Glossar: Was sind PSD3 und PSR?

PSD3 ist die dritte Zahlungsdiensterichtlinie der EU, ein neues Regelwerk (zusammen mit der begleitenden Verordnung, der PSR), das die PSD2 ersetzen und die Art und Weise, wie Zahlungsinstitute in Europa lizenziert, beaufsichtigt und für Betrug haftbar gemacht werden, neu gestalten wird.

Hinweis zum Zeitplan: Bis Oktober 2026 wurden PSD3 und PSR noch nicht formell verabschiedet. Das Europäische Parlament und der Rat haben im November 2025 eine politische Einigung erzielt und im April 2026 die endgültigen Kompromisstexte veröffentlicht, aber das Paket muss noch formell verabschiedet und im Amtsblatt der EU (dem offiziellen Gesetzblatt der EU, in dem Gesetze vor ihrem Inkrafttreten formell veröffentlicht werden) bekannt gemacht werden, was für die zweite Jahreshälfte 2026 erwartet wird. Die vollständige Anwendung wird für die Jahre 2027 bis 2028 erwartet.

Warum die EU die PSD3 geschaffen hat

Die 2015 eingeführte PSD2 brachte uns Open Banking und die starke Kundenauthentifizierung (SCA). Es war ein guter Anfang, ließ aber Lücken. Betrüger wurden schlauer, während Open-Banking-Verbindungen nicht immer die Verfügbarkeit und Leistung erbrachten, die sie eigentlich bieten sollten. Gleichzeitig wurde die PSD2 in den einzelnen EU-Ländern unterschiedlich angewendet. PSD3 und PSR sind die Antwort der Europäischen Kommission: ein harmonisiertes Regelwerk, strengerer Betrugsschutz und klarere Verantwortlichkeiten für alle, die Geld bewegen. Einige der ersten Überlegungen dazu haben wir in unserem früheren Ausblick auf die PSD3 behandelt, als sich die Reform noch in der Entwurfsphase befand.

PSD3 vs. PSR: Was ist der Unterschied?

Es hilft, sich die beiden als zwei Hälften derselben Reform vorzustellen.

PSD3, die Zahlungsdiensterichtlinie (die Richtlinie)

Die PSD3 ist die eine Hälfte der EU-Zahlungsdienstereform. Sie deckt die institutionelle Seite ab: Wer kann ein Zahlungsinstitut oder E-Geld-Institut werden; wie werden sie lizenziert und wie beaufsichtigt? Es handelt sich um eine Richtlinie, eine Art von EU-Recht, die das Ziel vorgibt, es aber jedem Land selbst überlässt, eigene Umsetzungsgesetze zu erlassen, sodass jeder EU-Mitgliedstaat sie in einem ähnlichen Zeitrahmen wie die PSR in nationales Recht umsetzen wird.

PSR, die Zahlungsdiensteverordnung (die Verordnung)

Die PSR ist die andere Hälfte der Reform. Im Gegensatz zur PSD3 ist sie eine Verordnung, eine Art von EU-Recht, das direkt und identisch in jedem Mitgliedstaat gilt, ohne dass eine nationale Umsetzung erforderlich ist. Sie deckt die operativen Regeln ab: Authentifizierung, Betrugshaftung, Empfängerprüfung (Verification of Payee) und Open-Banking-API-Leistung, wobei die technischen Standards von der Europäischen Bankenaufsichtsbehörde (EBA) finalisiert werden.

Zusammen ersetzen PSD3 und PSR die PSD2 sowie die aktuelle E-Geld-Richtlinie EMD2 (Richtlinie 2009/110/EG), wobei deren Regeln direkt in die PSD3 integriert werden und Zahlungs- und E-Geld-Institute in einem einzigen, einfacheren Lizenzierungsrahmen zusammengeführt werden.

Was sich unter PSD3 und PSR ändert

Einige der wichtigsten Änderungen im Überblick:

• Verschiebung der Betrugshaftung: Wenn eine Bank oder ein Anbieter einen offensichtlichen Spoofing-Versuch übersieht (ein Betrüger gibt sich als vertrauenswürdige Quelle wie eine Bank oder ein Lieferant aus, um jemanden zur Zahlung zu verleiten), kann die Haftung von der betrogenen Person abgewälzt werden. In den Niederlanden ist dies bereits gängige Praxis; PSD3 und PSR machen dies zu einer verbindlichen, EU-weiten Regelung statt einer Einzelfallentscheidung.

