The IBAN rule binds payees. The supervision covers banks.
Die IBAN-Regel bindet Zahlungsempfänger. Beaufsichtigt werden Banken.
Article 9 of the SEPA Regulation tells a payee it may not insist that a customer’s account sits in a particular country. Article 10 of the same regulation tells member states to designate authorities that will monitor “compliance by PSPs”. The party the prohibition addresses and the party the supervision covers are not the same party, and the European Commission’s own register of designated authorities shows the consequence: counting the table it published under Article 10, eleven of twenty-seven member states name a distinct authority for payment service users who are not consumers. Twelve name none at all. Germany names a list of chambers of commerce with standing to sue under competition law. Where nobody has been designated to watch the merchant, the merchant is not watched, and the national return to Brussels says there is no problem.
What the rule says, and who it binds
Regulation (EU) No 260/2012, the SEPA Regulation, has been in force since 2014. Article 9 is two short paragraphs. A payer making a credit transfer to a payee holding an account inside the Union shall not specify the member state in which that account is to be located; a payee accepting a direct debit shall not specify the member state in which the payer’s account is to be located. Both accounts must simply be reachable under the scheme. Refusing an account because its international bank account number begins with the wrong two letters has acquired the name IBAN discrimination, defined in the European Court of Auditors’ glossary as payments in the single euro payments area “that can only be done from or to a national payment account in euro”.
The prohibition is directly applicable and it has been tested. In Case C-28/18, decided on 5 September 2019, the Court of Justice of the European Union held that Article 9(2) precludes a contractual clause excluding SEPA direct debit where the payer does not reside in the same member state as the payee. The case was Verein für Konsumenteninformation against Deutsche Bahn, and it reached Luxembourg because an Austrian consumer association took it there. Five months later, on 6 February 2020, the German Federal Court of Justice decided I ZR 93/18 and held that refusing a Luxembourg account for a direct debit breaches not only consumer-protection law but a market-conduct rule within the meaning of German unfair competition law. That case was brought by Wettbewerbszentrale, a private association.
Both of the leading European judgments on Article 9 were won by private bodies. Neither was brought by a supervisor.
The register that shows the gap
Article 10 requires member states to designate the competent authorities responsible for ensuring compliance. The European Commission maintains a table of who those authorities are. The version published on its finance pages carries two columns. The first is headed “Competent authority for compliance by Payment Services Providers (PSPs) such as banks”. The second is headed “Competent authority for compliance by Payment Services Users (PSUs) that are not consumers, such as companies or public authorities”. The second column is the one that matters for Article 9, because the telecoms operator, the insurer, the transport company and the tax office are payment service users, not payment service providers.
Reading down that column, and counting it — this is our own count of the Commission’s table, not a figure the Commission publishes — produces the following. Eleven member states name a separate authority for non-consumer users: Belgium, Cyprus, Denmark, Estonia, Finland, France, Ireland, Italy, the Netherlands, Slovakia and Spain. Twelve name nothing in that column at all: Austria, Bulgaria, Czechia, Hungary, Latvia, Lithuania, Luxembourg, Malta, Portugal, Romania, Slovenia and Sweden. Two name the same central bank in both columns, Greece and Croatia. Germany names neither an authority nor a court but a document: the federal list of chambers of industry, commerce and crafts entitled to bring proceedings under section 8 of the Act against Unfair Competition and section 3 of the Injunctions Act. Poland names two contact points and then withdraws them in a footnote, which reads that “these authorities are not compliant in cases against other PSUs that would not comply with the Regulation” — the word is presumably meant to be competent, and the effect is the same either way.
Two features of this table deserve stating before anything is built on it. It records the position as of November 2020, and it is the register the Commission points citizens to when it tells them to complain to the competent authority. And it is a register of designations, not of capacity: a designated authority may do nothing, an undesignated member state may still act through general consumer law. The count establishes where a specific mandate exists, not where enforcement happens.
Germany: the competent body is privately funded
What Germany’s entry means in practice can be read off the organisation that fills the gap. Wettbewerbszentrale opened a dedicated SEPA discrimination complaints desk in June 2017, and says it did so at the suggestion of its members and in coordination with the federal financial supervisor BaFin and the Bundesbank. The two public bodies that might have taken the work did not take it; a private association did, with their agreement.
Its own figures — published by it, and therefore by a party with an interest in showing the desk is useful — are these. By April 2020 it had handled more than 900 complaints. Fifteen had gone to court as injunction proceedings, thirteen concluded and two pending. It registered somewhat over 100 complaints in 2022 and more than 130 in 2023, an increase it put at around 30 per cent, and it brings an average of five actions a year. On our own arithmetic, fifteen actions against more than nine hundred complaints is 1.7 per cent; the great majority of the remainder ended in an out-of-court undertaking.
Wettbewerbszentrale describes itself as a self-regulatory institution supported by more than 1,100 companies and over 800 chambers and associations, financed entirely by business and receiving no public money. It is not a supervisor in any sense the SEPA Regulation would recognise, and it can only act where a competitor’s interest and a consumer’s interest coincide. That they usually do is fortunate rather than structural. The cost of taking a dispute up a rung decides how many disputes are ever taken up one, and here the rung above an out-of-court undertaking is a Landgericht.
