Merchants can leave the acquiring contract on a month’s notice. The terminal and the card file stay behind
Den Annahmevertrag kann der Händler mit einem Monat kündigen. Terminal und Kartendatei bleiben zurück
A small British merchant that wants to leave its card acquirer usually has the law on its side. The payment services contract can be ended at any time on at most a month’s notice, free of charge after six months — and for a micro-enterprise that protection cannot be signed away. What keeps merchants in place sits next to the contract: a terminal that, in the regulator’s own words, “typically cannot” be used with a new acquirer, and, for anyone selling online, a file of stored customer cards held in the old provider’s vault. The UK Payment Systems Regulator set out in 2022 to make terminals portable, dropped the idea as too costly, and capped the length of terminal leases instead. The card file was never on its list of problems.
The part that is already easy to leave
Start with the law, because most discussions of switching do not. Under the UK’s Payment Services Regulations 2017, which transpose the EU’s second Payment Services Directive, “acquiring payment transactions” is a payment service in its own right (Schedule 1, Part 1, paragraph 1(e)). An acquirer is the firm that contracts with a merchant to accept card payments and pay the money out, and its ongoing agreement is what the Regulations call a framework contract.
Regulation 51 governs how such a contract ends. The user “may terminate the framework contract at any time unless the parties have agreed on a period of notice not exceeding one month”. Any charge “must reasonably correspond to the actual costs” of termination, and none may be levied “after the expiry of 6 months of the contract”. Larger businesses can contract out of this: regulation 40(7) lets the parties disapply these provisions — but only “if the payment service user is not a consumer, a micro-enterprise or a charity”. The smallest merchants keep the right whether they read their contract or not.
The regulator’s own market review confirms that the acquiring contract is rarely the obstacle. In its final report of November 2021 (MR18/1.8), the Payment Systems Regulator (PSR) concluded that card acquiring “does not work well” for merchants with annual card turnover up to £50 million and named three features holding them back: opaque pricing; acquiring contracts of indefinite duration, so that nothing ever prompts a merchant to look around; and the terminal. A merchant “typically cannot use its existing POS terminal with a new card-acquirer”, the PSR wrote, and so “could incur a significant early termination fee when cancelling its existing POS terminal contract, even if no such fee would apply when cancelling its card-acquiring services contract”.
That last clause is the whole problem in one sentence. The contract that is a payment service is cheap to leave. The contract for the box on the counter is not a payment service, sits outside regulation 51, and could run, the PSR noted, for “three and five years”, sometimes renewing automatically, with exit fees that “can include, for instance, all outstanding payments due up to the end of the initial/renewal term”. Acquirers, the PSR found, “typically charge between £10 and £40 per month to hire a POS terminal”, while the largest payment facilitators sold card readers outright for £15 to £45. On illustrative numbers inside that range — £25 a month, a five-year term, a merchant leaving after one year — such a clause would produce an exit bill of 48 payments, or £1,200, to escape an acquiring contract that itself costs nothing to end. That is my arithmetic, not the PSR’s.
What the regulator first wanted to fix
The interesting part of the record is the remedy the PSR set out to impose and then dropped. In its first remedies consultation in January 2022 (CP22/1), it split the terminal problem into “contractual barriers to switching”, such as early termination fees, and “technical barriers”, meaning “lack of interoperability of POS terminals with an alternative card-acquiring service”. It said it would go after the technical barrier first: “If we find that it is not possible to remedy the feature of concern in this way, we will consider taking action to address contractual barriers directly.”
The same document is precise about what the technical barrier is. “Physical reconfiguration of terminals is required for them to work with a new card-acquiring service.” Terminals “require certification by each card-acquirer for each payment scheme they operate”. And the operator of the terminal management system — the back-office software that keeps the device configured — “may not support terminals in the new card-acquirer estate”, in which case “changing terminal manager requires unlocking and resetting of cryptographic keys”.
Read together, those sentences describe a device the merchant does not own in any functional sense, even when it pays for it. Its keys, configuration and certification belong to an acquirer’s estate. The PSR called the fix “portability” — “the ability to use the same POS terminal when a merchant switches between acquirers” — and listed its benefits: no termination fees on switching, more switching, more competition, less electronic waste.
What it fixed instead
Five months later the plan had changed. In its provisional decision of June 2022 (CP22/3), the PSR reported that most respondents saw “technically and operationally complex implementation” that “would be costly”. It had taken “expert technical advice”. And it noted that terminals were increasingly bundled with till systems in a way “particular to a card-acquiring service provider”, which “usually makes switching harder”, while cheap readers and phone-based acceptance were spreading.
It decided “not to mandate POS terminal portability”, for two reasons: technology “appears to be providing alternative more flexible card acceptance options” and intervention “could have the undesirable effect of dampening innovation”; and “the benefits we have identified through portability can also be achieved by less costly contractual remedies”. It would “monitor developments”.
