Betalingstjeneste-aftale

Betalingstjeneste-aftale i Danmark er en kontrakt mellem en betalingstjenesteudbyder og en bruger (merchant eller forbruger), der fastlægger vilkårene for levering af betalingstjenester — herunder kortindløsning, kontooverførsler, mobilbetaling, e-penge og Open Banking-tjenester. Aftalen er reguleret af lov om betalinger (LBK nr. 2710 af 14. december 2021), der implementerer PSD2-direktivet (EU 2015/2366, Payment Services Directive 2) i dansk ret. Finanstilsynet er den kompetente tilsynsmyndighed og fører tilsyn med betalingsinstitutters og e-pengeinstitutters overholdelse af loven.

Betalingstjenestelovgivningen i Danmark er funderet på PSD2-direktivets krav om gennemsigtighed, stærk kundeautentifikation (SCA) og åbning af bankkonti for tredjepartsudbydere (Open Banking). PSD2 kræver, at banker åbner adgang til kunders kontodata via standardiserede API-løsninger, hvilket muliggør nye fintech-tjenester baseret på betalingsinitieringstjenester (PISP) og kontoinformationstjenester (AISP). PSD3-direktivet er under udarbejdelse og vil indebære yderligere krav til open banking-tilgængelighed og forbrugerbeskyttelse.

MitID er den primære SCA-løsning i Danmark og opfylder PSD2's krav om stærk kundeautentifikation kombinerende to faktorer fra kategorierne „noget man ved" (kodeord), „noget man har" (enhed) og „noget man er" (biometri). MobilePay — den dominerende mobilbetalingsplatform i Danmark med over 5 millioner brugere — er ligeledes underlagt lov om betalinger og opfylder SCA-kravene via MitID-integration.

For erhvervsdrivende (merchants) er en betalingstjeneste-aftale nødvendig for at modtage kortbetalinger, SEPA-overførsler og andre elektroniske betalinger. Aftalen med en betalingstjenesteudbyder (PSP) fastlægger gebyrer (typisk en procentdel af transaktionsbeløbet plus et fast beløb pr. transaktion), behandlingstider for afregning, regler for charge-backs (tilbagebetalingskrav fra kortholdere) og sikkerhedskrav under PCI DSS (Payment Card Industry Data Security Standard).

For forbrugere fastlægger en betalingstjeneste-aftale med en bank eller e-pengeinstitut adgangsrettigheder til konti, rammer for brugen af betalingskort og reglerne for håndtering af uautoriserede transaktioner. Forbrugerbeskyttelsesreglerne i lov om betalinger §§ 97-101 fastlægger hæftelsesregler, der som udgangspunkt begrænser forbrugerens hæftelse for uautoriserede transaktioner til 375 kr. ved begrænset uagtsomhed.

Dankort — det traditionelt dominerende danske betalingskort ejet af Nets — er under pres fra internationale kortordninger og mobile løsninger. Visa/Mastercard-kortet har i stor grad overtaget for nyudstedte kort. MobilePay er den dominerende mobilbetalingsplatform med over 5 mio. danske brugere og ejes af Vipps MobilePay (fusion af MobilePay og norske Vipps i 2022). Apple Pay, Google Pay og Garmin Pay vinder frem som tokeniserede betalingsløsninger. PSD3-direktivet, der forventes vedtaget 2025-2026, vil indføre yderligere krav til Open Banking-tilgængelighed og open finance.

Instant Payments (straksbetalinger) er under rapid udbredelse i EU. SEPA Instant Credit Transfer (SCT Inst) giver mulighed for at sende eurobetalinger inden for 10 sekunder, og fra 2025 er alle EU-betalingsinstitutter forpligtet til at understøtte straksbetalinger. I Danmark er overgang til straksbetalinger via PBS-systemet en voksende standard for fintech-tjenester, og PSP-aftalen bør angive, om betalingstjenesten understøtter straksbetalinger.

Betalingstjeneste-aftale i Danmark er nødvendig, når en virksomhed ønsker at modtage elektroniske betalinger fra kunder. Webshops, e-handelvirksomheder og alle merchants, der accepterer kort, MobilePay eller SEPA-overførsler, er forpligtet til at have en formel aftale med en godkendt betalingstjenesteudbyder (PSP). Uden en gyldig PSP-aftale er det ikke muligt at modtage kortbetalinger — Visa og Mastercard's regler kræver, at alle kortindløsende institutioner er registreret og godkendt.

