(1)

Artikel 10 der Delegierten Verordnung (EU) 2018/389 der Kommission (2) sieht eine Ausnahme von der in Artikel 97 der Richtlinie (EU) 2015/2366 verankerten Pflicht zur starken Kundenauthentifizierung vor, wenn ein Zahlungsdienstnutzer nur auf seinen Kontostand und die jüngsten Vorgänge auf seinem Zahlungskonto zugreift, ohne dass dabei sensible Zahlungsdaten offengelegt werden. In diesem Fall dürfen Zahlungsdienstleister beim Zugriff auf Kontoinformationen von der starken Kundenauthentifizierung absehen, sofern beim erstmaligen Zugriff auf die Kontoinformationen und anschließend mindestens alle 90 Tage eine starke Kundenauthentifizierung verlangt wird.

(2)

Die Nutzung dieser Ausnahme hat in der Praxis zu einer überaus unterschiedlichen Anwendung der Delegierten Verordnung (EU) 2018/389 geführt, wobei die starke Kundenauthentifizierung von manchen kontoführenden Zahlungsdienstleistern alle 90 Tage verlangt wird, von anderen dagegen in kürzeren Zeitabständen und von manchen, die die Ausnahme gar nicht anwenden, bei jedem Kontozugriff eine starke Kundenauthentifizierung verlangt wird. Diese Unterschiedlichkeit hat bei der Nutzung von Kontoinformationsdiensten zu unerwünschten Reibungen in der „Customer Journey“ und zu negativen Auswirkungen auf die Dienste von Kontoinformationsdienstleistern geführt.

(3)

Um ein angemessenes Gleichgewicht zwischen den Zielen der Richtlinie (EU) 2015/2366, d. h. zwischen der Erhöhung der Sicherheit, der Erleichterung von Innovationen und der Förderung des Wettbewerbs im Binnenmarkt sicherzustellen, ist es notwendig, die Anwendung der in Artikel 10 der Delegierten Verordnung (EU) 2018/389 vorgesehenen Ausnahme für den Fall, dass über einen Kontoinformationsdienstleister auf die Kontoinformationen zugegriffen wird, zu präzisieren. So sollte die starke Kundenauthentifizierung Zahlungsdienstleistern in einem solchen Fall nicht freigestellt sein, sondern sollte die Ausnahme verbindlich vorgeschrieben werden, sofern Bedingungen erfüllt sind, die darauf abzielen, den Schutz und die Sicherheit der Daten der Zahlungsdienstnutzer zu gewährleisten.

(4)

Die Ausnahme sollte nur für den Zugriff auf den Kontostand und die jüngsten Zahlungsvorgänge auf einem Zahlungskonto gelten, bei dem keine sensiblen Zahlungsdaten offengelegt werden. Die Ausnahme sollte nur dann gelten, wenn die Zahlungsdienstleister beim erstmaligen Zugriff über den jeweiligen Kontoinformationsdienstleister bereits eine starke Kundenauthentifizierung verlangt haben, und sollte regelmäßig erneuert werden.

(5)

Um den Schutz und die Sicherheit der Daten der Zahlungsdienstnutzer zu gewährleisten, sollten Zahlungsdienstleister jederzeit eine starke Kundenauthentifizierung verlangen dürfen, wenn sie objektiv gerechtfertigte und gebührend nachgewiesene Gründe im Zusammenhang mit einem nicht autorisierten oder betrügerischen Zugriff haben. Dies könnte der Fall sein, wenn die Transaktionsüberwachungsmechanismen des kontoführenden Zahlungsdienstleisters ein erhöhtes Risiko eines nicht autorisierten oder betrügerischen Zugriffs erkennen. Um eine einheitliche Anwendung der Ausnahme zu gewährleisten, sollten die kontoführenden Zahlungsdienstleister die Gründe für die Durchführung einer starken Kundenauthentifizierung in solchen Fällen dokumentieren und gegenüber ihrer zuständigen nationalen Behörde auf Verlangen gebührend rechtfertigen.

(6)

Greift der Zahlungsdienstnutzer direkt auf die Kontoinformationen zu, sollte es den Zahlungsdienstleistern weiterhin freigestellt sein, ob sie eine starke Kundenauthentifizierung verlangen. Grund dafür ist, dass in solchen Fällen, im Gegensatz zum Zugriff über einen Kontoinformationsdienstleister, keine besonderen Probleme beobachtet wurden, die eine Änderung der in Artikel 10 der Delegierten Verordnung (EU) 2018/389 vorgesehenen Ausnahme erforderlich machen würden.

