Terms and conditions for data communications valid from 4 November Bedingungen für die Datenfernübertragung (DFÜ) ab dem 4.

Transkript

1 Bedingungen für die Datenfernübertragung (DFÜ) ab dem 4. November 2013 Terms and conditions for data communications valid from 4 November Leistungsumfang (1) Das Kreditinstitut steht seinem Kunden (Kontoinhaber) für die Datenfernübertragung auf elektronischem Wege nachfolgend»datenfernübertragung«oder»dfü«genannt zur Verfügung. Die Datenfernübertragung umfasst die Auftragserteilung sowie den Datenaustausch (Übermittlung von Aufträgen und Informationsabruf). (2) Das Kreditinstitut gibt dem Kunden die Dienstleistungsarten bekannt, die er im Rahmen der Datenfernübertragung nutzen kann. Zur Nutzung der Datenfernübertragung gelten die mit dem Kredit institut vereinbarten Verfügungslimite. (3) Die Datenfernübertragung ist über die EBICS- Anbindung (Anlagen 1a bis 1c) möglich. (4) Der Satz- und Dateiaufbau für die Übermittlung von Aufträgen und den Informationsabruf wird in der Spezifikation der Datenformate (Anlage 3) beschrieben. 2. Nutzer und Teilnehmer, Legitimations- und Sicherungsmedien (1) Aufträge können über die EBICS-Anbindung nur vom Kunden oder seinen Kontobevollmächtigten erteilt werden. Kunde und Kontobevollmächtigte werden im Folgenden einheitlich als»nutzer«bezeichnet. Zur Autorisierung von per DFÜ übermittelten Auftragsdaten benötigt jeder Nutzer jeweils individuelle, von dem Kredit institut freigeschaltete Legitimationsmedien. Die Anfor derungen an die Legitimationsmedien sind in Anlage 1a definiert. Wenn mit dem Kreditinstitut vereinbart, können per DFÜ übermittelte Auftragsdaten mit unterschriebenem Begleitzettel autorisiert werden. (2) Für den Datenaustausch über die EBICS-Anbindung kann der Kunde zusätzlich zu den Bevollmächtigten»Technische Teilnehmer«benennen, die lediglich befugt sind, den Datenaustausch durchzuführen. Nutzer und Technische Teilnehmer werden im Folgenden unter dem Begriff»Teilnehmer«zusammengefasst. Für die Absicherung des Datenaustauschs benötigt jeder Teilnehmer jeweils individuelle, von dem Kreditinstitut freigeschaltete Sicherungsmedien. Die Anforderungen an die Sicherungsmedien sind in Anlage 1a beschrieben. (3) Legitimations- und Sicherungsmedien sind Authentifzierungsinstrumente im Sinne von 1 Absatz 5 Zahlungsdiensteaufsichtsgesetz. Important Notice: Only the German text of the contract shall be binding. The English translation is only for your information. 1. Scope of services (1) The Bank shall provide its customer (account holder) with electronic data communications services hereinafter referred to as»data communications«. Data communications shall entail the submission of orders and the exchange of data (transmission of orders and retrieval of information). (2) The Bank shall notify the customer of the types of services which he may use for the purpose of data communications. Utilization of data communications shall be subject to the drawing limits agreed upon with the Bank. (3) Data communications shall be possible via the EBICS link (Appendices 1a through 1c). (4) The structure of the data set and file for transmitting orders and for retrieving information is defined in the data format specifications (Appendix 3). 2. Users and subscribers, identification and authentication media (1) Orders may only be issued by the customer or his authorized representative via the EBICS link. The customer and his authorized representative are jointly referred to below as the»user«. Each user shall require identification media activated by the Bank in order to authorize order data transmitted electronically. The requirements which the identification media must satisfy are defined in Appendix 1a. If agreed with the Bank, order data transmitted electronically may be authorized by means of a signed accompanying note. (2) The customer may additionally nominate»technical subscribers«who shall be merely authorized to execute the data exchange in addition to the authorized representatives. Users and technical users are jointly referred to below as»subscribers«. Each subscriber shall require individual authentication media activated by the Bank in order to ensure secure data communications. The requirements which the authentication media must satisfy are defined in Appendix 1a. (3) Identification and authentication media shall be deemed to be authentication instruments as defined in Section 1 Paragraph 5 of the Payment Services Supervision Act. 1

2 3. Verfahrensbestimmungen (1) Für das zwischen Kunde und Kreditinstitut vereinbarte Übertragungsverfahren gelten jeweils die in Anlage 1a sowie die in der Dokumentation der technischen Schnittstelle (Anlage 1b) und der Spezifikation der Datenformate (Anlage 3) beschriebenen Anforderungen. Der Kunde ist verpflichtet, ab dem 1. Februar 2014 Überweisungsaufträge und Lastschrift einzugsaufträge für Zahlungen in Euro innerhalb des Europäischen Wirtschaftsraums nur noch im Format ISO gemäß Kapitel 2 der Anlage 3 einzureichen. Lastschrifteinzugsaufträge für Zahlungen, die an einer Verkaufsstelle mit Hilfe einer Zahlungskarte generiert wurden und zu einer Lastschrift von einem inländischen Zahlungskonto führen ( 7c Absatz 1 Zahlungsdienste aufsichtsgesetz), sind erst ab dem 1. Februar 2016 verpflichtend im Format ISO einzureichen. (2) Der Kunde ist verpflichtet sicherzustellen, dass alle Teilnehmer das DFÜ-Verfahren und die Spezifikationen beachten. (3) Die Belegung der Datenfelder richtet sich nach den Belegungs- und Kontrollrichtlinien des jeweils genutzten Formates (Anlage 3). (4) Der Nutzer hat den Kontoidentifikationscode (Kontonummer oder IBAN) des Zahlungsempfängers beziehungsweise des Zahlers und soweit diese Angabe erforderlich ist den Zahlungsdienstleisteridentifikationscode (Bankleitzahl oder BIC) des Zahlungsdienstleisters des Zahlungsempfängers beziehungs weise des Zahlungsdienstleisters des Zahlers (Zahlstelle) sowie den Kontoidentifikationscode (Kontonummer oder IBAN) des Zahlungsempfängers beziehungsweise Zahlers zutreffend anzugeben. Die in die Abwicklung des Zahlungsauftrages eingeschalteten Zahlungsdienstleister sind berechtigt, die Bearbeitung ausschließlich des Kontoidentifikationscodes und soweit diese Angabe vorhanden ist des Zahlungsdienstleister identifikationscodes vorzunehmen. Fehlerhafte Angaben können Fehlleitungen des Auftrags zur Folge haben. Schäden und Nachteile, die hieraus entstehen, gehen zu Lasten des Kunden. (5) Vor Übertragung von Auftragsdaten an das Kredit - institut ist eine Aufzeichnung der zu übertragenden Dateien mit deren vollständigem Inhalt sowie der zur Prüfung der Legitimation übermittelten Daten zu erstellen. Diese ist von dem Kunden mindestens für einen Zeitraum von 30 Kalendertagen ab dem Ausführungstag in der Form nachweisbar zu halten, dass die Datei auf Anforderung des Kreditinstituts kurzfristig erneut zur Verfügung gestellt werden kann, sofern nichts Abweichendes vereinbart wird. 3. Procedural rules (1) The transmission method agreed upon between the customer and the Bank shall be subject to the requirements specified in Appendix 1a and in the documentation of the technical interface (Appendix 1b) and the data format specifications (Appendix 3). The customer undertakes from 1 February 2014 to submit all payment transfer orders and direct debit collection orders for payments in Euro within the European Economic Area solely in the ISO format as described in Chapter 2 of Appendix 3. Direct debit collection orders for payments generated at a point of sale using a payment card resulting in a direct debit of a domestic account (Section 7c Paragraph 1 of the Payment Services Supervision Act) do not have to be submitted in accordance with the ISO format until 1 February (2) The customer shall ensure that all subscribers observe the data communications procedure and the specifications. (3) The data fields shall be completed in accordance with the completion and control guidelines applicable to the format used (Appendix 3). (4) The user shall enter the correct account identification code (account number or IBAN) of the payee or payer and as far as necessary the payment service provider identification code (bank sort code or BIC) of the payment service provider of the payee or payer (paying agent) as well as the account identification code (account number or IBAN) of the payee or payer. The payment service providers responsible for executing the payment order may execute the order excluding the account identification code and where this has been disclosed excluding the payment service identifi - cation code. Any erroneous data may cause incorrect routing of the order. Any loss or damage arising from such incorrect routing shall be for the customer s account. (5) Prior to transmission of the order data to the Bank, the full content of the files to be transmitted and the data transmitted for authentication purposes shall be recorded. In the absence of any agreement to the contrary, such record shall be verifiably retained by the customer for a period of 30 calendar days in such a form that the file can be resubmitted to the Bank at its request at short notice. 2

