Kostenloses Erstgespräch

Kategorie: blog DE

Okt. 20, 2025

Zahlungsdienste im Online-Glücksspiel – Wo sind die Grenzen des Zulässigen?

Die Glücksspielregulierung ist in Deutschland grundsätzlich Ländersache. Die Regelungen zur Zulässigkeit oder Unzulässigkeit von Glücksspielen sind daher in jedem Bundesland gesondert in Glücksspielgesetzen geregelt. Für den Bereich der Online-Glücksspiele haben sich die Bundesländer Deutschlands jedoch dazu entschlossen, eine einheitliche, für das gesamte deutsche Staatsgebiet geltende Regulierung einzuführen. Die Schaffung einheitlicher Regeln für Glücksspiele im Internet ist sinnvoll, zumal der Zugang zu ihnen sich üblicherweise nicht an Landesgrenzen hält. Zur Erreichung dieses Ziels haben die sechzehn deutschen Bundesländer im Jahr 2021 den Glücksspielstaatsvertrag (GlüStV) geschlossen. Enthalten sind neben einigen generellen, auch stationäre Angebote betreffenden Vorschriften insbesondere Bestimmungen für gemeinsame Regelungen im Bereich des internetbasierten Glücksspiels und strenge Compliance-Pflichten für Veranstalter und Vermittler von Online-Glücksspielen. Neben dem Erfordernis der vorherigen Einholung einer Erlaubnis zur Veranstaltung etwa von virtuellen Automatenspielen, Online-Casinospielen oder Sportwetten sieht § 4 Abs. 1 Satz 2 GlüStV das sogenannte Mitwirkungsverbot vor, dass die Erbringung von Zahlungsdiensten für Anbieter unerlaubter Glücksspiele untersagt. Diesen nachvollziehbaren Grundsatz erweitert § 4 Abs. 1 Satz 3 GlüStV allerdings noch dahingehend, dass auch die Mitwirkung am Zahlungsverkehr für sonstige Leistungen eines Anbieters verboten ist, wenn dieser grundsätzlich zulässige Leistungen mit dem Angebot unerlaubter Glücksspiele vermischt.

Zahlungsinstitute müssen Geschäftsmodelle ihrer Kunden umfassend verstehen

Die Befolgung des Mitwirkungsverbots nach § 4 Abs. 1 Satz 3 GlüStV kann für Zahlungsinstitute durchaus herausfordernd sein. Denn um nicht gegen das Mitwirkungsverbot zu verstoßen, muss das Zahlungsinstitut das Geschäftsmodell des Kunden umfassend verstehen und glücksspielrechtlich einordnen können. Beinhaltet das Leistungsangebot des Kunden eines Zahlungsinstituts etwa Gamification-Elemente oder schlicht zufallsabhängige Gewinnchancen, muss das Zahlungsinstitut rechtssicher feststellen, ob im Geschäftsmodell des betreffenden Kunden Elemente unerlaubten Glücksspiels enthalten sind. Soweit in solchen Fällen eine Vermischung von grundsätzlich zulässigen Leistungen mit unerlaubtem Glücksspiel dazu führt, dass Zahlungen in Bezug auf diese Leistungen nicht eindeutig von den sich auf das unerlaubte Glücksspiel beziehenden Zahlungen getrennt werden können und deshalb illegale Zahlungsströme nicht eindeutig identifizierbar sind, greift das Verbot der Mitwirkung nach § 4 Abs. 1 Satz 3 GlüStV. In der Konsequenz darf der Zahlungsdienstleister entsprechende Zahlungen nicht ausführen bzw. keine Zahlungsdienste in Bezug auf solche Transaktionen erbringen. Zahlungsinstitute müssen daher die Geschäftsmodelle ihrer gewerblichen Kunden vollständig dahingehend überprüfen, ob ggfs. Elemente unerlaubten Glücksspiels enthalten sind.

Wann liegt unerlaubtes Glücksspiel vor?

Die generelle Erlaubnispflicht für das veranstalten oder das Vermitteln von öffentlichen Glücksspielen folgt aus § 4 Abs. 1 Satz 1 GlüStV. Unerlaubtes Glücksspiel im Sinne des Mitwirkungsverbots ist damit jede Veranstaltung oder Vermittlung von öffentlichen Glücksspielen ohne die dafür erforderliche Erlaubnis im Sinne von § 4 Abs. 1 Satz 1 GlüStV. Was genau der Staatsvertrag unter einem Glücksspiel versteht, regelt § 3 Abs. 1 GlüStV. Danach liegt ein Glücksspiel vor, wenn im Rahmen eines Spiels für den Erwerb einer Gewinnchance ein Entgelt verlangt wird und die Entscheidung über den Gewinn ganz oder überwiegend vom Zufall abhängt. Der Begriff des Zufalls kann insbesondere bei Sportwetten und Pferdewetten sowie beim Online-Poker Auslegungsschwierigkeiten bereiten, jedoch stellt der Staatsvertrag insoweit klar, dass es die Abhängigkeit vom Zufall jedenfalls dann anzunehmen ist, wenn der ungewisse Eintritt oder Ausgang zukünftiger Ereignisse maßgeblich ist. Öffentlich ist ein Glücksspiel dann, wenn für einen größeren, nicht geschlossenen Personenkreis eine Teilnahmemöglichkeit besteht, aber auch, wenn es sich um gewohnheitsmäßig veranstaltete Glücksspiele in Vereinen oder sonstigen geschlossenen Gesellschaften handelt. Die Frage der Erlaubnispflichtigkeit kann im Einzelfall schwierig sein, insbesondere in Fällen, in denen das eine Veranstaltung eines öffentlichen Glücksspiels vom Kunden des Zahlungsdienstleister eigentlich gar nicht intendiert ist, sondern eher als zufälliges Nebenprodukt beispielsweise im Rahmen von Marketingmaßnahmen Bestandteil des Leistungsspektrums des Kunden ist.

Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

I.  https://fin-law.de

E. info@fin-law.de

Newsletter abonnieren

This Blog Article as Podcast?

The Gist of It:

Presentation

    Kontakt

    info@fin-law.de

    Okt. 13, 2025

    Vertriebsstellen im Sinne der PSD3 – Sind E-Geld-Agenten ein Auslaufmodell?

    Die Verhandlungen über die Neugestaltung des europäischen Zahlungsdiensterechts sind bereits weit fortgeschritten. Künftig soll es mit der Zahlungsdiensteverordnung (PSR) und der dritten Zahlungsdiensterichtlinie (PSD3) zwei neue europäische Rechtsakte geben, die sowohl die privatrechtlichen Regeln für Zahlungsdienste in Europa unmittelbar gültig als Verordnung (PSR) als auch die aufsichtsrechtlichen Leitplanken für die nationalen Gesetzgeber der Mitgliedstaaten (PSD3) vorgeben sollen. Neben Zahlungsdiensten soll die neue PSD3 auch die aufsichtsrechtlichen Anforderungen an Unternehmen regeln, die Geschäfte mit E-Geld machen oder solches emittieren. Bislang waren die entsprechenden Bestimmungen in der zweiten E-Geld-Richtlinie (EMD2) geregelt, die mit Inkrafttreten der PSD3 abgeschafft werden soll. Art. 3 Abs. 4 EMD2 verpflichtet die Mitgliedstaaten dazu, E-Geld-Instituten in ihrem jeweiligen nationalen Aufsichtsrecht die Möglichkeit einzuräumen, E-Geld über natürliche oder juristische Personen zu vertreiben und rückzutauschen, die auch als E-Geld-Agenten bezeichnet werden. Nicht erlaubt ist hingegen die Ausgabe von E-Geld-Einheiten über E-Geld-Agenten. Die Emission der E-Geld-Einheiten muss nach Art 3 Abs. 5 EMD2 zwingend durch die E-Geld-Institute selbst erfolgen. Der deutsche Gesetzgeber hat diese Vorgaben im Zahlungsdiensteaufsichtsgesetz (ZAG) umgesetzt. Nach § 1 Abs. 10 ZAG ist E-Geld-Agent jede natürliche oder juristische Person, die als selbständiger Gewerbetreibender im Namen eines E-Geld-Instituts beim Vertrieb und Rücktausch von E-Geld tätig ist. Unter dem Regime der PSD3 soll es indessen keine E-Geld-Agenten mehr geben. Die Richtlinie sieht das Agenten-Konzept ausschließlich für Zahlungsdienste vor, nicht hingegen für die neu einzuführenden E-Geld-Dienste. Jedoch soll der neue Begriff der Vertriebstelle eingeführt werden.

    Was ist eine Vertriebsstelle nach PSD3?

