PSD3 und PSR: Wie der nächste EU-Zahlungsrahmen den DACH-Markteintritt neu ordnet

Jedes Zahlungsinstitut, das heute in Europa operiert, ist auf der Architektur von PSD2 gebaut. Diese Architektur wird ersetzt. Das Zahlungspaket der Europäischen Kommission — eine dritte Zahlungsdiensterichtlinie und erstmals eine unmittelbar anwendbare Zahlungsdiensteverordnung — zieht das rechtliche Fundament unter jedem Zahlungs- und E-Geld-Geschäft der Union neu ein. Für Unternehmen mit DACH-Plänen lautet die sinnvolle Frage nicht, ob einen das kümmern sollte, sondern wie man den Übergang sequenziert.

Das im Juni 2023 vorgeschlagene Paket teilt das heutige PSD2 in zwei Instrumente: PSD3, eine Richtlinie für Zulassung und prudentielle Aufsicht, und die Payment Services Regulation (PSR), die die Verhaltensregeln — Transparenz, starke Kundenauthentifizierung, Open Banking, Haftung — in eine Verordnung überführt, die in allen Mitgliedstaaten identisch gilt, ohne nationale Umsetzung. Zum Zeitpunkt der Erstellung dieses Beitrags befinden sich die finalen Texte in der letzten Phase des Gesetzgebungsverfahrens; die Anwendung folgt einer Übergangsfrist nach Inkrafttreten, womit die operativen Stichtage in der zweiten Hälfte des Jahrzehnts liegen. Die Richtung ist gleichwohl seit zwei Jahren klar — und sie belohnt frühe Vorbereitung.

Die stille Revolution: E-Geld verschwindet als Kategorie

Die strukturellste Änderung ist taxonomisch: Das separate E-Geld-Regime der E-Geld-Richtlinie wird in den Zahlungsrahmen eingefaltet. E-Geld-Institute werden zu einer Unterkategorie der Zahlungsinstitute — lizenziert und beaufsichtigt unter einem Regelwerk. Für den DACH-Markt ist das mehr als Aufräumarbeit: Das deutsche ZAG setzt heute beide Regime um, und unzählige Produktarchitekturen wurden um die Grenze zwischen Zahlungsdiensten und E-Geld-Emission herum entworfen. Diese Grenze wird eingeebnet; Produktklassifizierungen, Sicherungsanforderungen und Lizenzumfänge gehören gegen das verschmolzene Regime geprüft.

Wer aktuell eine EMI-Lizenz für den DACH-Eintritt erwägt, sollte nicht warten — bestehende Lizenzen gelten nach den Übergangsvorschriften zunächst fort und gehen in das neue Regime über, wenn das Institut der Aufsicht innerhalb der Übergangsfrist die Unterlagen vorlegt, anhand derer sie die Einhaltung der neuen Anforderungen prüft —, aber Governance und Safeguarding so entwerfen, dass die Migration ein Update ist, kein Neubau.

Was die PSR verhärtet

• Betrug und Haftung. Der Rahmen erweitert die Haftung in Richtung Identitätsbetrug und schreibt den IBAN-Name-Abgleich über Überweisungen hinweg fest — in Fortsetzung der Linie der Instant-Payments-Verordnung.
• Starke Kundenauthentifizierung. Die SCA-Regeln werden konsolidiert und präzisiert, Barrierefreiheit und Outsourcing-Abhängigkeiten expliziter adressiert als unter PSD2.
• Open Banking ohne Screen-Scraping-Grauzonen. Dedizierte Schnittstellen werden zur Norm — mit Performance-Anforderungen und Berechtigungs-Dashboards, die Datenteilung sichtbar und widerrufbar machen.
• Zugang zu Zahlungssystemen. Die direkte Teilnahme von Zahlungs- und E-Geld-Instituten an designierten Zahlungssystemen hat bereits die Instant-Payments-Verordnung eröffnet (von den Mitgliedstaaten bis zum 9. April 2025 umzusetzen). Das neue Paket baut darauf auf: Betreiber von Zahlungssystemen müssen ihre Zugangsregeln offenlegen und Ablehnungen begründen, Banken dürfen Zahlungsinstituten ein Konto nur noch aus eng gefassten Gründen verweigern oder kündigen, und Kundengelder auf Abwicklungskonten bei designierten Zahlungssystemen gelten als gesichert — Nichtbanken werden so strukturell unabhängiger von kommerziellen Sponsor-Banken.

“

PSD2 hat Open Banking legal gemacht. Die PSR ist der Versuch, es funktionieren zu lassen — einheitlich, durchsetzbar und ohne die nationalen Fußnoten, die ein Jahrzehnt lang Compliance-Budgets verzehrt haben.

Warum eine Verordnung für Multi-Markt-Strategien zählt

Unter PSD2 hatte ein Unternehmen, das von Deutschland nach Österreich passportete, mit zwei nationalen Umsetzungen derselben Richtlinie zu tun — ähnlich, nie identisch. Die PSR beendet das für die Verhaltensregeln: ein Text, eine Auslegungshierarchie, ein Satz technischer Standards. Für die Markteintrittsplanung komprimiert das die Rechtsanalysephase von Multi-Länder-Rollouts und verlagert den Aufwand auf genuin nationale Themen — verbraucherschützende Zusätze, Sprachanforderungen und die Aufsichtskultur der jeweiligen Behörde, die keine Verordnung wegharmonisiert.

