Kostenloses Erstgespräch

Kategorie: blog DE

Juni 23, 2025

Der Kryptoverwahrvertrag nach MiCAR – Was müssen Kryptoverwahrer mit ihren Kunden zwingend vereinbaren?

Die Verwahrung und Verwaltung von Kryptowerten für andere ist nach Art. 3 Abs. 1 Nr. 16 lit. a) MiCAR und Art. 3 Abs. 1 Nr. 17 MiCAR eine regulierte Kryptowerte-Dienstleistung. Sie darf deshalb ausschließlich von Unternehmen angeboten werden, die über eine Zulassung als Kryptowerte-Dienstleister nach Art. 59 MiCAR verfügen. Neben den üblichen strengen Voraussetzungen, die von den nach MiCAR regulierten Unternehmen in der Europäischen Union erfüllt werden müssen, wie beispielsweise ausreichendes regulatorisches Anfangskapital, zuverlässige und fachlich geeignete Geschäftsleiter, eine ordentliche Geschäftsorganisation unter anderem im Hinblick auf Risikomanagement, IT-Sicherheit und Geldwäscheprävention, müssen Kryptoverwahrer zusätzlich spezifische aufsichtliche Compliance-Pflichten erfüllen. Eine dieser besonderen Anforderungen an Kryptoverwahrer liegt in der Pflicht zum Abschluss eines Verwahrvertrags mit den Verwahrkunden, in dem die nach Art. 75 Abs. 1 MiCAR vorgeschriebenen Mindestinhalte vereinbart sind. Danach müssen MiCAR-konforme Verwahrvereinbarungen mindestens Angaben über die Identität der Vertragspartner enthalten, eine Beschreibung der Art der angebotenen Kryptodienstleistung, Angaben zur Verwahrstrategie, zu den genutzten Kommunikationsmitteln und dazu, wie Kunden sich gegenüber dem Kryptoverwahrer authentifizieren, zu den verwendeten Sicherheitssystemen, den Gebühren und Kosten sowie zum anwendbaren Recht.

Was genau muss ein Kryptoverwahrvertrag im Hinblick auf die Verwahrstrategie enthalten?

Nicht konkret ordnet die MiCAR an, was genau Kryptoverwahrer mit ihren Verwahrkunden hinsichtlich der Verwahrstrategie vereinbaren müssen. Die Entwicklung und Umsetzung einer Verwahrstrategie ist zunächst eine aufsichtsrechtliche Pflicht, deren Erfüllung Kryptoverwahrer gegenüber den sie beaufsichtigenden Aufsichtsbehörden nachweisen müssen. Der die Mindestanforderungen an Verwahrverträge regelnde Art. 75 Abs. 1 MiCAR ordnet insoweit lediglich an, dass die Verwahrstrategie Mindestinhalt eines Kryptoverwahrvertrags ist. Konkretisiert wird die Vorschrift indessen durch Art. 75 Abs. 3 MiCAR, in dem ein Anspruch von Verwahrkunden gegenüber ihren Kryptoverwahrern auf Übermittlung einer Zusammenfassung der Verwahrstrategie im elektronischen Format vorgesehen ist. Um diesen Anspruch bedienen zu können, werden Kryptoverwahrer ein elektronisches Dokument vorhalten müssen, in dem die Verwahrstrategie zusammengefasst ist. Die tatsächliche Vereinbarung der Verwahrstrategie mit dem Kunden oder die Anfügung der vollständigen Verwahrstrategie etwa als Anlage zum Verwahrvertrag erscheint unsinnig, zumal bei jeder Änderung der Strategie eine Neuverhandlung bzw. ein Neuabschluss des Kryptoverwahrvertrags erforderlich wäre. Das kann nicht im Interesse des Verordnungsgebers der MiCAR gelegen haben. Zu beachten ist zudem, dass die Verwahrstrategie als Strategiedokument keine konkreten technischen Umsetzungsmaßnahmen oder Namen von Mitarbeitern oder eventuell einbezogenen Drittdienstleistern enthalten sollte. Eine Strategie formuliert generell Ziele, Zwecke und Wege zu deren Erreichung.

Welche Angaben zu Sicherheitssystemen müssen vereinbart werden?

Art. 75 Abs.1 lit. e) MiCAR fordert, dass in Kryptoverwahrverträgen eine Beschreibung der vom Verwahrer verwendeten Sicherheitssysteme enthalten sein muss. Insoweit liegt es eher fern, von einer Vereinbarung zu sprechen, da Kryptoverwahrer den Verwahrkunden in diesem Zusammenhang kaum Verhandlungsspielraum werden einräumen können. Erforderlich ist diesbezüglich die Aufnahme von Ausführungen zu den verwendeten Technologien für die Verwahrung der Privaten Schlüssel, Angaben zu etwaig durchgeführten Schwachstellentests und Sicherheitsaudits, den bereitgestellten Authenifizierungsmechanismen für Kunden und sonstigen vom Verwahrer genutzten Sicherheitsvorkehrungen, um das Risiko des Verlusts der Kryptowerte der Kunden bzw. der zugehörigen privaten Schlüssel zu minimieren. Ebenso können Angaben dazu gemacht werden, wie die Kundenkryptowerte von den eigenen Beständen in Kryptowerten oder Geldern des Kryptoverwahrinstituts getrennt werden und insolvenzfest verwahrt werden. Auch hier wird nicht erforderlich sein, beispielsweise konkrete Unterverwahrer oder Banken zu benennen, die zur Segregierung von Vermögenswerten der Kunden eingeschaltet werden. Eine Beschreibung der konkreten Maßnahmen, die der Kryptoverwahrer zur Erhöhung der Sicherheit für die Kunden umsetzt, wird jedenfalls für die Zwecke der Kryptoverwahrvereinbarung ausreichend sein.

Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

I. https://fin-law.de

E. info@fin-law.de

Newsletter abonnieren

This Blog Article as Podcast?

The Gist of It:

Presentation

    Kontakt

    info@fin-law.de

    Juni 10, 2025

    Token Sale an private Erwerber – Kann der Emittent das anwendbare Recht für die Token Terms frei wählen?

    Die Durchführung von Token Sales ist in der Europäischen Union seit Geltung der Verordnung über Märkte in Kryptowerten (MiCAR) ein streng reguliertes Unterfangen. Emittenten müssen vor Beginn des Token Sales ein ausführliches Kryptowerte-Whitepaper erstellen und veröffentlichen. Zudem müssen sie aufsichtsrechtliche Vorgaben in Bezug auf die Art und Weise der Vermarktung der Kryptowerte, ihren Umgang mit Interessenkonflikten und die Sicherheit der von ihnen genutzten Systeme und Protokolle erfüllen. Handelt es sich bei den vom Emittenten angebotenen Kryptowerten um Asset-referenced Token (ART) oder E-Geld Token (EMT), kommen weitere aufsichtsrechtliche Pflichten hinzu. In der Ausgestaltung der den anzubietenden Kryptowerten zugrundeliegenden Token Terms sind die Emittenten demgegenüber einigermaßen frei. Über Token Terms kann die Inhaberschaft von Kryptowerten mit den unterschiedlichsten Rechten verbunden werden. Sie können als Utility Token ihren Inhabern Zugangsrechte in Bezug auf Waren oder Dienstleistungen des Emittenten vermitteln, Zugriff auf Informationen, Abstimmungs- oder Wahlrechte verkörpern, im Fall von ART oder EMT Rücktauschrechte in die zugrundeliegende Fiatwährung tokenisieren oder mit sonstigen Rechten verknüpft werden. Zwar sieht die MiCAR für bestimmte Arten von Kryptowerten grundlegende Anforderungen an die zugrundeliegenden Verträge vor. Die konkreten Rechte und Pflichten von Tokeninhaber und Emittent können aber nach dem jeweils anwendbaren nationalen Privatrecht vereinbart werden. Doch gibt es für den Emittenten zu beachtende Grenzen bei der Festlegung des auf die Token Terms anwendbaren Privatrechts?

    Grundsätzlich besteht freie Rechtswahl nach Art. 6 der Rom-I Verordnung

    Im Ausgangspunkt gilt auch für die Erstellung von Token Terms der sich aus Art. 3 der Rom-I Verordnung ergebende Grundsatz der freien Rechtswahl. Danach können Emittenten von Kryptowerten bei der Ausgestaltung ihrer Token Terms frei entscheiden, welches Recht auf den Vertrag mit den Erwerbern von Kryptowerten Anwendung finden soll. Im Fall des Angebots von Kryptowerten an private Erwerber gilt dieser Grundsatz allerdings nur eingeschränkt. Denn nach Art. 6 Abs. 2 Rom-I Verordnung darf eine Rechtswahl nach Art. 3 Rom-I Verordnung nicht dazu führen, dass ein Verbraucher schlechtere Rechte hat, als wenn das Recht seines Heimatstaates bzw. des Staates, in dem er sich gewöhnlicherweise aufhält, anwendbar wäre. Mit der Vorschrift soll sichergestellt werden, dass Verbraucher sich in der Europäischen Union stets darauf verlassen können, dass Ihnen die Verbraucherschutzrechte zustehen, die sie aus ihrem Alltag in ihrem gewöhnlichen Aufenthaltsstaat kennen. Im Bereich von Token Sales, die sich an private Erwerber richten, würde dies zur Folge haben, dass private Erwerber im Rahmen eines Token Sales eventuell unterschiedliche Verbraucherrechte gegenüber dem Emittenten geltend machen könnten, je nachdem, in welchem Mitgliedstaat sie ihren gewöhnlichen Aufenthalt haben. Dieses Ergebnis wäre unpraktikabel und würde dem Gedanken der Gleichbehandlung aller Erwerber einer Gesamtemission zuwiderlaufen. In diesem Zusammenhang stellt sich die Frage, ob die Rom-I Verordnung für Token Sales für private Erwerber eine anwendbare Ausnahmevorschrift vorsieht.

