DIGITALISIERUNG
DIGITALISIERUNG dienstleisters nach Art. 6 Abs. 2 EBA-RTS zum Schutz des Wissenselements. Im Hinblick auf die heutige digitale Medienwelt wird kein generelles Speicherungsverbot für den Entsperrcode ausgesprochen, sofern die elektronische Speicherung in einer gesicherten Form und Umgebung erfolgt. Ebenfalls für Shared Device relevant ist die Pflicht des Karteninhabers, ausschließlich die eigenen biometrischen Merkmale für die Autorisierung von Zahlungsaufträgen zu hinterlegen und Merkmale von Dritten zu entfernen. Bei streitiger Autorisierung von mobilen Kartenverfügungen sind im Hinblick auf § 675w S. 4 BGB bei einem smartphonebasierten Authentifizierungsverfahren, das außerhalb der technischen Hoheit des Kartenausgebers liegt, größere Beweisschwierigkeiten zu erwarten, als dies beim Einsatz der physischen Karte mit PIN ohnehin der Fall ist. Auch wenn die vom BGH 35 entwickelten Grundsätze zum Anscheinsbeweis nach vorherrschender Meinung 36 auch nach der Ergänzung des § 675w S. 4 BGB weiterhin gelten, bleibt abzuwarten, wie sich die Rechtsprechung zu Sorgfalts- und Haftungsfragen bei den neuen mobilen Bezahlverfahren positionieren wird. Das gilt auch für die Erfüllung der Anforderungen nach § 675m BGB im Hinblick auf die eingesetzten technischen Verfahren wie NFC, Tokenisierung und CDCVM. Bisher gibt es für streitige Mobile- Payment-Transaktionen am POS noch keine praktischen Beispiele. Nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) 37 ist das kontaktlose Bezahlen per Smartphone sicherer als Bezahlen per NFC basierten Kredit- oder Debitkarten – hier existiert durch die zusätzliche Nutzer-Authentifizierung des Smartphones und/oder der jeweiligen Bezahl-App eine zusätzliche Sicherheitsebene, die den NFC-Kredit-/Debitkarten fehlt”. Aufgrund des hohen Sicherheitsstandards ist in der DK angedacht, kontaktlose Verfügungen und Authentifizierungsverfahren über mobile Endgeräte auch für die Nutzung von Bargeldabhebungen an Geldautomaten in diesem Jahr als Option zu ermöglichen. 38 Im Missbrauchsfall ist die Haftung des Karteninhabers in Nr. 10.1 (a) der Bedingungen nach dem Vorbild des § 675v Abs. 1 BGB verschuldensunabhängig auf 50 Euro beschränkt. Nach einer Entscheidung des EuGH vom 11.11.2020 39 können Karten mit NFC-Funktion als anonyme Zahlungsinstrumente unter die Ausnahmeregelung für Kleinbetragsinstrumente in Art. 63 PSD II (umgesetzt in § 675i BGB) fallen, für die unter den dort genannten Voraussetzungen abweichend von § 675v BGB eine strengere Haftung des Karteninhabers für nicht autorisierte Kartenverfügungen vereinbart werden kann. Diese Option wird bisher nur für Verfügungen im auslaufenden System-Geldkarte 40 genutzt. Für alle andere Verfügungen mit Kredit- oder Debitkarten – unabhängig ob digital oder physisch – wurden in den jeweiligen Kundenbedingungen die Haftungsregeln nach dem gesetzlichen Vorbild in § 675v BGB fast wortgleich übernommen. Lediglich in der Haftungsklausel für Kartentransaktionen ohne Einsatz der SKA, für die Karteninhaber nur bei Vorsatz oder Betrug haften, wurde abweichend von § 675v Abs. 4 S. 1 Nr. 2 BGB nicht auf die Legaldefinition der SKA in § 1 Nr. 24 ZAG, sondern stattdessen auf die gesetzliche Pflicht zum Einsatz der SKA nach § 55 ZAG verwiesen. Denn nach dem Wortlaut des § 675v Abs. 4 S. 1 Nr. 2 BGB würde die Haftungserleichterung für den Karteninhaber zum Nachteil des Kartenausgebers auch dann eingreifen, wenn der Kartenausgeber aufsichtsrechtlich konform auf den Einsatz der SKA verzichtet hat. Diese zivilrechtliche Wertung ist mit der aufsichtsrechtlichen Risikoverteilung nicht vereinbar, die ausdrücklich einen Ausnahmekatalog von der SKA-Pflicht in den Art. 11–18 RTS- SKA vorsieht. Durch den Bezug auf § 55 ZAG in der vertraglichen Haftungsklausel wird dieser Wertungswiderspruch 41 aufgelöst und die gebotene enge Auslegung des § 675v Abs. 4 S. 1 Nr. 2 BGB vertraglich umgesetzt. Die zivilrechtliche Sanktion greift nur ein, wenn der Kartenausgeber entgegen der aufsichtsrechtlichen Pflicht auf die SKA verzichtet hat. c) Anbieterneutralität Die Zusatzbedingungen sind anbieterneutral und möglichst offen für technische Innovationen ausgestaltet. Daher sind sie sowohl für eigene mobile Bezahllösungen der Zahlungsdienstleiter als auch für alle gängigen kartenbasierten mobilen Zahlverfahren unabhängig von der jeweiligen Technik der Systembetreiber (Android oder iOS) einsetzbar. 