AML/CFT-Pflichten für VASPs · Lektion 2 von 5
Der VASP als Verpflichteter
8 Min. Lesezeit
Bevor ein Unternehmen ein AML/CFT-Programm entwickeln kann, muss es zunächst eine Frage beantworten: Sind wir überhaupt ein Verpflichteter, und für welche unserer Tätigkeiten? Eine falsche Abgrenzung ist kostspielig. Ein Unternehmen, das fälschlicherweise zu dem Schluss kommt, außerhalb des Anwendungsbereichs zu liegen, betreibt ein nicht lizenziertes Geschäft ohne Kontrollen; ein Unternehmen, das nicht erklären kann, warum ein Produkt außerhalb des Anwendungsbereichs liegt, wird sich gegenüber einer Aufsichtsbehörde oder einem Bankpartner schwertun.
Die FATF-Definitionen
Das FATF-Glossar enthält die beiden Definitionen, die die meisten nationalen Regelwerke übernehmen oder anpassen.
Ein virtueller Vermögenswert (VA) ist eine digitale Darstellung eines Werts, der digital gehandelt oder übertragen werden kann und für Zahlungs- oder Anlagezwecke verwendet werden kann. Nicht darunter fallen digitale Darstellungen von Fiatwährungen, Wertpapieren und anderen Finanzanlagen, die bereits an anderer Stelle von den FATF-Empfehlungen erfasst werden.
Ein Anbieter von Dienstleistungen für virtuelle Vermögenswerte (VASP) ist jede natürliche oder juristische Person, die nicht an anderer Stelle unter den Empfehlungen erfasst ist und die gewerbsmäßig eine oder mehrere der folgenden Tätigkeiten für oder im Namen einer anderen natürlichen oder juristischen Person ausübt:
- Tausch zwischen virtuellen Vermögenswerten und Fiatwährungen;
- Tausch zwischen einer oder mehreren Formen virtueller Vermögenswerte;
- Übertragung virtueller Vermögenswerte (Übertragung eines VA von einer Adresse oder einem Konto auf ein anderes im Namen einer anderen Person);
- Verwahrung und/oder Verwaltung virtueller Vermögenswerte oder von Instrumenten, die die Kontrolle über virtuelle Vermögenswerte ermöglichen;
- Beteiligung an Finanzdienstleistungen im Zusammenhang mit dem Angebot und/oder Verkauf eines virtuellen Vermögenswerts durch einen Emittenten oder Erbringung solcher Finanzdienstleistungen.
Empfehlung 15 und ihre Auslegungsnote unterwerfen VASPs denselben Präventionsmaßnahmen wie Finanzinstitute (Empfehlungen 10 bis 21): Kundenprüfung, Aufbewahrung von Aufzeichnungen, Überwachung, Meldung verdächtiger Transaktionen, gezielte Finanzsanktionen und die Travel Rule. Banken und Wertpapierfirmen, die dieselben Tätigkeiten anbieten, sind bereits Verpflichtete. Welche Anforderungen R.15 an Länder stellt, wird in der Lektion Empfehlung 15 und ihre Auslegungsnote behandelt.
Die Definition funktional auslegen
Die Aktualisierte FATF-Leitlinie für einen risikobasierten Ansatz für virtuelle Vermögenswerte und VASPs (Oktober 2021) fordert die Länder auf, beide Definitionen weit auszulegen und einen funktionalen Ansatz anzuwenden: Entscheidend ist die tatsächlich erbrachte Dienstleistung, nicht ihre Bezeichnung, Vermarktung oder Technologie. Vier Formulierungen sind dabei besonders wichtig.
- „Gewerbsmäßig“ schließt gelegentliche, nicht kommerzielle Tätigkeiten aus. Wer einmal eigene Coins verkauft, ist kein VASP; wer regelmäßig für andere gegen Gebühr oder Spread kauft und verkauft, ist es.
- „Für oder im Namen einer anderen Person“ schließt Tätigkeiten auf eigene Rechnung aus. Eine Handelsfirma, die ihre eigenen Finanzmittel investiert, ist für diese Tätigkeit kein VASP.
- Kontrolle zieht sich als roter Faden durch Verwahrung, Übertragung und Tausch. Schlüssel zu halten, Kundenvermögen bewegen oder sperren zu können oder die Funktionsweise einer Dienstleistung ändern zu können, spricht jeweils für einen VASP-Status.
- „Nicht an anderer Stelle erfasst“ verhindert eine doppelte Erfassung. Alle relevanten Vermögenswerte werden von den Standards erfasst, entweder als VA oder als andere Finanzanlage. Die Frage ist also, welche Vorschriften gelten, nicht, ob überhaupt Vorschriften gelten.