The contractual remedy became Specific Direction 16, in force since 6 January 2023. It covers merchants with card turnover up to £10 million using one of the directed providers — initially fourteen, covering about 95% of UK card transactions by the PSR’s estimate. Any contract that includes a POS terminal may have an initial term of at most 18 months, then rolls monthly with a month’s notice; exit fees must be “cost based, transparent” and explained in advance. Where a sales organisation or leasing company supplies the terminal, the acquirer must ensure it complies.
Two details matter more than the headline. The first is the definition: a POS terminal is “an electronic device that a merchant uses to accept a card in a card-present transaction without the need to connect to a smartphone or tablet”. The readers the PSR cited as the market’s way out are outside the rule — consistent with its reasoning, but it means the rule covers exactly the segment technology was not expected to rescue. The second is what the direction leaves alone. It shortens the period during which leaving the terminal is expensive. It does nothing about the terminal’s inability to follow the merchant. After 18 months the merchant still needs a new device from the new acquirer; the old one can now be returned for a month’s rent instead of years of it. The lock is cheaper to break. It has not been removed.
The final decision of October 2022 (PS22/2) is candid about whom this hurt. Around twenty responses, mostly from independent sales organisations — the commission-earning firms that sign merchants up for acquirers, described in the piece on a sales channel that is registered but never published — said they could not recover their costs in 18 months. One gave numbers: the cost of a sale through an ISO, terminal and salesperson’s commission included, is “around £800”, and recovering it over 18 months instead of three years “would increase monthly payments by around £22”. The arithmetic holds: £800 over 36 months is £22.22, over 18 months £44.44. The PSR replied that refurbishment could lower costs — about £80–100 to reconfigure a used terminal against roughly £290 wholesale for a new one — while recording that refurbished devices made up 26% to 70% of acquirers’ merchant estates but zero to 30% of ISOs’, and conceding that some ISOs’ ability to adapt “could potentially be limited”.
That exchange is the clearest evidence of what the long terminal contract was for. A device costing about £290 was financed over three to five years because the term carried the price of winning the merchant. The terminal was the instrument through which a merchant’s future switching cost was sold to whoever had signed it up. The security side of the same hardware is in the piece on the terminal as a permission rather than a device.
The lock nobody listed
For a merchant selling online, there is no terminal. There is a file: every customer who saved a card, every monthly subscription, every account billed on usage. The payment provider holds it, because storing raw card numbers would require the merchant to meet the full Payment Card Industry Data Security Standard (PCI DSS), the networks’ security rulebook. Most small merchants avoid that by letting the provider keep the cards. When they leave, their references are useless; the cards have to move.
The market review touches online switching once, for the largest merchants, which “sometimes face significant switching costs – for example, due to the complexity of integrating payments with their systems”. It also notes that many online merchants pick a shop platform first and accept whatever acquirer it integrates — Stripe was then the sole provider behind Shopify Payments in the UK, with merchants “opted in by default”. It does not list the stored-card file among the features restricting small merchants, and none of the remedies addresses it. What governs the file is each provider’s published process. Two large acquirers describe theirs openly.
Stripe’s documentation opens with a principle: “We believe our customers own the sensitive data they entrust to Stripe.” It will transfer card data “only … to another PCI DSS Level 1-compliant payment processor” that supplies its attestation of compliance, or appears on Visa’s registry of service providers, and a 4096-bit key hosted on its own domain. Two exclusions follow. “Stripe doesn’t export your account’s payment history, subscriptions, or other objects.” And cards saved through Link, Stripe’s own one-click checkout, do not move: “We exclude any credentials saved through Link from our exports.”
Adyen’s help page takes the same view of ownership — “As you are the owner of this data, Adyen will of course comply with this request” — and sets five preconditions: a data processing or transfer agreement, the new provider’s attestation, a public key referenced on that provider’s website, a secure file-transfer server and a defined scope. A test export of 1,000 customer references precedes the full file. The format is fixed: “Customisation of this format is currently not possible.”
Neither process is obstructive; a merchant with a competent new provider can complete both. But they show where the friction sits. The merchant cannot receive its own customers’ card numbers. Stripe’s export leaves the subscription schedule behind, to be rebuilt. And a newer layer does not appear to travel at all.
That layer is the network token: a substitute card number issued by Visa or Mastercard and kept current when a card is replaced, which is why providers sell it on approval rates. Adyen describes a network token as “unique per combination of shopper and merchant” and says its managed tokenisation “is only applicable for payments acquired by Adyen. It cannot be used with external acquirer connections.” Its fixed export format, read column by column, has a card number and a network transaction reference but no column for a network token; Stripe’s documented example file shows none either. The new provider gets the cards and must request new tokens. Adyen separately offers to forward stored details or tokens to a PCI-compliant third party — a service the old provider chooses to offer, not one the merchant is entitled to. What those tokens cost is in the piece on token fees billed at both ends.