Italy: the competition authority does it
Italy is one of the eleven. Its second-column authority is the Autorità Garante della Concorrenza e del Mercato, the competition and consumer authority, and it has used the power. In April 2019 it fined Vodafone Italia and Wind Tre 800,000 euros each and Fastweb 600,000 euros for refusing direct debit domiciliation on non-Italian IBANs — 2.2 million euros in total on the authority’s own figures — while accepting commitments from TIM instead of imposing a penalty. In 2020 it returned to the same conduct and fined Vodafone a further 500,000 euros and Wind Tre a further 300,000.
The most recent case is the most instructive. On 9 February 2026 the authority announced press release PV12B: a penalty of 800,000 euros against Agos Ducato SpA under Article 9. The stated conduct is that from 2014 until 2023 the company did not allow payment domiciliation on non-Italian SEPA IBANs, or allowed it subject to a debit procedure more onerous than the one applied to Italian accounts. The authority’s framing is worth repeating, because it is a competition authority speaking: IBAN discrimination “constitutes a barrier to the European single market, because it obstructs the free circulation of financial services”.
Two things follow. On our own arithmetic, 800,000 euros for conduct running from 2014 to 2023 is about 89,000 euros per year of infringement. And Agos Ducato is a consumer credit company: Italy’s prudential supervisor for payment service providers is the Banca d’Italia, which appears in the first column of the Commission’s table. The penalty came from the authority in the second column, acting against the firm in its capacity as a payee.
What “no problem here” means in the survey
In June 2023 the co-chairs of the European Forum for Innovation in Payments, a joint body of the European Commission and the European Central Bank, sent their members a questionnaire on IBAN discrimination. The results were presented to the forum on 12 February 2024 by the forum secretariat together with the Commission’s Directorate-General for Financial Stability, Financial Services and Capital Markets Union. Twenty-six of twenty-seven members answered. Sixteen of them, 62 per cent, reported that there is no IBAN discrimination in their country: Bulgaria, Czechia, Cyprus, Denmark, Estonia, Finland, Croatia, Hungary, Lithuania, Luxembourg, Latvia, Malta, Poland, Romania, Sweden and Slovakia. Six reported some cases but did not see it as a big problem. Four — Austria, Germany, France and the Netherlands — reported a high number of cases.
Set that list of sixteen against the Article 10 register and the overlap is hard to ignore. On our own count, nine of the sixteen name no authority at all for non-consumer payment service users, one names the same central bank for both columns, and one is Poland, whose footnote says its contact points are not competent for cases against payment service users. Five of the sixteen — Cyprus, Denmark, Estonia, Finland and Slovakia — have a designated second-column authority. Austria is the counter-example that keeps this from being a clean rule: it reports a high number of cases and has no second-column entry.
The same slide deck contains the arithmetic that settles what those returns are worth. Alongside the members’ own complaint counts it prints the figures from Accept My IBAN, a reporting platform run by a coalition of payment firms including Wise, Revolut, Raisin and N26 — an interested party, since these are the issuers whose IBANs get refused. For Spain in 2022 the platform counts 301 reports; the Spanish authorities’ return for the same year is 8. For Italy in 2022 the platform counts 126; the Italian return, from the competition authority and the central bank together, is 20. On our own arithmetic, factors of roughly 37.6 and 6.3. France points the same way but the periods do not line up — 658 platform reports in 2021 against 45 reported by the DGCCRF for 2021 to the first quarter of 2022 — so it should not be reduced to a ratio.
The deck then records the members’ view of their own countermeasures: “All countries reporting IBAN discrimination to be an issue, also think the measures taken against them are efficient.” It immediately adds the market’s view, that the problem remains after almost a decade and “might even be bigger, it just does not surface or come into the awareness of the authorities”. A regime in which the supervised party grades itself is a pattern this publication has met before, and it produces the same artefact each time: a number that is true about the measurer and silent about the thing measured.
The Commission’s own suggested next steps in that deck ask competent authorities to “move from a ‘waiting for complaints’ approach to an active one” and to “impose without delay appropriate fines of sufficient level to provide clear incentives”. That was February 2024. The next penalty this research found anywhere in the Union is the Italian one of February 2026.
The case for the payee, put at its strongest
The payee’s position is not weak, and the forum’s own survey sets it out. The reasons members reported for refusal: the cost of upgrading legacy systems to store, process and reconcile non-domestic IBANs; forms, mandates and online documentation never updated; lack of awareness or misreading of the law; extra legal cost and dedicated processes to handle, reject or refund a direct debit in another country; and fear of greater payment fraud risk with a foreign IBAN.
That last fear is not invented. The European Court of Auditors, in its special report 01/2025 on digital payments — adopted on 26 November 2024, covering 2013 to the end of 2023 — records that the European Banking Authority found fraud rates for cross-border transactions to be as much as nine times higher than for domestic ones. A payee reading that figure and then declining a foreign account is behaving rationally on the number in front of it. In Case C-28/18 Deutsche Bahn put the same argument in money, estimating that credit checks on customers in other member states cost fifteen times as much; the figure is the defendant’s own estimate, recorded by the European Consumer Centres Network in its position paper of 3 July 2025, and it lost the case anyway.