3 (6) Außerdem hat der Kunde für jeden Datenaustausch ein maschinelles Protokoll, das inhaltlich den Bestimmungen von Kapitel 10 der Spezifikation für die EBICS-Anbindung (Anlage 1b) entspricht, zu erstellen, zu seinen Unterlagen zu nehmen und auf Anforderung des Kreditinstituts zur Verfügung zu stellen. (7) Soweit das Kreditinstitut dem Kunden Daten über Zahlungsvorgänge zur Verfügung stellt, die noch nicht endgültig bearbeitet sind, stellen diese lediglich eine unverbindliche Information dar. Die Daten sind jeweils besonders gekennzeichnet. (8) Die per DFÜ eingelieferten Auftragsdaten sind, wie mit dem Kreditinstitut vereinbart, entweder mit Elektronischer Unterschrift oder dem unterschriebenen Begleitzettel zu autorisieren. Diese Auftragsdaten werden als Auftrag wirksam a) bei Einreichung mit Elektronischer Unterschrift, wenn alle erforderlichen Elektronischen Unterschriften der Nutzer per Datenfernübertragung innerhalb des vereinbarten Zeitraumes eingegangen sind und die Elektronischen Unterschriften mit den vereinbarten Schlüsseln erfolgreich geprüft werden können oder b) bei Einreichung mit Begleitzettel, wenn der Begleitzettel im vereinbarten Zeitraum beim Kreditinstitut eingegangen ist und der Begleitzettel der Kontovollmacht entsprechend unterzeichnet worden ist. 4. Verhaltens- und Sorgfaltspflichten im Umgang mit den Legitimationsmedien für die Autorisierung des Auftrags (1) Der Kunde ist in Abhängigkeit von dem mit dem Kreditinstitut vereinbarten Übertragungsverfahren verpflichtet sicherzustellen, dass alle Nutzer die in Anlage 1a beschriebenen Legitimationsverfahren einhalten. (2) Mit Hilfe der von dem Kreditinstitut freigeschalteten Legitimationsmedien kann der Nutzer Aufträge erteilen. Der Kunde stellt sicher, dass jeder Nutzer dafür Sorge trägt, dass keine andere Person in den Besitz seines Legitimationsmediums kommt sowie Kenntnis von dem zu dessen Schutz dienenden Passwort erlangt. Denn jede andere Person, die im Besitz des Mediums oder eines entsprechenden Duplikates ist, kann in Verbindung mit dem dazu - gehörigen Passwort die vereinbarten Dienstleistungen missbräuchlich nutzen. Insbesondere Folgendes ist zur Geheimhaltung der Legitimationsmedien zu beachten: Die den Nutzer legitimierenden Daten dürfen nicht außerhalb des Legitimationsmediums, z. B. auf der Festplatte des Rechners, gespeichert werden; (6) Moreover, the customer shall prepare an automatic protocol, the contents of which match the provisions set out in Chapter 10 of the EBICS link specifications (Appendix 1b), for every data transmission, archive such protocol and make it available to the Bank on request. (7) Where the Bank furnishes the customer with data on payment transactions which have not yet been fully processed, such information shall be non-binding only. The data shall be designated correspondingly. (8) Order data submitted by data communications shall be authorized either by electronic signature or the signed accompanying note as agreed with the Bank. This order data shall be deemed to constitute a binding order a) upon submission with an electronic signature if all the necessary electronic signatures of the users are transmitted by data communications within the agreed period and the electronic signatures can be successfully checked against the agreed keys or b) upon submission with an accompanying note if the accompanying note is received by the Bank within the agreed period and it has been signed in accordance with the account signing powers. 4. Rules of conduct and duty of care in connection with identification media for authorizing orders (1) Depending on the transmission procedure agreed upon with the Bank, the customer undertakes to ensure that all users observe the identification procedure described in Appendix 1a. (2) The user may submit orders using the identification media activated by the Bank. The Customer shall ensure that each user takes all necessary steps for preventing any other person from gaining possession of his identification media and from discovering the password used for his own protection. This is because any other person who is in possession of the media or a corresponding replica is able to make unauthorized use of the agreed services in connection with the password in connection. In particular, the following points must be observed to safeguard the confidentiality of the identification media: The user s identification data must not be stored anywhere other than on the identification media, e. g. on a hard disk inside a computer; 3

4 das Legitimationsmedium ist nach Beendigung der DFÜ-Nutzung aus dem Lesergerät zu entnehmen und sicher zu verwahren; das zum Schutz des Legitimationsmediums dienende Passwort darf nicht notiert oder elektronisch abgespeichert werden; bei Eingabe des Passwortes ist sicherzustellen, dass andere Personen dieses nicht ausspähen können. 5. Verhaltens- und Sorgfaltspflichten im Umgang mit den Sicherungsmedien für den Datenaustausch Der Kunde ist im Rahmen der EBICS-Anbindung verpflichtet sicherzustellen, dass alle Teilnehmer die in Anlage 1a beschriebenen Sicherungsverfahren einhalten. Mit Hilfe der von dem Kreditinstitut freigeschalteten Sicherungsmedien sichert der Teilnehmer den Datenaustausch ab. Der Kunde ist dazu verpflichtet sicher zustellen, dass jeder Teilnehmer dafür Sorge trägt, dass keine andere Person in den Besitz seines Sicherungsmediums kommt oder dieses nutzen kann. Insbesondere im Falle der Ablage auf einem technischen System muss das Sicherungsmedium des Teilnehmers in einer technischen Umgebung gespeichert werden, die vor unautorisiertem Zugriff geschützt ist. Denn jede andere Person, die Zugriff auf das Sicherungs medium oder ein entsprechendes Duplikat hat, kann den Datenaustausch missbräuchlich durchführen. 6. Sperre der Legitimations- und Sicherungsmedien (1) Gehen die Legitimations- oder Sicherungsmedien verloren, werden sie anderen Personen bekannt oder besteht der Verdacht ihrer missbräuchlichen Nutzung, so hat der Teilnehmer unverzüglich seinen DFÜ-Zugang des Kreditinstituts zu sperren oder sperren zu lassen. Näheres regelt Anlage 1a. Der Teilnehmer kann dem Kreditinstitut eine Sperranzeige jederzeit auch über die gesondert mitgeteilten Kontaktdaten aufgeben. (2) Der Kunde kann außerhalb des DFÜ-Verfahrens die Verwendung der Legitimations- und Sicherungsmedien eines Teilnehmers oder den gesamten DFÜ-Zugang über die von dem Kreditinstitut bekannt gegebene Sperr fazilität sperren lassen. (3) Das Kreditinstitut wird den gesamten DFÜ-Zugang sperren, wenn der Verdacht einer missbräuchlichen Nutzung des DFÜ-Zugangs besteht. Das Kreditinstitut wird den Kunden hierüber außerhalb des DFÜ-Verfahrens informieren. Diese Sperre kann mittels DFÜ nicht aufgehoben werden. The identification media must be removed from the reading device upon the completion of the data communications session and stored safely; The password used to protect the identification media must not be noted physically or electrically; When the password is entered, it is important to ensure that no other persons can see what is being entered. 5. Rules of conduct and duty of care in connection with authentication media for data transmissions In connection with the EBICS link, the customer undertakes to ensure that all users observe the identification procedure described in Appendix 1a. The user may transmit data using the authentication media activated by the Bank. The Customer shall ensure that each user takes all necessary steps for preventing any other person from gaining possession of or utilizing his authentication media. If the authentication media are held on a technical system, the subscriber s authentication media must be stored in such a way that unauthorized access is prevented. This is because any person who has access to the authentication media or a corresponding replica can engage in unauthorized data transmission. 6. Suspension of identification and authentication media (1) If the identification or authentication media are lost or become known to other persons or they are believed to have been compromised, the subscriber shall immediately suspend his data communications access to the Bank or arrange for it to be suspended. Further details can be found in Appendix 1a. The subscriber can additionally instruct the Bank to suspend data communications access at any time via the separately disclosed contact data. (2) The customer can have the utilization of the identification and authentication media of an individual subscriber or the entire data communications access suspended via the suspension status disclosed separately by the Bank outside the data communications procedure. (3) The Bank shall suspend the entire data communications access if there is any suspicion that it many have been compromised. The Bank shall notify the customer accordingly outside the data communications procedure. This suspension cannot be revoked by means of data communications. 4