The network transaction reference matters too. Adyen explains that after a first payment on a stored card it is the value “you need to use for subsequent payments” — the thread linking a recurring charge to the customer’s original consent. Adyen exports it; Stripe’s example file does not show it, and the documents I read do not say whether it is supplied. So the online merchant faces the terminal merchant’s structure one layer further in. The payments contract can be ended. The asset that makes the business run belongs to the provider’s estate. The PSR examined, priced and regulated the terminal. The card file was not examined.
The case for leaving things as they are
The argument for the PSR’s choices is not weak, and it deserves its strongest form first.
Mandated portability would have meant forcing acquirers to certify and support each other’s devices across every scheme, and forcing terminal managers to hand over cryptographic control of devices they are responsible for securing — a slow, security-sensitive programme in a market whose technology was moving. The PSR’s evidence pointed to readers and phones taking over the bottom of the market; an interoperability standard for countertop terminals might have arrived just as they stopped mattering. The cap delivers most of the economic benefit at a fraction of the cost, and one provider told the PSR that more than 95% of its customers did not stay on a rolling contract once the initial term ended — merchants do act when the term runs out. Long terms also spread the cost of equipment, as the PSR itself acknowledged, and small sales firms warned that the cap would favour providers that “can afford to give away card machines”.
On stored cards the defence is stronger still. Card numbers are the most stolen data in payments, and restricting their transfer to certified processors protects cardholders. Both providers say the data belongs to the merchant and will be handed over. Network tokens are bound to a merchant and requestor because that binding is part of what makes them safe. And the PSR found that merchants who asked their provider for a better price almost always got one — “nearly 90% of those that did were successful” — so the threat of leaving works even when leaving is hard.
All of this is true. None of it touches the narrower point: the remaining barriers are ones nobody measures. The PSR knows how long terminal contracts may run, because it set the limit. No public body knows how long a card-file migration takes, how often customers must re-enter cards afterwards, or how many merchants priced that in and stayed.
What has been measured since
Very little has been published. Specific Direction 16 says the PSR “will review this direction three years and five years after the date on which it comes into force” — around January 2026 and January 2028. In December 2024 a PSR presentation marked “PSR PUBLIC” asked merchants whether they had “seen the trigger messages … and if they have ever acted on them”, how accurate the summary boxes were, and whether they had had “any issues with hiring, or terminating the hire of, POS terminals” since the 18-month limit.
The only published trace of the answers is one paragraph in the PSR Panel’s annual report for 2024–25, published in September 2025: the PSR’s “post-implementation review of Specific Directions 14 and 15” received “cautious support”, and “issues around accuracy and usability of summary and quotation boxes and the experience of smaller merchants in long-term contracts were highlighted from the review findings”. The review itself is not among the documents on the PSR’s market-review page, which on the day of writing still said “Last updated: May 2024”. I found no published three-year review of the terminal direction. The remedies decision had cited what prompts achieved elsewhere — Ofcom found end-of-contract notices raised the share of broadband customers taking a new deal by ten percentage points or more. Whether anything similar happened among merchants has not been published.
The baseline is old too. The decision relied on a UK Merchant Acceptance Council survey from late 2021 in which “only 9% of the surveyed card-accepting merchants had switched ‘offline’ services in the last 12 months and 13% had switched ‘online’ services”. It is the most recent switching figure in the record.
What this does not tell you
First, it does not show that switching is expensive for any particular merchant. The £1,200 exit bill is an illustration from the PSR’s price range, not a measured average, and directed providers’ contracts should no longer produce it. Merchants of non-directed providers, or with readers, are in a different position, and nobody has published how many there are.
Second, it does not show that card-file migrations fail. The two processes I read are open and workable. What is missing is any count of how they perform — a gap in measurement, not evidence of harm. Providers I did not read may set different conditions.
Third, it does not show what the post-implementation review found beyond one paragraph, or that the PSR has done nothing. The government has announced that the PSR’s work will move into the Financial Conduct Authority; findings may sit in unpublished documents. The missing three-year review is an absence I observed, not a decision I can attribute.
How sure each part is
Held firmly: the statutory exit right and its protection for micro-enterprises; the PSR’s finding that terminals generally cannot follow the merchant; its plan to address portability first and its decision not to; the scope of Specific Direction 16, including the exclusion of phone-linked readers; and the export conditions Stripe and Adyen publish. With reasonable confidence: that the long terminal term financed the cost of winning the merchant, which follows from the £800 and £22 figures; and that network tokens do not travel in the standard exports, which follows from the published formats and Adyen’s statement on external acquirers. Tentatively: that the card file is now a bigger switching barrier for small online merchants than any contract term. Nothing published contradicts that, and nothing published measures it.
