Reguliert, widerstandsfähig,
und bereit.

• Peter Krapfl – Vorstandsvorsitzender seit 2001
• Oliver Jura – Chief Operating Officer seit 2005

Beide haben das Unternehmen während der gesamten Betriebsgeschichte geleitet, auf die sich diese Seite bezieht: die ZaDiG-Zulassung von 2018, die EU-Passporting-Präsenz, das Sicherheitsregime, den 24/7-Betrieb in Wien sowie die im Folgenden beschriebene Disziplin bei der Händlerqualifizierung.

DaoPay ist ein privat geführtes und unabhängig verwaltetes Unternehmen. Die Eigentumsverhältnisse sind nicht auf externe Investoren, Plattformpartner oder Wiederverkäufer aufgeteilt, deren Interessen das Geschäftsmodell in unterschiedliche Richtungen lenken könnten. DaoPay wird in regulatorischen und lizenzrechtlichen Fragen von einem auf EU-Zahlungsverkehrsrecht spezialisierten Rechtsberater betreut.

Entscheidungen in Bezug auf Händler, Zahlungssysteme und Vertragspartner werden von namentlich benannten Verantwortlichen getroffen und über ständige Ausschüsse weitergeleitet; sie werden nicht allein automatisierten Bewertungsverfahren überlassen.

• Onboarding-Ausschuss – genehmigt Entscheidungen zur Eignung von Händlern
• Risikoausschuss – genehmigt die Risiken auf Portfolioebene und das Engagement des Fonds

Beide sind dem Vorstand unterstellt. Bei Fällen, die über die Standardrichtlinien hinausgehen, sind ein Beauftragter für Informationssicherheit sowie ein Eskalationsweg auf Führungsebene vorgesehen. Die Zusammensetzung des Ausschusses wird nicht öffentlich bekannt gegeben; die Struktur wird offengelegt, die einzelnen Personen jedoch nicht.

Alles auf dieser Seite basiert auf den soeben beschriebenen Grundlagen. Die Lizenz, die regulatorischen Rahmenbedingungen, die Betriebsstabilität, die Überprüfung der Händler sowie die Streitbeilegung – all diese Aspekte fallen unter eine einzige juristische Person, unterliegen einer einzigen Lizenz und werden von denselben, oben genannten Entscheidungsträgern überwacht.

Die Lizenz von DaoPay und seine geschäftliche Reichweite sind zwei unterschiedliche Dinge. Innerhalb des EWR ist die Lizenz als Zahlungsinstitut gemäß den grenzüberschreitenden Bestimmungen der PSD2 übertragbar, und DaoPay untersteht direkt der zuständigen österreichischen Finanzmarktaufsichtsbehörde. Außerhalb des EWR wird die geschäftliche Reichweite in über 72 Ländern über das Acquirer-Netzwerk von DaoPay gewährleistet, wobei jeder lokale Partner über eine eigene Zulassung in seiner jeweiligen Rechtsordnung verfügt.

Für einen Händler mit Kunden auf beiden Seiten handelt es sich hierbei nicht um eine rein formale Angelegenheit. Auf der EWR-Seite liegt die regulatorische Verantwortung bei der eigenen Lizenz von DaoPay. Auf der Nicht-EWR-Seite liegt sie beim lokalen Acquiring-Partner als Auftraggeber. Keine der beiden Seiten wird als die andere dargestellt, und die Vertragsstruktur sorgt dafür, dass diese Trennung deutlich erkennbar bleibt.

Die DaoPay GmbH unterliegt der Aufsicht der zuständigen österreichischen Finanzmarktaufsichtsbehörde. Für die Risikodokumentation eines Händlers bedeutet dies, dass die Lizenz eine externe Gegenpartei beinhaltet: Eine andere Stelle als DaoPay ist befugt, die Sicherheitsvorkehrungen und die operative Widerstandsfähigkeit des Unternehmens fortlaufend zu überprüfen. Die Entscheidung über den Vertragsabschluss erfolgt innerhalb eines beaufsichtigten Rahmens und nicht außerhalb desselben. Der zugrunde liegende Registereintrag bleibt in den Rechts- und Referenzbereichen der Website verfügbar, wo die gesetzlich vorgeschriebenen Angaben ordnungsgemäß zu finden sind.

Diese Überprüfungen werden kontinuierlich auf den Servern, Containern und der unterstützenden Infrastruktur von DaoPay durchgeführt und dienen der Überprüfung von Parametern auf Systemebene sowie des technischen Zustands, anstatt einzelne Transaktionen stichprobenartig zu untersuchen. Sie sind darauf ausgelegt, Anomalien in der Infrastruktur aufzudecken, bevor diese Auswirkungen auf die für den Händler sichtbare Transaktionsebene haben können.

