Delegierte Verordnung (EU) 2018/389 der Kommission vom 27. November 2017 zur Ergänzung der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards für eine starke Kundenauthentifizierung und für sichere offene Standards für die Kommunikation (Text von Bedeutung für den EWR. )

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

Die Interoperabilität und die Anerkennung von qualifizierten Zertifikaten für elektronische Siegel oder für die Website-Authentifizierung bleiben von den in Absatz 3 aufgeführten Attributen unberührt. Artikel 35 Sicherheit von Kommunikationssitzungen (1) Kontoführende Zahlungsdienstleister, Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, Kontoinformationsdienstleister und Zahlungsauslösedienstleister gewährleisten, dass beim Datenaustausch über das Internet während der jeweiligen Kommunikationssitzung eine sichere Verschlüsselung unter Einsatz weithin anerkannter Verschlüsselungstechnologien zwischen den kommunizierenden Parteien angewendet wird, damit der Schutz der Vertraulichkeit und der Integrität der Daten gewährleistet ist. (2) Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, Kontoinformationsdienstleister und Zahlungsauslösedienstleister halten die von den kontoführenden Zahlungsdienstleistern angebotenen Zugangssitzungen so kurz wie möglich und beenden eine solche Sitzung aktiv schnellstmöglich nach Abschluss der angeforderten Handlung. (3) Bestehen parallele Netzwerksitzungen mit dem kontoführenden Zahlungsdienstleister, stellen Kontoinformationsdienstleister und Zahlungsauslösedienstleister sicher, dass diese Sitzungen auf sichere Weise mit den zu dem oder den Zahlungsdienstnutzer(n) jeweils aufgebauten Sitzungen verknüpft sind, damit verhindert wird, dass die zwischen ihnen ausgetauschten Nachrichten oder Informationen fehlgeleitet werden können. (4) Kontoinformationsdienstleister, Zahlungsauslösedienstleister und Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, liefern bei der Kommunikation mit dem kontoführenden Zahlungsdienstleister unmissverständliche Verweise auf jedes der folgenden Elemente: a) den oder die Zahlungsdienstnutzer und die entsprechende Kommunikationssitzung, damit mehrere Anforderungen von demselben oder denselben Zahlungsdienstnutzer(n) unterschieden werden können; b) für Zahlungsauslösedienste den eindeutig identifizierten ausgelösten Zahlungsvorgang; c) zur Bestätigung der Verfügbarkeit eines Geldbetrags die eindeutig identifizierte Anforderung bezüglich des für die Ausführung des kartenbasierten Zahlungsvorgangs erforderlichen Betrags. (5) Kontoführende Zahlungsdienstleister, Kontoinformationsdienstleister, Zahlungsauslösedienstleister und Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, gewährleisten, dass personalisierte Sicherheitsmerkmale und Authentifizierungscodes bei ihrer Übertragung zu keiner Zeit direkt oder indirekt von Mitarbeitern gelesen werden können. Falls die Vertraulichkeit der in ihren Verantwortungsbereich fallenden personalisierten Sicherheitsmerkmale nicht mehr gegeben ist, unterrichten die betreffenden Dienstleister den betroffenen Zahlungsdienstnutzer sowie den Aussteller der personalisierten Sicherheitsmerkmale unverzüglich. Artikel 36 Datenaustausch (1) Die kontoführenden Zahlungsdienstleister halten jede der folgenden Anforderungen ein: a) Sie stellen den Kontoinformationsdienstleistern dieselben Informationen von bezeichneten Zahlungskonten und damit in Zusammenhang stehenden Zahlungsvorgängen bereit, die auch dem Zahlungsdienstnutzer bereitgestellt werden, wenn er den Zugang zu Kontoinformationen direkt anfordert, sofern diese Informationen keine sensiblen Zahlungsdaten enthalten. b) Sie stellen den Zahlungsauslösedienstleistern sofort nach Eingang des Zahlungsauftrags dieselben Informationen über die Auslösung und die Ausführung des Zahlungsvorgangs bereit, die auch dem Zahlungsdienstnutzer bereitgestellt oder zugänglich gemacht werden, wenn dieser den Zahlungsvorgang direkt auslöst. c) Sie übermitteln den Zahlungsdienstleistern