Where lock-in goes when the contract is freed
Payments regulation works on the contract, because the contract is what the law can see. The UK did so twice here: in 2017, by giving payment service users a statutory right to leave, and in 2022, by capping the terminal lease that had grown up beside the protected contract. Each time the lock moved one step outward, to whatever sat next to the regulated relationship without being part of it — first the leased box, then the stored card. The pattern is general. A provider that cannot hold a customer by contract will hold it by an asset the customer needs and cannot carry: keys, configuration, certification, credentials, history. A regulator that wants switching has to follow the asset, not the agreement, and the first step is not a rule but a count of how often merchants try to leave and what it costs them. Almost four years after the remedies were decided, the public record on that question is nearly empty.
Ein kleiner britischer Händler, der seinen Acquirer verlassen will, hat das Gesetz meist auf seiner Seite. Den Zahlungsdienstevertrag kann er jederzeit kündigen, mit höchstens einem Monat Frist und nach sechs Monaten kostenlos – und als Kleinstunternehmen kann er auf dieses Recht nicht einmal vertraglich verzichten. Was ihn festhält, liegt neben dem Vertrag: ein Terminal, das nach den Worten der Aufsicht mit einem neuen Acquirer „typischerweise nicht“ benutzt werden kann, und, wer online verkauft, eine Datei gespeicherter Kundenkarten im Tresor des alten Anbieters. Die britische Zahlungsverkehrsaufsicht wollte 2022 die Terminals übertragbar machen, verwarf das als zu teuer und begrenzte stattdessen die Laufzeit der Mietverträge. Die Kartendatei stand nie auf ihrer Liste.
Der Teil, aus dem man leicht herauskommt
Am Anfang steht das Recht, auch wenn die meisten Debatten über den Anbieterwechsel woanders beginnen. Nach den britischen Payment Services Regulations 2017, mit denen das Vereinigte Königreich die zweite EU-Zahlungsdiensterichtlinie umgesetzt hat, ist das „acquiring payment transactions“ – die Annahme von Kartenzahlungen für einen Händler – ein eigener Zahlungsdienst (Anhang 1, Teil 1, Nummer 1(e)). Der laufende Vertrag zwischen Acquirer und Händler ist ein Rahmenvertrag im Sinne der Verordnung.
Wie ein solcher Vertrag endet, regelt Regulation 51. Der Nutzer kann ihn „jederzeit“ kündigen, sofern keine Frist von höchstens einem Monat vereinbart ist. Kündigungsentgelte müssen den tatsächlichen Kosten „angemessen entsprechen“ und sind nach sechs Monaten Laufzeit ganz ausgeschlossen. Größere Unternehmen können das abbedingen: Regulation 40(7) erlaubt es, diese Vorschriften auszuschließen – aber nur, wenn der Nutzer „kein Verbraucher, kein Kleinstunternehmen und keine gemeinnützige Einrichtung“ ist. Der kleinste Händler behält das Recht, ob er seinen Vertrag gelesen hat oder nicht.
Dass der Annahmevertrag selten das Hindernis ist, bestätigt die Aufsicht selbst. In ihrem Abschlussbericht vom November 2021 (MR18/1.8) kam der Payment Systems Regulator (PSR) zu dem Schluss, dass der Markt für Kartenakzeptanz für Händler mit bis zu 50 Millionen Pfund Kartenumsatz „nicht gut funktioniert“, und nannte drei Ursachen: undurchsichtige Preise; Verträge ohne Laufzeitende, bei denen nichts den Händler je zum Vergleichen anstößt; und das Terminal. Ein Händler könne sein Terminal „typischerweise nicht“ mit einem neuen Acquirer verwenden und müsse deshalb womöglich „eine erhebliche Gebühr für die vorzeitige Kündigung des Terminalvertrags zahlen, selbst wenn für die Kündigung des Annahmevertrags keine solche Gebühr anfiele“.
In diesem Nebensatz steckt das ganze Problem. Der Vertrag, der ein Zahlungsdienst ist, lässt sich billig beenden. Der Vertrag über das Gerät auf der Ladentheke ist kein Zahlungsdienst, fällt nicht unter Regulation 51 und lief nach Beobachtung des PSR mitunter „drei und fünf Jahre“, teils mit automatischer Verlängerung, wobei die Ablösesumme „alle bis zum Ende der Laufzeit ausstehenden Zahlungen“ umfassen konnte. Acquirer verlangten laut PSR „typischerweise zwischen 10 und 40 Pfund im Monat“ für ein Mietterminal, während die großen Zahlungsvermittler Kartenleser für 15 bis 45 Pfund verkauften. Mit Beispielwerten aus dieser Spanne – 25 Pfund im Monat, fünf Jahre Laufzeit, Ausstieg nach einem Jahr – ergäbe eine solche Klausel 48 Restraten, also 1.200 Pfund, um einen Annahmevertrag zu verlassen, der selbst nichts kostet. Das ist meine Rechnung, nicht die des PSR.
