PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) ist das Regelwerk der Kartennetzwerke für den Umgang mit Karteninhaberdaten. Es gilt für jeden Betrieb, der Kartenzahlungen annimmt, und wird über den Vertrag mit dem Zahlungsdienstleister verbindlich, nicht über ein Gesetz. Für einen Präsenzbetrieb mit gemieteten Terminals besteht die Pflicht im Kern aus einer jährlichen Selbstauskunft.

Warum die Pflicht aus dem Vertrag kommt

Hinter PCI DSS steht kein Gesetzgeber, sondern ein Gremium der Kartennetzwerke Visa, Mastercard, American Express, Discover und JCB. Durchgesetzt wird der Standard von Ihrem Zahlungsdienstleister: Ihr Vertrag zum Acquiring verpflichtet Sie darauf, und dieselbe Vereinbarung regelt, was geschieht, wenn der Nachweis ausbleibt. Die aktuelle Fassung trägt die Nummer 4.0.1. Eine Reihe zunächst zurückgestellter Anforderungen ist seit dem 31. März 2025 ohne Übergangsfrist verbindlich.

Technisch verlangt der Standard von einem Betrieb mit Kartenterminals wenig. Die Geräte Ihres Acquirers tragen die nötige Zertifizierung bereits. Kartennummern dürfen nicht notiert, nicht in der Kasse gespeichert und nicht per Mail versendet werden. Voreingestellte Passwörter an Kasse und Router müssen geändert sein. Einmal im Jahr bestätigen Sie diese Punkte schriftlich. Der eigentliche Aufwand ist damit ein Dokumentationsaufwand, und er fällt nach dem ersten Durchgang deutlich kleiner aus.

Welche Stufe und welche Selbstauskunft für Sie gelten

Die Kartennetzwerke stufen Händler nach der Zahl der Transaktionen je Netzwerk und Jahr ein. Level 1 beginnt bei mehr als sechs Millionen Transaktionen und verlangt ein Vor-Ort-Audit durch einen zertifizierten Prüfer. Level 4 umfasst Betriebe bis zu einer Million Transaktionen mit weniger als 20.000 Zahlungen im Fernabsatz; dort genügt die Selbstauskunft. Gemessen wird die Stückzahl, nicht der Euro-Betrag, weshalb der klassische Mittelständler fast immer in Level 4 fällt.

Welches Formular Sie ausfüllen, entscheidet der Datenfluss in Ihrem Haus. Arbeitet das Terminal eigenständig über eine eigene Internetverbindung, gilt die kurze Variante SAQ B-IP. Hängt es am Kassensystem, wird das Kassennetz Teil des Kartendatenumfelds und es gilt die deutlich längere Variante SAQ C. Diese Weiche stellt die Installation, lange bevor jemand über Konditionen spricht.

Die Formulare selbst stellt das PCI Security Standards Council kostenlos bereit. Bezahlt wird PCI DSS an anderer Stelle, nämlich auf Ihrer Monatsabrechnung.

Was PCI DSS auf Ihrer Abrechnung kostet

Zwei Positionen tragen die Kosten. Die PCI-Servicegebühr des Acquirers liegt üblicherweise bei 4 bis 15 Euro im Monat, je nach Vertrag pro Terminal oder pro Vertrag berechnet. Dazu kommt die Non-Compliance-Fee von meist 10 bis 30 Euro monatlich. Sie greift erst, wenn die Selbstauskunft ausbleibt, läuft dann aber still weiter und trägt auf der Abrechnung selten diesen Namen. Üblich sind Bezeichnungen wie Sicherheitsentgelt oder Compliance-Zuschlag.

Ein Rechenbeispiel: Ein Gastronomiebetrieb mit einem Standort, zwei Terminals und 900.000 Euro Kartenumsatz im Jahr zahlt 5 Euro Servicegebühr je Terminal und Monat, also 120 Euro im Jahr. Fehlt die Selbstauskunft, kommen 19,90 Euro monatlich hinzu, weitere 238,80 Euro. In Summe stehen 358,80 Euro auf der Jahresrechnung. Bei einem durchschnittlichen Bon von 38 Euro entspricht der Umsatz rund 23.700 Kartenzahlungen, klar innerhalb von Level 4. Die 358,80 Euro sind rund 0,04 Prozent des Kartenumsatzes und gehen damit neben dem Disagio unter.

So bringen Sie den Posten auf null

Der zweite Betrag ist vollständig vermeidbar. Reichen Sie die Selbstauskunft im Portal Ihres Acquirers ein und legen Sie eine jährliche Erinnerung vier Wochen vor Fristablauf an. Verlangen Sie anschließend die Streichung der Strafgebühr rückwirkend ab dem Monat der Einreichung. Auch die Servicegebühr ist verhandelbar, häufig leichter als der Disagio-Satz: Ein gesenkter Fixposten kostet den Acquirer keine Marge auf den Umsatz. Wer ohnehin eine Konditionsanalyse anstößt, nimmt die PCI-Zeilen ohne Zusatzaufwand mit.