Third-Party Provider (TPP)

Definition des Begriffs

TPP steht für Third Party Provider, auf Deutsch Drittdienstleister. Der Begriff bezeichnet im europäischen Zahlungsverkehr einen regulierten Anbieter, der über standardisierte Schnittstellen auf Zahlungskonten zugreift, wenn der Kontoinhaber dem Zugriff zustimmt. TPPs sind keine Banken im klassischen Einlagengeschäft, können aber Zahlungsdienste erbringen oder Kontoinformationen aggregieren. Die rechtliche Verankerung ergibt sich vor allem aus der zweiten Zahlungsdiensterichtlinie PSD2 und den ergänzenden technischen Regulierungsstandards zur starken Kundenauthentifizierung und sicheren Kommunikation.

Vorkommen und Verwendung

TPPs treten im Open Banking auf. Sie nutzen Programmierschnittstellen von kontoführenden Zahlungsdienstleistern, häufig Banken oder Sparkassen. Der Zugriff erfolgt zweckgebunden, zeitlich begrenzt und auf Basis einer ausdrücklichen Zustimmung.

Zentrale Ausprägungen sind:

1. Kontoinformationsdienstleister, die Kontodaten verschiedener Institute zusammenführen und auswerten.
2. Zahlungsauslösedienstleister, die im Auftrag des Kunden eine Überweisung auslösen.
3. Kartenbasierte Zahlungsinstrumente, bei denen die Verfügbarkeit eines Betrags beim kontoführenden Institut abgefragt wird.

Relevanz

TPPs erweitern den Wettbewerb im Zahlungsverkehr und fördern digitale Finanzdienste. Für Banken entstehen Pflichten zur Bereitstellung sicherer Schnittstellen, zur diskriminierungsfreien Behandlung berechtigter Drittanbieter und zur Überwachung von Zugriffsprozessen. Für TPPs ergeben sich Anforderungen an Zulassung, Registrierung, IT-Sicherheit, Datenschutz und Haftung. Praktisch relevant sind insbesondere:

• eindeutige Identifizierung des Drittanbieters,
• starke Kundenauthentifizierung,
• Protokollierung von Zugriffen,
• Klare Rollenverteilung bei nicht autorisierten Zahlungsvorgängen.

TPPs sind eng mit API-Management, Consent-Management und operationeller Resilienz verbunden. Fehlerhafte Schnittstellen, unklare Einwilligungen oder unzureichende Authentifizierung können aufsichtsrechtliche und zivilrechtliche Folgen haben.

Beispiel/Synonyme oder verwandte Begriffe

• Drittdienstleister: deutsche Bezeichnung für TPP.
• Account Information Service Provider: Anbieter von Kontoinformationsdiensten.
• Payment Initiation Service Provider: Anbieter von Zahlungsauslösediensten.
• Open Banking: Rahmen für den kontrollierten Zugriff auf Bankdaten.
• Strong Customer Authentication: starke Kundenauthentifizierung mit mindestens zwei unabhängigen Faktoren.

Weitere Informationen

Wichtige Grundlagen sind die PSD2, nationale Zahlungsdiensteaufsichtsgesetze, technische Standards zur Authentifizierung und Vorgaben zum Datenschutz. Zuständig sind je nach Staat nationale Aufsichtsbehörden. In Deutschland betrifft dies insbesondere erlaubnispflichtige oder registrierungspflichtige Zahlungsdienste. Die aufsichtsrechtliche Bewertung hängt davon ab, ob der Anbieter Kontoinformationsdienste, Zahlungsauslösedienste oder weitere Zahlungsdienste mit Erlaubnispflicht erbringt. Grenzüberschreitende Geschäftsmodelle erfordern außerdem eine klare Zuordnung von Aufsichtsrechten, Passverfahren und Verantwortlichkeiten zwischen Herkunftsmitgliedstaat und Aufnahmemarkt. Ergänzend wirken Vorgaben zu IT-Risiken, Auslagerungen und digitaler operationeller Widerstandsfähigkeit, sofern TPPs kritische Prozesse oder externe Dienstleister einsetzen.

Weiterführende Details, regulatorische Vorgaben und Methodikbeschreibungen finden Sie auf Regupedia: www.regupedia.de