Bitpanda mit MiCA-Geldbuße belegt: Was Österreichs erste veröffentlichte Strafe für Krypto-Firmen bedeutet

Österreichs Finanzmarktaufsicht (FMA) hat Bitpanda mit einer Geldbuße von 70.000 € (ca. 82.000 $) belegt, weil das Unternehmen gegen die EU-Verordnung über Märkte für Krypto-Assets (MiCA) verstoßen hat. Dies ist die erste öffentlich bekannt gegebene endgültige Entscheidung der Behörde unter MiCA. Die Strafe ist verfahrenstechnischer Natur und betrifft Versäumnisse bei der Whitepaper-Benachrichtigung und bei Marketing-Offenlegungen, doch ihre Bedeutung geht weit über den Bußgeldbetrag hinaus. Sie zeigt, dass die nationalen Aufsichtsbehörden nun aktiv MiCA-Durchsetzungsentscheidungen veröffentlichen und damit einen Präzedenzfall schaffen, den Compliance-Teams in der gesamten EU nicht ignorieren können.

Was die FMA festgestellt hat

Die österreichische Aufsichtsbehörde identifizierte drei getrennte Verstöße, die alle mit MiCA-Offenlegungs- und Marketingpflichten zusammenhängen und nicht mit zugrunde liegendem finanziellem Fehlverhalten oder Kundenschäden.

Verstoß gegen die Whitepaper-Benachrichtigung

MiCA verlangt, dass Emittenten von Krypto-Assets ihr Whitepaper mindestens 20 Arbeitstage vor Veröffentlichung bei der zuständigen nationalen Aufsichtsbehörde einreichen. Die FMA kam zu dem Schluss, dass Bitpanda diese Vorab-Benachrichtigungsfrist nicht eingehalten hat. Die Anforderung besteht, damit die Aufsichtsbehörden ein strukturiertes Zeitfenster haben, um die Offenlegungen zu prüfen, bevor sie die Öffentlichkeit erreichen, auch wenn MiCA keine vorherige Genehmigung von Whitepapers vorsieht, wie sie bei Wertpapierprospekten erforderlich ist.

Marketing-Kommunikation vorzeitig veröffentlicht

Bitpanda verbreitete zudem eine Marketing-Kommunikation, bevor das erforderliche Whitepaper veröffentlicht worden war. MiCA zufolge dürfen Marketingmaterialien dem Whitepaper nicht vorausgehen oder es ersetzen. Die Reihenfolge ist explizit festgelegt: Das Whitepaper kommt zuerst, und alle begleitenden Werbeinhalte müssen damit konsistent sein und seiner Veröffentlichung folgen.

Fehlende Pflichtangaben

Eine separate Marketing-Kommunikation ließ mehrere von MiCA vorgeschriebene Angaben vermissen. Konkret wurde nicht darauf hingewiesen, dass das Material nicht von einer Aufsichtsbehörde geprüft oder genehmigt wurde, und es wurde nicht klargestellt, dass der Anbieter von Krypto-Assets die alleinige Verantwortung für den Inhalt trägt. Der Kommunikation fehlten außerdem eine erforderliche Telefonnummer und E-Mail-Adresse. Dies sind keine optionalen Formalitäten; es handelt sich um vorgeschriebene Angaben, deren Fehlen einen direkten Verstoß gegen die Verordnung darstellt.

Bitpandas Reaktion

Bitpanda bestätigte gegenüber den Medien, dass sich die Probleme auf die zeitlichen und formalen Anforderungen rund um die Veröffentlichung von Whitepapers und Informationsdokumenten beschränkten. Das Unternehmen erklärte, dass Kundengelder und Plattformsicherheit nicht betroffen waren und kein Kunde finanziellen Schaden erlitt. Bitpanda gab an, die Probleme nach Erhalt der Mitteilung der FMA korrigiert und eine zügige, einvernehmliche Lösung des Verfahrens gewählt zu haben. Die Entscheidung ist nun rechtskräftig.

Der kooperative Ansatz trug wahrscheinlich zum Ausgang bei. Eine einvernehmliche Lösung ist ein anerkannter Verfahrensweg im österreichischen Verwaltungsrecht, und Aufsichtsbehörden in der gesamten EU haben signalisiert, dass zügige Abhilfe und Transparenz Faktoren sind, die sie bei der Festsetzung von Strafen berücksichtigen.

Warum diese Durchsetzungsmaßnahme für die MiCA-Compliance wichtig ist

Der Bußgeldbetrag von 70.000 € ist im Vergleich zu den möglichen Strafen, die MiCA vorsieht, moderat. Entscheidend ist die Veröffentlichung. Nationale Aufsichtsbehörden sind nicht verpflichtet, jede Entscheidung zu veröffentlichen, und die Wahl der FMA, dies zu tun, sendet ein klares Signal, dass verfahrenstechnische MiCA-Verstöße Teil des öffentlichen Registers werden. Veröffentlichte Entscheidungen schaffen Reputationsrisiken und können in einigen Fällen die Fähigkeit eines Unternehmens beeinträchtigen, Dienstleistungen in EU-Mitgliedstaaten zu passportieren.

