Die formulierte Erwartungshaltung gilt ausdrücklich für die Kryptowertpapierregisterführung; nicht für die bestehende Verwaltungspraxis in Bezug auf Bankgeschäfte oder andere Finanzdienstleistungen. Die Hinweise erheben keinen Anspruch auf Vollständigkeit. Es gelten die gesetzlichen Grundlagen. Die jeweils anwendbaren Rundschreiben, Merkblätter und Übersichten der BaFin und der Deutschen Bundesbank sind zu berücksichtigen.

Bei Fragen zu der Kryptowertpapierregisterführung können sich Unternehmen direkt an die Gruppe ZK der BaFin (ZK4@bafin.de) oder die regional zuständige Hauptverwaltung der Deutschen Bundesbank wenden. Digitale Übermittlungen sollten stets über gesicherte Kommunikationswege erfolgen. Für Fragen, ob eine erlaubnispflichtige Tätigkeit erbracht wird, ist bei der BaFin die Abteilung IF zuständig.

1. Grundsätzliche Hinweise zum Erlaubnisantrag

Das Erlaubnisverfahren für die Unternehmen, die die Kryptowertpapierregisterführung i.S.d. § 1 Abs. 1a Satz 2 Nr. 8 KWG erbringen wollen, richtet sich nach § 32 Absatz 1 KWG und ist damit vergleichbar mit bereits etablierten Erlaubnisverfahren für Bankgeschäfte oder anderer bereits vor Inkrafttreten des Einführungsgesetzes regulierter Finanzdienstleistungen. Es sind daher auch die einschlägigen Verordnungen, insbesondere die Anzeigenverordnung, die in § 14 AnzV nähere Bestimmungen zu den einzureichenden Anzeigen und vorzulegenden Unterlagen trifft, anzuwenden.Antragsteller können sich daher an dem Merkblatt der Deutschen Bundesbank über die Erteilung einer Erlaubnis zum Erbringen von Finanzdienstleistungen vom 06.07.2018 orientieren.

Die Erteilung einer Erlaubnis setzt die Einreichung vollständiger Antragsunterlagen voraus. Die Antragsteller sollten daher keine unvollständigen Erlaubnisanträge einreichen. Dies gilt auch im Hinblick auf die in § 65 KWG normierte Übergangsbestimmung und die darin festgelegte Frist vom 10.06.2022 (hierzu auch unter Ziffer 2). Sollten bestimmte Angaben und Nachweise zum Zeitpunkt der Einreichung nicht vorliegen, sollte dies kurz begründet und der Zeitpunkt der beabsichtigten Nachreichung benannt werden. Sofern sich bei der Vorbereitung des vollständigen Erlaubnisantrages bereits aufsichtsrechtliche Fragen ergeben, deren Beantwortung für die Erlaubniserteilung absehbar kritisch sein könnte, können die Unternehmen sich unmittelbar an die BaFin oder die jeweils zuständige Hauptverwaltung der Deutschen Bundesbank wenden. Es wird darauf hingewiesen, dass Unternehmen, die nicht unter die Übergangsbestimmung fallen, ihre Tätigkeit erst mit rechtswirksamer Erlaubniserteilung durch die BaFin aufnehmen dürfen.

Es sollte beachtet werden, dass der Antrag von zur Vertretung des Unternehmens berechtigten Personen zu unterzeichnen ist. Alternativ besteht die Möglichkeit einer digitalen Einreichung ausschließlich gemäß den Vorgaben des § 3a VwVfG, d.h. in der Regel mittels qualifiziert elektronisch signierter Dokumente. Informationen zu der rechtswirksamen Übermittlung elektronischer Dokumente sind auf der Internetseite der BaFin abrufbar.