    Bei öffentlichen Angeboten von Finanzinstrumenten gilt das Verbraucherschutzprivileg des Art. 6 Abs. 2 Rom-I Verordnung nicht

    Es stellt sich die Frage, ob der Ausnahmetatbestand des Art. 6 Abs. 4 lit. d) Rom-I Verordnung auch auf Kryptowerte und Vertragsbedingungen zur Ausgabe und zum öffentlichen Angebot von Kryptowerten Anwendung finden kann. Die Vorschrift bezieht sich ihrem Wortlaut nach ausschließlich auf Finanzinstrumente, die im Recht der EU regelmäßig nur Instrumente im Sinne von Art. 4 Nr. 15 der EU-Verordnung über Märkte in Finanzinstrumenten (MiFID2) erfasst. Die Ausnahme gilt also insbesondere für übertragbare Wertpapiere, Anteile an Investmentvermögen, Derivate oder ähnliche Produkte. Kryptowerte sind nach dem in Art. 2 Abs. 4 lit. a) MiCAR ausdrücklich angeordneten Alternativverhältnis von MiCAR und MiFID2 gerade keine Finanzinstrumente. Jedoch wird man mit guten Argumenten eine analoge Anwendung der Ausnahmevorschrift des Art. 6 Abs. 4 Rom-I Verordnung vertreten können, denn die Interessenlage von Emittenten und Erwerbern ist im Fall von Token Sales einheitlich ausgestalteter Kryptowerte vergleichbar. Der europäische Verordnungsgeber scheint das Problem der verbraucherschutzrechtlichen Privilegierung von Token-Sale-Teilnehmern mit Verbrauchereigenschaft bei Einführung der MiCAR lediglich übersehen zu haben, so dass es sich um eine planwidrige Regelungslücke handeln dürfte. Eine Rückausnahme sieht Art. 6 Abs. 4 indes für Verträge über Finanzdienstleistungen vor. Dies ist sinnvoll, da sich Finanzdienstleistungen lediglich auf ein Finanzinstrument beziehen, nicht jedoch die konkreten Rechte und Pflichten aus ihm festlegen. Da auch diesbezüglich eine Vergleichbarkeit mit dem Bereich der Kryptowerte bejaht werden kann, sollte auch die Rückausnahme für nachgelagerte Dienstleistungen – hier dann Kryptowerte-Dienstlistungen im Sinne von Art. 3 Abs. 1 Nr. 16 MiCAR – analog angewandt werden.

    Rechtsanwalt Lutz Auffenberg, LL.M. (London)

    I.  https://fin-law.de

    E. info@fin-law.de

    Newsletter abonnieren

    This Blog Article as Podcast?

      Kontakt

      info@fin-law.de

      Juni 02, 2025

      KI-Compliance im Unternehmen (Teil II) – Wann fällt ein KI-Modell in den Anwendungsbereich der DSGVO?

      Die Datenschutzgrundverordnung (DSGVO) wurde bewusst technologieneutral verfasst, es verwundert daher nicht, dass sich die langen Arme der DSGVO auch tief in Prozesse rund um KI erstrecken. Dies drängt sich gewissermaßen auf, denn für die Entwicklung von Large Language Models (LLMs) werden immer größer werdende Datensätze verarbeitet. Die Entwicklung eines KI-Systems kann von der Entwicklungs- bis zur Einsatzphase zweifellos eine Reihe datenschutzrechtlich relevanter Tätigkeiten des Verantwortlichen beinhalten. Herzstück eines jeden KI-Systems ist das zugrundeliegende KI-Modell, das neuronale Netzwerk, das mittels Machine Learning entwickelt wird. Hierzu müssen Trainingsdaten gesammelt und aufbereitet werden und das KI-Modell muss schließlich trainiert werden. Das Sammeln und Aufbereiten der Daten kann eine Verarbeitung im Sinne der DSGVO sein, sofern es sich bei den Trainingsdaten um personenbezogene Daten handelt. Auch eine Anonymisierung personenbezogener Daten vor dem Training ist eine Verarbeitung, weshalb die DSGVO zu beachten ist. Auch in der Einsatzphase, also bei der Verwendung des KI-Systems, ist oft eine Verarbeitung personenbezogener Daten vorgesehen, was ebenfalls datenschutzrechtlich geprüft werden muss. Doch neben diesen offensichtlicheren Verarbeitungen personenbezogener Daten stellt sich die Frage, ob ein KI-Modell, das mit personenbezogenen Daten trainiert worden ist, selbst personenbezogene Daten enthält. Ob das KI-Modell an sich also Gegenstand von Betroffenenrechten nach Art. 12 ff. DSGVO sein kann. Außerdem könnten Aufsichtsbehörden Abhilfemaßnahmen anordnen, um die Rechtswidrigkeit einer Verarbeitung personenbezogener Daten in der Entwicklungsphase eines KI-Modells zu beheben. Dazu gehören Geldbußen, vorübergehende Beschränkungen, die Löschung rechtswidrig verarbeiteter Datensätze (ganz oder teilweise) oder sogar die Löschung des KI-Modells selbst. 

      Ist ein KI-Modell anonym oder enthält es personenbezogene Daten?

      Ob ein KI-Modells selbst anonym ist, hängt davon ab, ob das KI-Modell personenbezogene Daten enthält. Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Im Gegensatz dazu ist die DSGVO auf anonyme Daten nicht anwendbar, d.h. für Daten, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Wenn ein KI-Modell (auch) mit personenbezogenen Daten trainiert worden ist, stellt sich die Frage, inwieweit das KI-Modell als Ergebnis dieses Trainings personenbezogene Daten enthält. In diesem Zusammenhang wurde im „Diskussionspapier: Large Language Models und personenbezogene Daten“ vom Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit zur Frage der Anwendbarkeit der Datenschutz-Grundverordnung (DSGVO) auf Large Language Models vertreten, dass die bloße Speicherung eines LLMs keine Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO darstelle, da in LLMs selbst keine personenbezogenen Daten gespeichert würden. Begründet wird dies damit, dass LLMs auf Basis von Tokens (sprachliche Fragmente) und Embeddings (mathematische Repräsentationen der Beziehungen zwischen Tokens) arbeiten und diese „hochgradig abstrahierte und aggregierte Datenpunkte aus den Trainingsdaten sowie deren Verhältnisse zueinander ohne konkrete Merkmale oder Bezüge über natürliche Personen“ darstellen. In einer neueren Stellungnahme des EDSA „zu gewissen Datenschutzaspekten der Verarbeitung personenbezogener Daten im Zusammenhang mit KI-Modellen“ wurde die These des Hamburgischen Beauftragten für Datenschutz mittlerweile im Ergebnis widerlegt. Der EDSA stellt klar, dass ein mit personenbezogenen Daten trainiertes KI-Modell nicht in allen Fällen als anonym angesehen werden könne. Die behauptete Anonymität muss daher von den zuständigen Aufsichtsbehörden im Einzelfall geprüft werden.

      Wie ist die Abgrenzung vorzunehmen?

      Ein KI-Modell kann nur dann als anonym betrachtet werden, wenn zwei kumulative Voraussetzungen erfüllt sind: Die Wahrscheinlichkeit der direkten (einschließlich probabilistischer) Extraktion personenbezogener Daten über die Personen, deren Daten für das Training verwendet wurden, und die Wahrscheinlichkeit, dass derartige personenbezogene Daten durch Anfragen vorsätzlich oder nicht vorsätzlich erlangt werden, müssen für jede betroffene Person vernachlässigbar gering sein. Dem ist zuzustimmen, denn Informationen können sich auch auf eine natürliche Person beziehen, wenn sie so kodiert sind, dass die Beziehung nicht unmittelbar ersichtlich ist. KI-Modelle enthalten zwar in der Regel keine direkten Aufzeichnungen personenbezogener Daten, sondern nur Parameter, die probabilistischen Beziehungen zwischen den im KI-Modell enthaltenen Daten darstellen, es besteht jedoch die Möglichkeit, Informationen aus dem KI-Modell abzuleiten. So können unter Umständen statistisch abgeleitete personenbezogene Daten aus dem KI-Modell entnommen werden. Die vorzunehmende Wahrscheinlichkeitsprüfung soll alle Mittel berücksichtigen, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, wobei auch die unbeabsichtigte (Wieder-)Verwendung oder Offenlegung des KI-Modells bedacht werden sollen. Als Kriterien für die Bewertung der Restwahrscheinlichkeit einer Identifizierung sollen, nach Auffassung des EDSA unter anderem, die Merkmale des Trainingsdatensatzes (z. B. Einmaligkeit der Datensätze, Genauigkeit), die für das Training verwendeten Methoden und die Implementierung technischer und organisatorischer Maßnahmen zur Reduzierung der Identifizierbarkeit (z. B. Regularisierungsmethoden, Differential Privacy) berücksichtigt werden. Auch die Ergebnisse von Strukturtests, die die Resistenz gegen Angriffe wie Attribute und Membership Inference, Exfiltration oder Regurgitation von Trainingsdaten prüfen und der Kontext, in dem das KI-Modell freigegeben und/oder verarbeitet wird (z. B. öffentliche Verfügbarkeit versus interner Gebrauch) sowie zusätzliche Informationen, die einer anderen Person zur Identifizierung zur Verfügung stehen könnten, müssen beachtet werden. Verantwortliche müssen die getroffenen Maßnahmen zur Reduzierung der Identifizierungswahrscheinlichkeit sowie die möglichen Restrisiken dokumentieren, nicht zuletzt auch deshalb, weil insbesondere diese Dokumentation von den zuständigen Behörden berücksichtigt werden soll, um die Anonymität eines KI-Modells zu bewerten. Kann die zuständige Behörde nach Prüfung der Dokumentation und der implementierten Maßnahmen die Anonymität nicht bestätigen, kann davon ausgegangen werden, dass der Verantwortliche seinen Rechenschaftspflichten gemäß Artikel 5 Abs. 2 DSGVO nicht nachgekommen ist. Eine sorgfältige Dokumentation ist daher dringend zu empfehlen.

      FIN LAW

      I.  https://fin-law.de

      E. info@fin-law.de

      Newsletter abonnieren

      This Blog Article as Podcast?

        Kontakt

        info@fin-law.de

        Mai 26, 2025

        Descoping MiCAR – Sind NFTs die letzte Bastion des unregulierten Kryptomarkts?