Aftalen er også relevant for fintech-virksomheder, der udbyder betalingsinitierings- eller kontoinformationstjenester under PSD2. Disse tjenester kræver tilladelse fra Finanstilsynet og en klar kontraktuel ramme med de banker, de tilgår. Open Banking-aftaler fastlægger API-adgang, dataanvendelse og sikkerhedskrav i overensstemmelse med lov om betalinger og GDPR.

For privatpersoner er den mest relevante situation tegning af et betalingskort eller mobilbetalingstjeneste. Aftalebetingelserne — herunder gebyrer, hæftelsesregler og opsigelsesvarsel — er reguleret af lov om betalinger og skal fremgå klart, jf. kravene til oplysningspligt i §§ 72-82. Det er vigtigt at gennemlæse og forstå aftalen, inden man accepterer vilkårene, da aftalen fastlægger, i hvilke situationer brugeren hæfter for uautoriserede transaktioner.

Nye betalingsmetoder — herunder kryptovalutabaserede betalinger — stiller yderligere krav. MiCA-forordningen (EU 2023/1114) og lov om betalinger overlapper ved betalingstransaktioner, der involverer kryptoaktiver, og en kombinations-PSP-aftale bør adressere begge regelsæt.

Aftalen er desuden relevant for platformsvirksomheder og marketplaces, der faciliterer betalinger mellem tredjeparter. Under lov om betalinger er sådanne platforme typisk betalingsinstitutter, og en klar PSP-aftale er en forudsætning for Finanstilsynets godkendelse. Grænseoverskridende e-handel i EU kræver overholdelse af alle relevante landes forbrugerbeskyttelsesregler, og PSP-aftalen bør adressere multi-valuta-behandling, valutaomregningsgebyrer og reglerne for cross-border charge-backs.

Abonnementsbaserede virksomheder — SaaS, streamingtjenester, mediesektoren — er en voksende merchant-kategori, der stiller særlige krav til gentagende betalinger (recurring payments). PSP-aftalen bør specifikt adressere, hvilken protokol der anvendes til gentagende kortbetalinger (network tokenization, stored credentials), og hvilke SCA-undtagelser der gælder for tilbagevendende betalinger med fast beløb.

Kryptovaluta-integrerede PSP-tjenester er i fremvækst. Virksomheder, der ønsker at modtage kryptobetaling fra kunder, kræver en PSP, der understøtter crypto-on/off-ramp. Sådanne kombinerede PSP+krypto-aftaler er underlagt både lov om betalinger og MiCA-forordningen og stiller skærpede krav til KYC, AML og transaktionsovervågning. PSP-aftalen bør præcisere, hvilke kryptovalutaer der accepteres som betaling, og hvordan konverteringen til DKK håndteres skattemæssigt.

Betalingstjeneste-aftale i Danmark skal indeholde en klar beskrivelse af de tjenester, der leveres. For merchants specificeres kortindløsningstyper (Visa, Mastercard, Dankort, MobilePay, SEPA), valutaer og understøttede lande. For forbrugere angives betalingskorttype, kontorettigheder og eventuelle tilknyttede tjenester.

Gebyrstrukturen skal fremgå klart og gennemsigtigt, jf. lov om betalinger §§ 78-80. For merchants angives transaktionsgebyr (typisk et interchange-plus-prisspillerum), faste månedlige abonnementsgebyrer, opsætningsgebyrer, og gebyrer for charge-backs og refusioner. Lov om betalinger § 78 forbyder skjulte gebyrer og kræver, at alle gebyrer er oplyste, inden aftalen indgås. Interchangegebyrer for EU-kortudstedte Visa/Mastercard-kort er reguleret af EU's interchange-forordning (EU 2015/751) og maks. 0,2 % (debetkort) og 0,3 % (kreditkort) for forbrugerkort.