5 7. Behandlung eingehender Auftragsdaten durch das Kreditinstitut (1) Dem Kreditinstitut im DFÜ-Verfahren übermittelte Auftragsdaten werden im Rahmen des ordnungsgemäßen Arbeitsablaufes bearbeitet. (2) Das Kreditinstitut prüft anhand der von den Teil - nehmern mittels der Sicherungsmedien erstellten Signaturen, ob der Absender berechtigt ist, den Daten austausch durchzuführen. Ergibt die Prüfung Unstimmigkeiten, wird das Kreditinstitut die betreffenden Auftrags daten nicht verarbeiten und dem Kunden hierüber unverzüglich eine Information zur Verfügung stellen. (3) Das Kreditinstitut prüft die Legitimation des Nutzers beziehungsweise der Nutzer und die Autorisierung der per DFÜ übermittelten Auftragsdaten anhand der von den Nutzern mittels der Legitimationsmedien erstellten elektronischen Unterschriften oder des übermittelten Begleitzettels sowie die Übereinstimmung der Auftragsdatensätze mit den Bestimmungen gemäß Anlage 3. Ergibt die Prüfung Unstimmigkeiten, wird das Kreditinstitut die betreffenden Auftragsdaten nicht bearbeiten und dem Kunden hierüber unverzüglich eine Information zur Verfügung stellen. Das Kreditinstitut ist berechtigt, nicht vollständig autorisierte Auftragsdaten nach Ablauf des von dem Kreditinstitut gesondert mitgeteilten Zeitlimits zu löschen. (4) Ergeben sich bei den von dem Kreditinstitut durchgeführten Prüfungen der Dateien oder Datensätze nach Anlage 3 Fehler, so wird das Kreditinstitut die fehlerhaften Dateien oder Datensätze in geeigneter Form nachweisen und sie dem Nutzer unverzüglich mitteilen. Das Kreditinstitut ist berechtigt, die fehlerhaften Dateien oder Datensätze von der weiteren Bearbeitung auszuschließen, wenn die ordnungsgemäße Ausführung des Auftrages nicht sichergestellt werden kann. (5) Die Bank ist verpflichtet, die Abläufe (siehe Anlage 1a) und die Weiterleitung der Aufträge zur Bearbeitung im Kundenprotokoll zu dokumentieren. Der Kunde ist seinerseits verpflichtet, das Kundenprotokoll zeitnah abzurufen und sich über den Status der Auftragsbearbeitung zu informieren. Bei Unstimmigkeiten soll er sich mit der Bank in Verbindung setzen. 8. Rückruf (1) Vor der Autorisierung der Auftragsdaten kann der Kunde die Datei zurückrufen. Änderungen einzelner Auftragsdaten sind nur durch Rückruf der gesamten Datei und erneute Einlieferung möglich. Das Kredit institut kann einen Rückruf allerdings nur beachten, wenn ihm diese Nachricht so rechtzeitig zugeht, dass ihre Berücksichtigung 7. Treatment of incoming order data by the Bank (1) Order data submitted to the Bank by data communications shall be processed in accordance with a duly defined procedure. (2) The Bank shall check on the basis of the signature submitted by the subscribers in the authentication media whether the sender is authorized for data communications. If the check yields any irregularities, the Bank shall not process the corresponding order data and shall immediately notify the customer accordingly. (3) The Bank shall establish the identity of the user(s) and the authorization of the order data submitted by data communications by reference to the electronic signatures produced by the users on the basis of the authentication media or the accompanying note and check to ensure that the order data complies with the requirements set forth in Appendix 3. If the check yields any irregularities, the Bank shall not process the corresponding order data and shall immediately notify the customer accordingly. The Bank may delete order data which has not been fully authorized upon the expiry of a period disclosed separately by the Bank. (4) If as a result of the checks performed by the Bank the files or data are found to contain any errors in accordance with Appendix 3, the Bank shall document the erroneous files or data in an appropriate form and immediately notify the user. The Bank may exclude the erroneous files or data from further processing if it is not able to ensure the proper level of quality in the execution of the order. (5) The Bank shall document in the customer protocol the processes (Appendix 1a) and transfer of the orders for further processing. The customer for its part shall retrieve the customer protocol with minimum delay and track the order processing status. He shall notify the Bank in the event of any discrepancies. 8. Revocation (1) The customer may revoke the file before the authorization of the order data. Individual parts of the order data may only be changed by revoking the entire file and resubmitting it. However, the Bank can only accept a revocation provided that the message reaches it early enough for it to include it in its usual processing operations. 5

6 im Rahmen des ordnungsgemäßen Arbeitsablaufes möglich ist. (2) Die Widerrufbarkeit eines Auftrags richtet sich nach den dafür geltenden Sonderbedingungen (z. B. Bedin gungen für den Überweisungsverkehr). Der Widerruf von Aufträgen kann nur außerhalb des DFÜ-Verfahrens erfolgen. Hierzu hat der Kunde dem Kreditinstitut die Einzelangaben des Originalauftrages mitzuteilen. 9. Ausführung der Aufträge (1) Das Kreditinstitut wird die Aufträge ausführen, wenn alle nachfolgenden Ausführungsbedingungen vorliegen: Die per DFÜ eingelieferten Auftragsdaten wurden gemäß Nummer 3 Absatz 8 autorisiert. Das festgelegte Datenformat ist eingehalten. Das Verfügungslimit, sofern vereinbart, ist nicht überschritten. Die Ausführungsvoraussetzungen nach den für die jeweilige Auftragsart maßgeblichen Bedingungen (z. B. ausreichende Kontodeckung gemäß den Bedingungen für den Überweisungsverkehr) liegen vor. (2) Liegen die Ausführungsbedingungen nach Absatz 1 nicht vor, wird das Kreditinstitut den Auftrag nicht ausführen und den Kunden über die Nichtausführung unverzüglich auf dem vereinbarten Weg unterrichten. Soweit möglich, nennt das Kreditinstitut dem Kunden die Gründe und Fehler, die zur Nichtausführung geführt haben, und Möglichkeiten, wie diese Fehler berichtigt werden können. 10. Sicherheit des Kundensystems Der Kunde hat für einen ausreichenden Schutz der von ihm für die Datenfernübertragung eingesetzten Systeme Sorge zu tragen. Die für das EBICS- Verfahren geltenden Sicherheitsanforderungen sind in Anlage 1c beschrieben. 11. Haftung 11.1 Haftung des Kreditinstituts bei einer nicht autorisierten DFÜ-Verfügung und einer nicht oder fehlerhaft ausgeführten DFÜ-Verfügung Die Haftung des Kreditinstituts bei einer nicht autorisierten DFÜ-Verfügung und einer nicht oder fehlerhaft ausgeführten DFÜ-Verfügung richtet sich nach den für die jeweilige Auftragsart vereinbarten Bedingungen (z. B. Bedingungen für den Überweisungsverkehr). (2) The revocability of an order depends on the special terms and conditions applicable to it (e. g. terms and conditions for payment transfers). Orders can only be revoked outside the data communications procedure. For this purpose, the customer shall provide the Bank with the specific details of the original order. 9. Order execution (1) The Bank shall execute the order upon all the following conditions for execution being satisfied: The order data submitted by means of data communications has been authorized in accordance with Number 3 Paragraph 8. The agreed data format has been observed. Any drawing limit which may have been agreed upon has not been exceeded. The conditions for execution in accordance with the terms and conditions applicable to the order type in question (e. g. sufficient account balance in accordance with terms and conditions for payment transfers) are satisfied. (2) If the conditions for execution as set out in Paragraph 1 are not satisfied, the Bank shall not execute the order but shall immediately notify the customer of the non-execution via the agreed channel. As far as possible, the Bank shall notify the customer of the reasons and errors preventing execution of the order and ways of correcting such errors. 10. Security of the customer system The customer shall take steps to ensure that the systems which he uses for data communications are sufficiently secure. The security requirements for the EBICS procedure are described in Appendix 1c. 11. Liability 11.1 The Bank s liability in the event of an unauthorized data communications transaction, failure to complete a data communications transaction or an error in the execution of a data communications transaction The Bank s liability in the event of an unauthorized data communications transaction, failure to complete a data communications transaction or an error in the execution of a data communications transaction shall be determined on the basis of the terms and conditions agreed for the order type in question (e. g. terms and conditions for payment transfers). 6

