Open Banking ist die Möglichkeit eines Drittanbieter-Fintechs, auf Kontoinformationen zuzugreifen und Zahlungen mit Zustimmung des Bankkunden zu veranlassen. Es arbeitet mit der Infrastruktur von BKM und TRSPI in der Türkei; Eine TPP-Lizenz (Third Party Provider) ist erforderlich.
3 Hauptrollen
- AISP (Account Information Service Provider): Kontoinformationen lesen; Persönliche Finanz-Apps.
- PISP (Payment Initiation Service Provider): Zahlungsauslösung; E-Commerce.
- CBPII (Card-Based Payment Instrument Issuer): Ausgabe von Kartenprodukten.
TPP-Lizenz + Zertifizierung
Technische Anforderungen
- OAuth 2.0 + OpenID Connect.
- FAPI-Profil (Financial-Grade API).
- mTLS + JWS-Signatur.
- PSD2 SCA (Strong Customer Authentication): MFA + dynamische Verknüpfung.
Ist die Freigabe der Bank-API obligatorisch?
In der Türkei gibt es noch keine verpflichtende Weitergabe auf EU-PSD2-Ebene. BKM-Dienste wie „Paribu Open Banking“ sind optional; Beteiligungsentscheidung der Bank.
Datenaufbewahrungsdauer?
„Zweckgebunden“ im Rahmen der KVKK. Maximal 90 Tage fortlaufend für AIS (es sei denn, die Zustimmung des Benutzers wird erneuert).
Ist die Einhaltung der PSD2 für die Türkei notwendig?
Wenn Sie auf dem EU-Markt verkaufen, ja. BRSA + TRSPI ist für den türkischen Inlandsmarkt ausreichend.
Wie erfolgt die Verwaltung der Benutzereinwilligung?
Offene, widerrufbare, granulare (kontobasierte) Einwilligung. Kompatibel mit KVKK m.5 + m.11. Zeigen Sie im Bestätigungsfeld der Benutzeroberfläche an, auf welche Daten zugegriffen wurde und wie lange es dauerte.
Wer ist verantwortlich, wenn die Bank-API nicht funktioniert?
Dies wird in der SLA-Vereinbarung festgelegt. Bei einer jährlichen Ausfallzeit von > 1 % kann es zu einer Schadensersatzpflicht des Kunden auf Seiten des Fintechs kommen; Als Backup wird die Multibank-Integration empfohlen.
Einschlägige Gesetzgebung
- Gesetz Nr. 6493 – Zahlung und elektronisches Geld; Lizenzierung, Betriebserlaubnis.
- BRSA-Vorschriften – Zahlungsinstitut/EML-Genehmigung, Kapital, Berichterstattung.
- 5549 SK – MASAK; KYC, STR, regelmäßige Aktivität.
- KVKK + DSGVO – Datensicherheit, grenzüberschreitende Übermittlung.
- PCI-DSS – Kartenspeicher; Konformität mit PCI Level 1–4.