SCA-løsningen (Stærk Kundeautentifikation) er et centralt element. PSD2 art. 97 og lov om betalinger § 127 kræver SCA ved de fleste elektroniske betalingstransaktioner. Aftalen skal specificere, hvilken SCA-metode der anvendes — MitID, 3D Secure 2.0 til kortbetalinger, biometrisk autentifikation — og hvordan undtagelsestilfælde (lavrisikotransaktioner, tilbagevendende betalinger) håndteres under PSD2's SCA-undtagelsesbestemmelser.

Regler for uautoriserede transaktioner er afgørende forbrugerbeskyttelse. Lov om betalinger §§ 98-101 fastlægger hæftelsesgrænser: forbrugeren hæfter maks. 375 kr. ved begrænset uagtsomhed (f.eks. kortdata kompromitteret), 8.000 kr. ved grov uagtsomhed (f.eks. PIN offentliggjort), og fuld hæftelse ved forsætlig medvirken. PSP er forpligtet til at refundere uautoriserede betalinger straks eller senest inden for ét arbejdsdøgn, jf. lov om betalinger § 99.

Databehandlingsvilkår under GDPR og databeskyttelsesloven (lov nr. 502/2018) er obligatoriske. Aftalen skal angive, om PSP er dataansvarlig eller databehandler, hvilke personoplysninger der behandles, og brugerens rettigheder. forms-legal.com tilbyder en skabelon, der adresserer alle disse elementer i én struktureret aftale.

Opsigelsesvilkår for forbrugere er præceptivt reguleret. Lov om betalinger § 82 giver forbrugere ret til at opsige rammeaftaler om betalingstjenester gratis og til enhver tid. For merchants gælder aftalte opsigelsesvarsler, men disse må ikke stride mod lov om betalinger eller markedsføringslovens krav om rimelige kontraktvilkår.

Charge-back-politikken er afgørende for merchants. Visa og Mastercards interne dispute-regler supplerer lovgivningen. En forbruger kan indgive en dispute op til 120 dage efter kortbetaling ved visse typer fejl. Merchants har 30-45 dage til at bestride med dokumentation. Charge-back-gebyrer (200-500 kr. pr. sag) og høj dispute-rate kan resultere i PSP-kontrakttermination. Klare leveringsdokumenter, ordrebekræftelser og stærk SCA-implementering reducerer charge-back-risikoen. PCI DSS-certificering (Payment Card Industry Data Security Standard) er obligatorisk for alle, der behandler kortdata — PSP-aftalen bør angive PSP-ens aktuelle PCI DSS-komplianceniveau.

Network tokenization er en ny standard for kortbetaling, der giver merchants et unikt token i stedet for det faktiske kortnummer. Tokens er specifikke for merchant og kortnummer og har lavere svindelrisiko. Visa (Visa Token Service) og Mastercard (Digital Enablement Service) tilbyder tokenisering som del af deres netværksinfrastruktur. PSP-aftalen bør angive, om PSP-en understøtter network tokenization, og om merchants automatisk migreres til tokenization. Tokenization reducerer PCI DSS-scope og kan sænke interchange-gebyrer.

Refusionspolitikken og chargeback-håndtering er afgørende for merchants i visse brancher. Angiv klart i aftalen, inden for hvilke frister kunder kan anmode om refusion, og hvem der bærer transaktionsgebyret ved refusion. For merchants med høj refusionsrate (over 1% af transaktionsvolumen) kan PSP-en kræve enten et higher reserve (reserve-konto) eller ophævelse af aftalen. Dokumentér alle transaktioner grundigt for at kunne bestride uberettigede charge-backs.

Betalingstjeneste-aftale i Danmark udfyldes ved at starte med en klar identifikation af begge parter. For udbyderen angives CVR-nummer, der verificeres på virk.dk, og det bør kontrolleres, at udbyderen er registreret som godkendt betalingstjenesteudbyder i Finanstilsynets register på finanstilsynet.dk. Kun registrerede betalingsinstitutter og e-pengeinstitutter har ret til at udbyde betalingstjenester erhvervsmæssigt i Danmark.

Vælg dernæst de betalingstjenester og -instrumenter, der er relevante for brugeren. For en webshop vil kortindløsning (Visa/Mastercard) og MobilePay typisk være de vigtigste. Angiv de valutaer, der understøttes — DKK er altid relevant, EUR for international handel. Vær opmærksom på, at visse valutaer kan have tillægsgebyrer.

