Vorgesehen ist zumindest laut EU (wer weiß, ob die Banken das richtig umsetzen) die Möglichkeit einer Whitelist, wo man sinnvollerweise Paypal, Curve, Amazon etc. als allererstes drauf setzt.
Allerdings gibt es auch ein "Hintergrund-Sicherheitsverfahren", d.h. Banken dürfen selbständig eine Risikobewertung von Transaktionen vornehmen und dann auf die TAN verzichten. Auch hier werden zumindest die ganz großen wie Paypal und Amazon sicherlich dabei sein.
Es gibt noch eine Reihe weiterer Ausnahmen, bei denen man keine SCA braucht, z.B.:
Merchant-Initiated Transactions (MIT): Falls die Transaktion von einem Händler und nicht vom Kunden initiiert wird (weiß nicht, ob Curve in dem Fall ein Händler wäre, der das durchreicht). Der Kunde muss aber einem Datum zustimmen (kann man ja leicht implementieren, wie z.B. "umgehend"). Im Prinzip dürfte das sowas sein wie eine Vorauthorisierung, nehme ich an.
Secure corporate payments: Wenn die Transaktion von einer Firma initiiert wird und sichergestellt wird, dass das dafür verwendete Protokoll sicher ist (keine Ahnung, ob man dann hier davon sprechen kann, dass Curve die Transaktion auf der unterliegenden Karte als Firma initiiert hat).
Und dann die hier schon genannte Inter-regional transaction: Wenn Empfänger oder Sender nicht in der EU sitzt (was bei Curve nach dem Brexit der Fall ist), gilt PSD2 nicht.
Habe Curve heute schon genutzt und bisher da übrigens noch nichts von PSD2 bemerkt.