Checkout einbauen ohne ZAG-Erlaubnis: Wann eine Agentur selbst zum Zahlungsdienstleister wird
Kurz gesagt
Wer einen bereits lizenzierten Zahlungsdienstleister wie Stripe oder PayPal technisch in einen Shop einbindet, braucht dafür regelmäßig keine eigene Erlaubnis nach dem Zahlungsdiensteaufsichtsgesetz — solange weder Kundengelder noch Zahlungsvorgänge rechtlich oder tatsächlich selbst abgewickelt werden. Erlaubnispflichtig wird es erst, wenn die Agentur Gelder entgegennimmt, eigene Zahlungskonten führt oder als Zahlungsauslösedienst auftritt.
Was regelmäßig keine eigene Erlaubnis auslöst
Unter die technische Dienstleister-Ausnahme des § 2 Abs. 1 Nr. 9 ZAG fällt typischerweise:
- die Einbindung von Stripe, PayPal oder einem anderen lizenzierten Payment-Service-Provider (PSP) über dessen API, Hosted Checkout, iFrame oder Plugin,
- Entwicklung und Wartung von Shop-, Checkout- und Backend-Software,
- die technische Übermittlung von Zahlungsdaten an den PSP, ohne dass die Agentur einen eigenen Zahlungsdienst anbietet,
- Hosting, Datenverarbeitung, Logging, Verschlüsselung, Authentifizierung und technische Fehlerbehebung.
Voraussetzung ist in jedem Fall: keine Verfügungsmacht über Kundengelder, insbesondere keine Annahme auf eigenem Konto und keine Auszahlung oder Weiterleitung im eigenen Namen. Der PSP schließt die Zahlungsdiensteverträge mit Zahlern und Zahlungsempfängern und bleibt für Autorisierung, Abwicklung und Settlement verantwortlich.
Wann es erlaubnispflichtig wird
Eine eigene Erlaubnis oder Registrierung kann erforderlich werden, wenn die Agentur selbst einen Zahlungsdienst nach § 1 Abs. 1 ZAG erbringt — etwa indem sie:
- Gelder von Kunden annimmt, hält, sammelt, verrechnet oder weiterleitet,
- Zahlungen auf eigenen Konten oder im eigenen Namen abwickelt,
- selbst Zahlungskonten, Wallets oder Guthaben führt,
- Zahlungsinstrumente oder -vorgänge eigenständig anbietet oder kontrolliert,
- als Agent eines Zahlungsinstituts im Namen und für dessen Rechnung Zahlungsdienste erbringt.
Besondere Vorsicht gilt bei zwei Sonderfällen, die nicht unter die technische Ausnahme fallen: Zahlungsauslösedienste (grundsätzlich erlaubnispflichtig) und Kontoinformationsdienste (grundsätzlich registrierungspflichtig). Wer für einen Kunden Zahlungen aus dessen Bankkonto aktiv auslöst, statt nur einen fremden PSP technisch einzubinden, bewegt sich in diesem regulierten Bereich.
Die Praxisformel
Nur Software, Schnittstelle und technische Datenverarbeitung — das ist regelmäßig durch § 2 Abs. 1 Nr. 9 ZAG gedeckt. Geldfluss, rechtliche Zahlungsabwicklung oder eigenständiges Auftreten als Zahlungsanbieter oder Agent — das kann eine eigene ZAG-Erlaubnis- oder Registrierungspflicht auslösen. Maßgeblich sind stets die konkrete Vertrags- und Zahlungsflussgestaltung; die bloße Selbstbezeichnung als „technischer Dienstleister" genügt nicht, wenn die tatsächliche Rolle darüber hinausgeht.
Was bei der Vertragsgestaltung zu beachten ist
- Im Vertrag mit dem Kunden klar dokumentieren, dass die Agentur ausschließlich die technische Integration eines lizenzierten PSP übernimmt.
- Sicherstellen, dass zu keinem Zeitpunkt Kundengelder über ein eigenes Konto der Agentur fließen.
- Bei Sonderwünschen wie eigenen Wallet-Lösungen, Ratenzahlungsmodellen oder Multi-PSP-Routing frühzeitig prüfen, ob dadurch eine erlaubnispflichtige Rolle entsteht.
- Auftragsverarbeitungsvereinbarungen mit dem PSP sauber von der eigenen Rolle als technischer Dienstleister abgrenzen.