Steuerliche Informationsmeldungen und der OECD-CARF

Bis vor Kurzem erfuhren Steuerbehörden von Kryptogewinnen hauptsächlich durch die Angaben, die Steuerpflichtige selbst machten. Der Crypto-Asset Reporting Framework (CARF) der OECD ändert das: Plattformen erheben Identitäts- und Steuerdaten ihrer Kunden, melden Transaktionen jedes Jahr an ihre Steuerbehörde, und diese übermittelt die Daten an die Länder, in denen die Kunden leben. Für eine Plattform ist das ein umfangreiches Daten- und Onboarding-Projekt; für Kunden bedeutet es, dass die Steuerbehörde die Zahlen bereits vorliegen hat.

Warum Meldungen durch Dritte

Die Steuerehrlichkeit ist deutlich höher, wenn ein Dritter dieselben Beträge meldet, die Steuerpflichtige angeben müssen – so machen es Banken seit Jahrzehnten. Jedes Melderegime beruht auf drei Elementen: einer Definition, wer melden muss, einer Sorgfaltspflicht, um jeden Kunden und dessen steuerlichen Wohnsitz festzustellen, sowie einem festgelegten Umfang an meldepflichtigen Informationen. Ein viertes Element, der Austausch zwischen Steuerbehörden, macht die grenzüberschreitende Anwendung möglich.

Vor dem CARF sorgte bereits der seit 2017 geltende Common Reporting Standard (CRS) der OECD dafür, dass Banken, Verwahrstellen und Fonds Konten meldeten, die von ausländischen Gebietsansässigen gehalten wurden. Kryptowährungen fielen weitgehend nicht darunter: Token sind nach den CRS-Definitionen oft keine „Finanzvermögenswerte“, und Börsen sowie Wallet-Anbieter sind häufig keine Finanzinstitute. Der CARF wurde entwickelt, um diese Lücke zu schließen.

CARF auf einen Blick

Die OECD veröffentlichte den CARF im Oktober 2022 und publizierte im Juni 2023 das vollständige Paket: die CARF-Regeln und den Kommentar dazu, ein Multilateral Competent Authority Agreement (CARF MCAA) für den Datenaustausch sowie eine Aktualisierung des CRS für 2023. Ein XML-Schema für die Meldungen folgte.

Der CARF erfasst relevante Kryptowerte: digitale Darstellungen von Werten, die durch Kryptografie auf einem Distributed Ledger gesichert sind. In der Praxis umfasst dies Kryptowährungen, Stablecoins, viele Token und einige NFTs. Drei Kategorien sind ausgenommen:

• Digitale Zentralbankwährungen, die stattdessen vom aktualisierten CRS erfasst werden.
• Bestimmte E-Geld-Produkte, die ebenfalls in den CRS aufgenommen wurden.
• Kryptowerte, bei denen der Dienstleister angemessen festgestellt hat, dass sie nicht für Zahlungs- oder Anlagezwecke verwendet werden können, etwa Token in geschlossenen Systemen.

Wer meldet: RCASPs

Ein Reporting Crypto-Asset Service Provider (RCASP) ist jede natürliche oder juristische Person, die geschäftsmäßig eine Dienstleistung erbringt, mit der Tauschgeschäfte für Kunden oder in deren Auftrag ausgeführt werden: zwischen Kryptowerten und Fiatwährungen oder zwischen verschiedenen Kryptowerten. Dazu zählen Tätigkeiten als Gegenpartei oder Vermittler sowie das Bereitstellen einer Handelsplattform. Zentralisierte Börsen, Broker, Händler, Betreiber von Krypto-Geldautomaten und manche Wallet-Anbieter, die Swaps ausführen, fallen in den Anwendungsbereich. Ein rein technischer Dienstleister, etwa ein Softwareentwickler ohne Kontrolle über Transaktionen, fällt nicht darunter.

Ein RCASP meldet in einer Rechtsordnung, zu der er eine Anknüpfung hat. Diese wird der Reihe nach anhand des steuerlichen Wohnsitzes, der Gründung oder Organisation, des Orts der Geschäftsleitung und schließlich eines regelmäßigen Geschäftssitzes geprüft. Vorschriften verhindern, dass dieselben Kundendaten doppelt gemeldet werden, wenn ein Dienstleister in mehr als einem Land eine Anknüpfung hat.

Sorgfaltspflichten und Selbstauskunft

Im Mittelpunkt des CARF steht die Feststellung, in welchem Land jeder Kunde steuerlich ansässig ist.