There is also a structural point in the payee’s favour that no enforcement design removes. A payment service provider is licensed, registered, inspected and reportable. A payee is anyone who sells anything: no register, no authorisation to withdraw, no capital requirement, no supervisory relationship to lean on. Designing an enforcement regime for that population is genuinely harder than designing one for banks, and the member states that produced nothing in the second column were facing a problem the rest of the regulation does not solve for them.
Penalties that have a range and no reported total
Article 11 required member states to lay down rules on penalties by 1 February 2013, to make them effective, proportionate and dissuasive, and not to apply them to consumers. The Court of Auditors found that nine member states told the Commission what their rules were only in the first quarter of 2017 — three and a half years late, and then only in reply to a questionnaire — and that as of July 2024 France had still not notified the Commission, despite having introduced a new penalty system in 2021. French penalties run to 375,000 euros for a legal person, on the auditors’ account, and the number of French cases fell significantly after they came in.
On the spread, the auditors are precise: minimum penalties range from 250 to 10,000 euros where minimums exist at all, and maximum penalties range from 3,500 euros to, for companies, 10 million euros plus up to 10 per cent of annual turnover. They then record that the regulation “does not require the Commission to assess them”, and that a suggestion from the European Forum for Innovation in Payments that fines should be proportionate to the cost of compliance “has not yet led to any adjustments to the fine levels”.
What that report does not contain is any figure for penalties actually imposed, anywhere. It gives the ranges and France’s maximum, and reports no total, no count and no case. A sanction range is a statement about what could happen. It is the imposed figure that tells a finance director what will.
The auditors also located the two structural holes and asked for both to be closed. At paragraph 93 they note, “in the context of diverging enforcement among member states”, that “the SEPA Regulation is not mentioned in Regulation (EU) 2017/2394 on cooperation between national authorities responsible for the enforcement of consumer protections laws” — the instrument that sets minimum investigation and enforcement powers for cross-border infringements. At paragraph 96 they note that the SEPA Regulation falls outside the scope of the European Banking Authority’s activities under Article 1 of Regulation (EU) No 1093/2010, so “the EBA cannot assess the supervisory convergence of national competent authorities in this field”. Recommendation 4 asks the Commission to propose adding the SEPA Regulation to both. The target implementation date is the end of 2027.
The 2026 reporting system counts four things
Meanwhile a reporting apparatus for the SEPA Regulation has finally been built, and it is worth reading for what it measures. Commission Implementing Regulation (EU) 2025/1979 of 1 October 2025 lays down the templates: payment service providers report charges for credit transfers, for instant credit transfers and for payment accounts, and the share of instant credit transfers rejected in a given year as a result of targeted financial restrictive measures, split between national and cross-border. On 1 April 2026 the European Banking Authority adopted Decision EBA/DC/635, routing that data from national competent authorities to the Authority through its EUCLID system and on to the Commission, annually by 9 October, with the first submission reaching back to 26 October 2022. Article 3 of the decision requires the authorities to maintain the list of payment service providers in scope.
Four measures, one list, and every one of them describes a payment service provider. The first harmonised European data collection under the SEPA Regulation contains no field for the conduct Article 9 prohibits and no list of the parties Article 9 binds. That is not a criticism of the implementing regulation, which was written to serve the instant payments amendment. It is an observation about what will be measurable in 2027, when the auditors’ recommendation falls due.
What this does not tell you
Held firmly: the two columns of the Commission’s Article 10 table describe different populations, twelve member states have nothing in the second, and both leading judgments on Article 9 were brought by private bodies.
With reasonable confidence: the gap between platform reports and national returns in Spain and Italy is too large to be explained by definitional differences alone, and the sixteen “no discrimination” returns include several countries with nobody designated to look.
Cautiously, and no further: none of this establishes that designation causes detection. Austria reports a high case count with an empty second column, which is enough on its own to defeat a simple rule. The Commission’s table records November 2020 and member states may have designated authorities since without the table showing it; a count of designations is not a count of enforcement activity. The Accept My IBAN figures come from firms that issue the IBANs being refused, and the auditors say the platform data “is likely to reflect the problem only very partially” — which cuts against using it as a denominator in either direction. Wettbewerbszentrale’s complaint counts are its own, published to show a desk is working. And the absence of an imposed-penalty total is an absence of published data, not proof that no penalties were imposed.
The general lesson
A prohibition needs three things to operate: an addressee, a supervisor with a mandate over that addressee, and a measurement that would show whether the addressee complies. Article 9 has the first. The Commission’s own register shows that the second is missing or unassigned in about half the Union. The 2026 reporting decision shows that the third has just been built for somebody else.
This is not unique to IBANs. European payments law repeatedly writes an obligation onto a commercial party and then hands enforcement to a financial supervisor whose perimeter is drawn around licensed institutions. The direct debit mandate sits with the collector while the burden of proving it falls on the payer’s bank, and whether a marketplace is inside the perimeter at all turns on whose agent it is rather than on what it holds. Each time the rule is correct, the supervisory line is drawn somewhere else, and the gap is filled by whoever happens to be standing there: a competition authority in Rome, a privately funded association in Bad Homburg, a consumer association in Vienna with the stamina for a preliminary reference.