        Lange faszinierte der Kryptomarkt viele seiner Teilnehmer mit fehlender Regulierung und Aufsicht. Zwar bot das unregulierte Umfeld auch Nährboden für unseriöse und kriminelle Aktivitäten. Sie ermöglichte jedoch unbestritten auch zahlreiche technische Innovationen in wenigen Jahren, die in einem regulierten Umfeld kaum möglich gewesen wären. Zu eng ist das Korsett der Aufsicht für die Umsetzung neuer Ideen und die Nutzung noch nicht etablierter Technologien, so dass sich Marktteilnehmer gründlich überlegen müssen, ob sie die Risiken der vollkommen unvorhersehbaren Reaktionen von Aufsichtsbehörden auf innovative Ansätze in Kauf nehmen möchten oder besser auf „Best Practices“ und althergebrachte Geschäftsmodelle setzen. Wäre der Kryptomarkt von Beginn an umfassend reguliert gewesen, hätten sich die heutigen technischen Möglichkeiten wohl kaum bis heute entwickeln können. Spätestens durch die Einführung der MiCAR verabschiedete sich jedenfalls der europäische Kryptomarkt aus dem „Wilden Westen“ und ist nun umfassend reguliert. Selbstverständlich gibt es für die Regulierung auch gute Gründe, zumal gerade Kryptowerte nicht selten für Geldwäsche und Terrorismusfinanzierung genutzt werden und solchen Praktiken Einhalt geboten werden muss. Innovationen haben es indessen in dem neuen regulierten Markt äußerst schwer, da die Regeln und ihre Auslegung durch ESMA, EBA und die zuständigen Behörden wie in Deutschland die BaFin wenig Spielraum lassen. Sog. Non-fungible Tokens (NFT) sind allerdings von der Geltung der MiCAR nach Art. 2 Abs. 3 MiCAR ausgeschlossen. Kryptowerte, die als NFT qualifizieren, können daher nicht Gegenstand von Kryptowerte-Dienstleistungen sein. Ebenso wenig kann ihre Ausgabe am Markt ein öffentliches Angebot begründen, das eine Pflicht zur Erstellung eines Kryptowerte-Whitepapers auslösen würde. In diesem Bereich ist somit potenziell auch heute noch viel Freiraum für Innovationen zu finden.

        Was genau ist ein NFT im Sinne der MiCAR?

        Um unter den Ausnahmetatbestand des Art. 2 Abs. 3 MiCAR fallen zu können, muss ein Kryptowert nach dem Wortlaut der Vorschrift zunächst einmalig sein und darf nicht mit anderen Kryptowerten fungibel sein. Weitere Anforderungen stellt der Verordnungstext selbst nicht auf. Jedoch bieten die dem Verordnungstext vorangestellten Erwägungsgründe 10 und 11 weitere Anhaltspunkte, welche konkreten Kryptowerte der Verordnungsgeber als NFT aus dem Anwendungsbereich der MiCAR herausnehmen wollte. Daraus wird deutlich, dass es im Kern auf die Einzigartigkeit eines Kryptowertes ankommen soll. Ist ein Kryptowert nicht ohne Weiteres gegen einen anderen Kryptowert austauschbar und sein relativer Wert kann wegen seiner Einzigartigkeit nicht durch den Vergleich mit einem bestehenden Markt oder einem gleichwertigen Vermögenswert bestimmt werden, soll ein NFT im Sinne des Ausnahmetatbestands des Art. 2 Abs. 3 MiCAR vorliegen. In Erwägungsgrund 11 hingegen betont der Verordnungsgeber, dass einmalige Merkmale Kryptowerte, die zwar einmalige Merkmale aufweisen, jedoch letztlich Teile einer großen Serie oder einer Sammlung sind, nicht als einmalig im Sinne der MiCAR gelten sollen. Lediglich durchnummerierte Kryptowerte, die sich ausschließlich durch Ihre Seriennummer unterscheiden, sind daher sicher nicht als ausnahmetaugliche NFT einzuordnen, um ein offensichtliches Beispiel zu nennen. Ebenso wenig soll nach dem Willen des Verordnungsgebers der MiCAR ein Kryptowerte einen NFT darstellen, dessen De-facto-Merkmale oder De-facto-Verwendungszweck ihn zu einem austauschbaren und nicht einmaligen Kryptowert macht, auch wenn er dem Anschein nach zunächst einmalig zu sein scheint. Insoweit soll die wirtschaftliche Betrachtungsweise maßgeblich sein.

        Was sind Beispiele für nicht der MiCAR unterfallende NFT und was ist im Übrigen zu beachten?

        In den zitierten Erwägungsgründen 10 und 11 werden ausdrücklich digitale Kunst und Sammlerstücke als NFTs benannt. Ebenso benennt der Verordnungsgeber nicht fungible Dienstleistungen wie Produktgarantien und nicht austauschbare Vermögensgegenstände wie Immobilien. Die konkret benannten Beispiele dürfen jedoch nicht darüber hinwegtäuschen, dass die rechtliche Qualifikation eines Kryptowerts anhand der dargestellten Anforderungen zu erfolgen hat und daher z.B. eine tokenisierte Dienstleistung wie Autowaschen nicht als NFT im Sinne der MiCAR qualifizieren dürfte, wenn das Auto je nach eingesetztem Token aber von einer anderen Person ausgeführt wird. Dies dürfte nicht für eine hinreichende Individualisierung der Token ausreichen. Weitere Beispiele für NFTs können Kryptowerte in Einsatzfeldern wie Abstimmungen in Hauptversammlungen von Aktiengesellschaften, Produktlieferketten- oder Identitätsmanagement oder im Zugriffs- und Berechtigungsmanagement sein. Besonders interessant dürften NFTs in Zukunft im Kampf gegen KI-generierte Fälschungen sein, da mit ihrer Hilfe eindeutige Authenzitätsnachweise führbar sind.  Auch wenn Kryptowerte im Einzelfall als NFT im Sinne von Art. 2 Abs. 3 MiCAR qualifizieren, können sie dennoch beispielsweise aus anderem Rechtsgrund reguliert sein, etwa als Finanzinstrument nach MiFID2 oder als kryptografisches Instrument im Sinne des deutschen Kreditwesengesetzes (KWG). Gründer mit zukunftsfähigen Ideen im NFT-Bereich sollten in jedem Fall die aktuelle Rechtslage nutzen, solange sie besteht.

        Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

        I.  https://fin-law.de

        E. info@fin-law.de

        Newsletter abonnieren

        This Blog Article as Podcast?

          Kontakt

          info@fin-law.de

          Mai 19, 2025

          Descoping MiCAR – Wann greift die Bereichsausnahme für Finanzinstrumente?

          Pflichten aus der EU-Verordnung über Märkte in Kryptowerten (MiCAR) ergeben sich für Marktteilnehmer regelmäßig nur dann, wenn sie eine Tätigkeit mit oder im Zusammenhang mit Kryptowerten ausführen oder deren Ausführung planen. Die Definition von Kryptowerten hat der Verordnungsgeber in der MiCAR dabei sehr weitreichend gestaltet. Kryptowerte liegen danach dem Grunde nach vor bei jeder digitalen Darstellung eines Werts oder eines Rechts, der bzw. das unter Verwendung der Distributed-Ledger-Technologie oder einer ähnlichen Technologie elektronisch übertragen und gespeichert werden kann. Dennoch sind die Vorschriften der MiCAR nicht immer anwendbar, sobald die Tatbestandsmerkmale der Kryptowerte-Definition erfüllt sind. Denn insoweit sieht Art. 2 MiCAR einige Ausnahmetatbestände vor. Eine der relevantesten Ausnahmen ordnet Art. 2 Abs. 4 lit. a) MiCAR für Kryptowerte an, die als Finanzinstrumente im Sinne von MiFID2, also der EU-Richtlinie über Märkte in Finanzinstrumenten qualifizieren. Greift der Ausnahmetatbestand, weil ein Kryptowert als Finanzinstrument im Sinne der MiFID2-Regulierung einzuordnen ist, findet die MiCAR nach der eindeutigen Formulierung in Art. 2 Abs. 4 MiCAR in ihrer Gesamtheit keine Anwendung. Doch unter welchen genauen Umständen ist ein Kryptowert als Finanzinstrument anzusehen?

          ESMA mit Leitlinie zur Abgrenzung von Kryptowerten und Finanzinstrumenten

          Die ESMA veröffentlichte am 17. Dezember 2024 die finale Version ihrer Leitlinien zu den Bedingungen und Kriterien für die Einstufung von Kryptowerten als Finanzinstrumente, deren Entwurf sie zuvor den Marktteilnehmern zur Konsultation gestellt hatte. Zur Veröffentlichung entsprechender Leitlinien war die ESMA nach Art. 2 Abs. 5 MiCAR verpflichtet. Im Kern gibt die ESMA den Mitgliedstaaten, zuständigen Behörden und den Marktteilnehmern auf, bei der Bewertung eines Kryptowertes im Hinblick auf eine Qualifikation als Finanzinstrument nach dem Grundsatz „Substance over Form“ zu verfahren. Danach ist für die rechtliche Einordnung des Kryptowerts nicht entscheidend, in welcher Form bzw. mit welcher Bezeichnung oder mit welchen Versprechen verbunden er am Markt erscheint, sondern vielmehr, dass die rechtliche Einordnung anhand der inhärenten Charakteristika des Kryptowerts zu erfolgen hat. Die rechtliche Einwertung soll dabei zudem auf einem technologieneutralen Ansatz beruhen, um sicherzustellen, dass Kryptowerte jeder technischen Ausgestaltung unter den Kryptowertebegriff der MiCAR fallen können, unabhängig von etwaigen zukünftigen technischen Weiterentwicklungen. Als problematisch sieht die ESMA dem Umstand an, dass der Finanzinstrumentenbegriff nicht einheitlich für die gesamte EU definiert ist, sondern lediglich in Form einer von den Mitgliedstaaten umgesetzten EU-Richtlinie ein Beispielkatalog für Finanzinstrumente existiert, so dass den Mitgliedstaaten auf nationaler Eben die Möglichkeit verbleibt, zusätzliche Kategorien von Finanzinstrumenten zu erschaffen. Beispiele nach deutschem Recht sind hier insbesondere Rechnungseinheiten und z.B. Vermögensanlagen nach dem Vermögensanlagengesetz. Gerade solche nationalgesetzlichen Ausprägungen von Finanzinstrumenten, aber auch hybride Kryptowerte, die mehrere Funktionen in sich vereinen, bereiten im Einzelfall Schwierigkeiten bei der Beantwortung der Frage, ob sie – wenn tokenisiert – als Kryptowert der MiCAR unterfallen oder als Finanzinstrument der MiFID-Regulierung.

