Vorhaben
Zahlungsdienstegesetz 2018 (ZaDiG 2018)
Vorhaben zur Gänze erreicht
Finanzjahr: 2018
Inkrafttreten / Wirksamwerden: 2018
Nettoergebnis in Tsd. €: 0
Vorhabensart: Bundesgesetz
Beitrag zu Wirkungszielen
Um die Verlinkung zwischen Wirkungsorientierter Steuerung und Wirkungsorientierter Folgenabschätzung darzustellen, wird angegeben, ob das Regelungs- beziehungsweise sonstige Vorhaben den Wirkungszielen eines Ressorts förderlich ist.
Problemdefinition
Erläuterung des Zusammenhangs zwischen dem Vorhaben und mittel- und langfristigen Strategien des Ressorts/ obersten Organs bzw. der Bundesregierung
Ziele des Vorhabens
Durch die Angabe von konkreten, nachvollziehbaren Zielen pro Vorhaben wird transparent dargestellt, welchen Zweck der staatliche Eingriff verfolgt.
Ziel 1: Schaffung klarer rechtlicher Rahmenbedingungen für dritte Zahlungsdienstleister
Beschreibung des Ziels
Es sollen klare rechtliche Rahmenbedingungen für dritte Zahlungsdienstleister geschaffen werden, indem diese im erforderlichen Ausmaß in den Regulierungsrahmen einbezogen werden.
Kennzahlen und Meilensteine des Ziels
Meilenstein 1: Schaffung eines adäquaten rechtlichen Rahmenwerks und Aufsichtsregimes für dritte Zahlungsdienstleister
Ausgangszustand 2018:
In den letzten Jahren sind zahlreiche neue Teilnehmerinnen und Teilnehmer (so genannte "FinTechs") als Zahlungsauslöse- bzw. Kontoinformationsdienstleister ("Dritte Zahlungsdienstleister") in den Markt eingetreten, die auf Grundlage des Online-Bankings Zahlungsdienste anbieten und somit Zugriff auf sensible Daten der Verbraucherinnen und Verbraucher erhalten. Für diese Marktteilnehmerinnen und Marktteilnehmer besteht weder ein klarer Rechtsrahmen noch unterliegen sie der Kontrolle durch eine Aufsichtsbehörde.
Zielzustand 2023:
Die dritten Zahlungsdienstleister unterliegen klaren rechtlichen Rahmenbedingungen sowie der Aufsicht durch die FMA.
Istzustand 2023:
Durch die Erlassung des Zahlungsdienstegesetzes 2018 (ZaDiG 2018) wurden, in Umsetzung der Richtlinie (EU) 2015/2366, ein rechtliches Rahmenwerk sowie Aufsichtsregime für Zahlungsauslöse- und Kontoinformationsdienstleister geschaffen. Laut Angabe der Finanzmarktaufsichtsbehörde (FMA) gibt es bezüglich der Angemessenheit der rechtlichen Rahmenbedingungen für diese "dritten Zahlungsdienstleister" keine negativen Warnehmungen, sodass das Ziel einer adäquaten Regulierung und Aufsicht erreicht scheint. Zu den Maßnahmen zählte die Einführung eines Konzessionserfordernisses für Zahlungsauslösedienstleister und eines Registrierungserfordernisses für Kontoinformationsdienstleister. Seit dem Inkrafttreten des ZaDiG 2018 wurden ein Unternehmen als reiner Kontoinformationsdienstleister registriert, ein Unternehmen als Kontoinformations- und Zahlungsauslösedienstleister registriert bzw. konzessioniert und ein weiteres Unternehmen zuerst als Kontoinformationsdienstleister bzw. Zahlungsinstitut registriert bzw. konzessioniert, inzwischen aber als E-Geld Institut konzessioniert. Während die prognostizierte Anzahl an registrierten Kontoinformationsdienstleistern (2) also übertroffen wurde, wurde die Prognose für die Anzahl an konzessionierten Zahlungsauslösedienstleistern (5) unterschritten. Für dritte Zahlungsdienstleister besteht die Möglichkeit, anstelle von Eigenmitteln eine Berufshaftpflichtversicherung oder eine gleichwertige