7 11.2 Haftung des Kunden bei missbräuchlicher Nutzung der Legitimations- oder Sicherungsmedien Haftung des Kunden für nicht autorisierte Zahlungsvorgänge vor der Sperranzeige (1) Beruhen nicht autorisierte Zahlungsvorgänge vor der Sperranzeige auf der Nutzung eines verlorengegangenen, gestohlenen oder sonst abhanden gekommenen Legitimations- oder Sicherungsmediums, haftet der Kunde für den dem Kreditinstitut hierdurch entstehenden Schaden bis zu einem Betrag von 150 Euro, ohne dass es darauf ankommt, ob den Teilnehmer an dem Verlust, Diebstahl oder sonstigem Abhandenkommen des Legitimations- oder Sicherungsmediums ein Verschulden trifft. (2) Kommt es vor der Sperranzeige zu nicht autorisierten Zahlungsvorgängen aufgrund einer missbräuchlichen Verwendung eines Legitimationsoder Sicherungs mediums, ohne dass dieses verlorengegangen, gestoh len oder sonst abhanden gekommen ist, haftet der Konto inhaber für den dem Kreditinstitut hierdurch entstehenden Schaden bis zu einem Betrag von 150 Euro, wenn der Teilnehmer seine Pflicht zur sicheren Aufbewahrung des Legitimations- oder Sicherungs mediums schuldhaft verletzt hat. (3) Ist der Kontoinhaber kein Verbraucher, haftet er für Schäden aufgrund von nicht autorisierten Zahlungsvorgängen über die Haftungsgrenze von 150 Euro nach Absatz 1 und 2 hinaus, wenn der Teilnehmer fahrlässig oder vorsätzlich gegen seine Anzeige- und Sorgfaltspflichten nach diesen Bedingung gehandelt hat. (4) Der Kontoinhaber ist nicht zum Ersatz des Schadens nach Absätzen 1, 2 und 3 verpflichtet, wenn der Teilnehmer die Sperranzeige nach Nummer 6 Absatz 1 nicht abgeben konnte, weil das Kreditinstitut nicht die Möglichkeit zur Entgegennahme der Sperranzeige sicher gestellt hatte und der Schaden dadurch eingetreten ist. (5) Die Haftung für Schäden, die innerhalb des Zeit raums, für den das Verfügungslimit gilt, verursacht werden, beschränkt sich jeweils auf das vereinbarte Verfügungslimit Haftung des Kunden bei sonstigen nicht autorisierten Vorgängen vor der Sperranzeige Beruhen nicht autorisierte Vorgänge, die keine Zah - lungsvorgänge sind, vor der Sperranzeige auf der Nutzung eines verlorengegangenen oder gestohlenen Legitimations- oder Sicherungsmediums oder auf der 11.2 Customer s liability in the event of unauthorized use of the identification or authentication media Customer s liability in the event of unauthorized payment transactions executed prior to receipt of notice of suspension (1) If unauthorized payment transactions executed prior to receipt of notice of suspension are due to the use of lost, stolen or otherwise absent identification or authentication media, the customer shall be liable for loss sustained by the Bank up to an amount of EUR 150 regardless of whether the subscriber is responsible for the loss, theft or any other form of non-availability of the identification or authentication media. (2) If no unauthorized payment transactions is executed prior to receipt of notice of suspension due to unauthorized use of the identification or authentication media and the identification or authentication media are not lost, stolen or otherwise absent, the account holder shall be liable for loss sustained by the Bank up to an amount of EUR 150 if he has failed to observe his duty to store the identification or authentication media with due care. (3) If the account holder is not a consumer, he shall be liable for any loss caused by unauthorized payment beyond the liability limit of EUR 150 specified in Paragraphs 1 and 2 if the subscriber has breached his reporting duties or duties of care as a result of negligence or wilful misconduct. (4) The account holder shall not be liable to provide reimbursement for any loss in accordance with Paragraphs 1, 2 and 3 if it was not possible for the subscriber to submit a notice of suspension in accordance with Number 6 Paragraph 1 due to the Bank s failure to make any provision for the acceptance of such notice of suspension and the loss occurred as a result of such failure. (5) Liability for loss caused within the period for which the drawing limit applies shall be limited to the maximum agreed drawing limit Customer s liability in the event of other unauthorized transactions executed prior to receipt of notice of suspension If the unauthorized transactions other than payment transactions executed prior to the notice of suspension are due to the use of lost or stolen identification or authentication media or any other unauthorized use of the identification or authentication media and the Bank incurs a loss as a result, the customer and the Bank shall be liable in accordance with the statutory principles of contributory negligence. 7

8 sonstigen missbräuchlichen Nutzung des Legitimations- oder Sicherungsmediums und ist dem Kreditinstitut hierdurch ein Schaden entstanden, haften der Kunde und das Kreditinstitut nach den gesetzlichen Grund sätzen des Mitverschuldens Haftung des Kreditinstituts ab der Sperranzeige Sobald das Kreditinstitut eine Sperranzeige eines Teil nehmers erhalten hat, übernimmt es alle danach durch nicht autorisierte DFÜ-Verfügungen entstehenden Schäden. Dies gilt nicht, wenn ein Teilnehmer in betrü gerischer Absicht gehandelt hat Haftungsausschluss Haftungsansprüche sind ausgeschlossen, wenn die einen Anspruch begründenden Umstände auf einem ungewöhnlichen und unvorhersehbaren Ereignis beruhen, auf das diejenige Partei, die sich auf dieses Ereignis beruft, keinen Einfluss hat, und dessen Folgen trotz Anwendung der gebotenen Sorgfalt von ihr nicht hätten vermieden werden können. 12. Schlussbestimmungen Die in diesen Bedingungen erwähnten Anlagen sind Bestandteil der mit dem Kunden geschlossenen Vereinbarung. Anlage 1a: EBICS-Anbindung (ehemals 1a und 1b) Anlage 1b: Spezifikation der EBICS-Anbindung Anlage 1c: Sicherheitsanforderungen an das EBICS- Kundensystem Anlage 2: derzeit nicht belegt Anlage 3: Spezifikation der Datenformate Bank s liability after notice of suspension Upon receiving a notice of suspension from a subscriber, the Bank shall be liable for all loss caused by unauthorized data communications transactions except if a subscriber has acted with fraudulent intent Exclusion of liability Liability shall be excluded if the circumstances giving rise to a claim are due to an exceptional and unforeseeable event which was beyond the control of the party relying on such event and whose consequences it could not avoid despite the observance of a reasonable level of care. 12. Final provisions The appendices referred to in these terms and conditions form an integral part of the agreement entered into with the customer. Appendix 1a: EBICS link (formerly 1a and 1b) Appendix 1b: Specifications of the EBICS link Appendix 1c: Security requirements for the EBICS customer system Appendix 2: Currently not used Appendix 3: Data format specifications 8

