EBA-Q&A 2025_7602: Pflicht zur Auswahl des Kundensegments im Redirect ist ein Hindernis nach Art. 32 Abs. 3 RTS SCA&CSC
Die Europäische Bankenaufsichtsbehörde (EBA) hat am 12. Juni 2026 im Single Rulebook Q&A die finale Antwort auf die Frage 2025_7602 veröffentlicht. Gegenstand ist die Frage, ob ein zwingender Zwischenbildschirm zur manuellen Auswahl des Kundensegments im Redirect-Verfahren ein Hindernis im Sinne des Art. 32 Abs. 3 der Delegierten Verordnung (EU) 2018/389 (RTS SCA&CSC) darstellt. Die EBA bejaht dies.
Der Sachverhalt: ein Zwischenbildschirm vor der Authentifizierung
Eingereicht wurde die Frage am 17. Oktober 2025 von der tschechischen ZNPay a.s. Sie beschreibt eine Praxis, die in der Redirect-Umsetzung mehrerer kontoführender Zahlungsdienstleister (ASPSP) vorkommt: Der Zahlungsdienstnutzer (PSU) wird im Rahmen eines Kontoinformations- (AIS) oder Zahlungsauslösedienstes (PIS) zunächst auf eine Zwischenseite geleitet, auf der er sein Kundensegment – etwa „Retail Banking" oder „Corporate Banking" – manuell auswählen muss, bevor die Weiterleitung in die Authentifizierungs-App des ASPSP erfolgt.
Entscheidend ist der Vergleichsmaßstab, den die fragestellende Partei anlegt: Beim direkten Login in die native Mobile-Banking-App desselben ASPSP entfällt dieser Auswahlschritt. Die ASPSP rechtfertigen den Schritt laut Fragestellung damit, dass sie nicht anstelle des Kunden über das zu verwendende Profil entscheiden könnten.
Die Fragestellung hebt zwei Konstellationen besonders hervor, in denen der Schritt als redundant erscheint:
Folgevorgänge, etwa eine Zahlungsauslösung von einem bereits verknüpften Konto, bei denen das Segment bereits feststeht;
Kunden, die ohnehin nur einem einzigen Segment (z. B. Retail) zugeordnet sind.
Rechtlicher Rahmen: Art. 32 Abs. 3 RTS und die Hindernis-Stellungnahme der EBA
Die Q&A ist der PSD2 (Richtlinie (EU) 2015/2366), Art. 98 Abs. 1 lit. d, sowie Art. 32 Abs. 3 der Delegierten Verordnung (EU) 2018/389 zugeordnet. Art. 32 Abs. 3 verpflichtet ASPSP, die eine dedizierte Schnittstelle eingerichtet haben, sicherzustellen, dass diese Schnittstelle keine Hindernisse für die Erbringung von Zahlungsauslöse- und Kontoinformationsdiensten schafft.
Ausgelegt wird diese Vorgabe seit 2020 maßgeblich durch die EBA-Stellungnahme zu Hindernissen nach Art. 32 Abs. 3 RTS (EBA/OP/2020/10). Die EBA verweist in ihrer Antwort ausdrücklich auf deren Ziffern 6, 7 und 15. Aus diesen ergibt sich, dass bei einem Redirection- oder Decoupled-Ansatz die Interaktion zwischen PSU und ASPSP auf das für die Authentifizierung Erforderliche zu beschränken ist. Das Authentifizierungsverfahren im Rahmen einer AIS- oder PIS-Strecke darf keine überflüssigen Schritte enthalten und vom Nutzer keine nicht erforderlichen oder überflüssigen Angaben verlangen – gemessen daran, wie sich der Nutzer beim direkten Zugriff auf seine Zahlungskonten bzw. bei der Zahlungsauslösung beim ASPSP authentifizieren kann.
Die Antwort der EBA
Die EBA legt den Prüfmaßstab konsequent als Vergleichstest an: Findet die Authentifizierung beim direkten Zugriff über die Kundenschnittstelle des ASPSP ohne manuelle Segmentauswahl statt, dann erscheint ein solcher Schritt in der Redirect-Strecke für Zwecke der Authentifizierung nicht erforderlich. Da der Schritt zugleich zusätzliche Reibung in der AIS- oder PIS-Strecke erzeugt, stellt er nach Auffassung der EBA ein Hindernis im Sinne des Art. 32 Abs. 3 RTS dar.
Bemerkenswert ist, dass die EBA das von den ASPSP vorgebrachte Argument – man könne die Profilwahl nicht für den Kunden treffen – in der Antwort nicht aufgreift. Der Vergleich mit dem direkten Zugangskanal ist damit der ausschlaggebende Prüfschritt.
Reichweite und Grenzen der Aussage
Die Antwort ist bedingt formuliert. Sie greift für die Konstellation, in der beim direkten Zugang keine Segmentauswahl verlangt wird. Ein ASPSP, der die Auswahl auch im eigenen Direktkanal abfragt, wird von der Aussage nicht unmittelbar erfasst.
Die Q&A differenziert nicht zwischen Erst- und Folgevorgängen oder zwischen Ein- und Mehrsegment-Kunden. Die in der Fragestellung hervorgehobenen Sonderkonstellationen werden in der Antwort nicht gesondert behandelt.
Q&As der EBA sind kein rechtsverbindliches Instrument; sie konkretisieren die Auslegung des Single Rulebook und werden in der Aufsichtspraxis regelmäßig herangezogen. Die EBA weist zudem darauf hin, dass Q&As auf die am Tag ihrer Veröffentlichung geltenden Vorschriften abstellen und nicht systematisch nachgeführt werden.
