Zahlungsauslösedienst: Was passiert, wenn Sie im Shop Ihre Banking-Daten eingeben

Im Checkout eines Onlineshops erscheint ein Fenster, das aussieht wie Ihr Online-Banking: BIC eingeben, PIN, TAN – fertig, die Überweisung ist raus. Was sich wie ein Phishing-Versuch anfühlt, ist ein regulierter Zahlungsdienst. Die entscheidende Frage ist nicht, ob das erlaubt ist, sondern wer haftet, wenn etwas schiefgeht.

Was ein Zahlungsauslösedienst ist

§ 1 Abs. 33 ZAG definiert den Zahlungsauslösungsdienst als Dienst, bei dem auf Veranlassung des Zahlungsdienstnutzers ein Zahlungsauftrag in Bezug auf ein bei einem anderen Zahlungsdienstleister geführtes Zahlungskonto ausgelöst wird. Der Anbieter führt also kein Konto und hält kein Geld – er klinkt sich in Ihr Online-Banking ein und sendet den Auftrag.

Zu unterscheiden ist er vom Kontoinformationsdienst nach § 1 Abs. 34 ZAG, der nur liest und nichts auslöst. Beide brauchen eine Erlaubnis der BaFin.

	Zahlungsauslösedienst	Kontoinformationsdienst
Was er tut	löst eine Überweisung aus	liest Umsätze und Salden
Typischer Einsatz	Bezahlen im Onlineshop	Bonitätsprüfung, Multibanking-App
Geldfluss	direkt von Ihrem Konto zum Händler	kein Geldfluss
Rechtsgrundlage	§ 1 Abs. 33 ZAG	§ 1 Abs. 34 ZAG

Ihr Recht, den Dienst zu nutzen

§ 675f Abs. 3 Satz 1 BGB gibt Ihnen das Recht, einen Zahlungsauslöse- oder Kontoinformationsdienst zu nutzen – es sei denn, Ihr Zahlungskonto ist online gar nicht zugänglich. Satz 2 stellt klar: Ihre Bank darf die Nutzung nicht davon abhängig machen, dass der Dienstleister mit ihr einen Vertrag schließt. AGB-Klauseln, die die Weitergabe der Zugangsdaten an lizenzierte Drittdienste pauschal verbieten, sind damit hinfällig – die Sorgfaltspflicht aus § 675l Abs. 1 BGB, Ihre Sicherheitsmerkmale zu schützen, richtet sich gegen unbefugten Zugriff, nicht gegen den von Ihnen selbst beauftragten Dienst.

Warum Händler das anbieten

• Die Zahlungsbestätigung kommt sofort, die Ware kann vor Geldeingang versandt werden.
• Es fallen keine Kartenentgelte an, und der Händler darf für eine SEPA-Überweisung nach § 270a BGB ohnehin kein gesondertes Entgelt verlangen.
• Anders als bei der Lastschrift gibt es keine Rückbuchung ohne Grund.

Der letzte Punkt ist für Sie der wichtigste – und der am häufigsten übersehene.

Kein Widerruf: der Unterschied zur Lastschrift

§ 675p Abs. 2 Satz 1 BGB ist eindeutig: Wurde der Zahlungsvorgang über einen Zahlungsauslösedienstleister ausgelöst, kann der Zahler den Zahlungsauftrag nicht mehr widerrufen, nachdem er dem Dienstleister die Zustimmung zur Auslösung erteilt hat. Es gibt kein Zeitfenster, keine Kulanzfrist.

Bei der SEPA-Basislastschrift ist das anders: Dort haben Sie nach § 675x Abs. 2 BGB ohne Angabe von Gründen einen Erstattungsanspruch – geltend zu machen innerhalb von acht Wochen ab der Belastung (§ 675x Abs. 4 BGB). Die Bank muss dann binnen zehn Geschäftstagen erstatten oder die Ablehnung begründen (Abs. 5).

	Zahlungsauslösedienst	SEPA-Basislastschrift	Kreditkarte
Widerruf nach Zustimmung	nein	bis zum Geschäftstag vor Fälligkeit	nein
Erstattung ohne Grund	nein	acht Wochen	nein
Bei Nichtlieferung	zivilrechtlich gegen den Händler	Rückbuchung	Chargeback

Fazit für die Praxis: Bei einem unbekannten Shop ist der Zahlungsauslösedienst die schlechteste der drei Optionen – Ihr Geld ist weg wie bei einer normalen Überweisung. Die Wege, eine Überweisung zurückzuholen, sind dann die üblichen und bieten keine Garantie. Mit Kreditkarte hätten Sie das Chargeback-Verfahren, mit Lastschrift die Rückbuchung.