9 Anlage 1a: EBICS-Anbindung 1. Legitimations- und Sicherungsverfahren Der Kunde (Kontoinhaber) benennt dem Kreditinstitut die Teilnehmer und deren Berechtigungen im Rahmen der Datenfernübertragung. Folgende Legitimations- und Sicherungsverfahren werden in der EBICS-Anbindung eingesetzt: Elektronische Unterschriften Authentifikationssignatur Verschlüsselung Für jedes Legitimations- und Sicherungsverfahren verfügt der Teilnehmer über ein individuelles Schlüsselpaar, das aus einem privaten und einem öffentlichen Schlüssel besteht. Die öffentlichen Teilnehmerschlüssel sind dem Kreditinstitut gemäß dem in Nummer 2 beschriebenen Verfahren mitzuteilen. Die öffentlichen Bankschlüssel sind gemäß dem in Nummer 2 beschriebenen Verfahren gegen unautorisiertes Verändern zu schützen. Die Schlüsselpaare des Teilnehmers können auch für die Kommunikation mit anderen Kreditinstituten eingesetzt werden. 1.1 Elektronische Unterschriften Elektronische Unterschriften der Teilnehmer Für die Elektronischen Unterschriften (EU) der Teilnehmer sind die folgenden Unterschriftsklassen definiert: Einzelunterschrift (Typ»E«) Erstunterschrift (Typ»A«) Zweitunterschrift (Typ»B«) Transportunterschrift (Typ»T«) Als bankfachliche EU bezeichnet man EU vom Typ»E«,»A«oder»B«. Bankfachliche EU dienen der Autorisierung von Aufträgen. Aufträge können mehrere bankfachliche EU benötigen, die von unterschiedlichen Nutzern (Kontoinhabern und deren Bevollmächtigten) geleistet werden müssen. Für jede unterstützte Auftragsart wird zwischen Kreditinstitut und Kunde eine Mindestanzahl erforderlicher bankfachlicher EU vereinbart. EU vom Typ»T«, die als Transportunterschriften bezeichnet werden, werden nicht zur bankfachlichen Freigabe von Aufträgen verwendet, sondern lediglich zu deren Übertragung an das Banksystem.»Technische Teilnehmer«(siehe Nummer 2.2) können nur eine EU vom Typ»T«zugewiesen bekommen. Appendix 1a: EBICS link 1. Identification and authentication process The customer (account holder) notifies the Bank of the subscribers and their authorization in connection with data communications. The following identification and authentication processes are used in the EBICS link: Electronic signatures Authentication signature Encryption The subscriber has an individual pair of keys, comprising a private and a public key, for each identification and authentication procedure. The public subscriber key must be disclosed to the Bank in accordance with the procedure described in Number 2. The public subscriber key must be protected from any unauthorized changes in accordance with the procedure described in Number 2. The subscriber s pair of keys may also be used for communications with other banks. 1.1 Electronic signatures Subscribers electronic signatures The following signature classes have been defined for the subscribers electronic signatures (ES): Single signature (Type»E«) First signature (Type»A«) Second signature (Type»B«) Transport signature (Type»T«) A type»e«,»a«or»b«es is known as the banktechnical ES. The bank-technical ES is used for authorizing orders. Orders may require more than one bank-technical ES, which must then be provided by different users (account holders and their authorized representatives). The minimum number of banktechnical ESs required for each order type support is determined by the Bank and the customer. Type»T«ESs, which are referred to as»transport signatures«, are not used for the bank-technical release of orders but merely to transport them to the bank system.»technical subscribers«(see Number 2.2) can only be assigned a»type T«ES. 9

10 Mit dem vom Kunden verwendeten Programm können verschiedene Nachrichten (z. B. Aufträge für den Inlands- und Auslandszahlungsverkehr, aber auch für Initialisierung, den Protokollabruf und die Abholung von Konto- und Umsatzinformationen etc.) erstellt werden. Das Kreditinstitut teilt dem Kunden mit, welche Nachrichtenarten genutzt werden können und welcher EU-Typ hierfür anzuwenden ist. 1.2 Authentifikationssignatur Im Gegensatz zur EU, die Auftragsdaten signiert, wird die Authentifikationssignatur über die einzelne EBICS- Nachricht einschließlich Steuerungs- und Anmeldedaten und die darin enthaltenen EU gebildet. Mit Aus - nahme einiger in der EBICS-Spezifikation definierter systembedingter Auftragsarten wird die Authentifikations - signatur bei jedem Transaktionsschritt sowohl vom Kunden- als auch vom Banksystem geleistet. Der Kunde muss gewährleisten, dass eine Software eingesetzt wird, die die Authentifikationssignatur jeder von dem Kreditinstitut übermittelten EBICS-Nachricht unter Berücksichtigung der Aktualität und Authentizität der gespeicherten öffentlichen Schlüssel dem Kreditinstitut gemäß den Vorgaben der EBICS-Spezifikation (siehe Anlage 1b) prüft. 1.3 Verschlüsselung Zur Gewährleistung der Geheimhaltung der bankfachlichen Daten auf Anwendungsebene sind die Auftragsdaten vom Kunden unter Berücksichtigung der Aktualität und Authentizität der gespeicherten öffentlichen Schlüssel des Kreditinstituts gemäß den Vorgaben der EBICS-Spezifikation (siehe Anlage 1b) zu verschlüsseln. Darüber hinaus ist auf den externen Übertragungsstrecken zwischen Kunden- und Banksystem zusätzlich eine Transportverschlüsselung vorzunehmen. Der Kunde muss gewährleisten, dass eine Software ein gesetzt wird, die gemäß den Vorgaben der EBICS-Spezifikation (siehe Anlage 1b) Aktualität und Authentizität der hierfür eingesetzten Serverzertifikate des Kreditinstituts überprüft. 2. Initialisierung der EBICS-Anbindung 2.1 Einrichtung der Kommunikationsverbindung Der Kommunikationsaufbau erfolgt unter Verwendung einer URL (Uniform Resource Locator). Alternativ kann auch eine IP-Adresse der jeweiligen Bank benutzt werden. Die URL oder die IP-Adresse werden dem Kunden bei Vertragsabschluss mit dem Kreditinstitut mitgeteilt. The program used by the customer can produce different types of messages (e. g. domestic and foreign payment orders as well as initialization, protocol retrieval and the retrieval of account and transaction information etc.). The Bank tells the customer which message types can be used and which type of ES is required for this purpose. 1.2 Authentication signature In contrast to the ES which is used to sign the order data, the authentication signature is formed on the basis of the individual EBICS message including the controlling and log-on data and the ES contained in it. With the exception of a number of system-related order types defined in the EBICS specifications, the authentication signature is required for all transaction steps by both the customer and the bank system. The customer must ensure that software is used which checks the authentication signature of every EBICS message transmitted by the Bank on the basis of the status and authenticity of the Bank s public key in accordance with the requirements of the EBICS specifications (see Appendix 1b). 1.3 Encryption To preserve the confidentiality of the bank-technical data at the application level, the customer must encrypt the order data on the basis of the status and authenticity of the Bank s public key in accordance with the requirements of the EBICS specifications (see Appendix 1b). In addition, transport encryption is required for the external transmission routes between the customer and the bank system. The customer must ensure that software is used which checks the status and authenticity of the server certificates used by the Bank for this purpose in accordance with the requirements of the EBICS specifications (see Appendix 1b). 2. Initialization of the EBICS link 2.1 Establishment of the communications link The communications link is established by using an URL (uniform resource locator). Alternatively, the IP address of the bank in question can be used. The Bank informs the customer of the URL or IP address when the contract is signed. 10