Darüber hinaus können Unterlagen und Erklärungen in einfacher digitaler Form eingereicht werden, sofern die gesetzlichen Grundlagen nicht die Einreichung des Originals oder eine eigenhändige Unterzeichnung vorsehen. Dies ist etwa der Fall bei der Einreichung von eigenhändig zu unterzeichnenden Lebensläufen (§ 5a Abs. 1 Satz 2 AnzV) und Zuverlässigkeitserklärungen (§ 5b Abs. 2 Satz 2 AnzV). Eine digitale Übersendung sollte stets über gesicherte Kommunikationswege erfolgen, zum Beispiel über mit PGP oder S/MIME verschlüsselte E-Mails. Nähere Informationen zu den verfügbaren Verfahren sind auf der Internetseite der BaFin abrufbar.

2. Hinweise zu Verfahren auf Basis der Übergangsbestimmung nach § 65 KWG

Der Gesetzgeber hat mit der Einführung von elektronischen Wertpapieren und insbesondere Kryptowertpapieren auch einen Erlaubnistatbestand für die Führung der nach dem eWpG erforderlichen Kryptowertpapierregister geschaffen. Die Unternehmen mussten für die Inanspruchnahme der Übergangsbestimmung ihre Tätigkeit bis spätestens 10.12.2021 aufnehmen und zwei Monate vor Aufnahme der Tätigkeit die Absicht derselben anzeigen. Sechs Monate nach Aufnahme der Tätigkeit müssen die Unternehmen einen vollständigen Erlaubnisantrag einreichen. Bei Erfüllung dieser Voraussetzungen sieht die Übergangsbestimmung eine Erlaubnisfiktion zum 10.06.2021 vor, weshalb die Unternehmen damit bereits Institute im Sinne des KWG sind. Die BaFin erwartet daher, dass die Unternehmen grundsätzlich mit Aufnahme der Tätigkeit die gesetzlichen Voraussetzungen erfüllen. Antragssteller, die ihre Prozesse nach Aufnahme der Tätigkeit nicht in der vom Gesetzgeber vorgesehenen Übergangszeit von sechs Monate an aufsichtliche Erfordernisse angepasst haben, bieten regelmäßig keine Gewähr für die ordnungsgemäße Durchführung der Geschäfte. Die beantragte Erlaubnis wäre in diesen Fällen zu versagen. Die BaFin behält sich daher Nachfragen, etwa um sich ein Bild von den durchgeführten und geplanten Vorbereitungshandlungen zu machen, auch vor dem Zeitpunkt der Erlaubniserteilung vor. Sofern Unternehmen bestimmte Anforderungen im Zeitpunkt der Erlaubnisbeantragung noch nicht umgesetzt haben, sollten diese Unternehmen in der Lage sein, die Gründe hierfür zu erläutern und einen Zeitplan für eine zügige Umsetzung vorzulegen. Die Unternehmen sollten dabei eigenständig analysieren, welche (technischen) Risiken sie während der noch andauernden Umsetzung sehen und wie sie diesen begegnen werden.

Übergangsbestimmung des § 65 KWG

(c) BaFin

Da die Unternehmen qua Erlaubnisfiktion als Finanzdienstleistungsinstitute nach dem KWG gelten, haben sie auch den entsprechenden Anzeigepflichten nachzukommen. Informationen zu den für Institute geltenden Anzeigepflichten können Sie der Übersicht der Deutschen Bundesbank entnehmen.

Insbesondere erwartet die BaFin die Einreichung von Jahresabschlüssen und Jahresabschlussprüfberichten für die unter die Übergangsbestimmung fallenden Institute.

