Delegierte Verordnung (EU) 2018/389 der Kommission vom 27. November 2017 zur Ergänzung der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation (Text von Bedeutung für den EWR. )

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Kontoinformationsdienstleistern, Zahlern, Zahlungsempfängern und anderen Zahlungsdienstleistern im Zusammenhang mit der Erbringung und der Nutzung von Zahlungsdiensten gemäß Titel IV der Richtlinie (EU) 2015/2366 festzulegen. Artikel 2 Allgemeine Anforderungen an die Authentifizierung (1) Die Zahlungsdienstleister verfügen über Transaktionsüberwachungsmechanismen, die ihnen für den Zweck der Umsetzung der in Artikel 1 Buchstaben a und b genannten Sicherheitsmaßnahmen die Erkennung nicht autorisierter oder betrügerischer Zahlungsvorgänge ermöglichen. Diese Mechanismen basieren auf der Analyse von Zahlungsvorgängen unter Berücksichtigung der Elemente, die für den Zahlungsdienstnutzer im Rahmen einer normalen Verwendung der personalisierten Sicherheitsmerkmale typisch sind. (2) Die Zahlungsdienstleister stellen sicher, dass die Transaktionsüberwachungsmechanismen zumindest alle nachstehend genannten risikobasierten Faktoren einbeziehen: a) Liste der missbräuchlich verwendeten oder gestohlenen Authentifizierungselemente; b) Betrag eines jeden Zahlungsvorgangs; c) bekannte Betrugsszenarien bei der Erbringung von Zahlungsdienstleistungen; d) Anzeichen für eine Malware-Infektion bei einer Sitzung während des Authentifizierungsverfahrens; e) falls das Zugangsgerät oder die Zugangssoftware vom Zahlungsdienstleister bereitgestellt wird, ein Protokoll über die Nutzung des Zugangsgeräts oder der Zugangssoftware, die dem Zahlungsdienstnutzer zur Verfügung gestellt werden, sowie über die ungewöhnliche Nutzung dieses Geräts oder der Software. Artikel 3 Überprüfung der Sicherheitsmaßnahmen (1) Die Umsetzung der in Artikel 1 genannten Sicherheitsmaßnahmen wird dokumentiert, regelmäßig getestet, bewertet und von Prüfern mit Fachwissen auf dem Gebiet der IT-Sicherheit und des Zahlungsverkehrs, die innerhalb des Zahlungsdienstleisters oder von diesem operativ unabhängig sind, gemäß dem geltenden Rechtsrahmen des Zahlungsdienstleisters geprüft. (2) Die Zeiträume zwischen den nach Absatz 1 durchzuführenden Prüfungen werden gemäß dem für den Zahlungsdienstleister geltenden maßgeblichen Rechnungslegungs- und Abschlussprüfungsrahmenwerk festgelegt. Für Zahlungsdienstleister, die die Ausnahme nach Artikel 18 in Anspruch nehmen, wird mindestens einmal jährlich eine Prüfung der Methodik, des Modells und der gemeldeten Betrugsraten durchgeführt. Der diese Prüfung vornehmende Prüfer verfügt über Fachwissen auf dem Gebiet der IT-Sicherheit und des Zahlungsverkehrs und ist innerhalb des Zahlungsdienstleisters oder von diesem operativ unabhängig. Diese Prüfung wird im ersten Jahr der Inanspruchnahme der Ausnahme nach Artikel 18 sowie im Anschluss daran mindestens alle drei Jahre — oder auf Verlangen der zuständigen Behörde häufiger — von einem unabhängigen, qualifizierten externen Prüfer durchgeführt. (3) Als Ergebnis dieser Prüfung werden eine Bewertung und ein Bericht erstellt, aus denen hervorgeht, ob die Sicherheitsmaßnahmen des Zahlungsdienstleisters die in dieser Verordnung dargelegten Anforderungen erfüllen. Der Gesamtbericht wird den zuständigen Behörden auf Verlangen zur Verfügung gestellt. KAPITEL II SICHERHEITSMAẞNAHMEN FÜR DIE DURCHFÜHRUNG EINER