Artikel 35
Sicherheit von Kommunikationssitzungen
(1)
Kontoführende Zahlungsdienstleister, Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, Kontoinformationsdienstleister und Zahlungsauslösedienstleister gewährleisten, dass beim Datenaustausch über das Internet während der jeweiligen Kommunikationssitzung eine sichere Verschlüsselung unter Einsatz weithin anerkannter Verschlüsselungstechnologien zwischen den kommunizierenden Parteien angewendet wird, damit der Schutz der Vertraulichkeit und der Integrität der Daten gewährleistet ist.
(2)
Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, Kontoinformationsdienstleister und Zahlungsauslösedienstleister halten die von den kontoführenden Zahlungsdienstleistern angebotenen Zugangssitzungen so kurz wie möglich und beenden eine solche Sitzung aktiv schnellstmöglich nach Abschluss der angeforderten Handlung.
(3)
Bestehen parallele Netzwerksitzungen mit dem kontoführenden Zahlungsdienstleister, stellen Kontoinformationsdienstleister und Zahlungsauslösedienstleister sicher, dass diese Sitzungen auf sichere Weise mit den zu dem oder den Zahlungsdienstnutzer(n) jeweils aufgebauten Sitzungen verknüpft sind, damit verhindert wird, dass die zwischen ihnen ausgetauschten Nachrichten oder Informationen fehlgeleitet werden können.
(4)
Kontoinformationsdienstleister, Zahlungsauslösedienstleister und Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, liefern bei der Kommunikation mit dem kontoführenden Zahlungsdienstleister unmissverständliche Verweise auf jedes der folgenden Elemente:
a)
den oder die Zahlungsdienstnutzer und die entsprechende Kommunikationssitzung, damit mehrere Anforderungen von demselben oder denselben Zahlungsdienstnutzer(n) unterschieden werden können;
b)
für Zahlungsauslösedienste den eindeutig identifizierten ausgelösten Zahlungsvorgang;
c)
zur Bestätigung der Verfügbarkeit eines Geldbetrags die eindeutig identifizierte Anforderung bezüglich des für die Ausführung des kartenbasierten Zahlungsvorgangs erforderlichen Betrags.
(5)
Kontoführende Zahlungsdienstleister, Kontoinformationsdienstleister, Zahlungsauslösedienstleister und Zahlungsdienstleister, die kartengebundene Zahlungsinstrumente ausstellen, gewährleisten, dass personalisierte Sicherheitsmerkmale und Authentifizierungscodes bei ihrer Übertragung zu keiner Zeit direkt oder indirekt von Mitarbeitern gelesen werden können.
Falls die Vertraulichkeit der in ihren Verantwortungsbereich fallenden personalisierten Sicherheitsmerkmale nicht mehr gegeben ist, unterrichten die betreffenden Dienstleister den betroffenen Zahlungsdienstnutzer sowie den Aussteller der personalisierten Sicherheitsmerkmale unverzüglich.