(7)

Um gleiche Wettbewerbsbedingungen für alle Zahlungsdienstleister zu gewährleisten und im Einklang mit dem Ziel der Richtlinie (EU) 2015/2366, die Entwicklung benutzerfreundlicher und innovativer Dienstleistungen zu ermöglichen, ist es verhältnismäßig, für die Erneuerung der starken Kundenauthentifizierung denselben Zeitraum von 180 Tagen sowohl für den direkten Zugriff auf Kontoinformationen beim kontoführenden Zahlungsdienstleister als auch für den Zugriff über einen Kontoinformationsdienstleister vorzusehen. Die Erneuerung der starken Kundenauthentifizierung mit der aktuellen Häufigkeit könnte zu unerwünschten Reibungen in der „Customer Journey“ führen und verhindern, dass Kontoinformationsdienstleister ihre Dienste anbieten und Nutzer diese Dienste in Anspruch nehmen.

(8)

Kontoführende Zahlungsdienstleister, die eine dedizierte Schnittstelle anbieten und einen Notfallmechanismus nach Maßgabe von Artikel 33 Absatz 4 der Delegierten Verordnung (EU) 2018/389 eingerichtet haben, sollten nicht verpflichtet werden, die neue verbindlich vorgeschriebene Ausnahme in ihren direkten Kundenschnittstellen für den Notfallmechanismus zu implementieren, sofern sie die in Artikel 10 der Delegierten Verordnung (EU) 2018/389 vorgesehene Ausnahme nicht auf ihre direkten Kundenschnittstellen anwenden. Es wäre unverhältnismäßig, kontoführende Zahlungsdienstleister, die eine dedizierte Schnittstelle anbieten, bei der sie die neue verbindlich vorgeschriebene Ausnahme implementieren müssen, dazu zu verpflichten, diese Ausnahme auch bei ihren direkten Kundenschnittstellen für den Notfallmechanismus zu implementieren.

(9)

Um sicherzustellen, dass die Zahlungsdienstleister ausreichend Zeit haben, um an ihren Systemen die erforderlichen Veränderungen vorzunehmen, sollten die kontoführenden Zahlungsdienstleister den Zahlungsdienstleistern die Veränderungen, die sie an den technischen Spezifikationen ihrer Schnittstellen vorgenommen haben, um dieser Verordnung nachzukommen, mindestens zwei Monate, bevor diese Veränderungen implementiert werden, zur Verfügung stellen.

(10)

Die Delegierte Verordnung (EU) 2018/389 sollte daher entsprechend geändert werden.

(11)

Die vorliegende Verordnung beruht auf dem Entwurf technischer Regulierungsstandards, der der Kommission von der Europäischen Bankenaufsichtsbehörde übermittelt wurde.

(12)

Die Europäische Bankenaufsichtsbehörde hat zu diesem Entwurf öffentliche Konsultationen durchgeführt, die damit verbundenen potenziellen Kosten- und Nutzeneffekte analysiert und die Stellungnahme der nach Artikel 37 der Verordnung (EU) Nr. 1093/2010 des Europäischen Parlament und des Rates (3) eingesetzten Interessengruppe Bankensektor eingeholt.

(13)

Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 Absatz 1 der Verordnung (EU) 2018/1725 konsultiert und hat am 7. Juni 2022 eine förmliche Stellungnahme abgegeben.

(14)

Um einen reibungslosen Übergang zu den in dieser Verordnung festgelegten neuen Anforderungen zu ermöglichen, sollte es Zahlungsdienstleistern, die die Ausnahme nach Artikel 10 der Delegierten Verordnung (EU) 2018/389 vor dem Geltungsbeginn der vorliegenden Verordnung angewandt haben, gestattet werden, diese Ausnahme noch für einen Zeitraum von bis zu 90 Tagen ab der letzten starken Kundenauthentifizierung anzuwenden —

1.

Artikel 10 erhält folgende Fassung:

2.

Folgender Artikel 10a wird eingefügt:

3.

In Artikel 30 wird folgender Absatz 4a eingefügt: