Was ist PSD2 und was darf ein Kontoinformationsdienst?

PSD2 ist die zweite EU-Zahlungsdiensterichtlinie – und der Grund, warum du heute Konten mehrerer Banken in einer einzigen App sehen kannst. Sie hat sogenannte Kontoinformationsdienste erstmals gesetzlich geregelt: Anbieter, die mit deiner Zustimmung Kontostände und Umsätze abrufen und gebündelt anzeigen. Hier erfährst du, was dahintersteckt, wer diese Dienste beaufsichtigt und wo ihre Grenzen liegen.

Was PSD2 ist

Offiziell heißt PSD2 Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt. Die Abkürzung steht für „Payment Services Directive 2“. Nach Art. 115 der Richtlinie mussten die Mitgliedstaaten sie bis zum 13. Januar 2018 umsetzen. Laut Deutscher Bundesbank ist das in Deutschland zu diesem Datum geschehen: Die aufsichtsrechtlichen Regeln stehen im Zahlungsdiensteaufsichtsgesetz (ZAG), die zivilrechtlichen im BGB.

Als Ziele nennt die Bundesbank, die Sicherheit im Zahlungsverkehr zu erhöhen, den Verbraucherschutz zu stärken, Innovationen zu fördern und den Wettbewerb zu steigern. Zwei Neuerungen sind für dich im Alltag besonders spürbar:

• Drittanbieter dürfen auf Zahlungskonten zugreifen – etwa Kontoinformationsdienste und Zahlungsauslösedienste, aber nur mit deiner ausdrücklichen Zustimmung.
• Starke Kundenauthentifizierung – Online-Zugriffe und Zahlungen musst du mit zwei unabhängigen Merkmalen bestätigen. Diese zweite Stufe gilt laut Bundesbank seit dem 14. September 2019; ab diesem Tag gilt auch die Delegierte Verordnung (EU) 2018/389 mit den technischen Details (Art. 38).

Was ein Kontoinformationsdienst ist

Das ZAG definiert den Begriff in § 1 Abs. 34 knapp: Ein Kontoinformationsdienst ist „ein Online-Dienst zur Mitteilung konsolidierter Informationen über ein Zahlungskonto oder mehrere Zahlungskonten des Zahlungsdienstnutzers bei einem oder mehreren anderen Zahlungsdienstleistern“.

Praktisch heißt das: Du hast zum Beispiel ein Girokonto bei Bank A, ein Tagesgeldkonto bei Bank B und eine Kreditkarte bei Bank C. Ein Kontoinformationsdienst fragt die Daten bei allen drei Banken ab und zeigt sie dir an einer Stelle. Nach § 1 Abs. 1 Satz 2 Nr. 8 ZAG zählt das als eigener Zahlungsdienst. Davon zu unterscheiden ist der Zahlungsauslösedienst (Nr. 7), der in deinem Auftrag eine Zahlung von deinem Konto anstößt.

Wichtig: Banken können den Zugang nicht davon abhängig machen, dass der Anbieter einen Vertrag mit ihnen schließt (§ 50 Abs. 2 ZAG). Sie müssen Datenanfragen eines Kontoinformationsdienstes ohne Benachteiligung behandeln, sofern keine objektiven Gründe dagegensprechen (§ 50 Abs. 1).

Registrierung bei der BaFin und Berufshaftpflicht

Wer in Deutschland ausschließlich Kontoinformationsdienste anbietet, braucht nach § 34 ZAG eine Registrierung durch die BaFin. Die BaFin formuliert es so: „Wer Kontoinformationsdienste leisten möchte, muss sich registrieren.“ Im Antrag muss der Anbieter unter anderem sein Geschäftsmodell, seine Sicherheitsstrategie, den Umgang mit Sicherheitsvorfällen und den Schutz sensibler Zahlungsdaten beschreiben.

Hinzu kommt § 36 ZAG: Ein Institut, das Kontoinformationsdienste erbringt, muss eine Berufshaftpflichtversicherung oder eine gleichwertige Garantie abschließen und für die Dauer der Registrierung aufrechterhalten. Sie deckt die Haftung gegenüber der Bank und gegenüber dir für einen nicht autorisierten oder betrügerischen Zugang zu Kontoinformationen und deren Nutzung ab.

Anbieter, die zusätzlich Zahlungen auslösen, brauchen statt der Registrierung eine Erlaubnis als Zahlungsinstitut. Ob ein Unternehmen beaufsichtigt ist, kannst du in der Unternehmensdatenbank der BaFin nachsehen.

Was ein Kontoinformationsdienst darf – und was nicht

Die Pflichten stehen in § 51 ZAG. Die wichtigsten Punkte im Überblick:

Außerdem muss sich der Dienst bei jeder Kommunikation gegenüber deiner Bank identifizieren und auf sicherem Weg mit ihr und mit dir kommunizieren (§ 51 Abs. 2 und 3). Name des Kontoinhabers und Kontonummer gelten für Kontoinformationsdienste übrigens nicht als sensible Zahlungsdaten (§ 1 Abs. 26 ZAG).

Starke Kundenauthentifizierung beim Kontozugriff

Nach § 55 Abs. 1 ZAG muss deine Bank eine starke Kundenauthentifizierung verlangen, wenn du online auf dein Konto zugreifst – laut § 55 Abs. 3 auch dann, wenn die Informationen über einen Kontoinformationsdienst angefordert werden. Starke Kundenauthentifizierung bedeutet nach § 1 Abs. 24 ZAG: mindestens zwei unabhängige Elemente aus den Kategorien Wissen (etwa PIN), Besitz (etwa Smartphone) und Inhärenz (etwa Fingerabdruck).

