Wiederkehrende Zahlungen im Shop: Mandat und Fehlschläge

Ein Abo bucht monatlich ab, ohne dass der Kunde etwas tut. Wer dabei authentifiziert, wer wiederholen darf und wann ein Mandat endet, regeln die PSD2 mit ihren technischen Regulierungsstandards, das SEPA-Regelwerk des European Payments Council (EPC) und die Regeln der Kartenorganisationen.

Was Sie vorab brauchen

• Abrechnungsrhythmus, Betrag je Periode und Laufzeit, so wie Angebot und AGB sie nennen
• je Abo ein Lastschriftmandat oder gespeicherte Kartendaten mit Datum und Nachweis
• die Rückgabe-, Erstattungs- und Wiederholungsregeln Ihres Zahlungsdienstleisters, schriftlich
• einen Status je Abbuchung: angestoßen, erfolgreich, fehlgeschlagen, endgültig gescheitert
• Textbausteine und einen Versandweg für die Information nach einem Fehlversuch
• eine Auswertung je Grundcode und Stufe des Wiederholungsplans

Schritt 1: Mandat und Kartendaten festhalten

Ein Lastschriftmandat trägt Mandatsreferenz, Name und Anschrift des Zahlers, dessen IBAN, die Gläubiger-Identifikation, die Art (einmalig oder wiederkehrend) sowie Datum und Unterschrift. Bewahren Sie das Original auf; die Schweizer SIX-Vorgaben verlangen, es auf Verlangen der Bank bis 14 Monate nach dem Einzug vorzulegen (Swiss Implementation Guidelines for SEPA Direct Debits, Version 2.7, Abschnitt 2.3.4.1), und das EPC-Regelwerk verlangt eine Aufbewahrung, solange das Mandat besteht (SDD Core Rulebook, Abschnitt 4.1).

Bei Visa-Karten speichern Sie Kartendaten erst nach einer ausdrücklichen, informierten Zustimmung zu einer Vereinbarung, die Betrag oder Berechnungsweise, Zeitpunkt und Häufigkeit der Abbuchungen, Kündigungs- und Erstattungsregeln sowie die Kontaktdaten nennt; in der Europa-Region müssen Sie den Abschluss der Abo-Vereinbarung binnen zwei Geschäftstagen bestätigen. Speichern dürfen Sie erst, wenn die erste Autorisierung oder Kontoverifikation genehmigt wurde (Visa Core Rules and Visa Product and Service Rules, Ausgabe 18. April 2026, Tabellen 5-20 und 5-22; Tabelle 1-4 für die Europa-Region mit Deutschland, Liechtenstein, Österreich und der Schweiz). Für andere Kartenorganisationen gelten deren eigene Regeln; klären Sie sie mit Ihrem Acquirer.

Die Wege selbst richten Sie nach SEPA-Lastschrift im Shop und Kartenzahlung einrichten ein, das Modell dahinter steht in Abo-Modell im Onlineshop.

Schritt 2: Serie anlegen und authentifizieren lassen

Die PSD2 verlangt die starke Kundenauthentifizierung, wenn der Zahler einen elektronischen Zahlungsvorgang auslöst (Art. 97 Abs. 1 Buchstabe b der Richtlinie (EU) 2015/2366); die Maßnahmen gelten seit 14. September 2019 (Art. 115 Abs. 4 der Richtlinie, Art. 38 Abs. 2 der Delegierten Verordnung (EU) 2018/389). Auf nationaler Ebene setzt Deutschland Art. 97 mit § 55 ZAG um, Österreich mit § 87 ZaDiG 2018.

Für Abos greift Art. 14 der Delegierten Verordnung (EU) 2018/389: Die starke Kundenauthentifizierung trifft das Erstellen, das Ändern und das erstmalige Auslösen der Serie; bei den nachfolgenden Vorgängen derselben Serie mit gleichem Betrag und gleichem Zahlungsempfänger darf der Zahlungsdienstleister davon absehen, sofern die allgemeinen Anforderungen an die Authentifizierung erfüllt sind (Art. 14 Abs. 2). Ändert sich der Betrag je Periode, erfüllt die Serie diese Bedingung nicht; klären Sie dann mit Ihrem Zahlungsdienstleister, wie er solche Zahlungen unter Ihrem Mandat behandelt. Die übrigen Ausnahmen stehen in starke Kundenauthentifizierung.

