PSD2 für Hotels bedeutet, Zahlungsabläufe so einzurichten, dass eine starke Kundenauthentifizierung möglich ist, wenn sie vorgeschrieben ist. Bei Online-Kartenzahlungen wird dafür meist 3D Secure eingesetzt. Für spätere Abbuchungen, etwa bei Anzahlungen oder No-Shows, reicht eine gespeicherte Kartennummer allein nicht aus: Entscheidend sind die Zustimmung des Gastes, die erforderliche Authentifizierung und die korrekte Verarbeitung durch Ihren Zahlungsanbieter.
Ein Gast bucht auf Ihrer Website, ein anderer erhält vor der Anreise einen Zahlungslink, ein dritter bezahlt beim Check-out. Hinter diesen Situationen stehen unterschiedliche Zahlungsabläufe. Wenn Ihr Team weiß, wann eine Bestätigung durch den Gast erforderlich ist und wie es mit Ablehnungen umgeht, lassen sich unnötige Rückfragen und offene Zahlungen besser vermeiden.
Was bedeutet PSD2 für Hotels in Deutschland?
PSD2 steht für Payment Services Directive 2, die zweite europäische Zahlungsdiensterichtlinie. Sie regelt Zahlungsdienste und soll unter anderem die Sicherheit elektronischer Zahlungen und den Verbraucherschutz verbessern. Die Pflicht zur starken Kundenauthentifizierung richtet sich an Zahlungsdienstleister. Hotels müssen ihre Buchungs- und Zahlungsprozesse so gestalten, dass diese Authentifizierung durchgeführt werden kann.
Für Online-Kartenzahlungen ist insbesondere relevant, ob sich die kartenausgebende Bank und der Zahlungsdienstleister auf Händlerseite im Europäischen Wirtschaftsraum befinden. Der EWR umfasst die EU sowie Island, Liechtenstein und Norwegen. Die Staatsangehörigkeit des Gastes entscheidet nicht darüber, ob SCA erforderlich ist.
Dieser Leitfaden konzentriert sich auf die Authentifizierung von Hotelzahlungen. Einen breiteren Überblick zu Zahlungseinzug, Abstimmung und Organisation finden Sie in unserem Leitfaden zur Zahlungsabwicklung im Hotel.
Wie funktionieren SCA und 3D Secure?
Starke Kundenauthentifizierung, auf Englisch Strong Customer Authentication oder SCA, prüft die Identität des Zahlenden mit mindestens zwei unabhängigen Faktoren aus unterschiedlichen Kategorien:
- Wissen: beispielsweise eine PIN oder ein Passwort.
- Besitz: beispielsweise ein registriertes Smartphone oder ein Sicherheitstoken.
- Inhärenz: ein persönliches körperliches Merkmal, etwa Fingerabdruck oder Gesichtserkennung.
Eine Kartennummer zusammen mit dem aufgedruckten Sicherheitscode erfüllt diese Anforderung nicht. Ein Beispiel für eine geeignete Kombination ist ein registriertes Smartphone, auf dem der Gast die Zahlung in der Banking-App mit seinem Fingerabdruck bestätigt.
3D Secure ist das Verfahren, SCA die Anforderung
3D Secure 2, auch EMV 3DS genannt, unterstützt die Authentifizierung bei Online-Kartenzahlungen. Je nach Prüfung durch die Bank erfolgt eine zusätzliche Bestätigung durch den Gast. Nicht jede Zahlung führt deshalb zu einer sichtbaren Abfrage: Unter bestimmten Voraussetzungen können Ausnahmen greifen.
Für Direktbuchungen über Ihre Hotelwebsite sollte der gesamte Ablauf funktionieren: vom Zahlungsstart über eine mögliche Banking-App-Bestätigung bis zur Rückkehr in die Buchungsstrecke. Eine erfolgreiche Identitätsprüfung bedeutet dabei noch nicht, dass der Betrag tatsächlich eingezogen wurde.
Welche Hotelzahlungen benötigen eine starke Kundenauthentifizierung?
Entscheidend ist, wie die Zahlung ausgelöst und verarbeitet wird. Eine Online-Buchung, eine spätere Hotelabbuchung und eine Zahlung am Terminal sind deshalb getrennt zu betrachten.