Garantie abzuschließen. Diese Möglichkeit wurde von sämtlichen Kontoinformationsdienstleistern genützt, unter den Zahlungsauslösedienstleistern ziehen diese Möglichkeit sämtliche Unternehmen außer einem heran, das stattdessen das Eigenmittelerfordernis erfüllt. Im Rahmen der Dienstleistungs- und Niederlassungsfreiheit (EU Passporting) besteht auch für dritte Zahlungsdienstleister aus anderen EU-Mitgliedstaaten die Möglichkeit, in Österreich tätig zu werden. Eine Erlaubnis hierfür besteht für ingesamt 141 dritte Zahlungsdienstleister (102 Zahlungsauslösedienstleister und 132 Kontoinformationsdienstleister, Tätigkeit teilweise überlappend), wobei keine Aussage über das jeweilige tatsächliche Tätigwerden in Österreich getroffen werden kann. Jedoch ist festzuhalten, dass am österreichischen Markt grundsätzlich überwiegend Drittanbieter aus anderen Mitgliedstaaten (insbesondere Deutschland) tätig sind. Kontoführende Zahlungsdienstleister haben dritten Zahlungsdienstleistern grundsätzlich eine Schnittstelle bzw. Zugang zum Zahlungskonto der Kundin bzw. des Kunden auf deren bzw. dessen Zustimmung hin zu gewähren. Nach anfänglichen Schwierigkeiten und Beeinträchtigungen nach Erlassung des ZaDiG 2018, die jedoch regelmäßig zeitnah behördlich adressiert wurden, wird dieser Zugang aktuell in sämtlichen Fällen gewährt.
Datenquelle:
Stellungnahme der Finanzmarktaufsichtsbehörde (FMA)
Zielerreichungsgrad des Meilensteins:
zur Gänze erreicht
Ziel 2: Erhöhung der Sicherheit im Zahlungsverkehr
Beschreibung des Ziels
Die Sicherheit im Zahlungsverkehr soll dadurch erhöht werden, dass die Sicherheitsanforderungen bei der Durchführung von Online-Zahlungen verstärkt sowie die Haftungsregeln bei nicht autorisierten Zahlungen klar festgelegt werden.
Kennzahlen und Meilensteine des Ziels
Meilenstein 1: Einführung angemessener Sicherheitsvorgaben und Haftungsregeln bei nicht-autorisierten Zahlungen
Ausgangszustand 2018:
Die schnellen Marktentwicklungen in den letzten Jahren, insbesondere die zahlreichen technischen Neuerungen sowie die erhebliche Zunahme von Internetzahlungen und mobilen Zahlungen, führen zu Unsicherheiten im Zahlungsverkehr.
Zielzustand 2023:
Die Sicherheitsanforderungen bei der Durchführung von Online-Zahlungen sind verstärkt und die Haftungsregeln bei nicht autorisierten Zahlungen sind klar und kundenfreundlich festgelegt.
Istzustand 2023:
Durch die Einführung des Konzepts der Strong Customer Authentication (SCA), das eine Multifaktor-Authentifizierung der Zahlenden bzw. des Zahlenden vorsieht, wurde ein hohes Schutzniveau für Zahlungsaufträge geschaffen, das auch von der Finanzmarktaufsichtsbehörde (FMA) als Erfolg betrachtet wird. Gleichzeitig führt die Entwicklung neuer Betrugsmethoden (z. B. Social Engineering) zu neuen Herausforderungen, denen durch angemessene Maßnahmen im Bereich der Finanzbildung entgegengetreten werden könnte. Durch die §§ 67 und 68 ZaDiG 2018 sind klare und proportionale Haftungsregelungen vorgesehen, sodass in den Fällen, in denen es zu Missbräuchen kommt, kundenfreundliche Vorgaben der Schadenstragung zum Einsatz kommen. Allerdings zeigen Erfahrungen aus der Praxis, dass kontoführende Zahlungsdienstleister die in diesen Regelungen vorgesehene Vorgangsweise partiell nicht einhalten, sodass Zahlerinnen bzw. Zahler in diesen Fällen den Rechtsweg beschreiten müssen.
