Payment-Gateway

Payment-Gateway

Rechtsstand: 15.10.2026 · Aktualisiert: 15.10.2026

Kurz gesagt

Ein Payment-Gateway ist die technische Schnittstelle, über die Zahlungsdaten zwischen Onlineshop und Zahlungsdienstleister laufen; es führt den Zahlungsvorgang nicht aus und gelangt zu keiner Zeit in den Besitz der Gelder. In Deutschland (§ 2 Abs. 1 Nr. 9 ZAG) und Österreich (§ 3 Abs. 3 Z 10 ZaDiG 2018) ist ein solcher technischer Dienstleister ohne Geldbesitz von der Erlaubnis- und Konzessionspflicht ausgenommen; die Ausnahme gilt nicht für Zahlungsauslöse- und Kontoinformationsdienste. Die Pflicht trifft Zahlungsinstitute, nicht Kreditinstitute, E-Geld-Institute und Zentralbanken (§ 1 Abs. 1 Satz 1 Nr. 2 bis 5 ZAG, § 3 Abs. 2 ZaDiG 2018).

Das Wichtigste

Aufgabe: Zahlungsdaten und Meldungen übertragen; den Zahlungsvorgang führt der Zahlungsdienstleister aus.
Deutschland: § 2 Abs. 1 Nr. 9 ZAG nimmt technische Dienstleister ohne Besitz der Gelder von der Erlaubnispflicht des § 10 ZAG aus; das BaFin-Merkblatt zum ZAG zählt als dritte Voraussetzung, dass kein Zahlungsauslöse- oder Kontoinformationsdienst vorliegt.
Österreich: § 3 Abs. 3 Z 10 ZaDiG 2018 nimmt solche Dienstleister von der Konzessionspflicht des § 7 Abs. 1 ZaDiG 2018 aus.
Zahlungsauslöse- und Kontoinformationsdienste fallen nicht unter die Ausnahme; sie sind Zahlungsdienste (§ 1 Abs. 1 Satz 2 Nr. 7 und 8 ZAG, § 1 Abs. 2 Z 7 und 8 ZaDiG 2018).
Die Erlaubnis- oder Konzessionspflicht trifft Zahlungsinstitute; Kreditinstitute, E-Geld-Institute, Zentralbanken und Bund, Länder und Gemeinden sind nach § 1 Abs. 1 Satz 1 Nr. 2 bis 5 ZAG und § 3 Abs. 2 ZaDiG 2018 davon ausgenommen.
PCI DSS des PCI Security Standards Council, Fassung v4.0.1, ist keine staatliche Vorschrift; ob ein Händler die Einhaltung nachweisen muss und mit welchem Selbstauskunftsbogen, entscheidet die Stelle, bei der er ihn einreicht.

Definition

Ein Payment-Gateway ist die technische Stelle im Zahlungsablauf eines Onlineshops, über die Zahlungsdaten an den Zahlungsdienstleister und dessen Antwort zurück an den Shop gehen. Es überträgt Daten, nicht Geld. Der Begriff stammt aus dem Markt; die Richtlinie (EU) 2015/2366 beschreibt die dahinter stehende Rolle als technischen Dienstleister, der zur Erbringung der Zahlungsdienste beiträgt.

Was übertragen wird

Nach dem Merkblatt der BaFin zum Zahlungsdiensteaufsichtsgesetz übermitteln solche Dienstleister lediglich eine Autorisierungsanfrage sowie den Datensatz zur Abrechnung der Zahlung und haben zu keiner Zeit Zugriff auf das Zahlungskonto. Den Zahlungsvorgang führt der Zahlungsdienstleister aus.

Beispiel

Beispielrechnung: Ein Kunde zahlt 89 Euro mit Karte. Das Gateway leitet die Autorisierungsanfrage an den Zahlungsdienstleister weiter und gibt dessen Meldung an den Shop zurück. Abgerechnet wird der Betrag über den Zahlungsdienstleister.