          Wann sieht die ESMA einen Kryptowert als Finanzinstrument an?

          Anhang I Abschnitt C zur MiFID2 enthält einen Katalog von Instrumenten, die als Finanzinstrumente im Sinne der Richtlinie qualifizieren. Danach sind insbesondere übertragbare Wertpapiere, aber auch Geldmarktinstrumente, Anteile an Investmentvermögen, Optionen, Derivate und CFDs sowie Emissionszertifikate Finanzinstrumente im Sinne von MiFID2. Im Kern erwartet die ESMA von den zuständigen Aufsichtsbehörden und den übrigen Rechtsanwendern im Sinne des „Substance over Form“-Ansatzes, dass sie bei der Prüfung der Einordnung eines Kryptowerts als übertragbares Wertpapier überprüfen, ob das betreffende Instrument an den Kapitalmärkten handelbar ist, kein Zahlungsinstrument darstellt und zudem seiner Gattung nach austauschbar ist und wertpapierähnliche Rechte verkörpert wie es üblicherweise bei Aktien, Schuldtiteln und sonstigen Wertpapieren der Fall ist. Die Handelbarkeit ist dabei gegeben, sofern der Kryptowert frei gehandelt und übertragen werden kann. Als Zahlungsinstrument gelten nach der ESMA-Leitlinie Kryptowerte, die als Tauschmittel verwendet werden. Mit Kryptowerten verbundene Stimmrechte sollen nur dann als wertpapierähnlich gelten, wenn sie eine echte Mitbestimmung im Hinblick auf unternehmerische Entscheidungen (z.B. Wahl des Vorstands, Freigabe von Transaktionen o.ä.) ermöglichen, nicht hingegen, wenn sie lediglich dazu berechtigen, an Abstimmungen zu technischen Aspekten, Protokoll-Upgrades oder Gebührenanpassungen teilzunehmen. Für hybride Kryptowerte, die sowohl die Eigenschaften eines Finanzinstruments erfüllen, daneben aber auch andere Funktionen wie beispielsweise eine Zugangsberechtigungsfunktion haben, soll die Finanzinstrumenteneigenschaft des betreffenden Instruments nach der ESMA-Leitlinie vorgehen.

          Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

          I.  https://fin-law.de

          E. info@fin-law.de

          Newsletter abonnieren

          This Blog Article as Podcast?

            Kontakt

            info@fin-law.de

            Mai 12, 2025

            KI-Compliance im Unternehmen (Teil I) – Warum und wie müssen Mitarbeiter geschult werden?

            Der Einsatz von KI im Unternehmen hat das Potenzial, durch Automatisierung Kosten zu sparen und den Umsatz zu steigern. Dies zumindest erhoffen sich derzeit viele Unternehmen von dem neuen Hype, der in den letzten Jahren – ausgelöst durch den Erfolg von ChatGPT – rund um Deep Learning und generative KI entstanden ist. Die Entwicklungen in diesem Bereich schreiten seitdem rasant voran und insbesondere große US-amerikanische und chinesische Tech-Unternehmen scheinen sich in einem erbitterten Wettstreit beinahe im Wochentakt gegenseitig zu überbieten. Dabei verbessern sie ihre Modelle beispielsweise durch neue Funktionen, höhere Genauigkeit und eine gesteigerte Effizienz. Neben den großen Playern hat sich bereits ein breites Angebot weiterer Dienstleister und spezialisierter Tools für diverse Anwendungsbereiche etabliert. Diese rasante Entwicklung macht es nicht leicht den Überblick darüber zu behalten, welche Lösung für das eigene Unternehmen geeignet sein könnte. Unternehmen müssen sich zunächst die Frage stellen, was KI tatsächlich leisten kann und wo ihre technischen Grenzen liegen. Danach gilt es zu klären, ob und wie KI gewinnbringend eingesetzt werden kann. Wesentliche Entscheidungen betreffen die Frage, ob das Projekt im eigenen Unternehmen umgesetzt oder ausgelagert werden soll (Outsourcing). Soll KI selbst entwickelt oder angepasst werden (Finetuning) oder greift man auf Anwendungen Dritter zurück, etwa als „AI as a Service“ (AIaaS)? Sollen Daten auf eigenen Servern verarbeitet werden oder wird eine Cloudlösung bevorzugt? Um all diese Fragen beantworten zu können, sind ein strategisches Vorgehen und ausreichende KI-Kompetenz unerlässlich. Die Führungsebene trägt die Verantwortung dafür, die Weichen für den Erfolg von KI-Projekten zu stellen. Dazu gehört auch die Sicherstellung, dass die Mitarbeitenden über das erforderliche Know-how im Umgang mit KI-Systemen verfügen. Die beteiligten Mitarbeitenden müssen daher entsprechend geschult werden. Dies ist mittlerweile jedoch nicht mehr nur eine unternehmerische Notwendigkeit, sondern ergibt sich auch direkt aus gesetzlichen Vorgaben. Die KI-Verordnung spricht in diesem Zusammenhang von KI-Kompetenz. Doch was genau bedeutet KI-Kompetenz, und wie weit reichen die gesetzlichen Schulungspflichten?

            Das Erfordernis der KI-Kompetenz

            Die KI-VO definiert KI-Kompetenz als die Fähigkeiten, Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken sowie potenziellen Schäden, die KI verursachen kann, bewusst zu werden. Nach Artikel 4 KI-VO sind Anbieter und Betreiber von KI-Systemen verpflichtet, Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind die technischen Kenntnisse, Erfahrungen, Ausbildung und Schulung der Mitarbeitenden ebenso zu berücksichtigen wie der spezifische Kontext, in dem die KI-Systeme eingesetzt werden sollen, und die Zielgruppen, bei denen die Systeme Anwendung finden. Anders als die meisten anderen Pflichten der KI-VO gilt die Schulungspflicht unabhängig von der Einordnung der zugrunde liegenden KI-Systeme in die verschiedenen Risikokategorien der Verordnung. Unternehmen sind somit verpflichtet, ein ausreichendes Maß an KI-Kompetenz bei den eigenen Mitarbeitenden herzustellen. Die Verpflichtung zur Sicherstellung der KI-Kompetenz muss dabei nach besten Kräften, individualisiert und kontextbezogen erfolgen. Konkret bedeutet dies, dass Unternehmen die Schulungen an die technischen Kenntnisse, Erfahrungen und das Ausbildungsniveau der Mitarbeitenden anpassen müssen. Gleichzeitig ist der spezifische Kontext zu berücksichtigen, in dem die KI-Systeme eingesetzt werden. Unklar bleibt jedoch, wie diese Anforderungen im Einzelfall umzusetzen sind. Ein einfaches Regelwerk oder eine Checkliste, die Unternehmen in diesem Zusammenhang abarbeiten könnten, existiert bislang nicht. Stattdessen müssen Unternehmen selbst geeignete Maßnahmen und Schulungskonzepte entwickeln, um den Vorgaben der Verordnung gerecht zu werden.

            Wer muss wie geschult werden und was bringt ein AI-Officer?

            Es fehlt bislang an einer etablierten Best Practice für die Sicherstellung von KI-Kompetenz. Um dem entgegenzuwirken und den Austausch zwischen Unternehmen zu fördern, hat das Europäische Amt für KI das Living Repository of AI Literacy Practices veröffentlicht, in dem die implementierten Praktiken zur Förderung von KI-Kompetenz teilnehmender Unternehmen dargestellt werden. Dies kann wertvolle Hinweise für die eigene Umsetzung liefern. Daran orientiert sind folgende Schritte notwendig: die Bestimmung der Zielgruppe und Bedarfsanalyse, die Berücksichtigung des Anwendungskontexts, die Auswahl und Umsetzung von Schulungsansätzen, die Messung und Bewertung des Impacts (KPIs) sowie der Umgang mit Herausforderungen und die kontinuierliche Verbesserung. Es sollten also zunächst die Grundlagen geschaffen werden, zu denen auch die Formulierung einer KI-Leitlinie und darauf aufbauender Richtlinien für Mitarbeitende im Umgang mit KI gehört. Hierzu sollten Governance-Strukturen etabliert werden. Eine mögliche Maßnahme könnte die Einführung einer AI-Funktion (AI-Officer) sein, die die Kompetenzentwicklung steuert. Für Schulungen bietet es sich an, zwischen Basisschulungen für alle Mitarbeitenden und zielgruppenorientierten Schulungen für bestimmte Aufgabenbereiche zu unterscheiden. In der Basisschulung kann allen Mitarbeitenden ein grundlegendes Verständnis für die Funktionsweise sowie die ethischen und rechtlichen Herausforderungen von KI-Systemen vermittelt werden. In den darüber hinausgehenden fachspezifischen Schulungen kann das für den jeweiligen Aufgabenbereich notwendige Wissen vermittelt und das Basiswissen vertieft werden. Zu den zu behandelnden Themen könnten je nach Bedarf insbesondere folgende Inhalte gehören: Allgemeine Grundlagen zum Thema KI, technische Grundlagen, Anwendungsgebiete und Limitationen, Sicherheit und Risikomanagement, rechtliche Rahmenbedingungen und Compliance-Anforderungen (insbesondere KI-VO und DSGVO) sowie ethische und gesellschaftliche Aspekte. Der Schulungsprozess sollte standardisiert werden, um ein einheitliches Kompetenzniveau im gesamten Unternehmen herzustellen. Die Durchführung der Schulungen sollte dokumentiert und auf ihre Wirksamkeit hin überprüft werden. Die Schulungen können auch von externen Dienstleistern durchgeführt werden. Die Führungsebene sollte jedoch sicherstellen, dass die Schulungen die für die eigene Unternehmenssituation relevanten Inhalte abdecken.