Datenquelle:
Stellungnahme der Finanzmarktaufsichtsbehörde (FMA)
Zielerreichungsgrad des Meilensteins:
zur Gänze erreicht
Zugeordnete Ziel-Maßnahmen
Die Maßnahmen stellen die konkreten, geplanten Handlungen der öffentlichen Verwaltung dar. Die Ziele des Vorhabens sollen durch diese Tätigkeiten erreicht werden. Durch die Darstellung der Maßnahmen wird das „Wie“ der Zielerreichung transparent gemacht.
Regulierung von dritten Zahlungsdienstleistern
Beschreibung der Ziel-Maßnahme
Zahlungsauslöse- und Kontoinformationsdienstleister werden in den Anwendungsbereich des Rechtsrahmens für Finanzdienstleister (PSD II) wie folgt miteinbezogen:
– Zahlungsauslösedienstleister benötigen eine Konzession (§ 9 ZaDiG 2018), Kontoinformationsdienstleister müssen sich registrieren (§ 15 ZaDiG 2018), um ihre Dienste erbringen zu dürfen.
– Zahlungsauslöse- und Kontoinformationsdienstleister haben statt der Verpflichtung, Eigenmittel in bestimmter Höhe zu halten, eine Berufshaftpflichtversicherung abzuschließen oder eine gleichwertige Garantie vorzuweisen (§§ 8 und 15 ZaDiG 2018).
– Zahlungsauslöse- und Kontoinformationsdienstleister erhalten über die Dienstleistungs- und Niederlassungsfreiheit (EU-Pass) einen unionsweiten Zugang zum Zahlungsverkehrsmarkt (§§ 27 ff ZaDiG 2018).
– Zahlungsauslöse- und Kontoinformationsdienstleister haben das Recht auf Zugang zum Zahlungskonto der Kundin bzw. des Kunden mit deren bzw. dessen Zustimmung. Allerdings sind sowohl der Zugriff als auch die Verwendung der dadurch erlangten Informationen durch Datenschutz- und Sicherheitsvorschriften beschränkt (§§ 60 und 61 ZaDiG 2018).
Zielerreichungsgrad der Ziel-Maßnahme:
zur Gänze erreicht
Einführung der starken Kundenauthentifizierung bei der Durchführung von Online-Zahlungen
Beschreibung der Ziel-Maßnahme
Der Zahlungsdienstleister hat in bestimmten Fällen (§ 87 ZaDiG 2018) von seiner Kundin bzw. seinem Kunden eine starke Kundenauthentifizierung zu verlangen. Starke Kundenauthentifizierung bedeutet, dass eindeutig und nachweislich feststellbar ist, dass ein bestimmter Zahlungsdienstnutzer eine bestimmte Zahlung in Auftrag gegeben hat.
Dafür müssen bei einer Transaktion mindestens zwei Elemente der folgenden drei Kategorien vorliegen:
– Besitz: etwas, das ausschließlich die Zahlerin bzw. der Zahler besitzt (zB Kreditkarte),
– Wissen: etwas, das ausschließlich die Zahlerin bzw. der Zahler weiß (zB Passwort) oder
– Inhärenz: ein Merkmal der Zahlerin bzw. des Zahlers, das dieser bzw. diesem eindeutig zugeordnet werden kann (zB Fingerabdruck).