3. Hinweise zum Inhalt des Erlaubnisantrages

Im Erlaubnisantrag für die Erbringung der Kryptowertpapierregisterführung i.S.d. § 1 Abs. 1a Satz 2 Nr. 8 KWG ist u.a. nachzuweisen, dass ausreichendes Anfangskapital in Höhe von mindestens 150.000 Euro vorhanden ist und das Unternehmen sowohl über zuverlässige Inhaber als auch über zuverlässige und fachlich geeignete Geschäftsleiter verfügt. Dem Antrag ist darüber hinaus ein Geschäftsplan beizufügen, der neben Planungen für die Bilanzen und die GuV der ersten drei vollen Geschäftsjahre, insbesondere den organisatorischen Aufbau und eine Darstellung der geplanten internen Kontrollverfahren zu beinhalten hat. Die Bilanzierung richtet sich dabei nach der RechKredV. Die Unternehmen haben darzustellen, dass sie über eine ordnungsgemäße Geschäftsorganisation verfügen. Angesichts des technischen Schwerpunkts der Geschäftstätigkeit sind hier insbesondere Angaben zu der IT-Strategie und der IT-Sicherheit zu machen (vgl. unten unter Ziffer 3 lit. a). Die konkret einzureichenden Angaben und Nachweise richten sich nach § 32 KWG und den konkretisierenden Vorgaben der Anzeigenverordnung. Im Erlaubnisverfahren ist insbesondere § 14 Anzeigenverordnung zu beachten.

Darüber hinaus sieht § 23 eWpG eine Ermächtigung zum Erlass einer Verordnung über die technischen Anforderungen von Kryptowertpapierregistern vor. Die auf dieser Grundlage basierende Verordnung (Verordnung über Anforderungen an elektronische Wertpapierregister (eWpRV)) regelt insoweit Details u.a. zu technischen Anforderungen und organisatorischen der Kryptowertpapierregister. Im Erlaubnisantrag haben die Antragsteller darzustellen, wie die Anforderungen der eWpRV im Unternehmen umgesetzt werden.

Für die einzureichenden Nachweise der Inhaber bedeutender Beteiligungen gelten auch für die Erlaubnisanträge für die Kryptowertpapierregisterführung die Anforderungen der Inhaberkontrollverordnung. Das Merkblatt zur Inhaberkontrolle vom 27.11.2015 kann daher als erste Orientierungshilfe dienen. Einen Überblick über die einzureichenden Anlagen liefert die „Liste der Anlagen“ unter Ziffer 6.4 des Formulars „Erwerb-Erhöhung“ der Anlage zur Inhaberkontrollverordnung, wobei abweichende Vorlage- und Nachweispflichten gelten (vgl. § 14 Abs. 5 AnzV).

Darüber hinaus soll nachfolgend die aufsichtliche Erwartungshaltung für das Erbringen der Kryptowertpapierregisterführung für ausgewählte Aspekte konkretisiert werden:

a) Anforderungen an die IT

Eine angemessene IT-Sicherheit ist wesentlicher Bestandteil einer ordnungsgemäßen Geschäftsorganisation im Sinne des § 25a KWG und im Rahmen der Darstellung der geplanten internen Kontrollverfahren des Instituts (§ 14 Abs. 7 Nr. 3 AnzV) zu erläutern. Sowohl die Mindestanforderungen an das Risikomanagement (MaRisk) als auch die Bankaufsichtlichen Anforderungen an die IT (BAIT) sind – stets unter Berücksichtigung des Grundsatzes der Proportionalität – auf die konkrete Geschäftstätigkeit anzuwenden und bei der Implementierung des Risikomanagements zu berücksichtigen.

Die BaFin erwartet insbesondere Angaben zu der Ausgestaltung der IT-Systeme und der implementierten IT-Prozesse. Bei der Darstellung im Erlaubnisantrag sollte die Erläuterung der implementierten Maßnahmen die Integrität und Authentizität der im Register geführten Daten in den Fokus setzen. Einzureichende Unterlagen sind insbesondere eine Darstellung der Sicherheitsstrategie, des Umgangs mit Sicherheitsvorfällen und eine Risikobewertung des Unternehmens.