    Nach Art. 2 Abs. 36 des Richtlinienentwurfs der EU-Kommission (PSD3-E) soll eine Vertriebstelle eine natürliche oder juristische Person sein, die E-Geld im Namen eines Zahlungsinstituts vertreibt oder zurücktauscht. Die Definition erinnert sehr stark an die Definition von E-Geld-Agenten aus der abzulösende EMD2. Soweit ersichtlich liegt der einzige Unterschied zwischen den Definitionen in der Tatsache, dass Vertriebstellen von Zahlungsinstituten und E-Geld-Agenten von E-Geld-Instituten in Anspruch genommen werden können. Da aber unter der PSD3 auch der Begriff des E-Geld-Instituts abgeschafft werden soll und stattdessen Zahlungsinstitute zusätzlich die Erlaubnis beantragen können sollen, E-Geld-Dienste zu erbringen, ist die Bezugnahme auf Zahlungsinstitute in der neuen Definition nicht verwunderlich. Die im Entwurf für die PSD3 vorgesehene Abkehr vom Begriff des E-Geld-Agenten scheint dazu zu dienen, eine klarere begriffliche Abgrenzung zwischen für Zahlungsdienste einsetzbare Agenten und für den Vertrieb und den Rücktausch von E-Geld einsetzbare Vertriebstellen herbeizuführen. Zu beachten ist, dass E-Geld-Dienste im künftigen PSD3-Regime gerade keine Zahlungsdienste, sondern eine eigene Art von regulierten Dienstleistungen darstellen sollen, für deren Erbringung Zahlungsinstitute eine Erlaubnis erhalten können. Darüber hinaus ist zu beachten, dass Vertriebstellen gerade nicht zur Erbringung von E-Geld-Diensten einsetzbar sein sollen, sondern lediglich durch Zahlungsinstitute für den Vertrieb und den Rücktausch von E-Geld unterbeauftragt werden können. In diesem Punkt unterscheiden sich die beiden Konzepte erheblich. Die Einführung des Begriffs der Vertriebstellen hat vor diesem Hintergrund durchaus klarstellende Wirkung.

    Was soll eine E-Geld-Vertriebsstelle machen dürfen?

    Nach Art. 20 Abs. 1 des Entwurfs für die PSD3 sollen Mitgliedstaaten E-Geld-Dienste erbringenden Zahlungsinstituten gestatten, für den Vertrieb und den Rücktausch von E-Geld Vertriebsstellen in Anspruch zu nehmen. Art. 20 Abs. 2 des Entwurfs ist vor diesem Hintergrund mindestens irreführend formuliert, da er anordnet, dass Zahlungsinstitute die in Art. 19 PSD3-E festgelegten Anforderungen an den Einsatz von Zahlungsagenten entsprechend einhalten sollen, wenn sie E-Geld-Dienste über Vertriebsstellen zu erbringen beabsichtigen. Vor dem Hintergrund des eindeutigen Wortlauts der Definition der Vertriebsstelle in Art. 2 Abs. 36 PSD3-E und der klaren Definition von E-Geld-Diensten in Anhang II PSD3-E, die nur die Ausgabe von E-Geld, die Führung von Zahlungskonten für E-Geld-Einheiten und die Übertragung von E-Geld-Einheiten umfassen sollen, nicht aber auch den Vertrieb und den Rücktausch, macht die Vorschrift des Art. 20 Abs. 2 PSD3-E keinen Sinn. Bis zur finalen Fassung der PSD3 sollte Art. 20 Abs.2 des Entwurfs daher in jedem Fall noch einmal überarbeitet werden. Einsetzbar sollen Vertriebsstellen vielmehr ausschließlich für den Vertrieb und den Rücktausch der E-Geld-Einheiten sein. Erlaubnispflichtige E-Geld-Dienste werden sie nicht erbringen dürfen. Insofern wird es in der Sache kaum Unterschiede zwischen den E-Geld-Agenten nach der EMD2 und den Vertriebsstellen im Sinne der PSD3 geben.

    Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

    I.  https://fin-law.de

    E. info@fin-law.de

    Newsletter abonnieren

    This Blog Article as Podcast?

    The Gist of It:

    Presentation

      Kontakt

      info@fin-law.de

      Sep. 29, 2025

      E-Geld-Dienste im Sinne der PSD3 – Was genau soll die neue Tätigkeit umfassen?

      Der Europäische Gesetzgeber arbeitet fleißig an der Neugestaltung des europäischen Zahlungsdiensterechts. Es wird erwartet, dass die finalen Fassungen der neuen Zahlungsdiensteverordnung (PSR) sowie der dritten Zahlungsdiensterichtlinie (PSD3) Ende 2025 oder Anfang 2026 verabschiedet werden können. Eines der wesentlichen Anliegen der vorgeschlagenen Neufassungen ist die Abschaffung der zweiten E-Geld-Richtlinie (EMD2) bei gleichzeitiger Einbeziehung der Vorschriften zum E-Geld in die neue PSD3 und die PSR. Die EU-Kommission hatte im Regime der aktuellen PSD2 und EMD2 festgestellt, dass es in der praktischen Auslegung der Richtlinien durch die Aufsichtsbehörden der Mitgliedsaaten insbesondere bei der Abgrenzung von Zahlungs- und E-Geld-Produkten Unterschiede gab, die von antragstellenden Unternehmen ausgenutzt wurden. Zukünftig sollen deshalb alle aufsichtsrechtlichen und zivilrechtlichen Vorschriften in Bezug auf Zahlungsdienste und E-Geld-Dienste einheitlich durch die PSD3 und die PSR geregelt sein. Den Begriff des E-Geld-Instituts wird es dann nicht mehr geben. Vielmehr sollen Zahlungsinstitute neben der Beantragung einer Zulassung für Zahlungsdienste zusätzlich oder auch ausschließlich eine Zulassung für die Erbringung von E-Geld-Diensten bei der BaFin bzw. der im Einzelfall zuständigen Behörde beantragen können. Doch was genau werden E-Geld-Dienste in diesem Zusammenhang sein?

      E-Geld-Dienste als neue regulierte Tätigkeit im Zahlungsdiensterecht

      Integriert werden soll die aufsichtsrechtliche Behandlung des E-Geld-Geschäfts nach dem aktuellen Entwurf zu PSD3 durch die Einführung des neuen Begriffs der E-Geld-Dienste. Danach sollen E-Geld-Dienste die Ausgabe von E-Geld, die Führung von Zahlungskonten zur Speicherung von E-Geld-Einheiten und den Transfer von E-Geld-Einheiten umfassen. E-Geld-Dienste wären damit nicht nur die originäre Ausgabe von E-Geld, sondern auch nachgelagerte Dienstleistungen im Zusammenhang mit der Speicherung von E-Geld und dem Transfer der E-Geld-Einheiten. Auffällig ist, dass die Definition des aktuellen PSD3-Entwurfs die drei unterschiedlichen Tätigkeiten von E-Geld-Diensten nicht mit einem „oder“ trennt. Auch die Vorschriften des Entwurfs beispielsweise für das erforderliche Anfangskapital, das E-Geld-Dienste erbringende Zahlungsinstitute benötigen sollen, beträgt einheitlich 400.000 Euro ohne Rücksicht darauf, ob E-Geld ausgegeben wird oder lediglich Transferdienstleistungen in Bezug auf – ggfs. nicht selbst ausgegebenes E-Geld – erbracht werden sollen. Weiter wird im Entwurf zur PSD3 für die Berechnung der erforderlichen Eigenmittel unterschieden, ob ein Zahlungsinstitut E-Geld-Dienste anbietet oder nicht. Diejenigen Institute, die ausschließlich E-Geld-Dienste anbieten, sollen stets Methode D anwenden müssen, nach der sich die Eigenmittel des Instituts stets auf mindestens 2% des durchschnittlichen E-Geld-Umlaufs zu belaufen haben. Diese Vorschriften lassen nur den Schluss zu, dass die Erbringung von E-Geld-Diensten nur einheitlich vorliegen kann, mithin beispielsweise das schlichte Angebot einer Speichermöglichkeit für fremdausgegebene E-Geld-Einheiten auf einem Zahlungskonto nicht als E-Geld-Dienst einzuordnen wäre.

      Dienstleistungen in Bezug auf E-Geld-Einheiten ohne Emittenteneigenschaft dennoch nicht unreguliert

      Dienstleistungen von Zahlungsinstituten, die selbst nicht als E-Geld-Emittent agieren, würden dennoch als regulierte Tätigkeit von den neuen Vorschriften nach PSD3 und PSR erfasst. Denn E-Geld-Einheiten sollen nach den neuen Begriffsbestimmungen der PSD3 stets auch als Geld qualifizieren. Damit sind E-Geld-Einheiten ganz generell auch potenzieller Gegenstand von klassischen Zahlungsdiensten. Sofern daher beispielsweise ein Dienstleister anbieten möchte, von einem Dritten ausgegebene E-Geld-Einheiten auf einem Zahlungskonto zu speichern und Transfers dieser Einheiten von und an das Zahlungskonto zu ermöglichen, könnte diese Tätigkeit schlicht das Ein- und Auszahlungsgeschäft im Sinne der Nr. 1 und bzw. oder 2 des Anhangs I zur PSD3 darstellen. Der Anbieter müsste dann für diese Tätigkeit eine Zulassung als Zahlungsinstitut einholen. Eine Zulassung für die Erbringung von E-Geld-Diensten wäre nicht erforderlich. Besonders häufig könnten entsprechende Abgrenzungsfragen zukünftig im Bereich von E-Geld-Token auftreten, die nach Art. 48 Abs. 2 MiCAR auch als E-Geld gelten. Es liegt in der Natur von Token, dass sie nicht ausschließlich vom Emittenten gehalten oder transferiert werden können. Demzufolge liegt es auch sehr nahe, dass Unternehmen beispielsweise Finanztransfergeschäfte oder andere Zahlungsdienste mit ihnen erbringen. In solchen Fällen stellt sich die zusätzlich Frage, ob neben einer BaFin Erlaubnis für Zahlungsdienste auch eine Zulassung als Anbieter von Kryptowerte-Dienstleistungen erforderlich ist.

      Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

      I.  https://fin-law.de

      E. info@fin-law.de

      Newsletter abonnieren

      This Blog Article as Podcast?