• Natürliche Personen müssen bei Beginn der Geschäftsbeziehung eine Selbstauskunft zu ihrem steuerlichen Wohnsitz vorlegen, einschließlich einer Steueridentifikationsnummer (TIN) für jedes Wohnsitzland. Für Kunden, die bei Inkrafttreten der Vorschriften bereits Kunden waren, hat der RCASP 12 Monate Zeit, eine solche einzuholen.
• Der RCASP muss prüfen, ob die Selbstauskunft angesichts der bereits vorhandenen Informationen plausibel ist, insbesondere im Abgleich mit seinen Aufzeichnungen zur Bekämpfung von Geldwäsche und zur Kundenidentifizierung (AML/KYC). Eine Adresse in einem Land und ein angegebener Wohnsitz in einem anderen sind ein Warnsignal, dem nachzugehen ist.
• Rechtsträger müssen ihren eigenen Wohnsitz und Status per Selbstauskunft angeben. Bei passiven Rechtsträgern, etwa privaten Holdinggesellschaften, muss der RCASP außerdem die beherrschenden Personen (die natürlichen Personen, die sie letztlich besitzen oder kontrollieren) anhand der AML/KYC-Verfahren feststellen. Börsennotierte Unternehmen, staatliche Stellen und Finanzinstitute sind von der Meldung ausgenommen.
• Die Rechtsordnungen müssen Vorschriften zur Durchsetzung der Datenerhebung erlassen. Dazu gehören üblicherweise Strafen oder ein Verbot von Transaktionen für Kunden, die keine gültige Selbstauskunft vorlegen.

Was gemeldet wird

Die Meldungen werden je Kunde, Kryptowertart und Kalenderjahr aggregiert und in Fiatwährung angegeben.

Die letzte Zeile ist für die Compliance wichtig: Eine Steuerbehörde kann erkennen, dass ein Gebietsansässiger Coins von einer Plattform auf eine selbstverwahrte Wallet übertragen hat, auch wenn der CARF nicht meldet, was danach geschieht.

Austausch zwischen Steuerbehörden

Jede Steuerbehörde erhält die Meldungen der RCASPs in ihrem Zuständigkeitsbereich und übermittelt anschließend die Daten jedes ausländischen Kunden an dessen Wohnsitzland. Dafür nutzt sie das CARF MCAA oder ein bilaterales Abkommen. Wie beim CRS muss der Austausch innerhalb von neun Monaten nach Ende des Kalenderjahres erfolgen. Das Wohnsitzland gleicht die Daten anhand der TIN seinen eigenen Steuerpflichtigen zu und vergleicht sie mit deren Angaben.

Die Umsetzung erfolgt in mehreren Wellen, die in einer OECD-Liste der Verpflichtungen festgehalten sind:

• Eine erste Gruppe, darunter alle EU-Mitgliedstaaten und viele weitere G20- und Finanzplatz-Rechtsordnungen, erhebt ab dem 1. Januar 2026 Daten für den ersten Datenaustausch im Jahr 2027.
• Eine zweite Gruppe folgt mit dem ersten Datenaustausch im Jahr 2028.
• Einige wenige Rechtsordnungen haben sich zu späteren Terminen verpflichtet.

Rechtsordnungen setzen den CARF durch nationales Recht um, teilweise mit zusätzlichen Anforderungen. So gelten durch die DAC8-Richtlinie der EU CARF-ähnliche Vorschriften in allen Mitgliedstaaten, während das US-amerikanische Broker-Melderegime Form 1099-DA nach US-Recht einem ähnlichen innerstaatlichen Zweck dient. Die Verpflichtungslisten ändern sich. Daher sollte ein Unternehmen die aktuelle Liste für jedes Land prüfen, in dem es Kunden hat.

CARF und der CRS

Die Aktualisierung des CRS für 2023 wurde parallel zum CARF entwickelt. Sie nimmt bestimmte E-Geld-Produkte und digitale Zentralbankwährungen in den CRS auf, erfasst Derivate mit Bezug auf Kryptowerte und Investmentgesellschaften, die in Kryptowerte investieren, und verschärft die Sorgfaltspflichten. Sie enthält außerdem Vorschriften zur Begrenzung von Doppelmeldungen, sodass ein Finanzinstitut, das zugleich RCASP ist, dieselben Kryptotransaktionen nicht unter beiden Regimen melden muss. Kurz gesagt: Der CRS erfasst Konten und indirekte Beteiligungen über Finanzinstitute, während der CARF direkte Kryptotransaktionen abdeckt.

Was Unternehmen erheben und einrichten müssen

Plattformen, die bereits den CRS oder ein nationales Broker-Melderegime anwenden, sollten ein einheitliches Kundensteuerprofil für alle Regime aufbauen und TINs bereits beim Onboarding statt am Jahresende prüfen, wenn Kunden am schwersten zu erreichen sind.

Prüfungsschwerpunkt: die Bausteine eines Melderegimes (wer meldet, Sorgfaltspflichten, meldepflichtige Informationen, Austausch); Anwendungsbereich und Ausnahmen des CARF (digitale Zentralbankwährungen, bestimmte E-Geld-Produkte, Vermögenswerte, die nicht für Zahlungs- oder Anlagezwecke verwendet werden können); Definition eines RCASP und die Anknüpfungstests; Selbstauskunft zum Wohnsitz mit TIN, Plausibilitätsprüfung anhand von AML/KYC-Daten, beherrschende Personen und die Frist von 12 Monaten für bestehende Kunden; aggregierte Meldekategorien, einschließlich Zahlungen im Einzelhandel über USD 50.000 und Übertragungen an externe Wallets; Austausch innerhalb von neun Monaten nach Jahresende, mit erstem Datenaustausch im Jahr 2027 für Daten aus dem Jahr 2026; wie die CRS-Aktualisierung von 2023 den CARF ergänzt.