläne zur Umsetzung der überarbeiteten Zahlungsdienstrichtlinie (PSD 2) ausgearbeitet.
Ziel der PSD 2 Richtlinie ist es, bargeldlose Zahlungen und die Datenübertragung im Internet sicherer zu machen und auch sollen Kundendaten besser geschützt werden. Die Richtlinie gibt somit vor, wann eine Starke Kundenauthentifizierung notwendig ist, die mindestens aus zwei unabhängigen Merkmalen besteht. Diese zwei Merkmale müssen aus den folgenden Kategorien: Wissen, Besitz und Inhärenz, stammen.
- Besitz: Das könnte beispielsweise ein Produkt, wie ein Smartphone, eine Smart Watch oder ein Ausweis sein
- Wissen: Häufig sind dies Passwörter, eine PIN oder eine Antwort auf eine Geheimfrage.
- Inhärenz: Das sind physische Merkmale, die bei jedem Kunden individuell und einmalig sind, wie der Fingerabdruck, das Gesicht, die Augen oder die Stimme.
Die Starke Kundenauthentifizierung wird unvermeidlich, wenn der Bezahler/Kunde einen elektronischen Zahlungsvorgang auslöst oder auch, wenn er online auf sein Konto zugreift.
Unter einer Auslösung des elektronischen Zahlungsvorgangs wird z.B. die Kartenzahlung mit PIN im stationären Handel verstanden. Keine Auslösung eines elektronischen Zahlungsvorgangs liegt vor, wenn mit Karte und Unterschrift bezahlt wird.[1]
Auswirkungen der PSD 2 auf Kartenzahlungen im stationären Handel
Größere Auswirkungen hat die PSD 2 auf den Onlinehandel als auf den stationären Handel. Denn im Vergleich wird bei der Bezahlung mit Karte schon oft die Eingabe des PINs verlangt[2] und als Starke Kundenauthentifizierung zulässige Verfahren gilt am Point of Sale die Chipkarte und die PIN.[3]
Des Weiteren fällt die unterschriftenbasierte Kartenzahlung im stationären Handel, so die BaFin, nicht unter die PSD 2, unabhängig davon, ob mit Kredit- oder girocard bezahlt wird.
Ausnahmen innerhalb der PSD 2
Die PSD 2 beinhaltet jedoch Ausnahmen, in denen die Starke Kundenauthentifizierung nicht erforderlich ist. Die Ausnahmen gelten für die folgenden Bereiche:
- Kontaktlose Zahlungen
- Unbeaufsichtigte Terminals für Verkehrsnutzungsentgelte und Parkgebühren
- Vom Zahler als vertrauenswürdig eingestufte Empfänger
- Wiederkehrende Zahlungsvorgänge
- Zahlungen an die eigene Person (beim selben Zahlungsdienstleister)
- Kleinbetragszahlungen
- Zahlungsmethoden mit hohem Sicherheitsniveau, zu denen nur Unternehmen zugelassen sind
- Transaktionsrisikoanalyse
- Abrufen von Kontostand und Umsätzen
Ausnahme bei der kontaktlosen Bezahlung
Für das kontaktlose Bezahlen bis 50 €, bzw. in Summe 150 € wurde eine Ausnahmereglung innerhalb der PSD 2 geschaffen. Der Kunde darf maximal fünf aufeinander folgende Kontaktloszahlungen ohne Starke Kundenauthentifizierung durchführen. Alternativ kann der Zahlungsdienstleister festlegen, dass Zahlungen ohne Starke Kundenauthentifizierung in Summe die 150 € nicht überschreiten dürfen. Wird keine der beiden Alternativen erfüllt, muss der Karteninhaber eine Starke Kundenauthentifizierung durchführen. Auch neuere Bezahlmöglichkeiten wie Apple Pay oder Google Pay, sind als unkritisch anzusehen, da der Bezahler jedes Mal durch eine PIN und/oder sich durch physische Merkmale (z.B. Fingerabdruck) authentifiziert. [4]
[1] Dr. Felix Strassmair-Reinshagen (2018), Starke Kundenauthentifizierung: Neue Pflicht wirkt sich auf Online-Banking und Bezahlen im Internet aus, Online: https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2018/fa_bj_1806_Starke_Kundenauthentifizierung.html, Abruf: 24.11.2019.
[2] Neitzsch, Peter (2019), Was Unternehmer über die neue EU-Zahlungsrichtlinie wissen sollten, Online: https://www.impulse.de/recht-steuern/rechtsratgeber/psd2/7394522.html#Welche_Ausnahmen_gelten, Abruf: 24.11.2019.
[3] Dr. Felix Strassmair-Reinshagen / Dr. Markus Burkow (2019), PSD2 in der Aufsichtspraxis – Erste Bilanz und Ausblick, Online: https://www.bafin.de/SharedDocs/Downloads/DE/Veranstaltung/dl_190912_IT-Aufsicht_Banken_Vortragsunterlagen_1.html, Abruf: 25.11.2019.
[4] Dr. Felix Strassmair-Reinshagen (2018), Starke Kundenauthentifizierung: Neue Pflicht wirkt sich auf Online-Banking und Bezahlen im Internet aus, Online: https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2018/fa_bj_1806_Starke_Kundenauthentifizierung.html, Abruf: 24.11.2019.