      The Gist of It:

      Presentation

        Kontakt

        info@fin-law.de

        Sep. 15, 2025

        Welche Zahlungsdienste bieten Krypto-Verwahrer mit EMT an?

        Die Verwahrung von Kryptowerten ist seit Ende letzten Jahres als Kryptowerte-Dienstleistung in der Markets in Crypto Assets Regulation (MiCAR) geregelt. Anbieter dieser Dienstleistung müssen von der für sie zuständigen Aufsichtsbehörde – in Deutschland ist dies die BaFin – eine Zulassung nach Art. 62 MiCAR einholen, bevor sie für Kunden Kryptowerte verwahren dürfen. Mit einer solchen Zulassung sind Kryptoverwahrer berechtigt, alle Token für Kunden zu verwahren, die als Kryptowerte nach der MiCAR qualifizieren. Das sind neben klassischen Kryptowerten wie Bitcoin und Ether auch die in der Verordnung geregelten Spezialformen von Kryptowerten wie vermögenswertereferenzierte Token (ART) und E-Geld Token (EMT). Beide vorgenannten Arten sog. Stablecoins zeichnen sich dadurch aus, dass sie darauf angelegt sind, eine Wertstabilität durch Bezugnahme auf einen anderen stabilen Wert herbeizuführen. Im Fall von ART kann sich der Referenzwert dabei aus anderen amtlichen Währungen, aus Wertpapieren, anderen Kryptowerten oder aus anderen Gegenständen ergeben. Ist der Bezugswert des Token hingegen eine einzige amtliche Währung wie etwa Euro, US-Dollar oder z.B. der Schweizer Franken, liegt ein EMT vor. Kryptoverwahrer sehen sich bei der Verwahrung von E-Geld Token für Ihre Kunden zusätzlichen aufsichtsrechtlichen Problematiken ausgesetzt, da E-Geld Token nicht nur als Kryptowerte nach der MiCAR einzuordnen sind, sondern auch als E-Geld im Sinne der in der Europäischen Union geltenden zweiten E-Geld-Richtlinie (2009/110/EG). Das hat zur Folge, dass sie auch als Geldbeträge im Sinne der zweiten Zahlungsdiensterichtlinie (PSD2) gelten, was die European Banking Authority EBA jüngst noch einmal bestätigt hatte.

        Kryptoverwahrer benötigen für den geschäftlichen Umgang mit E-Geld Token bald auch Erlaubnis nach ZAG

        Zwar rät die EBA den Aufsichtsbehörden der Mitgliedstaaten in ihrem No-Action-Letter vom 10. Juni 2025 dazu, die Einhaltung der aufsichtsrechtlichen Pflichten nach der PSD2, die in Deutschland im Zahlungsdiensteaufsichtsgesetz (ZAG) umgesetzt sind, erst nach dem 2. März 2026 gegenüber den Marktteilnehmern zu einfordern. Kryptoverwahrer, die ihren Kunden die Verwahrung auch von E-Geld Token anbieten wollen, sollten sich dennoch bereits jetzt für die Zweit nach dem 2. März 2026 in Stellung bringen und sich um die Einholung einer ZAG Erlaubnis kümmern. Die EBA rät den Aufsichtsbehörden an, einige sich für Zahlungsdienstleister ergebende Pflichten zu depriorisieren. Die grundsätzliche zusätzliche Erlaubnispflicht besteht jedoch in jedem Fall. Kryptoverwahrer, die ihren Kunden auch anbieten wollen, EMT auf ihren Wallets zu halten und diese an andere Wallets zu senden bzw. EMT von anderen Wallets zu empfangen, werden dann auch Zahlungsdienste erbringen. Einschlägig sind in diesen Fällen insbesondere die Zahlungsdienste des Einzahlungsgeschäfts (§ 1 Abs. 1 Satz 2 Nr. 1 ZAG) und des Auszahlungsgeschäfts (§ 1 Abs. 1 Satz 2 Nr. 2 ZAG). Auch das Zahlungsgeschäft nach § 1 Abs. 1 Satz 2 Nr. 3 ZAG und das Zahlungsgeschäft mit Kreditgewährung nach § 1 Abs. 1 Satz 2 Nr. 4 ZAG können einschlägig sein, wenn Kryptoverwahrer EMT von Kunden an andere Wallets versenden.

        Welche Alternativen bestehen für Kryptoverwahrer zur eigenen ZAG Erlaubnis?

        Nicht in jedem Fall macht die Beantragung einer eigenen Erlaubnis nach § 10 Abs. 1 ZAG für die Erbringung von Zahlungsdiensten Sinn. Kryptoverwahrer können im Einzelfall etwa Probleme damit haben, dass ihre Geschäftsleiter gegebenenfalls die fachliche Eignung für die Kryptoverwahrung mitbringen, im Zahlungsdienstgeschäft aber eventuell noch ohne fachliche Erfahrungen sind. Es ist nicht unwahrscheinlich, dass die BaFin in entsprechenden Erlaubnisverfahren fordern wird, dass die Geschäftsleitung verändert bzw. um qualifizierte Geschäftsleiter mit ZAG-Erfahrung erweitert wird. In solchen Fällen kann es in Betracht kommen, die zusätzlichen, sich im Zusammenhang mit der Verwahrung von E-Geld Token ergebenden Zahlungsdienste beispielsweise über eine Auslagerungslösung von einem anderen Institut erbringen zu lassen. Eine eigene Erlaubnis muss dann für die Erbringung der Zahlungsdienste nicht eingeholt werden. Möchte der Kryptoverwahrer die Zahlungsdienste selbst seinem Kunden anbieten können, kann auch überlegt werden, ob der Kryptoverwahrer eventuell Zahlungsagent des anderen Zahlungsinstituts werden sollte. Dann kann er als selbstständiger Gewerbetreibender die regulierten Zahlungsdienste im Namen des anderen Instituts ausführen. Seine Handlungen werden dann aufsichtsrechtlich und zivilrechtlich dem Zahlungsinstitut zugerechnet.

        Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

        I.  https://fin-law.de

        E. info@fin-law.de

        Newsletter abonnieren

        This Blog Article as Podcast?

        The Gist of It:

        Presentation

          Kontakt

          info@fin-law.de

          Sep. 08, 2025

          Neue Umsetzungshinweise der BaFin zum vereinfachte IKT-Risikomanagementrahmen

          Die EU-Verordnung über die digitale operative Resilienz im Finanzsektor (DORA) gilt bereits seit dem 17. Januar 2025 und ist für die von ihr regulierten Unternehmen umzusetzen. Auch noch über 7 Monate nach dem Inkrafttreten sind längst nicht alle Rechtsfragen, die sich aus der DORA ergeben, geklärt. Die zuständige Behörde für die meisten deutschen Finanzunternehmen ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Der Begriff des Finanzunternehmens im Sinne der DORA umfasst dabei einen umfangreichen Katalog verschiedener Unternehmen der Finanzbranche, zum Beispiel Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Versicherungs- und Rückversicherungsunternehmen, Datenbereitstellungsdienste und viele weitere. Damit ist die DORA der zentrale Rechtsakt für die Stärkung der digitalen operativen Resilienz des Finanzsektors beim Einsatz von Informations- und Kommunikationstechnologien (IKT). Eine der Grundfesten der DORA ist dabei die Verpflichtung der Finanzunternehmen, einen IKT-Risikomanagementrahmen aufzubauen, aufrechtzuerhalten und kontinuierlich zu verbessern. Genauso vielfältig wie die Anzahl der regulierten Unternehmen, die als Finanzunternehmen in Betracht kommen, können dabei auch die Risiken sein, denen ein Finanzunternehmen im Einzelfall ausgesetzt ist. Daher setzt die DORA auf den Grundsatz der Verhältnismäßigkeit. Dieser ist in Art. 4 DORA ausdrücklich verankert und fordert unter anderem, dass bei der Erfüllung der Anforderungen zum IKT-Risikomanagement Größe und Gesamtrisikoprofil des Finanzunternehmens sowie Art, Umfang und Komplexität der Dienstleistungen, Tätigkeiten und Geschäfte Rechnung zu tragen ist. Der Verhältnismäßigkeitsgrundsatz zeigt sich weiter in der Unterscheidung zwischen dem grundsätzlich geltenden IKT-Risikomanagementrahmen und dem vereinfachten Risikomanagementrahmen, der nur für bestimmte, meist kleinere Finanzunternehmen gilt. Zum in Art. 16 DORA beschriebenen vereinfachten IKT-Risikomanagementrahmen hat die BaFin nun in einer neuen Aufsichtsmitteilung vom 21. August 2025 einige hilfreiche Hinweise gegeben.

          Für welche Finanzunternehmen gilt der vereinfachte IKT-Risikomanagementrahmen?

          Auf welche Unternehmen der vereinfachte IKT-Risikomanagementrahmen in Deutschland anzuwenden ist, ergibt sich zum einen direkt aus der DORA und zum anderen aus den nationalen Gesetzen. Nach Art. 16 DORA sind in Deutschland kleine, nicht verflochtene Wertpapierfirmen und kleine Einrichtungen der betrieblichen Altersversorgung erfasst. Darüber hinaus ist der vereinfachte IKT-Risikomanagementrahmen auf nationaler Ebene durch das Gesetz über die Digitalisierung des Finanzmarktes (Finanzmarktdigitalisierungsgesetz – FinmadiG) auf weitere Finanzunternehmen des Banken- und Versicherungssektors ausgedehnt worden. So werden durch eine Neufassung des Versicherungsaufsichtsgesetzes (§ 293 Abs. 5 VAG) nun auch bestimmte Versicherungsholdings den Anforderungen des Artikels 16 DORA unterstellt. Ferner verpflichtet eine Anpassung im Kreditwesengesetz (§ 1a Abs. 2a KWG) alle Institute, die nicht bereits unter DORA fallen, die Verordnung ab dem 1. Januar 2027 anzuwenden. Für diese letztgenannten Institute, zu denen beispielsweise Bürgschaftsbanken sowie Finanzdienstleistungsinstitute wie Leasing- und Factoringunternehmen und Kryptowertpapierregisterführer zählen, gelten bis Ende 2026 weiterhin die BAIT.

