Fehler im Stack: Wer zahlt im White-Label-Banking?

Dr. Theresa Ehlen, Partnerin bei Freshfields, thematisiert die Haftungs- und Auditfragen im White-Label-Banking. Im Kontext von Störungen stellt sich die Frage, wer für Fehler im Transaktionsprozess verantwortlich ist. — Dr. Theresa Ehlen, Partnerin, Freshfields Freshfields

Wer verantwortet welchen Layer im Störungsfall? Haftungs- und Auditfragen bei White-Label-Banking: Die App bestätigt eine Überweisung, beim Empfänger kommt aber nichts an. Liegt der Fehler im Frontend, an der API, im Core Banking oder beim Zahlungsprozessor? Im White-Label-Banking können technische Fehlerursache, Außenverantwortung und wirtschaftliche Haftung bei unterschiedlichen Unternehmen liegen.

von Dr. Theresa Ehlen, Partnerin, Freshfields

Für den Kunden erscheint das Angebot als einheitliches Produkt. Dahinter stehen mehrere Schichten: Der Markenpartner betreibt meist App und Kundenschnittstelle. Eine BaaS-Plattform verbindet Systeme und übersetzt Daten und Statusmeldungen. Die lizenzierte Bank oder der Zahlungsdienstleister stellt den regulierten Kern – etwa Konto, Zahlung oder Kredit. Hinzu kommen Core Banking und Zahlungsabwicklung sowie Cloud-, KYC-, Karten- und Betrugspräventionsdienste.

Damit wächst die Zahl der Übergänge, an denen Informationen verloren gehen oder unterschiedlich verstanden werden können. Zeigt die App „ausgeführt“, während die Bank den Auftrag erst entgegengenommen hat, liegt das Problem möglicherweise in der Übersetzung des Status und nicht in der Zahlung selbst.

Fehlerbehebung, regulatorische Verantwortlichkeit, Regress

Für die technische Fehlerbehebung ist zunächst der Betreiber des betroffenen Layers zuständig. Die Bank kann einen Fehler beim Dienstleister häufig nicht selbst beheben, muss die Behebung aber steuern können. Dafür braucht sie Eskalationswege, Mitwirkungspflichten und Reaktionszeiten.
Gegenüber Kunden kommt es darauf an, wer die gestörte Leistung schuldet; zum technischen Anbieter hat der Kunde häufig keine direkte Vertragsbeziehung.
Gegenüber der Aufsicht bleibt die lizenzierte Bank für ihren Pflichtenkreis verantwortlich. Sie darf Funktionen und Prozesse auslagern oder Dienstleistungen von Dritten beziehen. Dies entlässt sie jedoch nicht von ihren eigenen Pflichten. Vielmehr muss das Institut die gesamte Dienstleisterkette überwachen und steuern können. Den Rahmen setzen insbesondere Bank- und Zahlungsaufsichtsrecht sowie DORA.
Intern stellt sich die Frage des Regresses. Ob die Bank Kundenerstattungen, Korrektur- und Untersuchungskosten an den Verursacher weiterreichen kann, bestimmen vereinbarter Leistungsstandard, Haftungsgrenzen und Freistellungen.

Audit muss die gesamte Transaktion erfassen

Prüfberichte einzelner Anbieter zeigen oft nicht, an welcher Stelle der Gesamtprozess gestört ist. Eine Transaktion sollte deshalb anhand einheitlicher Kennungen, synchronisierter Zeitstempel und abgestimmter Statusmeldungen über alle beteiligten Systeme nachvollziehbar sein.

Auch Ausnahmefälle sind zu testen: Erkennt die Kette einen nach Verbindungsabbruch erneut gesendeten Auftrag oder führt sie ihn ein zweites Mal aus?“

Die Bank muss zudem rechtzeitig auf relevante Kunden- und Transaktionsdaten zugreifen können. Informations- und Prüfrechte sollten wichtige Unterauftragnehmer erfassen. Bündelt ein Anbieter mehrere wesentliche Funktionen, ist zudem zu prüfen, wie abhängig die gesamte Kette von ihm ist.

White-Label-Banking – der Ablauf muss vor dem Zwischenfall feststehen

Autor Dr. Theresa Ehlen, Freshfields

Dr. Theresa Ehlen, Partnerin bei Freshfields und Co-Leiterin des deutschen Datenrechts- und Tech-Teams, vor hellem Hintergrund; Porträt im Kontext von White-Label-Banking.

Dr. Theresa Ehlen ist Partnerin der globalen Wirtschaftskanzlei Freshfields (Webseite) und Co-Leiterin des deutschen Datenrechts- & Tech-Teams. Sie berät Unternehmen strategisch zu Fragen der europäischen Digitalregulierung und IT-Resilienz sowie zur vertraglichen Risiko- und Haftungsverteilung bei technologiegetriebenen Kooperationen, Plattformarchitekturen und Auslagerungsketten.

Die Verträge entlang der Kette sollten vorab festlegen, wie Informationen über Vorfälle schnell entlang der Leistungskette weitergeleitet werden und wie die technische Analyse koordiniert wird, damit die Bank den Vorfall regulatorisch einstufen und melden kann. Die Informationsfristen der Dienstleister müssen der Bank ausreichend Zeit für ihre Meldepflichten lassen. Ebenso klar zu regeln sind Beweissicherung, Korrekturbuchungen und Kundenkommunikation.

Fällt die Plattform aus, braucht es alternative Zugangswege, vorbereitete Übergaben und klare Regeln für den Ersatzbetrieb. Gemeinsame Tests an den Systemübergängen zeigen, ob die vertraglich vorgesehenen Abläufe praktisch tragen und Auftragsannahme, Statusanzeige und Buchung tatsächlich zusammenpassen.

White-Label-Banking verteilt Bankfunktionen auf ein Ökosystem. Der Betreiber des betroffenen Layers ist für die operative Fehlerbehebung zuständig. Aufsichtsrechtliche Rolle und Kundenvertrag bestimmen die Außenverantwortung. Die Verträge entlang der Lieferkette regeln die interne Kostenverteilung und sorgen für ein reibungsloses Zusammenspiel im Normalbetrieb sowie bei Zwischenfällen. Dr. Theresa Ehlen, Freshfields/dk