STARKEN KUNDENAUTHENTIFIZIERUNG Artikel 4 Authentifizierungscode (1) Wenn Zahlungsdienstleister gemäß Artikel 97 Absatz 1 der Richtlinie (EU) 2015/2366 eine starke Kundenauthentifizierung verlangen, muss die Authentifizierung auf mindestens zwei Elementen der Kategorien Wissen, Besitz und Inhärenz basieren und die Generierung eines Authentifizierungscodes nach sich ziehen. Der Authentifizierungscode wird vom Zahlungsdienstleister nur einmalig akzeptiert, wenn der Zahler diesen Code für den Online-Zugriff auf sein Zahlungskonto, für die Auslösung eines elektronischen Zahlungsvorgangs oder für die Ausführung einer Handlung über einen Fernzugang, die das Risiko eines Betrugs im Zahlungsverkehr oder eines anderen Missbrauchs in sich birgt, verwendet. (2) Für die Zwecke des Absatzes 1 ergreifen Zahlungsdienstleister Sicherheitsmaßnahmen, die gewährleisten, dass alle folgenden Anforderungen erfüllt sind: a) Aus der Offenlegung des Authentifizierungscodes können keine Informationen über eines der in Absatz 1 genannten Elemente abgeleitet werden. b) Aufgrund der Kenntnis eines zuvor generierten anderen Authentifizierungscodes kann kein neuer Authentifizierungscode generiert werden. c) Der Authentifizierungscode kann nicht gefälscht werden. (3) Die Zahlungsdienstleister stellen sicher, dass die Authentifizierung durch Generierung eines Authentifizierungscodes alle folgenden Sicherheitsmaßnahmen umfasst: a) Wenn bei der Authentifizierung für den Fernzugriff, für elektronische Fernzahlungsvorgänge und für Handlungen über einen Fernzugang, die das Risiko eines Betrugs im Zahlungsverkehr oder eines anderen Missbrauchs in sich bergen, die Generierung eines Authentifizierungscodes für die Zwecke des Absatzes 1 fehlgeschlagen ist, darf nicht ermittelt werden können, welches der in jenem Absatz genannten Elemente falsch war. b) Die Anzahl der möglichen aufeinanderfolgenden fehlgeschlagenen Authentifizierungsversuche, nach der die in Artikel 97 Absatz 1 der Richtlinie (EU) 2015/2366 aufgeführten Handlungen vorübergehend oder permanent gesperrt werden, darf innerhalb einer bestimmten Zeitspanne nicht mehr als fünf betragen. c) Die Kommunikationssitzungen sind gegen den Zugriff auf die während der Authentifizierung übertragenen Authentifizierungsdaten und gegen die Manipulation durch Unbefugte entsprechend den Anforderungen in Kapitel V geschützt. d) Die maximale Zeitspanne ohne Aktivität, nachdem der Zahler für den Online-Zugriff auf sein Zahlungskonto authentifiziert wurde, darf nicht mehr als fünf Minuten betragen. (4) Wenn die Sperrung nach Absatz 3 Buchstabe b vorübergehend ist, werden die Dauer dieser Sperrung und die Anzahl der erneuten Versuche auf Grundlage der Merkmale des dem Zahler bereitgestellten Dienstes sowie aller damit verbundenen relevanten Risiken festgelegt, wobei mindestens die in Artikel 2 Absatz 2 genannten Faktoren zu berücksichtigen sind. Der Zahler erhält eine Warnung, bevor die Sperrung dauerhaft wird. Bei einer dauerhaften Sperrung wird ein sicheres Verfahren eingerichtet, das es dem Zahler ermöglicht, die Nutzung der gesperrten elektronischen Zahlungsinstrumente wiederzuerlangen. Artikel 5 Dynamische Verknüpfung (1) Wenn Zahlungsdienstleister gemäß Artikel 97 Absatz 2 der Richtlinie (EU) 2015/2366 eine starke Kundenauthentifizierung verlangen, müssen sie zusätzlich zu den in Artikel 4 der vorliegenden Verordnung genannten Auflagen Sicherheitsmaßnahmen