Was die Aufsicht zuerst beheben wollte
Aufschlussreich ist weniger die Maßnahme, die der PSR beschlossen hat, als die, die er zunächst vorhatte. In seiner ersten Konsultation vom Januar 2022 (CP22/1) trennte er „vertragliche Wechselhürden“ wie Ablösegebühren von „technischen Wechselhürden“, also der fehlenden Kompatibilität eines Terminals mit einem anderen Acquirer. Die technische Hürde wollte er zuerst angehen; nur wenn das nicht gelinge, werde er die vertraglichen Hürden „direkt“ in Angriff nehmen.
Dasselbe Papier beschreibt genau, worin die technische Hürde besteht. Ein Terminal müsse für einen neuen Acquirer „physisch umkonfiguriert“ werden. Es brauche eine Zertifizierung „durch jeden Acquirer für jedes Kartensystem“. Und der Betreiber des Terminalverwaltungssystems – der Hintergrundsoftware, die das Gerät konfiguriert hält – unterstütze womöglich keine Geräte im Bestand des neuen Acquirers; dann müsse der Verwalter gewechselt werden, und das „erfordert das Entsperren und Zurücksetzen kryptografischer Schlüssel“.
Zusammen gelesen beschreiben diese Sätze ein Gerät, das dem Händler funktional nicht gehört, auch wenn er dafür bezahlt. Schlüssel, Konfiguration und Zulassung gehören zum Bestand eines Acquirers. Die Abhilfe nannte der PSR „Übertragbarkeit“ – die Möglichkeit, dasselbe Terminal beim Wechsel weiterzuverwenden – und zählte die Vorteile auf: keine Ablösegebühren, mehr Wechsel, mehr Wettbewerb, weniger Elektroschrott.
Was sie stattdessen behoben hat
Fünf Monate später war der Plan ein anderer. In seiner vorläufigen Entscheidung vom Juni 2022 (CP22/3) berichtete der PSR, die meisten Stellungnahmen hielten eine technische Lösung für komplex und teuer; man habe „technischen Expertenrat“ eingeholt. Zudem würden Terminals zunehmend mit Kassensystemen gebündelt, und zwar auf eine Weise, die einem bestimmten Acquirer „eigen“ sei und den Wechsel „gewöhnlich erschwert“; gleichzeitig verbreiteten sich billige Kartenleser und Lösungen auf dem Telefon.
Der PSR entschied, die Übertragbarkeit „nicht vorzuschreiben“. Die Technik biete offenbar „flexiblere Alternativen“, ein Eingriff könne Innovation „dämpfen“, und die Vorteile der Übertragbarkeit ließen sich auch „mit weniger kostspieligen vertraglichen Maßnahmen“ erreichen. Man werde die Entwicklung „beobachten“.
Die vertragliche Maßnahme wurde zur Specific Direction 16, in Kraft seit 6. Januar 2023. Sie gilt für Händler mit bis zu 10 Millionen Pfund Kartenumsatz bei einem der adressierten Anbieter – anfangs vierzehn, die nach Schätzung des PSR rund 95 Prozent der britischen Kartenumsätze abwickeln. Jeder Vertrag, der ein Terminal umfasst, darf höchstens 18 Monate Mindestlaufzeit haben und läuft danach monatlich weiter, mit einem Monat Kündigungsfrist; Ablösegebühren müssen „kostenbasiert, transparent“ und vorab erklärt sein. Stellt ein Vertriebspartner oder Leasinggeber das Gerät, muss der Acquirer sicherstellen, dass auch dieser die Regel einhält.
Zwei Einzelheiten wiegen schwerer als die Schlagzeile. Die erste ist die Begriffsbestimmung: Ein Terminal im Sinne der Regel ist ein Gerät zur Kartenannahme vor Ort „ohne die Notwendigkeit, es mit einem Smartphone oder Tablet zu verbinden“. Gerade die Kartenleser, die der PSR als Ausweg des Marktes angeführt hatte, fallen also heraus – folgerichtig, aber die Regel erfasst damit genau den Teil, den die Technik nicht retten sollte. Die zweite ist, was die Regel unberührt lässt. Sie verkürzt die Zeit, in der der Ausstieg aus dem Terminal teuer ist. An der Tatsache, dass das Terminal dem Händler nicht folgen kann, ändert sie nichts. Auch nach 18 Monaten braucht er beim neuen Acquirer ein neues Gerät; das alte kann er nun gegen eine Monatsmiete zurückgeben statt gegen Jahre davon. Das Schloss ist billiger zu brechen. Entfernt ist es nicht.
