Kostenloses Erstgespräch

Kategorie: blog DE

Apr. 07, 2025

Anbieten von AI-Investment-Tools: Erlaubnispflichtige Tätigkeit?

Künstliche Intelligenz (KI) oder genauer gesagt Large Language Models (LLM) sind nicht mehr nur im Kommen, sondern in weiten Teilen des geschäftlichen und privaten Umfeldes bereits angekommen. Die Nutzung von Chatbots und anderen KI-Anwendungen wird mehr und mehr Teil des alltäglichen Lebens. Antworten auf Fragen, die früher nur durch aufwändige Google-Recherchen und das Besuchen vieler verschiedener Websites, einschließlich dem Manövrieren von lästigen Cookie-Bannern und oft einer Flut von ungewünschter Werbung beantwortet werden konnten, erledigt ein Chatbot nun in wenigen Sekunden. Der Mehrwert von Websuchen durch Chatbots für Nutzer ist nicht von der Hand zu weisen. Es ist daher kein Wunder, dass das Vertrauen in und der Wunsch nach KI-gestützten Tools in immer mehr Lebensbereichen zunimmt. Eine mögliche Verwendung von KI/LLMs kann darin liegen, diese zu nutzen, um Anlageentscheidungen zu treffen. So hat sich zuletzt auch die ESMA genötigt gesehen, eine Warnung vor den Risiken bei KI-Nutzung in der Geldanlage zu veröffentlichen. Diese wurde am 28. März 2025 auch auf der Website der BaFin veröffentlicht. Verbraucher sollen insbesondere vorsichtig sein, wenn Kauf- und/oder Verkaufssignale künstlich generiert werden, so die BaFin. KI-Tools wie auch -Apps könnten Tipps oder Empfehlungen abgeben, die unzutreffend oder irreführend sein könnten. Wer darauf basierend investiere, riskiere erhebliche finanzielle Verluste. KI-Tools und -Apps werden weder durch Finanzaufsichtsbehörden zugelassen noch von ihnen beaufsichtigt. Dieser Hinweis gibt noch einmal Anlass dazu, die bisherige Einordnung von Anbietern automatisierter softwaregestützter Investment-Services zu beleuchten und in diesem Zusammenhang zu prüfen, unter welchen Voraussetzungen Anbieter von dedizierten AI-Investment-Tools einer Erlaubnis durch die BaFin bedürfen.

Der sogenannte Robo-Advice

Die BaFin beschäftigt sich schon länger mit dem Thema des automatisierten Vertriebs von Finanzinstrumenten und ähnlichen digitalen Angeboten und insofern auch mit AI-Investment-Tools. Bereits in einem Beitrag aus dem Jahresbericht 2017 fasst die BaFin diese unter dem Begriff Robo-Advice zusammen und konstatiert, dass ein solcher in der Regel den Tatbestand der Anlageberatung oder der Finanzportfolioverwaltung erfüllt und daher einer Erlaubnis nach Bank- oder Gewerberecht bedarf. In einem späteren Beitrag aus dem Jahr 2020 wiederholte die BaFin unter dem Titel „Robo-Advice – Automatisierte Anlageberatung und Finanzportfolioverwaltung“ noch einmal ihre Auffassung, dass Robo-Advice rechtlich als Anlageberatung, Finanzportfolioverwaltung, Abschlussvermittlung oder Anlagevermittlung eingestuft werden kann. In ihrem Merkblatt „Automatisierte und signalbezogene Beratungs- und Handelssysteme“ aus dem Jahr 2022 betonte die BaFin noch einmal, dass eine abschließende aufsichtsrechtliche Beurteilung nur möglich sei, wenn der BaFin die vertraglichen Vereinbarungen zwischen dem Anbieter und dessen Kunden im Einzelfall bekannt gemacht würden. Auch in der Rechtsprechung ist die Haftung für Robo-Advice schon behandelt worden. So hat das OLG Hamm in einem Urteil vom 30. Mai 2018 – 12 U 95/16 entschieden, dass beim automatisierten Internethandel mit Finanzprodukten ein (erlaubnisfreier) Eigenhandel desjenigen vorliegt, „der über die grundlegenden Einstellungen und Vorgaben der Software entscheidet“. Entscheidend sei nicht, wer die Einstellungen tatsächlich vornimmt oder wo die Software installiert ist (Hardware des Kunden oder Cloudlösung). Das Gericht betrachtet als Hauptkriterium, wer im Verhältnis der Parteien die „entscheidenden Vorgaben“ gemacht hat. In der Literatur wurde hierzu unter anderem vertreten, dass bei Software mit abstrakt festgelegten Handelsalgorithmen ein Entscheidungsspielraum des Software-Anbieters fehle. Verantwortlich für den Einsatz einer Software sei ihr Nutzer. Entscheidend sei, welcher Vertragspartner final über den Einsatz oder Nichteinsatz entscheiden kann (in der Regel der Nutzer). Daher solle die automatisierte Portfolioverwaltung zumindest keine erlaubnispflichtige Finanzportfolioverwaltung sein.

Was spricht nun für und gegen eine erlaubnispflichtige Tätigkeit von Anbietern von AI-Investment-Tools?

Zunächst muss festgehalten werden, dass das Urteil des OLG Hamm sich nicht pauschal auf alle Robo-Adviser und AI-Investment-Tools übertragen lässt, da es von einem Fall ausgeht, in dem tatsächlich wesentliche Vorgaben an die Software vom Anleger selbst gemacht wurden. Außerdem besteht bei KI-Systemen dieselbe Schutzbedürftigkeit des Anlegers wie bei einer Beratung oder Verwaltung durch einen Menschen. Die bloße Verfügungsgewalt des Anlegers (Aktivierung/Deaktivierung) ändert nichts an der fehlenden Vorhersehbarkeit der KI-Entscheidungen. LLMs zeichnen sich gerade dadurch aus, dass nicht bloß fest vorgegebene Algorithmen abgespult werden. Ohne Vorhersehbarkeit für den Anleger sollte eine Anlageentscheidung diesem nicht zugerechnet werden können. Wenn ein Anleger einen gewöhnlichen KI-Chatbot verwendet und diesen um Hilfe bei Anlageentscheidungen bittet, wird wohl noch nicht davon auszugehen sein, dass der Anbieter dieses Chatbots eine erlaubnispflichtige Tätigkeit erbringt. Anders könnte die Situation sein, wenn explizit KI-gestützte Software angeboten wird, die automatisiert das Portfolio des Anlegers verwaltet und für diesen Kauf- und Verkaufsentscheidungen trifft. Für Anbieter von AI-Investment-Tools ist daher in jedem Einzelfall zu prüfen, ob die eigene Anwendung erlaubnispflichtige Tätigkeiten beinhaltet. Gegebenenfalls ist das Geschäftsmodell anzupassen, um Erlaubnispflichten zu vermeiden oder eine Erlaubnis einzuholen. Es kann auch über Kooperationen mit Marktteilnehmern, die bereits über die notwendigen Erlaubnisse verfügen, nachgedacht werden. Nach einer Analyse des eigenen Geschäftsmodells sollte zunächst eine Anfrage an die BaFin gestellt werden, um sich Klarheit über das eigene Vorhaben zu verschaffen, bevor das KI-Investment-Tool Anlegern im deutschen Raum angeboten wird.

FIN LAW

I.  https://fin-law.de

E. info@fin-law.de

Zuständiger Anwalt für Fragen zu KI-Investment-Tools, Robo-Advisern und IT-Recht in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

Newsletter abonnieren

    Kontakt

    info@fin-law.de

    März 31, 2025

    Emission von Stablecoins im Gegenwert bis 5 Mio. Euro – Welche Vorteile bietet MiCAR kleinen ART-Emittenten an?

    Sog. vermögenswertereferenzierte Token (asset-referenced Token, ART) werden unter der Markets in Crypto Assets Regulation (MiCAR) bereits seit Sommer 2024 streng reguliert.  Nach der Definition der MiCAR sind ART eine Spezialform von Kryptowerten, die eine Wertstabilität durch Bezugnahme auf einen oder mehrere andere Vermögenswerte zu wahren versucht, ohne dabei als E-Geld Token (EMT) zu klassifizieren. Nach dem neuen Aufsichtsregime für Kryptowerte in der EU ist es im Grundsatz zunächst nur Kreditinstituten und eigens für die Emission von ART zugelassenen Emittenten gestattet, vermögenswertereferenzierte Token auszugeben und öffentlich anzubieten. Von diesem Grundsatz lässt die MiCAR indes eine Ausnahme für Kleinstemissionen zu, die dann einschlägig ist, wenn der Gegenwert der von dem betreffenden Emittenten ausgegebenen ART über einen Zeitraum von zwölf Monaten den Schwellenwert von 5 Mio. Euro nicht überschritten hat. Der durchschnittliche ausstehende Wert ist dabei jeweils am Ende eines jeden Kalendertages zu berechnen. Sind diese Voraussetzungen gegeben, benötigt der Emittent der vermögenswertereferenzierten Token keine MiCAR Lizenz und muss in der Folge keinen Zulassungsantrag bei der zuständigen Behörde – in Deutschland der BaFin – stellen. Damit entfallen jedoch nicht auch alle übrigen Anforderungen an ART-Emittenten, die die MiCAR aufstellt.

