奥地利账户信息服务提供商登记申请、续牌及控制权变更完整指南

一、牌照结论与监管状态

奥地利的账户信息服务提供商（AISP）并非一般支付机构许可，而是依《2018年支付服务法》（ZaDiG 2018）第15条由奥地利金融市场监管局（FMA）办理的支付机构登记册登记。受规管服务限于在线汇集并传达用户在一个或多个其他支付服务提供商处持有的支付账户信息；如业务发起支付指令、持有或转移客户资金，或提供其他支付服务，应另行评估支付发起服务或支付机构许可路径。申请人须提交第15条援引的申请资料，并证明覆盖服务地域、针对未经授权或欺诈性访问/使用账户信息责任的职业责任保险或等效保证。AISP不适用ZaDiG第16至26条的支付机构资本、客户资金保障、常规审计和常规报送制度；但仍受登记册、跨境规则、账户信息服务数据与安全义务、强客户认证、FMA监管及处罚规则约束，并自2025年1月17日起纳入DORA。法律未公布统一办理时限、登记申请固定收费额、面谈规则或独立“牌照转让”机制，交易或结构变更应在实施前向FMA确认。

二、适用业务与目标申请群体

适合使用的群体

• 拟商业化提供在线账户信息服务的主体，即向支付服务用户传达其在另一支付服务提供商或多个支付服务提供商处持有的一个或多个支付账户的汇集信息。
• 仅提供账户信息服务、并可建立用户明示同意、数据最小化、安全通信、职业责任保险或等效保证及DORA控制体系的奥地利设立主体。

受规管活动

• ZaDiG 2018第1条第2款第8项所称账户信息服务：在线汇集并传达支付账户信息。
• 每次通信须向账户服务支付服务提供商识别自身，并以安全方式与账户服务支付服务提供商及用户通信；仅可访问指定账户及相关交易信息。

不适用或需另行许可的场景

• 根据用户请求就其在另一支付服务提供商处账户发起支付指令的业务；该项为支付发起服务，FMA列为许可而非AISP登记路径。
• 吸收存款、持有或转移客户资金、发行支付工具、收单、汇款或其他ZaDiG第1条第2款第1至6项支付服务；应评估支付机构或其他相应授权。
• 仅提供服务器托管、数据处理或网站等纯技术服务，且不实际提供账户信息服务的模式；FMA说明纯技术服务一般不触发许可，但AISP本身被明确排除在该技术服务豁免之外。
• 账户并非在线可访问时要求取得账户信息服务的情形；用户访问账户信息的法定权利不适用于该等账户。

开放状态说明

FMA实际办理AISP登记，并在公开公司数据库设置“Zahlungsinstitute – Kontoinformationsdienstleister（支付机构—账户信息服务提供商）”类别。奥地利登记册覆盖在奥地利设立的AISP；跨境进入应按ZaDiG第27至31条及来源国监管的护照程序逐案评估，不能将本登记替代为一般跨境销售许可。

三、主管机构、法律依据与监管边界

主管机构：奥地利金融市场监管局（FMA）

牌照中文名称：账户信息服务提供商登记

牌照英文名称：Account information service provider registration

牌照族群：payments_money_services

申请主体法律形式

第15条规定，申请进入支付机构登记册以提供账户信息服务的“企业”须提出登记申请。第13条要求FMA将设在奥地利的AISP登记于公开登记册。第15条本身未列明只能采用某一种公司法形式；是否可由特定自然人或其他实体形式申请，应以申请人的设立文件、拟提供地域及FMA个案审查为准。

依据：[1] [2] [4]

四、申请主体、注册地址与本地实质

申请主体

第15条规定，申请进入支付机构登记册以提供账户信息服务的“企业”须提出登记申请。第13条要求FMA将设在奥地利的AISP登记于公开登记册。第15条本身未列明只能采用某一种公司法形式；是否可由特定自然人或其他实体形式申请，应以申请人的设立文件、拟提供地域及FMA个案审查为准。

依据：[1] [2] [4]

注册地址与本地实质

FMA公开登记册须收录设在奥地利的AISP；登记册公开类别和实际FMA登记公告均显示公司名称、商业登记号及注册地址。第15条未公布独立的办公室面积、雇员人数或“本地实质”最低量化阈值。应将奥地利设立/注册地址资料、实际管理安排以及可供FMA监管联系的资料纳入申请档案。

