I. Regulatorischer Hintergrund

Gemäß §§ 45, 48, 50 Zahlungsdiensteaufsichtsgesetz (ZAG) sind kontoführende Zahlungsdienstleister verpflichtet, Drittkartenemittenten (DKE), Zahlungsauslösedienstleistern (ZAD) und Kontoinformationsdienstleistern (KID) einen Zugang zu online zugänglichen Zahlungskonten bereitzustellen. Dieser muss den Anforderungen des Artikel 30 der Delegierten Verordnung (EU) 2018/389 (alle Artikel ohne weitere Normangabe entstammen dieser Verordnung) genügen.

Kontoführende Zahlungsdienstleister, die den Zugang zu ihren online zugänglichen Zahlungskonten über eine dedizierte Schnittstelle ermöglichen, müssen einen Notfallmechanismus nach den Vorgaben von Artikel 33 Absatz 4 und 5 bereitstellen. Sie können jedoch gemäß Artikel 33 Absatz 6 auf Antrag von der Verpflichtung zur Einrichtung des Notfallmechanismus ausgenommen werden.

Dazu sind die in Artikel 33 Absatz 6 genannten Anforderungen zu erfüllen:

1. Dedizierte Schnittstelle erfüllt alle Anforderungen des Artikels 32

2. Die dedizierte Schnittstelle wurde entsprechend den Anforderungen nach Artikel 30 Absatz 5 zur Zufriedenheit der zugreifenden Zahlungsdienstleister konzipiert und getestet.

3. Die dedizierte Schnittstelle wurde für einen Zeitraum von mindestens drei Monaten umfassend (im Produktivbetrieb) genutzt (Marktbewährungsphase).

4. Jegliche Probleme mit der dedizierten Schnittstelle wurden ohne schuldhaftes Zögern gelöst.

Dieses Dokument beschreibt die Verwaltungspraxis der BaFin bei der Bewertung derartiger Anträge. Zudem gelten die unter 1.) genannten Anforderungen des Artikel 32 auch für dedizierte Schnittstellen, für die kein Antrag gemäß Artikel 33 Absatz 6 gestellt wird; für diese Schnittstellen wird ihre Einhaltung im Rahmen der laufenden Aufsicht überwacht.

II. Voraussetzung für die Erteilung einer Ausnahme

Für die Beantragung der Ausnahme ist das von der BaFin bereitgestellte Antragsformular zu verwenden (abrufbar unter https://www.bafin.de/dok/12198740). Beim Ausfüllen sollten die „Hinweise zum Antrag auf Erteilung einer Ausnahme von der Bereitstellung eines Notfallmechanismus“ (abrufbar unter https://www.bafin.de/dok/16449880) beachtet werden.

Das Formular berücksichtigt die Vorgaben der EBA Leitlinien zu den Bedingungen für die Inanspruchnahme einer Ausnahme vom Notfallmechanismus gemäß Artikel 33 Absatz 6 der Delegierten Verordnung (EU) 2018/389 (EBA/GL/2018/07), (im Folgenden als „Leitlinien“ bezeichnet), welche die BaFin in ihre Verwaltungspraxis übernommen hat.

Die BaFin bewertet die Anträge auf Grundlage der Angaben im Antragsformular, der Schnittstellendokumentation und der von ZAD, KID und DKE eingegangenen Sachverhaltshinweise über mögliche funktionale oder qualitative Mängel der dedizierten Schnittstellen bzw. Hindernissen bei ihrer Nutzung.

Zum aktuellen Zeitpunkt sind der BaFin keine Aktivitäten von DKE in Deutschland bekannt. Die Funktionalität für DKE ist zudem auf eine einfache Abfrage eines für einen Zahlungsauftrag verfügbaren Betrags beschränkt. Bei der praktischen Bewertung stehen daher die Anforderungen an die dedizierte Schnittstelle bezüglich der Erbringung von ZAD und KID im Vordergrund.

Bei der Bewertung möglicher Hindernisse nach Artikel 32 Absatz 3 berücksichtigt die BaFin insbesondere die Ausführungen in der Opinion of the European Banking Authority on obstacles under Article 32(3) of the RTS on SCA and CSC (EBA/OP/2020/10).