    Pflicht zur Erstellung eines Kryptowerte-Whitepapers auch für ART-Emittenten unter der 5-Millionen-Ausnahme

    Eine zentrale Pflicht von Emittenten von Kryptowerten nach MiCAR ist die Pflicht zur Erstellung und Veröffentlichung eines Kryptowerte-Whitepapers. Auch und insbesondere ART-Emittenten haben ein Kryptowerte-Whitepaper für die von ihnen auszugebenden Stablecoins zu erstellen. Die in das Dokument zwingend aufzunehmenden Inhalte legt die MiCAR sehr detailliert fest. Unter der Bereichsausnahme für ART-Emissionen unter der 5 Millionen-Schwelle entfällt lediglich das Erfordernis der Einholung einer MiCAR Zulassung als Emittent vermögenswertereferenzierter Token bzw. ein Kreditinstitut zu sein. Die Pflicht zur Erstellung eines ART-Whitepapers ordnet der Verordnungstext jedoch ausdrücklich auch für die Fälle an, in denen von dem Ausnahmetatbestand Gebrauch gemacht wird. Auch die Ausnahmetatbestände für Emissionen sonstiger Kryptowerte – etwa bei Angeboten an nicht mehr als 150 Anleger pro Mitgliedstaat oder bei kostenlosen Angeboten von Kryptowerten – sind für Emissionen von ART generell nicht anwendbar. An der Pflicht zur Whitepapererstellung kommen daher auch ART-Emittenten nicht vorbei, selbst wenn sie stets mit ihren ausgegebenen ART unterhalb der Grenze des Gegenwertes von 5 Mio. Euro bleiben.

    BaFin muss das ART-Whitepaper unter der 5-Millionen-Ausnahme nicht genehmigen

    Grundsätzlich sieht die MiCAR für Kryptowerte-Whitepaper zu ART vor, dass diese ausdrücklich von der zuständigen Behörde genehmigt werden müssen. Dieser erhebliche Unterschied zu dem für sonstige Kryptowerte zu erstellenden Whitepaper kann damit begründet werden, dass die aufsichtsrechtlichen Anforderungen an ART-Emittenten deutlich umfangreicher als die von Emittenten sonstiger, nicht als ART oder als EMT qualifizierender Kryptowerte sind. Für unter dem Ausnahmetatbestand für ART-Emissionen unter 5 Mio. agierende Emittenten besteht die Genehmigungspflicht indes nicht. Probleme bereitet diese Regelung insoweit, als dass sie eine Rechtsunsicherheit in Bezug auf die Frage schafft, wie genau Kleinstemittenten von ART ihr Whitepaper veröffentlichen müssen. Denn die MiCAR-Regelung zur Veröffentlichungspflicht auf der Website des Emittenten bezieht sich für Kryptowerte-Whitepaper zu ART nach ihrem Wortlaut ausschließlich Kryptowerte-Whitepaper, die genehmigt worden sind. Zu dieser Frage hat deshalb die irische Zentralbank bereits im August 2024 bei der ESMA um Klarstellung gebeten. Die Antwort der ESMA steht allerdings noch aus und wird derzeit noch immer von der EU-Kommission geprüft. Jedoch werden Emittenten bei ART-Emissionen unter dem Gegenwert von 5 Mio. Euro gut beraten sein, die Veröffentlichung jedenfalls auch auf der eigenen Website zu veröffentlichen und es vom Start des öffentlichen Angebots dort verfügbar zu halten und erst zu entfernen, wenn kein Dritter mehr einen der emittierten ART hält.

    Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London)

    I.  https://fin-law.de

    E. info@fin-law.de

    Zuständiger Anwalt in unserer Kanzlei für Fragen zur Zulassung als Emittent vermögenswertereferenzierter Token und zu diesbezüglichen Ausnahmetatbeständen ist Rechtsanwalt Dr. Lutz Auffenberg, LL.M. (London).

    Newsletter abonnieren

      Kontakt

      info@fin-law.de

      März 24, 2025

      Qualifizierte Kryptoverwahrung – Sind NFTs in Deutschland als kryptografische Instrumente reguliert?

      Die Markets in Crypto Assets Regulation (MiCAR) gilt bereits seit fast drei Monaten vollumfänglich in der Europäischen Union und belegt Kryptodienstleister unionsweit einheitlich mit Compliance- und Zulassungspflichten. Die vormals in Deutschland geltende nationale Kryptoregulierung hat damit grundsätzlich ausgedient. Für den Bereich der Kryptoverwahrung ist jedoch auch unter dem Regime der MiCAR noch ein kleiner Rest an nationaler Regulierung übrig geblieben. Im Zuge des Umsetzungsgesetzes zur Regelung des Übergangs in das MiCAR-Regime musste der deutsche Gesetzgeber eine Lösung für die Unternehmen finden, die mit ihrer nationalen Kryptoverwahrlizenz vor Geltung der MiCAR Kryptowerte verwahren durften, die nunmehr nicht in den Anwendungsbereich der MiCAR fallen. Den mit einer nationalen KWG-Lizenz ausgestatteten Kryptoverwahrern sollte durch den Übergang zur MiCAR nicht die Reichweite ihres Verwahrportfolios beschränkt werden, so sinngemäß die Regierungsbegründung zum Finanzmarktdigitalisierungsgesetz, in dem der Übergang zur MiCAR vollzogen wurde. Insbesondere betraf diese Problematik Kryptowerte, die zugleich die Anforderungen an ein Finanzinstrument im Sinne der MiFID2-Regulierung erfüllen. Solche Finanzinstrumente nimmt die MiCAR ausdrücklich von ihrem Anwendungsbereich aus. Ebenfalls vom Anwendungsbereich der MiCAR ausgenommen sind sog. non-fungible Token (NFT), also Kryptowerte, die invididuell ausgestaltet sind und nicht mit anderen Kryptowerten gleicher Art und Güte austauschbar sind.

      Kann ein NFT kryptografisches Instrument im Sinne des KWG sein?

      Zur Lösung des Problems führte der deutsche Gesetzgeber die neue aufsichtsrechtliche Kategorie der kryptografischen Instrumente ein. Es ist in diesem Zusammenhang wichtig zu verstehen, dass es sich bei kryptografischen Instrumenten nicht um Finanzinstrumente im Sinne des KWG handelt, sondern um Spezialkategorie von Instrumenten, die lediglich insoweit eine Rolle spielen, als dass nur Finanzdienstleistungsinstitute mit einer Erlaubnis für die qualifizierte Kryptoverwahrung kryptografische Instrumente verwahren dürfen. Für andere Erlaubnistatbestände spielen kryptografische Instrumente keine Rolle. Definiert sind kryptografische Instrumente im KWG in Weiterführung des ehemaligen nationalen Kryptowertebegriffs – der abzuschaffen war – als digitale Darstellungen eines Wertes, der von keiner Zentralbank oder öffentlichen Stelle emittiert wurde oder garantiert wird und nicht den gesetzlichen Status einer Währung oder von Geld besitzt, aber von natürlichen oder juristischen Personen aufgrund einer Vereinbarung oder tatsächlichen Übung als Tausch- oder Zahlungsmittel akzeptiert wird oder Anlagezwecken dient und der auf elektronischem Wege übertragen, gespeichert und gehandelt werden kann. Das KWG nimmt zudem vier Arten von Instrumenten ausdrücklich von der Definition aus, namentlich E-Geld, monetäre Werte in closed-loop-Modellen, Kryptowerte nach MiCAR und Wertpapiere im Sinne des Depotgesetzes. Soweit demnach ein NTF im Einzelfall die gesetzliche Definition erfüllt und ein kryptografisches Instrument darstellt, kann die Verwahrung des NFT in Deutschland eine Erlaubnis der BaFin zur Erbringung der qualifizierten Kryptoverwahrung erfordern. Insbesondere kann dies bei NFTs gegeben sein, die zu Anlagezwecken dienen.

      BaFin kann Erlaubnis für das qualifizierte Kryptoverwahrgeschäft nach KWG auch isoliert erteilen

      Die Verwahrung von NFT oder kryptografischen Schlüsseln (private keys) zu NFT für Kunden kann daher als qualifiziertes Kryptoverwahrgeschäft qualifizieren, auch wenn die Verwahrung beispielsweise lediglich als Zusatzservice beispielsweise zu dem Betrieb einer Tauschplattform für die NFTs angeboten wird. Bei der qualifizierten Kryptoverwahrung handelt es sich um eine vollwertige Finanzdienstleistung im Sinne des KWG, so dass in solchen Fällen bei der BaFin ein Antrag auf Erteilung einer entsprechenden Erlaubnis gestellt werden kann. Unerheblich ist, ob das betreffende Unternehmen des Antragstellers auch über eine Erlaubnis nach der MiCAR für die Kryptoverwahrung oder eine sonstige Kryptodienstleistung verfügt. Die Erlaubnis nach KWG und eine Zulassung nach MiCAR können parallel erteilt werden. Die Anforderungen an einen Erlaubnisantrag nach dem KWG sind umfangreich. Insbesondere muss der Antragsteller einen tragfähigen Geschäftsplan für die ersten drei Geschäftsjahre vorlegen, zuverlässige und fachlich geeignete Geschäftsleiter haben, die ausreichend Zeit für die Führung der Geschäfte mitbringen und eine den aufsichtsrechtlichen Mindeststandards genügende Geschäftsorganisation im Hinblick auf das Risikomanagement, die IT-Sicherheit, die Geldwäsche-Compliance und das Notfall-Management vorweisen können. Das regulatorische Mindestkapital, das qualifizierte Kryptoverwahrer jederzeit mindestens vorweisen können müssen, beträgt 150.000 Euro, sofern sie nicht zusätzlich auch mit Finanzinstrumenten auf eigene Rechnung handeln.

      Rechtsanwalt Lutz Auffenberg, LL.M. (London)

      I.  https://fin-law.de

      E. info@fin-law.de

      Zuständiger Anwalt für Fragen zur aufsichtsrechtlichen Behandlung von NFT und Erlaubnisverfahren bei der BaFin in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

      Newsletter abonnieren

        Kontakt

        info@fin-law.de

        März 17, 2025

        DORA in der Praxis: Was sind kritische oder wichtige Funktionen und warum die Frage danach so wichtig ist.