Was nicht darunter fällt
Die Leitlinie nennt mehrere Tätigkeiten, die außerhalb der VASP-Definition liegen, wenn die betreffende Person ausschließlich diese ausübt.
| Außerhalb der Definition | Warum | Wann sich das ändern kann |
|---|---|---|
| Softwareentwickler und -verlage, einschließlich Software für nicht gehostete Wallets | Das Schreiben oder Verkaufen von Software ist keine für andere erbrachte Dienstleistung | Der Entwickler hält außerdem Schlüssel, führt Übertragungen aus oder betreibt einen Tauschdienst |
| Hersteller von Hardware-Wallets | Der Verkauf eines Geräts ist keine Verwahrung | Das Unternehmen bietet außerdem Verwahrung oder Wiederherstellung an, die ihm Kontrolle verschafft |
| Ergänzende Infrastruktur (Hosting, Cloud, Konnektivität) | Sie unterstützt die Dienstleistung eines anderen Unternehmens, erbringt sie aber nicht selbst | Der Anbieter übernimmt selbst eine erfasste Tätigkeit |
| Transaktionsvalidatoren und Miner | Das Validieren von Blöcken ist keine Dienstleistung für einen bestimmten Kunden | Der Validator betreibt außerdem einen Staking- oder Verwahrungsdienst für Kunden |
| Nutzer nicht gehosteter Wallets, die für sich selbst handeln | Sie handeln auf eigene Rechnung | Der Nutzer beginnt, gewerbsmäßig für andere zu kaufen und zu verkaufen |
| Reine Peer-to-Peer-Übertragungen (P2P) zwischen Einzelpersonen | Es ist kein Vermittler beteiligt | Eine Plattform verwahrt Gelder treuhänderisch, bringt Aufträge mit Kontrolle zusammen oder tauscht für andere |
Außerhalb der Definition zu liegen bedeutet nicht, außerhalb des Compliance-Programms eines VASP zu liegen. Übertragungen zu und von nicht gehosteten Wallets und P2P-Aktivitäten sind Risikofaktoren, die Ihr Unternehmen bewerten muss, wie in den Lektionen Technologiespezifische Risiken bei Kryptowerten und Nicht gehostete Wallets und selbstverwaltete Übertragungen erläutert wird.
DeFi und die Prüfung von Eigentümern und Betreibern
Die Leitlinie zieht für dezentralisierte Finanzdienstleistungen (DeFi) eine klare Grenze. Eine DeFi-Anwendung, also die Software, ist kein VASP, da die Standards nicht für die zugrunde liegende Technologie gelten. Die Entwickler, Eigentümer und Betreiber oder andere Personen, die Kontrolle oder maßgeblichen Einfluss auf eine DeFi-Vereinbarung ausüben, können jedoch VASPs sein, wenn sie erfasste Dienstleistungen erbringen oder aktiv ermöglichen, selbst wenn die Vereinbarung sich als dezentralisiert bezeichnet.
Zu den Faktoren, auf die die FATF bei dieser Beurteilung verweist, gehören:
- die Kontrolle über das Protokoll oder die Möglichkeit, dessen Parameter festzulegen oder zu ändern (in der Praxis Admin-Schlüssel, Upgrade-Rechte oder die Möglichkeit, Verträge anzuhalten);
- eine laufende Geschäftsbeziehung mit Nutzern, selbst wenn diese über einen Smart Contract oder ein Abstimmungsprotokoll abgewickelt wird;
- ein Gewinn aus der Dienstleistung, zum Beispiel durch das Erheben von Gebühren oder Spreads.
In der Praxis prüfen Compliance-Teams außerdem, ob jemand das Vermögen der Nutzer bewegen, einfrieren oder umleiten kann, da dies ein direkter Beleg für Kontrolle ist.
Dezentralisierung ist eine Tatsachenfrage, keine Marketingfrage. Ein Frontend-Betreiber, der bei jedem Tausch Gebühren erhebt und die Routing-Verträge ändern kann, unterscheidet sich deutlich von einem Protokoll, dessen Schlüssel bereits vor Jahren vernichtet wurden. Wenn keine Person mit Kontrolle oder maßgeblichem Einfluss ausfindig gemacht werden kann, erwartet die FATF von den Ländern, die Risiken zu überwachen und mögliche Gegenmaßnahmen zu prüfen. In späteren gezielten Aktualisierungen wurde DeFi wiederholt als ungelöste Herausforderung bei der Umsetzung benannt.
NFTs und Stablecoins
Der funktionale Ansatz gilt sowohl für Vermögenswerte als auch für Dienstleistungen.
Nicht fungible Token (NFTs), die einzigartig sind und in der Praxis als Sammlerstücke verwendet werden, sind nach der FATF-Definition im Allgemeinen keine VAs. Ein NFT, das in der Praxis für Zahlungen oder Anlagen verwendet wird, zum Beispiel Token aus großen fungiblen Serien oder in Bruchteile aufgeteilt und als Anlage gehandelt, kann ein VA sein. Plattformen, die solche Token für andere tauschen oder verwahren, können VASPs sein. Ein NFT, das lediglich ein Wertpapier repräsentiert, wird als Wertpapier erfasst.