ergreifen, die alle folgenden Anforderungen erfüllen: a) Zahlungsbetrag und Zahlungsempfänger werden dem Zahler angezeigt. b) Der generierte Authentifizierungscode gilt speziell für den Zahlungsbetrag und den Zahlungsempfänger, denen der Zahler beim Auslösen des Vorgangs zugestimmt hat. c) Der vom Zahlungsdienstleister akzeptierte Authentifizierungscode entspricht dem ursprünglichen spezifischen Zahlungsbetrag und der Identität des Zahlungsempfängers, denen der Zahler zugestimmt hat. d) Jede Änderung beim Betrag oder Zahlungsempfänger zieht die Ungültigkeit des generierten Authentifizierungscodes nach sich. (2) Für die Zwecke des Absatzes 1 sehen die Zahlungsdienstleister Sicherheitsmaßnahmen vor, die die Vertraulichkeit, die Authentizität und die Integrität aller folgenden Angaben gewährleisten: a) Zahlungsbetrag und Zahlungsempfänger in allen Phasen der Authentifizierung; b) Angaben, die dem Zahler in allen Phasen der Authentifizierung, einschließlich der Generierung, Übertragung und Verwendung des Authentifizierungscodes, angezeigt werden. (3) Für die Zwecke des Absatzes 1 Buchstabe b sowie wenn Zahlungsdienstleister gemäß Artikel 97 Absatz 2 der Richtlinie (EU) 2015/2366 eine starke Kundenauthentifizierung verlangen, muss der Authentifizierungscode folgende Anforderungen erfüllen: a) Bei einem kartengebundenen Zahlungsvorgang, für den der Zahler nach Artikel 75 Absatz 1 der oben genannten Richtlinie seine Zustimmung zu der genauen Höhe des zu blockierenden Geldbetrags erteilt hat, gilt der Authentifizierungscode speziell für den Betrag, für dessen Blockierung der Zahler seine Zustimmung erteilt hat und dem er beim Auslösen des Zahlungsvorgangs zugestimmt hat. b) Bei Zahlungsvorgängen, für die der Zahler der Ausführung eines Satzes elektronischer Fernzahlungsvorgänge zugunsten eines oder mehrerer Zahlungsempfänger zugestimmt hat, gilt der Authentifizierungscode speziell für den Gesamtbetrag des Satzes und für die angegebenen Zahlungsempfänger. Artikel 6 Anforderungen an die Elemente der Kategorie Wissen (1) Die Zahlungsdienstleister ergreifen Maßnahmen zur Minderung des Risikos, dass die in die Kategorie Wissen fallenden Elemente der starken Kundenauthentifizierung von Unbefugten aufgedeckt oder diesen gegenüber offengelegt werden. (2) Für die Verwendung dieser Elemente durch den Zahler sind risikomindernde Maßnahmen zu treffen, um ihre Offenlegung gegenüber Unbefugten zu verhindern. Artikel 7 Anforderungen an die Elemente der Kategorie Besitz (1) Die Zahlungsdienstleister ergreifen Maßnahmen zur Minderung des Risikos, dass die in die Kategorie Besitz fallenden Elemente der starken Kundenauthentifizierung von Unbefugten verwendet werden. (2) Für die Verwendung dieser Elemente durch den Zahler sind Maßnahmen zu treffen, um ihre Nachbildung zu verhindern. Artikel 8 Anforderungen an Geräte und Software in Verbindung mit Elementen der Kategorie Inhärenz (1) Die Zahlungsdienstleister ergreifen Maßnahmen zur Minderung des Risikos, dass die in die Kategorie Inhärenz fallenden Authentifizierungselemente, die von den dem Zahler bereitgestellten Zugangsgeräten und der Zugangssoftware gelesen werden, von Unbefugten aufgedeckt werden. Als Mindestanforderung gewährleisten die Zahlungsdienstleister, dass für diese Zugangsgeräte und die Software eine sehr geringe Wahrscheinlichkeit besteht, dass ein Unbefugter als Zahler authentifiziert wird. (2) Für die