11 Das Kreditinstitut teilt den vom Kunden benannten Teilnehmern zur Aufnahme der EBICS-Anbindung bei Vertragsschlusses folgende Daten mit: URL oder IP-Adresse des Kreditinstituts Bezeichnung des Kreditinstituts Host-ID Zulässige Version(en) für das EBICS-Protokoll und die Sicherungsverfahren Partner-ID (Kunden-ID) User-ID System-ID (für technische Teilnehmer) Weitere spezifische Angaben zu Kunden- und Teilnehmerberechtigungen Für die dem Kunden zugeordneten Teilnehmer vergibt das Kreditinstitut jeweils eine User-ID, die den Teilnehmer eindeutig identifiziert. Soweit dem Kunden ein oder mehrere technische Teilnehmer zugeordnet sind (Multi-User-System), vergibt das Kreditinstitut zusätz - lich zur User-ID eine System-ID. Soweit kein technischer Teilnehmer festgelegt ist, sind System-ID und User-ID identisch. 2.2 Initialisierung der Schlüssel Neuinitialisierung der Teilnehmerschlüssel Die vom Teilnehmer eingesetzten Schlüsselpaare für die bankfachliche EU, die Verschlüsselung der Auftragsdaten und die Authentifikationssignatur müssen zusätzlich zu den in Nummer 1 beschriebenen allgemeinen Bedingungen den nachfolgenden Anforderungen genügen: 1. Die Schlüsselpaare sind ausschließlich und eindeutig dem Teilnehmer zugeordnet. 2. Soweit der Teilnehmer seine Schlüssel eigenständig generiert, sind die privaten Schlüssel mit Mitteln zu erzeugen, die der Teilnehmer unter seiner alleinigen Kontrolle halten kann. 3. Sofern die Schlüssel von einem Dritten zur Verfügung gestellt werden, ist sicherzustellen, dass der Teilnehmer in den alleinigen Besitz der privaten Schlüssel gelangt. 4. Für die zur Legitimation eingesetzten privaten Schlüssel definiert jeder Nutzer pro Schlüssel ein Passwort, das den Zugriff auf den jeweiligen privaten Schlüssel absichert. 5. Für die zur Absicherung des Datenaustausches ein gesetzten privaten Schlüssel definiert jeder Teil nehmer pro Schlüssel ein Passwort, das den Zugriff auf den jeweiligen privaten Schlüssel absichert. Auf dieses Pass wort kann verzichtet werden, wenn das Sicherungs medium des Teilnehmers in einer technischen Um gebung gespeichert ist, die vor unautorisiertem Zugriff geschützt ist. When the contract is signed, the Bank discloses to the subscribers nominated by the customer the following data required for establishing an EBICS link: Bank s URL or IP address Bank s name Host ID Admissible version(s) of the EBICS protocol and the authentication procedure Partner ID (customer ID) User ID System ID (for technical subscribers) Further specific details of customer and subscriber authorization The Bank assigns a User ID to each of the subscribers allocated to the customer so that each subscriber can be individually identified. If one or more technical subscribers have been assigned to the customer (multi-user system), the Bank also assigns a System ID in addition to the User ID. If there is no technical subscriber, the System ID and the User ID are identical. 2.2 Initialization of the keys First-time initialization of the subscriber keys The pair of keys used by the subscriber for the bank-technical ES, encryption of the order data and the authentication signature must satisfy the following requirements in addition to the general conditions set out in Number 1: 1. The pair of keys are allocated solely and unambiguously to the subscriber. 2. If the subscriber has generated the keys himself, the private keys must be created by means which the subscriber is able to keep under his own personal control. 3. If the keys are provided by a third party, steps must be taken to ensure that the subscriber remains the sole possessor of the private keys. 4. With respect to the private keys used for identification, each user defines a password per key to prevent unauthorized use of the private key in question. 5. With respect to the private keys used for transmitting data, each user defines a password per key to prevent unauthorized use of the private key in question. This password can be dispensed with if the subscriber s security media is stored in such a way that unauthorized access is prevented. 11

12 Für die Initialisierung des Teilnehmers beim Kreditinstitut ist die Übermittlung der öffentlichen Schlüssel des Teilnehmers an das Banksystem erforderlich. Hierfür übermittelt der Teilnehmer dem Kreditinstitut seine öffentlichen Schlüssel auf zwei voneinander unabhängigen Kommunikationswegen: Über die EBICS-Anbindung mittels der hierfür vorgesehenen systembedingten Auftragsarten. Mit einem vom Kontoinhaber oder einem Konto bevollmächtigten unterschriebenen Initialisierungsbrief. Für die Freischaltung des Teilnehmers überprüft das Kreditinstitut auf Basis der vom Kontoinhaber oder einem Kontobevollmächtigten unterschriebenen Initialisierungsbriefe die Authentizität der über EBICS übermittelten öffentlichen Teilnehmerschlüssel. Zu jedem öffentlichen Teilnehmerschlüssel enthält der Initialisierungsbrief die folgenden Daten: Verwendungszweck des öffentlichen Teilnehmerschlüssel Elektronische Unterschrift Authentifikationssignatur Verschlüsselung Die jeweils unterstützten Version pro Schlüsselpaar Längenangabe des Exponenten Exponent des öffentlichen Schlüssels in hexadezimaler Darstellung Längenangabe des Modulus Modulus des öffent lichen Schlüssels in hexadezimaler Darstellung Hashwert des öffentlichen Schlüssels in hexadezimaler Darstellung Das Kreditinstitut prüft die Unterschrift des Kontoinhabers beziehungsweise des Kontobevollmächtigten auf dem Initialisierungsbrief sowie die Übereinstimmung zwischen den über die EBICS-Anbindung und den schriftlich übermittelten Hashwerten des öffent lichen Schlüssels des Teilnehmers. Bei positivem Prüfergebnis schaltet das Kreditinstitut den betreffenden Teilnehmer für die vereinbarten Auftragsarten frei Migration von FTAM nach EBICS Soweit der Teilnehmer aufgrund seines vorhandenen DFÜ-Zugangs für FTAM bereits über einen gültigen, vom Kreditinstitut freigeschalteten bankfachlichen Schlüssel verfügt, können im Zuge der gesondert verein - barten Migration von FTAM nach EBICS vorhandene bankfachliche Schlüssel beibehalten werden, soweit diese mindestens der Version A004 entsprechen und dies so mit dem Kreditinstitut vereinbart ist. The subscriber s public key must be transmitted to the bank system so that the Bank can initialize the subscriber. For this purpose, the subscriber transmits his public keys to the Bank via two separate communications channels: Via the EBICS link using the order types designated for this purpose. By means of an initialization letter signed by the account holder or his authorized representative. In order to approve the subscriber, the Bank verifies the authenticity of the public subscriber keys transmitted via EBICS on the basis of the initialization letters signed by the account holder or his authorized representative. The initialization letter contains the following data on each public subscriber key: Purpose of the public subscriber key Electronic signature Authentication signature Encryption The version supported for each pair of keys Exponent length specification Exponent of the public key in hexadecimal representation Modulus length specification Modulus of the public key in hexadecimal representation Hash value of the public key in hexadecimal representation The Bank verifies the signature of the account holder or authorized representative on the face of the initialization letter and checks for matching hash values for the subscriber s public key in the EBICS link and the initialization letter. If the check is positive, the Bank activates the subscriber for the agreed order types Migration from FTAM to EBICS If the subscriber already has a valid bank-technical key activated by the Bank for his existing data communications access for FTAM, these existing keys can be retained subject to the special arrangement of FTAM-to-EBICS migration provided that these keys comply with Version A004 or later and this is agreed with the Bank. 12