• Stärkere Open-Banking-APIs: Seit 2018 konnten Banken oft auf eine fehlerhafte oder langsame Verbindung ausweichen, anstatt sie zu beheben. Die PSR verpflichtet Banken dazu, dass diese Verbindungen mindestens so gut funktionieren wie ihre eigene Banking-App oder Website; keine Ausreden mehr für zweitklassige Verbindungen.

• Eine einzige ZI- (Zahlungsinstitut) / EGI- (E-Geld-Institut) Lizenz: Zahlungsinstitute und E-Geld-Institute fallen künftig unter ein einziges, harmonisiertes Zulassungsverfahren statt unter zwei separate. In der Praxis: Ein Unternehmen, das sowohl Zahlungsdienste als auch E-Geld (wie Prepaid-Guthaben oder digitale Geldbörsen) anbieten möchte, benötigt nicht mehr zwei separate Lizenzen und Unterlagen, sondern nur noch eine für beides.

• Strengere Kontrolle für Marktplätze: Marktplätze dürfen schon jetzt keine Kundengelder ohne Lizenz oder gültige Ausnahme verwalten, aber einige Plattformen haben die Handelsvertreter-Ausnahme so genutzt, dass sie den eigentlichen Zweck strapaziert hat. Die PSD3 verschärft diese Definition weiter, und die ersten Plattformen stellen bereits auf ein lizenziertes Setup um, indem sie entweder eine eigene Lizenz erwerben oder mit einem Plattform-PSP kooperieren.

• Plattformhaftung für betrügerische Inhalte: Große Online-Plattformen dürfen Finanzdienste nur noch von Anbietern bewerben, die in diesem Markt zugelassen sind. Wenn ein Zahlungsdienstleister einen betrogenen Kunden entschädigt, nachdem die Plattform über betrügerische Inhalte informiert wurde und diese nicht entfernt hat, kann die Plattform gegenüber diesem Anbieter haftbar gemacht werden.

Was dies in der Praxis für Marktplätze und SaaS-Plattformen mit integrierten Zahlungen bedeutet, vertiefen wir in Wie sich PSD3 und PSR auf Marktplätze und SaaS-Plattformen auswirken.

Wen betrifft die PSD3?

• Zahlungsinstitute, E-Geld-Institute und Banken tragen die größte Compliance-Last, da sie die Lizenz halten. Die Pflicht zur Zulassung und Beaufsichtigung ist nicht neu; das war bereits unter der PSD2 so. Was sich ändert, ist die Form: eine einzige, harmonisierte ZI/EGI-Lizenz anstelle von zwei separaten Regimen und eine verstärkte grenzüberschreitende Aufsicht.

• Marktplätze können von der Einschränkung der Handelsvertreter-Ausnahme betroffen sein. Einige Marktplätze konnten sich unter PSD2 auf diese Ausnahme berufen, je nach Auslegung ihrer nationalen Regulierungsbehörde. Unter PSD3/PSR können Marktplätze, die sowohl im Namen von Käufern als auch von Verkäufern handeln, diese in der Regel nicht mehr nutzen.

• SaaS-Plattformen (ISVs) mit integrierten Zahlungen sind indirekt betroffen. Während der lizenzierte Zahlungspartner weiterhin für regulierte Aktivitäten wie das Onboarding von Händlern und KYC verantwortlich bleibt, muss der ISV möglicherweise strengere Anforderungen seines Zahlungspartners in Bezug auf die von den Händlern erfassten Daten, deren Verifizierung und die bereitgestellten Betrugssignale erfüllen.

• Händler und Online-Verkäufer spüren dies vor allem über ihren Zahlungsanbieter: Die Verifizierungsschritte beim Checkout können sich leicht ändern, auf Kontoauszügen wird Ihr tatsächlicher Handelsname deutlicher angezeigt, und Betrugsstreitigkeiten sollten schneller gelöst werden.

Was das für Sie bedeutet

Wenn Sie einen Marktplatz oder eine SaaS-Plattform betreiben, müssen Sie möglicherweise neu bewerten, ob Ihr aktuelles Zahlungs-Setup unter den neuen Regeln noch für eine Ausnahme infrage kommt. Was Sie tun müssen: Prüfen Sie jetzt, ob Ihre Geldflüsse und Ihr Onboarding den strengeren Regeln tatsächlich standhalten, und suchen Sie das Gespräch mit einem regulierten Zahlungspartner, wenn Sie sich nicht sicher sind. 

Wie OPP hilft

Bei OPP wurde das Onboarding genau unter Berücksichtigung dieser Art von regulatorischen Veränderungen konzipiert – ganz gleich, ob Sie Verkäufer auf einem Marktplatz überprüfen oder Händler über Ihre SaaS-Plattform einbinden.