Im Einzelnen wird die Bewertung der o.g. vier Anforderungen des Artikel 33 Absatz 6 nach den folgenden Grundsätzen vorgenommen:

1. Die dedizierte Schnittstelle erfüllt alle Anforderungen des Artikels 32

Artikel 32 und der von ihm in Verweis genommene Artikel 30 fordern neben der Erfüllung der grundsätzlichen Funktionalitäten (Zahlungsauslösung, Abrufen von Kontoinformationen und Bestätigung der Verfügbarkeit eines Geldbetrages), insbesondere eine hindernisfreie Gestaltung, ein angemessenes Monitoring der Verfügbarkeit und Performanz und einen erfolgreichen Stresstest der dedizierten Schnittstelle. Im Einzelnen hat der Antragsteller Folgendes nachzuweisen bzw. zu bestätigen:

a) Funktionale Anforderungen

b) Interne Vorgaben für Service-Level, Performanz und Verfügbarkeit

c) Anforderungen an die Performanz und Verfügbarkeit

d) Statistiken über Performanz und Verfügbarkeit

e) Stresstests

f) Abwesenheit von Hindernissen

Die BaFin führt von Amts wegen eine kursorische Prüfung der Schnittstellendokumentation auf etwaige Hindernisse in der Implementierung durch. Darüber hinaus prüft sie Sachverhaltshinweise von Marktteilnehmern.

Liegt eine der Konstellationen vor, die in Artikel 32 Absatz 3 als mögliche Hindernisse genannt wurden, ist nicht automatisch ein Hindernis im Sinne dieser Vorschrift gegeben. Jedoch ist die in den Vorschriften enthaltene Aufzählung möglicher Hindernisse auch nicht abschließend.

So ist zum Beispiel bei einer dedizierten Schnittstelle, die für die Authentifizierung des Zahlungsdienstnutzers ausschließlich den Redirection-Ansatz verwendet, eine sorgfältige Einzelfallprüfung notwendig. Die in den EBA Leitlinien zu den Bedingungen für die Inanspruchnahme einer Ausnahme vom Notfallmechanismus gemäß Artikel 33 Absatz 6 der Delegierten Verordnung (EU) 2018/389 (EBA/GL/2018/07) unter Leitlinie 5.1. aufgeführten möglichen Hindernisse speziell bei einem Redirection-Ansatz sind dabei zu berücksichtigen.

Im Kern darf ein Redirection-Ansatz nicht zu einer unnötigen Verzögerung oder Erschwerung bei der Nutzung von KID/ZAD führen. Ein kontoführender Zahlungsdienstleister muss im Ausnahmeantrag plausibel darlegen können, warum die auf Redirection basierende Schnittstelle kein Hindernis darstellt.

Nach der Verwaltungspraxis der BaFin sind insbesondere die folgenden Konstellationen als Hindernisse zu werten:

Primärer Bewertungsmaßstab einer konkreten technischen Umsetzung als Hindernis sind die tatsächlichen Auswirkungen auf die praktische Nutzung von ZAD oder KID durch den Zahlungsdienstnutzer oder die technische Einbindung durch den ZAD oder KID.

2. Die dedizierte Schnittstelle wurde zur Zufriedenheit der zugreifenden Zahlungsdienstleister konzipiert und entsprechend den Anforderungen gemäß Artikel 30 Absatz 5 getestet

Vorbemerkung: „Zufriedenheit“ ist hier nicht als Merkmal im Sinne einer subjektiven Zustimmung zu verstehen, sondern als Abwesenheit von sachlich begründeten Beschwerden durch Zahlungsauslöse- und Kontoinformationsdienstleister.

Bezüglich der Konzeptionierung der dedizierten Schnittstelle gilt, dass diese alle notwendigen funktionalen Anforderungen erfüllen muss. Die notwendigen funktionalen Anforderungen sind in einer Tabelle in der Opinion of the European Banking Authority on the implementation of the RTS on SCA and CSC (EBA-OP-2018-04) zusammengefasst. Ihre Erfüllung ist im Antragsformular einzeln zu bestätigen. Die notwendigen funktionalen Anforderungen an die Testschnittstelle sind in den EBA Leitlinien (EBA/GL/2018/07) unter Leitlinie 6.5 aufgelistet und finden sich entsprechend im das Antragsformular wieder.

Darüber hinaus ist insbesondere die Einhaltung des Artikels 36 zu gewährleisten, der den Umfang der für die einzelnen Dienste zur Verfügung zu stellenden Daten und den automatischen Zugriff durch ZAD/KID ohne Aktivitäten des Zahlungsdienstnutzers beschreibt. Insbesondere sind dabei folgende Anforderungen zu erfüllen:

Der Antragsteller kann angeben, dass die Konzeptionierung der dedizierten Schnittstelle auf einem vorgegebenen Standard (wie z.B. der Berlin Group oder Open Banking UK) basiert. Auch bei Implementierung gemäß einem solchen Standard ist es möglich, dass Funktionalitäten unzureichend abgebildet werden, da in den Standards gewisse Detailfunktionen als „optional“ gekennzeichnet sind. Welche Detailfunktionalitäten in der dedizierten Schnittstelle abgebildet werden müssen, hängt insb. vom Funktionsumfang der Kundenschnittstelle und der über die Kundenschnittstelle bereitgestellten Kontoinformationen und Zahlungsvorgänge ab.