依据：[1] [4] [13]

五、股东、董事、高管及合规人员要求

股东及实益拥有人

AISP申请须附上第9条第1款第5至8项等被第15条明确援引的资料；FMA已采纳的EBA/GL/2017/09将直接或间接合资格持股者及其资料列入AISP登记申请资料范围。相反，第15条第3款没有把第19条“参与控制（Beteiligungskontrolle）”列为AISP持续适用条款；因此，不能把支付机构的持续资格持股控制程序直接当作AISP的已公开法定控制权审批要求。

依据：[1] [6] [11]

董事及高级管理层

第15条援引第9条第1款第5至8项申请资料；FMA已声明遵从EBA/GL/2017/09，而该指南要求AISP申请提供管理层身份、适格与胜任资料及治理相关资料。公开法源未显示AISP必须配置两名董事或必须由本地居民担任董事；申请人应按业务规模、治理结构和拟任人员履历向FMA提交可核验资料。

依据：[1] [6] [11]

合规负责人及MLRO

第15条要求的申请资料包括安全与风险缓释资料，但该条及FMA公开AISP登记页面未规定必须任命名为“合规官”或“MLRO”的固定岗位。金融市场反洗钱法（FM-GwG）在其“金融机构”定义中列举ZaDiG第10条支付机构，而第15条登记AISP没有被单独列入；且第15条援引的第9条资料项目不包括第9条第1款第11项AML资料。仅从AISP登记路径看，未发现单独的FM-GwG/MLRO硬性要求；若申请人同时经营第10条支付机构业务或其他受监管业务，应另行适用相应AML制度。

依据：[1] [12] [6]

六、注册资本、监管资本与保证金

监管资本或最低资本

第15条第3款以封闭列举方式规定AISP仅适用的条款，其中不包括第16及17条的支付机构初始资本与自有资金规则。因此，不应向纯AISP登记项目套用€20,000、€50,000或€125,000支付机构资本门槛；这些金额属于其他支付机构服务类别。

依据：[1] [2] [3]

保证金或替代保障

申请人必须证明已为其提供服务的地域投保职业责任保险，或取得等效保证。保险/保证须覆盖其对账户服务支付服务提供商和支付服务用户因未经授权或欺诈性访问、或未经授权或欺诈性使用支付账户信息产生的责任。法律没有公布一刀切固定金额；FMA遵从EBA/GL/2017/08，该指南要求主管机关使用公开的标准、指标和公式确定最低金额，并至少每年复核及必要时重算。

依据：[1] [7] [11]

七、申请文件、系统与内部控制

治理、风险、系统与内部控制

申请资料须包含第9条第1款第10项安全和风险缓释措施，并说明如何对申请人及外包方使用的软件和ICT系统实现DORA第二章要求的高水平数字运营韧性，尤其是技术安全和数据保护。经营中，AISP仅能凭用户明示同意服务，须保护个性化安全凭证、每次通信识别自身、采用安全通信、只访问指定账户和相关交易信息、不索取敏感支付数据，且不得为用户明确要求的账户信息服务之外的目的使用、访问或存储数据。自2025年1月17日起，AISP明确纳入DORA；应设置ICT风险、事件分类、证据保全、通讯及恢复流程。

依据：[1] [9] [10] [14]

核心申请文件

第15条要求申请附上第9条第1款第1、2、5至8、10、12、14、16及17项资料和文件，并另行证明职业责任保险或等效保证。结合FMA遵从的EBA/GL/2017/09，资料包应覆盖业务模式/服务方案、拟提供地域、治理与管理层适格资料、直接或间接合资格持股资料、组织和内部控制、ICT安全及风险缓释、数据处理和外包安排、计划使用的代理人或分支（如适用）、解散/退出安排及保险/保证证明。实际表单、文件语言、签署、认证和材料粒度应向FMA确认。

依据：[1] [6] [7]

八、申请流程与逐步准备

1. 确认服务边界和申请路径

   将产品逐项映射至ZaDiG第1条第2款第8项的在线账户信息服务。若产品发起支付、处理资金或属于其他支付服务，不可仅依赖AISP登记；纯技术服务也应依据实际合同义务和是否实际提供AISP重新定性。

   依据：[1] [3] [5]