Das Unternehmen sollte erläutern, wie die technischen und prozessualen Abläufe hinsichtlich der Erbringung der Kryptowertpapierregisterführung ausgestaltet sind, d.h. in welcher Form das Aufzeichnungssystem umgesetzt wurde und welche technisch-organisatorisch spezifischen Details mit der Art der Umsetzung einhergehen.
Allgemein sind die Anforderungen aus MaRisk und BAIT auf die einzelnen Komponenten des Aufzeichnungssystems und alle weiteren Systeme, die mit der Erbringung der erlaubnispflichtigen Tätigkeiten verbunden sind, auszulegen und zu beschreiben.

Auf Basis der Beschreibung der Geschäftstätigkeit sollte eine umfassende Beschreibung der implementierten IT-Systeme erfolgen. Die einzureichenden Angaben und Unterlagen sollten auf die in der eWpRV festgelegten Anforderungen Bezug nehmen und zudem insbesondere die folgenden Punkte umfassen:

• Das Unternehmen sollte eine detaillierte Darstellung der Geschäftsstrategie im Hinblick auf die geplante Tätigkeit einreichen.
• Es ist die IT-Strategie detailliert darzustellen, welche die Anforderungen nach AT 4.2 der MaRisk zu erfüllen hat. Dies beinhaltet insbesondere, dass die Geschäftsleitung eine nachhaltige IT-Strategie festlegt, in der die Ziele sowie die Maßnahmen zur Erreichung dieser Ziele dargestellt werden.
• Eine umfassende Beschreibung der Architektur der IT-Systeme sollte beigefügt werden. Diese sollte sowohl Netzwerk- als auch Backup-Elemente enthalten.
• Dem Antrag ist zudem eine Darstellung der Sicherheitsstrategie beizufügen. Die implementierten technischen und organisatorischen Sicherheitsmaßnahmen sind zu erläutern.
• Es sollten Angaben zu (wesentlichen) Auslagerungen und genutzten Cloud-Lösungen gemacht werden. Dabei sollten sämtliche Kooperationspartner, die bei der Durchführung der Kryptowertpapierregisterführung mitwirken, genannt und deren jeweilige Rolle erläutert werden. Ebenfalls sollten die MaRisk AT 9 sowie das Merkblatt „Orientierungshilfe zu Auslagerungen an Cloud-Anbieter“ berücksichtigt werden.
• Das Unternehmen sollte eine Risikobewertung durchführen und Auswirkungen und Maßnahmen erläutern, etwa im Hinblick auf die Schutzbedarfsziele, insbesondere mit Bezug zum Aufzeichnungssystem aber auch anderer maßgeblicher Daten und der IT-Infrastruktur.
• Das Unternehmen sollte eine Identifizierung der Rollen mit Zugang zu den für die Führung des Kryptowertpapierregisters relevanten Systeme durchführen und Angaben zu dem Rechte- und Rollenkonzept oder dem Berechtigungsmanagement machen (vgl. Ziffer 5 der BAIT).
• Der Antragsteller sollte eine Darstellung der eingerichteten Überwachungsverfahren, etwa des implementierten Monitorings der Systeme, einreichen.

Die Darstellungen haben dabei unter Berücksichtigung des Grundsatzes der Proportionalität und jeweils in Bezug zu dem konkreten Geschäftsmodell zu erfolgen. Der Schwerpunkt der Darstellungen sollte sich auf die spezifischen Besonderheiten des Unternehmens konzentrieren.

b) Zuverlässige und fachlich geeignete Geschäftsleiter

Die Geschäftsleiter eines Instituts müssen fachlich geeignet und zuverlässig sein und der Wahrnehmung ihrer Aufgaben ausreichend Zeit widmen (§ 25c Abs. 1 KWG). Dies gilt auch bei der Erbringung der Kryptowertpapierregisterführung i.S.d. § 1 Abs. 1a Satz 2 Nr. 8 KWG. Die mangelnde fachliche Eignung eines Geschäftsleiters stellt einen Grund zur Versagung der Erlaubnis dar (§ 33 Abs. 1 Nr. 4 KWG).