The test for any such rule is simple and can be applied before it is written. Name the party the rule binds. Then name the authority that inspects that party without waiting for a complaint, and the dataset in which that party’s conduct appears. If either name is missing, the rule will be enforced by whoever is annoyed enough to sue — and the national return will say there is no problem.
Artikel 9 der SEPA-Verordnung verbietet dem Zahlungsempfänger, darauf zu bestehen, dass das Konto seines Kunden in einem bestimmten Land liegt. Artikel 10 derselben Verordnung trägt den Mitgliedstaaten auf, Behörden zu benennen, welche die Einhaltung „durch Zahlungsdienstleister” überwachen. Die Partei, an die sich das Verbot richtet, und die Partei, über die die Aufsicht wacht, sind nicht dieselbe — und das Verzeichnis, das die Europäische Kommission selbst zu Artikel 10 führt, zeigt die Folge. Zählt man diese Tabelle aus, benennen elf von siebenundzwanzig Mitgliedstaaten eine gesonderte Stelle für Zahlungsdienstnutzer, die keine Verbraucher sind. Zwölf benennen gar keine. Deutschland benennt eine Liste von Kammern mit Klagebefugnis nach dem Lauterkeitsrecht. Wo niemand benannt ist, der den Händler beobachtet, wird der Händler nicht beobachtet — und die nationale Rückmeldung nach Brüssel lautet, es gebe kein Problem.
Was die Regel sagt und wen sie bindet
Die Verordnung (EU) Nr. 260/2012, die SEPA-Verordnung, gilt seit 2014. Artikel 9 besteht aus zwei kurzen Absätzen. Ein Zahler, der eine Überweisung an einen Zahlungsempfänger mit Konto in der Union vornimmt, darf den Mitgliedstaat dieses Kontos nicht vorgeben; ein Zahlungsempfänger, der eine Lastschrift einzieht, darf den Mitgliedstaat des Zahlerkontos nicht vorgeben. Beide Konten müssen lediglich über das Verfahren erreichbar sein. Die Ablehnung eines Kontos, weil dessen internationale Kontonummer mit den falschen zwei Buchstaben beginnt, trägt inzwischen den Namen IBAN-Diskriminierung; das Glossar des Europäischen Rechnungshofs definiert sie als Zahlungen im einheitlichen Euro-Zahlungsverkehrsraum, „die nur von oder auf ein inländisches Euro-Zahlungskonto möglich sind”.
Das Verbot gilt unmittelbar, und es ist erprobt. In der Rechtssache C-28/18 entschied der Gerichtshof der Europäischen Union am 5. September 2019, Artikel 9 Absatz 2 stehe einer Vertragsklausel entgegen, die die SEPA-Lastschrift ausschließt, wenn der Zahler nicht im selben Mitgliedstaat wohnt wie der Zahlungsempfänger. Das Verfahren hieß Verein für Konsumenteninformation gegen Deutsche Bahn, und es kam nach Luxemburg, weil ein österreichischer Verbraucherverein es dorthin trug. Fünf Monate später, am 6. Februar 2020, entschied der Bundesgerichtshof in der Sache I ZR 93/18, dass die Weigerung, ein luxemburgisches Konto für eine Lastschrift zu akzeptieren, nicht nur Verbraucherschutzrecht verletzt, sondern eine Marktverhaltensregel im Sinne des Gesetzes gegen den unlauteren Wettbewerb. Geklagt hatte die Wettbewerbszentrale, ein privater Verein.
Beide führenden europäischen Entscheidungen zu Artikel 9 wurden von privaten Einrichtungen erstritten. Keine ging von einer Aufsichtsbehörde aus.
Das Verzeichnis, das die Lücke zeigt
Artikel 10 verpflichtet die Mitgliedstaaten, die für die Einhaltung zuständigen Behörden zu benennen. Die Europäische Kommission führt darüber eine Tabelle. Die auf ihren Finanzseiten veröffentlichte Fassung hat zwei Spalten. Die erste ist überschrieben: „Zuständige Behörde für die Einhaltung durch Zahlungsdienstleister (PSPs) wie Banken.” Die zweite: „Zuständige Behörde für die Einhaltung durch Zahlungsdienstnutzer (PSUs), die keine Verbraucher sind, etwa Unternehmen oder öffentliche Stellen.” Für Artikel 9 zählt die zweite Spalte, denn der Telekommunikationsanbieter, der Versicherer, das Verkehrsunternehmen und das Finanzamt sind Zahlungsdienstnutzer, keine Zahlungsdienstleister.
Liest man diese Spalte herunter und zählt sie aus — es handelt sich um unsere eigene Auszählung der Kommissionstabelle, nicht um eine von der Kommission veröffentlichte Zahl —, ergibt sich Folgendes. Elf Mitgliedstaaten benennen eine gesonderte Stelle für gewerbliche Nutzer: Belgien, Zypern, Dänemark, Estland, Finnland, Frankreich, Irland, Italien, die Niederlande, die Slowakei und Spanien. Zwölf benennen in dieser Spalte überhaupt nichts: Österreich, Bulgarien, Tschechien, Ungarn, Lettland, Litauen, Luxemburg, Malta, Portugal, Rumänien, Slowenien und Schweden. Zwei nennen in beiden Spalten dieselbe Zentralbank, Griechenland und Kroatien. Deutschland nennt weder eine Behörde noch ein Gericht, sondern ein Dokument: die Bundesliste der Industrie-, Handels- und Handwerkskammern, die nach § 8 des Gesetzes gegen den unlauteren Wettbewerb und § 3 des Unterlassungsklagengesetzes klagebefugt sind. Polen nennt zwei Kontaktstellen und nimmt sie in einer Fußnote wieder zurück: Diese Stellen seien in Verfahren gegen andere Zahlungsdienstnutzer nicht zuständig.