2. 完成第15条申请资料、治理和保险安排

   编制第15条援引的第9条申请资料，包括业务、所有权、管理层、组织、系统安全与DORA风险缓释材料；取得覆盖拟服务地域的职业责任保险或等效保证，并以EBA方法核定其最低保障额。

   依据：[1] [6] [7]

3. 向FMA递交登记申请并配合审查

   向FMA申请进入支付机构登记册。FMA在作出登记前须听取奥地利国家银行（OeNB）意见；如申请资料或保险/保证条件未满足，FMA必须拒绝登记。FMA可就业务模型、资料完整性、人员、持股、保险及ICT控制追问补充材料。

   依据：[1] [2] [6]

4. 登记、公开查询及上线控制

   获登记后，在FMA公开支付机构登记册的AISP类别核验主体、服务范围及地址信息，并在上线前落实用户明示同意、账户访问范围、身份识别、安全通信、认证与DORA事件流程。未经第15条登记即提供账户信息服务构成行政违法。

   依据：[1] [4] [13] [14]

九、监管面谈与常见问询

是否需要监管面谈

第15条、FMA支付服务登记页面及已查阅EBA申请指南均未公布AISP必经面谈、演示或管理层答辩规则。FMA可在个案中索取补充资料或澄清；申请人应预留可解释商业模式、数据流、认证、外包、保险和DORA控制的管理层及技术人员。

依据：[1] [2] [6]

可能关注的问题

• 服务是否仅汇集并传达账户信息，还是已构成支付发起、资金处理或其他支付服务？
• 账户信息是否仅在用户明示同意后取得，且仅限指定账户及相关交易？
• 职业责任保险/等效保证是否覆盖每个拟服务地域及未经授权或欺诈性访问/使用信息的责任，最低金额如何按EBA方法核定？
• 管理层、直接或间接持股者、业务模式和退出安排是否已按第15条援引的资料项目完整说明？
• 系统和外包安排如何实现安全通信、个性化凭证保护、强客户认证和DORA的ICT风险及事件报告要求？

十、监管费用、处理时间与获批上线

官方处理时间

ZaDiG第15条规定FMA在登记前听取OeNB意见以及拒绝/删除登记的条件，但未公布AISP登记的统一法定审结工作日或FMA标准处理时长。办理长度取决于资料完整性、业务和ICT复杂度、保险金额核定及监管问询；提交前应向FMA确认预计时程和补件节奏。

依据：[1] [2] [6]

监管费用

FMA将《FMA费用条例》（FMA-GebV）列为支付机构监管适用法规，但本次已查阅的FMA公开AISP登记页面、ZaDiG第15条和FMA费用法规索引未展示可可靠归属至AISP首次登记的统一固定金额。不得以其他支付机构、豁免通知或公司登记费用替代；递交前应按最新FMA-GebV或向FMA取得书面收费确认。

依据：[11] [2] [1]

获批及上线条件

AISP是登记而非支付机构许可。只有进入FMA支付机构登记册后方可按登记提供账户信息服务；FMA公开登记册设有AISP类别。经营前必须具备第15条保险/保证及第61条数据、同意与安全通信控制；无登记提供该服务可被处以最高€10,000行政罚款。

依据：[1] [4] [13]

十一、持续合规、报告、审计与记录保存

监管报告

AISP在第15条第3款的适用条款封闭清单中不包括第26条“报送制度”；因此，不能将支付机构和电子货币机构常规报送条例（ZEIMV）作为纯AISP的一般定期报送义务。该结论不排除DORA重大ICT事件报告、FMA个案信息/检查要求或申请人兼营其他受监管业务所产生的报送义务。

依据：[1] [11] [10]

审慎及资本义务

第15条第3款不适用第16至18条的支付机构资本、自有资金计算和客户资金保障规则，故纯AISP没有公开的ZaDiG最低资本或客户资金保障金额。持续有效的财务性门槛是职业责任保险/等效保证；其保障额应至少按年复核，并随业务和风险变化必要时重算。

依据：[1] [7] [2]

AML/CFT义务

就纯第15条AISP登记而言，FM-GwG的“金融机构”定义列举的是第10条支付机构，未单列第15条AISP；第15条第3款也未使AISP适用支付机构的组织和AML相关条款。故本研究未确认纯AISP存在独立的FM-GwG AML/CFT、MLRO或定期可疑交易报告义务。若同一法律实体同时经营第10条支付机构、电子货币、银行或其他FM-GwG义务业务，必须分别适用该业务的AML/CFT制度。

