Artikel 10a
Zugriff auf Zahlungskontoinformationen über einen Kontoinformationsdienstleister
(1)
Zahlungsdienstleister dürfen keine starke Kundenauthentifizierung verlangen, wenn ein Zahlungsdienstnutzer über einen Kontoinformationsdienstleister online auf sein Zahlungskonto zugreift und sich dieser Zugriff auf eine der folgenden Online-Abfragen beschränkt, ohne dass sensible Zahlungsdaten offengelegt werden:
a)
Kontostand eines oder mehrerer bezeichneter Zahlungskonten;
b)
Zahlungsvorgänge, die in den vergangenen 90 Tagen über ein oder mehrere bezeichnete Zahlungskonten ausgeführt wurden.
(2)
Abweichend von Absatz 1 verlangen Zahlungsdienstleister eine starke Kundenauthentifizierung, wenn eine der folgenden Bedingungen erfüllt ist:
a)
Der Zahlungsdienstnutzer greift zum ersten Mal über den Kontoinformationsdienstleister online auf die in Absatz 1 genannten Informationen zu.
b)
Mehr als 180 Tage sind verstrichen, seitdem der Zahlungsdienstnutzer letztmals über den Kontoinformationsdienstleister auf die in Absatz 1 Buchstabe b genannten Informationen online zugegriffen hat und eine starke Kundenauthentifizierung verlangt wurde.
(3)
Abweichend von Absatz 1 ist es Zahlungsdienstleistern gestattet, eine starke Kundenauthentifizierung zu verlangen, wenn ein Zahlungsdienstnutzer über einen Kontoinformationsdienstleister online auf sein Zahlungskonto zugreift und der Zahlungsdienstleister sachlich gerechtfertigte und hinreichend nachgewiesene Gründe im Zusammenhang mit einem nicht autorisierten oder betrügerischen Zugriff auf das Zahlungskonto hat. In einem solchen Fall werden die Gründe für die Durchführung einer starken Kundenauthentifizierung vom Zahlungsdienstleister dokumentiert und gegenüber seiner zuständigen nationalen Behörde auf Verlangen gebührend gerechtfertigt.
(4)
Kontoführende Zahlungsdienstleister, die eine dedizierte Schnittstelle im Sinne von Artikel 31 anbieten, sind nicht verpflichtet, die in Absatz 1 vorgesehene Ausnahme für die Zwecke des in Artikel 33 Absatz 4 genannten Notfallmechanismus zu implementieren, wenn sie die in Artikel 10 vorgesehene Ausnahme bei der direkten Schnittstelle für die Authentifizierung und Kommunikation mit ihren Zahlungsdienstnutzern nicht anwenden.