ZaDiG und PSD2: Kontrollfunktionen für Zahlungsinstitute

Zahlungsinstitute unterliegen dem ZaDiG 2018, E-Geld-Institute dem E-Geldgesetz 2010. Beide setzen EU-Richtlinien um, beide beaufsichtigt die FMA. Für die Revision zählen drei Bereiche besonders: die Sicherung der Kundengelder, die starke Kundenauthentifizierung mit dem Betrugsmonitoring und die Auslagerungen. Seit DORA gelten zusätzlich Regeln für IKT-Risiko und Drittparteien. PSD3 und PSR ändern den Rahmen weiter.

ZaDiG 2018 einfach erklärt: Pflichten, Aufsicht, Ausnahmen

Das ZaDiG 2018 setzt die PSD2 in Österreich um. Es regelt die Rechte und Pflichten von Zahlungsdienstleistern und Zahlungsdienstnutzern (§ 1). Wer als Zahlungsinstitut Zahlungsdienste erbringen will, braucht grundsätzlich eine Konzession der FMA (§ 7). Die FMA ist zuständige Aufsichtsbehörde (§ 88).

Wer fällt darunter? Zahlungsdienstleister sind unter anderem Kreditinstitute, Zahlungsinstitute und E-Geld-Institute (§ 1 Abs. 3). Zahlungsdienste sind unter anderem Überweisungen, Lastschriften, Kartenzahlungen, Issuing, Acquiring und das Finanztransfergeschäft. Auch Zahlungsauslösedienste und Kontoinformationsdienste zählen dazu (§ 1 Abs. 2). Kontoinformationsdienste brauchen nur eine Registrierung (§ 15). Für E-Geld-Institute gilt ergänzend das E-Geldgesetz 2010.

Welche Ausnahmen gibt es? Zentralbanken etwa sind ausgenommen, wenn sie als Währungsbehörde handeln (§ 3 Abs. 1). Die Konzessionspflicht gilt nicht für Kreditinstitute (§ 3 Abs. 2).

Was sind die Kernpflichten?

• Organisation (§ 20): Zahlungsinstitute brauchen eine dokumentierte, solide Unternehmenssteuerung. Sie müssen mindestens jährlich durch die Interne Revision nach § 42 BWG prüfen lassen, ob die Geschäftsorganisation nach Abs. 1 und 3 zweckmäßig ist und angewendet wird (Abs. 4). Kleine Institute lagern die Revision oft aus. Nach unserer Auslegung ist eine eigene Revisionsabteilung nötig, wenn die Bilanzsumme über 300 Mio. € liegt und Sie mehr als 50 Vollzeitkräfte im Jahresdurchschnitt haben (§ 42 Abs. 6 BWG über § 20 Abs. 4 ZaDiG 2018).
• Sicherung von Kundengeldern (§ 18): Kundengelder bleiben getrennt vom eigenen Vermögen oder sind durch Versicherung oder Garantie gesichert.
• Starke Kundenauthentifizierung (§ 87): Beim Online-Zugriff auf das Zahlungskonto und beim Auslösen elektronischer Zahlungen verlangt das Gesetz sie.
• Auslagerungen (§ 21): Sie zeigen der FMA die geplante Auslagerung betrieblicher Aufgaben vorab schriftlich an. Kontrolle und Aufsicht dürfen nicht wesentlich leiden.
• Operationelle und sicherheitsrelevante Risiken (§ 85): Sie richten Risikominderung und Kontrollmechanismen ein. Der FMA übermitteln Sie jährlich eine aktualisierte Bewertung.