Payment Service Providers

Cooperation arrangements between regulated entities such as payment service providers ("PSPs") and unregulated entities (“Corporate Servicers”) have a long tradition. PSPs have to consider whether the involvement of the Corporate Servicer in its business constitutes a material outsourcing. Recent legal developments, new products offered by PSPs as well as new IT products offered to PSPs create new challenges with respect to outsourcing provisions.

On 17 October 2019 the German Federal Financial Supervisory Authority (Bundesanstalt für Finanzdienstleistungsaufsicht, “BaFin”) announced that it would not object if German-domiciled payment service providers („PSPs“) execute card payments on the internet without strong customer authentication („SCA“) – as required by the EU Payments Services Directive (EU) 2015/2366 („PSD2“) and the SCA Regulatory Technical Standards Delegated Regulation (EU) 2018/389 („SCA RTS“) – until 31 December 2020.

Die Kommission und die EBA haben bereits wiederholt Stellungnahmen zur Anwendbarkeit der Richtlinie (EU) 2015/2366 ("PSD2") und der Delegierten Verordnung (EU) 2018/389 („SKA RTS“) zur starken Kundenauthentifizierung („SKA“) bei so genannten "One-Leg"-Transaktionen veröf-fentlicht. Diese Aussagen haben jedoch zum Teil neue Fragen zu deren Anwendbarkeit innerhalb der Payment-Industrie aufgeworfen. In zwei neueren Stellungnahmen vom 6. September 2019 (Question ID 2018_4030 und Question ID 2018_4233) haben EBA und Kommission nun bei einigen offenen Fragen vor allem bei Kartenzahlungen für weitere Klarheit gesorgt.

Ab dem 14. September 2019 müssen eigentlich erhöhte Sicherheitsstandards bei online-Zahlungsvorgängen angewendet werden (sog. starke Kundenauthentifizierung). Da es aber Umsetzungsschwierigkeiten bei Marktteilnehmern gibt und Störungen bei online-Kreditkartenzahlungen befürchtet wurden, hatte die BaFin bereits am 21. August 2019 bekannt gegeben, dass es eine Schonfrist für die Kreditkartenzahlungen geben wird. Das Ende dieser Frist wurde nun bekannt gegeben.

The EBA has repeatedly published statements on the applicability of the SCA RTS on so-called one-leg transactions. However, such statements have raised new consequential questions on the applicability of SCA RTS in the payment industry. In two recent publications on 6 September 2019 (Question ID 2018_4030 and Question ID 2018_4233), the EBA has now provided further clarification.

Eigentlich wäre ab dem 14. September 2019 bei Kreditkartenzahlungen im Internet die Umsetzung erhöhter Sicherheitsmaßnahmen – sogenannte starke Kundenauthentifizierung – erforderlich. Eigentlich… Denn offenbar werden im Falle einer "pünktlichen" Umsetzung erhebliche Störungen bei online-Zahlungsvorgängen erwartet. Vor diesem Hintergrund hat die BaFin am 21. August 2019 bekanntgegeben, dass von der Durchsetzung der neuen Anforderungen im Rahmen von Kreditkartenzahlungen im Internet – auf zunächst unbestimmte Zeit – abgesehen werden wird.

The applicability of the rules of strong customer authentication ("SCA") to direct debit transactions has been subject to various statements by the EBA and the BaFin. On 7 June 2019, the EBA published another statement via its Q&A-tool (Question ID 2019_4664) on the application of SCA to direct debit transaction. It appears that the application of SCA rules on direct debit payments is now clear at an EU-level.

On 19 March 2019, the European Parliament and Council adopted Regulation 2019/518 amending Regulation 924/2009 (the Current Regulation) as regards certain charges on cross-border payments in the Union and currency conversion charges. Regulation 2019/518 came into force on 18 April 2019 but its provisions will progressively become applicable between 15 December 2019 and 19 April 2021 – this consolidated text being referred to below as "CBPR2".

The European Commission (EC) has recently confirmed that MITs are out of scope of SCA following arguments and discussion led by UK Finance supported by Osborne Clarke ("OC"): OC wrote a definitive document setting out the legal rationale for treating MITs as out of scope of the PSD2 SCA requirements, which the European Commission has in large part used to answer the question posed.

On 19 March 2019, the European Parliament and Council adopted Regulation 2019/518 amending Regulation 924/2009 (the Current Regulation) as regards certain charges on cross-border payments in the Union and currency conversion charges. Regulation 2019/518 came into force on 18 April 2019 but its provisions will progressively become applicable between 15 December 2019 and 19 April 2021 – this consolidated text being referred to below as "CBPR2".