依据：[1] [12] [11]

审计及财务报表

第25条的会计与年度审计要求及其支付机构审计报告附件，并未被第15条第3款列为AISP适用条款。因此，未确认纯AISP需按ZaDiG第25条向FMA提交支付机构年度审计报告或年度财务报表；适用的一般公司法会计、审计或税务义务仍须按主体形式另行判断。

依据：[1] [11] [12]

记录保存

第15条第3款未将第24条支付机构“五年保存记录和凭证”规则适用于AISP，因此未发现纯AISP在ZaDiG下统一公开的五年保存期限。尽管如此，第61条限制数据访问、使用和存储目的；DORA事件管理还要求流程、职责、联络清单、通信计划和证据保全。应另行根据GDPR、公司法、税法、合同和DORA的具体资料类型确定保留期限。

依据：[1] [10] [14]

十二、年审、续牌与监管通知

续牌或年度审查

未找到AISP登记按固定年度重新登记或续期的公开要求。登记持续以第15条条件和适用条款得到遵守为前提；违反第15条第1至3款时FMA应将其从登记册删除，永久停止营业亦可触发删除。职业责任保险/等效保证的最低金额则应至少每年复核并在必要时重算。

依据：[1] [7] [2]

重大事项通知

FMA须维护公开支付机构登记册并即时更新登记资料，且须向EBA传送并保持登记资料正确、最新。法律明确要求支付机构书面即时通知其商业登记号及其变动，但该句并未单独明示第15条AISP的所有公司、股东、董事或业务变更的逐项通知期限。AISP发生商业登记信息、地址、服务地域、保险/保证、控制结构、管理层、外包或系统重大变更时，应在实施前向FMA确认是否需申请更新、补充资料或重新登记，且不得只依赖公司登记处更新。

依据：[1] [4] [14]

十三、牌照出售、股权收购及控制权变更

“出售牌照”的监管边界

公开法源将AISP描述为特定企业进入FMA支付机构登记册的登记，并要求FMA按主体维护公开登记；未发现可将AISP登记从一个法律实体作为独立资产直接“出售”给另一法律实体的法定程序。市场交易应区分股权交易、资产交易、合并、分立或新实体申请，不能以“出售牌照”表述替代对登记主体和服务条件的核验。

依据：[1] [2] [4]

牌照是否可以直接转让

第15条没有公布AISP登记的转让、受让人承继或登记迁移程序。FMA实际公告以具体公司、商业登记号和注册地址确认AISP登记，说明登记与主体身份紧密关联。资产收购或因重组形成新主体时，应假定受让主体须取得自身适格登记或FMA书面确认，而非当然承继原登记。

依据：[1] [13] [4]

控制权变更

第15条第3款没有使AISP适用第19条资格持股控制制度，故没有证据支持将支付机构第19条的事前控制权审批规则直接套用于纯AISP。不过，初始申请须按第15条援引项目披露所有权相关资料，登记资料须正确更新；控制权交易如伴随管理层、地址、业务、保险、系统或主体重组变化，仍应预先向FMA确认登记更新或重新申请要求。

依据：[1] [6] [11]

买方要求

买方若通过新设或承继后的法律实体自行提供账户信息服务，应使该实体满足第15条申请资料、职业责任保险/等效保证、数据同意与安全控制和DORA义务，并完成FMA登记或取得FMA对结构承继的书面确认。若仅收购既有登记主体的股份，公开法未规定独立AISP买方适格审批表，但仍须核验登记持续有效、保险覆盖、业务范围、实际控制资料和FMA更新要求。

依据：[1] [6] [7] [14]

卖方要求

卖方/登记主体在交割前和交割后均不得无登记提供账户信息服务，且须持续满足第15条条件和第61条、85至87条等适用义务。若永久停止营业，FMA知悉后应删除登记；交易不得以停止或转移服务为由规避数据安全、用户同意、保险/保证或DORA事件责任。

依据：[1] [10] [14]

交易及变更流程

1. 交易前监管尽调

   在FMA公开AISP类别及EBA登记册交叉核验登记主体、商业登记号、注册地址、服务范围及是否存在撤销/删除信息；同时取得保险/保证、DORA控制、数据访问和用户同意资料。EBA登记册仅转载国家主管机关资料，法律效力仍以国家登记册为准。