          Welche Hinweise hat die BaFin konkret gegeben und worauf müssen Finanzunternehmen weiter achten?

          Die Aufsichtsmitteilung der BaFin umfasst eine Übersicht über die Dokumentationsanforderungen an Finanzunternehmen gemäß Art. 16 DORA. Aus dieser Übersicht lässt sich entnehmen, welche Dokumentationen, Sicherheitsmaßnahmen, Verfahren, Pläne, Prozesse und Leitlinien nach Auffassung der BaFin notwendig sind, um den Anforderungen von Art. 16 DORA und den ergänzenden technischen Regulierungsstandards (RTS) zur Festlegung der Tools, Methoden, Prozesse und Richtlinien für das IKT-Risikomanagement sowie des vereinfachten IKT-Risikomanagementrahmens zu genügen. Die BaFin betont in diesem Zusammenhang, dass es sich um eine nicht verpflichtende Hilfestellung handelt und dass die Übersicht keine verbindliche Auslegung der BaFin darstellt. Dennoch spiegelt die Übersicht im Ergebnis wider, wie die BaFin als zuständige Aufsichtsbehörde die DORA-Verordnung auslegt, und gibt den betroffenen Finanzunternehmen damit einen konkreten Fahrplan auf dem Weg zur DORA-Compliance. Die Übersicht lässt jedoch offen, wie die aufgeführten Dokumente inhaltlich auszugestalten sind. Dies ist auch sinnvoll, da die Anforderungen in jedem Einzelfall nach dem Grundsatz der Verhältnismäßigkeit zu bestimmen sind. Außerdem ist es für Finanzunternehmen, auch wenn sie unter den vereinfachten IKT-Risikomanagementrahmen fallen, wichtig, im Blick zu behalten, dass es trotz der Vereinfachungen durch den IKT-Risikomanagementrahmen keine Erleichterungen bei den sonstigen Anforderungen der DORA gibt. So müssen die betroffenen Unternehmen beispielsweise dennoch die in den Artikeln 28 bis 30 DORA festgelegten Prinzipien für ein solides Management des IKT-Drittparteienrisikos einhalten.

          FIN LAW

          I. https://fin-law.de

          E. info@fin-law.de

          Newsletter abonnieren

          This Blog Article as Podcast?

            Kontakt

            info@fin-law.de

            Aug. 25, 2025

            Nutzen die Aufsichtsbehörden bald KI-Tools in der Geldwäscheaufsicht?

            Der Einsatz von innovativen Technologien wie Natural Language Processing (NLP) und KI verspricht eine bisher unerreichte Effizienzsteigerung für Unternehmen. Es gibt eine ganze Flut neuer KI-Unternehmen, die sich die neu eröffneten Möglichkeiten zunutze machen und neue Geschäftsmodelle entwickeln. Noch unklar ist, ob sich die unter massiven Investitionen stets weiterentwickelnden Technologien dem Hype gerecht werden können oder ob sich eine Blase bildet, die wie die „Dotcom-Blase“ zu platzen droht. Im Moment scheint jedoch festzustehen, dass KI gekommen ist, um zu bleiben, und nicht länger ignoriert werden kann. Dies scheinen auch die europäischen Aufsichtsbehörden begriffen zu haben, wie ein Bericht der European Banking Authority (EBA) über den Einsatz supervisory technology tools (sog. SupTech) in der geldwäscherechtlichen Aufsicht durch die nationalen Aufsichtsbehörden zeigt. Doch wie weit fortgeschritten ist die SupTech-Revolution in den nationalen Aufsichtsbehörden bisher, und welche Folgen ergeben sich für beaufsichtigte Unternehmen?

            AMLA und der Einsatz von SupTech

            Mit dem neuen Paket zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung der EU vom 19. Juni 2024 wurde unter anderem eine neue europäische Aufsichtsbehörde ins Leben gerufen, die die nationalen Aufsichtsbehörden unterstützen soll, indem sie nationale Geldwäschebehörden koordiniert und eine einheitliche Anwendung der EU-Gesetze sicherstellt. Die Anti-Geldwäschebehörde (AMLA) hat ihre Tätigkeit am 1. Juli 2025 aufgenommen. Die EBA hat unter anderem die Gründung der AMLA und die damit verbundene zunehmende Kooperation der Aufsichtsbehörden zum Anlass genommen, zu untersuchen, wie die nationalen Behörden SupTech bereits jetzt einsetzen. Das Ergebnis der Untersuchung hat sie in einem Report vom 12. August 2025 zusammengefasst. Dieser bietet einen guten Überblick über die aktuellen Entwicklungen. Die Nutzung von SupTech-Tools in der Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AML/CFT-Aufsicht) ist in der EU noch in den Anfängen. Viele Behörden befinden sich in der Erkundungs- oder frühen Umsetzungsphase. Es werden aber auch große Chancen ausgemalt. Die zunehmende Einführung von SupTech signalisiert einen Wandel hin zu effizienteren, datengetriebenen Ansätzen zur Bekämpfung von Finanzkriminalität. Genutzte Technologien umfassen z. B. KI, Blockchain-Analyse und die Generierung synthetischer Daten, um Risikobewertungen zu verbessern und die operationelle Effizienz zu steigern. Die SupTech-Tools sollen die Fähigkeit verbessern, große Datenmengen zu analysieren und umfassende Einblicke in die Aktivitäten überwachter Unternehmen zu gewinnen, Prozesse automatisieren, Ressourcen optimieren und die Zusammenarbeit zwischen den Behörden steigern. Es bestehen jedoch noch Herausforderungen wie etwa schlechte Datenqualität und -governance, die die effektive Nutzung behindern, begrenzte Budgets und erforderliche technologische Anpassungen, fehlende Klarheit bei den regulatorischen Rahmenbedingungen und Widerstand gegen Veränderungen sowie mangelnde digitale Kompetenz bei Mitarbeitenden der Behörden.

            FinTech-Unternehmen, Krypto-Assets und KI-gestützter Betrug im Visier der Aufsicht

            Trotz der aufgezeigten Umsetzungsschwierigkeiten scheint es unausweichlich zu sein, dass auch die Aufsichtsbehörden neue Technologien einsetzen und dadurch die Aufsicht über betroffene Unternehmen noch effizienter und umfassender ausüben werden. In der Folge sollten Unternehmen noch mehr als bisher darauf bedacht sein, ihren geldwäscherechtlichen Compliance-Anforderungen gerecht zu werden. Der Fokus der Aufsicht scheint hierbei auch zunehmend auf FinTech-Unternehmen zu liegen. So wird in der Stellungnahme der EBA zu Geldwäsche- und Terrorismusfinanzierungsrisiken vom 28. Juli 2025 festgehalten, dass 70 % der zuständigen Behörden in der EU hohe oder steigende ML/TF-Risiken im FinTech-Sektor berichten. Der Marktanteil von FinTech-Unternehmen wächst rapide, und verspricht, das Kundenerlebnis durch den Zugang zu Innovationen im Bereich der Finanzdienstleistungen zu verbessern. Die Aufsichtsbehörden befürchten, dass dieses rasante Wachstum dazu führt, dass FinTech-Unternehmen Innovation und Kundengewinnung über Compliance stellen, was zu unzureichenden AML/CFT-Kontrollen führt. Für FinTech-Unternehmen bedeutet dies, dass sie sich besonders sorgfältig mit dem Thema Geldwäsche-Compliance auseinandersetzen müssen. Auch wenn dies eine hohe bürokratische Belastung gerade für kleinere Unternehmen darstellt, müssen die gesetzlichen Pflichten unbedingt eingehalten werden.

            FIN LAW

            I. https://fin-law.de

            E. info@fin-law.de

            Newsletter abonnieren

            This Blog Article as Podcast?

            The Gist of It:

            Presentation

              Kontakt

              info@fin-law.de

              Aug. 18, 2025

              Eignen sich Stablecoins als Zahlungsmittel in begrenzten Händlernetzen?

              Stablecoins sind bereits seit Sommer 2024 über die Vorschriften der Markets in Crypto Assets Regulation (MiCAR) spezifisch regulierte Kryptowerte. Sie können entweder als E-Geld-Token (EMT) oder als vermögenswertereferenzierte Token (ART) begeben werden. Insbesondere die Ausgabe von EMT oder ART als Emittent wird von der MiCAR streng und granular reglementiert. So ist die Ausgabe von EMT ausschließlich in der Europäischen Union zugelassenen E-Geld-Instituten oder Kreditinstituten vorbehalten. Die Ausgabe von ART darf grundsätzlich nur durch dafür nach den Art. 16 ff. MiCAR explizit als ART-Emittent zugelassene Unternehmen oder durch Kreditinstitute erfolgen. Doch nicht nur die Ausgabe von EMT oder ART kann mit Erlaubnispflichten verbunden sein. Werden EMT oder ART als Zahlungsmittel im Wirtschaftsleben akzeptiert, können transaktionsunterstützende Dienstleistungen gegebenenfalls zulassungspflichtige Tätigkeiten darstellen, die nicht ohne eine zuvor eingeholte Erlaubnis der zuständigen Aufsichtsbehörde – wie in Deutschland der BaFin – erbracht werden dürfen. Dabei spielt nicht nur die MiCAR eine Rolle, in der Kryptowerte-Dienstleistungen als zulassungspflichtige Tätigkeiten reguliert werden. Auch die Vorschriften des auf den Vorgaben der zweiten Zahlungsdiensterichtlinie (PSD2) beruhenden deutschen Zahlungsdiensteaufsichtsgesetzes (ZAG) können im Einzelfall zu berücksichtigen sein.