Verwendung dieser Elemente durch den Zahler sind Maßnahmen zu treffen, die sicherstellen, dass diese Geräte und die Software bei einem unbefugten Zugriff auf sie die unbefugte Verwendung der Elemente nicht zulassen. Artikel 9 Unabhängigkeit der Elemente (1) Die Zahlungsdienstleister gewährleisten, dass für die Verwendung der in den Artikeln 6, 7 und 8 genannten Elemente der starken Kundenauthentifizierung Maßnahmen gelten, die sicherstellen, dass hinsichtlich Technologie, Algorithmen und Parametern bei Verletzung eines der Elemente die Zuverlässigkeit der anderen Elemente nicht beeinträchtigt wird. (2) Wenn eines der Elemente der starken Kundenauthentifizierung oder der Authentifizierungscode selbst von einem Mehrzweckgerät verwendet wird, sehen die Zahlungsdienstleister Sicherheitsmaßnahmen zur Minderung des Risikos vor, das aus der missbräuchlichen Verwendung eines solchen Mehrzweckgeräts erwachsen würde. (3) Für die Zwecke des Absatzes 2 beinhalten die Risikominderungsmaßnahmen alle folgenden Komponenten: a) Nutzung getrennter sicherer Ausführungsumgebungen durch die im Mehrzweckgerät installierte Software; b) Mechanismen, mit denen sichergestellt wird, dass die Software oder das Gerät vom Zahler oder einem Dritten nicht verändert wurde; c) sofern Veränderungen stattgefunden haben, Mechanismen zur Eindämmung von deren Folgen. KAPITEL III AUSNAHMEN VON DER STARKEN KUNDENAUTHENTIFIZIERUNG Artikel 10 Zahlungskontoinformationen (1) Zahlungsdienstleister dürfen unter Einhaltung der in Artikel 2 sowie in Absatz 2 des vorliegenden Artikels festgelegten Anforderungen davon absehen, eine starke Kundenauthentifizierung zu verlangen, wenn ein Zahlungsdienstnutzer nur auf eine oder beide der folgenden Informationen online zugreifen kann, ohne dass dabei sensible Zahlungsdaten offengelegt werden: a) Kontostand eines oder mehrerer bezeichneter Zahlungskonten; b) Zahlungsvorgänge, die in den vergangenen 90 Tagen über ein oder mehrere bezeichnete Zahlungskonten ausgeführt wurden. (2) Für die Zwecke des Absatzes 1 dürfen Zahlungsdienstleister nicht von der Durchführung einer starken Kundenauthentifizierung ausgenommen werden, wenn eine der folgenden Bedingungen erfüllt ist: a) Der Zahlungsdienstnutzer greift zum ersten Mal online auf die in Absatz 1 genannten Informationen zu. b) Mehr als 90 Tage sind verstrichen, seitdem der Zahlungsdienstnutzer letztmals auf die in Absatz 1 Buchstabe b genannten Informationen online zugegriffen hat und eine starke Kundenauthentifizierung verlangt wurde. Artikel 11 Kontaktlose Zahlungen an der Verkaufsstelle Zahlungsdienstleister dürfen unter Einhaltung der in Artikel 2 festgelegten Anforderungen bei Auslösen eines kontaktlosen elektronischen Zahlungsvorgangs durch den Zahler davon absehen, eine starke Kundenauthentifizierung zu verlangen, wenn dabei die folgenden Bedingungen erfüllt sind: a) Der Einzelbetrag des kontaktlosen elektronischen Zahlungsvorgangs geht nicht über 50 EUR hinaus, und b) die früheren kontaktlosen elektronischen Zahlungsvorgänge, die über ein mit einer kontaktlosen Funktion ausgestattetes Zahlungsinstrument ausgelöst wurden, gehen seit der letzten Durchführung einer starken Kundenauthentifizierung zusammengenommen nicht über 150 EUR hinaus, oder c) die Anzahl der aufeinanderfolgenden kontaktlosen elektronischen Zahlungsvorgänge, die über das mit einer kontaktlosen Funktion ausgestattete Zahlungsinstrument ausgelöst