            FIN LAW

            I.  https://fin-law.de

            E. info@fin-law.de

            Newsletter abonnieren

            This Blog Article as Podcast?

              Kontakt

              info@fin-law.de

              Apr. 30, 2025

              Die Zukunft der Programmierung: Vibecoding mit Künstlicher Intelligenz

              Generative Sprachmodelle (KI) haben in den letzten Jahren einen bemerkenswerten Wandel in der Softwareentwicklung eingeläutet. Tools wie GitHub Copilot, Cursor, Gemini Code Assist oder Allrounder wie ChatGPT, Claude und Le Chat zeigen eindrucksvoll, dass KI längst in der Lage ist, auf einfache Texteingaben hin komplexen Code zu generieren. Diese Modelle, trainiert auf riesigen Mengen an öffentlich zugänglichem Code, bieten heute Unterstützung beim Überprüfen, Anpassen oder sogar vollständigen Entwickeln von Software. Ein neues Phänomen macht sich dabei besonders bemerkbar: Vibecoding. Dieser Ansatz verlässt sich fast vollständig auf KI-gestützte Codegenerierung und öffnet damit die Türen der Programmierwelt auch für Menschen ohne tiefgreifende technische Vorkenntnisse. Die Büchse der Pandora wurde geöffnet und wo früher jahrelanges Lernen erforderlich war, genügt heute oft ein gut formulierter Prompt – die KI erledigt den Rest. Doch bei aller Faszination für diese neue Leichtigkeit der Softwareentwicklung dürfen die Risiken nicht außer Acht gelassen werden. Die Gefahr, KI-generierten Code zu verwenden, ohne ihn wirklich zu verstehen, ist real. Fehler, Sicherheitslücken oder veraltete Praktiken können unbemerkt Einzug in Projekte halten, was gerade in professionellen Umgebungen, in denen Wartbarkeit, Skalierbarkeit und Sicherheit essenziell sind, schwerwiegende Folgen haben kann. Hinzu kommen rechtliche Fragestellungen, etwa beim Thema Urheberrecht. Hier stellt sich insbesondere die Frage, wem der von der KI generierte Code gehört und wie den Risiken begegnet werden kann?

              Urheberrechtliche Fallstricke beim Einsatz von KI in der Softwareentwicklung

              Der Einsatz generativer KI in der Programmierung wirft komplexe urheberrechtliche Fragen auf, die Entwickler und Unternehmen nicht ignorieren sollten. Einerseits basiert das Training vieler KI-Modelle auf großen Datenmengen, die häufig auch urheberrechtlich geschütztes Material enthalten. Andererseits stellt sich die Frage, ob und inwieweit der von der KI generierte Code selbst urheberrechtlich geschützt ist – und wer überhaupt als Urheber infrage kommt. Nach deutschem Urheberrecht (§§ 69a ff. UrhG) sind Computerprogramme und auch einzelne Programmteile, wie etwa Code-Snippets, grundsätzlich schutzfähig, sofern sie das Ergebnis einer eigenen geistigen Schöpfung darstellen. Dieser Schutz bezieht sich auf die konkrete Ausdrucksform des Codes, während zugrunde liegende Ideen, Algorithmen oder Schnittstellenkonzepte vom Urheberrecht explizit ausgenommen sind. Ein entscheidendes Problem bei rein KI-generiertem Code: Da es an einer menschlichen Schöpfungsleistung fehlt, genießen solche Erzeugnisse keinen urheberrechtlichen Schutz. Das bedeutet, dass Software, die vollständig von einem KI-Coding-Assistenten erstellt wurde, in der Regel als „schutzlos“ im Sinne des Urheberrechts gilt (gemeinfrei). Anders kann es aussehen, wenn der Mensch den kreativen Prozess maßgeblich steuert – etwa durch präzise Vorgaben und gezielte Einflussnahme. In solchen Fällen spricht man von einer KI-assistierten Werksschöpfung, bei der der urheberrechtliche Schutz durchaus greifen kann. Besondere Schwierigkeiten treten auf, wenn KI-Coding-Tools auf öffentliche Code-Libraries oder Packages zurückgreifen. Hier lauern gleich mehrere Gefahren: Neben dem Risiko, unbemerkt Schadcode zu integrieren, besteht die Möglichkeit, urheberrechtlich geschützten Code zu übernehmen, der unter speziellen Open-Source-Lizenzen steht. Wer etwa Codefragmente in seine Software einbindet, ohne die jeweiligen Lizenzbedingungen zu prüfen, könnte schnell gegen Lizenzvorgaben verstoßen und sich schadensersatzpflichtig machen. Gerade Lizenzmodelle wie die GPL sehen teils weitreichende Verpflichtungen vor, die die kommerzielle Nutzung erheblich einschränken können.

              Wie Unternehmen sich vor den Risiken von KI-generierter Software schützen können

              Unternehmen, die KI-gestützte Coding-Tools einsetzen oder von externen Dienstleistern Software beziehen, sollten sich frühzeitig und intensiv mit den damit verbundenen rechtlichen und technischen Risiken auseinandersetzen. Ein bewusstes Risikomanagement ist unerlässlich, um Haftungsfallen, Sicherheitslücken und Lizenzverstöße zu vermeiden. Greift ein Unternehmen auf externe Dienstleister zurück, ist es wichtig, entsprechende Regelungen im Vertrag zu verankern. Insbesondere sollte die Kennzeichnung von KI-generierten Erzeugnissen sowie der transparente Umgang mit verwendeten Drittquellen und Lizenzen vertraglich zugesichert werden. Auch beim Erwerb von Lizenzen an fremden Werken muss klar definiert sein, ob und in welchem Umfang KI bei der Erstellung der Software zum Einsatz kam. Für Unternehmen, die Softwareentwicklung intern durchführen, rückt die neue EU-Verordnung über Künstliche Intelligenz (KI-VO) in den Fokus. Während die meisten Bestimmungen der KI-VO erst ab dem 2. August 2026 gelten, sind Kapitel I und II bereits seit dem 2. Februar 2025 wirksam. Besonders Artikel 4 KI-VO verpflichtet Unternehmen dazu, ihr Personal, das mit dem Betrieb und der Nutzung von KI-Systemen befasst ist, angemessen zu schulen. Mitarbeitende müssen über ein ausreichendes Maß an KI-Kompetenz verfügen, um die Risiken – etwa beim Einsatz von Coding-Assistenten – erkennen und beherrschen zu können. Unternehmen sollten daher sicherstellen, dass ihre Entwickler nicht nur technisch versiert sind, sondern auch ein Bewusstsein für rechtliche Fallstricke, Sicherheitsaspekte und Lizenzproblematiken im Umgang mit KI-generiertem Code besitzen. Darüber hinaus empfiehlt sich die Einführung einer unternehmensweiten KI-Richtlinie. Diese sollte klare Vorgaben zum Einsatz von KI-Tools, zur Prüfung von generiertem Code sowie zum Umgang mit Open-Source-Lizenzen und Drittbibliotheken enthalten. Solche Richtlinien tragen dazu bei, einheitliche Standards zu etablieren und das Risiko von Fehlentscheidungen auf operativer Ebene zu minimieren. Der transparente Umgang mit KI-Erzeugnissen und eine proaktive Auseinandersetzung mit den neuen regulatorischen Vorgaben sind der Schlüssel, um die Vorteile von KI im Coding-Bereich sicher und rechtskonform zu nutzen.

              FIN LAW

              I.  https://fin-law.de

              E. info@fin-law,.de

              Newsletter abonnieren

              This Blog Article as Podcast?

                Kontakt

                info@fin-law.de

                Apr. 22, 2025

                MiCAR Übergang – Welche Pflichten hat die BaFin gegenüber CASPs im MiCAR Grandfathering?

                Die Vorschriften zur Zulassungspflicht und zur Einhaltung der spezifischen Compliancepflichten für Kryptodienstleister (CASP) gelten bereits seit dem 30 Dezember 2024. Unternehmen, die schon vor diesem Datum in einem Mitgliedstaat der EU oder des EWR nach dem damals geltenden Recht Dienstleistungen erbracht haben, die nunmehr als Kryptowerte-Dienstleistungen im Sinne der MiCAR einzuordnen sind, können ihren Kunden diese Dienstleistungen zunächst weiterhin anbieten, auch wenn sie aktuell noch keine MiCAR-Zulassung von der für sie zuständigen Behörde erhalten haben. Insoweit sieht die neue Verordnung in Art. 143 Abs. 3 MiCAR eine Übergangsregelung vor, das auch als Grandfathering bezeichnet wird. Art. 143 Abs. 3 MiCAR sieht vor, dass die Weiterführung der vor dem 30. Dezember 2024 legalen Geschäfte ohne erforderliche MiCAR-Zulassung bis zum 1. Juli 2026 oder bis zu dem Zeitpunkt möglich ist, an dem die zuständige nationale Aufsichtsbehörde über einen MiCAR-Zulassungsantrag des Unternehmens positiv oder negativ entschieden hat. Nicht erforderlich ist nach der Grandfathering-Regel der Verordnung, dass das Unternehmen den Zulassungsantrag zu einem bestimmten Zeitpunkt tatsächlich stellt. Ebenso wenig trifft die Übergangsvorschrift eine Aussage darüber, ob der Antrag auf Erteilung einer MiCAR-Lizenz einen bestimmten Umfang haben muss, insbesondere ob er alle im Rahmen des Grandfatherings weiter betriebenen Geschäfte umfassen muss. Die Mitgliedstaaten haben indes allein die Möglichkeit, den Zeitraum des Grandfatherings für ihre Jurisdiktion zeitlich zu beschränken. Eine Einschränkung des Adressatenkreises von Art. 143 Abs. 3 MiCAR oder der konkreten Kryptodienstleistungen, die für das Grandfathering in Frage kommen, steht ihnen nicht zu.

