Digitale Finanzen und Sicherheit

🧔 Erwachsene Das Gesetz (PSD2, Artikel 4) definiert zwei Dienste, die von Drittanbietern erbracht werden ✔: einen Zahlungsauslösedienst – „ein Dienst, der auf Antrag des Zahlungsdienstnutzers einen Zahlungsauftrag in Bezug auf ein bei einem anderen Zahlungsdienstleister geführtes Zahlungskonto auslöst“ (Nummer 15) – und einen Kontoinformationsdienst – „ein Online-Dienst zur Mitteilung konsolidierter Informationen über ein Zahlungskonto oder mehrere Zahlungskonten“, die bei anderen Anbietern geführt werden (Nummer 16). Bevor du ihnen vertraust, prüfe, ob der Anbieter zugelassen oder registriert ist (Kompetenzen 406, 409). In jedem EU-Land führt die nationale Aufsichtsbehörde ein öffentliches Register, und die Europäische Bankenaufsichtsbehörde (EBA) führt nach Artikel 15 der PSD2 ein zentrales, frei zugängliches Register ✔ (eba.europa.eu). Der Kompetenzrahmen erwartet außerdem, dass du weißt: Manche digitale Produkte sind riskanter, weil sie weniger reguliert sind (370) ✔.

Beispiel: Bulgarien – Die BNB führt nach Artikel 19 des Gesetzes über Zahlungsdienste und Zahlungssysteme öffentliche Register der Zahlungsinstitute, der E-Geld-Institute und der Anbieter von Kontoinformationsdiensten ✔ (bnb.bg, „Register nach dem Gesetz über Zahlungsdienste und Zahlungssysteme“, geöffnet am 21.10.2026).

Prüfen in deinem Land – Welche Behörde führt das Register der Zahlungsinstitute und E-Geld-Institute (meist die Zentralbank oder die Finanzaufsicht)? Suche dort oder im zentralen Register der EBA nach dem Namen des Anbieters, bevor du eine App mit deinem Konto verbindest.

Mythos → Wahrheit

• Mythos: „Digital ist weniger sicher als ein Geldbeutel.“
• Wahrheit: Es ist anders. Einen gestohlenen Geldbeutel bemerkst du sofort, ein gestohlenes Passwort nicht. Deshalb braucht digitales Geld Gewohnheiten (Kapitel 9) und hat zusätzlichen Schutz.

Wer profitiert? Wer weiß, wo seine Schlüssel sind.

→ Weiter bei der Quelle

• Richtlinie (EU) 2015/2366: http://data.europa.eu/eli/dir/2015/2366/oj ✔
• BNB – Register nach dem Gesetz über Zahlungsdienste und Zahlungssysteme: https://www.bnb.bg/RegistersAndServices/RSPIPublicRegisters/index.htm ✔ (geöffnet am 21.10.2026)

🧔 Erwachsene Die drei Arten von Nachweisen, auf denen die gesamte digitale Sicherheit beruht: Wissen (Passwort, PIN), Besitz (Handy, Karte, physischer Schlüssel), Inhärenz (Fingerabdruck, Gesicht). Schwachstellen:

• Ein SMS-Code bedeutet „Besitz“ der Nummer, nicht des Handys – die Nummer lässt sich übertragen (SIM-Swapping, Kapitel 5). Die ENISA rät: Wenn du die Wahl hast, nutze einen Passkey, einen physischen Schlüssel oder eine Authenticator-App – sie sind grundsätzlich sicherer als ein SMS-Code ✔ (ENISA, „Cyber Hygiene“, geöffnet am 21.10.2026).
• Biometrische Merkmale sind nicht geheim und lassen sich nicht wie ein Passwort ändern; sie entsperren das Gerät, und die PIN bleibt als Ersatzzugang.
• Wiederherstellungscodes bewahrst du auf Papier auf – sie sind „der Schlüssel zum Schlüssel“.

🏗 Unternehmen/Organisation Ein gemeinsames Passwort hinterlässt keine Spur und lässt sich nicht zurücknehmen, wenn jemand geht. Persönlicher Zugang, Rollen und ein zweiter Faktor für alle, die auf das Bankkonto des Unternehmens zugreifen können.

Mythos → Wahrheit

• Mythos: „Ich bin nicht wichtig – niemand hackt mein Konto.“
• Wahrheit: Automatische Programme probieren Millionen geleakter Passwörter aus. Verwundbar macht dich nicht deine Wichtigkeit, sondern ein mehrfach verwendetes Passwort.

Wer profitiert? Wer mindestens zwei verschiedene Schlösser hat.