auf Verlangen eine sofortige Bestätigung in Form eines einfachen „Ja“ oder „Nein“, ob der für die Ausführung eines Zahlungsvorgangs erforderliche Betrag auf dem Zahlungskonto des Zahlers verfügbar ist. (2) Tritt während der Identifizierung, der Authentifizierung oder des Austauschs von Datenelementen ein unvorhergesehenes Ereignis oder ein unvorhergesehener Fehler auf, sendet der kontoführende Zahlungsdienstleister dem Zahlungsauslösedienstleister oder dem Kontoinformationsdienstleister und dem Zahlungsdienstleister, der kartengebundene Zahlungsinstrumente ausstellt, eine Benachrichtigung, in der der Grund für das unvorhergesehene Ereignis oder den unvorhergesehenen Fehler erläutert wird. Wenn der kontoführende Zahlungsdienstleister eine dedizierte Schnittstelle nach Artikel 32 bereitstellt, muss die Schnittstelle so gestaltet sein, dass jeder Zahlungsdienstleister, der ein unvorhergesehenes Ereignis oder einen unvorhergesehenen Fehler erkennt, entsprechende Benachrichtigungen an die anderen an der Kommunikationssitzung beteiligten Zahlungsdienstleister senden kann. (3) Kontoführende Zahlungsdienstleister verfügen über geeignete und wirksame Mechanismen, damit der Zugriff auf andere Informationen als die von bezeichneten Zahlungskonten und damit in Zusammenhang stehenden Zahlungsvorgängen gemäß der ausdrücklichen Zustimmung des Nutzers verhindert wird. (4) Zahlungsauslösedienstleister stellen den kontoführenden Zahlungsdienstleistern dieselben Informationen bereit, die vom Zahlungsdienstnutzer beim direkten Auslösen des Zahlungsvorgangs angefordert werden. (5) Kontoinformationsdienstleister müssen auf Informationen von bezeichneten Zahlungskonten und damit in Zusammenhang stehenden Zahlungsvorgängen, die von kontoführenden Zahlungsdienstleistern zur Bereitstellung des Kontoinformationsdienstes gehalten werden, jeweils unter folgenden Umständen zugreifen können: a) wann immer der Zahlungsdienstnutzer diese Informationen aktiv anfordert; b) sofern der Zahlungsdienstnutzer diese Informationen nicht aktiv anfordert, maximal viermal innerhalb von 24 Stunden, wenn keine höhere Häufigkeit zwischen dem Kontoinformationsdienstleister und dem kontoführenden Zahlungsdienstleister vereinbart wird, mit Zustimmung des Zahlungsdienstnutzers. KAPITEL VI SCHLUSSBESTIMMUNGEN Artikel 37 Überprüfung Unbeschadet des Artikels 98 Absatz 5 der Richtlinie (EU) 2015/2366 überprüft die EBA am 14. März 2021 die im Anhang der vorliegenden Verordnung angegebenen Betrugsraten sowie die nach Artikel 33 Absatz 6 in Bezug auf dedizierte Schnittstellen erteilten Ausnahmen und übermittelt der Kommission gemäß Artikel 10 der Verordnung (EU) Nr. 1093/2010 gegebenenfalls Entwürfe der Aktualisierung dieser technischen Regulierungsstandards. Artikel 38 Inkrafttreten (1) Diese Verordnung tritt am Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. (2) Diese Verordnung gilt ab dem 14. September 2019. (3) Die Absätze 3 und 5 des Artikels 30 gelten jedoch ab dem 14. März 2019. Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat. Brüssel, den 27. November 2017 Für die Kommission Der Präsident Jean-Claude JUNCKER (1) ABl. L 337 vom 23.12.2015, S. 35. (2) Verordnung (EU) Nr. 1093/2010 des Europäischen Parlaments und des Rates vom 24. November 2010 zur Errichtung einer Europäischen Aufsichtsbehörde (Europäische Bankenaufsichtsbehörde), zur Änderung des Beschlusses Nr. 716/2009/EG und zur Aufhebung des Beschlusses 2009/78/EG der Kommission (ABl. L 331 vom 15.12.2010, S. 12). (3) Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (ABl. L 257 vom 28.8.2014, S. 53). (4) Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen, zur Änderung der Richtlinie 2002/87/EG und zur Aufhebung der Richtlinien 2006/48/EG und 2006/49/EG (ABl. L 176 vom 27.6.2013, S. 338). ANHANG Referenzbetrugsrate (%) für: Ausnahmeschwellenwert Kartengebundene elektronische Fernzahlungsvorgänge Elektronische Überweisungen über einen Fernzugang 500 EUR 0,01 0,005 250 EUR 0,06 0,01 100 EUR 0,13 0,015