13 In diesem Fall werden die öffentlichen Schlüssel für die Authentifikation und die Verschlüsselung mit den hierfür vorgesehenen Auftragsarten an das Kreditinstitut übermittelt. Diese Nachrichten sind mit dem Schlüssel für die bankfachliche EU zu unterschreiben. Ein separater Versand eines unterschriebenen Initialisierungsbriefes entfällt. 2.3 Initialisierung der bankseitigen Schlüssel Der Teilnehmer holt den öffentlichen Schlüssel des Kreditinstituts mittels einer eigens dafür vorgesehenen systembedingten Auftragsart ab. Der Hashwert des öffentlichen Bankschlüssels wird von dem Kreditinstitut zusätzlich über einen zweiten, mit dem Kunden gesondert vereinbarten Kommunikationsweg bereitgestellt. Vor dem ersten Einsatz von EBICS hat der Teilnehmer die Echtheit der ihm per Datenfernübertragung übermittelten öffentlichen Bankschlüssel dadurch zu überprüfen, dass er deren Hashwerte mit den Hashwerten vergleicht, die von dem Kreditinstitut über den gesondert vereinbarten Kommunikationsweg mitgeteilt wurden. Der Kunde muss gewährleisten, dass eine Software eingesetzt wird, die die Gültigkeit der im Rahmen der Transportverschlüsselung eingesetzten Serverzertifikate anhand des von dem Kreditinstitut gesondert mitgeteilten Zertifizierungspfades überprüft. 3. Auftragserteilung an das Kreditinstitut Der Nutzer überprüft die Auftragsdaten auf ihre Richtigkeit und stellt sicher, dass genau diese Daten elektronisch unterschrieben werden. Bei Aufnahme der Kommunikation werden seitens des Kreditinstituts zuerst teilnehmerbezogene Berechtigungsprüfungen durchgeführt, wie etwa die Auftragsartberechtigung oder gegebenenfalls vereinbarte Limitprüfungen. Die Ergebnisse weiterer bankfachlicher Prüfungen wie beispielsweise Limitprüfungen oder Kontoberechtigungsprüfungen werden dem Kunden im Kundenprotokoll zu einem späteren Zeitpunkt mitgeteilt. Eine Ausnahme bildet die mit dem Kunden optional vereinbarte Online- Prüfung der Auftragsdaten durch das Kreditinstitut. Auftragsdaten, die an das Banksystem übermittelt werden, können wie folgt autorisiert werden: 1. Alle erforderlichen bankfachlichen EU werden zusammen mit den Auftragsdaten übertragen. 2. Sofern mit dem Kunden für die jeweilige Auftragsart die Verteilte Elektronische Unterschrift (VEU) vereinbart wurde und die übermittelten EU für die bankfachliche Freigabe nicht ausreichen, wird der Auftrag bis zur Abgabe aller erforderlichen EU im Banksystem gespeichert. In this case, the public keys for authentication and encryption are sent to the Bank with details of the planned order types. These messages must be signed with the key for the bank-technical ES. In this case, it is not necessary to submit a separate signed initialization letter. 2.3 Initialization of the Bank s keys The subscriber requests the Bank s public key in a special system-based order type defined for this purpose. The Bank additionally discloses the hash value of its public key via a second communications channel agreed upon separately with the customer. Prior to the first-time use of EBICS, the subscriber must satisfy himself that the public bank key sent to him by data communications is genuine. This is done by comparing the hash value of the public key with the one disclosed by the Bank via the specially agreed communications channel. The customer must ensure that software is used which verifies the validity of the server certificates utilized for transport encryption by reference to the certificate path disclosed by the Bank separately. 3. Submission of orders to the Bank The user checks the order data to rule out any errors and ensures that precisely this data is signed electronically. When communications are established, the Bank initially performs a check of the subscriber authorization, such as order type authorization and, where applicable, agreed limit checks. The results of further bank-technical checks, such as limit checks and account authorization checks are reported to the customer in the customer protocol at a later date. One exception to this is the online check of the order data by the Bank which is optionally agreed with the customer. Order data transmitted to the bank system can be authorized as follows: 1. All necessary bank-technical ESs are transmitted together with the order data. 2. If a distributed electronic signature (DES) has been agreed with the customer for the order tape in question and the ES transmitted is not sufficient for bank-technical activation, the order is stored in the bank system until all necessary ESs have been submitted. 13

14 3. Soweit Kunde und Kreditinstitut vereinbaren, dass die Autorisierung von per DFÜ übermittelten Auftragsdaten mittels gesondert übermittelten Begleitzettels erfolgen kann, ist an Stelle der bankfachlichen EU des Nutzers eine Transportunterschrift (Typ»T«) für die technische Absicherung der Auftragsdaten zu leisten. Hierfür ist die Datei mit einer speziellen Kennung zu versehen, die angibt, dass es außer der Transport unterschrift (Typ»T«) keine weitere EU für diesen Auftrag gibt. Die Freigabe des Auftrags erfolgt nach erfolgreicher Prüfung der Unterschrift des Nutzers auf dem Begleitzettel durch das Kreditinstitut. 3.1 Auftragserteilung mittels Verteilter Elektronischer Unterschrift (VEU) Die Art und Weise, wie die Verteilte Elektronische Unterschrift durch den Kunden genutzt wird, muss mit dem Kreditinstitut vereinbart werden. Die Verteilte Elektronische Unterschrift (VEU) ist dann einzusetzen, wenn die Autorisierung von Aufträgen unabhängig vom Transport der Auftragsdaten und gegebenenfalls auch durch mehrere Teilnehmer er - folgen soll. Solange noch nicht alle zur Autorisierung erforderlichen bankfachlichen EU vorliegen, kann der Auftrag von einem hierzu berechtigten Nutzer gelöscht werden. Soweit der Auftrag vollständig autorisiert wurde, ist nur noch ein Rückruf gemäß Nummer 8 der Bedingungen für die Datenfernübertragung möglich. Das Kreditinstitut ist dazu berechtigt, nicht vollständig autorisierte Aufträge nach Ablauf des vom Kreditinstitut gesondert mitgeteilten Zeitlimits zu löschen. 3.2 Legitimationsprüfung durch das Kreditinstitut Per DFÜ eingelieferte Auftragsdaten werden als Auftrag durch das Kreditinstitut erst dann ausgeführt, wenn die erforderlichen bankfachlichen EU beziehungsweise der unterschriebene Begleitzettel eingegangen sind und mit positivem Ergebnis geprüft wurden. 3.3 Kundenprotokolle Das Kreditinstitut dokumentiert in Kundenprotokollen die folgenden Vorgänge: Übertragung der Auftragsdaten an das Banksystem Übertragung von Informationsdateien von dem Banksystem an das Kundensystem Ergebnis einer jeden Legitimationsprüfung von Aufträgen des Kunden an das Banksystem Weiterverarbeitung von Aufträgen, sofern sie die Unterschriftsprüfung, die Anzeige von Auftragsdaten betreffen Fehler bei der Dekomprimierung 3. If the customer and the Bank agree that order data transmitted by data communications may be authorized by a separately transmitted accompanying note, a transport signature (Type»T«) is necessary for the technical security of the order data in lieu of the user s bank-technical ES. For this purpose, the file must be specially designated to denote that there is no other ES for this order other than the transport signature (Type»T«). The order is released after the Bank has successfully verified the user s signature on the accompanying note. 3.1 Submission of order by means of distributed electronic signature (DES) The manner in which the distributed electronic signature is to be used by the customer is subject to agreement with the Bank. The distributed electronic signature (DES) must be used when orders are authorized independently of the transport of the order data and possibly by multiple subscribers. The order can be deleted by an authorized user pending receipt of all the bank-technical ESs required for authorization. If the order has been fully autho rized, it can only be revoked in accordance with Number 8 of the terms and conditions for data communications. The Bank may delete orders which have not been fully authorized upon the expiry of a period disclosed separately by the Bank. 3.2 Identity check by the Bank Order data received by data communications is not executed by the Bank as an order until the necessary bank-technical ESs or the signed accompanying note have been received and duly verified. 3.3 Customer protocols The Bank documents the following transactions in customer protocols: Transmission of the order data to the bank system Transmission of information files from the bank system to the customer system Results of each identify check of customer orders submitted to the bank system Processing of orders relating to the signature check and the display of order data Decompression errors 14