Die Zustimmung zu den Abbuchungen ist davon zu trennen. In Deutschland ist der Einzug nur wirksam, wenn der Zahler ihm zugestimmt hat (§ 675j Abs. 1 BGB); die Zustimmung kann mehrere Vorgänge umfassen, und ein Widerruf führt dazu, dass jeder nachfolgende Vorgang nicht mehr autorisiert ist (§ 675j Abs. 2 BGB). Österreich verlangt die Zustimmung ebenfalls, lässt sie über den Zahlungsempfänger einholen und deckt damit auch eine ganze Serie ab (§ 58 Abs. 1 und 2 ZaDiG 2018); der Widerruf beendet auch dort die späteren Vorgänge (§ 58 Abs. 3 ZaDiG 2018).

Schritt 3: Die Serie kennzeichnen und Fristen einhalten

Jeder Einzug trägt eine Kennung. Sie sagt, ob der Einzug einmalig, wiederkehrend oder der letzte einer Serie ist; für ein Abo brauchen Sie die wiederkehrende Kennung, solange das Mandat gilt.

Kennung	Bedeutung	Was daraus folgt	Belegt durch
OOFF	einmalige Lastschrift	das Mandat ist nach diesem einen Einzug nicht mehr gültig; für ein Abo brauchen Sie ein neues	SIX, Swiss Implementation Guidelines for SEPA Direct Debits, Version 2.7, Abschnitt 2.3.3
FRST	erste Lastschrift einer Serie	freiwillige Kennung; wird wie eine wiederkehrende Lastschrift behandelt	EPC, Abschnitt 4.8.7 (Attribut AT-M006)
RCUR	wiederkehrende Lastschrift	steht für die wiederkehrenden Einzüge einer Serie, nicht für den letzten	EPC, Abschnitte 4.8.7 (Attribut AT-M006) und 4.2
FNAL	letzte Lastschrift einer Serie	die Kündigung des Mandats darf der Zahlungsempfänger mit dieser letzten Lastschrift übermitteln; das EPC-Regelwerk formuliert das als Möglichkeit, nicht als Pflicht. Die Schweizer SIX-Vorgaben verlangen dagegen für die letzte Lastschrift die Kennung FNAL	EPC, Abschnitt 4.5.3 (PT-03.03) und 4.6.4 (PT-04.03); SIX, Swiss Implementation Guidelines for SEPA Direct Debits, Version 2.7, Abschnitt 2.3.3

Die Ankündigung muss der Zahlungsempfänger spätestens 14 Kalendertage vor dem Fälligkeitstag absenden, sofern er mit dem Zahler keine andere Frist vereinbart hat; die Bank des Zahlers kann eine verrechnete Lastschrift bis zu fünf Interbank-Geschäftstage nach der Verrechnung zurückgeben (EPC, Abschnitte 4.3.4 und 4.2). Eine vor der Verrechnung abgelehnte und nach Korrektur erneut vorgelegte Lastschrift behält ihre Art (EPC, Abschnitt 4.6.4). Erstattungen rechnet der Zahler ab der Belastung: acht Wochen ohne Begründung bei autorisierten Einzügen, 13 Monate bei nicht autorisierten (EPC, Abschnitt 4.3.4); für die Schweizer Firmenlastschrift (B2B) nennen die SIX-Vorgaben drei Interbank-Tage, keine Erstattung autorisierter Einzüge und 13 Monate bei nicht autorisierten nur in Ausnahmefällen (SIX, Abschnitt 2.3.2).

Ein Mandat, unter dem 36 Monate lang keine Lastschrift vorgelegt wurde, müssen Sie kündigen und für weitere Einzüge ein neues einholen; prüfen muss das der Zahlungsempfänger (EPC, Abschnitt 4.2).