        Die Verordnung (EU) 2022/2554, auch bekannt als DORA, ist in Kraft getreten und stellt Finanzunternehmen vor neue Herausforderungen. Diese Verordnung zielt darauf ab, die Risiken zu minimieren, die aus der digitalen Transformation und der zunehmenden Vernetzung in der Finanz- und Versicherungsbranche resultieren. DORA legt den Fokus auf die Bewältigung von Bedrohungen wie Cyberangriffen und Betriebsunterbrechungen, um die operationale Resilienz zu stärken. Die Anforderungen, die DORA an Finanzunternehmen stellt, sind komplex und bringen einen erheblichen bürokratischen Aufwand mit sich. Dennoch fördert die Verordnung wichtige Mindeststandards im Bereich der digitalen operativen Resilienz. DORA wird durch technische Regulierungsstandards (RTS) und technische Durchführungsstandards (ITS) ergänzt, die von den Europäischen Aufsichtsbehörden ESA (EBA, EIOPA und ESMA) in Zusammenarbeit mit nationalen Aufsichtsbehörden entwickelt und von der Kommission erlassen werden. Viele dieser RTS sind bereits in Kraft getreten und bieten Finanzunternehmen konkrete Vorgaben zur Umsetzung der DORA-Anforderungen. Trotz der weitgehenden Anwendbarkeit von DORA und den RTS bleiben jedoch Unklarheiten in der Auslegung und Umsetzung im Einzelfall bestehen. Fehlende verbindliche Auslegungshinweise erschweren es den Finanzunternehmen, die zahlreichen neuen Pflichten zu erfüllen. In vielen Bereichen ist die Unsicherheit bei den Finanzunternehmen noch groß. Ein konkretes Beispiel für die bestehenden Schwierigkeiten, denen die Finanzunternehmen begegnen, findet sich bereits bei der vermeintlich simplen Aufgabe, ein Informationsregister zu erstellen, es korrekt auszufüllen und es sodann der BaFin rechtzeitig zur Verfügung zu stellen. Abseits der technischen Schwierigkeiten ist hier das größte Problem, dass die vorangestellte Frage beantwortet werden muss, ob eine Funktion, die von einem IKT-Drittdienstleister bereitgestellt wird, wichtig oder kritisch ist.

        Wichtige oder kritische Funktion – Warum ist Einordnung praktisch relevant?

        Was sind also kritische oder wichtige Funktionen im Sinne der DORA-Verordnung? Was eine Funktion im Sinne der DORA ist, definiert die Verordnung nicht. Möglicherweise hielt der europäische Gesetzgeber für selbstverständlich, was hiermit gemeint sein soll, und hat deshalb auf eine Definition verzichtet. Aus dem Kontext und den Zielsetzungen der Verordnung – nämlich die digitale operationale Resilienz des Geschäftsbetriebs zu stärken – lässt sich schließen, dass Funktionen im Sinne der DORA operative und geschäftliche Funktionen eines Finanzunternehmens meint. DORA definiert in Art. 3 Nr. 22 eine kritische oder wichtige Funktion als eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit eines Finanzunternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde oder deren unterbrochene, fehlerhafte oder unterbliebene Leistung die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen eines Finanzunternehmens oder seiner sonstigen Verpflichtungen nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde. Kurzgesagt sind dies Funktionen, deren Ausfall eine erhebliche Beeinträchtigung verursachen würde in Bezug auf: die finanzielle Leistungsfähigkeit, die Geschäftsfortführung oder regulatorische Vorgaben. Praktische Relevanz erlangt die Einordnung für IKT-Drittdienstleister, die eine solche kritische oder wichtige Funktion bereitstellen oder wesentliche Teile davon unterstützen. Hier gelten unter anderem wesentlich umfangreichere Anforderungen an die Vertragsgestaltung. Außerdem muss für nicht-kritische Funktionen im Informationsregister nur der direkte IKT-Drittdienstleister angegeben werden. Bei kritischen oder wichtigen Funktionen sind hingegen auch alle Unterauftragnehmer in der IKT-Dienstleistungskette zu erfassen.

        Das Informationsregister und erste Hinweise der BaFin

        Nach Art. 28 Abs. 3 DORA müssen Finanzunternehmen ein Informationsregister (Register of Information, abgekürzt „RoI“) führen, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen bezieht. Das Register soll den zuständigen Behörden jährlich zur Verfügung gestellt werden. Initial sind die Register am 11. April 2025 bei der BaFin einzureichen. Die Anforderungen an die Informationsregister werden durch die Durchführungsverordnung (EU) 2024/2956 der Kommission (RTS RoI) festgelegt. Die BaFin hat am 6. März 2025 einen Workshop zur Einreichung der Informationsregister veranstaltet, um den betroffenen Finanzunternehmen Hinweise und Hilfestellungen zu geben. Die BaFin ist sichtlich bemüht, die Finanzunternehmen bei der Umsetzung der DORA zu unterstützen. Die Informationsregister müssen als strukturierte Datei nach der Taxonomie der ESAs erstellt werden. Dagegen stellt die BaFin eine Excel-Vorlage zur Verfügung und akzeptiert auch Register, die mit dieser Vorlage erstellt wurden. Um insbesondere kleineren Finanzunternehmen die Einreichung zu erleichtern, übernimmt die BaFin die Konvertierung der ausgefüllten Excel-Vorlagen ins Zielformat. Auch zu der Frage, wie festgestellt werden kann, ob ein Unterauftragnehmer in der IKT-Dienstleistungskette im Informationsregister zu erfassen ist, hat sich die BaFin in dem Workshop geäußert. Die BaFin hat hierfür drei Orientierungsfragen vorgeschlagen:

        1. Besteht eine direkte Abhängigkeit zwischen der IKT-Dienstleistung und dem Unterauftragnehmer?
        2. Stellt der Unterauftragnehmer die Erbringung wesentlicher Teile der IKT-Dienstleistung zur Unterstützung einer kritischen oder wichtigen Funktion sicher?
        3. Könnte eine Störung beim Unterauftragnehmer die Sicherheit oder Kontinuität der IKT-Dienstleistung beeinträchtigen?

        Die BaFin wies auch darauf hin, dass das Proportionalitätsprinzip sowie ein risikobasierter Ansatz zu berücksichtigen sind. Die von der BaFin vorgeschlagene Auslegung soll vorbehaltlich späterer widersprechender Interpretationen durch die ESAs gelten. Trotz der vorgeschlagenen systematischen Fragen bleiben Unsicherheiten für Finanzunternehmen. Schließlich müssen diese im Einzelfall entscheiden, ob ein Unterauftragnehmer in der Kette der Subunternehmer noch aufzunehmen ist oder nicht. Allein der Aufwand, alle Subunternehmer in der Kette ausfindig zu machen, ist schon ein Kraftakt. Hinzu kommt dann noch eine Abwägung für jeden Unterauftragnehmer.

        FIN LAW

        I.  https://fin-law.de

        E. info@fin-law.de

        Zuständiger Anwalt für Fragen zu DORA und IT-Recht in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

        Newsletter abonnieren

          Kontakt

          info@fin-law.de

          Feb. 24, 2025

          Neuigkeiten zu Finanzunternehmen als IKT-Drittdienstleister und zur Unterauftragsvergabe unter DORA

          Die Verordnung (EU) 2022/2554 (DORA) ist in Kraft getreten und Finanzunternehmen müssen die neuen Anforderungen erfüllen. Die Verordnung konzentriert sich auf die Bewältigung der Herausforderungen, die durch die digitale Transformation und die wachsende Vernetzung in der Finanzbranche entstanden sind und sich in Zukunft weiter vertiefen werden. DORA hat das Ziel, Risiken, die beispielsweise von Cyberangriffen und Betriebsunterbrechungen ausgehen, weiter zu reduzieren. Die konkreten Pflichten, die durch die DORA an Finanzunternehmen gestellt werden, sind komplex. Der mit DORA einhergehende bürokratische Aufwand, der für die Finanzunternehmen entsteht, ist nicht zu unterschätzen. Doch gleichzeitig hilft die DORA dabei, angemessene Mindeststandards im Bereich der Digitalen Operationalen Resilienz zu fördern. Die DORA wird durch technische Regulierungsstandards (sogenannte RTS) ergänzt, die regelmäßig von den ESA (EBA, EIOPA und ESMA) in Zusammenarbeit mit den nationalen Aufsichtsbehörden verfasst und von der Kommission nach den maßgeblichen Vorgaben erlassen worden sind. Die meisten RTS sind auf diese Weise bereits wirksam in Kraft getreten. Die RTS sollen Finanzunternehmen konkrete Vorgaben dazu geben, wie die Anforderungen der DORA in den von den RTS geregelten Bereichen zu verstehen und umzusetzen sind. Obwohl die DORA und beinahe alle RTS bereits anwendbar sind, bestehen weiterhin Unklarheiten über die Auslegung der DORA im Einzelfall. Zu einer der großen Fragen rund um die DORA – nämlich der Frage, wann ein Finanzunternehmen im Verhältnis zu anderen Finanzunternehmen als IKT-Drittdienstleister einzuordnen ist – wurden nun von der EIOPA über die joint Q&A der ESA Auslegungshinweise gegeben. Unsicherheit besteht auch im Bereich der Vergabe von Unteraufträgen von IKT-Drittdienstleistern, die kritische oder wichtige Funktionen oder wesentliche Teile davon unterstützen, an Unterauftragnehmer. Der hierzu von den ESA entworfene RTS befindet sich trotz der Tatsache, dass die DORA bereits in Kraft getreten ist, weiter im Entwurfsstadium, und nun hat die Kommission die Absicht angekündigt, den Entwurf in Teilen abzulehnen. Mit diesen Themen rund um die DORA befassen sich die folgenden Ausführungen.