Für die Zuverlässigkeit und fachliche Eignung der Geschäftsleiter können sich Antragsteller grundsätzlich an dem „Merkblatt zu den Geschäftsleitern gemäß KWG, ZAG und KAGB“ orientieren, welches auf die Kryptowertpapierregisterführung ebenfalls anwendbar ist. Die für die Prüfung der Anforderung erforderlichen Unterlagen haben insbesondere einen eigenhändig unterzeichneten Lebenslauf sowie ein Führungszeugnis zur Vorlage bei einer Behörde (§ 30 Abs. 5 BZRG) als auch einen Auszug aus dem Gewerbezentralregister (§ 150 GewO) zu beinhalten. Die BaFin hat eine Checkliste als Anlage zu dem o.g. Merkblatt veröffentlicht, dem die einzureichenden Unterlagen zu entnehmen sind.

Die fachliche Eignung zur Leitung eines Instituts im Sinne des KWG bedeutet, dass ein Geschäftsleiter in ausreichendem Maße theoretische und praktische Kenntnisse in den betreffenden Geschäften sowie Leitungserfahrung hat (§ 25c Abs. 1 Satz 2 KWG). Die BaFin wird im Falle der Kryptowertpapierregisterführung bei ihrer Prüfung sowohl die Größe und Struktur des Unternehmens als auch die Tatsache berücksichtigen, dass die Kryptowertpapierregisterführung eine neue und bisher nicht regulierte Finanzdienstleistung ist. Bereits für traditionelle Bankgeschäfte hat die BaFin ihre Entscheidungsmaßstäbe hinsichtlich der IT-Kompetenz in der Geschäftsleitung angepasst (vgl. BaFin-Journal 12/2017, S. 15). Da das Wesen der Kryptowertpapierregisterführung auf der Führung einer Datenbank basiert und die Aktualität und Integrität der Kryptowertpapierregister von besonderer Bedeutung ist, wird die BaFin für die Kryptowertpapierregisterführung an diese Entscheidungsmaßstäbe anknüpfen. Sie räumt der technischen Expertise eines Geschäftsleiters im Falle der Kryptowertpapierregisterführung eine besondere Rolle ein und wird daher – begrenzt auf diesen Tatbestand – technische Expertise, z.B. ein einschlägiges Studium und profunde praktische Erfahrungen mit Fragen der IT-Sicherheit, umfassend als fachliche Eignung „in den betreffenden Geschäften“ (§ 25c Abs. 1 Satz 2 KWG) würdigen.

Die BaFin wird konkret herausgehobene, d.h. entsprechend hierarchisch hoch angesiedelte, Tätigkeiten für ein Unternehmen, welches unter die Übergangsbestimmung des § 65 KWG fällt, als praktische Kenntnisse mit der Kryptowertpapierregisterführung würdigen. Es wird jedoch erwartet, dass die Geschäftsleiter die von der Übergangsbestimmung eingeräumte Zeit auch für die Aneignung ggf. noch nicht vollumfänglich vorliegender Kenntnisse nutzen.

Ferner wird die BaFin in begründeten Einzelfällen prüfen, inwieweit die personelle und organisatorische Ausstattung des Unternehmens insgesamt geeignet ist, ein geringeres Maß an Kenntnissen eines Geschäftsleiters innerhalb der Geschäftsleitung temporär aufzufangen. Es handelt sich stets um Entscheidungen im Einzelfall, die auch die Größe und Struktur des Unternehmens sowie die konkret erbrachten Geschäfte berücksichtigen.

c) Anzahl der erforderlichen Geschäftsleiter

Sofern ein Institut ausschließlich die Kryptowertpapierregisterführung im Sinne des § 1 Abs. 1a Nr. 8 KWG erbringt, ist – als Umkehrschluss aus § 33 Abs. 1 Nr. 5 KWG – grundsätzlich die Bestellung lediglich eines Geschäftsleiters ausreichend.