                Gefahren für CASPs lauern beim MiCAR Passporting

                Kurz bevor die Übergangsvorschrift zum MiCAR Grandfathering zur Rechtsgeltung kam, veröffentlichte die European Securities and Markets Authority (ESMA) im Dezember 2024 eine Stellungnahme zur Handhabung der Übergangsregel der MiCAR für CASPs. Im Kern warnte die ESMA sowohl die CASPs als auch die für sie zuständigen nationalen Aufsichtsbehörden vor Problemen mit dem Grandfathering-Regime im Fall von Unternehmen, die ihre Kryptodienstleistungen in mehreren Mitgliedstaaten des EU anbieten. Probleme könnten insoweit entstehen, als dass die einzelnen Mitgliedstaaten sehr unterschiedlich von ihrer Möglichkeit Gebrauch gemacht haben, das Grandfathering zeitlich strenger zu befristen als es die MiCAR maximal vorsieht. Während beispielsweise in Deutschland und Österreich eine maximale Grandfatheringfrist von 12 Monaten gilt, erlauben die Niederlande, Polen und Finnland lediglich sechs Monate. Frankreich, Dänemark und Tschechien gewähren das Grandfathering in Anspruch nehmenden CASPs demgegenüber bis zu 18 Monate Zeit, um die Vorgaben der MiCAR vollständig umzusetzen und die erforderliche Zulassung zu erhalten. Diese Unterschiede bergen Risiken für CASPs, die sowohl in Staaten mit einer Frist von 12 als auch von sechs Monaten tätig sind, wenn sie beispielsweise ihre in Deutschland beantragte Erlaubnis für das Geschäft in den Niederlanden im Wege des Passportings nutzen wollen, die BaFin die erforderliche MiCAR Lizenz aber erst nach Ablauf der in den Niederlanden geltenden Übergangsfrist von sechs Monaten erteilt. In diesem Szenario droht dem betreffenden Kryptowertedienstleister die Einstellung des Niederlandegeschäfts, da er sich dort nach sechs Monaten nicht mehr auf Art. 143 Abs. 3 MiCAR berufen könnte.

                BaFin muss Gesamtsituation bei Bearbeitung der Zulassungsanträge im Blick behalten

                Die Empfehlungen der ESMA richten sich sowohl an die CASps als auch an die für die Bearbeitung von Zulassungsanträgen nach MiCAR zuständigen Aufsichtsbehörden. Den Kryptodienstleistern wird dringend empfohlen, die Zulassungsanträge nach der MiCAR schnellstmöglich zu stellen, um den Behörden eine Bearbeitung innerhalb der Grandfathering-Periode zu ermöglichen. Zudem werden die CASPs dazu aufgefordert, etwaige Probleme wegen der unterschiedlichen Laufzeiten der Übergangsbestimmungen in den einzelnen Mitgliedstaaten schnellstmöglich zu erkennen, um gegebenenfalls auch in Mitgliedstaaten mit kurzen Übergangsfristen Anträge auf Erteilung der erforderlichen MiCAR Lizenz zu stellen. Aber auch von den zuständigen Aufsichtsbehörden erwartet die ESMA vorausschauendes Handeln. Diese sollen mit den Antragstellern frühzeitig in einen ausführlichen Austausch gehen, um über in anderen Mitgliedstaaten betriebene Geschäfte informiert zu sein. Die BaFin wird in diesem Zusammenhang frühestmöglich und ständig mit den Aufsichtsbehörden der anderen Mitgliedstaaten in Abstimmung gehen müssen, um vermeidbare Disruptionen wegen fehlender Zulassungen nach abgelaufenen Grandfatheringfristen verhindern zu können. Ebenso wird die BaFin Anträge von betroffenen CASPs vorrangig bearbeiten müssen.

                Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

                I.  https://fin-law.de

                E. info@fin-law.de

                Newsletter abonnieren

                This Blog Article as Podcast?

                  Kontakt

                  info@fin-law.de

                  Apr. 07, 2025

                  Anbieten von AI-Investment-Tools: Erlaubnispflichtige Tätigkeit?

                  Künstliche Intelligenz (KI) oder genauer gesagt Large Language Models (LLM) sind nicht mehr nur im Kommen, sondern in weiten Teilen des geschäftlichen und privaten Umfeldes bereits angekommen. Die Nutzung von Chatbots und anderen KI-Anwendungen wird mehr und mehr Teil des alltäglichen Lebens. Antworten auf Fragen, die früher nur durch aufwändige Google-Recherchen und das Besuchen vieler verschiedener Websites, einschließlich dem Manövrieren von lästigen Cookie-Bannern und oft einer Flut von ungewünschter Werbung beantwortet werden konnten, erledigt ein Chatbot nun in wenigen Sekunden. Der Mehrwert von Websuchen durch Chatbots für Nutzer ist nicht von der Hand zu weisen. Es ist daher kein Wunder, dass das Vertrauen in und der Wunsch nach KI-gestützten Tools in immer mehr Lebensbereichen zunimmt. Eine mögliche Verwendung von KI/LLMs kann darin liegen, diese zu nutzen, um Anlageentscheidungen zu treffen. So hat sich zuletzt auch die ESMA genötigt gesehen, eine Warnung vor den Risiken bei KI-Nutzung in der Geldanlage zu veröffentlichen. Diese wurde am 28. März 2025 auch auf der Website der BaFin veröffentlicht. Verbraucher sollen insbesondere vorsichtig sein, wenn Kauf- und/oder Verkaufssignale künstlich generiert werden, so die BaFin. KI-Tools wie auch -Apps könnten Tipps oder Empfehlungen abgeben, die unzutreffend oder irreführend sein könnten. Wer darauf basierend investiere, riskiere erhebliche finanzielle Verluste. KI-Tools und -Apps werden weder durch Finanzaufsichtsbehörden zugelassen noch von ihnen beaufsichtigt. Dieser Hinweis gibt noch einmal Anlass dazu, die bisherige Einordnung von Anbietern automatisierter softwaregestützter Investment-Services zu beleuchten und in diesem Zusammenhang zu prüfen, unter welchen Voraussetzungen Anbieter von dedizierten AI-Investment-Tools einer Erlaubnis durch die BaFin bedürfen.

                  Der sogenannte Robo-Advice

                  Die BaFin beschäftigt sich schon länger mit dem Thema des automatisierten Vertriebs von Finanzinstrumenten und ähnlichen digitalen Angeboten und insofern auch mit AI-Investment-Tools. Bereits in einem Beitrag aus dem Jahresbericht 2017 fasst die BaFin diese unter dem Begriff Robo-Advice zusammen und konstatiert, dass ein solcher in der Regel den Tatbestand der Anlageberatung oder der Finanzportfolioverwaltung erfüllt und daher einer Erlaubnis nach Bank- oder Gewerberecht bedarf. In einem späteren Beitrag aus dem Jahr 2020 wiederholte die BaFin unter dem Titel „Robo-Advice – Automatisierte Anlageberatung und Finanzportfolioverwaltung“ noch einmal ihre Auffassung, dass Robo-Advice rechtlich als Anlageberatung, Finanzportfolioverwaltung, Abschlussvermittlung oder Anlagevermittlung eingestuft werden kann. In ihrem Merkblatt „Automatisierte und signalbezogene Beratungs- und Handelssysteme“ aus dem Jahr 2022 betonte die BaFin noch einmal, dass eine abschließende aufsichtsrechtliche Beurteilung nur möglich sei, wenn der BaFin die vertraglichen Vereinbarungen zwischen dem Anbieter und dessen Kunden im Einzelfall bekannt gemacht würden. Auch in der Rechtsprechung ist die Haftung für Robo-Advice schon behandelt worden. So hat das OLG Hamm in einem Urteil vom 30. Mai 2018 – 12 U 95/16 entschieden, dass beim automatisierten Internethandel mit Finanzprodukten ein (erlaubnisfreier) Eigenhandel desjenigen vorliegt, „der über die grundlegenden Einstellungen und Vorgaben der Software entscheidet“. Entscheidend sei nicht, wer die Einstellungen tatsächlich vornimmt oder wo die Software installiert ist (Hardware des Kunden oder Cloudlösung). Das Gericht betrachtet als Hauptkriterium, wer im Verhältnis der Parteien die „entscheidenden Vorgaben“ gemacht hat. In der Literatur wurde hierzu unter anderem vertreten, dass bei Software mit abstrakt festgelegten Handelsalgorithmen ein Entscheidungsspielraum des Software-Anbieters fehle. Verantwortlich für den Einsatz einer Software sei ihr Nutzer. Entscheidend sei, welcher Vertragspartner final über den Einsatz oder Nichteinsatz entscheiden kann (in der Regel der Nutzer). Daher solle die automatisierte Portfolioverwaltung zumindest keine erlaubnispflichtige Finanzportfolioverwaltung sein.

                  Was spricht nun für und gegen eine erlaubnispflichtige Tätigkeit von Anbietern von AI-Investment-Tools?

                  Zunächst muss festgehalten werden, dass das Urteil des OLG Hamm sich nicht pauschal auf alle Robo-Adviser und AI-Investment-Tools übertragen lässt, da es von einem Fall ausgeht, in dem tatsächlich wesentliche Vorgaben an die Software vom Anleger selbst gemacht wurden. Außerdem besteht bei KI-Systemen dieselbe Schutzbedürftigkeit des Anlegers wie bei einer Beratung oder Verwaltung durch einen Menschen. Die bloße Verfügungsgewalt des Anlegers (Aktivierung/Deaktivierung) ändert nichts an der fehlenden Vorhersehbarkeit der KI-Entscheidungen. LLMs zeichnen sich gerade dadurch aus, dass nicht bloß fest vorgegebene Algorithmen abgespult werden. Ohne Vorhersehbarkeit für den Anleger sollte eine Anlageentscheidung diesem nicht zugerechnet werden können. Wenn ein Anleger einen gewöhnlichen KI-Chatbot verwendet und diesen um Hilfe bei Anlageentscheidungen bittet, wird wohl noch nicht davon auszugehen sein, dass der Anbieter dieses Chatbots eine erlaubnispflichtige Tätigkeit erbringt. Anders könnte die Situation sein, wenn explizit KI-gestützte Software angeboten wird, die automatisiert das Portfolio des Anlegers verwaltet und für diesen Kauf- und Verkaufsentscheidungen trifft. Für Anbieter von AI-Investment-Tools ist daher in jedem Einzelfall zu prüfen, ob die eigene Anwendung erlaubnispflichtige Tätigkeiten beinhaltet. Gegebenenfalls ist das Geschäftsmodell anzupassen, um Erlaubnispflichten zu vermeiden oder eine Erlaubnis einzuholen. Es kann auch über Kooperationen mit Marktteilnehmern, die bereits über die notwendigen Erlaubnisse verfügen, nachgedacht werden. Nach einer Analyse des eigenen Geschäftsmodells sollte zunächst eine Anfrage an die BaFin gestellt werden, um sich Klarheit über das eigene Vorhaben zu verschaffen, bevor das KI-Investment-Tool Anlegern im deutschen Raum angeboten wird.