Die endgültige Entscheidung vom Oktober 2022 (PS22/2) sagt offen, wen das trifft. Rund zwanzig Stellungnahmen, überwiegend von unabhängigen Vertriebsorganisationen – den provisionsbezahlten Firmen, die Händler für Acquirer anwerben und über die der Beitrag über einen registrierten, aber nirgends veröffentlichten Vertriebskanal mehr sagt –, erklärten, sie könnten ihre Kosten in 18 Monaten nicht hereinholen. Eine nannte Zahlen: Ein Abschluss über eine solche Organisation koste samt Gerät und Verkäuferprovision „rund 800 Pfund“; sie über 18 statt 36 Monate zu verteilen, erhöhe die Monatsrate „um rund 22 Pfund“. Die Rechnung stimmt: 800 Pfund über 36 Monate sind 22,22, über 18 Monate 44,44 Pfund. Der PSR hielt dagegen, Aufbereitung senke die Kosten – rund 80 bis 100 Pfund für ein gebrauchtes Gerät gegenüber etwa 290 Pfund Großhandelspreis für ein neues. Zugleich hielt er fest, dass aufbereitete Geräte bei Acquirern 26 bis 70 Prozent des Händlerbestands ausmachten, bei Vertriebsorganisationen aber null bis 30 Prozent, und räumte ein, deren Anpassungsfähigkeit sei womöglich „begrenzt“.
Dieser Austausch ist der deutlichste Beleg dafür, wozu der lange Terminalvertrag diente. Ein Gerät für etwa 290 Pfund wurde über drei bis fünf Jahre finanziert, weil die Laufzeit den Preis für die Gewinnung des Händlers trug. Über das Terminal wurden die künftigen Wechselkosten des Händlers an denjenigen verkauft, der ihn unter Vertrag genommen hatte. Die Sicherheitsseite desselben Geräts behandelt der Beitrag über das Terminal als Erlaubnis statt als Gegenstand.
Das Schloss, das niemand aufgeführt hat
Wer online verkauft, hat kein Terminal. Er hat eine Datei: jeden Kunden mit hinterlegter Karte, jedes Monatsabonnement, jedes nach Verbrauch abgerechnete Konto. Diese Datei hält der Zahlungsdienstleister, denn wer Kartennummern selbst speichert, muss den vollen Sicherheitsstandard der Kartenindustrie (PCI DSS) erfüllen. Die meisten kleinen Händler vermeiden das, indem sie die Karten beim Anbieter lassen und nur einen Verweis behalten. Beim Wechsel ist der Verweis wertlos; die Karten müssen umziehen.
Der Marktbericht streift den Wechsel im Onlinehandel nur einmal, bei den größten Händlern, die „mitunter erhebliche Wechselkosten“ trügen, etwa wegen der Einbindung in ihre Systeme. Er beschreibt auch, dass viele Onlinehändler zuerst eine Shop-Plattform wählen und dann den Acquirer nehmen, der dort angebunden ist – Stripe war damals im Vereinigten Königreich alleiniger Anbieter hinter Shopify Payments, und Händler waren „standardmäßig angemeldet“. Unter den Ursachen, die kleine Händler am Wechsel hindern, führt er die Kartendatei nicht auf, und keine der Maßnahmen betrifft sie. Was für die Datei gilt, regelt jeder Anbieter selbst. Zwei große Acquirer legen ihr Verfahren offen.
Stripe beginnt mit einem Grundsatz: Man sei überzeugt, dass die Kunden die sensiblen Daten besitzen, die sie Stripe anvertrauen. Übertragen werden Kartendaten aber nur an einen Zahlungsdienstleister mit PCI-DSS-Stufe 1, der seine Konformitätsbescheinigung oder einen Eintrag im Dienstleisterregister von Visa vorlegt und einen 4096-Bit-Schlüssel auf einer eigenen Domain bereitstellt. Zwei Ausnahmen folgen. Zahlungshistorie, Abonnements und andere Objekte exportiert Stripe nicht. Und Karten, die über Link gespeichert wurden, Stripes eigenen Ein-Klick-Bezahldienst, werden gar nicht übertragen.
Adyen vertritt dieselbe Haltung – der Händler sei Eigentümer der Daten, man komme dem Wunsch „selbstverständlich“ nach – und nennt fünf Bedingungen: eine Vereinbarung über Datenverarbeitung oder -übermittlung, die Bescheinigung des neuen Anbieters, einen auf dessen Website hinterlegten öffentlichen Schlüssel, einen gesicherten Übertragungsserver und einen festgelegten Umfang. Vor der vollständigen Datei läuft ein Probeexport mit 1.000 Kundenkennungen. Das Format ist fest; eine Anpassung sei „derzeit nicht möglich“.
Keines der Verfahren ist eine Schikane; ein Händler mit einem fähigen neuen Anbieter kann beide durchlaufen. Aber sie zeigen, wo die Reibung liegt. Der Händler darf die Kartennummern seiner eigenen Kunden nicht empfangen. Bei Stripe bleibt der Abonnementplan zurück und muss neu aufgebaut werden. Und eine neuere Schicht scheint gar nicht mitzureisen.