Der Zahler kann auch begrenzen: Nach Art. 5 Abs. 3 Buchstabe d der Verordnung (EU) Nr. 260/2012 muss der Zahlungsdienstleister des Zahlers diesem ermöglichen, den Betrag, die Periodizität oder beides zu begrenzen und alle Lastschriften oder die eines benannten Empfängers zu blockieren; sind weder Zahler noch Zahlungsempfänger Verbraucher, gilt diese Pflicht nicht. Diese Pflicht trifft den Zahlungsdienstleister, nicht den Shop. Redaktionelle Empfehlung: Weisen Sie im Kundenkonto auf diese Möglichkeiten hin und bieten Sie Sperre und Mandatskündigung an.

Schritt 4: Fehlversuche nach Grund trennen

Das EPC-Regelwerk unterscheidet zwei Formen. Eine Ablehnung (Reject) geschieht vor der Verrechnung, etwa bei falscher Kennung, gesperrtem Konto oder Widerspruch des Zahlers; eine Rückgabe (Return) geschieht nach der Verrechnung, etwa bei unzureichender Deckung. Die Gründe reichen von unzureichender Deckung über „kein Mandat“ und „Widerspruch des Zahlers“ bis „Konto geschlossen“ und „Doppeleinzug“ (EPC, Abschnitt 4.4 und Attribut AT-R004). Unzureichende Deckung ist eine Frage des Zeitpunkts; ein fehlendes Mandat oder ein Widerspruch beendet den Einzugsweg für dieses Abo.

Bei Visa-Karten entscheidet der Code. Nach einem Ablehnungscode der Kategorie 1 — Karte einziehen, ungültige Karte, gestohlene Karte, geschlossenes Konto, Sperre durch den Karteninhaber — dürfen Sie für dieselben Kartendaten weder eine neue Autorisierung noch eine neue Kontoverifikation senden; bei den Kategorien 2 bis 4 sind bis zu 20 Versuche in 30 Tagen erlaubt (Visa, Abschnitt 7.3.6.3 und Tabelle 7-2). Nach einer abgelehnten händlerausgelösten Visa-Zahlung mit gespeicherten Kartendaten müssen Sie den Karteninhaber bei der Ablehnung schriftlich informieren und ihm mindestens sieben Kalendertage für eine andere Zahlungsart lassen (Tabelle 5-22); für händlerausgelöste Zahlungen bleibt eine erteilte Genehmigung fünf Kalendertage gültig (Tabelle 5-12).

Der Wiederholungsplan mit Beispielquoten

Der Plan verbindet die festen Fristen mit einem Ablauf in Stufen. Die Prozentwerte sind erfundene Annahmen einer Beispielrechnung, keine Marktdaten.

Stufe	Zeitpunkt nach Fälligkeit	Maßnahme	Festgelegt durch	Beispielannahme
1	Tag 0	Fehlversuch erfassen, Grundcode auslesen, Status setzen; bei einer abgelehnten Visa-Zahlung mit gespeicherten Kartendaten den Karteninhaber schriftlich informieren	Rückgabe bis fünf Interbank-Geschäftstage nach Verrechnung möglich (EPC, Abschnitt 4.2); Information bei der Ablehnung (Visa, Tabelle 5-22)	—
2	Tag 1 bis 3	Lastschrift: neuen Einzug mit Ankündigung vorbereiten; Visa-Karte: neue Autorisierung senden, außer nach einem Code der Kategorie 1, und dem Karteninhaber mindestens sieben Kalendertage für eine andere Zahlungsart lassen	Ankündigung: Versand spätestens 14 Kalendertage vor Fälligkeit oder vereinbarte Frist (EPC, Abschnitt 4.3.4); bis zu 20 Versuche in 30 Tagen (Visa, Tabelle 7-2); sieben Kalendertage Zahlungsfrist (Visa, Tabelle 5-22)	35 von 100
3	Tag 7 (letzter Tag der Visa-Frist)	Zahlungseingang prüfen und offene Reaktion nachfassen	sieben Kalendertage Zahlungsfrist bei Visa-Karten (Visa, Tabelle 5-22)	20 von 100
4	Tag 14 bis 21	zweiten Wiederholungsversuch senden, Grundcode erneut auswerten	wie Stufe 2	10 von 100
5	Tag 30	Forderung in den Mahnlauf geben, Zahlungsweg und Mandat prüfen	Mahnlauf nach Mahnwesen im Onlineshop	5 von 100
6	danach	offene Forderung abschreiben, Inkasso oder Ratenzahlung prüfen	Zahlungsausfälle	30 von 100 bleiben offen