Zielerreichungsgrad der Ziel-Maßnahme:
zur Gänze erreicht
Festlegung klarer und kundenfreundlicher Haftungsregeln bei nicht autorisierten Zahlungen
Beschreibung der Ziel-Maßnahme
Die klaren und kundenfreundlichen Haftungsregeln bei nicht autorisierten Zahlungen (§§ 67 und 68 ZaDiG 2018) verbessern die Rechtsstellung der Zahlerin bzw. des Zahlers und schaffen Rechtssicherheit:
– Bei missbräuchlicher Verwendung eines Zahlungsinstruments haftet die Zahlerin bzw. der Zahler nur, wenn sie bzw. er in der Lage war, den Verlust, den Diebstahl oder die sonstige missbräuchliche Verwendung des Zahlungsinstruments zu bemerken. Aber selbst in diesem Fall ist die Haftung der Zahlerin bzw. des Zahlers auf höchstens 50 Euro begrenzt (früher lag die Haftungsgrenze bei 150 Euro).
– Die Haftungsgrenze gilt – wie bereits bisher – nicht, wenn die Zahlerin bzw. der Zahler in betrügerischer Absicht handelt oder die Pflicht, ihre bzw. seine personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen, vorsätzlich oder grob fahrlässig verletzt hat. Allerdings hat anstelle der Zahlerin bzw. des Zahlers der Zahlungsdienstleister den Nachweis für Betrug, Vorsatz oder grobe Fahrlässigkeit zu erbringen.
– Außerdem wird die Haftungsfrage zwischen dem kontoführenden Zahlungsdienstleister und dem Zahlungsauslösedienstleister geklärt: Ist ein Zahlungsauslösedienstleister in den Zahlungsvorgang eingebunden, haftet gegenüber der Zahlerin bzw. dem Zahler zwar zunächst weiterhin der kontoführende Zahlungsdienstleister. Jedoch hat der Zahlungsauslösedienstleister nachzuweisen, dass er den nicht autorisierten Zahlungsvorgang nicht zu vertreten hat, andernfalls hat er dem kontoführenden Zahlungsdienstleister unverzüglich den Betrag des nicht autorisierten Zahlungsvorgangs sowie alle vertretbaren Kosten, die im Zusammenhang mit der Erstattung an die Zahlerin bzw. den Zahler entstanden sind, zu erstatten.
Zielerreichungsgrad der Ziel-Maßnahme:
zur Gänze erreicht
Finanzielle Auswirkungen des Bundes (Kalkulation)
Finanzielle Auswirkungen stellen die aufgrund des Regelungs- oder sonstigen Vorhabens anfallenden, monetär zum Ausdruck gebrachten, Auswirkungen dar.
In der folgenden Darstellung sehen Sie auf der rechten Seite die geplanten (Plan) und auf der linken Sie die tatsächlichen angefallenen Kosten (Ergebnis). Unter „Details“ finden Sie eine detaillierte Aufschlüsselung der finanziellen Auswirkungen. Mithilfe der Steuerungsleiste können Sie zwischen den Jahren wechseln beziehungsweise sich die Gesamtzahlen über alle Jahre hinweg ansehen.
Der Bundesbeitrag an die Finanzmarktaufsicht (FMA) hat sich aufgrund der Aufsichtstätigkeit betreffend des Zahlungsdienstegesetzes 2018 nicht erhöht. Aus dem Vorhaben ergeben sich keine finanziellen Auswirkungen für Bund, Länder, Gemeinden und Sozialversicherungsträger.