Das MiCA-Whitepaper-Regime ist nicht selbstzertifizierend

Ein häufiges Missverständnis unter Emittenten ist, dass das MiCA-Whitepaper-Regime leichter ist als ein traditionelles Prospektregime, weil es keine vorherige behördliche Genehmigung erfordert. Das ist im engeren Sinne wahr: Die Aufsichtsbehörde genehmigt das Dokument nicht formell vor der Veröffentlichung. Aber die Vorab-Benachrichtigungspflicht von 20 Arbeitstagen ist zwingend, und ihre Nichteinhaltung ist ein Verstoß, unabhängig von der Qualität des Whitepapers selbst. Die Entscheidung der FMA macht das eindeutig.

Marketingmaterialien tragen eigene Compliance-Pflichten

Die Feststellung, dass eine Marketing-Kommunikation vor dem Whitepaper verbreitet wurde, ist eine Erinnerung daran, dass die Marketing-Freigabe nicht als separater, informeller Prozess behandelt werden kann. Unter MiCA ist die Reihenfolge zwischen Whitepaper-Veröffentlichung und Marketing-Verbreitung eine regulatorische Anforderung, keine Empfehlung für bewährte Praktiken. Ebenso ist der spezifische Offenlegungstext, der in Marketingmaterialien erscheinen muss, vorgeschrieben, und sein Fehlen ist ein eigenständiger Verstoß.

Die erste veröffentlichte Entscheidung wird nicht die letzte sein

Österreich hat nun ein öffentliches Durchsetzungsregister etabliert. Andere nationale Aufsichtsbehörden, einschließlich derer in größeren Märkten wie Frankreich, Deutschland und den Niederlanden, führen ihre eigenen MiCA-Aufsichtsprogramme durch. Es ist wahrscheinlich, dass weitere veröffentlichte Entscheidungen folgen werden, die möglicherweise ein breiteres Spektrum von MiCA-Pflichten abdecken, darunter Eigenmittelanforderungen, Verwahrungsregeln und Richtlinien zu Interessenkonflikten. Compliance-Teams sollten diese österreichische Entscheidung als Auftakt einer aktiven Durchsetzungslandschaft betrachten, nicht als Einzelfall.

Accounting- und Berichtspflichten

Für Wirtschaftsprüfungsgesellschaften und CFOs, die Krypto-Asset-Unternehmen beraten, ergeben sich aus der Bitpanda-Strafe mehrere unmittelbare Überlegungen.

Rückstellungen und Eventualverbindlichkeiten

Jedes EU-regulierte Krypto-Unternehmen, das keine formelle MiCA-Compliance-Lückenanalyse durchgeführt hat, sollte prüfen, ob eine Rückstellung oder eine Angabe zu Eventualverbindlichkeiten im Jahresabschluss erforderlich ist. Nach IAS 37 ist eine Rückstellung zu bilden, wenn eine gegenwärtige Verpflichtung aus einem vergangenen Ereignis besteht, ein Mittelabfluss wahrscheinlich ist und eine zuverlässige Schätzung möglich ist. Wo ein Unternehmen eine verfahrenstechnische Lücke kennt, kann diese Schwelle näher sein, als viele Finanzteams annehmen. Die FMA-Entscheidung bietet einen konkreten Maßstab für die Kalibrierung dessen, was eine Behörde als sanktionierbaren Verstoß betrachtet.

Interne Kontrollen und der Compliance-Kalender

Die Whitepaper-Benachrichtigungsfrist ist eine terminierte, nachvollziehbare Verpflichtung. Sie gehört in den Compliance-Kalender neben anderen regulatorischen Fristen, mit klarer Verantwortlichkeit und aufbewahrten Nachweisen. Software für digitale Vermögenswerte und breitere Compliance-Management-Tools, die von Unternehmen verwendet werden, sollten so konfiguriert sein, dass sie Whitepaper-Einreichungsfenster rechtzeitig kennzeichnen, nicht erst am Tag der geplanten Veröffentlichung. Gleiches gilt für den Marketing-Review-Prozess: Eine dokumentierte Freigabe-Checkliste, die bestätigt, dass Pflichtangaben vorhanden sind, sollte vor der Verbreitung von MiCA-reguliertem Marketingmaterial ein Standard-Schritt sein.

Prüfungs- und Assurance-Überlegungen

Externe Prüfer, die Krypto-Asset-Unternehmen unter MiCA prüfen, sollten nun Whitepaper-Benachrichtigungsfristen und Vollständigkeit der Marketing-Offenlegungen als Bereiche behandeln, die spezifische Anfragen erfordern. Die FMA-Entscheidung etabliert, dass dies aktuelle Aufsichtsthemen sind, und verschiebt sie von theoretischem Risiko zu dokumentiertem Präzedenzfall. Prüfungsteams sollten möglicherweise Nachweise über Vorab-Benachrichtigungen im Rahmen ihrer regulatorischen Compliance-Tests anfordern.