          Klarstellung: Wann Finanzunternehmen IKT-Drittdienstleister sind

          Eine der drängendsten Fragen für viele Finanzunternehmen ist die nach der Anwendbarkeit der DORA, wenn ein Finanzunternehmen digitale Dienstleistungen für ein anderes Finanzunternehmen erbringt. Ab wann sind die Dienste zwischen den Finanzunternehmen als IKT-Dienstleistungen einzustufen? Sofern es sich um IKT-Dienstleistungen im Sinne der DORA handelt, kann auch ein Finanzunternehmen als IKT-Drittdienstleister im Sinne der DORA gelten. Dies stellt Erwägungsgrund 63 der DORA ausdrücklich klar. Die EIOPA gibt stellvertretend für die ESA den Rechtsanwendern nun eine Auslegungshilfe an die Hand. Nach Auffassung der EIOPA können auch Finanzdienstleistungen eine IKT-Komponente enthalten. Sofern Finanzunternehmen im Zusammenhang mit ihren Finanzdienstleistungen anderen Finanzunternehmen IKT-Dienste bereitstellen, sollen die Finanzunternehmen, für die die IKT-Dienste erbracht werden, prüfen, ob erstens die Dienste eine IKT-Dienstleistung im Sinne von DORA darstellen und zweitens, ob das bereitstellende Finanzunternehmen und die von diesem angebotenen Finanzdienstleistungen nach Unionsrecht oder nach nationalem Recht eines Mitgliedstaates oder eines Drittlandes reguliert sind. Fallen beide Tests positiv aus, sollte die betreffende IKT-Dienstleistung überwiegend als Finanzdienstleistung angesehen und nicht als IKT-Dienstleistung im Sinne von Artikel 3 Abs. 21 DORA behandelt werden. Falls der Dienst von einem regulierten Finanzunternehmen bereitgestellt wird, das regulierte Finanzdienstleistungen anbietet, dieser Dienst jedoch nicht mit solchen regulierten Finanzdienstleistungen in Zusammenhang steht oder unabhängig davon ist, sollte der Dienst als IKT-Dienstleistung im Sinne von Artikel 3 Abs. 21 DORA betrachtet werden. Diese Auslegungshilfe verdient Zustimmung, da sie im Einklang mit den Zielen der DORA steht, mit den Leitbildern des Erwägungsgrund 79 übereinstimmt und zusätzlichen bürokratischen Aufwand im Bereich des Managements des IKT-Drittparteienrisikos zwischen Finanzunternehmen verhindert, die ohnehin jeweils selbst den Vorgaben der DORA unterliegen.

          Weitere Unsicherheit bei den RTS zur Vergabe von Unteraufträgen

          Am 21. Januar 2025 hat die Europäische Kommission den Entwurf für technische Regulierungsstandards (RTS) im Zusammenhang mit der Vergabe von Unteraufträgen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, abgelehnt. Diese RTS werden unter anderem dringend benötigt, damit die Finanzunternehmen wissen, wie weitreichend vertragliche Vereinbarungen mit IKT-Drittdienstleistern zum Thema Unterauftragsvergabe sein müssen. Die Kommission ist der Ansicht, dass die Anforderungen in Artikel 5 des Entwurfs des RTS über die Befugnisse hinausgehen, die den ESAs durch Artikel 30 Abs. 5 DORA erteilt wurden. Insbesondere geht es um die Bedingungen für die Überwachung der Kette von IKT-Unterauftragnehmern, die nicht spezifisch mit den Bedingungen für die Untervergabe verknüpft sind. Die Kommission fordert die Entfernung von Artikel 5 und des zugehörigen Erwägungsgrundes 5 aus dem Entwurf des RTS, um sicherzustellen, dass der Entwurf mit dem Mandat übereinstimmt. Der entsprechende Artikel wird daher nicht mehr Teil der von den Finanzunternehmen zu beachtenden Vorschriften sein. Leider verzögert sich damit auch der verbindliche Erlass des RTS und Finanzunternehmen können weiterhin nur mit dem Entwurf arbeiten. Immerhin schlägt die Kommission im Übrigen nur redaktionelle Änderungen vor, die die Qualität des Rechtsakts verbessern sollen, ohne die Substanz des Akts zu beeinflussen. Die ESAs haben sechs Wochen Zeit, den Entwurf basierend auf den vorgeschlagenen Änderungen der Kommission zu überarbeiten und erneut einzureichen. Wenn die ESAs den Entwurf nicht innerhalb dieser Frist entsprechend den Vorschlägen der Kommission ändern oder keinen überarbeiteten Entwurf einreichen, kann die Kommission den RTS mit den von ihr vorgeschlagenen Änderungen annehmen oder ganz ablehnen. So gesehen steht fest, dass wohl bald mehr Rechtssicherheit herrschen wird. Bis dahin sollten die Finanzunternehmen den bestehenden Entwurf zugrunde legen und auf die Anforderungen in Artikel 5 des RTS verzichten.

          FIN LAW

          I.  https://fin-law.de

          E. info@fin-law.de

          Zuständiger Anwalt für Fragen zu DORA und IT-Recht in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

          Newsletter abonnieren

            Kontakt

            info@fin-law.de

            Feb. 17, 2025

            Token Sale im MiCAR Zeitalter – Wie darf für eine Token Emission geworben werden?

            Seit die neue Verordnung zu Märkten in Kryptowerten (MiCAR) Ende letzten Jahres vollumfänglich Rechtsgeltung erlangt hat, haben sich auch die aufsichtsrechtlichen Anforderungen an sog. Token Sale Events bzw. Initial Coin Offerings erheblich erweitert. Insbesondere gilt dies in Bezug auf die Emittenten von E-Geld-Token (EMT) und vermögenswertereferenzierte Token (sog. asset-referenced token, ART), jedoch auch für Emittenten von sonstigen Kryptowerten. Sofern keine durch die MiCAR vorgesehenen Ausnahmetatbestände in Anspruch genommen werden können, ist vom Anbieter der Kryptowerte vor dem öffentlichen Angebot über ein Token Sale Event ein ausführliches Kryptowerte-Whitepaper zu erstellen und zu veröffentlichen. Überdies müssen Anbieter neuer Kryptowerte nunmehr Complianceanforderungen erfüllen und insbesondere etwaige Interessenkonflikte ermitteln, vermeiden und offenlegen. MiCAR verpflichtet Anbieter darüber hinaus, ihre Marketingmitteilungen zu einem öffentlichen Angebot unter Erfüllung bestimmter Mindestanforderungen zu gestalten und sie vor dem Start des Token Sales auf ihrer Website veröffentlichen. Marketingmitteilungen müssen als solche eindeutig erkennbar sein und einen konkret in der MiCAR vorformulierten Hinweis darauf enthalten, dass sie nicht von einer Behörde geprüft oder genehmigt wurden und der Anbieter die alleinige Verantwortung für ihren Inhalt trägt. In jedem Fall müssen etwaige Marketingmitteilungen mit den Angaben und Informationen aus dem zugrundeliegenden Kryptowerte-Whitepaper übereinstimmen. Aber was sind Marketingmitteilungen im Sinne der MiCAR eigentlich genau?

            Was gilt als Marketingmitteilung im Sinne der MiCAR?

            Modernes Marketing für Token Sale Events ist nur schwer vergleichbar mit Werbemaßnahmen, die Emittenten und Vertriebsdienstleister bei traditionellen Kapitalmarktemissionen durchführen. Die üblichen Marketingmaßnahmen vor Inkrafttreten der MiCAR nahezu vollständig online statt und reichen über Content-Marketing über in Fachportalen platzierte Artikel, Community-Building auf Social-Media-Kanälen oder die Überlassung digitaler Werbegeschenke wie beispielsweise NFTs. Deshalb stellt sich im Regime der MiCAR die Frage, ob diese Marketingmaßnahmen ebenfalls als Marketingmitteilungen gelten und damit Gegenstand der entsprechenden Kennzeichnungs- und Veröffentlichungspflichten nach MiCAR sind. Eine eigenständige Definition des Begriffs der Marketingmitteilung enthält die MiCAR selbst indes nicht. Ihren dem Verordnungstext vorangestellten Erwägungsgründen kann aber entnommen werden, dass Marketingmitteilungen zumindest auch Werbebotschaften und Marketingmaterialien umfassen sollen, die über Plattformen der sozialen Medien verbreitet werden. Nach dieser Aussage wären nicht notwendigerweise nur textliche Mitteilungen vom Begriff der Marketingmitteilung erfasst, sondern gegebenenfalls auch sonstige, moderne Werbemaßnahmen wie etwa sog. Memes oder Bilder. Weitere Unterfütterung muss der Begriff durch Auslegung erlangen. Insoweit bietet sich beispielsweise der Rückgriff auf die Definition der Werbung im Wertpapierrecht an, für deren Vorliegen jedenfalls eine gewisse Förderung des Zeichnungswillens durch eine Maßnahme erforderlich ist, die sich auf ein konkretes öffentliches Angebot von Wertpapieren bezieht. Diese Zielrichtung könnte man auch für die Auslegung der Marketingmitteilung im Sinne der MiCAR heranziehen.

            Wie können Anbieter Memes und NFTs als Marketingmitteilung kennzeichnen?

