PSD2 voor hotels: wat betekent het voor je betalingen?

Een gast reserveert vandaag, betaalt een deel vóór aankomst en rekent de rest af bij vertrek. Zo’n betaalproces is voor hotels heel normaal. Toch gelden niet voor iedere stap dezelfde voorwaarden. Hieronder lees je wat PSD2 voor jouw hotel betekent en hoe je betalingen duidelijk organiseert voor je gasten en je receptieteam.

Wat is PSD2 en wat betekent het voor hotels?

PSD2 staat voor Payment Services Directive 2: de tweede Europese richtlijn voor betaaldiensten. De richtlijn bevat onder meer regels om elektronische betalingen veiliger te maken. Voor Nederlandse hoteliers is vooral de verplichting tot sterke klantauthenticatie relevant. De Nederlandsche Bank beschrijft dat de migratie naar SCA voor online kaartbetalingen eind 2020 moest zijn afgerond.

De authenticatieverplichtingen richten zich op betaaldienstverleners. Je hotel moet een betaalproces gebruiken dat daarop aansluit. Denk aan een geschikte betaalomgeving, duidelijke betaalvoorwaarden en een werkwijze voor transacties die extra bevestiging vragen.

Wat is sterke klantauthenticatie (SCA)?

SCA controleert de identiteit van de betaler met minimaal twee onafhankelijke factoren uit verschillende categorieën:

• Kennis: iets wat de gast weet, zoals een pincode.
• Bezit: iets wat de gast heeft, zoals een geregistreerde telefoon.
• Biometrie: iets wat de gast is, zoals een vingerafdruk.

Een bevestiging in de bankapp kan bijvoorbeeld bezit van de telefoon combineren met een vingerafdruk. Een kaartnummer en CVC-code vormen op zichzelf geen sterke klantauthenticatie.

Wat is het verschil tussen PSD2, SCA en 3D Secure?

PSD2 is het wettelijke kader. SCA is de authenticatie-eis. 3D Secure is een techniek waarmee banken online kaartbetalingen kunnen authenticeren. De gast kan daarbij worden gevraagd de betaling in de bankapp te bevestigen. Niet iedere transactie toont een extra bevestigingsscherm: onder voorwaarden kan een vrijstelling gelden.

Wanneer speelt PSD2 een rol bij hotelbetalingen?

Bij online kaartbetalingen is onder meer van belang waar de kaartuitgevende bank en de betaaldienstverlener van het hotel zijn gevestigd. Voor transacties binnen de Europese Economische Ruimte geldt SCA in beginsel wanneer de gast de elektronische betaling initieert, tenzij een uitzondering van toepassing is. De nationaliteit van de gast geeft hierover geen uitsluitsel.

Op een klein scherm kun je de tabel horizontaal verschuiven.

Wil je bepalen wanneer je gasten laat betalen? Lees dan ook onze uitleg over vooruitbetalingen in hotels.

Hoe werken no-shows en latere afschrijvingen onder PSD2?

Een hotel kan onder voorwaarden een betaling initiëren zonder dat de gast op dat moment meedoet. Dit heet een merchant-initiated transaction (MIT). Denk aan vooraf afgesproken no-showkosten of een latere betaling voor een verblijf. Zulke betalingen kunnen buiten de SCA-verplichting voor de afzonderlijke transactie vallen.

Daarvoor moet een geldig mandaat bestaan: de gast heeft het hotel toestemming gegeven om de afgesproken betalingen te initiëren. Bij het op afstand instellen van zo’n mandaat is SCA vereist. De European Banking Authority licht dit specifiek toe voor hotelreserveringen.

• Maak vooraf duidelijk welke bedragen of soorten kosten je wanneer mag afschrijven.
• Leg de instemming van de gast vast en bewaar de bijbehorende boekingsvoorwaarden.
• Laat je betaalprovider bevestigen hoe het mandaat, de authenticatie en de latere transactie aan elkaar worden gekoppeld.
• Controleer bij OTA-boekingen of de benodigde toestemming en betaalgegevens daadwerkelijk bruikbaar zijn voor jouw hotel.

Een geldige betaalafspraak garandeert bovendien niet dat de bank de transactie accepteert. Ontbreekt de benodigde bevestiging of wordt de betaling geweigerd? Vraag de gast dan via een beveiligde betaallink de betaling af te ronden.

Welke uitzonderingen en misverstanden zijn belangrijk?

Je betaalprovider beoordeelt welke vrijstelling kan worden aangevraagd; de kaartuitgevende bank kan alsnog authenticatie verlangen. Bouw je betaalproces daarom niet op de aanname dat een uitzondering altijd wordt geaccepteerd.

• Kleine online betalingen: voor bedragen tot en met €30 bestaat een mogelijke vrijstelling. Er gelden aanvullende grenzen voor opeenvolgende betalingen zonder SCA.
• Betalingen met een laag risico: onder voorwaarden is een vrijstelling mogelijk op basis van een risicoanalyse door de betaaldienstverlener.
• Zakelijke en virtuele kaarten: het etiket ‘zakelijk’ of ‘VCC’ is op zichzelf geen algemene vrijstelling. De betaalprocedure en het kaartproduct bepalen welke regels gelden.
• Telefonische betalingen: echte mail order/telephone order-betalingen (MOTO) vallen buiten de SCA-reikwijdte. Een online boeking wordt geen MOTO-betaling doordat je de kaartgegevens later handmatig invoert.