wurden, geht seit der letzten Durchführung einer starken Kundenauthentifizierung nicht über fünf hinaus. Artikel 12 Unbeaufsichtigte Terminals für Nutzungsentgelte und Parkgebühren Zahlungsdienstleister dürfen unter Einhaltung der in Artikel 2 festgelegten Anforderungen von der Vorgabe einer starken Kundenauthentifizierung absehen, wenn der Zahler an einem unbeaufsichtigten Terminal einen elektronischen Zahlungsvorgang auslöst, um ein Verkehrsnutzungsentgelt oder eine Parkgebühr zu zahlen. Artikel 13 Vertrauenswürdige Empfänger (1) Wenn ein Zahler durch seinen kontoführenden Zahlungsdienstleister eine Liste der vertrauenswürdigen Empfänger erstellt oder ändert, müssen Zahlungsdienstleister eine starke Kundenauthentifizierung verlangen. (2) Sind die allgemeinen Anforderungen an die Authentifizierung erfüllt, dürfen Zahlungsdienstleister bei Auslösen eines Zahlungsvorgangs durch den Zahler von der Vorgabe einer starken Kundenauthentifizierung absehen, wenn der Zahlungsempfänger auf einer zuvor vom Zahler erstellten Liste der vertrauenswürdigen Empfänger geführt wird. Artikel 14 Wiederkehrende Zahlungsvorgänge (1) Zahlungsdienstleister müssen eine starke Kundenauthentifizierung verlangen, wenn ein Zahler eine Serie wiederkehrender Zahlungsvorgänge mit demselben Betrag und demselben Zahlungsempfänger erstellt, ändert oder erstmals auslöst. (2) Sind die allgemeinen Anforderungen an die Authentifizierung erfüllt, dürfen Zahlungsdienstleister bei Auslösen aller nachfolgenden Zahlungsvorgänge, die in eine Serie von Zahlungsvorgängen gemäß Absatz 1 eingeschlossen sind, von der Vorgabe einer starken Kundenauthentifizierung absehen. Artikel 15 Überweisungen zwischen Konten, die von derselben natürlichen oder juristischen Person gehalten werden Zahlungsdienstleister dürfen unter Einhaltung der in Artikel 2 festgelegten Anforderungen von der Vorgabe einer starken Kundenauthentifizierung absehen, wenn der Zahler eine Überweisung auslöst und es sich bei dem Zahler und dem Zahlungsempfänger um dieselbe natürliche oder juristische Person handelt und beide Zahlungskonten von demselben kontoführenden Zahlungsdienstleister unterhalten werden. Artikel 16 Kleinbetragszahlungen Bei Auslösen eines elektronischen Fernzahlungsvorgangs durch den Zahler dürfen Zahlungsdienstleister von der Vorgabe einer starken Kundenauthentifizierung absehen, wenn folgende Bedingungen erfüllt sind: a) Der Betrag des elektronischen Fernzahlungsvorgangs geht nicht über 30 EUR hinaus, und b) die früheren elektronischen Fernzahlungsvorgänge, die vom Zahler seit der letzten Durchführung einer starken Kundenauthentifizierung ausgelöst wurden, gehen zusammengenommen nicht über 100 EUR hinaus, oder c) seit der letzten Durchführung einer starken Kundenauthentifizierung hat der Zahler nacheinander nicht mehr als fünf einzelne elektronische Fernzahlungsvorgänge ausgelöst. Artikel 17 Von Unternehmen genutzte sichere Zahlungsprozesse und -protokolle Bei juristischen Personen, die elektronische Zahlungsvorgänge über dedizierte Zahlungsprozesse oder -protokolle auslösen, die nur Zahlern zur Verfügung stehen, bei denen es sich nicht um Verbraucher handelt, können Zahlungsdienstleister von der Vorgabe einer starken Kundenauthentifizierung absehen, wenn die zuständigen Behörden der Auffassung sind, dass diese Prozesse oder Protokolle mindestens ein vergleichbares Sicherheitsniveau wie das in der Richtlinie (EU) 2015/2366 