15 Der Teilnehmer hat sich durch zeitnahen Abruf des Kundenprotokolls über das Ergebnis der auf Seiten der Bank durchgeführten Prüfungen zu informieren. Der Teilnehmer hat dieses Protokoll, das inhaltlich den Bestimmungen von Kapitel 10 der Anlage 1b entspricht, zu seinen Unterlagen zu nehmen und auf Anforderung der Bank zur Verfügung zu stellen. 4. Änderung der Teilnehmerschlüssel mit automatischer Freischaltung Wenn die vom Teilnehmer eingesetzten Legitimationsund Sicherungsmedien in ihrer Gültigkeit zeitlich begrenzt sind, hat der Teilnehmer des Kreditinstituts die neuen öffentlichen Teilnehmerschlüssel rechtzeitig vor dem Erreichen des Ablaufdatums zu übermitteln. Nach dem Erreichen des Ablaufdatums der alten Schlüssel ist eine Neuinitialisierung vorzunehmen. Wenn der Teilnehmer seine Schlüssel selbst generiert, so hat er zu dem mit dem Kreditinstitut vereinbarten Zeitpunkt die Teilnehmerschlüssel unter Verwendung der dafür vorgesehenen systembedingten Auftragsarten zu erneuern und rechtzeitig vor dem Erreichen des Ablaufdatums der alten Schlüssel zu übermitteln. Für eine automatische Freischaltung der neuen Schlüssel ohne eine erneute Teilnehmerinitialisierung sind die folgenden Auftragsarten zu nutzen: Aktualisierung des öffentlichen bankfachlichen Schlüssels (PUB) und Aktualisierung des öffentlichen Authentifikationsschlüssels und des öffentlichen Verschlüsselungsschlüssels (HCA) oder alternativ: Aktualisierung aller drei oben genannter Schlüssel (HCS). Die Auftragsarten PUB und HCA bzw. HCS sind hierfür mit einer gültigen bankfachlichen EU des Nutzers zu versehen. Nach erfolgreicher Änderung sind nur noch die neuen Schlüssel zu verwenden. Wenn die Elektronische Unterschrift nicht erfolgreich geprüft werden konnte, wird wie unter Nummer 7 Absatz 3 der Bedingungen für die Datenfernübertragung verfahren. Die Schlüsseländerung darf erst nach Abarbeitung aller Aufträge erfolgen. Ansonsten sind die noch nicht ausgeführten Aufträge mit dem neuen Schlüssel neu zu erteilen. The subscriber must examine the results of the checks performed by the Bank by retrieving the customer protocol with minimum delay. The subscriber must archive this protocol, the contents of which match the provisions set out in Chapter 10 of the EBICS link specifications (Appendix 1b), and make it available to the Bank on request. 4. Change in subscriber key with automatic activation If the identification and authentication media used by the subscriber are set to expire after a certain period, the subscriber must transmit the new public subscriber key to the Bank in good time prior to the expiry of the old one. Reinitialization is necessary after the expiry of the old key. If the subscriber generates his keys himself, he must renew them by the date agreed upon with the Bank using the system-related order types defined for this purpose and transmit them to the Bank in good time prior to the expiry of the old ones. The following order types must be used for automatic activation of the new keys without subscriber reinitialization: Update the public bank-technical key (PUB) and Update the public authentication key and the public encryption key (HCA) or, alternatively: Update all three of the above-mentioned keys (HCS). The user s valid bank-technical ES must be added to the order types PUB and HCA or HCS. After the change has been implemented, only the new keys may be used. If it is not possible to successfully check the electronic signature, the procedure described in Number 7 Paragraph 3 of the terms and conditions for data communications should be applied. The key must not be changed until all orders have been processed. Otherwise, the outstanding orders must be resubmitted with the new key. 15

16 5. Sperrung der Teilnehmerschlüssel Besteht der Verdacht des Missbrauchs der Teilnehmerschlüssel, ist der Teilnehmer dazu verpflichtet, seine Zugangsberechtigung zu allen Banksystemen zu sperren, die den/die kompromittierten Schlüssel verwenden. Soweit der Teilnehmer über gültige Legitimationsund Sicherungsmedien verfügt, kann er seine Zugangs - berechtigung via EBICS-Anbindung sperren. Hierbei wird durch Senden einer Nachricht mit der Auftragsart»SPR«der Zugang für den jeweiligen Teilnehmer, unter dessen User-ID die Nachricht gesendet wird, gesperrt. Nach einer Sperre können bis zu der unter Nummer 2 beschriebenen Neuinitialisierung keine Aufträge von diesem Teilnehmer per EBICS-Anbindung mehr erteilt werden. Wenn der Teilnehmer nicht mehr über gültige Legiti mations- und Sicherungsmedien verfügt, kann er außerhalb des DFÜ-Verfahrens seine Legitimationsund Sicherungsmedien über die von dem Kreditinstitut gesondert bekannt gegebenen Sperrfazilität sperren lassen. Der Kunde kann außerhalb des DFÜ-Verfahrens die Legitimations- und Sicherungsmedien eines Teilnehmers oder den gesamten DFÜ-Zugang über die vom Kredit - institut bekannt gegebene Sperrfazilität sperren lassen. 5. Suspension of the subscriber keys If there is any suspicion that the subscriber keys may have been compromised, the subscriber must suspend his access authorization for all bank systems using the compromised key(s). If the subscriber has valid identification and authentication media, access authorization can be suspended via an EBICS link. For this purpose, a message with the»spr«order type is sent to suspend access for the subscriber whose user ID is stated in the message. After suspension, no orders can be submitted by this subscriber via an EBICS link until the reinitialization described in Number 2 has been executed. If the subscriber no longer has any valid identification and authentication media, he can arrange for his identification and authentication media to be suspended via the suspension facility disclosed separately by the Bank outside the data communications procedure. The customer can have the identification and authentication media of an individual subscriber or the entire data communications access suspended via the suspension status disclosed separately by the Bank outside the data communications procedure. 16

17 Anlage 1b: Spezifikation der EBICS-Anbindung Die Spezifikation ist auf der Webseite veröffentlicht. Anlage 1c: Sicherheits anforderungen an das EBICS-Kundensystem Über die in Anlage 1a Nummer 5 beschriebenen Sicherheitsmaßnahmen hinaus sind durch den Kunden folgende Anforderungen zu berücksichtigen: Die vom Kunden für das EBICS-Verfahren eingesetzte Software muss die in Anlage 1a beschriebenen Anforderungen erfüllen. EBICS-Kundensysteme dürfen nicht ohne Firewall eingesetzt werden. Eine Firewall ist eine Einrichtung, die den gesamten ein- und ausgehenden Nachrichtenverkehr überwacht und nur bekannte oder autorisierte Verbindungen zulässt. Es ist ein Virenscanner zu installieren, der regel mäßig mit den neuesten Virendefinitions- Dateien auszustatten ist. Das EBICS-Kundensystem ist so einzurichten, dass sich der Teilnehmer vor dessen Nutzung anmelden muss. Die Anmeldung hat als normaler Benutzer und nicht als Administrator, der z. B. berechtigt ist, die Installation von Programmen vorzunehmen, zu erfolgen. Die internen IT-Kommunikationswege für unverschlüsselte bankfachliche Daten oder für unverschlüsselte EBICS-Nachrichten sind gegen Abhören und Manipulationen zu schützen. Wenn sicherheitsrelevante Updates für das jeweils eingesetzte Betriebssystem und weitere installierte sicherheitsrelevante Software-Programme vorliegen, sollten die eingesetzten EBICS-Kundensysteme mit diesen aktualisiert werden. Appendix 1b: Specifications of the EBICS link The specifications can be examined at Appendix 1c: Security requirements for the EBICS customer system In addition to the security measures set forth in Appendix 1a Number 5, the customer must also observe the following requirements: The software used by the customer for the EBICS process must satisfy the conditions described in Appendix 1a. The EBICS customer systems must not be used without a firewall. A firewall is defined as a system for monitoring all incoming and outgoing traffic and permitting only known or authorized connections. A virus scanner must be installed and kept regularly up to date with the latest virus definition files. The EBICS customer system must be set up in such a way that the subscriber must log on before using it. He must log on as a normal user and not as an administrator, e. g. with authorization to install programs. The internal IT communications channels for unencrypted bank-technical data or unencrypted EBICS messages must be protected from eavesdropping and manipulation. The EBICS customer systems should be duly updated when security-relevant updates are released for the operating system in question and further security-relevant software programs are available. The customer has sole responsibility for ensuring compliance with these requirments. Die Umsetzung dieser Anforderungen liegt ausschließlich in der Verantwortung des Kunden. 17

18 Anlage 2: derzeit nicht belegt Appendix 2: Currently not used Anlage 3: Spezifikation der Datenformate Die jeweils aktuell gültige Fassung der Spezifikation ist auf der Webseite veröffentlicht. Appendix 3: Data format specifications The specifications in the most recently amended version can be examined at 18