→ Weiter bei der Quelle

• ENISA – Cyber Hygiene (lange, einzigartige Passwörter, Passwortmanager, Passkeys, Authenticator-App): https://www.enisa.europa.eu/topics/cyber-hygiene ✔ (geöffnet am 21.10.2026)

🧔 Erwachsene Definition (PSD2, Artikel 4 Nummer 30) ✔: „starke Kundenauthentifizierung“ bezeichnet „eine Authentifizierung unter Heranziehung von mindestens zwei Elementen der Kategorien Wissen (etwas, das nur der Nutzer weiß), Besitz (etwas, das nur der Nutzer besitzt) oder Inhärenz (etwas, das der Nutzer ist), die insofern voneinander unabhängig sind, als die Nichterfüllung eines Kriteriums die Zuverlässigkeit der anderen nicht beeinträchtigt, und die so konzipiert ist, dass die Vertraulichkeit der Authentifizierungsdaten geschützt ist“.

Wann sie verlangt wird (Artikel 97 Absatz 1) ✔: wenn der Zahler „a) online auf sein Zahlungskonto zugreift; b) einen elektronischen Zahlungsvorgang auslöst; c) über einen Fernzugang eine Handlung vornimmt, die das Risiko eines Betrugs im Zahlungsverkehr oder eines anderen Missbrauchs birgt“. Bei Fernzahlungen enthält die Authentifizierung Elemente, die „den Zahlungsvorgang dynamisch mit einem bestimmten Betrag und einem bestimmten Zahlungsempfänger verknüpfen“ (Artikel 97 Absatz 2) ✔. Deshalb gilt der Code nur für diese eine Zahlung – lies Betrag und Empfänger, bevor du bestätigst.

Beispiel: Bulgarien – Das Gesetz über Zahlungsdienste und Zahlungssysteme verpflichtet in Artikel 100 Absatz 1 die Anbieter, in denselben drei Fällen die starke Kundenauthentifizierung des Zahlers anzuwenden ✔ (aktueller Text auf lex.bg, geöffnet am 21.10.2026).

Prüfen in deinem Land – Die PSD2 ist in jedem EU-Land in ein nationales Zahlungsdienstegesetz umgesetzt; die Regel ist dieselbe. Die Nutzungsbedingungen deiner Bank erklären, welche Verfahren (App, Kartenleser, SMS) sie akzeptiert.

Technische Anforderungen (Delegierte Verordnung (EU) 2018/389) ✔: Der Code wird nur einmal akzeptiert (Artikel 4 Absatz 1); aus ihm darf sich kein anderes Element ableiten lassen (Artikel 4 Absatz 2). Die Bank darf (sie muss nicht) Ausnahmen nutzen: kontaktlose Zahlungen bis 50 € je Vorgang und bis 150 € insgesamt oder bis zu fünf aufeinanderfolgenden Zahlungen (Artikel 11); die Anzeige des Kontostands oder der Vorgänge der letzten 90 Tage (Artikel 10); „vertrauenswürdige Empfänger“, deren Liste mit starker Authentifizierung erstellt wird (Artikel 13). (✔ geprüft anhand der konsolidierten Fassung vom 25.07.2023: Artikel 11 – 50 €, 150 €, fünf Zahlungen; Artikel 10 – 90 Tage und erneute Authentifizierung nach 180 Tagen; spätere Änderungen wurden nicht gesucht.)

Was das für dich bedeutet: Wenn die Bank starke Authentifizierung nicht verlangt, obwohl das Gesetz sie vorschreibt, trägt der Zahler keine Verluste, es sei denn, er hat betrügerisch gehandelt (PSD2, Artikel 74 Absatz 2) ✔.

Mythos → Wahrheit

• Mythos: „Der zweite Schritt ist ein unnötiges Ärgernis.“
• Wahrheit: Das Ärgernis ist der Preis dafür, dass ein einziges gestohlenes Geheimnis nicht reicht. Der Code ist dein „Ja“ zu einer bestimmten Zahlung – gib ihn nie weiter.

Wer profitiert? Du – wenn ein gestohlenes Passwort allein das Geld nicht holen kann.

→ Weiter bei der Quelle

• PSD2: http://data.europa.eu/eli/dir/2015/2366/oj ✔ · Verordnung 2018/389: http://data.europa.eu/eli/reg_del/2018/389/oj ✔ · Bulgarisches Gesetz über Zahlungsdienste und Zahlungssysteme: https://lex.bg/laws/ldoc/2137182267 ✔ (geöffnet am 21.10.2026; auf Bulgarisch)

🧔 Erwachsene Die Verordnung (EU) 2024/886 ändert die Verordnung (EU) Nr. 260/2012 und fügt die neuen Artikel 5a, 5b, 5c und 5d ein ✔.