                  FIN LAW

                  I.  https://fin-law.de

                  E. info@fin-law.de

                  Zuständiger Anwalt für Fragen zu KI-Investment-Tools, Robo-Advisern und IT-Recht in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

                  Newsletter abonnieren

                    Kontakt

                    info@fin-law.de

                    März 31, 2025

                    Emission von Stablecoins im Gegenwert bis 5 Mio. Euro – Welche Vorteile bietet MiCAR kleinen ART-Emittenten an?

                    Sog. vermögenswertereferenzierte Token (asset-referenced Token, ART) werden unter der Markets in Crypto Assets Regulation (MiCAR) bereits seit Sommer 2024 streng reguliert.  Nach der Definition der MiCAR sind ART eine Spezialform von Kryptowerten, die eine Wertstabilität durch Bezugnahme auf einen oder mehrere andere Vermögenswerte zu wahren versucht, ohne dabei als E-Geld Token (EMT) zu klassifizieren. Nach dem neuen Aufsichtsregime für Kryptowerte in der EU ist es im Grundsatz zunächst nur Kreditinstituten und eigens für die Emission von ART zugelassenen Emittenten gestattet, vermögenswertereferenzierte Token auszugeben und öffentlich anzubieten. Von diesem Grundsatz lässt die MiCAR indes eine Ausnahme für Kleinstemissionen zu, die dann einschlägig ist, wenn der Gegenwert der von dem betreffenden Emittenten ausgegebenen ART über einen Zeitraum von zwölf Monaten den Schwellenwert von 5 Mio. Euro nicht überschritten hat. Der durchschnittliche ausstehende Wert ist dabei jeweils am Ende eines jeden Kalendertages zu berechnen. Sind diese Voraussetzungen gegeben, benötigt der Emittent der vermögenswertereferenzierten Token keine MiCAR Lizenz und muss in der Folge keinen Zulassungsantrag bei der zuständigen Behörde – in Deutschland der BaFin – stellen. Damit entfallen jedoch nicht auch alle übrigen Anforderungen an ART-Emittenten, die die MiCAR aufstellt.

                    Pflicht zur Erstellung eines Kryptowerte-Whitepapers auch für ART-Emittenten unter der 5-Millionen-Ausnahme

                    Eine zentrale Pflicht von Emittenten von Kryptowerten nach MiCAR ist die Pflicht zur Erstellung und Veröffentlichung eines Kryptowerte-Whitepapers. Auch und insbesondere ART-Emittenten haben ein Kryptowerte-Whitepaper für die von ihnen auszugebenden Stablecoins zu erstellen. Die in das Dokument zwingend aufzunehmenden Inhalte legt die MiCAR sehr detailliert fest. Unter der Bereichsausnahme für ART-Emissionen unter der 5 Millionen-Schwelle entfällt lediglich das Erfordernis der Einholung einer MiCAR Zulassung als Emittent vermögenswertereferenzierter Token bzw. ein Kreditinstitut zu sein. Die Pflicht zur Erstellung eines ART-Whitepapers ordnet der Verordnungstext jedoch ausdrücklich auch für die Fälle an, in denen von dem Ausnahmetatbestand Gebrauch gemacht wird. Auch die Ausnahmetatbestände für Emissionen sonstiger Kryptowerte – etwa bei Angeboten an nicht mehr als 150 Anleger pro Mitgliedstaat oder bei kostenlosen Angeboten von Kryptowerten – sind für Emissionen von ART generell nicht anwendbar. An der Pflicht zur Whitepapererstellung kommen daher auch ART-Emittenten nicht vorbei, selbst wenn sie stets mit ihren ausgegebenen ART unterhalb der Grenze des Gegenwertes von 5 Mio. Euro bleiben.

                    BaFin muss das ART-Whitepaper unter der 5-Millionen-Ausnahme nicht genehmigen

                    Grundsätzlich sieht die MiCAR für Kryptowerte-Whitepaper zu ART vor, dass diese ausdrücklich von der zuständigen Behörde genehmigt werden müssen. Dieser erhebliche Unterschied zu dem für sonstige Kryptowerte zu erstellenden Whitepaper kann damit begründet werden, dass die aufsichtsrechtlichen Anforderungen an ART-Emittenten deutlich umfangreicher als die von Emittenten sonstiger, nicht als ART oder als EMT qualifizierender Kryptowerte sind. Für unter dem Ausnahmetatbestand für ART-Emissionen unter 5 Mio. agierende Emittenten besteht die Genehmigungspflicht indes nicht. Probleme bereitet diese Regelung insoweit, als dass sie eine Rechtsunsicherheit in Bezug auf die Frage schafft, wie genau Kleinstemittenten von ART ihr Whitepaper veröffentlichen müssen. Denn die MiCAR-Regelung zur Veröffentlichungspflicht auf der Website des Emittenten bezieht sich für Kryptowerte-Whitepaper zu ART nach ihrem Wortlaut ausschließlich Kryptowerte-Whitepaper, die genehmigt worden sind. Zu dieser Frage hat deshalb die irische Zentralbank bereits im August 2024 bei der ESMA um Klarstellung gebeten. Die Antwort der ESMA steht allerdings noch aus und wird derzeit noch immer von der EU-Kommission geprüft. Jedoch werden Emittenten bei ART-Emissionen unter dem Gegenwert von 5 Mio. Euro gut beraten sein, die Veröffentlichung jedenfalls auch auf der eigenen Website zu veröffentlichen und es vom Start des öffentlichen Angebots dort verfügbar zu halten und erst zu entfernen, wenn kein Dritter mehr einen der emittierten ART hält.

                    Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

                    I.  https://fin-law.de

                    E. info@fin-law.de

                    Zuständiger Anwalt in unserer Kanzlei für Fragen zur Zulassung als Emittent vermögenswertereferenzierter Token und zu diesbezüglichen Ausnahmetatbeständen ist Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London).

                    Newsletter abonnieren

                      Kontakt

                      info@fin-law.de

                      März 24, 2025

                      Qualifizierte Kryptoverwahrung – Sind NFTs in Deutschland als kryptografische Instrumente reguliert?

                      Die Markets in Crypto Assets Regulation (MiCAR) gilt bereits seit fast drei Monaten vollumfänglich in der Europäischen Union und belegt Kryptodienstleister unionsweit einheitlich mit Compliance- und Zulassungspflichten. Die vormals in Deutschland geltende nationale Kryptoregulierung hat damit grundsätzlich ausgedient. Für den Bereich der Kryptoverwahrung ist jedoch auch unter dem Regime der MiCAR noch ein kleiner Rest an nationaler Regulierung übrig geblieben. Im Zuge des Umsetzungsgesetzes zur Regelung des Übergangs in das MiCAR-Regime musste der deutsche Gesetzgeber eine Lösung für die Unternehmen finden, die mit ihrer nationalen Kryptoverwahrlizenz vor Geltung der MiCAR Kryptowerte verwahren durften, die nunmehr nicht in den Anwendungsbereich der MiCAR fallen. Den mit einer nationalen KWG-Lizenz ausgestatteten Kryptoverwahrern sollte durch den Übergang zur MiCAR nicht die Reichweite ihres Verwahrportfolios beschränkt werden, so sinngemäß die Regierungsbegründung zum Finanzmarktdigitalisierungsgesetz, in dem der Übergang zur MiCAR vollzogen wurde. Insbesondere betraf diese Problematik Kryptowerte, die zugleich die Anforderungen an ein Finanzinstrument im Sinne der MiFID2-Regulierung erfüllen. Solche Finanzinstrumente nimmt die MiCAR ausdrücklich von ihrem Anwendungsbereich aus. Ebenfalls vom Anwendungsbereich der MiCAR ausgenommen sind sog. non-fungible Token (NFT), also Kryptowerte, die invididuell ausgestaltet sind und nicht mit anderen Kryptowerten gleicher Art und Güte austauschbar sind.

                      Kann ein NFT kryptografisches Instrument im Sinne des KWG sein?

                      Zur Lösung des Problems führte der deutsche Gesetzgeber die neue aufsichtsrechtliche Kategorie der kryptografischen Instrumente ein. Es ist in diesem Zusammenhang wichtig zu verstehen, dass es sich bei kryptografischen Instrumenten nicht um Finanzinstrumente im Sinne des KWG handelt, sondern um Spezialkategorie von Instrumenten, die lediglich insoweit eine Rolle spielen, als dass nur Finanzdienstleistungsinstitute mit einer Erlaubnis für die qualifizierte Kryptoverwahrung kryptografische Instrumente verwahren dürfen. Für andere Erlaubnistatbestände spielen kryptografische Instrumente keine Rolle. Definiert sind kryptografische Instrumente im KWG in Weiterführung des ehemaligen nationalen Kryptowertebegriffs – der abzuschaffen war – als digitale Darstellungen eines Wertes, der von keiner Zentralbank oder öffentlichen Stelle emittiert wurde oder garantiert wird und nicht den gesetzlichen Status einer Währung oder von Geld besitzt, aber von natürlichen oder juristischen Personen aufgrund einer Vereinbarung oder tatsächlichen Übung als Tausch- oder Zahlungsmittel akzeptiert wird oder Anlagezwecken dient und der auf elektronischem Wege übertragen, gespeichert und gehandelt werden kann. Das KWG nimmt zudem vier Arten von Instrumenten ausdrücklich von der Definition aus, namentlich E-Geld, monetäre Werte in closed-loop-Modellen, Kryptowerte nach MiCAR und Wertpapiere im Sinne des Depotgesetzes. Soweit demnach ein NTF im Einzelfall die gesetzliche Definition erfüllt und ein kryptografisches Instrument darstellt, kann die Verwahrung des NFT in Deutschland eine Erlaubnis der BaFin zur Erbringung der qualifizierten Kryptoverwahrung erfordern. Insbesondere kann dies bei NFTs gegeben sein, die zu Anlagezwecken dienen.