              E-Geld-Token sind sowohl Kryptowert als auch E-Geld

              Für E-Geld-Token sieht Art. 48 Abs. 2 MiCAR die Besonderheit vor, dass sie als E-Geld gelten. Zugleich werden sie jedoch auch in Art. 3 Abs. 1 Nr. 7 MiCAR als Kryptowerte definiert, deren Wertstabilität unter Bezugnahme auf den Wert einer amtlichen Währung gewahrt werden soll. EMT haben damit aufsichtsrechtlich einen hybriden Status inne. Während sie als Sonderform eines Kryptowertes den Vorschriften der MiCAR unterfallen, stellen sie als E-Geld i.S.v. Art. 2 Abs. 2 der zweiten E-Geldrichtlinie (EMD2) bzw. § 1 Abs. 2 Satz 3 ZAG zugleich eine Form von Geldbeträgen nach dem Verständnis von Art. 4 Nr. 25 PSD2 dar und können damit Gegenstand von erlaubnispflichtigen Zahlungsdiensten sein. Diesbezüglich hatte die European Banking Authority (EBA) am 10. Juni 2025 einen „No-Action-Letter“ veröffentlicht, in dem sie nationalen Aufsichtsbehörden in der Europäischen Union dazu riet, Compliance mit den Vorschriften der PSD2 in Bezug auf die Erbringung von Zahlungsdiensten mit EMT gegenüber betroffenen Unternehmen erst ab dem 2. März 2026 einzufordern. Aktuell müssen daher Dienstleister, die Kunden etwa eine Verwahrmöglichkeit für oder transaktionsunterstützende Dienstleistungen im Zusammenhang mit EMT anbieten über eine Zulassung als Kryptowerte-Dienstleister (CASP) nach Art. 59 ff. MiCAR verfügen. Die Bereichsausnahme für begrenzte Händlernetze, für die ausschließliche Nutzung in geschlossenen Geschäftsräumen oder für sehr begrenzte Dienstleistungs- oder Warenspektren sieht die MiCAR nicht vor. Insofern gibt es in solchen Konstellationen auch keine Befreiung von der grundsätzlichen Zulassungspflicht als CASP. Für die Zeit nach dem 2. März 2026 kann in unter die Ausnahmetatbestände für begrenzte Händlernetze fallende Geschäftsmodelle jedoch die Möglichkeit bestehen, durch Inanspruchnahme dieser Ausnahmeregelungen eine zusätzliche Erlaubnispflicht nach § 10 Abs. 1 ZAG zu vermeiden.

              ART sind reine Kryptowerte und unterfallen nicht dem ZAG

              Für vermögenswertereferenzierte Token stellt sich die Situation insoweit anders dar, als dass sie zwar nach Art. 3 Abs. 1 Nr. 6 MiCAR als Kryptowerte qualifizieren, die MiCAR jedoch keine Vorschrift enthält, die ART zugleich als Geldbeträge im Sinne der PSD2 einordnet. ART sind deshalb nicht dem Regulierungsregime des ZAG unterworfen. Zwar wird in Erwägungsgrund 62 MiCAR beispielsweise erwähnt, dass ART gegebenenfalls eine Bedrohung für das reibungslose Funktionieren von Zahlungssystemen, die geldpolitischen Transmission oder die Währungshoheit darstellen können, was sie zumindest in den Bereich von mit Geldbeträgen vergleichbaren Zahlungsmitteln rückt. Die EBA hat in ihrem „No-Action-Letter“ vom 10. Juni 2025 allerdings ebenfalls klargestellt, dass sie der Meinung ist, dass ART nicht als Geldbeträge im Sinne der PSD2 einzuordnen sind. Vor diesem Hintergrund kann nach aktueller Rechtslage davon ausgegangen werden, dass auf die Verwahrung von und die Transaktionsunterstützung im Zusammenhang mit ART allein die Vorschriften der MiCAR Anwendung finden. Entsprechende Dienstleister können sich deshalb nicht die aus dem Zahlungsdiensterecht stammenden Ausnahmetatbestände für geschlossene Händlernetze oder sehr begrenzte Waren- oder Dienstleistungsangebote zu Nutze machen. Sie haben entweder eine Zulassung nach der MiCAR als CASP einzuholen oder die in Art. 2 MiCAR geregelten Ausnahmetatbestände für ihr Geschäftsmodell bemühen, sofern dies im Einzelfall in Betracht kommen kann.

              Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

              I.  https://fin-law.de

              E. info@fin-law.de

              Newsletter abonnieren

              This Blog Article as Podcast?

              The Gist of It:

              Presentation

                Kontakt

                info@fin-law.de

                Aug. 11, 2025

                KI-Compliance im Unternehmen (Teil III) – Anwendungsbereiche und Unterschiede zwischen DSGVO und KI-VO

                In der rasanten Entwicklung der künstlichen Intelligenz stehen Unternehmen in der Europäischen Union vor einer komplexen regulatorischen Landschaft, die maßgeblich von zwei Säulen geprägt wird: der Datenschutz-Grundverordnung (DSGVO) und der neuen Verordnung über Künstliche Intelligenz (KI-VO). Während die DSGVO bereits seit Jahren den Umgang mit personenbezogenen Daten regelt und sich als Standard für den Datenschutz etabliert hat, tritt die KI-VO nun als erste umfassende Regulierung speziell für KI-Systeme auf den Plan. Auf den ersten Blick scheinen beide Regelwerke ähnliche Ziele zu verfolgen, wie den Schutz von Grundrechten und die Schaffung von Vertrauen in neue Technologien. Doch wie verhalten sich diese beiden umfangreichen Gesetze zueinander? Diese Frage wird insbesondere dann relevant, wenn KI-Systeme auf Basis personenbezogener Daten trainiert werden oder agieren. Personenbezogene Daten sind häufig der „Treibstoff“ von KI-Systemen. Diese doppelte Regulierung wirft entscheidende Fragen auf: Reicht die Einhaltung der einen Verordnung aus, oder entstehen hier neue, sich überschneidende Pflichten, die zu teuren Fallstricken führen können? Wenn Unternehmen auf den Einsatz von KI setzen wollen, sollten sie sich zunächst Klarheit über die Unterschiede und Gemeinsamkeiten von DSGVO und KI-VO verschaffen.

                Anwendungsbereiche von DSGVO und KI-VO?

                Die DSGVO konzentriert sich auf die Verarbeitung personenbezogener Daten. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Eine Verarbeitung ist somit so gut wie jeder Umgang mit den personenbezogenen Daten, von Auslesen über Speichern und Übermitteln bis hin zur Löschung. Die DSGVO ist technologieneutral konzipiert, was bedeutet, dass ihre Bestimmungen unabhängig von der verwendeten Technologie gelten, solange personenbezogene Daten verarbeitet werden. Dagegen reguliert die KI-VO primär die KI-Systeme und KI-Modelle selbst. Ein KI-System wird definiert als ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können (Art. 3 Nr. 1 KI-VO). Was ein KI-Modell ist, wird von der KI-VO nicht direkt definiert. Aus Erwägungsgrund 97 der Verordnung ergibt sich allerdings das KI-Modelle zentrale Bestandteile eines KI-Systems sind, die durch zusätzliche Komponenten wie eine Nutzerschnittstelle zu einem KI-System werden. Das KI-Modell ist demnach vereinfacht ausgedrückt das neuronale Netz und damit der Kern des KI Systems.

                Unterschiede und Gemeinsamkeiten

                Das Hauptziel der DSGVO ist der Schutz der Grundrechte natürlicher Personen vor Risiken, die sich aus einer Datenverarbeitung ergeben können. Die DSGVO verpflichtet Datenverantwortliche, sowohl technische als auch organisatorische Maßnahmen zu ergreifen, um den Risiken für die Betroffenen zu begegnen (Art. 25 und Art. 32 DSGVO). Personenbezogene Daten dürfen nur unter Einhaltung der von der DSGVO festgelegten Grundsätze für die Verarbeitung verarbeitet werden. Der Verantwortliche ist den Betroffenen hierbei Rechenschaft schuldig (Art. 5 Abs. 2 DSGVO). Die Rechtmäßigkeit für eine Verarbeitung muss hierbei in jedem Einzelfall geprüft werden. Im Fall der Verwendung neuer Technologien, unter die KI zweifelsohne fällt ist hierbei auch an eine gut dokumentierte Datenschutz-Folgenabschätzung zu denken (Art. 35 DSGVO). Die KI-VO hat zum Ziel, dass KI vertrauenswürdig und sicher ist und im Einklang mit den Grundrechten entwickelt und verwendet wird. Die KI-VO ist dabei in erster Linie Produktsicherheitsrecht, das einheitliche Regeln für das Inverkehrbringen, die Inbetriebnahme oder die Nutzung von KI-Systemen und KI-Modellen innerhalb der EU festlegt. In der Umsetzung setzt die KI-VO vor allem auf eine Einteilung von KI-Systemen und KI-Modellen in Bestimmte Risikoklassen, die unterschiedlichen Rechtsrahmen unterworfen werden. Ein Risiko definiert die KI-VO als die Kombination aus der Wahrscheinlichkeit des Auftretens eines Schadens und der Schwere dieses Schadens (Art. 3 Nr. 2 KI-VO). Den von KI ausgehenden Risiken beregnet die KI-VO, indem spezifische Regeln für KI-Technologien und deren Anwendung festlegt. Obwohl Die Schwerpunkte von DSGVO und KI-VO unterschiedlich sind, sind sie in Bereichen, in denen KI-Systeme personenbezogene Daten verarbeiten, eng miteinander verknüpft. Beide Gesetze haben die Risikominimierung zum Ziel. Die KI-VO ergänzt die DSGVO, indem spezifische Risiken von KI-Technologien adressiert werden. Auch wenn die Einhaltung der KI-VO auch dazu beitragen kann, den Anforderungen der DSGVO gerecht zu werden, ist KI-VO-Compliance allein hierfür regelmäßig nicht ausreichend.