Die Funktionalitäten der dedizierten Schnittstelle und Details zur technischen Anbindung sind vom Antragsteller angemessen zu dokumentieren, so dass ein ZAD oder KID anhand dieser Vorgaben die technische Anbindung vornehmen kann. Das antragstellende Institut hat mindestens eine Zusammenfassung der Dokumentation auf seinen Internetseiten zu veröffentlichen.

Die BaFin prüft Sachverhaltshinweise von ZAD und KID über etwaige Mängel oder Nichterfüllung von Anforderungen auf Plausibilität und Relevanz. Der Antragsteller wird ggf. um Stellungnahme aufgefordert.

3. Die dedizierte Schnittstelle wurde für einen Zeitraum von mindestens drei Monaten umfassend im Produktivbetrieb genutzt (sog. Marktbewährungsphase)

Zum Nachweis der Marktbewährung sind vom Antragsteller aktuelle Nutzungszahlen einzureichen, anhand derer die BaFin die breite Nutzung der dedizierten Schnittstelle im Produktivbetrieb für mindestens drei Monate prüfen kann. Ist diese Voraussetzung bei Antragstellung nicht erfüllt, prüft die BaFin anhand der eingereichten Unterlagen, ob die übrigen Ausnahmevoraussetzungen erfüllt sind. Ist dies zu bejahen, wird sie die antragsgegenständliche dedizierte Schnittstelle in die Liste der Schnittstellen, die sich in der Marktbewährungsphase befinden, aufnehmen. Diese Liste ist auf der Internetseite der BaFin abrufbar.

Sollten die Nutzungszahlen auch drei Monate nach dieser Aufnahme keine Nutzung in breitem Umfang belegen, so wird die BaFin die Gründe dafür identifizieren und bewerten. Dabei kann sich (insb. bei Schnittstellen kleinerer Institute) herausstellen, dass die Ursache für die geringe Nutzung im mangelnden Interesse der ZADs und KIDs begründet ist, die Zahlungskonten des jeweiligen Instituts tatsächlich anzubinden und für diese Zahlungsauslöse- und Kontoinformationsdienste anzubieten. Dieser Umstand kann einem Institut nicht nachteilig ausgelegt werden, sofern das Institut durch eine angemessene Dokumentation der dedizierten Schnittstelle auf die Nutzungsmöglichkeit aufmerksam gemacht hat.

Sollten nach der Aufnahme einer dedizierten Schnittstelle in die Marktbewährungsphase Probleme im Betrieb dieser Schnittstelle auftreten oder fällt ein funktionaler Mangel während dieser Phase auf, so ist der Mangel schnellstmöglich vom kontoführenden Institut zu beheben. Ob die Marktbewährungsphase weiter fortgeführt werden kann, hängt von der Schwere des aufgetretenen Problems und der tatsächlichen Auswirkungen auf die Nutzung von ZAD und KID ab. Insbesondere erfolgt nicht automatisch ein „Zurücksetzen“ der Marktbewährungsphase. Ziel der Marktbewährungsphase ist es, im Kern den Nachweis zu erbringen, dass die dedizierte Schnittstelle im produktiven Betrieb zuverlässig ist. Den ZAD und KID erlaubt die Marktbewährungsphase eine strukturierte Migration auf die neuen Schnittstellen.

Während der Marktbewährungsphase erfolgt ein regelmäßiger Austausch zwischen der BaFin und dem antragstellenden kontoführenden Institut. Das Institut berichtet dabei über die Nutzung der Schnittstelle, eingegangene Support-Anfragen und etwaige Mängel.

4. Jegliche Probleme mit der dedizierten Schnittstelle wurden ohne schuldhaftes Zögern gelöst

Das Antragsformular verlangt eine entsprechende Bestätigung durch den Antragsteller. Zusätzlich ist eine Schilderung der aus Sicht des Antragstellers wesentlichsten Probleme und ihrer tatsächlichen Behebung sowie die Benennung der technischen Systeme zur Problemerfassung und des Problembehebungsmanagements erforderlich.

Sofern seitens der ZAD und KID keine begründeten Probleme an die BaFin gemeldet wurden, geht die BaFin von einer unverzüglichen Behebung aller von ZAD oder KID an den Antragsteller gemeldeten und begründeten Probleme aus. Bei konkreten Anhaltspunkten prüft die BaFin, ob die von einem ZAD oder KID an den Antragsteller gemeldeten Probleme unverzüglich gelöst wurden.