PSD3/PSR: Neue Haftungsregelungen für Banken und Zahlungsdienstleister

Die Europäische Union plant mit der Payment Services Directive 3 (PSD3) und der ergänzenden Payment Services Regulation (PSR) eine umfassende Reform des europäischen Zahlungsdiensterechts. Neben einer Modernisierung der bestehenden Vorgaben stehen unter anderem Betrugsbekämpfung und neue Haftungsregelungen im Fokus.

von Awet Yohannes, Rechtsanwalt, Annerton

Hintergrund und Stand des Gesetzgebungsverfahrens

Ausgangspunkt war ein Review der PSD2, das unter anderem eine erhebliche Betrugsanfälligkeit sowie ein mangelndes Vertrauen der Verbraucher festgestellt hat. Die Betrugsbekämpfung ist daher ein zentrales Ziel des EU-Gesetzgebers, der das EU-Zahlungsdiensterecht künftig durch zwei Rechtsakte neu ordnen will: Während die PSD3 insbesondere aufsichtsrechtliche Vorgaben wie Zulassung und Beaufsichtigung von Zahlungsinstituten enthält, bestimmt die PSR die zivilrechtlichen Vorschriften – darunter vor allem die Haftungstatbestände. Im Unterschied zur PSD3 gilt die PSR unmittelbar in allen EU-Mitgliedstaaten und soll so den Zahlungsverkehr europaweit weiter harmonisieren.

Beide Rechtsakte befinden sich noch im Gesetzgebungsverfahren. Derzeit laufen die Trilogverhandlungen zwischen Kommission, Parlament und Rat. Auch wenn der endgültige Wortlaut noch aussteht, ist bereits klar, dass neue und schärfere Haftungsvorschriften auf Banken und andere Zahlungsdienstleister (nachfolgend nur Zahlungsdienstleister) zukommen.

Grundsatz: Fortführung des bisherigen Haftungsregimes

Im Kern bleibt das bisherige Haftungsgefüge erhalten. Zahlungsdienstleister haften weiterhin zum Beispiel für nicht erfolgte, fehlerhafte oder verspätete Zahlungsvorgänge (Art. 75 PSR-E). Auch die Haftung für nicht autorisierte Zahlungen sowie für Fälle fehlender starker Kundenauthentifizierung (Art. 56, 60, 85 PSR-E) gilt fort.

Es wird auch künftig an der grundsätzlichen Risikoverteilung zwischen Zahlungsdienstleister und Zahlungsdienstnutzer festgehalten.”

Der Eindruck einer bloßen Fortschreibung täuscht jedoch: Die PSR-E enthält neue Haftungsvorschriften, die die bisherige Risikoverteilung erheblich verschieben.

Zentrale Neuerung: Haftung des Zahlungsdienstleisters für Identitätsbetrug (Art. 59 PSR-E)

Ein absolutes Novum im Zahlungsdiensterecht stellt die Haftung für Identitätsbetrug gemäß Art. 59 PSR-E dar. Künftig sollen Zahlungsdienstleister auch für autorisierte, aber betrügerisch veranlasste Zahlungen einstehen, wenn Verbraucher manipuliert wurden – etwa durch Anrufe mit gefälschter Rufnummer („Call-ID-Spoofing“), bei denen sich Betrüger zum Beispiel als Bankmitarbeiter ausgeben.

Der Verbraucher muss den Vorfall lediglich unverzüglich der Polizei und seinem Zahlungsdienstleister melden. Die Haftung entfällt nur dann, wenn der Verbraucher etwa betrügerisch oder grob fahrlässig gehandelt hat. Die Beweislast hierfür trägt der Zahlungsdienstleister.

Mit Art. 59 PSR-E wird das Betrugsrisiko einseitig auf die Zahlungsdienstleister verlagert. Sie müssten auch für Betrugsfälle haften, die außerhalb ihrer Einflussmöglichkeiten liegen.”

Damit stellt Art. 59 PSR-E ein massives Haftungsrisiko für Zahlungsdienstleister dar, auf das die Praxis bereits hingewiesen hat. Die laufenden Trilogverhandlungen verdeutlichen, dass die endgültige Ausgestaltung der Vorschrift noch nicht abschließend geklärt ist.

Haftung des Zahlungsdienstleisters für fehlerhaften Abgleichservice (Art. 57 PSR-E)

Mit Art. 57 PSR-E wird die Haftung für eine fehlerhafte Anwendung des Abgleichservices eingeführt (sog. IBAN-Name-Check). Danach muss der Zahlungsdienstleister seinen Kunden (den Zahler) benachrichtigen, wenn er eine Unstimmigkeit zwischen dem Namen des Zahlungsempfängers und der angegebenen IBAN festgestellt hat. Unterbleibt dieser Hinweis, trägt der Zahler keine finanziellen Verluste aus den autorisierten Überweisungen. Die Regelung soll Fehlüberweisungen verhindern. Echtzeitüberweisungen sind hiervon ausgenommen, da die SEPA-Verordnung insoweit eine eigene Vorschrift zur Empfängerüberprüfung („Verification of payee“) in Art. 5c SEPA-VO vorsieht.

Fazit und Ausblick

Die PSR führt das bewährte Haftungsregime fort, erweitert es jedoch um neue, weitreichende Pflichten. Besonders die Haftung für Identitätsbetrug nach Art. 59 PSR-E markiert einen Paradigmenwechsel: Erstmals sollen Zahlungsdienstleister für autorisierte, aber betrügerisch veranlasste Zahlungen haften. Damit wird das Betrugsrisiko einseitig zulasten der Zahlungsdienstleister verlagert. Art. 59 PSR-E durchbricht somit den bisherigen Grundsatz der Risikoverteilung zwischen Zahlungsdienstleister und -nutzer bei (un-)autorisierten Zahlungen.

Der endgültige Gesetzeswortlaut steht noch aus; die Verabschiedung wird jedoch zum Jahresende erwartet. Fest steht bereits jetzt: Mit der PSR beginnt eine neue Ära des Haftungsrechts im Zahlungsverkehr. Banken und Zahlungsdienstleister sollten frühzeitig prüfen, inwieweit Prozesse, Systeme und insbesondere Kommunikationswege an die neuen Vorgaben anzupassen sind.Awet Yohannes, Annerton/dk