Udfyld gebyrstrukturen fuldstændigt og gennemsigtigt. Angiv transaktionsgebyr som enten en fast procentsats, et fast beløb pr. transaktion, eller en kombination (interchange-plus). Medtag alle gebyrer — opsætning, månedligt abonnement, charge-back-gebyrer — for at opfylde lov om betalingers krav om fuld transparens. Skjulte gebyrer kan resultere i klager til Pengeinstitutankenævnet og sanktioner fra Finanstilsynet.

Vælg SCA-metoden og beskriv, hvordan undtagelser håndteres. Fastlæg databehandlingsvilkår: er PSP-en dataansvarlig eller databehandler? Sidstnævnte kræver en separat databehandleraftale (DPA) efter GDPR art. 28. Angiv ikrafttrædelsesdato, bindingsperiode og opsigelsesvarsel klart. Underskriv med sted og dato, og opbevar aftalen digitalt og i papirform. Gennemse aftalen ved gebyrændringer, da brugeren har ret til at opsige gebyrfrit ved prisforhøjelser.

For erhvervskunder, der ønsker EAN-fakturering til den offentlige sektor, skal PSP-aftalen suppleres med en aftale om elektronisk fakturering i OIOUBL-format. EAN-faktura kræver køberens EAN-nummer (13-cifret EAN-lokationsnummer) fra statens EAN-register. Kontrollér, at PSP-ens fakturasystem understøtter OIOUBL-formatet, inden aftalen indgås. For B2B-kunder i EU-lande uden for Danmark kan PEPPOL-formatet være relevant for grænseoverskridende elektronisk fakturering.

Virksomheder med høj transaktionsvolumen bør forhandle om interchange-plus-prissætning frem for blended rates. Bed PSP-en om en specificeret nedbrydning af interchange-gebyrer fordelt på korttyper (forbruger debet/kredit, erhverv, premium, international) og sammenlign den effektive gennemsnitssats med konkurrenternes tilbud. PSP-markedet er konkurrencepræget, og det er realistisk at opnå lavere satser ved at indhente mindst to konkurrerende tilbud.

Når PSP-aftalen er underskrevet og teknisk integration er gennemført, bør du gennemføre en »go-live«-test: foretag 5-10 reelle transaktioner med egne betalingskort og gennemgå hele flowet fra betalingsinitiering til settlement på din konto. Kontrollér, at gebyrer er korrekte, betalinger afregnes inden for den aftalte tidsramme, og at refusionsprocessen virker. Dokumentér testen og gem kvitteringer — disse kan være afgørende ved en eventuel tvist om afregningsbetingelserne.

Betalingstjeneste-aftale i Danmark er reguleret af lov om betalinger (LBK nr. 2710 af 14. december 2021), der implementerer PSD2-direktivet (EU 2015/2366) og e-pengedirektivet (EU 2009/110) i dansk ret. Loven kræver, at betalingstjenesteudbydere — betalingsinstitutter og e-pengeinstitutter — er godkendt og registreret af Finanstilsynet, jf. lovens § 10. Ulovlig betalingstjenestevirksomhed kan medføre bøde og frakendelse af retten til at drive virksomhed.

Oplysningspligten over for betalingstjenestebrugere er detaljeret reguleret i lovens §§ 72-82. Forud for indgåelse af en rammeaftale om betalingstjenester skal PSP-en oplyse om: alle gebyrer, tilgængelige betalingsinstrumenter, transaktionsgrænser, referencekurs for valutaomregning, kommunikationsform, klageprocedurer og opsigelsesvilkår. Manglende oplysning kan gøre aftalevilkår ugyldige over for brugeren.

Stærk kundeautentifikation (SCA) er et lovkrav under lov om betalinger § 127 for elektroniske betalingstransaktioner. Undtagelser gælder for lavrisikotransaktioner (under EUR 30 inden for daglige og ugentlige grænser), tilbagevendende betalinger med fast beløb og kortterminalbetalinger uden netværksforbindelse. Manglende SCA ved en transaktion, der efterfølgende viser sig at være uautoriseret, placerer som udgangspunkt hæftelsen hos PSP-en.