Rechtliche Einordnung

Im Europäischen Wirtschaftsraum gilt die Richtlinie (EU) 2015/2366 nicht für technische Dienstleister, die zur Erbringung der Zahlungsdienste beitragen, aber zu keiner Zeit in den Besitz der zu transferierenden Geldbeträge gelangen (Art. 3 Buchst. j). Deutschland: § 2 Abs. 1 Nr. 9 ZAG nimmt sie von der Erlaubnispflicht des § 10 ZAG aus; Österreich: § 3 Abs. 3 Z 10 ZaDiG 2018 von der Konzessionspflicht des § 7 Abs. 1 ZaDiG 2018. Die Ausnahme gilt nicht für Zahlungsauslöse- und Kontoinformationsdienste; sie sind Zahlungsdienste. Nach dem BaFin-Merkblatt kann sie entfallen, wenn der Dienstleister zugleich Abwicklung und Abrechnung übernimmt oder in den Besitz der Gelder oder in die Verfügungsbefugnis über sie gelangt. Die Erlaubnis- oder Konzessionspflicht trifft Zahlungsinstitute, nicht Kreditinstitute, E-Geld-Institute, Zentralbanken und Bund, Länder und Gemeinden (§ 1 Abs. 1 Satz 1 Nr. 2 bis 5 ZAG, § 3 Abs. 2 ZaDiG 2018).

“Payment-Gateway” ist ein Marktbegriff. Wer Zahlungen über die eigene Shopseite annimmt – durch Weiterleitung zur Zahlungsseite des Dienstleisters oder über eine eingebettete Zahlungsseite –, muss mit der Stelle, bei der er PCI DSS nachweist, klären, ob und mit welchem Selbstauskunftsbogen (SAQ) er das tut; PCI DSS ist der Standard des PCI Security Standards Council in der Fassung v4.0.1.

Der Unterschied zum Zahlungsdienstleister (PSP)

Frage	Payment-Gateway	Zahlungsdienstleister im Akquisitionsgeschäft
Aufgabe	überträgt Zahlungsdaten, Autorisierungsanfrage und Meldungen	führt den Zahlungsvorgang aus und rechnet ihn ab (§ 1 Abs. 1 Satz 2 Nr. 5 ZAG; Österreich: § 1 Abs. 2 Z 5 ZaDiG 2018)
Geldfluss	gelangt zu keiner Zeit in den Besitz der zu übertragenden Gelder (Art. 3 Buchst. j der Richtlinie (EU) 2015/2366; Deutschland: § 2 Abs. 1 Nr. 9 ZAG, Österreich: § 3 Abs. 3 Z 10 ZaDiG 2018)	bewirkt die Übertragung der Geldbeträge zum Zahlungsempfänger (§ 1 Abs. 35 ZAG; Österreich: § 4 Z 41 ZaDiG 2018); ob er die Gelder selbst entgegennimmt und gutschreibt, hängt vom Abwicklungsmodell ab
Erlaubnis	keine, solange die Ausnahme greift: § 2 Abs. 1 Nr. 9 ZAG (Deutschland), § 3 Abs. 3 Z 10 ZaDiG 2018 (Österreich)	Erlaubnis der BaFin nach § 10 Abs. 1 ZAG, in Österreich Konzession der FMA nach § 7 Abs. 1 ZaDiG 2018; ein Zahlungsinstitut fällt nicht unter die Ausnahmen des § 1 Abs. 1 Satz 1 Nr. 2 bis 5 ZAG bzw. des § 3 Abs. 2 ZaDiG 2018
Verträge	technischer Dienstleister des Händlers	Vertragspartner des Händlers für Annahme und Abrechnung

Der Besitz der Gelder gehört nicht zum Akquisitionsgeschäft: Nach Erwägungsgrund 10 der Richtlinie (EU) 2015/2366 sehen manche Modelle der Annahme und Abrechnung keinen tatsächlichen Geldtransfer vom Acquirer an den Zahlungsempfänger vor, weil die Parteien andere Verrechnungsarten vereinbart haben. Ob ein Zahlungsdienstleister die Gelder selbst entgegennimmt und dem Händler gutschreibt, ist deshalb ein Merkmal des konkreten Abwicklungsmodells und keine Voraussetzung der Rolle.

Ein Zahlungsauslösedienst, der ausschließlich Zahlungsauslösedienste erbringt, ist nach Erwägungsgrund 31 der Richtlinie (EU) 2015/2366 dagegen zu keinem Zeitpunkt der Zahlungskette im Besitz der Gelder des Nutzers; Erwägungsgrund 35 sagt dasselbe für Zahlungsauslöse- und Kontoinformationsdienste, die ausschließlich diese Dienste bereitstellen. Eine dritte Rolle beschreibt der Merchant of Record: Er tritt dem Kunden als Verkäufer gegenüber. Die Rollen im Ablauf einer Kartenzahlung zeigt PSP, Gateway und Acquirer.