                FIN LAW

                I. https://fin-law.de

                E. info@fin-law.de

                Newsletter abonnieren

                This Blog Article as Podcast?

                The Gist of It:

                Presentation

                  Kontakt

                  info@fin-law.de

                  Juni 23, 2025

                  Der Kryptoverwahrvertrag nach MiCAR – Was müssen Kryptoverwahrer mit ihren Kunden zwingend vereinbaren?

                  Die Verwahrung und Verwaltung von Kryptowerten für andere ist nach Art. 3 Abs. 1 Nr. 16 lit. a) MiCAR und Art. 3 Abs. 1 Nr. 17 MiCAR eine regulierte Kryptowerte-Dienstleistung. Sie darf deshalb ausschließlich von Unternehmen angeboten werden, die über eine Zulassung als Kryptowerte-Dienstleister nach Art. 59 MiCAR verfügen. Neben den üblichen strengen Voraussetzungen, die von den nach MiCAR regulierten Unternehmen in der Europäischen Union erfüllt werden müssen, wie beispielsweise ausreichendes regulatorisches Anfangskapital, zuverlässige und fachlich geeignete Geschäftsleiter, eine ordentliche Geschäftsorganisation unter anderem im Hinblick auf Risikomanagement, IT-Sicherheit und Geldwäscheprävention, müssen Kryptoverwahrer zusätzlich spezifische aufsichtliche Compliance-Pflichten erfüllen. Eine dieser besonderen Anforderungen an Kryptoverwahrer liegt in der Pflicht zum Abschluss eines Verwahrvertrags mit den Verwahrkunden, in dem die nach Art. 75 Abs. 1 MiCAR vorgeschriebenen Mindestinhalte vereinbart sind. Danach müssen MiCAR-konforme Verwahrvereinbarungen mindestens Angaben über die Identität der Vertragspartner enthalten, eine Beschreibung der Art der angebotenen Kryptodienstleistung, Angaben zur Verwahrstrategie, zu den genutzten Kommunikationsmitteln und dazu, wie Kunden sich gegenüber dem Kryptoverwahrer authentifizieren, zu den verwendeten Sicherheitssystemen, den Gebühren und Kosten sowie zum anwendbaren Recht.

                  Was genau muss ein Kryptoverwahrvertrag im Hinblick auf die Verwahrstrategie enthalten?

                  Nicht konkret ordnet die MiCAR an, was genau Kryptoverwahrer mit ihren Verwahrkunden hinsichtlich der Verwahrstrategie vereinbaren müssen. Die Entwicklung und Umsetzung einer Verwahrstrategie ist zunächst eine aufsichtsrechtliche Pflicht, deren Erfüllung Kryptoverwahrer gegenüber den sie beaufsichtigenden Aufsichtsbehörden nachweisen müssen. Der die Mindestanforderungen an Verwahrverträge regelnde Art. 75 Abs. 1 MiCAR ordnet insoweit lediglich an, dass die Verwahrstrategie Mindestinhalt eines Kryptoverwahrvertrags ist. Konkretisiert wird die Vorschrift indessen durch Art. 75 Abs. 3 MiCAR, in dem ein Anspruch von Verwahrkunden gegenüber ihren Kryptoverwahrern auf Übermittlung einer Zusammenfassung der Verwahrstrategie im elektronischen Format vorgesehen ist. Um diesen Anspruch bedienen zu können, werden Kryptoverwahrer ein elektronisches Dokument vorhalten müssen, in dem die Verwahrstrategie zusammengefasst ist. Die tatsächliche Vereinbarung der Verwahrstrategie mit dem Kunden oder die Anfügung der vollständigen Verwahrstrategie etwa als Anlage zum Verwahrvertrag erscheint unsinnig, zumal bei jeder Änderung der Strategie eine Neuverhandlung bzw. ein Neuabschluss des Kryptoverwahrvertrags erforderlich wäre. Das kann nicht im Interesse des Verordnungsgebers der MiCAR gelegen haben. Zu beachten ist zudem, dass die Verwahrstrategie als Strategiedokument keine konkreten technischen Umsetzungsmaßnahmen oder Namen von Mitarbeitern oder eventuell einbezogenen Drittdienstleistern enthalten sollte. Eine Strategie formuliert generell Ziele, Zwecke und Wege zu deren Erreichung.

                  Welche Angaben zu Sicherheitssystemen müssen vereinbart werden?

                  Art. 75 Abs.1 lit. e) MiCAR fordert, dass in Kryptoverwahrverträgen eine Beschreibung der vom Verwahrer verwendeten Sicherheitssysteme enthalten sein muss. Insoweit liegt es eher fern, von einer Vereinbarung zu sprechen, da Kryptoverwahrer den Verwahrkunden in diesem Zusammenhang kaum Verhandlungsspielraum werden einräumen können. Erforderlich ist diesbezüglich die Aufnahme von Ausführungen zu den verwendeten Technologien für die Verwahrung der Privaten Schlüssel, Angaben zu etwaig durchgeführten Schwachstellentests und Sicherheitsaudits, den bereitgestellten Authenifizierungsmechanismen für Kunden und sonstigen vom Verwahrer genutzten Sicherheitsvorkehrungen, um das Risiko des Verlusts der Kryptowerte der Kunden bzw. der zugehörigen privaten Schlüssel zu minimieren. Ebenso können Angaben dazu gemacht werden, wie die Kundenkryptowerte von den eigenen Beständen in Kryptowerten oder Geldern des Kryptoverwahrinstituts getrennt werden und insolvenzfest verwahrt werden. Auch hier wird nicht erforderlich sein, beispielsweise konkrete Unterverwahrer oder Banken zu benennen, die zur Segregierung von Vermögenswerten der Kunden eingeschaltet werden. Eine Beschreibung der konkreten Maßnahmen, die der Kryptoverwahrer zur Erhöhung der Sicherheit für die Kunden umsetzt, wird jedenfalls für die Zwecke der Kryptoverwahrvereinbarung ausreichend sein.

                  Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

                  I. https://fin-law.de

                  E. info@fin-law.de

                  Newsletter abonnieren

                  This Blog Article as Podcast?

                  The Gist of It:

                  Presentation

                    Kontakt

                    info@fin-law.de

                    Juni 10, 2025

                    Token Sale an private Erwerber – Kann der Emittent das anwendbare Recht für die Token Terms frei wählen?

                    Die Durchführung von Token Sales ist in der Europäischen Union seit Geltung der Verordnung über Märkte in Kryptowerten (MiCAR) ein streng reguliertes Unterfangen. Emittenten müssen vor Beginn des Token Sales ein ausführliches Kryptowerte-Whitepaper erstellen und veröffentlichen. Zudem müssen sie aufsichtsrechtliche Vorgaben in Bezug auf die Art und Weise der Vermarktung der Kryptowerte, ihren Umgang mit Interessenkonflikten und die Sicherheit der von ihnen genutzten Systeme und Protokolle erfüllen. Handelt es sich bei den vom Emittenten angebotenen Kryptowerten um Asset-referenced Token (ART) oder E-Geld Token (EMT), kommen weitere aufsichtsrechtliche Pflichten hinzu. In der Ausgestaltung der den anzubietenden Kryptowerten zugrundeliegenden Token Terms sind die Emittenten demgegenüber einigermaßen frei. Über Token Terms kann die Inhaberschaft von Kryptowerten mit den unterschiedlichsten Rechten verbunden werden. Sie können als Utility Token ihren Inhabern Zugangsrechte in Bezug auf Waren oder Dienstleistungen des Emittenten vermitteln, Zugriff auf Informationen, Abstimmungs- oder Wahlrechte verkörpern, im Fall von ART oder EMT Rücktauschrechte in die zugrundeliegende Fiatwährung tokenisieren oder mit sonstigen Rechten verknüpft werden. Zwar sieht die MiCAR für bestimmte Arten von Kryptowerten grundlegende Anforderungen an die zugrundeliegenden Verträge vor. Die konkreten Rechte und Pflichten von Tokeninhaber und Emittent können aber nach dem jeweils anwendbaren nationalen Privatrecht vereinbart werden. Doch gibt es für den Emittenten zu beachtende Grenzen bei der Festlegung des auf die Token Terms anwendbaren Privatrechts?

