PSD3 und Zahlungsdiensteverordnung: Was auf Zahlungsdienstleister zukommt

Kurzantwort: Mit PSD3 und der Zahlungsdiensteverordnung (PSR) ersetzt die EU die Zahlungsdiensterichtlinie PSD2 und die E-Geld-Richtlinie. Die PSR gilt unmittelbar und verschärft vor allem Betrugsprävention, Haftung und Open Banking. Stand 10. November 2026 sind beide Texte noch nicht verabschiedet: Der Rat hat seinen Standpunkt am 5. November 2026 veröffentlicht, das Parlament stimmt voraussichtlich am 14. Dezember 2026 ab.

Dieser Überblick richtet sich an Rechts- und Compliance-Abteilungen von Banken, Zahlungs- und E-Geld-Instituten sowie Fintechs in Deutschland und an Schweizer Gruppen mit Geschäft in der EU. Er zeigt, was die PSD3-Umsetzung verlangt, welche Fristen feststehen und welche Kapazität die Vorbereitung braucht.

Worum geht es bei PSD3 und PSR?

PSD3 und PSR sind ein Paket aus Richtlinie und Verordnung, das die Kommission am 28. Juni 2023 vorgeschlagen hat. Die Aufgaben sind geteilt:

• PSD3 (Richtlinie, COM(2023) 366): regelt Zulassung und Aufsicht von Zahlungsinstituten. E-Geld-Institute werden in diesen Rahmen einbezogen. Die PSD3 hebt die Richtlinie (EU) 2015/2366 (PSD2) und die Richtlinie 2009/110/EG auf und muss in nationales Recht umgesetzt werden.
• PSR (Verordnung, COM(2023) 367): regelt die Rechte und Pflichten zwischen Zahlungsdienstleistern und Nutzern, etwa Information, Autorisierung, Haftung, Betrugsprävention und Datenzugang. Sie gilt ohne Umsetzungsakt in allen Mitgliedstaaten.

Für die Praxis ist die PSR der grössere Brocken. Im Standpunkt des Rates (Dokument 8543/1/26) stehen unter anderem diese Pflichten:

• Nicht autorisierte Zahlungen: Eine Zahlung gilt als nicht autorisiert, wenn ein Dritter sie ohne Zustimmung des Zahlers auslöst oder ändert, auch mit betrügerisch erlangten Sicherheitsmerkmalen (Art. 50 Abs. 2).
• Betrug durch falsche Bankmitarbeitende: Gibt sich ein Betrüger über Kanäle, die dem Zahlungsdienstleister zugeordnet sind, als dieser aus, erstattet der Dienstleister dem Verbraucher den vollen Betrag. Voraussetzung: Der Verbraucher meldet den Betrug unverzüglich und erstattet Anzeige bei der Polizei. Innert 15 Geschäftstagen muss der Dienstleister erstatten oder die Ablehnung begründen (Art. 61 Abs. 2 und 3).
• Transaktionsüberwachung: Zahlungsdienstleister brauchen Mechanismen, die betrügerische Zahlungen erkennen und verhindern. Mindestens zu berücksichtigen sind kompromittierte Authentifizierungselemente, der Betrag und bekannte Betrugsszenarien (Art. 87).
• Austausch von Betrugsinformationen: Zahlungsdienstleister nehmen an Vereinbarungen zum Informationsaustausch teil, mit abschliessend festgelegten Datenkategorien (Art. 88).
• Betragslimits: Nutzer können im Rahmenvertrag Limits je Zahlungsmittel festlegen. Erhöht ein Nutzer ein Limit aus der Ferne, wirkt die Erhöhung erst nach vier Stunden (Art. 52).
• Kontozugang für Zahlungsinstitute: Kreditinstitute müssen Zahlungsinstituten Zahlungskonten objektiv, diskriminierungsfrei und verhältnismässig gewähren und dürfen nur aus bestimmten Gründen ablehnen (Art. 33).

Die Artikelnummern folgen dem Ratsstandpunkt. In der Fassung im Amtsblatt können sie sich noch ändern.

Wer ist von PSD3 und PSR betroffen?

Betroffen sind alle Zahlungsdienstleister in der EU: Kreditinstitute, Zahlungsinstitute, E-Geld-Institute und Anbieter von Zahlungsauslöse- und Kontoinformationsdiensten. Daneben nimmt die PSR Dritte in die Pflicht, etwa technische Dienstleister und Betreiber von Zahlungssystemen (Art. 59) sowie Hosting-Anbieter, die Zahlungsdienstleister bei Betrug über Online-Inhalte informieren müssen (Art. 61 Abs. 1).