                      BaFin kann Erlaubnis für das qualifizierte Kryptoverwahrgeschäft nach KWG auch isoliert erteilen

                      Die Verwahrung von NFT oder kryptografischen Schlüsseln (private keys) zu NFT für Kunden kann daher als qualifiziertes Kryptoverwahrgeschäft qualifizieren, auch wenn die Verwahrung beispielsweise lediglich als Zusatzservice beispielsweise zu dem Betrieb einer Tauschplattform für die NFTs angeboten wird. Bei der qualifizierten Kryptoverwahrung handelt es sich um eine vollwertige Finanzdienstleistung im Sinne des KWG, so dass in solchen Fällen bei der BaFin ein Antrag auf Erteilung einer entsprechenden Erlaubnis gestellt werden kann. Unerheblich ist, ob das betreffende Unternehmen des Antragstellers auch über eine Erlaubnis nach der MiCAR für die Kryptoverwahrung oder eine sonstige Kryptodienstleistung verfügt. Die Erlaubnis nach KWG und eine Zulassung nach MiCAR können parallel erteilt werden. Die Anforderungen an einen Erlaubnisantrag nach dem KWG sind umfangreich. Insbesondere muss der Antragsteller einen tragfähigen Geschäftsplan für die ersten drei Geschäftsjahre vorlegen, zuverlässige und fachlich geeignete Geschäftsleiter haben, die ausreichend Zeit für die Führung der Geschäfte mitbringen und eine den aufsichtsrechtlichen Mindeststandards genügende Geschäftsorganisation im Hinblick auf das Risikomanagement, die IT-Sicherheit, die Geldwäsche-Compliance und das Notfall-Management vorweisen können. Das regulatorische Mindestkapital, das qualifizierte Kryptoverwahrer jederzeit mindestens vorweisen können müssen, beträgt 150.000 Euro, sofern sie nicht zusätzlich auch mit Finanzinstrumenten auf eigene Rechnung handeln.

                      Rechtsanwalt Lutz Auffenberg, LL.M. (London)

                      I.  https://fin-law.de

                      E. info@fin-law.de

                      Zuständiger Anwalt für Fragen zur aufsichtsrechtlichen Behandlung von NFT und Erlaubnisverfahren bei der BaFin in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

                      Newsletter abonnieren

                        Kontakt

                        info@fin-law.de

                        März 17, 2025

                        DORA in der Praxis: Was sind kritische oder wichtige Funktionen und warum die Frage danach so wichtig ist.

                        Die Verordnung (EU) 2022/2554, auch bekannt als DORA, ist in Kraft getreten und stellt Finanzunternehmen vor neue Herausforderungen. Diese Verordnung zielt darauf ab, die Risiken zu minimieren, die aus der digitalen Transformation und der zunehmenden Vernetzung in der Finanz- und Versicherungsbranche resultieren. DORA legt den Fokus auf die Bewältigung von Bedrohungen wie Cyberangriffen und Betriebsunterbrechungen, um die operationale Resilienz zu stärken. Die Anforderungen, die DORA an Finanzunternehmen stellt, sind komplex und bringen einen erheblichen bürokratischen Aufwand mit sich. Dennoch fördert die Verordnung wichtige Mindeststandards im Bereich der digitalen operativen Resilienz. DORA wird durch technische Regulierungsstandards (RTS) und technische Durchführungsstandards (ITS) ergänzt, die von den Europäischen Aufsichtsbehörden ESA (EBA, EIOPA und ESMA) in Zusammenarbeit mit nationalen Aufsichtsbehörden entwickelt und von der Kommission erlassen werden. Viele dieser RTS sind bereits in Kraft getreten und bieten Finanzunternehmen konkrete Vorgaben zur Umsetzung der DORA-Anforderungen. Trotz der weitgehenden Anwendbarkeit von DORA und den RTS bleiben jedoch Unklarheiten in der Auslegung und Umsetzung im Einzelfall bestehen. Fehlende verbindliche Auslegungshinweise erschweren es den Finanzunternehmen, die zahlreichen neuen Pflichten zu erfüllen. In vielen Bereichen ist die Unsicherheit bei den Finanzunternehmen noch groß. Ein konkretes Beispiel für die bestehenden Schwierigkeiten, denen die Finanzunternehmen begegnen, findet sich bereits bei der vermeintlich simplen Aufgabe, ein Informationsregister zu erstellen, es korrekt auszufüllen und es sodann der BaFin rechtzeitig zur Verfügung zu stellen. Abseits der technischen Schwierigkeiten ist hier das größte Problem, dass die vorangestellte Frage beantwortet werden muss, ob eine Funktion, die von einem IKT-Drittdienstleister bereitgestellt wird, wichtig oder kritisch ist.

                        Wichtige oder kritische Funktion – Warum ist Einordnung praktisch relevant?

                        Was sind also kritische oder wichtige Funktionen im Sinne der DORA-Verordnung? Was eine Funktion im Sinne der DORA ist, definiert die Verordnung nicht. Möglicherweise hielt der europäische Gesetzgeber für selbstverständlich, was hiermit gemeint sein soll, und hat deshalb auf eine Definition verzichtet. Aus dem Kontext und den Zielsetzungen der Verordnung – nämlich die digitale operationale Resilienz des Geschäftsbetriebs zu stärken – lässt sich schließen, dass Funktionen im Sinne der DORA operative und geschäftliche Funktionen eines Finanzunternehmens meint. DORA definiert in Art. 3 Nr. 22 eine kritische oder wichtige Funktion als eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen eines Finanzunternehmens oder seiner sonstigen Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde. Kurzgesagt sind dies Funktionen, deren Ausfall eine erhebliche Beeinträchtigung verursachen würde in Bezug auf: die finanzielle Leistungsfähigkeit, die Geschäftsfortführung oder regulatorische Vorgaben. Praktische Relevanz erlangt die Einordnung für IKT-Drittdienstleister, die eine solche kritische oder wichtige Funktion bereitstellen oder wesentliche Teile davon unterstützen. Hier gelten unter anderem wesentlich umfangreichere Anforderungen an die Vertragsgestaltung. Außerdem muss für nicht-kritische Funktionen im Informationsregister nur der direkte IKT-Drittdienstleister angegeben werden. Bei kritischen oder wichtigen Funktionen sind hingegen auch alle Unterauftragnehmer in der IKT-Dienstleistungskette zu erfassen.

                        Das Informationsregister und erste Hinweise der BaFin

                        Nach Art. 28 Abs. 3 DORA müssen Finanzunternehmen ein Informationsregister (Register of Information, abgekürzt „RoI“) führen, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen bezieht. Das Register soll den zuständigen Behörden jährlich zur Verfügung gestellt werden. Initial sind die Register am 11. April 2025 bei der BaFin einzureichen. Die Anforderungen an die Informationsregister werden durch die Durchführungsverordnung (EU) 2024/2956 der Kommission (RTS RoI) festgelegt. Die BaFin hat am 6. März 2025 einen Workshop zur Einreichung der Informationsregister veranstaltet, um den betroffenen Finanzunternehmen Hinweise und Hilfestellungen zu geben. Die BaFin ist sichtlich bemüht, die Finanzunternehmen bei der Umsetzung der DORA zu unterstützen. Die Informationsregister müssen als strukturierte Datei nach der Taxonomie der ESAs erstellt werden. Dagegen stellt die BaFin eine Excel-Vorlage zur Verfügung und akzeptiert auch Register, die mit dieser Vorlage erstellt wurden. Um insbesondere kleineren Finanzunternehmen die Einreichung zu erleichtern, übernimmt die BaFin die Konvertierung der ausgefüllten Excel-Vorlagen ins Zielformat. Auch zu der Frage, wie festgestellt werden kann, ob ein Unterauftragnehmer in der IKT-Dienstleistungskette im Informationsregister zu erfassen ist, hat sich die BaFin in dem Workshop geäußert. Die BaFin hat hierfür drei Orientierungsfragen vorgeschlagen:

                        1. Besteht eine direkte Abhängigkeit zwischen der IKT-Dienstleistung und dem Unterauftragnehmer?
                        2. Stellt der Unterauftragnehmer die Erbringung wesentlicher Teile der IKT-Dienstleistung zur Unterstützung einer kritischen oder wichtigen Funktion sicher?
                        3. Könnte eine Störung beim Unterauftragnehmer die Sicherheit oder Kontinuität der IKT-Dienstleistung beeinträchtigen?

                        Die BaFin wies auch darauf hin, dass das Proportionalitätsprinzip sowie ein risikobasierter Ansatz zu berücksichtigen sind. Die von der BaFin vorgeschlagene Auslegung soll vorbehaltlich späterer widersprechender Interpretationen durch die ESAs gelten. Trotz der vorgeschlagenen systematischen Fragen bleiben Unsicherheiten für Finanzunternehmen. Schließlich müssen diese im Einzelfall entscheiden, ob ein Unterauftragnehmer in der Kette der Subunternehmer noch aufzunehmen ist oder nicht. Allein der Aufwand, alle Subunternehmer in der Kette ausfindig zu machen, ist schon ein Kraftakt. Hinzu kommt dann noch eine Abwägung für jeden Unterauftragnehmer.

                        FIN LAW

                        I.  https://fin-law.de

                        E. info@fin-law.de

                        Zuständiger Anwalt für Fragen zu DORA und IT-Recht in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

                        Newsletter abonnieren

                          Kontakt

                          info@fin-law.de

                          to top