42 Neben den eigenen Mobile-Payment-Angeboten setzen viele Zahlungsdienstleister verstärkt auch auf Kooperationen mit den marktführenden Anbietern von Wallets wie Apple Pay und Google Pay, um ihren Kunden auch diese Bezahloptionen zu eröffnen. 43 In den Wallets der Drittanbieter waren anfangs vornehmlich nur digitale Kartenprodukte der internationalen Kartenorganisationen zum Bezahlen einsetzbar. Die Einbindung der digitalen girocard mit CDCVM ist seit 2019 44 für androidbasierte Smartphones möglich und seit einer Kooperation im Sommer 2020 kann die girocard der Sparkassen auch bei iOS für Apple Pay hinterlegt werden. 2. Vertragsverhältnis Zahlungsdienstleister und Walletanbieter Grundlage für den Zugang des Zahlungsdienstleisters mit seinen Karten zur Plattform des Bezahldienstes ist ein Kooperationsvertrag zwischen Kartenausgeber und Walletanbieter. Unabhängig von einem etwaigen Zugangsrecht des Zahlungsdienstleisters aus dem neuen § 58a ZAG 45 ist eine Speicherung und Nutzung der digitalen Karte auf mobilen Endgeräten 52 03 | 2022
DIGITALISIERUNG nur möglich im Zusammenspiel von Walletanbieter und Kartenausgeber, deren Dienstleistern (Betreiber digitaler Karten, Token Service Provider) und den Kartenschemes. 46 Die dafür erforderlichen Prozess-Schritte wie Grundlagen für die IT-Umsetzung, Funktion/ Betrieb der technischen Plattform sowie entsprechende Zugangsrechte werden in einem Kooperationsvertrag zwischen Kartenausgeber und Anbieter der Wallet vereinbart. Neben überwiegend technischen Aspekten können auch rechtliche Sachverhalte im Zusammenhang mit der Freigabe der konkreten Karten aus dem Portfolio des Kartenausgebers für die Teilnahme am Bezahldienst, wie Einräumung von Lizenzrechten (z. B. gegenseitige/ einseitige Nutzung der Marken zu Marketingzwecken) bis hin zu Aufsichtsrechts- und Datenschutzfragen relevant werden. Je nach den prägenden Regelungsinhalten handelt es sich um einen Dienstleistungsvertrag i. S. d. § 611 BGB (im Falle der Entgeltlichkeit der Leistungen) mit lizenzvertraglichen Bezügen. In der Praxis unterliegen die Kooperationsverträge üblicherweise strengen Verschwiegenheitspflichten. Zu den kommerziellen Aspekten sind verschiedene Gestaltungsmöglichkeiten entsprechend den Vorstellungen der Parteien möglich. Wenn – abhängig auch vom jeweiligen Geschäftsmodell des Walletanbieters – eine Kommerzialisierung vertraglich vorgesehen werden soll, ist dies z. B. in Form von transaktionsbezogenen oder pauschalen Fees oder auch durch Transaktionsdaten der Nutzer für Werbezwecke denkbar. Auch § 58a Abs.1 ZAG sieht den Zugang zu technischen Infrastrukturleistungen bei der Erbringung von Zahlungsdiensten gegen ein “angemessenes Entgelt” vor. Im besten Fall liegt eine Kooperation im gegenseitigen Interesse: Kartenausgeber können von dem agilen Innovationstempo der Walletanbieter profitieren und das Smartphone mit großer Nutzerbasis als “digitales Frontend” schnell und ohne Akzeptanzrisiko in das eigene Produktportfolio einfügen. Auf der anderen Seite können Walletanbieter die mobile Bezahlfunktion als weiteren Baustein ohne Markteinführungsphase unmittelbar in ihr geschlossenes Ökosystem integrieren und alle Dienste aus einer Hand anbieten. Für die Transaktionsabwicklung können sie ohne aufwendige eigene Investitionen auf die weltweiten Akzeptanz- und Zahlungsverkehrsinfrastrukturen der Kartenschemes zurückgreifen, ohne dabei selbst der enormen und kostenintensiven Regulierungsdichte im Finanzwesen zu unterliegen. Bei eigenen Payment-Angeboten – wie Ausgabe eigener Kreditkarten – könnten sie Gefahr laufen, dass die dann für sie als regulierte Dienstleister geltenden Compliance- und Überwachungsauflagen auch auf ihre sonstigen unregulierten Geschäftsfelder ausstrahlen könnten. Auch im Verhältnis zum Kunden unterliegen sie nicht den umfassenden zahlungsdiensterechtlichen Pflichten und Haftungsrisiken für nicht autorisierte Verfügungen infolge von Missbrauch oder Betrug. Nach bisheriger Aufsichtspraxis der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) handelt es sich bei Apple und Google mit ihren Bezahlplattformen nicht um Zahlungsdienstleister i. S. d. ZAG, da sich bei ihrem derzeitigen Geschäftsmodell keine Anhaltspunkte für eine Erlaubnis- oder Registrierungspflicht ergeben. 47 Die Walletanbieter können daher ohne geschäftsspezifische Pflichten und Risiken als Teil der Wertschöpfungskette im Mobile Payment agieren. Dagegen sind die kartenausgebenden Zahlungsdienstleister aufsichtsrechtlich z. B. dafür verantwortlich, dass bei Nutzung 03 | 2022 53
