Klotzkette ZAG-Agenten, E-Geld-Agenten und Auslagerung
Arbeitsweg
- Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
- Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
- Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
- Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.
Worum es geht
Prüft den Einsatz von Agenten und die Auslagerung bei ZAG-Instituten: Registrierungspflicht, Haftungsverantwortung des Hauptinstituts, AML-Integration, Auslagerungsanzeige und Anforderungen an ICT-Drittparteien nach DORA. Die Abgrenzung zwischen erlaubnispflichtigem Agenten und erlaubnisfreiem technischen Dienstleister ist zentral.
Kernnormen
- § 25 ZAG – Agenten von Zahlungsinstituten: Registrierung vor Tätigkeitsaufnahme im BaFin-Agenten-Register; Angaben zu Identität, Diensten, Geschäftsgebiet; Haftung des Instituts für Agentenhandeln als eigenes
- § 26 ZAG – Auslagerung bei Zahlungsinstituten: wesentliche operative Funktionen (inkl. IT-Kernfunktionen); Vorab-Risikoanalyse; Prüfungs- und Informationsrechte; keine Auslagerung der Gesamtverantwortung
- § 24 ZAG – Auslagerung wesentlicher Funktionen: Anzeigepflicht an BaFin; Mindestvertragsinhalt (SLA, Ausstiegsklausel, Prüfungsrecht); Notfallplanung
- § 23a ZAG – E-Geld-Agenten: analoge Anforderungen wie § 25 ZAG; zusätzlich Identitätsprüfung-Pflicht (KYC) im Agentenprozess; AML-Schulungspflicht
- EBA/GL/2017/09 – Leitlinie zu Agenten und Auslagerung bei Zahlungsinstituten: Abgrenzungskriterien, Überwachungspflichten, Register-Inhalt, Passporting-Verfahren
- DORA Art. 28–30 (VO 2022/2554) – ICT-Drittparteienmanagement: Register kritischer Drittparteien (Art. 28 Abs. 3), vertragliche Mindestklauseln (Art. 30), Konzentrations-Risikoüberwachung (Art. 29); gilt für ZAG-Institute als Finanzunternehmen
- GwG §§ 17, 18 – AML-Pflichten bei Agentenvertrieb: Institut muss Agenten in AML-Compliance einbinden; regelmäßige Schulungen, Risikoklassifizierung Agenten
- § 38 ZAG – Passporting: Notifizierungsverfahren für grenzüberschreitende Dienste; Agenten im Aufnahmestaat über dortige Behörde registrieren
Prüfschritte
- Agent vs. Dienstleister (§ 25 ZAG, EBA/GL/2017/09): Handelt die Partei im Namen des Instituts gegenüber Kunden? Übernimmt sie Zahlungsdienstleistungs-Risiko? Wenn ja = Agent, Registrierungspflicht.
- Agentenregistrierung (§ 25 Abs. 1 ZAG): Vor Tätigkeitsaufnahme bei BaFin registrieren; Angaben: Name, Adresse, angebotene Zahlungsdienste, Zeitraum.
- Haftungsübernahme (§ 25 Abs. 3 ZAG): Vertragliche Haftungsübernahme des Instituts für Agentenverhalten; keine Möglichkeit zur Haftungsauslagerung.
- AML-Integration (GwG §§ 17, 18): Agenten in Risikomanagementsystem einbinden; regelmäßige Schulungen dokumentieren; Transaktionsmonitoring auch für Agenten-Transaktionen.
- Auslagerungsanzeige (§ 24, § 26 ZAG): Wesentliche Funktion definieren (IT-Plattform, Compliance, Betriebsführung); Anzeige vor Vollzug an BaFin; Vertrag mit Mindestklauseln.
- DORA-Anforderungen (Art. 28–30 VO 2022/2554): ICT-Dienstleister in Register eintragen; kritische Dienstleister identifizieren; Art. 30-Klauseln in Verträge aufnehmen (Ausstieg, Prüfungsrecht, Datenlokalisierung).
- Passporting (§ 38 ZAG): Agenten in anderen EWR-Staaten über dortige Aufsicht registrieren; Notifizierung durch BaFin.
Typische Fallkonstellationen
- Supermarkt als Zahlungsagent (Bargeld ein-/auszahlen): § 25 ZAG Registrierung, GwG-Schulung, Haftung des Instituts
- Cloud-Provider für Kernbanksystem: § 26 ZAG wesentliche Auslagerung, § 24 ZAG Anzeige, DORA Art. 28–30 kritischer ICT-Drittanbieter
- E-Geld-Vertrieb über Kiosknetz: § 23a ZAG E-Geld-Agenten, KYC-Pflicht, AML-Training, BaFin-Register
- Passporting: Deutsches ZAG-Institut expandiert nach Frankreich: § 38 ZAG Notifizierung; Agenten in Frankreich über AMF registrieren
- Ausgliederung Compliance-Funktion: § 26 ZAG Risikoanalyse; wesentliche Funktion; keine vollständige Delegation der Compliance-Verantwortung möglich
Output
Agenten-Registrierungsanzeige-Vorlage § 25 ZAG; Auslagerungsvertrag-Mindestklausel-Checkliste (§ 24 ZAG, DORA Art. 30); DORA-ICT-Drittparteien-Register-Template; AML-Schulungsplan für Agenten; Risikoampel wesentliche vs. nicht-wesentliche Auslagerung.