Stablecoins können je nach ihrer Ausgestaltung VAs oder andere Finanzanlagen sein; in beiden Fällen werden sie erfasst. Die Leitlinie stellt fest, dass das zentrale Leitungsgremium eines Stablecoins, also die Personen, die die Regeln der Vereinbarung festlegen, im Allgemeinen von den Standards als VASP oder Finanzinstitut erfasst wird, insbesondere wenn es außerdem andere Funktionen innerhalb der Vereinbarung ausübt. Im gezielten Bericht der FATF zu Stablecoins und nicht gehosteten Wallets (März 2026) wurde als bewährte Praxis genannt, von Emittenten risikobasierte Kontrollen zu verlangen, etwa die Möglichkeit, Token auf dem Sekundärmarkt einzufrieren, zu verbrennen oder zurückzuziehen.
Eine Entscheidungstabelle
Die folgende Tabelle wendet die Definitionen auf gängige Geschäftsmodelle an. Sie dient als Orientierung für die Beurteilung; die endgültige Antwort hängt von den konkreten Umständen und der nationalen Umsetzung ab.
| Geschäftsmodell | Wahrscheinlich ein VASP? | Begründung |
|---|---|---|
| Börse mit Fiat-Einzahlungen und Verwahrung | Ja | Tätigkeiten 1, 2 und 4 für Kunden, gewerbsmäßig |
| Betreiber eines Krypto-Geldautomaten oder Kiosks | Ja | Tausch zwischen VA und Fiat für Kunden |
| OTC-Handelstisch, der für Kunden handelt | Ja | Tausch für andere; der Handel ausschließlich auf eigene Rechnung fällt nicht darunter |
| Verwahrer, der Schlüssel für Fonds hält | Ja | Verwahrung und Verwaltung |
| Nicht verwahrende Wallet-App ohne Gebühren auf Übertragungen | In der Regel nein | Nur Software; der Nutzer behält die Schlüssel |
| DEX-Frontend mit Admin-Schlüsseln und Gebührenfunktion | Möglicherweise | Hinweise auf Kontrolle und Gewinn sind vorhanden |
| NFT-Marktplatz für Sammlerkunst | In der Regel nein | Sammlerstücke sind im Allgemeinen keine VAs; prüfen, wenn Serien als Anlagen gehandelt werden |
| Plattform für Tokenverkäufe durch Emittenten | Ja | Finanzdienstleistungen im Zusammenhang mit dem Angebot eines Emittenten |
Überall registrieren oder lizenzieren
Gemäß der Auslegungsnote zu R.15 müssen VASPs mindestens in dem Hoheitsgebiet lizenziert oder registriert sein, in dem sie gegründet wurden; bei natürlichen Personen gilt dies für den Ort ihrer Geschäftstätigkeit. Länder können außerdem eine Lizenzierung von VASPs verlangen, die Kunden in ihrem Hoheitsgebiet bedienen oder von dort aus tätig sind; viele tun dies. Länder müssen zudem Maßnahmen ergreifen, um Personen zu ermitteln, die ohne Lizenz oder Registrierung tätig sind, und Sanktionen verhängen. Ein Land kann VASP-Tätigkeiten verbieten, muss dieses Verbot dann aber auch durchsetzen.
Für einen Compliance-Beauftragten hat dies drei Folgen. Gleichen Sie jede Tätigkeit mit der Definition in jedem Land ab, in dem Sie Kunden bedienen, da sich die Regelwerke hinsichtlich Schwellenwerten, des Anwendungsbereichs für DeFi und der angebotenen Lizenzen unterscheiden (siehe die Lektion Wie nationale Regelwerke den Standard umsetzen). Dokumentieren Sie die Analyse, einschließlich der Gründe, warum Produkte außerhalb des Anwendungsbereichs liegen. Und behandeln Sie Geschäftspartner genauso: Ob ein anderer VASP ordnungsgemäß registriert ist, gehört zu den ersten Fragen der Geschäftspartnerprüfung.
Prüfungsschwerpunkt: die FATF-Definitionen von virtuellem Vermögenswert und VASP sowie die fünf Tätigkeiten; die Bedeutung von „gewerbsmäßig“ und „für oder im Namen einer anderen Person“; der funktionale Ansatz (Substanz statt Bezeichnung und Technologie); was außerhalb der Definition liegt (Software, Hardware, ergänzende Infrastruktur, Validatoren, Nutzer nicht gehosteter Wallets, reine P2P-Übertragungen) und wann sich das ändert; die Prüfung von Eigentümern und Betreibern bei DeFi sowie die Hinweise auf Kontrolle, Geschäftsbeziehung und Gewinn; die Behandlung von NFTs und Stablecoins; die Lizenzierung oder Registrierung mindestens am Gründungsort des VASP sowie die Pflicht, nicht lizenzierte Betreiber zu ermitteln.