• Definition (Artikel 2 Nummer 1a): Eine Echtzeitüberweisung (Sofortüberweisung) ist „eine Überweisung, die unverzüglich, rund um die Uhr und an jedem Kalendertag ausgeführt wird“.
• Angebot (Artikel 5a Absatz 1): Anbieter, die Überweisungen anbieten, müssen allen ihren Nutzern sowohl das Senden als auch das Empfangen von Sofortüberweisungen anbieten.
• 10 Sekunden (Artikel 5a Absatz 4 Buchstabe c und Absatz 5): Der Betrag muss dem Empfänger innerhalb von 10 Sekunden zur Verfügung stehen; trifft keine Bestätigung ein, stellt der Zahlungsdienstleister des Zahlers das Konto sofort wieder her.
• Ein Limit deiner Wahl (Artikel 5a Absatz 6): Auf Antrag muss dir die Bank einen Höchstbetrag für Sofortüberweisungen anbieten – pro Tag oder pro Vorgang; ein Auftrag darüber hinaus wird nicht ausgeführt. Ein wirksamer Schutz davor, dass ein Konto schnell leergeräumt wird.
• Preis (Artikel 5b): Die Entgelte für eine Sofortüberweisung dürfen nicht höher sein als für eine gewöhnliche; die Empfängerüberprüfung ist kostenlos.
• Empfängerüberprüfung (Artikel 5c Absatz 1 Buchstabe a): Der Dienst wird „unmittelbar nachdem der Zahler die relevanten Angaben zum Zahlungsempfänger gemacht hat und bevor ihm die Möglichkeit geboten wird, diese Überweisung zu autorisieren“ durchgeführt. Gibt es keine Übereinstimmung, informiert die Bank den Zahler, dass die Autorisierung „dazu führen könnte, dass die Gelder auf ein Zahlungskonto überwiesen werden, das nicht vom vom Zahler angegebenen Zahlungsempfänger gehalten wird“; bei einer fast vollständigen Übereinstimmung zeigt sie den mit der IBAN verknüpften Namen an. Für Unternehmen ist auch eine Überprüfung anhand der Steuernummer, der europäischen eindeutigen Kennung oder der LEI möglich (Buchstabe b).
• Folgen (Absätze 7–8): Die Bank informiert dich über die Folgen, wenn du die Warnung ignorierst. Hat sie die Überprüfung nicht durchgeführt und ging die Überweisung auf das falsche Konto, erhält der Zahler den Betrag unverzüglich zurück; hat sie die Überprüfung durchgeführt und du hast trotz der Warnung bestätigt, haftet die Bank nicht für die Überweisung an den falschen Empfänger.

Ab wann: für Anbieter in Euro-Ländern – Empfang von Sofortüberweisungen ab 9.01.2025, Senden und Empfängerüberprüfung ab 9.10.2025; für Länder außerhalb des Euroraums – 9.01.2027 (Empfang) und 9.07.2027 (Senden, Überprüfung); Zahlungsinstitute und E-Geld-Institute im Euroraum – 9.04.2027 ✔ (Artikel 5a, 5b, 5c der geänderten Verordnung 260/2012). Für ein Land, das später den Euro einführt, gilt der neue Artikel 16 Absatz 9 der Verordnung 260/2012 (durch 2024/886, Artikel 1 Nummer 5 hinzugefügt): Die Anbieter dort halten die Artikel 5a–5c „innerhalb eines Jahres“ nach Einführung des Euro ein, jedoch nicht später als die Termine für Nicht-Euro-Länder und nicht früher als die Termine für den Euroraum. Viele Banken haben die Dienste womöglich früher eingeführt; frag bei deiner nach.

Beispiel: Bulgarien – Bulgarien gehört seit dem 01.01.2026 zum Euroraum, also nach den Terminen für den Euroraum; deshalb gilt Artikel 16 Absatz 9. Die BNB bestätigt, dass Zahlungsdienstleister in Bulgarien das Senden und Empfangen von Sofortüberweisungen in Euro und die Empfängerüberprüfung ab dem 1. Januar 2027 anbieten müssen ✔ (BNB, „Einheitlicher Euro-Zahlungsverkehrsraum (SEPA)“ – häufig gestellte Fragen, geöffnet am 21.10.2026).

Prüfen in deinem Land – Gehört dein Land zum Euroraum, und seit wann? Die SEPA-Seite deiner Zentralbank nennt die Termine. Frag deine Bank, wo du in der App das Limit für Sofortüberweisungen einstellen kannst.

🏗 Unternehmen/Organisation Die „IBAN-Änderung“ per E-Mail (ein Brief „von einem Lieferanten“ mit einem neuen Konto) ist eine Masche, die sich gegen die Mitarbeitenden richtet, die Zahlungen ausführen. Die Empfängerüberprüfung und ein Rückruf unter einer bekannten Nummer bei jeder Kontoänderung sind der günstigste Schutz. Unternehmen können bei Sammelzahlungen auf die Überprüfung verzichten (Artikel 5c Absatz 6) ✔ – durch eine bewusste Entscheidung, nicht als Voreinstellung.