| Situation | Einordnung | Darauf sollten Sie achten |
|---|---|---|
| Gast bezahlt bei der Online-Buchung | Grundsätzlich SCA-pflichtig, sofern die Zahlung in den Anwendungsbereich fällt und keine Ausnahme greift. | Die Buchungsstrecke muss die erforderliche Authentifizierung unterstützen. |
| Gast bezahlt über einen Zahlungslink | Der Gast löst eine Online-Zahlung aus. Ein per E-Mail versendeter Link befreit diese nicht von SCA. | Verwenden Sie eine Zahlungsseite mit passendem Authentifizierungsverfahren. |
| Hotel belastet später eine hinterlegte Karte | Kann bei erfüllten Voraussetzungen eine händlerinitiierte Zahlung, kurz MIT, sein. | Mandat, erforderliche anfängliche SCA und technische Kennzeichnung müssen zusammenpassen. |
| Telefonische Bestellung mit telefonischer Zahlungsanweisung | Eine echte MOTO-Zahlung kann außerhalb der SCA-Pflicht liegen. | Die Einstufung mit dem Zahlungsanbieter klären. Online-Zahlungen nicht als MOTO umdeklarieren. |
| Gast bezahlt an der Rezeption | Vor-Ort-Zahlungen sind nicht pauschal ausgenommen. Karte und PIN können SCA erfüllen. | Kontaktlose Zahlungen können unter Bedingungen ohne PIN möglich sein. |
| Hotel belastet eine virtuelle OTA-Kreditkarte | Die Verarbeitung hängt vom Karten- und Zahlungsmodell des Buchungsportals ab. | Aktivierungsdatum, erlaubten Betrag und Vorgaben von OTA und Zahlungsanbieter prüfen. |
Auf kleinen Bildschirmen können Sie die Tabelle horizontal verschieben.
Ausnahmen sind keine allgemeine Freigabe
Die technischen Regeln sehen unter anderem Ausnahmen für bestimmte Kleinbetragszahlungen, risikoarme Transaktionen und wiederkehrende Zahlungen vor. Jede Ausnahme hat eigene Voraussetzungen. Die Ausnahme für wiederkehrende Zahlungen betrifft beispielsweise eine Serie mit gleichem Betrag und gleichem Empfänger; ihre Einrichtung oder Änderung erfordert SCA.
Auch eine Firmenkarte ist nicht automatisch ausgenommen. Die Sonderregel für sichere Unternehmenszahlungen gilt nur für bestimmte Zahlungsprozesse und Protokolle. Die Voraussetzungen stehen in den technischen Regulierungsstandards zur starken Kundenauthentifizierung. Die Anwendung sollte Ihr Zahlungsanbieter übernehmen; Ihr Team muss bei Bedarf eine erneute Authentifizierung ermöglichen können.
Wie funktionieren Anzahlungen, Stornogebühren und No-Shows?
Eine hinterlegte Karte ist keine uneingeschränkte Erlaubnis für spätere Abbuchungen. Für eine händlerinitiierte Zahlung, eine Merchant Initiated Transaction oder MIT, benötigt das Hotel ein entsprechendes Mandat des Gastes. Wird dieses Mandat über einen Fernkanal eingerichtet, etwa bei einer Online-Buchung, ist dafür SCA erforderlich.
Die EBA erläutert diese Voraussetzungen ausdrücklich für Hotelreservierungen. Spätere Zahlungen auf Grundlage eines gültigen Mandats können ohne erneute aktive Mitwirkung des Gastes erfolgen. Dafür müssen auch die weiteren Voraussetzungen und die technische Verarbeitung als MIT erfüllt sein.
Ein Gast bucht einen Aufenthalt für 600 €. Vereinbart sind 150 € bei der Buchung und 450 € vor der Anreise. Die Bestätigung der ersten Zahlung erlaubt nicht automatisch den späteren Einzug des Restbetrags. Dafür benötigen Sie einen korrekt eingerichteten Ablauf für spätere Zahlungen oder einen Zahlungslink, über den der Gast die zweite Zahlung selbst auslöst und gegebenenfalls authentifiziert.
Dasselbe Grundprinzip ist bei Storno- und No-Show-Gebühren relevant. Kommunizieren Sie vor der Buchung, wann welche Kosten entstehen und wie diese eingezogen werden. Eine technisch erfolgreiche Abbuchung ersetzt weder eine wirksame Vereinbarung noch den Nachweis, dass die Forderung berechtigt ist. Hinweise zur Gestaltung des Zahlungszeitpunkts finden Sie im Artikel über Anzahlungen im Hotel.
Bei OTA-Buchungen sollten Sie außerdem klären, wer das Geld einzieht und welche Zahlungsdaten, Mandate und Authentifizierungsinformationen Ihr Hotel erhält. Eine übermittelte Kartennummer allein belegt nicht, dass eine spätere Belastung möglich ist.
Was tun, wenn eine Hotelzahlung abgelehnt wird?
Eine Ablehnung kann auf eine fehlende Authentifizierung hinweisen. Sie kann aber auch andere Ursachen haben, etwa ein Kartenlimit, eine abgelaufene Karte oder eine noch nicht aktivierte virtuelle Kreditkarte. Prüfen Sie deshalb zuerst den tatsächlichen Zahlungsstatus und die Rückmeldung des Zahlungsanbieters.
- Status prüfen: Unterscheiden Sie zwischen authentifiziert, autorisiert, eingezogen und fehlgeschlagen, bevor Sie einen weiteren Versuch starten.
- Erforderliche Bestätigung ermöglichen: Verlangt die Bank SCA, führen Sie den Gast zurück in einen geeigneten Online-Zahlungsablauf, beispielsweise über einen sicheren Zahlungslink.
- Den Gast konkret informieren: Nennen Sie Buchungsbezug, offenen Betrag und nächsten Schritt. Fordern Sie keine Banking-Passwörter oder Bestätigungscodes an.