In der Evaluierung behandelte Wirkungsdimensionen
Subdimension(en)
- Konsumentenschutzeinrichtungen und Verhältnis der KonsumentInnen zu Unternehmen
Bezüglich der konsumentenschutzpolitischen Auswirkungen wurde in der Wirkungsorientierten Folgenabschätzung (WFA) zum ZaDiG 2018 festhalten, dass durch die Einführung und Regulierung von dritten Zahlungsdienstleisterinnen bzw. Zahlungsdienstleistern das Angebot von Zahlungsdienstleistungen an Konsumentinnen und Konsumenten steigen werde. Darüber hinaus werde die Rechtsstellung von Kundinnen und Kunden bei nicht-autorisierten Zahlungen gestärkt, indem die Kundin bzw. der Kunde bei missbräuchlicher Verwendung eines Zahlungsinstruments nur dann (höchstens bis zu einem Betrag von 50 Euro) hafte, wenn sie bzw. er in der Lage war, den Verlust, den Diebstahl oder die sonstige missbräuchliche Verwendung des Zahlungsinstruments zu bemerken. Die Haftungsgrenze gelte – wie bereits vor dem ZaDiG 2018 – nicht, wenn die Kundin bzw. der Kunde in betrügerischer Absicht gehandelt oder die Pflicht, ihre bzw. seine personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen, vorsätzlich oder grob fahrlässig verletzt hat. Allerdings habe anstelle der Kundin bzw. des Kunden die Zahlungsdienstleisterin bzw. der Zahlungsdienstleister den Nachweis für Betrug, Vorsatz oder grobe Fahrlässigkeit zu erbringen. Die Anzahl der betroffenen Verbraucherinnen und Verbraucher (Kontoinhaberinnen und Kontoinhaber) wurde hierbei auf 6.500.000 taxiert.
Die in der Wirkungsorientierten Folgenabschätzung in Aussicht gestellte Verbesserung der Wettbewerbssituation wird von den Rückmeldungen der Finanzmarktaufsicht gestützt. Wie bereits angeführt, wurde seit dem Inkrafttreten des ZaDiG 2018 ein Unternehmen als reiner Kontoinformationsdienstleister registriert, ein Unternehmen als Kontoinformations- und Zahlungsauslösedienstleister registriert bzw. konzessioniert und ein weiteres Unternehmen zuerst als Kontoinformationsdienstleister bzw. Zahlungsinstitut registriert bzw. konzessioniert, inzwischen aber als E-Geld Institut konzessioniert. Im Rahmen der Dienstleistungs- und Niederlassungsfreiheit (EU Passporting) besteht darüber hinaus auch für dritte Zahlungsdienstleisterinnen bzw. Zahlungsdienstleister aus anderen EU-Mitgliedsstaaten die Möglichkeit, in Österreich tätig zu werden. Eine Erlaubnis hierfür besteht für insgesamt 141 dritte Zahlungsdienstleisterinnen bzw. Zahlungsdienstleister (102 Zahlungsauslösedienstleisterinnen und Zahlungsauslösedienstleister und 132 Kontoinformationsdienstleisterinnen und Kontoinformationsdienstleister, Tätigkeit teilweise überlappend), wobei keine Aussage über das jeweilige tatsächliche Tätigwerden in Österreich getroffen werden kann.
Die in der Wirkungsorientierten Folgeabschätzung angeführte Verbesserung der Rechtsstellung von Kundinnen und Kunden im Haftungsbereich wurde in dieser Form durch das ZaDiG 2018 umgesetzt.
Bezüglich der Verwaltungskosten für Unternehmen wurden in der Wirkungsorientierten Folgenabschätzung (WFA) zum ZaDiG 2018 neue Informationsverpflichtungen für Unternehmen angeführt, welche wesentliche zusätzliche Verwaltungslasten zur Folge haben würden. Konkret umfassten diese die Konzessionierungskosten von Zahlungsauslösedienstleisterinnen und Zahlungsauslösedienstleistern bzw. Registrierungskosten von Kontoinformationsdienstleisterinnen bzw. Kontoinformationsdienstleistern (geschätzte Belastung: 3.000 Euro), die Kosten für die Bestätigung der Verfügbarkeit von Geldern (geschätzte Belastung: 51.000 Euro) sowie die anfallenden Kosten für die Meldung operationeller und sicherheitsrelevanter Risiken (geschätzte Belastung: 108.000 Euro). Dementsprechend überschritt die Gesamtheit der in Zusammenhang mit den durch das ZaDiG 2018 neu eingeführten Informationspflichten angefallenen geschätzten Verwaltungskosten die Wesentlichkeitsschwelle von 100.000 Euro.