                    Grundsätzlich besteht freie Rechtswahl nach Art. 6 der Rom-I Verordnung

                    Im Ausgangspunkt gilt auch für die Erstellung von Token Terms der sich aus Art. 3 der Rom-I Verordnung ergebende Grundsatz der freien Rechtswahl. Danach können Emittenten von Kryptowerten bei der Ausgestaltung ihrer Token Terms frei entscheiden, welches Recht auf den Vertrag mit den Erwerbern von Kryptowerten Anwendung finden soll. Im Fall des Angebots von Kryptowerten an private Erwerber gilt dieser Grundsatz allerdings nur eingeschränkt. Denn nach Art. 6 Abs. 2 Rom-I Verordnung darf eine Rechtswahl nach Art. 3 Rom-I Verordnung nicht dazu führen, dass ein Verbraucher schlechtere Rechte hat, als wenn das Recht seines Heimatstaates bzw. des Staates, in dem er sich gewöhnlicherweise aufhält, anwendbar wäre. Mit der Vorschrift soll sichergestellt werden, dass Verbraucher sich in der Europäischen Union stets darauf verlassen können, dass Ihnen die Verbraucherschutzrechte zustehen, die sie aus ihrem Alltag in ihrem gewöhnlichen Aufenthaltsstaat kennen. Im Bereich von Token Sales, die sich an private Erwerber richten, würde dies zur Folge haben, dass private Erwerber im Rahmen eines Token Sales eventuell unterschiedliche Verbraucherrechte gegenüber dem Emittenten geltend machen könnten, je nachdem, in welchem Mitgliedstaat sie ihren gewöhnlichen Aufenthalt haben. Dieses Ergebnis wäre unpraktikabel und würde dem Gedanken der Gleichbehandlung aller Erwerber einer Gesamtemission zuwiderlaufen. In diesem Zusammenhang stellt sich die Frage, ob die Rom-I Verordnung für Token Sales für private Erwerber eine anwendbare Ausnahmevorschrift vorsieht.

                    Bei öffentlichen Angeboten von Finanzinstrumenten gilt das Verbraucherschutzprivileg des Art. 6 Abs. 2 Rom-I Verordnung nicht

                    Es stellt sich die Frage, ob der Ausnahmetatbestand des Art. 6 Abs. 4 lit. d) Rom-I Verordnung auch auf Kryptowerte und Vertragsbedingungen zur Ausgabe und zum öffentlichen Angebot von Kryptowerten Anwendung finden kann. Die Vorschrift bezieht sich ihrem Wortlaut nach ausschließlich auf Finanzinstrumente, die im Recht der EU regelmäßig nur Instrumente im Sinne von Art. 4 Nr. 15 der EU-Verordnung über Märkte in Finanzinstrumenten (MiFID2) erfasst. Die Ausnahme gilt also insbesondere für übertragbare Wertpapiere, Anteile an Investmentvermögen, Derivate oder ähnliche Produkte. Kryptowerte sind nach dem in Art. 2 Abs. 4 lit. a) MiCAR ausdrücklich angeordneten Alternativverhältnis von MiCAR und MiFID2 gerade keine Finanzinstrumente. Jedoch wird man mit guten Argumenten eine analoge Anwendung der Ausnahmevorschrift des Art. 6 Abs. 4 Rom-I Verordnung vertreten können, denn die Interessenlage von Emittenten und Erwerbern ist im Fall von Token Sales einheitlich ausgestalteter Kryptowerte vergleichbar. Der europäische Verordnungsgeber scheint das Problem der verbraucherschutzrechtlichen Privilegierung von Token-Sale-Teilnehmern mit Verbrauchereigenschaft bei Einführung der MiCAR lediglich übersehen zu haben, so dass es sich um eine planwidrige Regelungslücke handeln dürfte. Eine Rückausnahme sieht Art. 6 Abs. 4 indes für Verträge über Finanzdienstleistungen vor. Dies ist sinnvoll, da sich Finanzdienstleistungen lediglich auf ein Finanzinstrument beziehen, nicht jedoch die konkreten Rechte und Pflichten aus ihm festlegen. Da auch diesbezüglich eine Vergleichbarkeit mit dem Bereich der Kryptowerte bejaht werden kann, sollte auch die Rückausnahme für nachgelagerte Dienstleistungen – hier dann Kryptowerte-Dienstlistungen im Sinne von Art. 3 Abs. 1 Nr. 16 MiCAR – analog angewandt werden.

                    Rechtsanwalt Lutz Auffenberg, LL.M. (London)

                    I.  https://fin-law.de

                    E. info@fin-law.de

                    Newsletter abonnieren

                    This Blog Article as Podcast?

                      Kontakt

                      info@fin-law.de

                      Juni 02, 2025

                      KI-Compliance im Unternehmen (Teil II) – Wann fällt ein KI-Modell in den Anwendungsbereich der DSGVO?

                      Die Datenschutzgrundverordnung (DSGVO) wurde bewusst technologieneutral verfasst, es verwundert daher nicht, dass sich die langen Arme der DSGVO auch tief in Prozesse rund um KI erstrecken. Dies drängt sich gewissermaßen auf, denn für die Entwicklung von Large Language Models (LLMs) werden immer größer werdende Datensätze verarbeitet. Die Entwicklung eines KI-Systems kann von der Entwicklungs- bis zur Einsatzphase zweifellos eine Reihe datenschutzrechtlich relevanter Tätigkeiten des Verantwortlichen beinhalten. Herzstück eines jeden KI-Systems ist das zugrundeliegende KI-Modell, das neuronale Netzwerk, das mittels Machine Learning entwickelt wird. Hierzu müssen Trainingsdaten gesammelt und aufbereitet werden und das KI-Modell muss schließlich trainiert werden. Das Sammeln und Aufbereiten der Daten kann eine Verarbeitung im Sinne der DSGVO sein, sofern es sich bei den Trainingsdaten um personenbezogene Daten handelt. Auch eine Anonymisierung personenbezogener Daten vor dem Training ist eine Verarbeitung, weshalb die DSGVO zu beachten ist. Auch in der Einsatzphase, also bei der Verwendung des KI-Systems, ist oft eine Verarbeitung personenbezogener Daten vorgesehen, was ebenfalls datenschutzrechtlich geprüft werden muss. Doch neben diesen offensichtlicheren Verarbeitungen personenbezogener Daten stellt sich die Frage, ob ein KI-Modell, das mit personenbezogenen Daten trainiert worden ist, selbst personenbezogene Daten enthält. Ob das KI-Modell an sich also Gegenstand von Betroffenenrechten nach Art. 12 ff. DSGVO sein kann. Außerdem könnten Aufsichtsbehörden Abhilfemaßnahmen anordnen, um die Rechtswidrigkeit einer Verarbeitung personenbezogener Daten in der Entwicklungsphase eines KI-Modells zu beheben. Dazu gehören Geldbußen, vorübergehende Beschränkungen, die Löschung rechtswidrig verarbeiteter Datensätze (ganz oder teilweise) oder sogar die Löschung des KI-Modells selbst. 

                      Ist ein KI-Modell anonym oder enthält es personenbezogene Daten?

                      Ob ein KI-Modells selbst anonym ist, hängt davon ab, ob das KI-Modell personenbezogene Daten enthält. Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Im Gegensatz dazu ist die DSGVO auf anonyme Daten nicht anwendbar, d.h. für Daten, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Wenn ein KI-Modell (auch) mit personenbezogenen Daten trainiert worden ist, stellt sich die Frage, inwieweit das KI-Modell als Ergebnis dieses Trainings personenbezogene Daten enthält. In diesem Zusammenhang wurde im „Diskussionspapier: Large Language Models und personenbezogene Daten“ vom Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit zur Frage der Anwendbarkeit der Datenschutz-Grundverordnung (DSGVO) auf Large Language Models vertreten, dass die bloße Speicherung eines LLMs keine Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO darstelle, da in LLMs selbst keine personenbezogenen Daten gespeichert würden. Begründet wird dies damit, dass LLMs auf Basis von Tokens (sprachliche Fragmente) und Embeddings (mathematische Repräsentationen der Beziehungen zwischen Tokens) arbeiten und diese „hochgradig abstrahierte und aggregierte Datenpunkte aus den Trainingsdaten sowie deren Verhältnisse zueinander ohne konkrete Merkmale oder Bezüge über natürliche Personen“ darstellen. In einer neueren Stellungnahme des EDSA „zu gewissen Datenschutzaspekten der Verarbeitung personenbezogener Daten im Zusammenhang mit KI-Modellen“ wurde die These des Hamburgischen Beauftragten für Datenschutz mittlerweile im Ergebnis widerlegt. Der EDSA stellt klar, dass ein mit personenbezogenen Daten trainiertes KI-Modell nicht in allen Fällen als anonym angesehen werden könne. Die behauptete Anonymität muss daher von den zuständigen Aufsichtsbehörden im Einzelfall geprüft werden.

                      Wie ist die Abgrenzung vorzunehmen?