   依据：[4] [14] [16]

2. 确定结构并事前向FMA确认

   明确是存续主体的股权收购，还是资产出售、合并、分立、迁址或新主体运营。由于第15条未公开登记转让程序且第19条不适用，不应自行推定任何结构可无监管沟通完成；向FMA提交交易结构、变动资料、保险和持续服务计划，要求确认登记更新、重新申请或其他程序。

   依据：[1] [2] [11]

3. 将持续合规设为交割条件

   在上线或交割前确认保险/保证持续覆盖拟服务地域和交易后风险规模，系统可满足用户明示同意、指定账户范围、安全通信、凭证保护与DORA流程；如由新主体提供服务，先完成自身登记或取得FMA书面确认。

   依据：[1] [7] [9] [10]

4. 交割后更新公开资料并管理退出

   按FMA确认更新登记资料并保留提交及回应记录。若卖方停止AISP业务，应安排有序终止、数据和用户沟通、保险尾部保障及向FMA说明；永久停业可导致FMA从登记册删除。

   依据：[1] [4] [13]

交易监管时间

未找到AISP登记出售、转让或控制权变更的统一法定审结时限，原因是第15条未建立独立可转让性或控制权程序。交易时间应以FMA对拟用结构的书面程序确认、资料完备度、保险调整、必要的新登记或登记更新及DORA上线准备为准。

依据：[1] [2] [11]

关键交易风险

• 把仅限在线汇集/传达账户信息的登记误用于支付发起、资金处理或其他支付服务，导致缺少相应许可。
• 以“出售登记”或“控制权变更无需监管动作”为前提签约；第15条未提供登记转让程序，且结构重组可能产生新主体或重新登记问题。
• 职业责任保险/等效保证的地域、责任范围或按EBA方法计算的金额不足，或未按年复核。
• 未取得用户明示同意、访问未指定账户、索取敏感支付数据，或将数据用于账户信息服务以外目的。
• 因DORA ICT风险控制、外包、重大事件分级/报告或证据保全不足而造成监管、运营及数据安全风险。
• 误把支付机构的资本、审计、AML或常规报送规则套用于纯AISP，或反过来在兼营受监管业务时遗漏该等业务自身义务。

十四、重要风险、待核实事项与申请建议

待监管机构确认事项

• FMA已公布适用于支付机构监督的FMA-GebV，但本次官方页面和可读法规索引中未找到可可靠归属于AISP首次登记的固定收费金额；申请前须向FMA确认最新收费项目和金额。
• ZaDiG第15条没有公布AISP登记的统一法定审结时间、标准处理时长、固定面谈或演示程序；应按具体申请向FMA确认。
• 第15条第3款明确不适用第19条资格持股控制制度，但第15条援引初始所有权资料；股权交易、间接控制变更、合并、分立、资产转让或迁址是否触发登记更新、重新申请或其他程序，未见统一公开AISP规则，须事前取得FMA书面确认。
• 第15条未公开AISP登记转让或受让承继机制。交易文件不得承诺登记可自动转让；应以持续同一法律实体、FMA确认或新主体重新登记为条件。
• 纯AISP不适用ZaDiG第24至26条及FM-GwG第2条对第10条支付机构的定义，但一般公司法、税法、GDPR、合同或兼营业务可能另有记录、审计、AML/CFT或报告义务；应就实际实体和业务范围取得专项法律意见。
• 职业责任保险/等效保证须依EBA标准、指标和公式确定并至少每年复核；具体保额取决于业务与风险参数，不能从公开法源推导单一固定数字。

十五、常见问题

这项牌照是否可以直接购买？

通常不能把牌照作为脱离持牌主体的独立资产购买。收购一般通过持牌实体股权或依法批准的业务转移完成，并须遵守控制权审批、通知及适当人选要求。

没有公开最低资本是否代表不需要资本？

不是。“未见统一公开最低额”只表示监管机构没有在本次可核验公开资料中公布对所有申请人通用的固定金额；申请人仍可能需要按风险、业务规模和审慎规则持有充足资本。

监管面谈是否一定举行？

以主管机构和个案为准。即使没有统一公开的强制面谈规则，监管机构仍可要求申请人、董事、高管或负责人员参加会议、补件或能力评估。