Mythos → Wahrheit

• Mythos: „Wenn die Bank mich nicht gewarnt hat, ist der Empfänger ehrlich.“
• Wahrheit: Die Überprüfung vergleicht einen Namen und eine IBAN, keine Absichten. Prüfe sowohl, wem als auch wofür du zahlst (Modul 17).

Wer profitiert? Wer bei der Warnung eine Sekunde innehält.

→ Weiter bei der Quelle

• Verordnung (EU) 2024/886: http://data.europa.eu/eli/reg/2024/886/oj ✔
• BNB – Fragen und Antworten zu SEPA: https://www.bnb.bg/aboutus/aufaq/CONTR_SEPA_FAQ ✔ (geöffnet am 21.10.2026)

🧔 Erwachsene Modul 17 beschreibt Betrugsmaschen als Geschichten; hier sind ihre technischen Einfallstore:

Die Formel des Kompetenzrahmens ✔: sprich nur mit überprüften Vertretern der Institution (519), prüfe die Nachricht (518), hab genug Selbstvertrauen, sie zu hinterfragen (520).

Was die Daten zeigen ✔: ENISA, Bericht zum Finanzsektor (Januar 2023 – Juni 2024) – bei Angriffen mit Social Engineering (Phishing, Smishing, Vishing) sind Einzelpersonen am häufigsten das Ziel (38 % der Fälle), und Betrüger geben sich am häufigsten als Banken aus (36 %); unter den neuen Bedrohungen nennt der Bericht auch Schadsoftware, die aus gestohlenen Gesichtserkennungsdaten Deepfake-Videos erzeugt (ENISA, „Threat Landscape: Finance Sector“, geöffnet am 21.10.2026). Europol, IOCTA 2025 („Steal, deal and repeat“, 12.06.2025) – stellt den zunehmenden Einsatz generativer KI, auch großer Sprachmodelle, zur Verstärkung von Social-Engineering-Angriffen fest (Europol, konsolidierter jährlicher Tätigkeitsbericht 2025, geöffnet am 21.10.2026).

Mythos → Wahrheit

• Mythos: „Betrug erkennt man an Sprachfehlern.“
• Wahrheit: Heute können Nachrichten fehlerfrei sein. Das Zeichen ist der Druck – Eile, Geheimhaltung, Geld, ein Code.

Wer profitiert? Wer über einen unabhängigen Kanal nachprüft.

→ Weiter bei der Quelle

• ENISA, Threat Landscape: Finance Sector (Januar 2023 – Juni 2024): https://www.enisa.europa.eu/sites/default/files/2025-02/Finance%20TL%202024_Final.pdf ✔ (gelesen am 21.10.2026)
• Europol – IOCTA 2025: https://www.europol.europa.eu/publication-events/main-reports/steal-deal-and-repeat-how-cybercriminals-trade-and-exploit-your-data ✔ (Seite des Berichts; die Zusammenfassung wurde mit dem Jahresbericht 2025 von Europol abgeglichen)

🧔 Erwachsene Deine Pflicht (PSD2, Artikel 69) ✔: den Anbieter „unverzüglich“ zu unterrichten, sobald du Verlust, Diebstahl, missbräuchliche Verwendung oder nicht autorisierte Nutzung des Zahlungsinstruments bemerkst, und „alle zumutbaren Vorkehrungen zu treffen, um die personalisierten Sicherheitsmerkmale vor unbefugtem Zugriff zu schützen“.

Pflichten der Bank (Artikel 70 Absatz 1) ✔: jederzeit eine Möglichkeit zur Meldung bereitzustellen, kostenlos, und nach der Meldung jede Nutzung des Instruments zu verhindern. Stellt sie diese Möglichkeit nicht bereit, trägt der Zahler keine Verluste, außer bei Betrug (Artikel 74 Absatz 3); nach der Meldung trägt der Zahler keine Folgen weiterer Nutzung, es sei denn, er hat betrügerisch gehandelt.

Frist für die Meldung (PSD2, Artikel 71 Absatz 1) ✔: Du erreichst die Berichtigung eines nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgangs nur, wenn du ihn „unverzüglich“ meldest und spätestens 13 Monate nach dem Tag der Belastung.

Dein Geld zurückbekommen (PSD2, Artikel 73 Absatz 1) ✔: Bei einem nicht autorisierten Zahlungsvorgang erstattet dir die Bank den Betrag „unverzüglich, spätestens jedoch bis zum Ende des folgenden Geschäftstags, nachdem sie den Vorgang festgestellt hat oder ihr dieser angezeigt wurde“ – es sei denn, sie hat berechtigte Gründe für den Verdacht auf Betrug und teilt diese Gründe der zuständigen nationalen Behörde schriftlich mit.