                      Ein KI-Modell kann nur dann als anonym betrachtet werden, wenn zwei kumulative Voraussetzungen erfüllt sind: Die Wahrscheinlichkeit der direkten (einschließlich probabilistischer) Extraktion personenbezogener Daten über die Personen, deren Daten für das Training verwendet wurden, und die Wahrscheinlichkeit, dass derartige personenbezogene Daten durch Anfragen vorsätzlich oder nicht vorsätzlich erlangt werden, müssen für jede betroffene Person vernachlässigbar gering sein. Dem ist zuzustimmen, denn Informationen können sich auch auf eine natürliche Person beziehen, wenn sie so kodiert sind, dass die Beziehung nicht unmittelbar ersichtlich ist. KI-Modelle enthalten zwar in der Regel keine direkten Aufzeichnungen personenbezogener Daten, sondern nur Parameter, die probabilistischen Beziehungen zwischen den im KI-Modell enthaltenen Daten darstellen, es besteht jedoch die Möglichkeit, Informationen aus dem KI-Modell abzuleiten. So können unter Umständen statistisch abgeleitete personenbezogene Daten aus dem KI-Modell entnommen werden. Die vorzunehmende Wahrscheinlichkeitsprüfung soll alle Mittel berücksichtigen, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, wobei auch die unbeabsichtigte (Wieder-)Verwendung oder Offenlegung des KI-Modells bedacht werden sollen. Als Kriterien für die Bewertung der Restwahrscheinlichkeit einer Identifizierung sollen, nach Auffassung des EDSA unter anderem, die Merkmale des Trainingsdatensatzes (z. B. Einmaligkeit der Datensätze, Genauigkeit), die für das Training verwendeten Methoden und die Implementierung technischer und organisatorischer Maßnahmen zur Reduzierung der Identifizierbarkeit (z. B. Regularisierungsmethoden, Differential Privacy) berücksichtigt werden. Auch die Ergebnisse von Strukturtests, die die Resistenz gegen Angriffe wie Attribute und Membership Inference, Exfiltration oder Regurgitation von Trainingsdaten prüfen und der Kontext, in dem das KI-Modell freigegeben und/oder verarbeitet wird (z. B. öffentliche Verfügbarkeit versus interner Gebrauch) sowie zusätzliche Informationen, die einer anderen Person zur Identifizierung zur Verfügung stehen könnten, müssen beachtet werden. Verantwortliche müssen die getroffenen Maßnahmen zur Reduzierung der Identifizierungswahrscheinlichkeit sowie die möglichen Restrisiken dokumentieren, nicht zuletzt auch deshalb, weil insbesondere diese Dokumentation von den zuständigen Behörden berücksichtigt werden soll, um die Anonymität eines KI-Modells zu bewerten. Kann die zuständige Behörde nach Prüfung der Dokumentation und der implementierten Maßnahmen die Anonymität nicht bestätigen, kann davon ausgegangen werden, dass der Verantwortliche seinen Rechenschaftspflichten gemäß Artikel 5 Abs. 2 DSGVO nicht nachgekommen ist. Eine sorgfältige Dokumentation ist daher dringend zu empfehlen.

                      FIN LAW

                      I.  https://fin-law.de

                      E. info@fin-law.de

                      Newsletter abonnieren

                      This Blog Article as Podcast?

                        Kontakt

                        info@fin-law.de

                        Mai 26, 2025

                        Descoping MiCAR – Sind NFTs die letzte Bastion des unregulierten Kryptomarkts?

                        Lange faszinierte der Kryptomarkt viele seiner Teilnehmer mit fehlender Regulierung und Aufsicht. Zwar bot das unregulierte Umfeld auch Nährboden für unseriöse und kriminelle Aktivitäten. Sie ermöglichte jedoch unbestritten auch zahlreiche technische Innovationen in wenigen Jahren, die in einem regulierten Umfeld kaum möglich gewesen wären. Zu eng ist das Korsett der Aufsicht für die Umsetzung neuer Ideen und die Nutzung noch nicht etablierter Technologien, so dass sich Marktteilnehmer gründlich überlegen müssen, ob sie die Risiken der vollkommen unvorhersehbaren Reaktionen von Aufsichtsbehörden auf innovative Ansätze in Kauf nehmen möchten oder besser auf „Best Practices“ und althergebrachte Geschäftsmodelle setzen. Wäre der Kryptomarkt von Beginn an umfassend reguliert gewesen, hätten sich die heutigen technischen Möglichkeiten wohl kaum bis heute entwickeln können. Spätestens durch die Einführung der MiCAR verabschiedete sich jedenfalls der europäische Kryptomarkt aus dem „Wilden Westen“ und ist nun umfassend reguliert. Selbstverständlich gibt es für die Regulierung auch gute Gründe, zumal gerade Kryptowerte nicht selten für Geldwäsche und Terrorismusfinanzierung genutzt werden und solchen Praktiken Einhalt geboten werden muss. Innovationen haben es indessen in dem neuen regulierten Markt äußerst schwer, da die Regeln und ihre Auslegung durch ESMA, EBA und die zuständigen Behörden wie in Deutschland die BaFin wenig Spielraum lassen. Sog. Non-fungible Tokens (NFT) sind allerdings von der Geltung der MiCAR nach Art. 2 Abs. 3 MiCAR ausgeschlossen. Kryptowerte, die als NFT qualifizieren, können daher nicht Gegenstand von Kryptowerte-Dienstleistungen sein. Ebenso wenig kann ihre Ausgabe am Markt ein öffentliches Angebot begründen, das eine Pflicht zur Erstellung eines Kryptowerte-Whitepapers auslösen würde. In diesem Bereich ist somit potenziell auch heute noch viel Freiraum für Innovationen zu finden.

                        Was genau ist ein NFT im Sinne der MiCAR?

                        Um unter den Ausnahmetatbestand des Art. 2 Abs. 3 MiCAR fallen zu können, muss ein Kryptowert nach dem Wortlaut der Vorschrift zunächst einmalig sein und darf nicht mit anderen Kryptowerten fungibel sein. Weitere Anforderungen stellt der Verordnungstext selbst nicht auf. Jedoch bieten die dem Verordnungstext vorangestellten Erwägungsgründe 10 und 11 weitere Anhaltspunkte, welche konkreten Kryptowerte der Verordnungsgeber als NFT aus dem Anwendungsbereich der MiCAR herausnehmen wollte. Daraus wird deutlich, dass es im Kern auf die Einzigartigkeit eines Kryptowertes ankommen soll. Ist ein Kryptowert nicht ohne Weiteres gegen einen anderen Kryptowert austauschbar und sein relativer Wert kann wegen seiner Einzigartigkeit nicht durch den Vergleich mit einem bestehenden Markt oder einem gleichwertigen Vermögenswert bestimmt werden, soll ein NFT im Sinne des Ausnahmetatbestands des Art. 2 Abs. 3 MiCAR vorliegen. In Erwägungsgrund 11 hingegen betont der Verordnungsgeber, dass einmalige Merkmale Kryptowerte, die zwar einmalige Merkmale aufweisen, jedoch letztlich Teile einer großen Serie oder einer Sammlung sind, nicht als einmalig im Sinne der MiCAR gelten sollen. Lediglich durchnummerierte Kryptowerte, die sich ausschließlich durch Ihre Seriennummer unterscheiden, sind daher sicher nicht als ausnahmetaugliche NFT einzuordnen, um ein offensichtliches Beispiel zu nennen. Ebenso wenig soll nach dem Willen des Verordnungsgebers der MiCAR ein Kryptowerte einen NFT darstellen, dessen De-facto-Merkmale oder De-facto-Verwendungszweck ihn zu einem austauschbaren und nicht einmaligen Kryptowert macht, auch wenn er dem Anschein nach zunächst einmalig zu sein scheint. Insoweit soll die wirtschaftliche Betrachtungsweise maßgeblich sein.

                        Was sind Beispiele für nicht der MiCAR unterfallende NFT und was ist im Übrigen zu beachten?

                        In den zitierten Erwägungsgründen 10 und 11 werden ausdrücklich digitale Kunst und Sammlerstücke als NFTs benannt. Ebenso benennt der Verordnungsgeber nicht fungible Dienstleistungen wie Produktgarantien und nicht austauschbare Vermögensgegenstände wie Immobilien. Die konkret benannten Beispiele dürfen jedoch nicht darüber hinwegtäuschen, dass die rechtliche Qualifikation eines Kryptowerts anhand der dargestellten Anforderungen zu erfolgen hat und daher z.B. eine tokenisierte Dienstleistung wie Autowaschen nicht als NFT im Sinne der MiCAR qualifizieren dürfte, wenn das Auto je nach eingesetztem Token aber von einer anderen Person ausgeführt wird. Dies dürfte nicht für eine hinreichende Individualisierung der Token ausreichen. Weitere Beispiele für NFTs können Kryptowerte in Einsatzfeldern wie Abstimmungen in Hauptversammlungen von Aktiengesellschaften, Produktlieferketten- oder Identitätsmanagement oder im Zugriffs- und Berechtigungsmanagement sein. Besonders interessant dürften NFTs in Zukunft im Kampf gegen KI-generierte Fälschungen sein, da mit ihrer Hilfe eindeutige Authenzitätsnachweise führbar sind.  Auch wenn Kryptowerte im Einzelfall als NFT im Sinne von Art. 2 Abs. 3 MiCAR qualifizieren, können sie dennoch beispielsweise aus anderem Rechtsgrund reguliert sein, etwa als Finanzinstrument nach MiFID2 oder als kryptografisches Instrument im Sinne des deutschen Kreditwesengesetzes (KWG). Gründer mit zukunftsfähigen Ideen im NFT-Bereich sollten in jedem Fall die aktuelle Rechtslage nutzen, solange sie besteht.

                        Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

                        I.  https://fin-law.de

                        E. info@fin-law.de

                        Newsletter abonnieren

                        This Blog Article as Podcast?

                          Kontakt

                          info@fin-law.de

                          to top