vorgesehene gewährleisten. Artikel 18 Transaktionsrisikoanalyse (1) Zahlungsdienstleister können von der Vorgabe einer starken Kundenauthentifizierung absehen, wenn der Zahler einen elektronischen Fernzahlungsvorgang auslöst, für den der Zahlungsdienstleister ermittelt hat, dass er gemäß den in Artikel 2 und in Absatz 2 Buchstabe c beschriebenen Transaktionsüberwachungsmechanismen mit einem niedrigen Risiko verbunden ist. (2) Ein elektronischer Zahlungsvorgang nach Absatz 1 gilt als Vorgang mit niedrigem Risiko, wenn alle nachstehenden Bedingungen erfüllt sind: a) Die vom Zahlungsdienstleister gemeldete und nach Artikel 19 berechnete Betrugsrate für diese Art von Zahlungsvorgängen ist maximal so hoch wie die Referenzbetrugsrate, die in der Tabelle im Anhang für „kartengebundene elektronische Fernzahlungsvorgänge“ bzw. für „elektronische Überweisungen über einen Fernzugang“ angegeben ist. b) Der Zahlungsbetrag geht nicht über den in der Tabelle im Anhang angegebenen jeweiligen Ausnahmeschwellenwert hinaus. c) Die Zahlungsdienstleister haben bei der Echtzeitrisikoanalyse keines der folgenden Szenarien festgestellt: i) ungewöhnliches Ausgabe- oder Verhaltensmuster des Zahlers; ii) ungewöhnliche Informationen über den Zugriff auf das Zugangsgerät oder die Zugangssoftware des Zahlers; iii) eine Malware-Infektion in einer Phase des Authentifizierungsverfahrens; iv) bekanntes Betrugsszenario bei der Erbringung von Zahlungsdienstleistungen; v) ungewöhnlicher Ort des Zahlers; vi) Ort des Zahlers mit hohem Risiko. (3) Zahlungsdienstleister, die elektronische Fernzahlungsvorgänge aufgrund ihres niedrigen Risikos von der starken Kundenauthentifizierung ausnehmen wollen, müssen mindestens die folgenden risikobasierten Faktoren berücksichtigen: a) die früheren Ausgabemuster des betreffenden Zahlungsdienstnutzers; b) Zahlungsvorgangshistorie eines jeden Zahlungsdienstnutzers des Zahlungsdienstleisters; c) Ort des Zahlers und des Zahlungsempfängers zum Zeitpunkt des Zahlungsvorgangs, falls das Zugangsgerät oder die Software vom Zahlungsdienstleister bereitgestellt wird; d) Erkennung ungewöhnlicher Zahlungsmuster des Zahlungsdienstnutzers im Vergleich zu seiner Zahlungsvorgangshistorie. Bei seiner Bewertung erfasst der Zahlungsdienstleister alle genannten risikobasierten Faktoren für jeden einzelnen Zahlungsvorgang in einem Risikopunktesystem, um zu entscheiden, ob bei einem bestimmten Zahlungsvorgang auf eine starke Kundenauthentifizierung verzichtet werden darf. Artikel 19 Berechnung der Betrugsraten (1) Der Zahlungsdienstleister hat für jede der in der Tabelle im Anhang aufgeführte Zahlungsvorgangsart sicherzustellen, dass die Gesamtbetrugsraten sowohl für mit einer starken Kundenauthentifizierung ausgeführte Zahlungsvorgänge als auch für Zahlungsvorgänge, die im Rahmen einer der in den Artikeln 13 bis 18 genannten Ausnahmen ausgeführt wurden, die in der Tabelle im Anhang für die jeweilige Zahlungsvorgangsart angegebene Referenzbetrugsrate nicht überschreiten. Die Gesamtbetrugsrate für jede Zahlungsvorgangsart errechnet sich als Gesamtwert der nicht autorisierten oder betrügerischen Fernzahlungsvorgänge, unabhängig davon, ob der Betrag wiedererlangt wurde, dividiert durch den Gesamtwert aller Fernzahlungsvorgänge für dieselbe Zahlungsvorgangsart, die sowohl mit einer starken Kundenauthentifizierung als auch im Rahmen einer der in den Artikeln 13 bis 18 genannten Ausnahmen