Zahlungsdienste in Schweizer Onlineshops integrieren: Verträge und Abläufe

Zwei Verträge, zwei Gegenparteien: die Grundstruktur der Zahlungsabwicklung

Für Kartenzahlungen im Onlineshop sind in der Regel zwei Verträge nötig: ein Processing-Vertrag mit einem Zahlungsanbieter (Payment Service Provider, PSP) und ein Akzeptanzvertrag (Acquiring-Vertrag) mit einem Acquirer.

Der Processing-Vertrag regelt die technische Abwicklung zwischen Shop, Zahlungsanbieter und Banken. Über den PSP lassen sich Zahlungsarten wie Mastercard, TWINT, PostFinance und Apple Pay anbinden, statt mit jedem Finanzinstitut einzeln zu verhandeln.

Der Akzeptanzvertrag kommt mit dem Acquirer zustande, einem Finanzinstitut, das Kredit- und Debitkartenzahlungen für Händlerinnen und Händler abwickelt. Er regelt die Annahme und Verarbeitung von Kartenzahlungen sowie Gebühren, Sicherheitsvorgaben und Rückbuchungsprozesse.

Übernimmt der PSP selbst die Rolle des Acquirers als Payment Facilitator, entfällt der separate Akzeptanzvertrag.

Wer im Hintergrund mitwirkt: PSP, Acquirer und Payment Facilitator

Der PSP bündelt Zahlungsarten, Integrationssysteme und E-Commerce-Werkzeuge bei einem Anbieter. Der Acquirer wickelt die Kartenzahlungen ab; SIX Payments, Concardis und PostFinance werden als Beispiele für Anbieter genannt, mit denen Händlerinnen und Händler einen Akzeptanzvertrag abschliessen können.

Ein Payment Facilitator, auch Collecting PSP genannt, tritt als Bindeglied zwischen Händler und Acquirer auf. Er kann den Akzeptanzvertrag im Namen des Acquirers unterzeichnen; Händlerinnen und Händler schliessen ihren Vertrag dann direkt mit dem Payment Facilitator.

Datatrans wird als reiner PSP eingeordnet, für den ein zusätzlicher Acquiring-Vertrag nötig ist. Payrexx tritt als Payment Facilitator auf; bei dieser Konstellation braucht es keinen separaten Acquiring-Vertrag.

Ob ein oder zwei Verträge nötig sind, hängt somit von der Rolle des gewählten Anbieters ab. Ist er Payment Facilitator, genügt der Vertrag mit ihm; andernfalls kommt ein Akzeptanzvertrag mit einem Acquirer hinzu.

Wann das eigene Geschäftsmodell unter die Finanzmarktaufsicht fällt

Die FINMA weist darauf hin, dass vor dem Start eines Fintech-Geschäftsmodells zu prüfen ist, ob Geldwäschereivorschriften oder eine Bewilligungspflicht gelten. Das FINIG, das Bundesgesetz vom 15. Juni 2018 über die Finanzinstitute, führt in Art. 53 Bewilligungsvoraussetzungen auf.

Für die Geldwäschereiprävention fragt die FINMA unter anderem, ob Kundengelder über eigene Konten fliessen, Dienstleistungen im Zahlungsverkehr erbracht oder Zahlungsmittel herausgegeben werden. Ebenfalls relevant sind Tätigkeiten in den Bereichen Geldwechsel, Treuhand, Vermögensverwaltung, Kredit und Leasing.

Bei der Bewilligungspflicht nennt die FINMA als Prüffragen, ob für die Entgegennahme von Geld geworben wird, Kundengelder über eigene Konten fliessen und Geld oder kryptobasierte Vermögenswerte von mehr als 20 Personen entgegengenommen werden.

Für digitale Kanäle können Sorgfaltspflichten der Geldwäschereiregulierung über Video- und Online-Identifizierung erfüllt werden. Das entsprechende FINMA-Rundschreiben ist seit dem 18. März 2016 in Kraft und wurde per 6. Mai 2021 aktualisiert.

Sicherheits- und Compliance-Zusagen, die im Vertrag auftauchen

Der Akzeptanzvertrag regelt Sicherheitsvorgaben und Rückbuchungsprozesse. Vor der Unterschrift sollte klar sein, welche Nachweise der Anbieter verlangt und welche Pflichten beim Händler bleiben.

Convera weist für sich PCI-DSS-Konformität und eine ISO-27001-Zertifizierung aus. Entscheidend ist, welche Nachweise der konkrete Vertragspartner vorlegt und was sie abdecken.

Convera nennt für die eigene Zahlungsplattform Multi-Faktor-Authentifizierung, Datenverschlüsselung, Genehmigungsworkflows sowie Betrugserkennung mit Echtzeitüberwachung.

Beim Rückbuchungsverfahren sind Ablauf, Fristen und Kostentragung zu klären: Wer trägt die Rückbuchung, welche Belege verlangt der Anbieter und wie werden Streitfälle eskaliert?

Auslagerung: Die Verantwortung bleibt beim eigenen Unternehmen

Das FINMA-Rundschreiben 2023/1 Operative Risiken und Resilienz definiert Anforderungen für Banken, Effektenhändler und Versicherungen, wenn sie bedeutende Funktionen an einen Dienstleister auslagern. Die aufsichtsrechtliche Verantwortung bleibt bei diesen Unternehmen.

Als Prüfraster dienen eine Due-Diligence-Prüfung des Zahlungsdienstleisters, eine dokumentierte Risikobeurteilung und eine Checkliste zur Dokumentation der Compliance.

Ein Ausfall des Dienstleisters kann den Shop unmittelbar treffen. Zahlungsausfälle und Rückbuchungen sollten deshalb laufend überwacht werden.

Ablauf der Integration: vom Vertragsentscheid bis zum Livegang

Zuerst wird festgelegt, welche Zahlungsarten der Shop anbieten soll und welche davon Kartenzahlungen sind. Der Vergleich der Schweizer Online-Zahlungsanbieter für 2026 nennt Datatrans von Planet, PayPal, Payrexx, PostFinance, Stripe, wallee, Worldline, saldiaPay und zahls.ch: Zum Vergleich.

Danach wird die Rolle des Anbieters geklärt: Übernimmt er als Payment Facilitator auch die Acquiring-Funktion, oder wird zusätzlich ein Akzeptanzvertrag mit einem Acquirer benötigt?

Vor dem Vertragsabschluss werden die Vertragspartner und ihre Nachweise geprüft. Dazu gehören Angaben zu Konformität, Zertifizierungen, Verschlüsselung, Authentifizierung und Betrugserkennung sowie die Gebühren und das Rückbuchungsverfahren.

Nach dem Vertragsabschluss wird der Shop technisch an den Zahlungsanbieter angebunden. Vor dem Livegang werden die vorgesehenen Zahlungsarten in einer Testphase geprüft.

Im laufenden Betrieb werden Rückbuchungen und Zahlungsausfälle überwacht. Auch die Gültigkeit der Nachweise des Anbieters bleibt zu prüfen.