(1) Zahlungsdienstleister dürfen unter Einhaltung der in Artikel 2 festgelegten Anforderungen davon absehen, eine starke Kundenauthentifizierung zu verlangen, wenn ein Zahlungsdienstnutzer direkt auf seine Zahlungskontoinformationen online zugreift und sich dieser Zugriff auf eine der folgenden Online-Abfragen beschränkt, ohne dass sensible Zahlungsdaten offengelegt werden:
a) Kontostand eines oder mehrerer bezeichneter Zahlungskonten;
b) Zahlungsvorgänge, die in den vergangenen 90 Tagen über ein oder mehrere bezeichnete Zahlungskonten ausgeführt wurden.
(2) Abweichend von Absatz 1 dürfen Zahlungsdienstleister nicht von der Durchführung einer starken Kundenauthentifizierung befreit werden, wenn eine der folgenden Bedingungen erfüllt ist:
a) Der Zahlungsdienstnutzer greift zum ersten Mal online auf die in Absatz 1 genannten Informationen zu.
b) Mehr als 180 Tage sind verstrichen, seitdem der Zahlungsdienstnutzer letztmals auf die in Absatz 1 Buchstabe b genannten Informationen online zugegriffen hat und eine starke Kundenauthentifizierung verlangt wurde.