Zwei Eigenschaften dieser Tabelle gehören genannt, bevor man etwas darauf baut. Sie gibt den Stand vom November 2020 wieder — und sie ist das Verzeichnis, auf das die Kommission Bürger verweist, wenn sie ihnen rät, sich an die zuständige Behörde zu wenden. Und sie ist ein Verzeichnis von Benennungen, nicht von Handlungsfähigkeit: Eine benannte Behörde kann untätig bleiben, ein Mitgliedstaat ohne Benennung kann über allgemeines Verbraucherrecht tätig werden. Die Auszählung belegt, wo ein eigener Auftrag besteht, nicht, wo durchgesetzt wird.
Deutschland: die zuständige Stelle finanziert sich privat
Was Deutschlands Eintrag praktisch bedeutet, lässt sich an der Organisation ablesen, welche die Lücke füllt. Die Wettbewerbszentrale richtete im Juni 2017 eine eigene Beschwerdestelle zur SEPA-Diskriminierung ein und schreibt selbst, sie habe das auf Anregung ihrer Mitglieder und in Abstimmung mit der Bundesanstalt für Finanzdienstleistungsaufsicht und der Bundesbank getan. Die beiden öffentlichen Stellen, die die Arbeit hätten übernehmen können, haben sie nicht übernommen; ein privater Verein hat es getan, mit ihrem Einverständnis.
Die eigenen Zahlen des Vereins — von ihm veröffentlicht und damit von einer Partei mit Interesse daran, die Nützlichkeit der Stelle zu zeigen — lauten so. Bis April 2020 hatte er mehr als 900 Beschwerden bearbeitet. Fünfzehn davon waren als Unterlassungsklagen vor Gericht gegangen, dreizehn abgeschlossen, zwei anhängig. Für 2022 verzeichnete er etwas über 100, für 2023 mehr als 130 Beschwerden, einen Anstieg von rund 30 Prozent; im Schnitt erhebt er fünf Klagen im Jahr. Nach unserer eigenen Rechnung sind fünfzehn Klagen auf über neunhundert Beschwerden 1,7 Prozent; der weit überwiegende Rest endete in einer außergerichtlichen Unterlassungserklärung.
Die Wettbewerbszentrale beschreibt sich als Selbstkontrollinstitution der Wirtschaft, getragen von mehr als 1.100 Unternehmen sowie über 800 Kammern und Verbänden, allein aus der Wirtschaft finanziert und ohne öffentliche Mittel. Sie ist damit in keinem Sinne eine Aufsicht, den die SEPA-Verordnung anerkennen würde, und sie kann nur dort handeln, wo sich das Interesse eines Wettbewerbers mit dem eines Verbrauchers deckt. Dass beides meist zusammenfällt, ist ein Glücksfall, keine Konstruktion. Wie teuer eine Stufe der Eskalation ist, entscheidet darüber, wie viele Streitfälle sie überhaupt erreichen — und die Stufe über der Unterlassungserklärung ist hier das Landgericht.
Italien: die Wettbewerbsbehörde macht es
Italien gehört zu den elf. Seine Stelle in der zweiten Spalte ist die Autorità Garante della Concorrenza e del Mercato, die Wettbewerbs- und Verbraucherbehörde, und sie hat von der Befugnis Gebrauch gemacht. Im April 2019 verhängte sie gegen Vodafone Italia und Wind Tre je 800.000 Euro und gegen Fastweb 600.000 Euro, weil sie die Lastschriftabbuchung von nicht-italienischen IBANs verweigert hatten — nach den eigenen Angaben der Behörde 2,2 Millionen Euro insgesamt —, während sie gegenüber TIM Verpflichtungszusagen annahm statt zu sanktionieren. 2020 kam sie auf dasselbe Verhalten zurück und verhängte gegen Vodafone weitere 500.000 und gegen Wind Tre weitere 300.000 Euro.
Der jüngste Fall ist der aufschlussreichste. Am 9. Februar 2026 veröffentlichte die Behörde die Mitteilung PV12B: 800.000 Euro gegen die Agos Ducato SpA nach Artikel 9. Das festgestellte Verhalten: Von 2014 bis 2023 habe das Unternehmen die Abbuchung von SEPA-IBANs außerhalb Italiens nicht zugelassen oder nur mit einem aufwendigeren Verfahren als bei italienischen Konten. Die Einordnung der Behörde verdient Wiederholung, weil hier eine Wettbewerbsbehörde spricht: IBAN-Diskriminierung „stellt eine Schranke für den europäischen Binnenmarkt dar, weil sie den freien Verkehr von Finanzdienstleistungen behindert”.