Wie viel du tragen musst (PSD2, Artikel 74 Absatz 1) ✔: bei einem verlorenen, gestohlenen oder missbräuchlich verwendeten Instrument – höchstens 50 €. Die Grenze gilt nicht, wenn der Zahler betrügerisch gehandelt oder seine Pflichten vorsätzlich oder grob fahrlässig verletzt hat – dann trägt er den gesamten Schaden. Die Beweislast liegt bei der Bank: Die aufgezeichnete Nutzung des Instruments „reicht für sich gesehen nicht unbedingt aus“, um die Autorisierung oder grobe Fahrlässigkeit zu beweisen (PSD2, Artikel 72 Absatz 2) ✔.

Die Grenze dieser Regeln: Sie betreffen nicht autorisierte Zahlungsvorgänge. Wenn du selbst, von einem Betrüger überredet, die Überweisung bestätigt hast, ist umstritten, ob sie „nicht autorisiert“ war, und es hängt von den Umständen ab. Also: sofort handeln, eine schriftliche Stellungnahme verlangen, Beschwerde einlegen, mit den Behörden zusammenarbeiten. Die Regeln ändern sich – die Zahlungsdiensteverordnung (PSR) und die Richtlinie PSD3 wurden am 27.11.2025 zwischen Parlament und Rat politisch vereinbart; nach der Einigung muss der Anbieter den vollen Betrag erstatten, wenn sich ein Betrüger als Mitarbeiter des Anbieters ausgibt und dich dazu bringt, eine Zahlung zu genehmigen – vorausgesetzt, du hast es der Polizei gemeldet und den Anbieter informiert. Der Text muss noch förmlich vom Parlament und vom Rat angenommen werden, bevor er in Kraft tritt ✔ (Europäisches Parlament, Pressemitteilung vom 27.11.2025 und „Legislative Train“, Stand 20.09.2026, geöffnet am 21.10.2026). Bis zum Inkrafttreten gilt diese Regel nicht.

An wen du dich wendest (ergänzt Modul 17, Kapitel 8): zuerst die Bank; bei einer Straftat – eine Anzeige bei der Polizei; bei einem Streit mit dem Anbieter – eine Beschwerde beim Anbieter, danach eine außergerichtliche Stelle für Zahlungsstreitigkeiten; eine Beschwerde kann auch an die Aufsichtsbehörde für Zahlungsdienstleister gehen; bei personenbezogenen Daten – die Datenschutzbehörde (Kapitel 7). Melde auch dann, wenn du nicht das Opfer bist (535).

Beispiel: Bulgarien – Das Gesetz über Zahlungsdienste und Zahlungssysteme wiederholt diese Regeln ✔ (lex.bg, geöffnet am 21.10.2026): Meldung unverzüglich – Artikel 75; 13 Monate – Artikel 77 Absatz 1; Erstattung bis zum Ende des folgenden Geschäftstags – Artikel 79 Absatz 1; höchstens 50 € – Artikel 80 Absatz 1 (in Euro seit dem 01.01.2026). An wen man sich wendet: Cyberkriminalität fällt in den Zuständigkeitsbereich der Generaldirektion zur Bekämpfung der organisierten Kriminalität, Abteilung Cyberkriminalität (https://www.cybercrime.bg ✔, Seite geöffnet am 21.10.2026); die Schlichtungskommission für Zahlungsstreitigkeiten bei der Verbraucherschutzkommission (CPC) ist kostenlos, schriftlich und unverbindlich und setzt einen vorherigen Einigungsversuch mit dem Anbieter voraus ✔ (Europäische Kommission, consumer-redress.ec.europa.eu); die BNB beaufsichtigt Zahlungsdienstleister und ergreift Maßnahmen „von sich aus oder auf der Grundlage einer Beschwerde oder Meldung eines Nutzers“ ✔ (Artikel 167 Absätze 1–2); bei personenbezogenen Daten – die CPDP.

Prüfen in deinem Land – Finde heraus: die Cyberkriminalitätsstelle deiner Polizei; die außergerichtliche Stelle für Zahlungsstreitigkeiten (die Seiten der Europäischen Kommission zur Verbraucherstreitbeilegung listen sie nach Ländern auf); die Aufsichtsbehörde für Zahlungsdienstleister (meist die Zentralbank oder die Finanzaufsicht); und deine Datenschutzbehörde.