Quelle: Ratsstandpunkt 8543/1/26 vom 5. November 2026; Zusammenstellung Alpinum Solutions, Stand November 2026.

Fristen und Stand der PSD3-Umsetzung

Ein Geltungsdatum steht noch nicht fest. Die PSR tritt 20 Tage nach Veröffentlichung im Amtsblatt in Kraft; ihre Pflichten gelten nach einer Übergangsfrist, die ab dem Inkrafttreten in Monaten bemessen ist (Art. 124). Die PSD3 muss nach der Veröffentlichung in nationales Recht umgesetzt werden. Die genauen Fristen stehen erst im verabschiedeten Text fest.

Quelle: Legislative Observatory des Europäischen Parlaments (Verfahren 2023/0209(COD) und 2023/0210(COD)) und Europäische Kommission, abgerufen am 10.11.2026. Weitere Fristen aus EU-Recht, Deutschland und der Schweiz zeigt der Regulatorik-Kalender Legal & Compliance.

Was Unternehmen jetzt tun müssen

Zahlungsdienstleister sollten die Zeit bis zur Veröffentlichung für eine Lückenanalyse nutzen. Der Ratsstandpunkt beruht auf dem Text, den Parlament und Rat ausgehandelt haben und den der Wirtschaftsausschuss am 5. Mai 2026 gebilligt hat. Ein bewährtes Vorgehen:

1. Betroffenheit klären: Festhalten, welche Gesellschaften, Produkte und Dienste unter PSD3 und PSR fallen, auch in Schweizer Gruppen mit EU-Gesellschaften.
2. Lückenanalyse durchführen: Rahmenverträge, Kundeninformationen, Haftungs- und Erstattungsprozesse mit dem Ratsstandpunkt abgleichen.
3. Betrugsprävention prüfen: Transaktionsüberwachung, Limits, Meldewege an Hosting-Anbieter und den Austausch von Betrugsdaten bewerten, zusammen mit Datenschutz.
4. Erstattungsprozess vorbereiten: Abläufe festlegen, mit denen Fälle von Betrug durch falsche Bankmitarbeitende innert 15 Geschäftstagen entschieden und begründet werden.
5. Umsetzung planen: Massnahmen priorisieren, Budget und Ressourcen sichern und die Fristen nach der Veröffentlichung im Amtsblatt nachtragen.

Viele Pflichten berühren auch die Geldwäscherei-Compliance. Kreditinstitute dürfen ein Konto für ein Zahlungsinstitut etwa ablehnen, wenn es gegen die Verordnung (EU) 2024/1624 (AMLR) verstossen würde. Was die AMLR selbst verlangt, zeigt der Ratgeber AMLR und AMLA: Was ab 2027 auf Compliance-Teams zukommt.

Welche Rollen und Kapazitäten nötig sind

Die PSD3-Umsetzung braucht Fachwissen im Zahlungsverkehrsrecht und Projektkapazität über mehrere Monate. Typische Rollen sind:

• Legal Counsel Zahlungsverkehr und Bankrecht: analysiert den Text, passt Rahmenverträge und Kundenbedingungen an.
• Regulatory Specialist: verfolgt das Verfahren, bereitet Unterlagen für die Aufsicht vor und koordiniert die Lückenanalyse.
• Compliance Officer Fraud und AML: gestaltet Transaktionsüberwachung, Betrugsmeldungen und Erstattungsentscheide mit.
• Datenschutzfachperson: prüft den Austausch von Betrugsdaten und den Datenzugang im Open Banking.
• Projektleitung: verbindet Recht, Compliance, Produkt und IT und berichtet an die Geschäftsleitung.

Für die Lückenanalyse genügt oft eine erfahrene Fachkraft in Teilzeit. Für die Umsetzung in Verträgen und Prozessen braucht es meist ein Team. Ein Beispiel für ein Team in der Transaktionsanalyse ist die Fallstudie zur KYC-Taskforce mit acht Compliance Officers in einem Schweizer Finanzinstitut.

