RPAA-Registrierung 2026: Leitfaden zur Bank of Canada für Zahlungsdienstleister

Was der RPAA ist und wen er erfasst

Der Retail Payment Activities Act (RPAA) ist das Bundesgesetz, mit dem Kanada Zahlungsunternehmen außerhalb des Bankensektors unter die Aufsicht der Bank of Canada gestellt hat. Er erhielt am 29. Juni 2021 den Royal Assent, die Retail Payment Activities Regulations wurden im November 2023 veröffentlicht, und die Aufsicht der Bank begann am 8. September 2025. Seitdem muss ein erfasster Zahlungsdienstleister (Payment Service Provider, PSP) bei der Bank registriert sein, bevor er eine Retail-Zahlungstätigkeit ausübt.

PSP ist, wer eine Zahlungsfunktion als Dienstleistung oder Geschäftstätigkeit erbringt, die nicht bloß Nebenleistung zu einem anderen Geschäft ist. Eine Retail-Zahlungstätigkeit ist eine Zahlungsfunktion im Zusammenhang mit einer elektronischen Geldüberweisung in kanadischen Dollar, in einer Fremdwährung oder in einer Einheit, die per Verordnung festgelegte Kriterien erfüllt. Das Gesetz nennt fünf Zahlungsfunktionen:

Ausnahmen

Nicht erfasst sind Banken, zugelassene ausländische Banken, Credit Unions und Caisses populaires, Versicherungs- und Treuhandgesellschaften, provinziell regulierte Einlageninstitute, Payments Canada und die Bank of Canada selbst. Ebenfalls ausgenommen sind bestimmte Tätigkeiten: Closed-Loop-Instrumente, die nur beim ausgebenden Händler oder seiner Gruppe nutzbar sind, Eligible Financial Contracts und bestimmte Wertpapiergeschäfte, Bargeldabhebungen am Geldautomaten, nach dem Payment Clearing and Settlement Act designierte Systeme sowie Überweisungen zwischen verbundenen Unternehmen ohne weiteren PSP. Ein Agent (Agent or Mandatary), der im Rahmen seiner Vollmacht für einen registrierten PSP handelt und auf dessen Liste steht, muss sich nicht selbst registrieren. Der PSP haftet aber für ihn.

Räumlicher Anwendungsbereich

Der RPAA gilt für jeden PSP mit Geschäftssitz in Kanada. Er gilt auch für PSPs ohne kanadische Niederlassung, wenn sie Retail-Zahlungstätigkeiten für Endnutzer in Kanada erbringen und diese Tätigkeiten gezielt an Personen oder Unternehmen in Kanada richten. Wer als europäischer Anbieter Kanadier bewirbt, kanadische Kunden onboardet oder Preise in CAD ausweist, sollte davon ausgehen, dass er erfasst ist. Ausländische PSPs müssen zudem einen Zustellungsbevollmächtigten in Kanada benennen.

RPAA oder FINTRAC-MSB: zwei Regime, oft beide

Der RPAA ersetzt FINTRAC nicht. Die beiden Regime adressieren unterschiedliche Risiken, und ein Remittance-Anbieter, eine E-Wallet oder eine Zahlungs-App, die Kundengelder bewegt, braucht in der Regel beide Registrierungen. FINTRAC prüft, ob Sie Geldwäsche und Terrorismusfinanzierung verhindern können. Die Bank of Canada prüft, ob Ihr Dienst stabil läuft und ob die Kundengelder bei einer Insolvenz noch vorhanden sind.

In der Praxis sind beide Regime verzahnt. Der RPAA-Antrag fragt nach Ihrem FINTRAC-Registrierungsstatus, und die Bank teilt Informationen mit FINTRAC. Wenn Sie noch nicht als Money Services Business registriert sind, beginnen Sie mit unserem Leitfaden zur MSB-Registrierung in Kanada. Ein PSP, der Gelder bewegt, ohne die FINTRAC-Seite geklärt zu haben, wird sein Modell gegenüber der Bank schwer erklären können.

Ablauf und Dauer der Registrierung

Bestehende PSPs hatten vom 1. bis 15. November 2024 Zeit, ihren Antrag zu stellen und während der Übergangsphase bis zum 7. September 2025 weiterzuarbeiten. Zum Start der Aufsicht hatten knapp 1.500 PSPs einen Antrag gestellt. Wer heute neu startet, beantragt die Registrierung über das Portal PSP Connect und muss die Entscheidung abwarten, bevor er eine Retail-Zahlungstätigkeit aufnimmt.

Der Antrag verlangt deutlich mehr als Handelsregisterdaten. Rechnen Sie mit folgenden Angaben:

• Firma, Handelsnamen, Anschrift und die Angabe, ob das Geschäft aus einer Privatwohnung betrieben wird;
• Organisationsstruktur, verbundene Unternehmen, Direktoren, leitende Angestellte und kontrollierende Personen;
• Beschreibung jeder Retail-Zahlungstätigkeit sowie Schätzungen zu Endnutzern und Volumen;
• Art der Sicherung von Kundengeldern und eine Zusammenfassung des Risikomanagement-Frameworks;
• genutzte Drittdienstleister sowie Agenten;
• FINTRAC-Status, Registrierungen in den Provinzen und bei ausländischen PSPs den Zustellungsbevollmächtigten in Kanada.

Planen Sie mindestens zwei bis drei Monate zwischen Antrag und Entscheidung ein, deutlich mehr bei komplexer Eigentümerstruktur oder Investoren aus Hochrisikoländern. Ein späterer Kontrollerwerb erfordert vor dem Closing einen neuen Antrag. Das gehört in jeden Finanzierungszeitplan.

