Neue Re­geln für Be­zahl­vor­gän­ge

Was sie für die Reisebranche bedeutet

Am 14. September 2019 traten die neuen Regelungen der EU-Zahlungsdiensterichtlinie in Kraft. PSD 2 steht für Payment Service Directive 2. Diese haben Auswirkungen auf den Zahlungsverkehr in allen Branchen, auch in der Touristik. Das gilt vor allem dann, wenn Kunden im Reisebüro mit Kreditkarten und Mobile-Apps bezahlen oder Zahlungen auf Webseiten vornehmen.

Der DRV hat bereits vor einiger Zeit eine Arbeitsgruppe zur PSD2 initiiert, die sich mit den Herausforderungen bei der Umsetzung beschäftigt. Das Ergebnis ist ein Prozessmodell auf Basis der neuen Rechtsgrundlage. Ein vom DRV erstelltes Fact Sheet erläutert wichtige Hintergründe und gibt zahlreiche Tipps für die Vorbereitung.

Mit der PSD2 rückt vor allem die „Starke Kundenauthentifizierung SCA“ (Strong Customer Authentification) in den Mittelpunkt. Hierunter versteht man die Bestätigung des Kunden für ein von ihm ausgewähltes Zahlungsmittel bei einem elektronischen Zahlungsvorgang durch mindestens zwei Merkmale aus den drei Bereichen Wissen, Besitz und Inhärenz (Biometrie). Nur in der kombinierten Anwendung ist die Authentifizierung gültig und auch sicher (z.B. Kartenzahlung mit PIN oder PIN/TAN-Verfahren beim Online-Konto).

Vor allem Reisebüros können beim gleichen Buchungsvorgang unterschiedliche Rollen einnehmen. Eine mögliche Rolle ist der Payment Agent (der klassische Mittler), der im Auftrag eines Reiseveranstalters oder Leistungsträgers Zahlungsmittelinformationen erfasst. Hier ist vom Kunden gegenüber dem Reisebüro keine SCA erforderlich. Anders sieht es aus, wenn das Reisebüro eigene Entgelte wie zum Beispiel Servicefees oder Einnahmen aus eigenen Reiseveranstaltungen erhebt: Dann wird es zum Merchant, also zum Händler oder Zahlungsempfänger. Die Kreditkarte des Kunden muss hierbei den SCA-Prozess durchlaufen. Wichtig zu wissen: Reisebüros können für den gleichen Vorgang sowohl Payment Agent als auch Merchant sein, etwa wenn ein Flug bei einer Airline gebucht und mit Kreditkarte bezahlt wird und zusätzlich ein Serviceentgelt für diese Buchung erhoben wird, das ebenfalls per Kreditkarte bezahlt wird.

Kurz vor Inkrafttreten der neuen Regelung hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) mitgeteilt, dass Zahlungsdienstleister mit Sitz in Deutschland Kreditkartenzahlungen im Internet ab dem 14. September 2019 vorerst auch ohne Starke Kundenauthentifizierung ausführen dürfen - die BaFin wird dies zunächst nicht beanstanden. Das bedeutet konkret, dass die PSD2 wie geplant am 14.09.2019 in Kraft trat, die zuständige Aufsichtsbehörde jedoch derzeit für Kreditkartenzahlungen im Internet auf eine Sanktionierung verzichtet, wenn diese auch ohne die an sich vorgeschriebene SCA (Strong Customer Authentification) ausgeführt wird. Derzeit wird durch die BaFin ein Fahrplan zur vollständigen Umsetzung der PSD2 aufgestellt. Der Deutsche Reiseverband hat in diesem Zusammenhang eine umfangreiche Stellungnahme eingereicht und auf die besonderen Herausforderungen bei der Umsetzung in der Touristik hingewiesen. Zudem hat sich der DRV dafür ausgesprochen, dass die Umsetzung europaweit harmonisiert werden solle und als Stufenkonzept ausgeführt wird, damit Anbieter und Zahlungsdienstleister Gelegenheit haben, ihre Systeme anzupassen und anschließend ausreichend zu testen.