Daraus folgt zweierlei. Nach unserer eigenen Rechnung sind 800.000 Euro für ein Verhalten von 2014 bis 2023 rund 89.000 Euro je Verstoßjahr. Und die Agos Ducato ist ein Konsumkreditinstitut: Italiens Aufsicht über Zahlungsdienstleister ist die Banca d’Italia, die in der ersten Spalte der Kommissionstabelle steht. Die Geldbuße kam von der Stelle aus der zweiten Spalte — gegen dasselbe Unternehmen, aber in seiner Eigenschaft als Zahlungsempfänger.
Was „bei uns kein Problem” in der Umfrage bedeutet
Im Juni 2023 schickten die Vorsitzenden des European Forum for Innovation in Payments, eines gemeinsamen Gremiums von Europäischer Kommission und Europäischer Zentralbank, ihren Mitgliedern einen Fragebogen zur IBAN-Diskriminierung. Die Ergebnisse trug das Sekretariat des Forums zusammen mit der Generaldirektion Finanzstabilität, Finanzdienstleistungen und Kapitalmarktunion der Kommission am 12. Februar 2024 vor. Sechsundzwanzig von siebenundzwanzig Mitgliedern antworteten. Sechzehn davon, 62 Prozent, meldeten, in ihrem Land gebe es keine IBAN-Diskriminierung: Bulgarien, Tschechien, Zypern, Dänemark, Estland, Finnland, Kroatien, Ungarn, Litauen, Luxemburg, Lettland, Malta, Polen, Rumänien, Schweden und die Slowakei. Sechs meldeten einzelne Fälle, ohne darin ein großes Problem zu sehen. Vier — Österreich, Deutschland, Frankreich und die Niederlande — meldeten eine hohe Zahl von Fällen.
Hält man diese Liste der sechzehn gegen das Verzeichnis zu Artikel 10, ist die Überschneidung schwer zu übersehen. Nach unserer eigenen Auszählung benennen neun der sechzehn überhaupt keine Stelle für gewerbliche Zahlungsdienstnutzer, eines nennt in beiden Spalten dieselbe Zentralbank, und eines ist Polen, dessen Fußnote die Zuständigkeit gerade ausschließt. Fünf der sechzehn — Zypern, Dänemark, Estland, Finnland und die Slowakei — haben eine benannte Stelle in der zweiten Spalte. Österreich ist das Gegenbeispiel, das eine saubere Regel verhindert: Es meldet viele Fälle und hat keinen Eintrag in der zweiten Spalte.
Derselbe Foliensatz enthält die Rechnung, die klärt, was die Rückmeldungen wert sind. Neben den Beschwerdezahlen der Mitglieder druckt er die Zahlen von Accept My IBAN ab, einer Meldestelle eines Verbunds von Zahlungsdienstleistern, darunter Wise, Revolut, Raisin und N26 — eine interessierte Partei, denn es sind die Herausgeber jener IBANs, die abgelehnt werden. Für Spanien zählt die Plattform 2022 301 Meldungen; die spanische Rückmeldung für dasselbe Jahr lautet 8. Für Italien zählt die Plattform 2022 126; die italienische Rückmeldung, von Wettbewerbsbehörde und Zentralbank gemeinsam, lautet 20. Nach unserer eigenen Rechnung sind das Faktoren von rund 37,6 und 6,3. Frankreich weist in dieselbe Richtung, doch die Zeiträume decken sich nicht — 658 Plattformmeldungen 2021 gegen 45, welche die DGCCRF für 2021 bis zum ersten Quartal 2022 meldet —, weshalb daraus kein Verhältnis gebildet werden sollte.
Anschließend hält der Foliensatz fest, wie die Mitglieder ihre eigenen Gegenmaßnahmen beurteilen: „Alle Länder, die IBAN-Diskriminierung als Problem melden, halten die dagegen ergriffenen Maßnahmen auch für wirksam.” Unmittelbar darauf folgt die Sicht des Marktes, das Problem bestehe nach fast einem Jahrzehnt fort und sei „womöglich sogar größer, es tritt nur nicht zutage und gelangt nicht ins Bewusstsein der Behörden”. Ein Regime, in dem die geprüfte Seite sich selbst benotet, ist ein Muster, dem diese Publikation schon einmal begegnet ist, und es erzeugt jedes Mal dasselbe Artefakt: eine Zahl, die über den Messenden wahr ist und über das Gemessene schweigt.
Die von der Kommission im selben Foliensatz vorgeschlagenen nächsten Schritte fordern die zuständigen Behörden auf, „von einem abwartenden Beschwerdeansatz zu einem aktiven überzugehen” und „ohne Verzug angemessene Geldbußen in einer Höhe zu verhängen, die klare Anreize setzt”. Das war im Februar 2024. Die nächste Geldbuße, die diese Recherche irgendwo in der Union gefunden hat, ist die italienische vom Februar 2026.
Die Sicht des Zahlungsempfängers, in ihrer stärksten Form
Die Position des Zahlungsempfängers ist nicht schwach, und die Umfrage des Forums legt sie offen. Als Gründe für die Ablehnung nannten die Mitglieder: die Kosten, Altsysteme so zu erneuern, dass sie nicht-inländische IBANs speichern, verarbeiten und abstimmen können; Formulare, Mandate und Hilfeseiten, die nie aktualisiert wurden; fehlende Kenntnis oder falsches Verständnis der Rechtslage; zusätzliche Rechtskosten und eigene Abläufe, um eine Lastschrift in einem anderen Land zu bearbeiten, zurückzuweisen oder zu erstatten; und die Furcht vor höherem Betrugsrisiko bei einem ausländischen IBAN.