ausgeführt wurden, wobei diese Aufstellung fortlaufend quartalsweise (90 Tage) erfolgt. (2) Die Berechnung der Betrugsraten und die daraus resultierenden Werte werden im Rahmen der nach Artikel 3 Absatz 2 durchzuführenden Prüfung bewertet, um sicherzustellen, dass diese vollständig und richtig sind. (3) Die Methodik und jedes Modell, die vom Zahlungsdienstleister für die Berechnung der Betrugsraten verwendet werden, sowie die Betrugsraten selbst werden in angemessener Weise dokumentiert und den zuständigen Behörden und der EBA in vollem Umfang zugänglich gemacht; sie werden der (den) zuständige(n) Behörde(n) auf deren Verlangen vorab angezeigt. Artikel 20 Aufhebung von Ausnahmen aufgrund der Transaktionsrisikoanalyse (1) Zahlungsdienstleister, die die in Artikel 18 genannte Ausnahme nutzen, zeigen den zuständigen Behörden unverzüglich an, wenn eine der überwachten Betrugsraten für eine der in der Tabelle im Anhang angegebenen Zahlungsvorgangsarten die geltende Referenzbetrugsrate überschreitet; außerdem legen die Zahlungsdienstleister den zuständigen Behörden eine Beschreibung der von ihnen vorgesehenen Maßnahmen vor, um sicherzustellen, dass die von ihnen überwachten Betrugsraten wieder die geltenden Referenzbetrugsraten einhalten. (2) Die Zahlungsdienstleister stellen die Nutzung der Ausnahme nach Artikel 18 für jede in der Tabelle im Anhang für den betreffenden Ausnahmeschwellenwert angegebene Zahlungsvorgangsart unverzüglich ein, wenn die von ihnen überwachte Betrugsrate die für das Zahlungsinstrument oder die Zahlungsvorgangsart im entsprechenden Ausnahmeschwellenwertebereich geltende Referenzbetrugsrate in zwei aufeinanderfolgenden Quartalen überschreitet. (3) Nach Einstellung der in Artikel 18 genannten Ausnahme gemäß Absatz 2 des vorliegenden Artikels dürfen die Zahlungsdienstleister von dieser Ausnahme erst dann wieder Gebrauch machen, wenn die von ihnen berechnete Betrugsrate die für die jeweilige Zahlungsvorgangsart im entsprechenden Ausnahmeschwellenwertebereich geltende Referenzbetrugsrate in einem Quartal nicht mehr überschreitet. (4) Beabsichtigen die Zahlungsdienstleister die erneute Nutzung der in Artikel 18 genannten Ausnahme, setzen sie die zuständigen Behörden innerhalb einer angemessenen Frist davon in Kenntnis und erbringen vor der erneuten Nutzung der Ausnahme einen Nachweis dafür, dass die von ihnen überwachte Betrugsrate die für den jeweiligen Ausnahmeschwellenwert geltende Referenzbetrugsrate nach Absatz 3 des vorliegenden Artikels wieder einhält. Artikel 21 Überwachung (1) Damit die Zahlungsdienstleister die in den Artikeln 10 bis 18 dargelegten Ausnahmen nutzen können, erfassen und überwachen sie für jede Zahlungsart die folgenden Daten mindestens quartalsweise, wobei eine Aufschlüsselung nach Fernzahlungsvorgängen und Nicht-Fernzahlungsvorgängen vorzunehmen ist: a) Gesamtwert der nicht autorisierten oder betrügerischen Zahlungsvorgänge nach Artikel 64 Absatz 2 der Richtlinie (EU) 2015/2366, Gesamtwert aller Zahlungsvorgänge und die entsprechende Betrugsrate, einschließlich einer Aufschlüsselung der unter Durchführung einer starken Kundenauthentifizierung ausgelösten und der im Rahmen der einzelnen Ausnahmen ausgeführten Zahlungsvorgänge; b) durchschnittlicher Betrag der einzelnen Zahlungen, einschließlich einer Aufschlüsselung der unter Durchführung einer starken Kundenauthentifizierung ausgelösten und der im Rahmen der ein