Deutschland bleibt in dieser Hinsicht der Referenzmarkt: Die Erwartungen der BaFin an Governance-Substanz, Auslagerungskontrolle und IT-Sicherheit — geprägt durch ZAIT und inzwischen DORA — werden weiterhin die faktische Messlatte für ernsthafte Antragsteller definieren, wie auch immer das Regelwerk heißt.

Open Banking: vom Kostenposten zum Produkt

Das Kontozugangsregime von PSD2 war notorisch asymmetrisch: Banken trugen die Schnittstellenkosten, Drittanbieter ernteten den Produktwert, und der Datenperimeter endete beim Zahlungskonto. Der neue Rahmen balanciert Teile dieser Gleichung neu — dedizierte Schnittstellen mit durchsetzbaren Performance-Erwartungen, Berechtigungs-Dashboards, die Einwilligung greifbar machen, und ein saubererer Durchsetzungsweg, wenn der Zugang degradiert. Für kontoführende Institute ist dies der Moment, die API nicht länger als Compliance-Artefakt, sondern als Produktoberfläche zu behandeln: Wer verlässliche, gut dokumentierte Schnittstellen anbietet, wird der bevorzugte Partner sein, wenn datengetriebene Angebote skalieren.

Der strategische Horizont reicht weiter: Der parallele Vorschlag zum Zugang zu Finanzdaten (FiDA) würde die Open-Banking-Logik auf Spar-, Wertpapier- und Versicherungsdaten ausdehnen. Wie auch immer sein finaler Zeitplan aussieht — die Richtung ist eine Einbahnstraße. Wer heute Consent-Management, Datenteilungs-Infrastruktur und Monetarisierungsmodelle für die PSR-Welt baut, trainiert zugleich die Muskeln, die das Open-Finance-Jahrzehnt verlangen wird.

Was aus den alten Schlachtfeldern wird

Veteranen von PSD2 werden im neuen Rahmen die leise Beilegung alter Streitfragen erkennen. Die Ausnahmen, die ein Jahrzehnt Grenzziehungs-Streit erzeugten — Handelsvertreter, begrenzte Netze, Telekom-Abrechnung —, werden verschärft und standardisiert, mit Anzeigepflichten, die ausnahmebasierte Geschäftsmodelle für Aufseher transparenter und für ihre Dehnung unbequemer machen. Wer im DACH-Setup auf einer Ausnahme aufbaut, sollte diese Analyse jetzt gegen die zwischen Parlament und Rat vereinbarten Texte neu herleiten — denn die Kosten einer nach dem Launch entdeckten Umklassifizierung werden in Restrukturierung gemessen, nicht in Rechtsgutachten.

Auch die Durchsetzungsarchitektur reift: stärkere Rollen für die Europäische Bankenaufsichtsbehörde, ein konsolidiertes Register zugelassener Firmen und harmonisierte Sanktionslogik reduzieren die Arbitrage zwischen nachsichtigen und strengen Gaststaaten. Für Multi-Markt-Betreiber bedeutet das Einheitlichkeit in beide Richtungen — dieselben Regeln überall, und dieselben Konsequenzen überall.

Den Übergang sequenzieren

1. 01Das Produktportfolio gegen die verschmolzene Zahlungs-/E-Geld-Taxonomie klassifizieren und jeden Dienst markieren, dessen Einordnung sich verschiebt.
2. 02Safeguarding- und Eigenmittelanforderungen gegen die strengere der aktuellen und vorgeschlagenen Anforderungen auditieren — auf die höhere Latte zu bauen vermeidet Doppelarbeit.
3. 03Empfängerüberprüfung und Betrugshaftung als konvergente Pflichten aus Instant-Payments-Verordnung und PSR behandeln; eine Engineering-Roadmap sollte beiden dienen.
4. 04Wenn Open-Banking-Schnittstellen Teil des Modells sind, Dashboard- und Performance-Anforderungen früh budgetieren.
5. 05Die Übergangsfristen für bestehende Erlaubnisse verfolgen, damit die Lizenzmigration ein geplantes Projekt ist — kein Notfall.

Fazit

PSD3 und PSR ändern nicht, was ein gutes Zahlungsgeschäft tut; sie ändern, wie einheitlich Europa es einfordert. Die Verschmelzung des E-Geld-Regimes, die Verhärtung von Betrugs- und SCA-Regeln und die Verlagerung des Verhaltensrechts in eine Verordnung begünstigen zusammen Unternehmen mit sauberer Produktklassifizierung und substanzieller Governance — dieselben Qualitäten, die DACH-Aufseher schon immer belohnt haben. Aegiron Capital Group hilft internationalen Zahlungs- und E-Geld-Unternehmen, ihren Markteintritt auf den kommenden Rahmen auszurichten — von der Einordnung des Produkts bis zum Projektplan für das Erlaubnisverfahren, an der Seite der Kanzlei, die Sie beauftragen.