Das ist der Netzwerk-Token: eine Ersatznummer, die Visa oder Mastercard ausgeben und bei einer neuen Karte aktuell halten, weshalb Anbieter ihn mit höheren Freigabequoten bewerben. Adyen beschreibt den Netzwerk-Token als „eindeutig je Kombination aus Kunde und Händler“ und schreibt, die von Adyen verwaltete Tokenisierung gelte „nur für Zahlungen, die Adyen annimmt“ und könne „nicht mit externen Acquirern“ genutzt werden. Das feste Exportformat enthält, Spalte für Spalte gelesen, die Kartennummer und eine Netzwerk-Transaktionsreferenz, aber keine Spalte für einen Netzwerk-Token; auch Stripes dokumentierte Beispieldatei zeigt keinen. Der neue Anbieter erhält die Karten und muss neue Token beantragen. Adyen bietet zusätzlich an, gespeicherte Daten oder Token an einen PCI-konformen Dritten weiterzuleiten – eine Leistung, die der alte Anbieter anbieten kann, kein Anspruch des Händlers. Was diese Token kosten, steht in dem Beitrag über doppelt abgerechnete Token-Entgelte.
Auch die Netzwerk-Transaktionsreferenz zählt. Adyen erklärt, sie werde nach der ersten Zahlung mit einer hinterlegten Karte für alle Folgezahlungen gebraucht – sie verbindet eine wiederkehrende Belastung mit der ursprünglichen Einwilligung des Kunden. Adyen exportiert sie; Stripes Beispieldatei zeigt sie nicht, und ob sie geliefert wird, sagen die gelesenen Dokumente nicht. Der Onlinehändler steht damit vor demselben Aufbau wie der Händler mit Terminal, eine Ebene tiefer. Der Zahlungsvertrag lässt sich beenden. Das Gut, mit dem das Geschäft läuft, gehört zum Bestand des Anbieters. Das Terminal hat der PSR untersucht, beziffert und geregelt. Die Kartendatei hat er nicht untersucht.
Was dafür spricht, es so zu lassen
Das Argument für die Entscheidungen des PSR ist nicht schwach, und es gehört zuerst in seiner stärksten Form dargestellt.
Eine vorgeschriebene Übertragbarkeit hätte Acquirer gezwungen, fremde Geräte für jedes Kartensystem zu zertifizieren und zu betreuen, und Terminalverwalter, die kryptografische Kontrolle über Geräte abzugeben, für deren Sicherheit sie haften – ein langsames, sicherheitsempfindliches Vorhaben in einem Markt, dessen Technik sich gerade bewegte. Die Befunde des PSR deuteten darauf hin, dass Leser und Telefone den unteren Teil des Marktes übernehmen; ein Kompatibilitätsstandard für Thekenterminals wäre womöglich fertig geworden, als diese keine Rolle mehr spielten. Die Laufzeitgrenze bringt den Großteil des wirtschaftlichen Nutzens zu einem Bruchteil der Kosten, und ein Anbieter berichtete, mehr als 95 Prozent seiner Kunden blieben nach Ende der Mindestlaufzeit nicht im monatlichen Vertrag – Händler handeln also, wenn die Frist abläuft. Lange Laufzeiten verteilen zudem die Gerätekosten, wie der PSR selbst einräumte, und kleine Vertriebsfirmen warnten, die Grenze begünstige Anbieter, die es sich leisten können, Geräte zu verschenken.
Bei den gespeicherten Karten ist die Verteidigung noch stärker. Kartennummern sind die meistgestohlenen Daten im Zahlungsverkehr; ihre Übertragung auf zertifizierte Stellen zu beschränken, schützt Karteninhaber. Beide Anbieter erklären, die Daten gehörten dem Händler und würden herausgegeben. Netzwerk-Token sind an Händler und Anforderer gebunden, weil gerade das sie sicher macht. Und der PSR stellte fest, dass Händler, die bei ihrem Anbieter nachverhandelten, „fast 90 Prozent“ Erfolg hatten – die Drohung mit dem Wechsel wirkt also, auch wenn der Wechsel selbst mühsam ist.
Das alles stimmt. Den engeren Punkt berührt es nicht: Die verbliebenen Hürden misst niemand. Wie lange Terminalverträge laufen dürfen, weiß der PSR, weil er es festgelegt hat. Wie lange ein Umzug der Kartendatei dauert, wie oft Kunden danach ihre Karte neu eingeben müssen und wie viele Händler das einpreisen und bleiben, weiß keine öffentliche Stelle.
Was seither gemessen wurde
Veröffentlicht ist wenig. Laut Specific Direction 16 überprüft der PSR die Regel „drei und fünf Jahre“ nach Inkrafttreten – also um Januar 2026 und Januar 2028. Im Dezember 2024 fragte eine als „PSR PUBLIC“ gekennzeichnete Präsentation Händler, ob sie die Anstoßnachrichten gesehen und je darauf reagiert hätten, wie genau die Übersichtsblätter seien und ob es seit der 18-Monats-Grenze Probleme beim Mieten oder Kündigen von Terminals gegeben habe.