Mythos → Wahrheit

• Mythos: „Ich habe es selbst bestätigt – ich kann nichts mehr tun.“
• Wahrheit: Gerade deshalb zählen Zeit und Unterlagen; manchmal wird das Geld beim Empfänger gesperrt, und die Masche stoppt.

Wer profitiert? Wer innerhalb der ersten Stunde handelt.

→ Weiter bei der Quelle

• Bulgarisches Gesetz über Zahlungsdienste und Zahlungssysteme: https://lex.bg/laws/ldoc/2137182267 ✔ (geöffnet am 21.10.2026; auf Bulgarisch) · CPC: https://kzp.bg ✔ (Modul 17)

🧔 Erwachsene Verordnung (EU) 2016/679 (DSGVO) ✔:

• Artikel 4 Nummer 1: Personenbezogene Daten sind „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“, einschließlich einer „Online-Kennung“.
• Artikel 5 Absatz 1 Buchstabe c – Datenminimierung: Die Daten sind „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt“.
• Artikel 15 – Auskunft: das Recht auf Bestätigung, ob Daten über dich verarbeitet werden, und auf Zugang zu ihnen.
• Artikel 17 – Löschung: „unverzüglich“, wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind, sowie aus den übrigen Gründen.
• Artikel 20 – Datenübertragbarkeit: die Daten, die du bereitgestellt hast, „in einem strukturierten, gängigen und maschinenlesbaren Format“, und das Recht, sie einem anderen Verantwortlichen zu übermitteln.
• Artikel 21 – Widerspruch: aus Gründen, die sich aus deiner besonderen Situation ergeben; gegen Direktwerbung – jederzeit.
• Artikel 7 Absatz 3 – Widerruf der Einwilligung: „jederzeit“; „der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein“.
• Artikel 12 Absatz 3 – Frist: eine Antwort „unverzüglich, in jedem Fall aber innerhalb eines Monats“ (wegen Komplexität um weitere zwei Monate verlängerbar).
• Artikel 77 Absatz 1 – Beschwerde: „jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde“; Artikel 82 – das Recht auf Schadenersatz.
• Artikel 33–34 – Verletzung des Schutzes personenbezogener Daten: Der Verantwortliche meldet sie der Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden“, und der betroffenen Person – wenn das Risiko hoch ist.

Beispiel: Bulgarien – Aufsichtsbehörde ist die Kommission für den Schutz personenbezogener Daten (CPDP), Sofia 1592, Bul. „Prof. Tsvetan Lazarov“ 2; Beschwerden und Meldungen – https://cpdp.bg ✔.

Prüfen in deinem Land – Jedes EU-Land hat eine Datenschutzbehörde; der Europäische Datenschutzausschuss (edpb.europa.eu) listet sie alle auf. Eine Beschwerde kann auch in dem Land eingereicht werden, in dem du wohnst oder arbeitest.

Open Banking und Einwilligungen (PSD2, Artikel 66–67) ✔: Ein Anbieter von Kontoinformationsdiensten darf „die Dienste nur auf der Grundlage der ausdrücklichen Einwilligung des Zahlungsdienstnutzers“ erbringen (Artikel 67 Absatz 2 Buchstabe a); bei der Zahlungsauslösung erteilt der Zahler seine ausdrückliche Einwilligung (Artikel 66 Absatz 2). In der Praxis: (1) wisse, welche Apps Zugriff haben; (2) widerrufe die Berechtigungen, die du nicht nutzt (430); (3) gib dein Online-Banking-Passwort nie an eine Drittanbieter-App weiter – der Zugriff läuft über die eigenen Kanäle der Bank. Wo du sie einsehen und widerrufen kannst, erfährst du bei deiner Bank; das Verfahren unterscheidet sich von Bank zu Bank. Der Kompetenzrahmen ergänzt: Anbieter dürfen ein Profil speichern, um Angebote zu personalisieren (424), und das Speichern von Finanzdokumenten online hat Folgen für die Sicherheit (423) ✔.

Mythos → Wahrheit

• Mythos: „Die Einwilligung ist ein Knopf, den niemand liest.“
• Wahrheit: Sie ist ein Vertrag über deine Daten. Du kannst sie widerrufen, und das muss so einfach sein, wie sie zu erteilen.

Wer profitiert? Wer weiß, welche Türen er geöffnet hat – und die ungenutzten schließt.