            Je moderner und unkonventioneller die einzelne Werbemaßnahme, desto schwieriger wird die Einhaltung der Vorgaben der MiCAR für die Kennzeichnung von Marketingmitteilungen. Insbesondere die Anbringung der eindeutigen und deutlich erkennbaren Verantwortlichkeitserklärung des Anbieters gemäß textlicher Vorgabe der MiCAR bereitet Schwierigkeiten, wo eventuell lediglich eine sehr begrenzte Anzahl an Zeichen möglich ist oder gar ausschließlich über einen Bildeindruck kommuniziert werden soll. Letztlich von der BaFin oder der ESMA zu klären wäre, ob insoweit mit Kurzlinks oder Sternchenverweisen gearbeitet werden darf, solange solche Behelfe nicht die deutliche Erkennbarkeit der Erklärung einschränken. Im Einzelfall könnten solche Verweislösungen sogar der Sichtbarkeit der aufsichtsrechtlich vorgeschriebenen Kennzeichnungen zuträglich sein, wenn auf diese Weise etwa eine Darstellung in Kleinstschriftgröße oder in farblich wenig auffälliger Gestaltung vermieden werden könnte. Solange es eine behördliche Verwaltungspraxis zu den Details der Marketingmitteilungsgestaltung unter MiCAR nicht gibt, wird für jede einzelne Werbemaßnahme zu Token Sales durch den Anbieter zu bewerten sein, ob eine Marketingmittelung vorliegt und wie konkret die dann anwendbaren Gestaltungspflichten umzusetzen sind.

            Rechtsanwalt Lutz Auffenberg, LL.M. (London)

            Newsletter abonnieren

              Kontakt

              info@fin-law.de

              Feb. 10, 2025

              AIaaS – Altbewährte Lösung für neue bahnbrechende Technologien

              Künstliche Intelligenz (KI) revolutioniert bereits jetzt zahlreiche Bereiche von Gesellschaft und Wirtschaft. Sie eröffnet neue Chancen für Wachstum und Innovation, indem sie Prozesse automatisiert, Ressourcen effizienter nutzt und völlig neue Geschäftsmodelle ermöglicht. Dementsprechend ist die Nachfrage nach KI groß. Die Entwicklung und der Betrieb eigener KI-Modelle sind kosten- und zeitintensiv und setzen hohe Anfangsinvestitionen sowie ausgeprägte Spezialkenntnisse voraus. Um die Nachfrage nach kostengünstigen Alternativen zu decken, hat der Markt eine Lösung gefunden, auf die im IT-Bereich bereits seit Langem zurückgegriffen wird. Unter der griffigen Bezeichnung Software-as-a-Service (SaaS) werden Software- und Hardware-Ressourcen als cloud-basierte Lösungen angeboten. Ressourcen können den Nutzern so skalierbar und kostengünstig bereitgestellt werden. Der neue Stern am Himmel der cloud-basierten Dienstleistungen nennt sich AI-as-a-Service (AIaaS). Über diese Dienstleistung können Unternehmen vordefinierte oder selbst trainierbare KI-Modelle, die auf der Infrastruktur großer Cloud-Anbieter laufen, per API nutzen. Die Vorteile, die sich hinsichtlich Kosten, Zeitaufwand, Skalierbarkeit und Zugriff auf aktuelle KI-Technologien ergeben, sind immens. Somit können auch kleinere oder mittlere Unternehmen KI-Projekte realisieren, die sonst nur großen Technologieunternehmen vorbehalten wären. Auch wenn die Ähnlichkeit zu SaaS-Lösungen groß ist, wirft AIaaS eine Reihe eigener rechtlicher Fragen auf, die vor der Umsetzung von AIaaS-Projekten geklärt werden müssen.

              Altbekanntes mit einem neuen Twist

              Es sind bereits eine Reihe verschiedener KI-Anwendungen auf dem Markt, die unterschiedliche Funktionen bedienen. Diese reichen von KI-Chatbots über Textverarbeitung bis hin zu innovativen Investmenttools. Wie schon bei SaaS spielt auch bei AIaaS die richtige Vertragsgestaltung eine entscheidende Rolle. Der Vertrag muss dem jeweiligen Anwendungsfall gerecht werden. Zu regeln sind insbesondere die Leistungspflichten der Vertragsparteien. Die Vertragsparteien sollten sich die Zeit für klare Leistungsbeschreibungen nehmen, um Missverständnissen vorzubeugen und Klarheit für die Auslegung und rechtliche Einordnung zu schaffen. Um eine ausreichende Verfügbarkeit und Qualität der AIaaS-Dienstleistung und Wartungszeiten sowie Reaktionszeiten bei Störungen sicherzustellen, sollten Service-Level-Agreements vereinbart werden. Ein wichtiges Thema ist auch der richtige Umgang mit Datenschutz im Sinne der DSGVO, da in der Regel personenbezogene Daten verarbeitet werden. Oft ist mit der Verwendung cloud-basierter AIaaS-Lösungen auch ein Drittlandtransfer der personenbezogenen Daten verbunden, der nur unter den strengen Voraussetzungen der DSGVO erlaubt ist. Zu klären ist, wer Verantwortlicher ist und ob eine gemeinsame Verantwortlichkeit oder eine Auftragsverarbeitung vorliegt. Zu klären ist auch, ob die Verwendung der AIaaS als Auslagerung vom eigenen Unternehmen an den AIaaS-Dienstleister anzusehen ist und ob hieraus konkrete gesetzliche Pflichten folgen. Auch die IT-Sicherheit spielt eine wichtige Rolle. Dies gilt insbesondere für Finanzunternehmen, die der Verordnung (EU) 2022/2554 (DORA) unterliegen. AIaaS-Anbieter dürften regelmäßig als IKT-Drittdienstleister im Sinne der DORA qualifizieren, weshalb die weitreichenden Anforderungen der DORA einzuhalten sind. Die Anforderungen an Vertragsgestaltung, Projektorganisation und -überwachung können im Einzelfall hoch sein, es bieten sich jedoch auch viele Gestaltungsmöglichkeiten an, die am besten durch eine sorgfältige Planung und einen engen Austausch der Beteiligten für eine gelungene Umsetzung des Projekts genutzt werden.

              Neuland KI-Verordnung (KI-VO)

              Zusätzlich zu den oben genannten Themen kommt als neuere europäische Gesetzgebung auch die KI-Verordnung (EU) 2024/1689 (KI-VO) als weiteres Regelwerk ins Spiel, dem die Beteiligten im Fall des AIaaS gerecht werden müssen. Die Anforderungen können hier im Einzelfall sehr weitreichend sein. So werden durch die KI-VO bestimmte Praktiken im KI-Bereich verboten. Außerdem werden besondere Anforderungen zum Risikomanagement für Hochrisiko-KI-Systeme und Pflichten für Akteure in Bezug auf solche Systeme festgelegt. Es werden auch Transparenzpflichten für bestimmte KI-Systeme festgelegt und Anbietern und Betreibern von KI-Systemen wird aufgegeben, Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dies kann auch bedeuten, dass entsprechende Schulungen notwendig werden. In den meisten Fällen halten sich die Anforderungen an Unternehmen, die AIaaS-Lösungen in ihr Unternehmen einbinden, in Grenzen und Stellen keine wesentlichen Hindernisse dar. So ist es auch ein erklärtes Ziel der KI-Verordnung, Innovation und Beschäftigung fördern und der Union eine Führungsrolle bei der Einführung vertrauenswürdiger KI zu verschaffen.

              FIN LAW

              I.  https://fin-law.de

              E. info@fin-law.de

              Newsletter abonnieren

                Kontakt

                info@fin-law.de

                Jan. 20, 2025

                DORA ist live – Ab wann sind die ersten Meldungen an die BaFin zu machen?

                Es ist so weit: Die zweijährige Übergangszeit seit dem Inkrafttreten der DORA am 16. Januar 2023 ist abgelaufen und seit dem 17. Januar 2025 ist die DORA anzuwenden. Die betroffenen Finanzunternehmen und IKT-Drittdienstleister müssen nun die neuen Anforderungen erfüllen, die durch DORA eingeführt wurden. Finanzunternehmen müssen ihre digitale operationale Resilienz an den Vorschriften der DORA messen lassen. Die DORA umfasst 64 Artikel, die durch eine Reihe von Regulatory Technical Standards (sogenannte RTS) ergänzt werden. Durch die RTS werden einheitliche Standards in der gesamten EU geschaffen, sodass alle betroffenen Finanzunternehmen unionsweit dieselben Anforderungen erfüllen müssen. So sollen die Niederlassungsfreiheit und die digitale operationale Resilienz des gesamten europäischen Finanzmarkts gestärkt werden. DORA adressiert IKT-Risiken durch spezifische Vorgaben zu Kapazitäten im IKT-Risikomanagement, zur Meldung von Vorfällen, zu Tests der operationellen Resilienz sowie zur Überwachung von Risiken im Zusammenhang mit der Nutzung von IKT-Drittdienstleistern. Die BaFin hat bereits mehrfach geäußert, dass es nach der zweijährigen Übergangszeit keine weitere Übergangsfrist mehr geben wird. Das bedeutet, dass die Finanzunternehmen die DORA-Vorgaben bereits jetzt erfüllen müssen. Doch wie steht es mit spezifischen Melde- und Berichtspflichten, die von den Finanzunternehmen an die BaFin übermittelt werden müssen? Zu denken ist hier vor allem an das Informationsregister, das sich auf alle vertraglichen Vereinbarungen über die Nutzung von durch IKT-Drittdienstleister bereitgestellten IKT-Dienstleistungen bezieht und von den Finanzunternehmen im Rahmen ihres IKT-Risikomanagements geführt werden muss.

                Was ist das DORA-Informationsregister?