- Das Ergebnis kontrollieren: Prüfen Sie den Zahlungseingang und ordnen Sie ihn der Reservierung zu, damit keine doppelte Belastung entsteht.
Testen Sie diese Situationen auch auf dem Smartphone. Gerade der Wechsel zwischen Buchungsseite und Banking-App sollte den Gast anschließend zuverlässig zurückführen.
Was ist der Unterschied zwischen PSD2 und PCI DSS?
PSD2 ist ein europäischer Rechtsrahmen für Zahlungsdienste. PCI DSS ist ein internationaler Sicherheitsstandard für Zahlungskartendaten. PCI DSS betrifft auch Hotels in Deutschland, wenn sie Kartendaten verarbeiten, speichern oder übertragen beziehungsweise die Sicherheit der entsprechenden Umgebung beeinflussen können.
Die beiden Anforderungen ergänzen sich. SCA prüft die Identität des Zahlenden; PCI DSS beschreibt technische und organisatorische Anforderungen an den Schutz von Kartendaten. Der PCI Security Standards Council erläutert den Anwendungsbereich von PCI DSS.
Tokenisierung ersetzt Kartendaten im jeweiligen System durch eine Referenz, ein sogenanntes Token. Sie kann den Umgang mit sensiblen Daten reduzieren, ersetzt aber weder die erforderliche Authentifizierung noch die Zustimmung zu späteren Zahlungen. Auch bei ausgelagerter Zahlungsabwicklung bleiben klare Zugriffsrechte und sichere Arbeitsabläufe im Hotel wichtig.
Wie unterstützt RoomRaccoon Ihre Zahlungsabläufe?
Die integrierte Zahlungsabwicklung von RoomRaccoon bietet unter anderem 3D-Secure-Authentifizierung, Tokenisierung, Zahlungslinks, Vorautorisierungen und die Verwaltung virtueller Kreditkarten. Damit lassen sich Zahlungen im Zusammenhang mit der Reservierung bearbeiten und nachvollziehen.
Entscheidend ist, wie die Funktionen für Ihre Unterkunft eingerichtet sind. Prüfen Sie mit dem Anbieter anhand konkreter Buchungen:
- Direktbuchung: Wie bestätigt der Gast eine Anzahlung, und welcher Zahlungsstatus erscheint anschließend?
- Spätere Zahlung: Wie werden Zustimmung und erforderliche Authentifizierung erfasst, wenn ein Restbetrag automatisch eingezogen werden soll?
- OTA-Buchung: Wie unterscheiden Sie eine Gästekarte von einer virtuellen Kreditkarte des Portals?
- Ablehnung: Wie erkennt Ihr Team Handlungsbedarf und fordert eine neue Zahlung an?
- Berechtigungen: Wer darf Zahlungen auslösen, Rückerstattungen bearbeiten und Zahlungsinformationen einsehen?
Ein integriertes System unterstützt diese Abläufe. Eine pauschale Garantie für jede Zahlung oder die gesamte rechtliche Konformität Ihres Hotels ergibt sich daraus nicht.
Häufige Fragen zu PSD2 im Hotel
Muss ein Gast jede Zahlung erneut bestätigen?
Nein. Je nach Zahlungsart können eine zulässige Ausnahme oder ein korrekt eingerichteter Ablauf für händlerinitiierte Zahlungen greifen. Ein früherer Aufenthalt oder eine bereits gespeicherte Karte befreit eine neue Zahlung jedoch nicht automatisch von SCA.
Ist eine Vorautorisierung bereits eine Zahlung?
Nein. Eine Vorautorisierung reserviert einen Betrag auf der Karte. Der tatsächliche Einzug ist ein gesonderter Schritt. Wie lange die Reservierung gültig bleibt und wann sie eingezogen werden kann, hängt unter anderem vom Kartennetzwerk und Zahlungsanbieter ab.
Verhindert 3D Secure alle Rückbuchungen?
Nein. Eine erfolgreiche Authentifizierung kann bei bestimmten betrugsbezogenen Rückbuchungen die Haftung beeinflussen. Streitigkeiten über Leistungen, Stornierungen oder doppelte Belastungen bleiben dennoch möglich. Bewahren Sie Buchungsbedingungen und Zahlungsnachweise auf; mehr dazu lesen Sie im Beitrag über Rückbuchungen im Hotel.
Ist ein Zahlungslink nach einer telefonischen Buchung eine MOTO-Zahlung?
Nein, nicht allein aufgrund der telefonischen Buchung. Wenn der Gast anschließend über den Link selbst online bezahlt, handelt es sich um einen elektronischen Zahlungsablauf. Die Einordnung richtet sich nach der Zahlung und lässt sich nicht durch die Bezeichnung der Reservierung ändern.
Prüfen Sie Ihre Hotelzahlungen in einer RoomRaccoon-Demo
Bringen Sie drei typische Fälle mit: eine Direktbuchung mit Anzahlung, eine spätere Restzahlung und eine OTA-Buchung. Lassen Sie sich zeigen, wie Authentifizierung, Zahlungsstatus und ein erneuter Zahlungsversuch in RoomRaccoon bearbeitet werden.