DaoPay unterhält ein Rahmenwerk für Geschäftskontinuität und Notfallwiederherstellung, das mit ZaDiG 2018 und den EBA-Richtlinien zum Outsourcing im Einklang steht und auf dieselbe Lizenz, dieselbe Aufsichtsbehörde sowie dieselbe Aufsichtsstruktur basiert, die weiter oben auf dieser Seite genannt wurden. Eine obligatorische Systemfreigabe erfolgt nach dem systemeigenen Zeitplan und nicht nach einem internen Freigabefenster, und die Einführung unterliegt demselben doppelten Freigabeverfahren, das weiter unten unter „Betriebsphilosophie“ beschrieben wird.

DaoPay arbeitet mit von den Zahlungssystemen zertifizierten Partnern in den Bereichen Acquiring, Tokenisierung und alternative Zahlungsmethoden in der gesamten EU zusammen. Jeder Partner trägt sein eigenes Risiko:

• Akquisition – fungiert gemeinsam mit dem akquirierenden Partner als im Rahmen des Programms zertifizierter Auftraggeber
• Tokenisierung – erfolgt bei einer eigens dafür eingerichteten Gegenpartei innerhalb ihres eigenen regulatorischen Rahmens
• Alternative Zahlungsmethoden – Besprechung mit dem Partner für lokale Zahlungsmethoden in dessen eigenem Rechtsraum

Es wird nichts als Erweiterung in einer Grauzone über die DaoPay-Lizenz zurückgeleitet.

Die Betriebsphilosophie hinter diesen Aussagen ist eher konservativ und dokumentiert als neuartig und öffentlich beworben. Keine Änderung, die sich wesentlich auf die Produktionsresilienz auswirkt, erfolgt ohne doppelte Freigabe durch die Bereiche Betrieb und Risikomanagement. Jedes vom NOC festgestellte Single-Point-of-Failure-Risiko wird als struktureller Arbeitsaufwand behandelt und nicht als bloße Überwachungszusage. Die Häufigkeit und der Umfang interner Übungsmaßnahmen werden nicht öffentlich bekannt gegeben; die Rahmenbedingungen sind das, was veröffentlicht werden kann, die Häufigkeit der Übungen ist das, was operativ durchgesetzt wird.

Das NOC, das Rahmenwerk, der Partner-Stack und die oben beschriebene Betriebsphilosophie stellen keinen vom Tagesgeschäft eines Händlers getrennten Arbeitsbereich dar. Wenn ein Zahlungsvorgang, eine Aktualisierung des Zahlungssystems oder ein Infrastrukturvorfall außerhalb der Geschäftszeiten eintritt, durchläuft die Reaktion dieselbe Ausschuss-basierte Aufsicht, die zuvor die Entscheidung zur Aufnahme des Händlers genehmigt hat. Es ist dieselbe Institution, dieselbe Lizenz und dieselbe Aufsichtsbehörde, die außerhalb der Geschäftszeiten für das verantwortlich ist, wofür sie den Händler Monate zuvor zugelassen hat.

DaoPay prüft die Eignung von Händlern von Fall zu Fall gemäß seiner veröffentlichten Zulassungsrichtlinie. Dies ist das maßgebliche Dokument, auf das sich der Onboarding-Ausschuss bei der Genehmigung von Eignungsentscheidungen stützt, und das Dokument, das ein Händler im Voraus einsehen kann. Die vollständige Liste der eingeschränkten oder verbotenen Branchen ist in der PDF-Datei der Zulassungsrichtlinie enthalten und wird nicht auf der Seite angezeigt.

DaoPay führt im Rahmen seiner regulatorischen Verpflichtungen gemäß ZaDiG 2018 eine kontinuierliche Transaktionsüberwachung sowie eine Kundenüberprüfung durch. Diese Prüfungen sind nicht nur nach der Inbetriebnahme von Bedeutung, sondern bereits Teil des Zulassungsverfahrens selbst. Die Kundenüberprüfung wird innerhalb des zugelassenen Zahlungsinstituts durchgeführt und nicht ausgelagert.

Als direktes Mitglied der internationalen Kartensysteme, die für die von DaoPay bedienten Märkte von Bedeutung sind, erfolgen Autorisierung, Clearing, Abwicklung und die Weiterleitung von Streitfällen auf Systemebene auf der Grundlage der eigenen Lizenz von DaoPay und nicht über einen Aggregator als Vermittler. Wenn eine Anfrage eines Kartensystems eingeht, wird diese direkt an das lizenzierte Unternehmen weitergeleitet.

DaoPay führt eine auf die jeweiligen Zahlungssysteme abgestimmte Vorab-Intervention bei Streitfällen durch, wodurch das Risiko von Rückbuchungen verringert wird, bevor Streitfälle eskalieren. Diese Intervention ist Teil der oben beschriebenen Beziehung zu einem lizenzierten Vertragspartner und stellt keinen zusätzlich eingebundenen Dienst eines Drittanbieters dar.

Kundengelder werden gemäß § 17 ZaDiG 2018 auf getrennten Konten bei Kreditinstituten gesichert. Die Bankkontenstruktur ist so ausgelegt, dass Kundengelder nicht mit Betriebsmitteln vermischt werden können, unabhängig davon, was an anderer Stelle im Unternehmen geschieht.