                Einen wichtigen Teil der DORA-Regulierung bildet die Anforderung an Finanzunternehmen, ein solides Management für IKT-Drittparteienrisiken zu etablieren. Hierzu gehört zum Beispiel eine Strategie für das Management des IKT-Drittparteienrisikos und optional eine Strategie zur Nutzung mehrerer IKT-Anbieter. Es ist außerdem eine Leitlinie für die Nutzung von IKT-Drittdienstleistungen zu erstellen, insbesondere für IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen. Auch das Informationsregister ist ein maßgeblicher Bestandteil des Managements des IKT-Drittparteienrisikos. Finanzunternehmen müssen dieses Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von durch IKT-Drittdienstleister bereitgestellte IKT-Dienstleistungen führen. Es ist zwischen IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen und solchen zu unterscheiden, bei denen dies nicht der Fall ist. Konkretisiert werden die Anforderungen an das Register of Information (RoI) im Einzelnen durch die Verordnung zur Festlegung technischer Durchführungsstandards für die Anwendung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates im Hinblick auf Standardvorlagen für das Informationsregister (ITS ). Finanzunternehmen müssen der zuständigen Behörde – in Deutschland der BaFin – auf Verlangen das vollständige Informationsregister oder auf Anfrage bestimmte Teile dieses Registers zusammen mit allen Informationen zur Verfügung stellen, die für eine wirksame Beaufsichtigung des Finanzunternehmens als notwendig erachtet werden. Die BaFin hat nun angekündigt, dass sie Finanzunternehmen dazu auffordern wird, die Informationsregister spätestens bis zum 11. April 2025 erstmals bei der BaFin einzureichen. Hierzu hat die BaFin erst vor wenigen Tagen eine Reihe von Beiträgen auf ihrer Website veröffentlicht. Hintergrund ist, dass die BaFin die Informationsregister bis zum 30. April 2025 an die Europäischen Aufsichtsbehörden übermitteln muss, damit diese die überwachungsbedürftigen IKT-Drittdienstleister ggf. als kritische IKT-Dienstleister im Sinne der DORA einstufen können, die nach der DORA besonders überwacht werden.

                Wie soll das Informationsregister eingereicht werden?

                Für Finanzunternehmen, die die Implementierung der DORA bereits vollständig abgeschlossen haben, sollte die Übermittlung des Informationsregisters an die BaFin kein Problem darstellen. Auch Finanzunternehmen, bei denen die Anpassung an die DORA-Anforderungen noch nicht vollständig abgeschlossen sind, sollten nicht in Panik verfallen, sondern zügig die Erstellung des Informationsregisters in Angriff nehmen, damit dieses bereitliegt, sobald die BaFin danach verlangt. Auch die BaFin forderte die betroffenen Finanzunternehmen in einem vor kurzem veröffentlichten Beitrag dazu auf, sich darauf vorzubereiten, die Informationsregister bis spätestens 11. April 2025 erstmals der BaFin zu übermitteln. Die Behörde sicherte aber zugleich zu, die Unternehmen bis dahin eng zu begleiten und versuchen zu wollen, möglichst viele offene Fragen zu klären. Die BaFin hat dementsprechend ausführliche Informationen auf ihrer Website veröffentlicht. Die Übermittlung der Informationsregister an die BaFin erfolgt über die Melde- und Veröffentlichungsplattform (MVP) der BaFin. Bei der Erstellung der Register müssen sich Finanzunternehmen an den Vorgaben der Europäischen Aufsichtsbehörden (ESAs) orientieren. Die Register sind grundsätzlich als strukturierte Datei einzureichen, die der von den ESAs vorgegebenen Taxonomie entspricht. Um insbesondere kleineren Finanzunternehmen die Konvertierung zu erleichtern plant die BaFin, zeitnah eine spezielle Excel-Vorlage auf ihrer Website bereitzustellen. Diese Vorlage kann dann von den Finanzunternehmen anstelle einer strukturierten Datei genutzt werden, sofern die vorgegebene Struktur der Excel-Vorlage genau eingehalten wird. Alternativ zur Einreichung des Informationsregisters als strukturiere Datei sollen Finanzunternehmen so die ausgefüllte Excel-Vorlage über die MVP einreichen können. Auch für Unternehmen, die in nächster Zeit eine Erlaubnis für die Tätigkeit als Finanzunternehmen bei der BaFin beantragen möchten, sollte unbedingt sichergestellt werden, dass die Vorgaben der DORA umgesetzt wurden. So können Verzögerungen bei der Bearbeitung des Erlaubnisantrags am besten vermieden werden. Die Anforderungen der DORA sind zwar sehr komplex. Sie unterscheiden sich jedoch nicht grundlegend von den Anforderungen, die die BaFin bereits vor dem Inkrafttreten der DORA an Finanzunternehmen gestellt hat. Sofern bereits ein solides Informationssicherheitsmanagementsystem (ISMS) im Unternehmen existiert, sollten die Anpassungen in den meisten Fällen zügig umgesetzt werden können.

                FIN LAW

                I.  https://fin-law.de

                E. info@fin-law.de

                Newsletter abonnieren

                  Kontakt

                  info@fin-law.de

                  Jan. 06, 2025

                  Rechnungseinheiten und MiCAR – Können Kryptotoken jetzt noch Rechnungseinheiten sein?

                  Der Deutsche Bundestag hat am 18. Dezember 2024 auf den letzten Metern der aktuellen Minderheitsregierung aus SPD und Grünen doch noch das Finanzmarktdigitalisierungsgesetz (FinmadiG) verabschiedet. Es passierte noch vor Weihnachten ohne weitere Änderungen den Bundesrat, so dass es nach Veröffentlichung im Bundesgesetzblatt nunmehr doch noch gerade rechtzeitig in Kraft getreten ist, um den Übergang in das Regulierungsregime der EU-Verordnung über Märkte in Kryptowerten (MiCAR) nationalrechtlich umzusetzen. Der bisherige Kryptowertebegriff des nationalen Rechts im Kreditwesengesetz (KWG) und Wertpapierinstitutsgesetz (WpIG) wurde damit endgültig in den Bereich der Rechtsgeschichte überführt und gestrichen. Kryptowerte im Sinne des KWG und des WpIG sind nunmehr auch für die Zwecke des nationalen Rechts ausschließlich Kryptowerte nach der Definition der MiCAR und damit digitale Darstellungen eines Werts oder eines Rechts, der bzw. das unter Verwendung der Distributed-Ledger-Technologie oder einer ähnlichen Technologie elektronisch übertragen und gespeichert werden kann. Die bisherige Definition für Kryptowerte gemäß KWG und WpIG waren jedoch nicht der einzige Alleingang des deutschen Gesetzgebers in der Kryptoregulierung vor dem MiCAR-Regime. Bereits seit 2011 vertritt die BaFin in ständiger Verwaltungspraxis die Auffassung, dass Bitcoins und ihnen ähnelnde Kryptowährungen – mithin sog. Currency Token – auch als Rechnungseinheiten und damit als Finanzinstrumente im Sinne des KWG und WpIG einzuordnen sind. Es fragt sich, ob die Qualifikation von Currency Token als Rechnungseinheit auch nach Inkrafttreten des FinmadiG noch möglich ist oder ob die Geltung des neuen Regulierungsregimes für Kryptowerte nach FinmadiG und MiCAR zum stillen Abschied der Rechnungseinheiten aus der Kyptoregulierung geführt hat.

                  Vor MiCAR konnten Kryptowerte und Rechnungseinheiten parallel vorliegen

                  Unter der abgelösten nationalen Kryptoregulierung waren Kryptowerte als sog. Auffangtatbestand ausgestaltet, so dass Token zugleich als Kryptowert und auch eine andere Form von Finanzinstrument aus dem Instrumentenkatalog des KWG bzw. WpIG qualifizieren konnten. Grundsätzlich war diese hybride Klassifizierung nicht schädlich und in Einzelfällen sogar hilfreich. Beispielsweise konnten so Kryptowährungen, die etwa den gesetzlichen Status von Geld hatten, nicht unter die Definition für Kryptowerte nach KWG und WpIG fallen, jedoch gegebenenfalls als Rechnungseinheit qualifizieren und damit trotzdem reguliertes Finanzinstrument sein. In solchen Fällen konnte – wie vom Gesetzgeber intendiert – die Regulierung ach KWG und WpIG für Geschäfte mit entsprechenden Token Anwendung finden. Unter der neuen Regulierung auf Grundlage der MiCAR gestaltet sich dies schwieriger, zumal sich die Regulierung nach KWG und WpIG hinsichtlich ihres Regelungsgehalts von derjenigen nach MiCAR unterscheidet. Es ist daher erforderlich, Token rechtssicher und unzweifelhaft einem der beiden Regulierungsregime zuordnen zu können. Die Rechtslage nach Inkrafttreten des FinmadiG sieht daher keine Kryptowerte nach deutschem Recht mehr vor und stellt klar, dass Kryptowerte im Sinne des KWG und des WpIG solche im Sinne der MiCAR sind. Token, die nicht als Kryptowert nach MiCAR einzuordnen sind, können im Einzelfall als sog. kryptografisches Instrument qualifizieren. Problematisch bleibt indessen, dass beispielsweise Bitcoins nach der bislang nicht von der BaFin aufgegebenen Verwaltungspraxis eindeutig als Rechnungseinheit und damit als Finanzinstrument nach KWG und WpIG qualifizieren, zugleich jedoch auch als Kryptowert im Sinne der MiCAR. Welches Regulierungsregime soll in solchen Fällen greifen?