Dem ist die Beschreibung der tatsächlich eingetretenen wesentlichen Auswirkungen gegenüberzustellen: Gemäß FMA-Gebührenverordnung betragen die Kosten für eine Erteilung der Konzession als Zahlungsauslösedienstleisterin bzw. Zahlungsauslösedienstleister 8.000 Euro, für eine Erweiterung der bestehenden Konzession zur Erbringung von Zahlungsauslösediensten 1.750 Euro, die Bearbeitung einer Registrierung als Kontoinformationsdienstleisterin bzw. Kontoinformationsdienstleister 4.000 Euro. Die Konzessionierungskosten von Zahlungsauslösedienstleisterinnen und Zahlungsauslösedienstleistern bzw. Registrierungskosten von Kontoinformationsdienstleisterinnen und Kontoinformationsdienstleistern liegen demnach nach aktuellem Stand jeweils über den Schätzungen der Wirkungsorientierten Folgenabschätzung.
Bezüglich der Bestätigung der Verfügbarkeit von Geldern gemäß § 59 ZaDiG 2018 gibt es, entgegen der ursprünglichen Erwartungen, aktuell in Österreich keinen praktischen Anwendungsfall für diesen Service. Dementsprechend ist diesbezüglich von keinen eingetretenen Auswirkungen auf die Verwaltungskosten für Unternehmen auszugehen.
Die Gesamtzahl der seit Inkrafttreten des ZaDiG 2018 gemäß § 86 Abs. 1 zu meldenden schwerwiegenden Betriebs- und Sicherheitsvorfälle beträgt 220. Aufgrund der Struktur des österreichischen Bankensektors erfolgt in manchen Fällen eine gesamthafte Meldung bezüglich mehrerer betroffener Institute, sodass von einer höheren tatsächlichen Anzahl auszugehen ist und die verfügbaren Daten – auch als Vergleichsgröße zu den Schätzungen der Wirkungsorientierten Folgenabschätzung – nur über eine begrenzte Aussagekraft verfügen.
Subdimension(en)
- Finanzielle Auswirkungen auf Unternehmen
Bezüglich der finanziellen Auswirkungen auf Unternehmen wurde in der Wirkungsorientierten Folgenabschätzung (WFA) zum ZaDiG 2018 die Notwendigkeit für kontoführende Zahlungsdienstleisterinnen bzw. Zahlungsdienstleister hervorgehoben, ihre IT-Infrastruktur für den Zugriff auf Daten für dritte Zahlungsdienstleisterinnen bzw. Zahlungsdienstleister, für die Einhaltung der starken Kundenauthentifizierung sowie für die Einhaltung neuer Informationspflichten entsprechend zu adaptieren und auszubauen. Die auf einer qualifizierten Durchschnittskosten-Schätzung beruhende Analyse ging dabei bei österreichweit 615 betroffenen Unternehmen und einer Belastung von 25.000 Euro pro Unternehmen von einer Gesamtbelastung von 15.375.000 Euro aus.
Die Rückmeldungen im Rahmen der Evaluierung ergaben bezüglich der Durchschnittskosten-Schätzung keine gegenteiligen Anhaltspunkte. Laut Beauskunftung der Finanzmarktaufsicht (FMA) beträgt die Zahl der inländischen Kreditinstitute (einschließlich Non-CRR-KI, aber ohne 19 inländische Zweigstellen ausländischer Kreditinstitute) derzeit 454, die Zahl der Zahlungsinstitute 6. Unter Zugrundelegung der oben angeführten Belastung pro Unternehmen ergäbe sich eine Gesamtbelastung von 11.500.000 Euro, die demnach wesentlich unter der in der Wirkungsorientierten Folgenabschätzung getätigten Prognose läge.
Gesamtbeurteilung
Verbesserungspotentiale
Weitere Evaluierungen
Es werden keine weiteren Evaluierungen durchgeführt.