Gleichwohl weist die BaFin ausdrücklich darauf hin, dass ungeachtet dieser Vorgabe die Bestellung eines oder mehrerer weiterer Geschäftsleiter in bestimmten Einzelfällen aufsichtsrechtlich geboten ist. Die Implementierung des Vier-Augen-Prinzips in der Geschäftsleitung ist jedenfalls dann geboten, wenn auf Basis der Größe des Instituts und des Umfangs der Geschäftstätigkeit eine ordnungsgemäße Geschäftsorganisation im Sinne des § 25a KWG mit lediglich einem Geschäftsleiter nicht gewährleistet werden kann. Die BaFin wird dies im Einzelfall auf Grundlage der eingereichten Unterlagen im Erlaubnisverfahren prüfen. Dem Erlaubnisverfahren ist auch aus diesem Grund ein Organigramm beizufügen, das die Zuständigkeit der Geschäftsleitung erkennen lässt (§ 14 Abs. 7 Satz 1 Nr. 2 AnzV). Aus den eingereichten Unterlagen sollte zudem deutlich werden, dass das Institut über eine ausreichende personelle und technisch-organisatorische Ausstattung verfügt, um die gesetzlichen Anforderungen zu erfüllen (§ 25c Abs. 4 und 4a Nr. 4 KWG). Zudem macht die BaFin darauf aufmerksam, dass Geschäftsleiter nach § 25c Abs. 1 KWG ihrer Tätigkeit ausreichend Zeit widmen müssen.

d) Prävention von Geldwäsche und Terrorismusfinanzierung

Die BaFin weist ausdrücklich darauf hin, dass die Pflichten nach dem Geldwäschegesetz durch die neuen Verpflichteten bereits bei als vorläufig erteilt geltender Erlaubnis auf Basis der Übergangsbestimmung nach § 65 KWG zu erfüllen sind. Insofern wird eine zeitnahe Umsetzung dieser Pflichten erwartet, unabhängig vom Fortschritt des Erlaubnisverfahrens im Rahmen der Übergangsbestimmungen des § 65 KWG. Die BaFin wird allerdings in Bezug auf etwaige Sanktionen in Einzelfallbetrachtung den Grundsatz der Verhältnismäßigkeit anwenden, wenn bestimmte Anforderungen einen gewissen zeitlichen Vorlauf bis zur operativen Umsetzung bedürfen. Für den Fall, dass Institute die Auslagerung der internen Sicherungsmaßnahmen im Bereich der Geldwäscheprävention beabsichtigen sollten, wird zudem auf die Verpflichtung zur vorherigen Anzeige nach den §§ 6 Abs. 7 GwG und 25h Abs. 4 KWG hingewiesen. Ebenso ist die Bestellung des Geldwäschebeauftragten sowie des stellvertretenden Geldwäschebeauftragten der BaFin gem. § 7 Abs. 4 GwG anzuzeigen. Ein Vordruck hierzu kann auf der Internetseite der BaFin abgerufen werden.

e) Gebühr für die Erlaubniserteilung

Die Gebühr für die Erteilung einer Erlaubnis richtet sich nach der Anlage zur FinDAGebV. Sie beträgt für den Fall, dass ausschließlich die Kryptowertpapierregisterführung i.S.d. § 1 Abs. 1a Satz 2 Nr. 8 KWG beantragt wurde 6.336 EUR (5.1.12.1.2.1 der Anlage zur FinDAGebV). Die Gebühr wird bei Erlaubniserteilung fällig. Bitte beachten Sie, dass zudem sowohl die Versagung einer Erlaubnis als auch die Rücknahme eines Erlaubnisantrages gebührenpflichtig sind (§ 10 Abs. 2 und 5 BGebG).