                  BaFin sollte MiCAR Vorrang vor nationaler Regulierung geben

                  Es drängt sich auf, dass für die aufsichtsrechtliche Einordnung von Token die MiCAR gegenüber der lediglich nationalen Regulierung nach dem KWG und dem WpIG Vorrang haben sollte. Leider hat der deutsche Gesetzgeber es versäumt, diesbezüglich eine Klarstellung im Gesetz unterzubringen, was im Rahmen der weitreichenden Änderungen in den beiden Bundesgesetzen unproblematisch möglich gewesen wäre. Eine für die Praxis ausreichende Klarstellung könnte jedoch auch dadurch erreicht werden, dass die BaFin ihre Verwaltungspraxis zur Einordnung von Bitcoins und vergleichbaren Klonen als Rechnungseinheiten endgültig aufgibt. Sie stammt aus einer Zeit, in der es keine kodifizierte Regulierung für Kryptotoken gab und hat spätestens seit Geltung von FinmadiG und MiCAR seine Schuldigkeit getan. Regulierungslücken würden sich soweit ersichtlich nicht auftun. Auch im Hinblick auf die für die Verwirklichung des europäischen Binnenmarkts nötige Vereinheitlichung des in der EU geltenden Rechts wäre eine Abkehr von der Einordnung von Currency Token als Rechnungseinheit zielführend und begrüßenswert.

                  Rechtsanwalt Lutz Auffenberg, LL.M. (London)

                  Newsletter abonnieren

                    Kontakt

                    info@fin-law.de

                    Dez. 16, 2024

                    Interoperabilität durch Token Bridges – Sind Wrapped Token Kryptowerte unter MiCAR?

                    Die Blockchain-Technologie hat sich spätestens seit Aufkommen der Smart Contract-Ökonomie als vielversprechende technische Infrastruktur für zahlreiche Anwendungsfälle etabliert. Insbesondere Anlageprodukte und Kapitalmarktemissionen werden inzwischen mehr und mehr über auf Blockchains implementierte Smart Contracts abgebildet und abgewickelt. Auch die Tokenisierung sog. Real-World-Assets (RWA-Token) oder von Rechten wird zunehmend umgesetzt, um die digitale Übertragung der zugrundeliegenden Werte zu ermöglichen. Eine der größten Herausforderungen blockchainbasierter Projekte besteht indessen in dem Umstand, dass sich Blockchains grundsätzlich als in sich geschlossene Netzwerke darstellen, die nicht miteinander kompatibel sind. Die Nutzung etwa von Bitcoins bzw. ihres Gegenwertes für die Interaktion mit einem auf der Ethereum-Blockchain implementierten Smart Contract ist technisch auf den ersten Blick nicht möglich. Abhilfe können in solchen Fällen sog. Token Bridges schaffen. Dabei handelt es sich um Smart Contracts, die ihren Nutzern ermöglichen, Werteinheiten aus anderen Blockchain-Infrastrukturen auf anderen Blockchains zu nutzen. Technisch funktioniert dies, indem Nutzer Kryptowährungen einer bestimmten Art an eine von der Token Bridge verwaltete Blockchainadresse transferieren, um dann im Gegenzug sog. Wrapped Token zu erhalten, die auf der Zielblockchain generiert werden und mithin dort nutzbar sind. Wrapped Token repräsentieren üblicherweise den Wert der hinterlegten Kryptowährung im Verhältnis 1:1.

                    Können Wrapped Token Asset-Referenced Token darstellen?

                    Unter MiCAR sind digitale Darstellungen von Werten oder Rechten, die unter Verwendung der Distributed-Ledger-Technologie oder einer ähnlichen Technologie elektronisch übertragen und gespeichert werden können, als Kryptowerte reguliert. Diese sehr weit formulierten Anforderungen erfüllen Wrapped Token jedenfalls. Daneben kennt die MiCAR jedoch auch Spezialformen von Kryptowerten, die für Emittenten und Anbieter von Kryptodienstleistungen mit weitergehenden Pflichten verbunden sein können. Ein sog. Asset-Referenced Token (ART) liegt beispielsweise vor, wenn ein Kryptowert durch Bezugnahme auf einen anderen Wert oder ein anderes Recht oder eine Kombination davon, einschließlich einer oder mehrerer amtlicher Währungen, eine Wertstabilität zu wahren versucht. Da Wrapped Token üblicherweise den Wert eines anderen Kryptowerts im Verhältnis 1:1 abbilden, werden sie in den meisten Fällen als ART qualifizieren. Für den Emittenten der Wrapped Token kann dies insbesondere bedeuten, dass die Ausgabe des Wrapped Token nicht ohne die dafür erforderliche Zulassung nach MiCAR erfolgen darf. Zudem ist der Emittent von ART verpflichtet, eine Vermögenswertreserve anzulegen, die nach spezifisch in der MiCAR geregelten Vorgaben vorgehalten werden muss. Darüber hinaus können Anbieter von Token Bridges je nach Ausgestaltung der zugrundeliegenden Smart Contracts gegebenenfalls Erlaubnispflichten nach der MiCAR auslösen. So kann etwa die Verwahrung von hinterlegten Kryptowerten eine erlaubnispflichtige Kryptoverwahrung darstellen. Auch die Rücktransferierung hinterlegter Kryptowerte kann gegebenenfalls nach MiCAR erlaubnispflichtig sein, wenn sie an eine andere Blockchainadresse erfolgen soll als diejenige, von der aus die Kryptowerte ursprünglich in die Token Bridge eingebracht wurden.

                    Können Token Bridge Modelle auch unreguliert verwirklicht werden?

                    Anbieter von Token Bridges und Emittenten von Wrapped Token können somit weitreichenden aufsichtsrechtlichen Pflichten unterfallen. Eine Möglichkeit, diese erheblichen administrativen Belastungen zu umgehen kann gegeben sein, wenn die Token Bridge und auch die Emission der Wrapped Token soweit dezentralisiert wird, dass es an einer hinreichend verantwortlichen Person für den Betrieb der Token Bridge und der Emission der Wrapped Token fehlt. Erforderlich wäre insoweit, dass die Token Bridge vollkommen dezentral funktioniert und keine bestimmbare Person mit Kontroll- oder Einflussmöglichkeiten in Bezug auf den Betrieb oder die Emission von Wrapped Token ausgestattet ist. Dann würde es an einem Adressaten für die nach MiCAR vorgesehenen aufsichtsrechtlichen Pflichten fehlen und die Token Bridge würde außerhalb des Anwendungsbereichs der MiCAR laufen können.

                    Rechtsanwalt Lutz Auffenberg, LL.M. (London)

                    I.  https://fin-law.de

                    E. info@fin-law.de

                    Zuständiger Anwalt für Fragen für die Einordnung von Token nach der MiCAR in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

                    Newsletter abonnieren

                      Kontakt

                      info@fin-law.de

                      Dez. 02, 2024

                      Getting Ready for DORA (Part VII) – Welche Finanzunternehmen profitieren vom vereinfachten IKT-Risikomanagementrahmen?

                      Ab dem 17. Januar 2025 müssen betroffene Unternehmen die neuen Anforderungen erfüllen, die durch DORA eingeführt wurden. Die DORA verfolgt vor allem das Ziel, die digitale operationale Resilienz und die IKT-Sicherheit vollständig und konsequent zu harmonisieren. Die Notwendigkeit hierfür ergibt sich unter anderem daraus, dass rechtliche Unterschiede sowie variierende nationale Regulierungs- und Aufsichtsansätze in Bezug auf das IKT-Risiko Hindernisse für das Funktionieren des Binnenmarkts für Finanzdienstleistungen schaffen. Dies erschwert grenzüberschreitend tätigen Finanzunternehmen die ungehinderte Ausübung der Niederlassungsfreiheit sowie die Erbringung von Dienstleistungen erheblich. Darüber hinaus wird auch der Wettbewerb zwischen denselben Arten von Finanzunternehmen, die in verschiedenen Mitgliedstaaten tätig sind, durch diese Unterschiede bisher stark verzerrt. DORA begegnet IKT-Risiken durch gezielte Vorschriften zu den Kapazitäten für das IKT-Risikomanagement, die Meldung von Vorfällen, Tests der operationalen Resilienz sowie die Überwachung des IKT-Drittparteienrisikos. Beim Umgang mit DORA ist der Grundsatz der Verhältnismäßigkeit zu berücksichtigen. Das bedeutet, dass bei der Umsetzung der Vorgaben die Größe, das Gesamtrisikoprofil sowie die Art, der Umfang und die Komplexität der Finanzdienstleistungen berücksichtigt werden müssen. Dies zeigt sich auch in den Anforderungen an das IKT-Risikomanagement: Hier sieht DORA einen sogenannten vereinfachten IKT-Risikomanagementrahmen für bestimmte Finanzunternehmen vor. Aber auf wen genau ist dieser anwendbar?

                      Welche Unternehmen können einen vereinfachten IKT-Risikomanagementrahmen implementieren?

                      Der vereinfachte IKT-Risikomanagementrahmen ist im Vergleich zum allgemeinen Rahmen, der sonst durch die DORA vorgesehen ist, deutlich reduziert und stellt weniger konkrete Anforderungen an die Implementierung eines IKT-Risikomanagements. Salopp gesagt, reduziert sich das IKT-Risikomanagement von fünfzehn auf einen Artikel. Dieser vereinfachte Rahmen gilt ausschließlich für die ausdrücklich von DORA genannten Finanzinstitute. Dazu zählen beispielsweise kleine und nicht verflochtene Wertpapierfirmen, kleine Einrichtungen der betrieblichen Altersversorgung sowie Institute, die nach der Eigenkapitalrichtlinie (CRD IV) ausgenommen sind. Diese Ausnahmen sind vor dem Hintergrund des hohen Aufwands, der mit der Umsetzung der DORA-Anforderungen verbunden ist, besonders zu begrüßen. Kleinere Unternehmen, die unter die Ausnahme fallen, können so ein IKT-Risikomanagement betreiben, das im Verhältnis zu ihrer Größe und ihrem Gesamtrisikoprofil angemessen ist. Ein ausreichendes Schutzniveau wird durch die Vorgaben des vereinfachten IKT-Risikomanagementrahmens in Verbindung mit den technischen Regulierungsstandards (RTS RMF) gewährleistet. Diese Standards legen die Tools, Methoden, Prozesse und Richtlinien für das IKT-Risikomanagement sowie für den vereinfachten Rahmen fest. Der vereinfachte IKT-Risikomanagementrahmen soll außerdem für Zahlungsinstitute und E-Geld-Institute gelten, die nach der Zahlungsdiensterichtlinie (PSD2) oder der E-Geld-Richtlinie von den jeweiligen Mitgliedstaaten bei der Umsetzung ausgenommen wurden. Hier gibt es jedoch ungleiche Umsetzungen durch die einzelnen Mitgliedsstaaten.