Häufige Fragen

Muss mein Shop PCI DSS nachweisen, wenn er nur auf die Bezahlseite des Dienstleisters weiterleitet?

Das entscheidet die Compliance-Stelle, nicht die Weiterleitung allein. Ob ein Händler einen Selbstauskunftsbogen (SAQ) einreichen muss und welchen, klärt er nach FAQ 1588 (Februar 2025) des PCI Security Standards Council mit der Stelle, bei der er den Bogen einreicht, typischerweise mit dem Acquirer (der Händlerbank) oder der Kartenorganisation. Füllt er SAQ A aus, verlangt dieser Bogen für die E-Commerce-Seite des Händlers externe Schwachstellenscans durch einen beim Rat zugelassenen Dienstleister (Anforderungen 11.3.2 und 11.3.2.1) – auch bei einer Weiterleitung zur Zahlungsseite des Dienstleisters und auch dann, wenn die Zahlungsabwicklung vollständig ausgelagert ist (FAQ 1604 vom Juni 2026). Der Script-Schutz als Eignungskriterium von SAQ A gilt dagegen nur bei eingebetteter Zahlungsseite oder eingebettetem Formular, nicht bei reiner Weiterleitung (FAQ 1588 vom Februar 2025).

Wer entscheidet, ob ein Händler die Einhaltung von PCI DSS nachweisen muss?

Nicht der Staat, sondern die Stelle, bei der der Nachweis eingereicht wird: nach FAQ 1588 (Februar 2025) des PCI Security Standards Council typischerweise der Acquirer oder die Kartenorganisationen mit ihrem Compliance-Programm. PCI DSS ist ein Standard des PCI Security Standards Council und keine staatliche Vorschrift; geltende Fassung ist v4.0.1 (veröffentlicht am 11. Juni 2024), die neuen Anforderungen gelten seit 31. März 2025, und v4.0 ist seit 31. Dezember 2024 zurückgezogen.

Darf ein Gateway auch Zahlungen auslösen?

Dann braucht der Anbieter eine Erlaubnis oder Konzession als Zahlungsinstitut, sofern er nicht selbst schon zu den anderen Zahlungsdienstleistern gehört (Deutschland: § 1 Abs. 1 Satz 1 Nr. 2 bis 5 ZAG; Österreich: § 3 Abs. 2 ZaDiG 2018). Löst der Dienst auf Veranlassung des Zahlungsdienstnutzers einen Zahlungsauftrag in Bezug auf ein bei einem anderen Zahlungsdienstleister geführtes Zahlungskonto aus, ist er ein Zahlungsauslösedienst (§ 1 Abs. 33 ZAG, § 1 Abs. 2 Z 7 ZaDiG 2018) und damit ein Zahlungsdienst (§ 1 Abs. 1 Satz 2 Nr. 7 ZAG, § 1 Abs. 2 Z 7 ZaDiG 2018). In Deutschland verlangt § 10 Abs. 1 ZAG die Erlaubnis der BaFin von Anbietern, die nicht Zahlungsdienstleister nach § 1 Abs. 1 Satz 1 Nr. 2 bis 5 ZAG sind, also von Zahlungsinstituten; in Österreich bedarf die gewerbliche Erbringung eines Zahlungsdienstes nach § 1 Abs. 2 Z 1 bis 7 ZaDiG 2018 der Konzession als Zahlungsinstitut durch die FMA nach § 7 Abs. 1 ZaDiG 2018, während § 3 Abs. 2 ZaDiG 2018 Kreditinstitute, E-Geld-Institute, die Post hinsichtlich ihres Geldverkehrs, Zentralbanken sowie Bund, Länder und Gemeinden vom 2. Hauptstück ausnimmt. Die Ausnahme für technische Dienstleister gilt für ihn nicht: Art. 3 Buchst. j der Richtlinie (EU) 2015/2366, § 2 Abs. 1 Nr. 9 ZAG und § 3 Abs. 3 Z 10 ZaDiG 2018 nehmen Zahlungsauslösedienste ausdrücklich aus.