Aus den Stufen 2 bis 5 kommen 35 + 20 + 10 + 5 = 70 von 100 Fehlversuchen zurück, 30 bleiben offen. Ersetzen Sie die Annahmen durch Ihre Werte und messen Sie je Grundcode: Nenner ist die Zahl der Fehlversuche im Zeitraum, Zähler die Zahl der davon noch bezahlten.

Schritt 5: Mahnlauf, Vertrag und Erstattung trennen

Ein Fehlversuch ist ein Zahlungsstatus, keine Kündigung. Stoppen Sie die Lieferung für die offene Periode und führen Sie die Forderung im Mahnlauf weiter; Vertragsende und Zahlungsausfall bleiben zwei Vorgänge.

In Deutschland kann der Zahler bei SEPA-Basis- und SEPA-Firmenlastschrift binnen acht Wochen ab der Belastung ohne Begründung die Erstattung verlangen; der Zahlungsdienstleister muss binnen zehn Geschäftstagen erstatten oder die Ablehnungsgründe mitteilen (§ 675x Abs. 2, 4 und 5 BGB). Ein fristgerecht nach Absatz 2 geltend gemachtes Verlangen darf er nicht ablehnen (§ 675x Abs. 5 Satz 3 BGB). Nach Ablauf der acht Wochen ist der Anspruch ausgeschlossen (§ 675x Abs. 4 BGB). Der Anspruch besteht nur, wenn er nicht wirksam ausgeschlossen ist: Nach § 675x Abs. 3 BGB kann der Zahler mit seinem Zahlungsdienstleister vereinbaren, dass er keinen Erstattungsanspruch hat, wenn er seine Zustimmung zur Ausführung des Zahlungsvorgangs direkt seinem Zahlungsdienstleister erteilt hat und, sofern vereinbart, mindestens vier Wochen vor dem Fälligkeitstermin über den anstehenden Vorgang unterrichtet wurde; gegenüber einem Kunden, der kein Verbraucher ist, darf nach § 675e Abs. 4 BGB von § 675x BGB abgewichen werden. Einen nicht autorisierten Vorgang muss der Kunde unverzüglich nach der Feststellung anzeigen, spätestens 13 Monate nach der Belastung; die Frist beginnt nur, wenn der Zahlungsdienstleister ihn über die vorgeschriebenen Angaben unterrichtet hat, sonst mit dem Tag dieser Unterrichtung (§ 676b Abs. 1 und 2 BGB). Wird die Autorisierung streitig, muss der Zahlungsdienstleister Authentifizierung, Aufzeichnung und Verbuchung nachweisen; die Aufzeichnung der Instrumentnutzung allein genügt dafür nicht notwendigerweise (§ 675w BGB).

In Österreich stehen der Erstattungsanspruch in § 70 ZaDiG 2018, das Verfahren mit acht Wochen und zehn Geschäftstagen in § 71 und die Frist zur Rüge eines nicht autorisierten oder fehlerhaft ausgeführten Vorgangs in § 65; sie endet spätestens 13 Monate nach dem Tag der Belastung, und zwar erst, wenn der Zahlungsdienstleister die Angaben des 3. Hauptstücks mitgeteilt oder zugänglich gemacht hat (§ 65 Abs. 1 ZaDiG 2018). Bei Lastschriften im Sinne des Art. 1 der Verordnung (EU) Nr. 260/2012 besteht nach § 70 Abs. 1 letzter Satz neben dem Anspruch nach Absatz 1 auch ein Anspruch auf bedingungslose Erstattung innerhalb der Fristen des § 71, sofern er nicht nach § 70 Abs. 3 durch Vereinbarung abbedungen wurde. Gegenüber Kunden, die keine Verbraucher sind, dürfen die Parteien nach § 55 ZaDiG 2018 unter anderem die §§ 66, 68, 70, 71 und 80 abbedingen und andere Fristen vereinbaren.