                      Ungleiche Anforderungen an Zahlungsinstitute in verschiedenen Mitgliedstaaten

                      Trotz der Harmonisierungsbestrebungen der DORA bestehen weiterhin Lücken. Diese zeigen sich besonders bei Zahlungsinstituten und E-Geld-Instituten. Denn bei der Umsetzung der PSD2 und der E-Geld-Richtlinie hatten die Mitgliedstaaten gewisse Spielräume. Es ist daher möglich, dass bei der Umsetzung in nationales Recht die Möglichkeit genutzt wird, bestimmte Zahlungsinstitute oder E-Geld-Institute „auszunehmen“ und sie vereinfachten Anforderungen im nationalen Recht zu unterstellen. Folglich verweist die DORA in diesen Fällen auf eine Ausnahme, die nur für Finanzunternehmen greift, wenn der jeweilige Mitgliedstaat diese Ausnahme im nationalen Recht umgesetzt hat .Dies steht jedoch im starken Widerspruch zur Zielsetzung der DORA, gleiche Bedingungen für alle Marktteilnehmer zu schaffen. Aus Erwägungsgrund 42 der DORA geht hervor, dass der europäische Gesetzgeber dieses Problem erkannt und die Ungleichbehandlung vergleichbarer Finanzunternehmen letztlich in Kauf genommen hat. Ein Beispiel hierfür ist, dass ein in Deutschland reguliertes Zahlungsinstitut den allgemeinen IKT-Risikomanagementrahmen einhalten muss, während ein vergleichbares Zahlungsinstitut in einem anderen Mitgliedstaat, der die Ausnahmemöglichkeit genutzt hat, den vereinfachten IKT-Risikomanagementrahmen anwenden darf. Es bleibt somit nur im Einzelfall zu prüfen, ob und inwieweit eine Anwendung des vereinfachten IKT-Risikomanagementrahmens in Betracht kommt. Auch wenn dies nicht der Fall sein sollte, ist dennoch auf eine verhältnismäßige Umsetzung des allgemeinen IKT-Managementrahmens zu achten.

                      FIN LAW

                      I.  https://fin-law.de

                      E. info@fin-law.de

                      Zuständiger Anwalt für Fragen zu DORA und IT-Recht in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

                      Newsletter abonnieren

                        Kontakt

                        info@fin-law.de

                        Nov. 25, 2024

                        Keine Tied Agents unter MiCAR – Wie müssen sich Haftungsdächer und vertraglich gebundene Vermittler auf die MiCAR vorbereiten?

                        Ab dem 30. Dezember 2024 werden die Vorschriften der Markets in Crypto Assets Regulation (MiCAR) in der gesamten Europäischen Union rechtswirksam sein. Dann werden Kryptowerte-Dienstleister im Geltungsbereich der neuen Verordnung ihre Tätigkeit nicht mehr ohne die dafür erforderliche MiCAR Zulassung erbringen dürfen. Das aus anderen Bereichen der Finanzmarktregulierung bekannte Konzept des sog. Haftungsdach-Modells bzw. Tied-Agent-Modells, in dem erlaubnispflichtige Tätigkeiten ohne eigene Erlaubnis unter Verantwortung eines ausreichend zugelassenen Instituts erbracht werden dürfen, kennt die MiCAR nicht. Die ESMA hat diesbezüglich bereits im September 2024 klargestellt, dass Kryptowerte-Dienstleistungen unter Geltung der MiCAR ausschließlich von Unternehmen erbracht werden dürfen, die entweder als Kryptowerte-Dienstleister zugelassen sind oder als bereits beaufsichtigtes Kreditinstitut oder Wertpapierinstitut erfolgreich ein Notifizierungsverfahren nach Maßgabe der MiCAR durchlaufen haben. Da nach der aktuellen in Deutschland geltenden Regulierung nach dem Wertpapierinstitutsgesetz (WpIG) Kryptowerte als Finanzinstrumente gelten und das Gesetz insoweit Haftungsdachlösungen für Geschäftsmodelle erlaubt, in denen Unternehmen im Inland ausschließlich die Anlagevermittlung, die Anlageberatung oder das Platzierungsgeschäft erbringen, stellt der Übergang in das MiCAR-Regime für entsprechend angebundene Tied Agents potenziell einen echten Showstopper dar. Was können vertraglich gebundene Vermittler und deren Haftungsdächer mit krypto-bezogenen Geschäftsmodellen vor dem 30. Dezember 2024 tun, um das Geschäft unter der MiCAR nahtlos fortführen zu können?

                        Können vertraglich gebundene Vermittler unter die Übergangsregelung nach MiCAR fallen?

                        Für Anbieter von Kryptowerte-Dienstleistungen, die ihre Dienste nach dem für sie geltenden Recht – also nach den auf sie anwendbaren nationalen Vorschriften – erbracht haben, sieht die MiCAR eine Übergangsregelung vor. Solche Anbieter dürfen ihre Dienstleistungen auch nach dem 30. Dezember bis spätestens zum 1. Juli 2026 oder bis zu dem Zeitpunkt erbringen, in dem ihnen eine MiCAR Erlaubnis erteilt oder verweigert wurde, je nachdem, welcher Zeitpunkt zuerst eintritt. Die Mitgliedstaaten haben indes die Möglichkeit, den bis zum 1. Juli 2026 reichenden Zeitrahmen zu verkürzen. Der deutsche Gesetzgeber hat bislang noch keine Umsetzungsgesetzgebung zur MiCAR erlassen, so dass bis auf Weiteres nicht von einer Verkürzung auszugehen ist. Dem Wortlaut nach würden grundsätzlich auf vertraglich gebundene Vermittler von der Übergangsregelung Gebrauch machen können, da sie nach den auf sie anwendbaren nationalen Regularien legal Kryptowerte-Dienstleistungen vor dem 30. Dezember 2024 erbracht haben. Zu berücksichtigen ist aber in jedem Fall, dass sich die aufsichtsrechtliche Zulässigkeit der Dienstleistungserbringung bei Tied Agents von den als Haftungsdach agierenden Wertpapierinstituten ableitet. Vor diesem Hintergrund ist davon auszugehen, dass eine Berufung auf die Übergangsregelung für vertraglich gebundene Vermittler nur in Betracht kommen kann, wenn die in Anspruch genommene Haftungsdachlösung nach dem ab dem 30. Dezember 2024 geltenden Recht weiter existiert und auch das Haftungsdach weiter die diesbezüglichen Voraussetzungen erfüllt. Die BaFin hat demgegenüber die von ihr beaufsichtigten Institute angeschrieben, die Tied Agents angebunden haben und darauf hingewiesen, dass die Anbindung von Tied Agents unter Geltung der MiCAR unzulässig sein wird. Vertraglich gebundene Vermittler, die sich daher auf die Übergangsregelungen der MiCAR berufen wollen, sollten dieses Vorgehen in jedem Fall zuvor mit ihrem haftenden Institut und der BaFin abklären.

                        Alternative zum Haftungsdach nur Auslagerungslösung oder eigene MiCAR Zulassung

                        Sofern sich vertraglich gebundene Vermittler nicht auf die Übergangsregelungen der MiCAR berufen können oder wollen, benötigen sie eine andere Lösung. Die Beantragung einer eigenen MiCAR Erlaubnis ist bei der zuständigen Behörde möglich, jedoch erfordert ein solcher Antrag gründliche und zeitintensive Vorbereitung und zudem Geduld bis zum Abschluss des Zulassungsverfahrens durch die BaFin. Zügiger kann eine sog. Auslagerungslösung umgesetzt werden, in der der bisherige vertraglich gebundene Vermittler als Auslagerungsunternehmen für den zur Erbringung von Kryptowerte-Dienstleistungen berechtigten Anbieter agiert. Aufsichtsrechtlich verantwortlich ist dann – wie auch im Haftungsdachmodell – der Anbieter von Kryptowerte-Dienstleistungen. Das Auslagerungsunternehmen erbringt gegenüber diesem dann technische Leistungen wie etwa die Bereitstellung einer technischen Plattform, Support-Dienstleistungen sowie den Vertrieb. Vorsicht ist insoweit allerdings bei Auslagerungslösungen geboten, in denen an Kryptounternehmen aus dem Nicht-EU-Ausland ausgelagert werden soll. Hier darf nach der Auffassung der ESMA die Auslagerung nicht dazu führen, dass das Drittlandunternehmen Kryptowerte-Dienstleistungen in Europa letztlich ohne eigene Zulassung durch eine europäische Zweckgesellschaft erbringt, während die eigentliche Dienstleistung tatsächlich in einem Drittland erbracht wird.

                        Rechtsanwalt Lutz Auffenberg, LL.M. (London)

                        I.  https://fin-law.de

                        E. info@fin-law.de

                        Zuständiger Anwalt für alle Fragen zur Regulierung von tied agents nach MiCAR in unserer Kanzlei ist Rechtsanwalt Lutz Auffenberg, LL.M. (London).

                        Newsletter abonnieren

                          Kontakt

                          info@fin-law.de

                          to top