→ Weiter bei der Quelle

• CPDP: https://cpdp.bg ✔ · DSGVO: http://data.europa.eu/eli/reg/2016/679/oj ✔

🧔 Erwachsene

🧔 Erwachsene – Checkliste Jeden Tag: Ich gebe keine Daten über einen Link ein · ich teile keine Codes · ich lese Betrag und Empfänger, bevor ich bestätige (Kap. 3) · eine Warnung „Name stimmt nicht überein“ stoppt die Überweisung (Kap. 4). Jeden Monat: Ich prüfe meine Umsätze; alles Unbekannte → am selben Tag zur Bank · ich aktualisiere mein Handy · ich prüfe, welche Apps Zugriff auf meine Daten haben (Kap. 7) · ich kontrolliere die Limits für meine Karte und für Sofortüberweisungen. Jedes Jahr: Ich ändere das Passwort meines Bankkontos und meiner E-Mail · die Wiederherstellungscodes liegen auf Papier an einem sicheren Ort · die Kontakttelefonnummer bei der Bank ist aktuell · ich lösche nicht genutzte Konten · ich habe eine Sicherung wichtiger Dokumente. Wenn etwas passiert: Stopp · Sperren · Sagen · Beweise sichern (Kap. 6).

🏗 Unternehmen/Organisation Persönlicher Zugang und Rollen · ein zweiter Faktor für alle · zwei Unterschriften ab einem festgelegten Schwellenwert · Rückruf bei Kontoänderung · jährliche Schulung · ein schriftlicher Plan „Was wir bei einem Vorfall tun“.

Mythos → Wahrheit

• Mythos: „Sicherheit ist die Aufgabe der Bank.“
• Wahrheit: Die Bank trägt große Pflichten (Kap. 3, 6), aber der Schlüssel liegt bei dir. Der günstigste Teil der Sicherheit gehört dir.

Wer profitiert? Wer jeden Monat die kleine Kontrolle macht statt einmal die große Reparatur.

→ Weiter bei der Quelle

• ENISA – Cyber Hygiene: https://www.enisa.europa.eu/topics/cyber-hygiene ✔ · EZB – der digitale Euro: https://www.ecb.europa.eu/euro/digital_euro/html/index.en.html ✔ (geöffnet am 21.10.2026)

🧔 Erwachsene Was das Gesetz sagt (kurz):

• Eine direkte Aufforderung an Kinder ist verboten. Richtlinie 2005/29/EG über unlautere Geschäftspraktiken, Anhang I Nummer 28 – stets unlauter ist „die in eine Werbung einbezogene unmittelbare Aufforderung an Kinder, die beworbenen Produkte zu kaufen oder ihre Eltern oder andere Erwachsene zu überreden, die beworbenen Produkte für sie zu kaufen“ ✔. Ein „Jetzt kaufen!“-Knopf, der sich in einem Spiel an ein Kind richtet, fällt unter diese Logik.
• Dark Patterns. Das Gesetz über digitale Dienste (Verordnung (EU) 2022/2065, Artikel 25) verbietet Online-Plattformen, ihre Benutzeroberflächen so zu gestalten, dass Nutzer getäuscht oder manipuliert werden; Beispiele sind die wiederholte Aufforderung, eine bereits getroffene Wahl zu treffen, und ein schwierigeres Kündigen eines Dienstes als das Abschließen ✔.
• Virtuelle Währungen in Spielen. Das Netzwerk der nationalen Verbraucherschutzbehörden in der EU (das CPC-Netzwerk) hat im März 2025 „Grundprinzipien für virtuelle Währungen in Spielen“ angenommen. Die Europäische Kommission fasst sie so zusammen: klare Preise und vorvertragliche Informationen; keine Praktiken, die die Kosten der Inhalte verschleiern; kein Zwang für Verbraucher, virtuelle Währung zu kaufen; Achtung des Widerrufsrechts; Berücksichtigung der Schutzbedürftigkeit von Verbrauchern, besonders der von Kindern ✔ (Seite der Europäischen Kommission, 3.06.2025, erneut geöffnet am 21.10.2026). Die Prinzipien sind kein neues Gesetz: Das CPC-Netzwerk beschreibt sie als nicht abschließende Grundsätze, mit denen Unternehmer das bestehende EU-Verbraucherrecht einhalten sollen – als Rechtsgrundlage nennt es die Richtlinie über unlautere Geschäftspraktiken und die Verbraucherrechterichtlinie ✔. Prinzip 1 verlangt, dass der Preis der virtuellen Währung und der damit gekauften Inhalte deutlich auch in echtem Geld angezeigt wird ✔ (CPC, „Key Principles on In-game Virtual Currencies“, 21.03.2025, geöffnet am 21.10.2026).
• Glücksspiel ist für Erwachsene. In der gesamten EU wird Glücksspiel national geregelt, und der Zugang für Minderjährige ist beschränkt.

Beispiel: Bulgarien – Die Nationale Agentur für Einnahmen (NRA) hat eine Seite „Elterliche Kontrolle“, um Kinder vom Glücksspiel fernzuhalten ✔ (nra.bg). Das Gesetz lässt Personen unter 18 Jahren nicht in Spielhallen und Kasinos zu und verbietet den Verkauf von Lotterielosen an unter 18-Jährige ✔ (Glücksspielgesetz, Artikel 45 Absatz 2 und Artikel 9 Absatz 11, lex.bg, geöffnet am 21.10.2026).