Die zugrunde liegende Pflicht besteht nicht erst seit der Q&A: Art. 32 Abs. 3 RTS gilt seit Anwendbarkeit der Delegierten Verordnung (EU) 2018/389 am 14. September 2019. Die Q&A klärt lediglich einen Auslegungszweifel.
Bedeutung für kleine und nicht komplexe Institute (SNCI)
Für SNCIs ist die Q&A trotz ihres sehr spezifischen Zuschnitts praktisch relevant, weil Art. 32 Abs. 3 RTS ohne Proportionalitätsvorbehalt gilt: Jedes Institut, das Zahlungskonten führt und eine dedizierte Schnittstelle betreibt, unterliegt der Vorgabe unabhängig von Größe, Komplexität oder Marktanteil. Eine Erleichterung für kleinere Häuser sieht der RTS an dieser Stelle nicht vor.
Hinzu kommt ein Punkt, der gerade kleinere Institute betrifft: Redirect-Strecken werden häufig nicht selbst entwickelt, sondern von einem IT-Dienstleister oder Rechenzentralverbund bereitgestellt. Die aufsichtsrechtliche Verantwortung für die Konformität der Schnittstelle bleibt gleichwohl beim Institut. Ein von einem Dienstleister standardmäßig ausgelieferter Segmentauswahl-Bildschirm ist damit ein Institutsthema, kein reines Dienstleisterthema – mit entsprechender Relevanz für die Steuerung von Auslagerungen und IKT-Drittparteienrisiken nach DORA.
Praktisch bedeutet das:
Der Vergleich zwischen Direktkanal und Redirect-Strecke sollte dokumentiert vorliegen – er ist der Maßstab, den die EBA anlegt.
Ist die Schnittstelle von einer Ausnahme vom Fallback-Mechanismus (Art. 33 Abs. 6 RTS) erfasst, kann die Feststellung eines Hindernisses die Ausnahme gefährden; dies ist eine Frage an die zuständige Behörde (FMA bzw. BaFin).
Bei ausgelagerter Schnittstellenentwicklung empfiehlt sich eine gezielte Rückfrage an den Dienstleister, ob und in welchen Strecken ein Segmentauswahlschritt implementiert ist.
Ausblick: PSD2 bleibt vorerst der Maßstab
Die Q&A ergeht zum geltenden PSD2-Rahmen. Das Paket aus PSD3 und Payment Services Regulation (PSR) befindet sich in der Schlussphase des Gesetzgebungsverfahrens; die Kompromisstexte wurden im April 2026 veröffentlicht. Institute sollten den aktuellen Verfahrensstand prüfen. Bis zur Anwendbarkeit der PSR bleibt Art. 32 Abs. 3 der Delegierten Verordnung (EU) 2018/389 der maßgebliche Prüfmaßstab.
💡 Hinweis für kleine und nicht komplexe Institute:
Erstellen Sie eine einfache Gegenüberstellung: Welche Schritte durchläuft ein Kunde beim direkten Login (Web und native App) und welche in der Redirect-Strecke für AIS und PIS? Jeder Schritt, der nur in der Redirect-Strecke vorkommt, gehört begründet oder entfernt.
Prüfen Sie insbesondere Auswahl-, Zustimmungs- und Informationsbildschrime, die vor der eigentlichen Authentifizierung eingeblendet werden. Die EBA-Argumentation ist übertragbar: Der Maßstab ist immer der eigene Direktkanal.
Bei der Nutzung einer Verbund- oder Dienstleisterlösung: Fordern Sie eine Bestätigung ein, ob EBA/OP/2020/10 und die neueren Q&As zu Art. 32 Abs. 3 RTS in der Produktentwicklung berücksichtigt werden. Nehmen Sie diesen Punkt in die regelmäßige Dienstleistersteuerung auf.
Dokumentieren Sie die Prüfung. Bei einer Beschwerde eines Drittdienstleisters oder einer Nachfrage einer Aufsicht ist eine nachvollziehbare Vergleichsanalyse das erste, was verlangt wird.
Beobachten Sie weitere Q&As zu Art. 32 Abs. 3 RTS. Die EBA konkretisiert den Hindernisbegriff fortlaufend im Einzelfall; eine konsolidierte Fassung von EBA/OP/2020/10 gibt es nicht.
Quelle / Eckdaten
👉 Link zum Dokument | |
📅 Veröffentlichung | 12. Juni 2026 (Einreichung der Frage: 17. Oktober 2025) |
Art des Dokuments | Single Rulebook Q&A (Final Q&A), Auslegungsantwort |
Herausgeber | European Banking Authority (EBA) |
⚖️ Rechtsgrundlage | Richtlinie (EU) 2015/2366 (PSD2), Art. 98 Abs. 1 lit. d; Delegierte Verordnung (EU) 2018/389 (RTS SCA&CSC), Art. 32 Abs. 3; Q&A-Verfahren nach Art. 16b VO (EU) Nr. 1093/2010 |
Adressaten | Kontoführende Zahlungsdienstleister (ASPSP) mit dedizierter Schnittstelle; mittelbar Kontoinformations- und Zahlungsauslösedienstleister sowie zuständige nationale Behörden |
✅ Status | Final Q&A; rechtlich nicht verbindlich, für die Aufsichtspraxis relevant |
📅 Erstanwendung | Unmittelbar mit Veröffentlichung (12. Juni 2026); die ausgelegte Pflicht nach Art. 32 Abs. 3 RTS gilt seit 14. September 2019 |
