Die PSD2-Richtlinie und ihre Bedeutung
Bereits am 13. Januar 2018 ist die PSD2-Richtlinie in Deutschland in nationales Recht umgesetzt worden. Die EU-Richtlinie, Payment Services Directive2, soll für mehr Sicherheit im Zahlungsverkehr sorgen und Zahlungsdienste und -dienstleister regulieren. Neben der Erhöhung der Sicherheit stehen als Ziele die Stärkung des Verbraucherschutzes und die Innovationsförderung im Mittelpunkt, auch der Wettbewerb im Markt soll gesteigert werden. Seit September gilt nun Phase 2, von der das Gastgewerbe in großem Umfang betroffen ist. Grund ist die nun in Kraft tretende Strong Customer Authentification (SCA), die Starke Kundenauthentifizierung bei Kreditkartenzahlungen. Betroffen sind neben Internetbuchungen allerdings auch der Einsatz von Kreditkarten zur Absicherung von garantierten Buchungen oder das Hinterlegen von Kreditkartendaten zur Vermeidung von No-Shows im Restaurant. Einziger Vorteil: Bereits autorisierte Zahlungen können vom Kunden nicht mehr so einfach zurückgeholt werden.
Starke Kundenauthentifizierung – drei Möglichkeiten zur Umsetzung
Dies bedeutet, dass Zahlungen fortan mit der Zwei-Faktor-Authentifizierung beglaubigt werden müssen. Es genügt also nicht mehr die Kartennummer (Faktor 1) einzufordern, eine der folgenden Formen der Verifizierung muss zusätzlich erbracht werden (Faktor 2):
-
Etwas, das nur der Kunde weiß, zum Beispiel ein Passwort, PIN oder Sicherheitsfrage
-
Etwas, das nur dem Kunden gehört, zum Beispiel ein Smartphone oder eine Smartwatch
-
Etwas, das der Kunde ist, hierzu gehören Fingerabdruck oder Gesichtserkennung
Ausnahmen soll es hier nur bei Zahlungen im niedrigen Bereich zwischen 30-50 Euro geben, der Betrag ist ebenso wie die Möglichkeiten der Zwei-Faktor-Authentifizierung bankenabhängig.
Aufschub der Starken Kundenauthentifizierung gilt nicht für alle Zahlungen
Mitte August gab die Bundesanstalt für Finanzdienstaufsicht (BaFin) bekannt, dass sie auch nach dem 14. September bei Kartenzahlungen im Internet keine Starke Kundenauthentifizierung einfordern wird. Zugleich betont die BaFin, dass alle anderen Regelungen der Zahlungsdiensterichtlinie 2 (PSD2) zur Starken Kundenauthentifizierung weiterhin durchgesetzt werden. „So erleichtert wir wegen des Umsetzungsaufschubs hinsichtlich der Absicherung von Internetbuchungen sind, so deutlich müssen wir die Hotellerie darauf hinweisen, dass Kartentransaktionen im Hotel, wie z.B. Vorautorisierung, Zahlung beim Check-in, Express Check-out, Nachbuchung von Minibarumsätzen, ab dem 14. September eine Starke Kundenauthentifizierung voraussetzen“, so Markus Luthe, Hauptgeschäftsführer der Hotelverband Deutschland (IHA).
Auswirkungen der PSD2-Richtlinie für die Gastronomie
Derzeit ist es in vielen Gastronomie-Betrieben gängige Praxis, bei einer Tischreservierung besonders zu Stoßzeiten oder rund um Feiertage, eine Kreditkarte als Absicherung zu hinterlegen. Durch die verpflichtende Zwei-Faktor-Authentifizierung ist eine Absicherung gegen No-Shows auf diesem Weg nicht mehr möglich, eine Belastung der Kreditkarte bei Nicht-Erscheinen der Gäste entfällt.
Durch diese Form der Authentifizierung soll dem Betrug durch geklaute Kreditkartendaten vorgebeugt werden.
PSD2-konforme Abwicklung von Zahlungen
Die Thematik der PSD2-Richtlinie ist bereits seit Langem bekannt und entsprechend haben sich die Software-Hersteller darauf einstellen können. Die Hotelsoftware 3RPMS® und die Software-Plattform für Zahlungsabwicklungen Stripe zum Beispiel ermöglichen das Versenden einer Buchungsbestätigung mit Zahlungsbutton. So kann die Zahlung online von Kundenseite vorgenommen und in Echtzeit in der entsprechenden Reservierung als Anzahlung verbucht werden. Im Fall einer Stornierung wird die Zahlung dem Kunden wieder gutgeschrieben. Der Zahlungsanbieter hobex setzt einen „Paymentlink“ ein. Das Hotel senden dem Gast per Mail einen Link zu, über den die Zahlung dann abgewickelt werden kann. Somit erhält der Betrieb keine sensiblen Kartendaten und die Zahlung wird DSGVO und PCI konform im 3D-Secure Verfahren abgewickelt.
Wichtig für einen reibungslosen Ablauf ist jedoch auch, dass die Kunden und Gäste sich mit der PSD2 beschäftigt und für ihre Karten die entsprechenden Einstellungen freigeschaltet haben.