Die Bank muss es dem Kontoinformationsdienst ermöglichen, sich auf ihre Authentifizierungsverfahren zu stützen (§ 55 Abs. 4). Deshalb wirst du beim Verbinden eines Kontos meist auf die Seite oder in die App deiner Bank geleitet und bestätigst dort, etwa per pushTAN.

Die 180-Tage-Regel

Ursprünglich durften Banken nach Art. 10 der Delegierten Verordnung (EU) 2018/389 beim Abruf von Kontostand und jüngsten Umsätzen auf die starke Kundenauthentifizierung verzichten – mussten sie aber mindestens alle 90 Tage verlangen. Das wurde laut Erwägungsgründen der Änderungsverordnung sehr unterschiedlich gehandhabt: Manche Banken verlangten sie alle 90 Tage, andere häufiger, manche bei jedem Zugriff.

Die Delegierte Verordnung (EU) 2022/2360 hat das neu geregelt. Seit dem 25. Juli 2023 gilt der neue Art. 10a:

• Greifst du über einen Kontoinformationsdienst zu und werden nur der Kontostand oder Zahlungsvorgänge der vergangenen 90 Tage abgefragt, ohne sensible Zahlungsdaten offenzulegen, darf die Bank keine starke Kundenauthentifizierung verlangen.
• Sie muss sie aber verlangen beim ersten Zugriff über den jeweiligen Dienst und wenn mehr als 180 Tage seit der letzten starken Kundenauthentifizierung über diesen Dienst vergangen sind.
• Hat die Bank sachlich gerechtfertigte und nachgewiesene Gründe für den Verdacht auf einen nicht autorisierten oder betrügerischen Zugriff, darf sie die Authentifizierung trotzdem verlangen.

Für den direkten Zugriff im Onlinebanking gilt nach dem neu gefassten Art. 10 ebenfalls ein 180-Tage-Zeitraum, dort bleibt der Verzicht aber freiwillig. Für dich heißt das: Eine verbundene Finanz-App bittet dich in der Regel etwa alle 180 Tage, den Zugriff bei deiner Bank erneut zu bestätigen. Einzelne Banken können davon abweichen, etwa bei Betrugsverdacht.

Was mit PSD3 und der Zahlungsdiensteverordnung kommt

Die EU arbeitet an einem Nachfolger: einer dritten Zahlungsdiensterichtlinie (PSD3) und einer direkt geltenden Zahlungsdiensteverordnung (PSR). Laut Legislative Observatory des Europäischen Parlaments hat die Kommission den Verordnungsvorschlag am 28. Juni 2023 vorgelegt; der zuständige Ausschuss hat den ausgehandelten Text am 5. Mai 2026 gebilligt. Stand: 14. Oktober 2026 wartet das Verfahren auf den Standpunkt des Rates, die Abstimmung im Plenum ist für den 14. Dezember 2026 vorgesehen. Bis neue Regeln verabschiedet und anwendbar sind, gelten PSD2, ZAG und die Delegierte Verordnung (EU) 2018/389.

So nutzt Copreo einen Kontoinformationsdienst

Copreo zeigt Konten, Karten und Depots von über 3.000 Banken in einer App. Die Anbindung läuft über BANKSapi, ein von der BaFin zugelassener und beaufsichtigter Zahlungsdienstleister. Copreo nutzt BANKSapi nur, um Kontodaten abzurufen (Kontoinformationsdienst); Zahlungen löst Copreo nicht aus. Die App zeigt Umsätze an, benennt und kategorisiert sie automatisch und erkennt wiederkehrende Zahlungen. Mehr zum Anbieter liest du im Artikel über BANKSapi.

Häufige Fragen

Ist PSD2 ein Gesetz?

PSD2 ist eine EU-Richtlinie. Sie gilt nicht direkt, sondern wurde in Deutschland vor allem im ZAG und im BGB umgesetzt, laut Bundesbank zum 13. Januar 2018.

Kann ein Kontoinformationsdienst Geld von meinem Konto überweisen?

Nein. Ein Kontoinformationsdienst ruft nur Informationen ab. Zahlungen auslösen ist ein eigener Zahlungsdienst, für den ein Anbieter eine Erlaubnis braucht und bei dem für Online-Zahlungen eine starke Kundenauthentifizierung nötig ist, die an Betrag und Empfänger gekoppelt ist (§ 55 Abs. 2 und 3 ZAG).

Warum muss ich den Zugriff regelmäßig neu bestätigen?

Nach Art. 10a der Delegierten Verordnung (EU) 2018/389 muss deine Bank die starke Kundenauthentifizierung verlangen, wenn seit der letzten über diesen Dienst mehr als 180 Tage vergangen sind. Vor dem 25. Juli 2023 lag die Grenze bei 90 Tagen.

Kann ich meine Zustimmung widerrufen?

Ein Kontoinformationsdienst darf nur mit deiner ausdrücklichen Zustimmung arbeiten (§ 51 Abs. 1 ZAG). Wie du den Zugriff im Einzelnen beendest, steht in den Bedingungen und der Datenschutzerklärung des jeweiligen Dienstes.

Wie prüfe ich, ob ein Anbieter beaufsichtigt ist?

In der Unternehmensdatenbank der BaFin. Dort stehen registrierte Kontoinformationsdienste und zugelassene Zahlungsinstitute mit ihren Tätigkeiten.