In der Schweiz gilt die PSD2 nicht: Sie erfasst Zahlungsdienste innerhalb der Union (Art. 2 Abs. 1 der Richtlinie (EU) 2015/2366), und die Verordnung (EU) Nr. 260/2012 regelt Euro-Lastschriften innerhalb der Union (Art. 1 Abs. 1). Maßgeblich sind die SIX-Vorgaben und der Vertrag mit der Bank; für die SEPA-Basislastschrift (Core) nennen die Swiss Implementation Guidelines for SEPA Direct Debits acht Wochen ab der Belastung für autorisierte und 13 Monate für nicht autorisierte Einzüge, für die Firmenlastschrift (B2B) keine Erstattung autorisierter Einzüge und 13 Monate bei nicht autorisierten nur in Ausnahmefällen (Version 2.7, Abschnitt 2.3.2). Die in der Schweiz verwendeten Verfahren LSV+/BDD (Banken) und Debit Direct (PostFinance) unterscheiden eine Kundenlastschrift mit Widerspruchsrecht von einer Firmenlastschrift ohne (SIX, Swiss Implementation Guidelines for Swiss Direct Debits, Version 1.2, Abschnitt 2.3.2).

So prüfen Sie das Ergebnis

• Kann Ihr Zahlungsdienstleister den zweiten Einzug einer Testserie ohne neue starke Kundenauthentifizierung ausführen, und trägt der wiederkehrende Einzug die Kennung RCUR?
• Blockiert Ihr System nach einem Ablehnungscode der Kategorie 1 den neuen Versuch, und greift die Grenze von 20 Versuchen in 30 Tagen (Visa)?
• Geht die schriftliche Information bei der Ablehnung einer Visa-Zahlung mit gespeicherten Kartendaten hinaus, und räumt sie dem Karteninhaber mindestens sieben Kalendertage für eine andere Zahlungsart ein?
• Ist geregelt, wie ein Serienende gekennzeichnet wird, und steht die 36-Monats-Regel für ungenutzte Mandate in Ihrem Prozess?
• Kann Ihre Kundschaft beim Zahlungsdienstleister Betrag und Periodizität begrenzen oder Lastschriften sperren?
• Haben Sie je Grundcode eine Auswertung der Rückgewinnung?

Wenn etwas nicht klappt

Symptom	Ursache	Behebung
Der zweite Einzug kommt als Rückgabe zurück	Kennung oder Mandatsreferenz passen nicht zum Mandat	dieselbe Mandatsreferenz wie im Mandat und für die wiederkehrenden Einzüge die Kennung RCUR senden
Jede Folgeabbuchung verlangt eine neue Bestätigung	Betrag oder Empfänger ändern sich, oder der Dienstleister erkennt die Serie nicht als wiederkehrende Zahlung an	Betrag und Rhythmus prüfen und die Konfiguration für händlerausgelöste Zahlungen mit dem Dienstleister abstimmen
Die Lastschrift kommt nicht durch	Der Zahler hat sein Recht auf Sperre nach Art. 5 Abs. 3 Buchstabe d der Verordnung (EU) Nr. 260/2012 genutzt oder seine Zustimmung widerrufen (§ 675j Abs. 2 BGB, § 58 Abs. 3 ZaDiG 2018)	Sperre und Mandatskündigung im Kundenkonto anbieten und Mandat, Betrag und Rhythmus nachvollziehbar halten
Zahlungsausfälle fehlen in der Statistik	Fehlversuche werden wie Kündigungen gezählt	Zahlungsstatus und Vertragsende getrennt führen

Wann Sie Hilfe holen sollten

Ihren Zahlungsdienstleister brauchen Sie schriftlich, wenn Beträge je Periode schwanken oder ein Abo Betrag, Währung oder Empfänger wechselt: Wie der Vorgang dann authentifiziert wird, entscheidet seine Konfiguration. Rechtliche Beratung ist sinnvoll, wenn eine Forderung strittig wird, wenn ein Mandat bestritten ist oder wenn Erstattungsansprüche im Spiel sind. Kartenorganisationen betrachten Streitfälle nach ihren eigenen Regeln, die neben den gesetzlichen Ansprüchen stehen.