Wenn die Zahlung nicht von Ihnen stammt

Ganz anders liegt der Fall bei einer nicht autorisierten Zahlung, etwa nach einem Phishing-Angriff auf ein gefälschtes Auslösedienst-Fenster. Dann gilt § 675u BGB:

• Die Bank hat keinen Anspruch auf Erstattung ihrer Aufwendungen (Satz 1).
• Sie muss den Betrag unverzüglich erstatten und das Konto auf den ursprünglichen Stand bringen (Satz 2).
• Frist: spätestens bis zum Ende des Geschäftstags, der auf die Anzeige folgt (Satz 3).
• Und ganz wichtig: Wurde die Zahlung über einen Zahlungsauslösedienstleister ausgelöst, treffen diese Pflichten den kontoführenden Zahlungsdienstleister (Satz 5) – also Ihre eigene Bank, nicht den Drittanbieter.

Sie müssen sich also nicht mit dem Dienstleister auseinandersetzen, sondern wenden sich an Ihre Bank. Nur wenn die Bank einer Behörde schriftlich einen begründeten Betrugsverdacht gegen Sie mitgeteilt hat, darf sie die Erstattung zunächst zurückstellen (Satz 4).

Die Beweislast liegt nicht bei Ihnen

Ist streitig, ob Sie die Zahlung autorisiert haben, muss nach § 675w Satz 1 BGB die Bank nachweisen, dass eine Authentifizierung erfolgt ist und der Vorgang ordnungsgemäß aufgezeichnet, verbucht und nicht durch eine Störung beeinträchtigt wurde. Satz 3 stellt klar: Die bloße Aufzeichnung der Nutzung – auch durch einen Zahlungsauslösedienstleister – reicht allein nicht notwendigerweise aus, um Autorisierung, Betrug oder grobe Fahrlässigkeit zu belegen. Die Bank muss unterstützende Beweismittel vorlegen.

Im Verhältnis zwischen Bank und Dienstleister dreht sich die Last: Nach § 676a Abs. 2 BGB muss der Zahlungsauslösedienstleister nachweisen, dass in seinem Verantwortungsbereich authentifiziert wurde. Und § 676a Abs. 1 BGB gibt der Bank einen Regressanspruch, wenn die Ursache beim Dienstleister lag. Dieser Streit geht Sie nichts an – er findet hinter den Kulissen statt.

Echt oder gefälscht? Woran Sie den Unterschied erkennen

1. Erlaubnis prüfen. Der Anbieter muss in der BaFin-Unternehmensdatenbank als Zahlungsinstitut mit Erlaubnis für Zahlungsauslösedienste stehen. Der Name des Dienstes gehört sichtbar in den Checkout, nicht nur ins Kleingedruckte.
2. Adresszeile lesen. Das Eingabefenster läuft auf der Domain des Dienstleisters, nicht auf der des Shops. Ein eingebettetes Feld direkt im Shop-Formular ist ein Warnzeichen.
3. Nie über einen Link aus einer E-Mail. Ein echter Auslösedienst erscheint im Bezahlvorgang, den Sie selbst gestartet haben.
4. Betrag und Empfänger prüfen. Beides muss vor der TAN-Eingabe angezeigt werden – in der TAN-Mitteilung Ihrer Bank noch einmal gegenchecken.
5. Nur eine Zahlung freigeben. Werden Sie zu einer Sammelfreigabe oder zu einer unbefristeten Einwilligung gedrängt, brechen Sie ab.

Was im Ernstfall zu tun ist, steht ausführlich unter Phishing im Online-Banking.

Was der Dienst mit Ihren Daten darf

Ein Zahlungsauslösedienstleister darf nur die Daten verarbeiten, die für die Auslösung der konkreten Zahlung erforderlich sind. Er darf Ihre Umsätze nicht dauerhaft speichern, keine Profile bilden und die Zugangsdaten nicht für andere Zwecke nutzen. Fordert ein Anbieter im selben Schritt auch eine Kontoinformationsfreigabe über 90 Tage, ist das ein zweiter Dienst mit eigener Einwilligung – den Sie für das Bezahlen nicht brauchen.

Lohnt es sich für Sie?

• Dafür: keine Kartendaten im Spiel, keine zusätzliche Registrierung, oft schnellerer Versand, und bei nicht autorisierten Zahlungen haftet die eigene Bank.
• Dagegen: kein Widerruf, keine Rückbuchung, kein Chargeback – bei Nichtlieferung bleibt nur der zivilrechtliche Weg gegen den Händler.
• Alternative: Die Echtzeitüberweisung aus dem eigenen Online-Banking erreicht denselben Effekt, ohne dass ein Dritter Ihre Zugangsdaten sieht.

Kurz zusammengefasst

• Ein Zahlungsauslösedienst nach § 1 Abs. 33 ZAG löst eine Überweisung von Ihrem Konto aus, führt aber selbst kein Konto.
• § 675f Abs. 3 BGB gibt Ihnen das Recht, ihn zu nutzen; die Bank darf das nicht an einen Vertrag mit ihr knüpfen.
• Nach der Zustimmung ist kein Widerruf mehr möglich (§ 675p Abs. 2 BGB) – anders als bei der Lastschrift mit acht Wochen Erstattungsrecht.
• Bei nicht autorisierten Zahlungen erstattet die kontoführende Bank – spätestens am Geschäftstag nach der Anzeige (§ 675u BGB).
• Die Beweislast für die Authentifizierung liegt bei der Bank, nicht bei Ihnen (§ 675w BGB).