CCD2 und das Ende der BNPL-Grauzone: Was die neuen Verbraucherkreditregeln für Fintechs bedeuten

Aktualisierung, 11. Oktober 2026: Deutschland hat die Umsetzung abgeschlossen: Das Umsetzungsgesetz vom 12. Mai 2026 (BGBl. 2026 I Nr. 139) tritt am 20. November 2026 in Kraft. Buy-Now-Pay-Later-Modelle sind erfasst; Debitkarten mit Zahlungsaufschub bleiben nur ausgenommen, wenn binnen 40 Tagen zinsfrei und gegen geringe Entgelte zurückgezahlt wird. Neu ist eine Aufsichtsebene: Kreditgeber, die kein beaufsichtigtes Institut sind, müssen sich nach dem Absatzfinanzierungsaufsichtsgesetz bei der BaFin registrieren — mit zwölf Monaten Übergangsfrist für bestehende Anbieter und einer Ausnahme für kleine und mittlere Händler, die nur zinsfreien Zahlungsaufschub für eigene Waren gewähren —, und Darlehensvermittler brauchen eine Erlaubnis nach dem neuen § 34k GewO.

Buy-Now-Pay-Later hat eine Milliardenindustrie innerhalb einer regulatorischen Ausnahme gebaut: Kurzfristiger, zinsloser Kredit war in den Augen der alten Verbraucherkreditrichtlinie schlicht kein „Kredit“. Diese Konstruktion endet in diesem Jahr. Die zweite Verbraucherkreditrichtlinie — CCD2 — schließt die Lücke mit Absicht, und die betroffenen Unternehmen kennen das Datum seit drei Jahren.

Zuerst die Rechtsmechanik. Die Richtlinie (EU) 2023/2225 trat im November 2023 in Kraft, ersetzte die Richtlinie von 2008 und gab den Mitgliedstaaten bis zum 20. November 2025 Zeit zur Umsetzung — mit Anwendung der neuen Regeln ab dem 20. November 2026. Für das B2C-Kreditgeschäft im DACH-Raum ist dies also das Jahr, in dem Produkt, Prozess und Marketing in der neuen Welt ankommen müssen.

Die zentrale Änderung ist der Anwendungsbereich. Die alten Ausnahmen, die BNPL trugen — Kredite unter 200 Euro, zinsfreier Zahlungsaufschub, kurzfristige Kredite mit Rückzahlung binnen drei Monaten zu vernachlässigbaren Kosten —, werden weitgehend abgebaut oder verengt. Zahlungsaufschub-Produkte von Drittanbietern, der Kern des modernen BNPL-Modells, fallen unter das Regime der Richtlinie: vorvertragliche Informationen, Bonitätsprüfung, Widerrufsrecht und Verhaltensregeln inklusive. Eine Ausnahme überlebt für echte kostenlose Aufschübe durch den Händler selbst unter engen Bedingungen — aber die plattformgetriebene BNPL-Ökonomie steht innerhalb des Perimeters.

Bonitätsprüfung: von der Checkbox zur Pflicht

CCD2 verhärtet die Bonitätsprüfung zu einer echten Verbraucherschutzpflicht: vor Vertragsschluss durchzuführen, gestützt auf relevante und verhältnismäßige Informationen zu Einnahmen und Ausgaben — und entscheidend: Kredit darf nur gewährt werden, wenn die Prüfung erwarten lässt, dass der Verbraucher voraussichtlich zurückzahlen kann. Für BNPL-Anbieter, deren Conversion-Funnel um reibungslosen Checkout herum konstruiert wurde, ist das die strategische Wunde: Die Prüfung muss real, dokumentiert und produktangemessen sein — und „der Algorithmus hat zugestimmt“ ist keine Verteidigung, wenn die Daten hinter dem Algorithmus unzureichend waren.

Die Richtlinie modernisiert auch das Verhaltensumfeld um die Prüfung herum: Werberegeln gegen die Normalisierung von Schulden, ein Verbot vorangekreuzter Kästchen und unaufgeforderter Kreditgewährung, Regeln zu Beratungsleistungen und Nachsicht-Erwartungen vor der Vollstreckung. Wo automatisierte Entscheidungen eingesetzt werden, erhalten Verbraucher ein Recht auf menschliches Eingreifen und Erläuterung — eine Vorschrift, die CCD2 leise mit der Logik des AI Act verbindet, denn Kredit-Scoring ist zugleich ein Hochrisiko-KI-Anwendungsfall.