PSD2 en PCI DSS zijn verschillende zaken

PSD2 gaat onder meer over de authenticatie van betalingen; PCI DSS gaat over de beveiliging van kaartgegevens. PCI DSS is ook relevant voor Europese hotels. De twee kaders bestaan naast elkaar.

Gebruik de beveiligde kaartopslag van je betaalprovider in plaats van kaartgegevens in e-mails, spreadsheets of reserveringsnotities te bewaren. Tokenisatie kan het kaartnummer vervangen door een digitale verwijzing. Zo’n token is geen betaalmandaat. Volgens de PCI Security Standards Council mag je de CVC- of CVV-code na autorisatie niet bewaren, ook niet voor toekomstige betalingen.

Checklist: zo organiseer je het betaalproces van je hotel

1. Breng je betaalmomenten in kaart. Noteer per boekingskanaal wie incasseert en of de gast direct, vóór aankomst of bij vertrek betaalt.
2. Laat de gast tijdig bevestigen. Gebruik waar passend de boeking of een betaalverzoek vóór aankomst voor de benodigde authenticatie.
3. Maak je voorwaarden concreet. Stem aanbetalingen, annuleringen, no-shows en eventuele extra kosten af op het tarief dat de gast heeft geboekt.
4. Controleer de terugkoppeling. Een verstuurde betaallink is nog geen betaling. Je team moet kunnen zien welke bedragen ontvangen of nog openstaand zijn.
5. Test een mislukte betaling. Controleer wat er gebeurt als een gast de bankapp sluit, een bevestiging overslaat of een andere kaart moet gebruiken.
6. Spreek opvolging af. Bepaal wie openstaande bedragen controleert en hoe je gasten helpt zonder hun kaartgegevens per e-mail op te vragen.

Hoe ondersteunt RoomRaccoon hotelbetalingen?

Met RaccoonPay, de geïntegreerde betalingsoplossing van RoomRaccoon, verbind je betalingen met je reserveringsbeheer. Je team kan betalingen en openstaande bedragen vanuit het PMS volgen en betaalverzoeken naar gasten sturen.

RoomRaccoon ondersteunt 3D Secure bij online kaartbetalingen via betaalverzoeken, vooruitbetalingen in de booking engine en betalingen tijdens online in- en uitchecken. Daarnaast kun je met Advance Collect betaalverzoeken vóór aankomst inrichten. De beschikbare werkwijze hangt af van je tariefinstellingen en de boekingsbron.

Laat tijdens een demonstratie jouw eigen situaties zien: een directe reservering, een OTA-boeking waarbij het hotel incasseert en een no-show. Vraag hoe authenticatie, kaartopslag, betaalstatussen en opvolging in die processen werken. Bespreek ook transactiekosten en de voorwaarden voor latere kaartafschrijvingen.

Een praktijkvoorbeeld van geïntegreerd betalingsbeheer vind je in de case van Hotel Haverkist.

Veelgestelde vragen over PSD2 voor hotels

Gelden de betaalregels ook voor een klein hotel of B&B?

Ja. De omvang van je accommodatie bepaalt niet of een betaling sterke klantauthenticatie nodig heeft. De betaalmethode, de betrokken betaaldienstverleners en eventuele uitzonderingen zijn bepalend.

Moet een gast iedere hotelbetaling opnieuw bevestigen?

Nee. Er bestaan vrijstellingen en betalingen die buiten de SCA-reikwijdte vallen. Een nieuwe bevestiging kan wel nodig zijn als de bank dat verlangt of als een eerdere toestemming de nieuwe betaling niet dekt.

Is een pre-autorisatie hetzelfde als een aanbetaling?

Nee. Bij een pre-autorisatie wordt tijdelijk bestedingsruimte op de kaart gereserveerd. Bij een aanbetaling wordt daadwerkelijk een bedrag geïnd. Controleer de geldigheidsduur en de voorwaarden voor het later innen van een gereserveerd bedrag bij je betaalprovider.

Voorkomt 3D Secure alle chargebacks?

Nee. 3D Secure kan onder voorwaarden de aansprakelijkheid voor bepaalde frauduleuze kaartbetalingen verschuiven. Een gast kan nog steeds een betaling betwisten, bijvoorbeeld vanwege een geschil over de geleverde dienst. Duidelijke voorwaarden en goede documentatie blijven nodig.

Waarom wordt een kaartbetaling ondanks authenticatie geweigerd?

Authenticatie bevestigt de identiteit van de betaler, maar garandeert geen goedkeuring van de betaling. Er kan bijvoorbeeld onvoldoende bestedingsruimte zijn of een beperking op de kaart gelden. Controleer de melding van de betaalprovider en laat de gast zo nodig een andere betaalmethode gebruiken.