Framework für operatives Risiko und Incident Response

Section 17 des Gesetzes verlangt ein schriftliches Risk Management and Incident Response Framework. Die Verordnung legt den Inhalt fest, und zwar proportional: Ein PSP, dessen Ausfall viele Endnutzer oder andere PSPs treffen würde, muss mehr tun.

Governance zählt so viel wie der Inhalt. Ein Senior Officer muss für das Framework verantwortlich sein, das mindestens jährlich von ihm und vom Board geprüft und genehmigt wird. Das Framework ist nach einer zur Größe passenden Methode zu testen, und mindestens alle drei Jahre muss eine unabhängige, bisher unbeteiligte Person es bewerten.

Auslagerung verschiebt keine Verantwortung. Fällt Ihr Ledger, Ihr Kartenprozessor oder Ihr Cloud-Anbieter aus, schaut die Bank trotzdem auf Ihr Framework, Ihre Bewertung dieses Anbieters und Ihren Notfallplan.

Sicherung der Kundengelder (Safeguarding)

Wenn Sie Endnutzergelder "at rest" halten, also für eine spätere Überweisung oder Auszahlung verfügbar, verlangt Section 20 des Gesetzes eine von zwei Sicherungsmethoden oder eine Kombination:

Ein Konto bei einem einlagengesicherten Institut reicht allein nicht aus. Auf das Sicherungskonto darf kein Aufrechnungsrecht bestehen. Die Bank erwartet eine direkte Beziehung zum kontoführenden Institut und sieht Konstruktionen, bei denen ein anderer PSP dazwischengeschaltet ist, kritisch.

Zusätzlich braucht es ein schriftliches Safeguarding-of-Funds Framework, jährlich vom Senior Officer und vom Board genehmigt, das unter anderem regelt:

• ein Ledger mit Name und Kontaktdaten jedes Endnutzers und dem für ihn gehaltenen Betrag zum Ende jedes Tages;
• die zügige Einzahlung auf das Sicherungskonto, spätestens am Geschäftstag nach Eingang, wenn Verarbeitungsengpässe unvermeidbar sind;
• Maßnahmen, um Fehlbeträge zu erkennen und zu untersuchen, die dokumentiert und im Jahresbericht gemeldet werden;
• einen Liquiditätsansatz, falls ein Teil der Gelder in sicheren und liquiden Vermögenswerten statt in bar gehalten wird;
• Verfahren zur Rückzahlung an Endnutzer bei Insolvenz des PSP, einschließlich einer Schlussabstimmung;
• eine rechtliche und operative Risikoanalyse sowie eine unabhängige Überprüfung mindestens alle drei Jahre.

Den Begriff "tägliche Abstimmung" verwendet die Verordnung nicht. Ein Tagesend-Ledger je Kunde und die Pflicht, Fehlbeträge zu finden, lassen bei echtem Volumen aber kaum etwas anderes zu.

Meldepflichten nach der Registrierung

Mit der Registrierung beginnt eine laufende Meldebeziehung. Alle Einreichungen erfolgen über PSP Connect.

Nachweise der Compliance sind fünf Jahre aufzubewahren. Die Bank kann Verwaltungsstrafen von bis zu CAD 10 Millionen je Verstoß verhängen. 2026 hat sie eine Compliance-Anordnung erlassen und begonnen, Bescheide über Verstöße zu veröffentlichen. Die Aufsicht ist also aktiv.

Payments-Canada-Mitgliedschaft und Real-Time Rail

Die RPAA-Registrierung hat einen handfesten Vorteil. Änderungen am Canadian Payments Act traten am 29. September 2025 in Kraft und machten PSPs unter Aufsicht der Bank of Canada für eine Mitgliedschaft bei Payments Canada zulässig. Vorher konnten Fintechs das kanadische Clearing nur indirekt über ein Mitglied wie eine Bank oder Credit Union erreichen.

Jedes System hat eigene technische, operative und sicherheitsbezogene Anforderungen. Wer direkten Zugang will, sollte seine RPAA-Frameworks als Fundament betrachten und damit rechnen, dass Payments Canada dieselben Themen tiefer prüft: Verfügbarkeit, Vorfallmanagement, Settlement und Liquidität.

Was Ihre Technologie leisten muss

Die meisten RPAA-Anforderungen landen am Ende als Systemanforderungen. Wenn die Bank Nachweise verlangt, erwartet sie Daten aus Ihrer Plattform, kein Policy-PDF.

Eine Core-Banking-Plattform wie Crassula kann das Multiwährungs-Ledger mit Salden je Kunde, das Kunden-Onboarding, die Transaktionshistorie und die Audit-Logs im Backoffice bereitstellen, auf denen diese Prozesse aufbauen. Treuhand- oder Sicherungskonten, Versicherung, Incident-Verfahren und Governance bleiben Ihre Aufgabe. Wenn Sie sehen möchten, wie das zu Ihrem Produkt passt, fordern Sie eine Demo an.

RPAA vs. FINTRAC-MSB vs. Safeguarding einer UK-EMI

Teams mit einer britischen E-Geld-Lizenz fragen oft, wie viel ihrer Kontrollen sich auf Kanada übertragen lässt. Kurz gesagt: beim Safeguarding deutlich mehr als bei AML.

Mehr zur britischen Seite finden Sie in unserem Leitfaden zur UK-EMI-Lizenz.

FAQ