Die einzige veröffentlichte Spur der Antworten ist ein Absatz im Jahresbericht des PSR-Beirats für 2024/25 vom September 2025: Die Nachprüfung der Directions 14 und 15 habe „vorsichtige Unterstützung“ gefunden; hervorgehoben worden seien Probleme mit Genauigkeit und Bedienbarkeit der Übersichten und Preisrechner sowie die Lage „kleinerer Händler in langfristigen Verträgen“. Die Prüfung selbst findet sich nicht unter den Dokumenten auf der Seite des PSR zur Marktuntersuchung, die am Tag dieses Beitrags noch den Vermerk „Last updated: May 2024“ trug. Eine veröffentlichte Dreijahresprüfung der Terminalregel habe ich nicht gefunden. Zum Vergleich hatte die Entscheidung angeführt, was solche Hinweise anderswo bewirkt haben: Bei Breitbandkunden erhöhten Mitteilungen zum Vertragsende laut Ofcom den Anteil der Neuabschlüsse um zehn Prozentpunkte oder mehr. Ob bei Händlern Ähnliches geschah, ist nicht veröffentlicht.
Auch die Ausgangslage ist alt. Die Entscheidung stützte sich auf eine Umfrage des UK Merchant Acceptance Council aus der zweiten Jahreshälfte 2021, nach der nur 9 Prozent der befragten Händler in den letzten zwölf Monaten ihren Dienst für Zahlungen vor Ort gewechselt hatten und 13 Prozent den für Onlinezahlungen. Das ist die jüngste Wechselzahl in den Unterlagen.
Was daraus nicht folgt
Erstens folgt nicht, dass der Wechsel für einen bestimmten Händler teuer ist. Die 1.200 Pfund sind ein Beispiel aus der Preisspanne des PSR, kein gemessener Durchschnitt, und Verträge der adressierten Anbieter sollten sie nicht mehr erzeugen. Kunden anderer Anbieter oder Nutzer von Kartenlesern stehen anders da, und wie viele es sind, hat niemand veröffentlicht.
Zweitens folgt nicht, dass Umzüge von Kartendateien scheitern. Die beiden gelesenen Verfahren sind offen und praktikabel. Es fehlt jede Zählung, wie sie verlaufen – eine Lücke in der Messung, kein Beleg für Schaden. Anbieter, deren Bedingungen ich nicht gelesen habe, können anders verfahren.
Drittens folgt nicht, was die Nachprüfung über einen Absatz hinaus ergeben hat, und auch nicht, dass der PSR untätig war. Die Regierung hat angekündigt, seine Aufgaben in die Financial Conduct Authority zu überführen; Ergebnisse können in unveröffentlichten Unterlagen liegen. Die fehlende Dreijahresprüfung ist eine Lücke, die ich beobachtet habe, keine Entscheidung, die ich jemandem zuschreiben kann.
Wie sicher welcher Teil ist
Fest vertreten: das gesetzliche Kündigungsrecht und sein Schutz für Kleinstunternehmen; der Befund des PSR, dass Terminals dem Händler in der Regel nicht folgen können; sein Plan, zuerst die Übertragbarkeit anzugehen, und die Entscheidung dagegen; der Zuschnitt der Specific Direction 16 samt Ausnahme für telefongebundene Leser; die veröffentlichten Exportbedingungen von Stripe und Adyen. Mit vernünftiger Sicherheit: dass die lange Terminallaufzeit die Kosten der Händlergewinnung finanzierte, was aus den Zahlen 800 und 22 Pfund folgt; und dass Netzwerk-Token mit den Standardexporten nicht umziehen, was aus den Formaten und Adyens Aussage zu externen Acquirern folgt. Vorsichtig: dass die Kartendatei für kleine Onlinehändler heute die größere Wechselhürde ist als jede Vertragslaufzeit. Nichts Veröffentlichtes widerspricht dem, und nichts Veröffentlichtes misst es.
Wohin die Bindung wandert, wenn der Vertrag frei wird
Zahlungsregulierung setzt am Vertrag an, weil das Recht den Vertrag sieht. Das Vereinigte Königreich hat es hier zweimal getan: 2017 mit einem gesetzlichen Kündigungsrecht für Zahlungsdienstnutzer, 2022 mit der Laufzeitgrenze für die Terminalmiete, die neben dem geschützten Vertrag gewachsen war. Jedes Mal wanderte die Bindung einen Schritt nach außen, zu dem, was neben dem geregelten Verhältnis lag, ohne dazuzugehören – erst zum gemieteten Gerät, dann zur gespeicherten Karte. Das Muster ist allgemein. Ein Anbieter, der einen Kunden nicht per Vertrag halten kann, hält ihn über etwas, das der Kunde braucht und nicht mitnehmen kann: Schlüssel, Konfiguration, Zulassung, Zugangsdaten, Verlauf. Eine Aufsicht, die Wechsel will, muss dem Gut folgen, nicht der Vereinbarung, und der erste Schritt ist keine Regel, sondern eine Zählung: wie oft Händler gehen wollen und was es sie kostet. Fast vier Jahre nach der Entscheidung über die Abhilfen ist die öffentliche Aktenlage dazu nahezu leer.
