Delegierte Verordnung (EU) 2022/2360 der Kommission vom 3. August 2022 zur Änderung der in der Delegierten Verordnung (EU) 2018/389 festgelegten technischen Regulierungsstandards im Hinblick auf die 90-tägige Ausnahme für den Kontozugriff (Text von Bedeutung für den EWR)

1 Zahlungsdienstleister dürfen unter Einhaltung der in Artikel 2 festgelegten Anforderungen davon absehen, eine starke Kundenauthentifizierung zu verlangen, wenn ein Zahlungsdienstnutzer direkt auf seine Zahlungskontoinformationen online zugreift und sich dieser Zugriff auf eine der folgenden Online-Abfragen beschränkt, ohne dass sensible Zahlungsdaten offengelegt werden: a) Kontostand eines oder mehrerer bezeichneter Zahlungskonten; b) Zahlungsvorgänge, die in den vergangenen 90 Tagen über ein oder mehrere bezeichnete Zahlungskonten ausgeführt wurden.

2 Abweichend von Absatz 1 dürfen Zahlungsdienstleister nicht von der Durchführung einer starken Kundenauthentifizierung befreit werden, wenn eine der folgenden Bedingungen erfüllt ist: a) Der Zahlungsdienstnutzer greift zum ersten Mal online auf die in Absatz 1 genannten Informationen zu. b) Mehr als 180 Tage sind verstrichen, seitdem der Zahlungsdienstnutzer letztmals auf die in Absatz 1 Buchstabe b genannten Informationen online zugegriffen hat und eine starke Kundenauthentifizierung verlangt wurde.“

1 Zahlungsdienstleister dürfen keine starke Kundenauthentifizierung verlangen, wenn ein Zahlungsdienstnutzer über einen Kontoinformationsdienstleister online auf sein Zahlungskonto zugreift und sich dieser Zugriff auf eine der folgenden Online-Abfragen beschränkt, ohne dass sensible Zahlungsdaten offengelegt werden: a) Kontostand eines oder mehrerer bezeichneter Zahlungskonten; b) Zahlungsvorgänge, die in den vergangenen 90 Tagen über ein oder mehrere bezeichnete Zahlungskonten ausgeführt wurden.

2 Abweichend von Absatz 1 verlangen Zahlungsdienstleister eine starke Kundenauthentifizierung, wenn eine der folgenden Bedingungen erfüllt ist: a) Der Zahlungsdienstnutzer greift zum ersten Mal über den Kontoinformationsdienstleister online auf die in Absatz 1 genannten Informationen zu. b) Mehr als 180 Tage sind verstrichen, seitdem der Zahlungsdienstnutzer letztmals über den Kontoinformationsdienstleister auf die in Absatz 1 Buchstabe b genannten Informationen online zugegriffen hat und eine starke Kundenauthentifizierung verlangt wurde.

3 Abweichend von Absatz 1 ist es Zahlungsdienstleistern gestattet, eine starke Kundenauthentifizierung zu verlangen, wenn ein Zahlungsdienstnutzer über einen Kontoinformationsdienstleister online auf sein Zahlungskonto zugreift und der Zahlungsdienstleister sachlich gerechtfertigte und hinreichend nachgewiesene Gründe im Zusammenhang mit einem nicht autorisierten oder betrügerischen Zugriff auf das Zahlungskonto hat. In einem solchen Fall werden die Gründe für die Durchführung einer starken Kundenauthentifizierung vom Zahlungsdienstleister dokumentiert und gegenüber seiner zuständigen nationalen Behörde auf Verlangen gebührend gerechtfertigt.

4 Kontoführende Zahlungsdienstleister, die eine dedizierte Schnittstelle im Sinne von Artikel 31 anbieten, sind nicht verpflichtet, die in Absatz 1 vorgesehene Ausnahme für die Zwecke des in Artikel 33 Absatz 4 genannten Notfallmechanismus zu implementieren, wenn sie die in Artikel 10 vorgesehene Ausnahme bei der direkten Schnittstelle für die Authentifizierung und Kommunikation mit ihren Zahlungsdienstnutzern nicht anwenden.“

1 Zahlungsdienstleister, die die in Artikel 10 der Delegierten Verordnung (EU) 2018/389 vorgesehene Ausnahme vor dem 25. Juli 2023 angewandt haben, dürfen diese Ausnahme bei Zugriffsanfragen über einen Kontoinformationsdienstleister solange weiter anwenden, bis die Geltungsdauer der betreffenden Ausnahme endet.

2 Abweichend von Absatz 1 unterliegt jede neue starke Kundenauthentifizierung, die bei Zugriffsanfragen über einen Kontoinformationsdienstleister durchgeführt wird, bevor die in Absatz 1 genannte Geltungsdauer der Ausnahme endet, dem mit dieser Verordnung eingeführten Artikel 10a.

Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Sie gilt ab dem 25. Juli 2023.