Diese letzte Furcht ist nicht erfunden. Der Europäische Rechnungshof hält in seinem Sonderbericht 01/2025 zum digitalen Zahlungsverkehr — angenommen am 26. November 2024, Prüfzeitraum 2013 bis Ende 2023 — fest, die Europäische Bankenaufsichtsbehörde habe für grenzüberschreitende Zahlungen bis zu neunmal höhere Betrugsquoten als für inländische festgestellt. Wer diese Zahl liest und daraufhin ein ausländisches Konto ablehnt, handelt rational auf der ihm vorliegenden Grundlage. In der Rechtssache C-28/18 rechnete die Deutsche Bahn dasselbe Argument in Geld um und schätzte, Bonitätsprüfungen bei Kunden in anderen Mitgliedstaaten kosteten das Fünfzehnfache; die Zahl ist die Schätzung der Beklagten, festgehalten vom Netz der Europäischen Verbraucherzentren in seinem Positionspapier vom 3. Juli 2025 — und verloren hat sie das Verfahren trotzdem.
Hinzu kommt ein struktureller Punkt zugunsten des Zahlungsempfängers, den keine Aufsichtskonstruktion ausräumt. Ein Zahlungsdienstleister ist zugelassen, registriert, geprüft und meldepflichtig. Ein Zahlungsempfänger ist jeder, der irgendetwas verkauft: kein Register, keine entziehbare Erlaubnis, keine Eigenmittelanforderung, keine Aufsichtsbeziehung, an der man ansetzen könnte. Für diese Gruppe ein Durchsetzungsregime zu entwerfen, ist wirklich schwerer als für Banken — und die Mitgliedstaaten, die in der zweiten Spalte nichts eingetragen haben, standen vor einem Problem, das der Rest der Verordnung ihnen nicht löst.
Sanktionen mit Rahmen und ohne berichtete Summe
Artikel 11 verpflichtete die Mitgliedstaaten, bis zum 1. Februar 2013 Sanktionsvorschriften festzulegen, sie wirksam, verhältnismäßig und abschreckend auszugestalten und sie nicht auf Verbraucher anzuwenden. Der Rechnungshof stellte fest, dass neun Mitgliedstaaten der Kommission ihre Regeln erst im ersten Quartal 2017 mitteilten — dreieinhalb Jahre zu spät und erst auf einen Fragebogen hin — und dass Frankreich der Kommission bis Juli 2024 noch immer nichts gemeldet hatte, obwohl es 2021 ein neues Sanktionssystem eingeführt hatte. Die französischen Sanktionen reichen nach Darstellung des Rechnungshofs bis 375.000 Euro für eine juristische Person, und die Zahl der französischen Fälle ging danach deutlich zurück.
Beim Rahmen wird der Rechnungshof genau: Mindestbußen liegen, soweit es überhaupt welche gibt, zwischen 250 und 10.000 Euro, Höchstbußen zwischen 3.500 Euro und — bei Unternehmen — 10 Millionen Euro zuzüglich bis zu 10 Prozent des Jahresumsatzes. Anschließend hält er fest, die Verordnung verpflichte die Kommission nicht, diese Sanktionen zu bewerten, und die Anregung des European Forum for Innovation in Payments, Bußgelder an den Kosten der Umstellung auszurichten, habe „bislang zu keinen Anpassungen der Bußgeldhöhen geführt”.
Was dieser Bericht nicht enthält, ist irgendeine Zahl zu tatsächlich verhängten Sanktionen, in keinem Mitgliedstaat. Er nennt die Rahmen und den französischen Höchstbetrag; er nennt keine Summe, keine Fallzahl und keinen Einzelfall. Ein Sanktionsrahmen sagt, was geschehen könnte. Erst der verhängte Betrag sagt einem kaufmännischen Leiter, was geschieht.
Die Prüfer haben auch die beiden strukturellen Löcher gefunden und verlangen, beide zu schließen. In Ziffer 93 vermerken sie „im Zusammenhang mit der auseinanderlaufenden Durchsetzung zwischen den Mitgliedstaaten”, dass die SEPA-Verordnung in der Verordnung (EU) 2017/2394 über die Zusammenarbeit der für die Durchsetzung des Verbraucherschutzrechts zuständigen nationalen Behörden nicht genannt wird — jenem Rechtsakt, der Mindestbefugnisse zur Ermittlung und Durchsetzung bei grenzüberschreitenden Verstößen festlegt. In Ziffer 96 halten sie fest, die SEPA-Verordnung falle nach Artikel 1 der Verordnung (EU) Nr. 1093/2010 nicht in den Tätigkeitsbereich der Europäischen Bankenaufsichtsbehörde, weshalb diese „die aufsichtliche Konvergenz der nationalen zuständigen Behörden in diesem Bereich nicht bewerten kann”. Empfehlung 4 fordert die Kommission auf, beides zu ändern. Zieltermin ist Ende 2027.
