PSD2: Starke Kundenauthentifizierung bei Zahlungen im Reisebüro

Das Merkblatt beschäftigt sich mit der Frage, ob eine starke Kundenauthentifizierung (SCA oder auch zwei Faktorauthentifizierung) bei den üblichen Buchungsvorgängen in Reisebüros notwendig ist. Die BaFin weist darauf hin, dass sich das Merkblatt allein auf den stationären Reisevertrieb bezieht und nicht auf Online-Reiseplattformen übertragen lässt. Die BaFin schildert dabei, dass die übliche Buchung im Reisebüro, bei der das Reisebüro nicht selbst Zahlungsempfänger ist, so erfolgt, dass der Mitarbeiter des Reisebüros die Kreditkartendaten im Reisebüro oder per Telefon oder E-Mail händisch entgegennimmt und an den Reiseveranstalter weiterleitet. Der Reiseveranstalter nimmt dann über seinen Zahlungsdienstleister (Acquirer) die Belastung der Kreditkarte vor, in dem er die Kreditkartendaten weiterleitet.

Die BaFin stellt klar, dass nach ihrer Verwaltungspraxis bei dieser Zahlung keine starke Kundenauthentifizierung vorgenommen werden muss. Anders als bei den sonstigen Kartenzahlungen etwa an einem Terminal erfolgt die Auslösung der Zahlung hierbei nicht durch den Karteninhaber (Zahler) über den Händler (Zahlungsempfänger). Zwischen dem Karteninhaber und dem Reiseveranstalter kommt es jedoch nicht zu einem direkten Kontakt, sondern die Daten werden über einen Mittelsmann (das Reisebüro) weitergeleitet. Der Karteninhaber nimmt damit die Zahlung nicht mehr selbst vor.

Anders wird der Vorgang zu beurteilen sein, wenn der Reisende im Reisebüro direkt die Zahlung selbst auslöst, etwa über ein Zahlungsterminal.

Die Klarstellung der BaFin für die Reisebranche ist zu begrüßen. Dies verschafft aufsichtsrechtliche Klarheit. Die BaFin behält sich jedoch vor, die Verwaltungspraxis zu ändern, sollte es auf europäischer Ebene zu einer anderen Entscheidung kommen oder sollten Gerichte abweichend urteilen. Sie will den involvierten Zahlungsdienstleistern dann aber zumindest aufsichtsrechtlich eine angemessene Frist zur Umsetzung einer neuen Verwaltungspraxis geben. Zivilrechtliche Folgen bleiben davon jedoch unbetroffen.