Databehandling af betalingsdata er reguleret af GDPR (EU 2016/679) og databeskyttelsesloven (lov nr. 502/2018). Datatilsynet fører tilsyn hermed. PCI DSS (Payment Card Industry Data Security Standard) er en branchestandard, der supplerer lovgivningen og kræver, at alle, der behandler kortdata, overholder særlige sikkerhedsstandarder.

Omkostningsdirektivet (Late Payment Directive, EU 2011/7) kræver, at erhvervsdrivende betaler fakturaer inden for 30 dage til SMV-er (60 dage ved udtrykkeligt aftalt betalingsfrist). Lov om betalingsfrister (LBK nr. 1078/2011) implementerer direktivet i dansk ret og pålægger automatisk morarente ved forsinket betaling. Forbrugerbeskyttelsesreglerne i lov om betalinger §§ 98-101 om uautoriserede transaktioner er præceptive og kan ikke fraviges til skade for forbrugere.

EBA (European Banking Authority) regulerer PSD2-implementeringen og udsteder bindende regulatoriske tekniske standarder (RTS) og vejledende udtalelser (Guidelines). EBA's RTS on Strong Customer Authentication definerer de tekniske krav til SCA-løsninger og undtagelserne. Finanstilsynet er forpligtet til at følge EBA's retningslinjer og kan indhente bindende EBA-udtalelser ved tvivl om fortolkning. Klager over betalingsinstitutters overtrædelse af PSD2-krav behandles af Finanstilsynet.

Betalingstjeneste-aftale i Danmark indgås fejlagtigt med udbydere, der ikke er registreret hos Finanstilsynet. Mange nye fintech-tjenester og kryptorelaterede betalingstjenester markedsføres aggressivt uden de nødvendige tilladelser. Kontrollér altid, at udbyderen fremgår af Finanstilsynets offentlige register, inden aftalen underskrives. En aftale med en uregistreret PSP giver ingen beskyttelse under lov om betalinger.

En hyppig fejl for merchants er ikke at forstå gebyrstrukturen fuldt ud. Mange PSP-er anvender interchange-plus-prissætning, der kan indebære store variationer afhængigt af korttype (konsument/erhvervskort, dansk/udenlandsk udstedt). Bed om en skriftlig gebyrspecifikation og beregn den effektive gennemsnitlige transaktionsomkostning baseret på din forretnings transaktionsmix, inden du forpligter dig.

Manglende SCA-implementering er en alvorlig fejl for merchants. Uden korrekt 3D Secure 2.0 eller MitID-autentifikation risikerer merchants at bære hele hæftelsen for charge-backs, da PSP-en kan afvise ansvar med den begrundelse, at SCA ikke var korrekt implementeret. Investér i korrekt SCA-teknologi fra start.

Endeligt undlader mange brugere at kontrollere opsigelsesvilkårene grundigt. Visse PSP-er har langvarige bindingsperioder med høje udgangsgebyrer, der i praksis låser merchants fast. Forhandl altid om korte bindingsperioder og rimelige udgangsgebyrer, og sørg for at opsigelsesvilkårene er klart skrevet i aftalen.

En undervurderet fejl for nye merchants er ikke at forstå charge-back-risikoen i specifikke brancher. Digitale varer (software, gaming credits, downloadbare produkter), rejser og abonnementer har strukturelt højere dispute-rater, fordi forbrugere lettere bestrider levering af immaterielle ydelser. Mange PSP-er klassificerer disse brancher som »high-risk merchants« og kræver højere gebyrer og en reserve-konto (rolling reserve). Afklar altid din brancheklassifikation med PSP-en, inden aftalen underskrives.

En undervurderet fejl er manglende settlement-timing-kontrol. PSP-er afregner (settler) typisk transaktioner til merchants med 1-3 bankdages forsinkelse. For virksomheder med stramme likviditetsrammer kan denne forsinkelse skabe problemer. Forhandl om samme-dag-settlement (T+0) eller næste-dag-settlement (T+1) og kontrollér PSP-ens settlement-kalender for at undgå overraskende betalingsforsinkelser. Manglende styr på settlement-timing er en hyppig årsag til likviditetsproblemer for nye e-handelsvirksomheder.