Die DACH-Lesart

Deutschland ist einer der größten BNPL-Märkte Europas und zugleich der rechnungstreueste: Der Rechnungskauf ist eine kulturelle Institution, die BNPL-Plattformen industrialisiert haben. Das deutsche Umsetzungsgesetz zieht die Grenze wie die Richtlinie: Räumt der Händler selbst unentgeltlich ein Zahlungsziel von höchstens 50 Tagen ein, ohne dass ein Dritter finanziert, bleibt das außerhalb des Verbraucherkreditrechts — für große Online-Anbieter gilt das nur bis 14 Tage und nur, wenn die Forderung nicht an einen Dritten übergeht —, während drittfinanzierte Modelle das volle Programm tragen. Österreich hat mit dem Verbraucherkreditgesetz 2026 ebenfalls umgesetzt; die Schweiz außerhalb des EU-Rahmens behält ihr eigenes Konsumkreditgesetz, das bei Höchstzins und Kreditfähigkeitsprüfung streng ist, Kredite unter 500 Franken oder mit Rückzahlung binnen drei Monaten aber nicht erfasst — kurzfristiges BNPL bleibt dort meist außerhalb.

“

BNPLs Regulierungsferien waren eine Startsubvention, kein Geschäftsmodell. Es überleben die Firmen, die sie genau so behandelt haben.

Wen es jenseits von BNPL trifft

• Händler und Marktplätze mit eingebetteter Finanzierung: Die Grenze zwischen befreitem Händler-Aufschub und regulierter Kreditvermittlung braucht pro Modell eine frische juristische Lektüre.
• Banken hinter den Plattformen: Als rechtlicher Kreditgeber tragen sie die Pflichten, die ihre Fintech-Partner technisch umsetzen — Partnerbank-Verträge werden entsprechend nachverhandelt.
• Kreditvermittler und Vergleichsplattformen: Verschärfte Regeln zu Vermittlung, Beratung und Vergütungstransparenz ordnen die Affiliate-Ökonomie neu.
• Inkasso-nahe Modelle: Nachsicht-Pflichten vor der Vollstreckung verändern das Recovery-Playbook für Verbraucherkredite.

Eine Vorbereitungssequenz für die verbleibenden Monate

1. 01Jede Produktvariante gegen das umgesetzte nationale Recht neu klassifizieren — die Ausnahme, auf die Sie sich verlassen haben, existiert womöglich nicht mehr in der erinnerten Form.
2. 02Prüfen lassen, ob Sie sich als Kreditgeber bei der BaFin registrieren müssen oder als Darlehensvermittler eine Erlaubnis nach § 34k GewO brauchen — und die Übergangsfristen notieren.
3. 03Die Bonitätsprüfung als dokumentierten, verhältnismäßigen Prozess mit Audit-Trails neu bauen — inklusive der Datenquellen und ihrer Begründung.
4. 04Checkout-Flows neu gestalten: Informationspflichten und Widerrufsrechte müssen ohne Dark Patterns in einen Conversion-Funnel passen.
5. 05Werbung und App-Store-Texte gegen die neuen Marketingregeln prüfen — Aufseher lesen sie auch.
6. 06Bei automatisierten Entscheidungen die CCD2-Erläuterungspflichten mit der AI-Act-Vorbereitung verzahnen, statt zweimal zu bauen.

Die Datenfrage in der Bonitätsprüfung

Unter der Bonitätspflicht sitzt ein leiserer Kampf um Daten. CCD2 erwartet Prüfungen auf Basis wirklich relevanter und verhältnismäßiger Informationen — was die Prüfung des kategorialen Gegenteils einlädt: Scores aus Warenkörben, Gerätesignalen oder sozialen Heuristiken. Anbieter sollten damit rechnen, dass nationale Aufseher und Datenschutzbehörden die Prüfakte gemeinsam lesen — denn dieselbe Entscheidung liegt unter CCD2, den DSGVO-Regeln zu automatisierten Entscheidungen und, wo Modelle qualifizieren, dem Hochrisiko-Regime des AI Act. Firmen, die eine kohärente Entscheidungsarchitektur mit dokumentierten Merkmalen, getesteter Fairness und erklärbaren Ergebnissen bauen, beantworten drei Regulierer mit einem Artefakt; Firmen mit drei parallelen Geschichten widersprechen sich irgendwann schriftlich.

Eine kommerzielle Asymmetrie verdient Erwähnung: Etablierte Banken betreiben reguliertes Verbraucherkredit-Decisioning seit Jahrzehnten und werden CCD2 als Update absorbieren. Für BNPL-native Firmen ist es die erste Migration in beaufsichtigte Kreditpraxis — und Partner, Investoren und Plattformkunden, die diese Migration beobachten, werden ihre Qualität als Proxy für die Gesamtreife des Hauses lesen.

Fazit

CCD2 tötet BNPL nicht; es lässt es erwachsen werden. Zahlungsaufschub wird, was er ökonomisch immer war — Verbraucherkredit — mit den Pflichten, die daraus folgen. Für gut kapitalisierte Anbieter ist Regulierung ein Burggraben gegen das undisziplinierte Ende des Marktes; für Händler und Banken im DACH-Raum ist es eine Vertrags-Nachverhandlungssaison mit harter Frist. Aegiron Capital Group unterstützt Fintechs und ihre Partner bei der operativen Vorbereitung auf das neue Regime; die rechtliche Einordnung der Produkte und die Rechtsberatung übernimmt die Kanzlei, die Sie beauftragen.