Wie Interim-Unterstützung hilft

Interim-Fachkräfte schliessen die Lücke zwischen Tagesgeschäft und regulatorischem Projekt. Sie arbeiten im Team des Instituts; das Institut steuert die Arbeit und trägt die Verantwortung für die Umsetzung.

Alpinum Solutions stellt Juristinnen und Juristen mit Erfahrung im Bank- und Zahlungsverkehrsrecht, Regulatory Specialists und Compliance Officers über Staff Leasing und Freelancing bereit, in Teilzeit oder Vollzeit und vom Junior- bis zum Senior-Level. Alpinum Solutions legt je Suche in der Regel zwei bis vier Profile vor; ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor, den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab. Fachkräfte können auch formale Funktionen übernehmen, etwa als Geldwäschereifachstelle oder Geldwäschebeauftragte. Beim MLRO können regulatorische Einschränkungen eine externe Mandatsübernahme ausschliessen oder Personalverleih erfordern. Wie Fintechs ihre Kapazität für Bewilligung und MiCA planen, zeigt der Ratgeber Fintech und Krypto: Legal- und Compliance-Kapazität für Bewilligung und MiCA.

Häufige Fragen zu PSD3 und PSR

Ab wann gelten PSD3 und PSR?

Das steht noch nicht fest. Stand 10. November 2026 liegt der Standpunkt des Rates vor, das Parlament stimmt voraussichtlich am 14. Dezember 2026 in zweiter Lesung ab. Danach folgt die Veröffentlichung im Amtsblatt. Die PSR tritt 20 Tage später in Kraft und gilt nach einer Übergangsfrist in Monaten. Die PSD3 muss zuerst in nationales Recht umgesetzt werden.

Was ist der Unterschied zwischen PSD3 und PSR?

Die PSD3 ist eine Richtlinie und regelt Zulassung und Aufsicht von Zahlungs- und E-Geld-Instituten; jeder Mitgliedstaat setzt sie in nationales Recht um. Die PSR ist eine Verordnung und gilt unmittelbar. Sie enthält die Regeln für das Verhältnis zu den Nutzern, darunter Information, Haftung bei Betrug, Transaktionsüberwachung und Open Banking.

Wer haftet nach der PSR bei Betrug durch falsche Bankmitarbeitende?

Nach dem Ratsstandpunkt erstattet der Zahlungsdienstleister dem Verbraucher den vollen Betrag, wenn sich ein Betrüger über Kanäle des Dienstleisters als dieser ausgegeben hat. Der Verbraucher muss den Betrug unverzüglich melden und bei der Polizei anzeigen. Bei begründetem Verdacht auf Betrug oder grobe Fahrlässigkeit des Verbrauchers kann der Dienstleister innert 15 Geschäftstagen begründet ablehnen.

Gelten PSD3 und PSR auch in der Schweiz?

Nein. Als EU-Rechtsakte gelten PSD3 und PSR in der Schweiz nicht unmittelbar. Schweizer Banken, Zahlungsanbieter und Gruppen sind aber betroffen, wenn sie Gesellschaften in der EU haben oder dort Zahlungsdienste anbieten. Sie sollten prüfen, welche Produkte, Verträge und Prozesse unter den neuen Rahmen fallen, und dafür Fachleute einsetzen, die beide Regime kennen.

Was sollten Zahlungsdienstleister vor der Veröffentlichung tun?

Sinnvoll ist eine Lückenanalyse auf Basis des Ratsstandpunkts: Rahmenverträge, Kundeninformationen, Erstattungsprozesse, Transaktionsüberwachung und Austausch von Betrugsdaten. So stehen Massnahmen und Budget fest, wenn die Fristen im Amtsblatt veröffentlicht sind. Die Artikelnummern können sich bis zur Veröffentlichung noch ändern.

Nächster Schritt

Alpinum Solutions ist der führende Anbieter für Interim Legal & Compliance im DACH-Raum und stellt Fachkräfte für die Umsetzung von PSD3 und PSR bereit, in Deutschland, der Schweiz und Österreich. Besprechen Sie Ihren Bedarf, wir zeigen passende Profile.

• Banking, Finance und Capital Markets: Fachkräfte für Bank- und Finanzmarktrecht
• Fintech und Krypto: Legal- und Compliance-Kapazität
• AMLR und AMLA: Was ab 2027 auf Compliance-Teams zukommt
• Regulatorik-Radar: alle Artikel zu regulatorischen Veränderungen
• Bedarf besprechen

Stand: 10. November 2026.