Das Meldewesen von 2026 zählt vier Dinge
Unterdessen ist ein Meldewesen zur SEPA-Verordnung tatsächlich entstanden, und es lohnt sich zu lesen, was es misst. Die Durchführungsverordnung (EU) 2025/1979 vom 1. Oktober 2025 legt die Meldebögen fest: Zahlungsdienstleister melden Entgelte für Überweisungen, für Echtzeitüberweisungen und für Zahlungskonten sowie den Anteil der Echtzeitüberweisungen, die in einem Jahr wegen gezielter finanzieller restriktiver Maßnahmen zurückgewiesen wurden, getrennt nach inländisch und grenzüberschreitend. Am 1. April 2026 fasste die Europäische Bankenaufsichtsbehörde den Beschluss EBA/DC/635, der diese Daten von den nationalen Behörden über das System EUCLID an die Behörde und von dort an die Kommission leitet, jährlich bis zum 9. Oktober, erstmals rückwirkend bis zum 26. Oktober 2022. Artikel 3 des Beschlusses verlangt von den Behörden, die Liste der einbezogenen Zahlungsdienstleister zu pflegen.
Vier Messgrößen, eine Liste — und jede einzelne beschreibt einen Zahlungsdienstleister. Die erste harmonisierte europäische Datenerhebung unter der SEPA-Verordnung enthält kein Feld für das Verhalten, das Artikel 9 verbietet, und keine Liste der Parteien, die Artikel 9 bindet. Das ist kein Vorwurf an die Durchführungsverordnung, die für die Echtzeitüberweisungs-Novelle geschrieben wurde. Es ist eine Feststellung darüber, was 2027 messbar sein wird, wenn die Empfehlung des Rechnungshofs fällig wird.
Was daraus nicht folgt
Fest vertreten: Die beiden Spalten der Kommissionstabelle beschreiben verschiedene Gruppen, zwölf Mitgliedstaaten haben in der zweiten nichts stehen, und beide führenden Urteile zu Artikel 9 wurden von privaten Einrichtungen erstritten.
Mit vernünftiger Sicherheit: Der Abstand zwischen Plattformmeldungen und Behördenrückmeldungen in Spanien und Italien ist zu groß, um sich allein durch abweichende Definitionen zu erklären, und unter den sechzehn Meldungen „keine Diskriminierung” sind mehrere Länder, in denen niemand benannt ist, der hinsehen könnte.
Vorsichtig, und nicht weiter: Nichts davon belegt, dass die Benennung die Entdeckung verursacht. Österreich meldet viele Fälle bei leerer zweiter Spalte, was für sich genommen jede einfache Regel widerlegt. Die Tabelle gibt den Stand November 2020 wieder; Mitgliedstaaten können seither benannt haben, ohne dass die Tabelle es zeigt, und eine Zählung von Benennungen ist keine Zählung von Durchsetzungstätigkeit. Die Zahlen von Accept My IBAN stammen von Unternehmen, deren IBANs abgelehnt werden, und der Rechnungshof schreibt, die Plattformdaten bildeten das Problem „wahrscheinlich nur sehr teilweise” ab — was gegen ihre Verwendung als Nenner in beide Richtungen spricht. Die Beschwerdezahlen der Wettbewerbszentrale sind ihre eigenen, veröffentlicht, um die Arbeit einer Stelle zu belegen. Und das Fehlen einer Summe verhängter Sanktionen ist ein Fehlen veröffentlichter Daten, kein Beleg dafür, dass keine verhängt wurden.
Die allgemeine Lehre
Ein Verbot braucht dreierlei, um zu wirken: einen Adressaten, eine Aufsicht mit einem Auftrag über diesen Adressaten, und eine Messung, die zeigen würde, ob er sich daran hält. Artikel 9 hat das Erste. Das Verzeichnis der Kommission zeigt, dass das Zweite in etwa der halben Union fehlt oder nicht zugewiesen ist. Der Beschluss von 2026 zeigt, dass das Dritte gerade für jemand anderen gebaut wurde.
Das ist keine Eigenheit der IBANs. Das europäische Zahlungsverkehrsrecht schreibt immer wieder eine Pflicht einer gewerblichen Partei zu und übergibt die Durchsetzung dann einer Finanzaufsicht, deren Grenze um zugelassene Institute gezogen ist. Das Lastschriftmandat liegt beim Einziehenden, während die Beweislast dafür die Zahlerbank trifft, und ob ein Marktplatz überhaupt innerhalb der Grenze liegt, hängt daran, für wen er handelt, und nicht daran, was er hält. Jedes Mal ist die Regel richtig, die Aufsichtslinie verläuft woanders, und die Lücke füllt, wer zufällig danebensteht: eine Wettbewerbsbehörde in Rom, ein privat finanzierter Verein in Bad Homburg, ein Verbraucherverein in Wien mit dem Atem für ein Vorabentscheidungsverfahren.
Die Probe für jede solche Regel ist einfach und lässt sich anstellen, bevor sie geschrieben wird. Man benenne die Partei, die die Regel bindet. Dann benenne man die Behörde, die diese Partei prüft, ohne auf eine Beschwerde zu warten, und den Datensatz, in dem das Verhalten dieser Partei auftaucht. Fehlt einer der beiden Namen, wird die Regel von dem durchgesetzt, den es genug ärgert, um zu klagen — und die nationale Rückmeldung wird lauten, es gebe kein Problem.