Prüfen in deinem Land – Welche Behörde reguliert das Glücksspiel (oft eine Glücksspielkommission oder die Steuerbehörde), und was sagt sie zu Minderjährigen und zur elterlichen Kontrolle?

Bezahlte Belohnungskisten – du zahlst, ohne zu wissen, was du bekommst – beruhen auf demselben Zufall; zu Hause lautet die einfachste Regel: nicht mit dem Geld eines Kindes.

Wie ihr das zu Hause klärt, ohne Streit:

1. Schalte die gespeicherte Karte aus, auf dem Gerät und im Spiel. Ein Kauf, der eine Bestätigung braucht, ist die einfachste Bremse.
2. Nutze einen vorausbezahlten Betrag – einen Gutschein, ein Kinderkonto oder eine Prepaid-Karte mit Limit (Modul 26, Modul 21 Kapitel 8). Wenn er aufgebraucht ist, ist er aufgebraucht.
3. Sieh dir den Kontoauszug an – Käufe im Spiel sind klein und zahlreich; zusammen ergeben sie den Monat.
4. Sprecht über das Gefühl, nicht nur über den Betrag: „Was wolltest du damit bekommen? Hast du es bekommen?“

Wenn ein Kind ohne Erlaubnis etwas gekauft hat: Bleib ruhig. Sammle die Daten und Beträge, wende dich an den Spieleanbieter oder den App-Store und bitte um Erstattung; wurde mit Karte bezahlt – auch an die Bank (Modul 21 Kapitel 5). Bei einem Streit mit einem Unternehmer – die Verbraucherschutzbehörde (in Bulgarien die CPC: kzp.bg). Eine Erstattung ist nicht garantiert und hängt von den Bedingungen des Anbieters ab.

Mythos → Wahrheit

• Mythos: „Ein kostenloses Spiel ist kostenlos.“
• Wahrheit: Du zahlst mit Zeit, mit Aufmerksamkeit und manchmal mit vielen kleinen Käufen. Es ist kostenlos, wenn du entscheidest, wie viel du gibst.
• Mythos: „Aus dieser Kiste bekomme ich es – jetzt bin ich nah dran.“
• Wahrheit: Jede Ziehung ist neu. Die vorherigen bringen dich nicht „näher“, es sei denn, die Regeln sagen es ausdrücklich.

Wer profitiert? Der Hersteller – von deiner Zeit, deiner Aufmerksamkeit und den vielen kleinen Käufen. Du – wenn du vorher weißt, wie viel Zeit und wie viele Euro du dem Spiel gibst, und jede Minute genießt.

Beispiel (fiktiv): Mira, 12, möchte ein Outfit für ihre Spielfigur. Es kostet 450 Tokens, und das kleinste Paket sind 500 Tokens für 4,99 €. Mit der „Euro-Brille“ sieht sie: Das Outfit kostet sie 4,99 €, und 50 Tokens bleiben übrig, die allein für nichts reichen. Sie beschließt, es in einer Woche von ihrem Taschengeld zu kaufen – falls sie es dann noch will. Sie will es nicht mehr.

Dein Schritt in Pecuvo: Lege in der Wallet einen Korb „Spiele und Apps“ mit einem monatlichen Limit an (es können 0 € sein). Jeder Kauf geht dorthin. Einmal im Monat – fünf Minuten gemeinsam: was wir gekauft haben und ob es uns noch Freude macht.

→ Weiter bei der Quelle

• Richtlinie 2005/29/EG (unlautere Geschäftspraktiken), Anhang I: http://data.europa.eu/eli/dir/2005/29/oj ✔
• Verordnung (EU) 2022/2065 (digitale Dienste), Artikel 25 und 28: http://data.europa.eu/eli/reg/2022/2065/oj ✔
• Europäische Kommission – die Grundprinzipien des CPC-Netzwerks zu virtuellen Währungen in Spielen: https://commission.europa.eu/news-and-media/news/european-commission-hosts-stakeholders-talks-application-cpc-networks-key-principles-games-virtual-2025-06-03_en ✔
• NRA – „Elterliche Kontrolle“: https://nra.bg/wps/portal/nra/gambling/responsible.gambling/Roditelski-kontrol ✔ (die Seite wurde per Suche gefunden; der Text wurde nicht vollständig gelesen; auf Bulgarisch)

EU/OECD-INFE-Kompetenzrahmen für Kinder und Jugendliche (2023): Kompetenzen Nr. 62 · 63 · 115 · 117 · 225 · 228 · 232