Passporting-Risiko

MiCA erlaubt autorisierten Anbietern von Krypto-Asset-Dienstleistungen, ihre Dienste in EU-Mitgliedstaaten zu passportieren. Ein veröffentlichtes Durchsetzungsregister in einer Jurisdiktion kann die Prüfung durch Aufsichtsbehörden in anderen Ländern nach sich ziehen. CFOs und Compliance-Beauftragte von Unternehmen mit grenzüberschreitenden EU-Aktivitäten sollten Reputations- und Regulierungs-Spillover-Risiken in ihre laufenden Risikobewertungen einbeziehen. Die gleiche Logik gilt für Unternehmen, die neue Genehmigungen anstreben: Eine Geschichte veröffentlichter Durchsetzungsentscheidungen dürfte in die Prüfung einfließen, die jede nationale Aufsichtsbehörde bei der Überprüfung eines Antrags vornimmt.

Praktische Schritte für Compliance- und Finanzteams

Die Maßnahme der FMA gegen Bitpanda weist auf eine kurze Liste konkreter Maßnahmen hin, die Compliance- und Finanzteams bei EU-Krypto-Unternehmen jetzt angehen sollten.

Auditieren Sie Ihren Whitepaper-Workflow

Kartieren Sie den gesamten Prozess von der Entscheidung, ein Krypto-Asset auszugeben, bis zur Veröffentlichung seines Whitepapers. Identifizieren Sie, wo das 20-Arbeitstage-Benachrichtigungsfenster verfolgt wird, wer für die Einreichung verantwortlich ist und welche Nachweise aufbewahrt werden. Wenn dieser Workflow nicht als formeller dokumentierter Prozess existiert, erstellen Sie einen.

Überprüfen Sie alle aktuellen Marketingmaterialien

Prüfen Sie jede aktuelle Marketing-Kommunikation im Zusammenhang mit MiCA-regulierten Krypto-Assets gegen die vorgeschriebenen Offenlegungsanforderungen. Stellen Sie sicher, dass der Pflichttext zu Aufsichtsbehördenprüfung, Emittentenverantwortung und Kontaktdaten vorhanden und korrekt formuliert ist. Archivieren Sie Nachweise der Überprüfung.

Etablieren Sie eine Sequenzkontrolle

Implementieren Sie eine Kontrolle, die verhindert, dass Marketingmaterial verteilt wird, bevor das entsprechende Whitepaper veröffentlicht wurde und der Vorab-Benachrichtigungszeitraum abgelaufen ist. Dies ist ein Sequenz-Gate, kein Inhalts-Gate, und es muss in dem Workflow-System operationalisiert werden, das Marketing-Freigaben steuert.

Aktualisieren Sie Ihr Risikoregister

Fügen Sie die MiCA-Verfahrens-Compliance, insbesondere Whitepaper-Timing, Marketing-Sequenzierung und Offenlegungsvollständigkeit, als benannte Risiken im regulatorischen Risikoregister des Unternehmens hinzu. Weisen Sie Wahrscheinlichkeits- und Auswirkungsbewertungen zu, die durch den Bitpanda-Präzedenzfall informiert sind, und dokumentieren Sie die Kontrollen, die zur Minderung jedes Risikos vorhanden sind.

Für einen breiteren Kontext, wie EU-Aufsichtsbehörden Krypto-Lizenzierung und AML-Pflichten angehen, siehe unsere Analyse was Irlands AML-Strategie für Krypto-Accounting-Firmen und CFOs bedeutet und die MFSA-Warnung gegen DistributeX und was unerlaubte Krypto-Aktivität für Compliance-Teams bedeutet.

Häufig gestellte Fragen

Welche spezifischen MiCA-Regeln hat Bitpanda verletzt?

Die FMA identifizierte drei Verstöße: Die Behörde wurde nicht mindestens 20 Arbeitstage vor Veröffentlichung über das Whitepaper informiert, eine Marketing-Kommunikation wurde vor der Veröffentlichung des Whitepapers verteilt, und einer Marketing-Kommunikation fehlten Pflichtangaben, einschließlich Aussagen zum Status der behördlichen Überprüfung, zur Verantwortung des Emittenten und zu erforderlichen Kontaktdaten.

Bedeutet die Geldbuße, dass Bitpandas Lizenz oder Genehmigung gefährdet ist?

Aufgrund der veröffentlichten Informationen nein. Die Entscheidung der FMA ist endgültig und der Fall wurde einvernehmlich abgeschlossen. Die Verstöße waren verfahrenstechnischer Natur, und Bitpanda bestätigte, die Probleme nach Erhalt der Mitteilung behoben zu haben. Es gibt keinen Hinweis von der Aufsichtsbehörde, dass die Genehmigung ausgesetzt wurde oder weitere Maßnahmen anstehen.

Was ist die 20-Arbeitstage-Benachrichtigungspflicht unter MiCA?

MiCA verlangt, dass der Emittent vor der Veröffentlichung eines Krypto-Asset-Whitepapers die zuständige nationale Aufsichtsbehörde mindestens 20 Arbeitstage im Voraus informiert. Die Behörde nutzt diesen Zeitraum, um das Dokument zu prüfen und Änderungen zu verlangen. Es handelt sich nicht um einen formellen Genehmigungsprozess, aber die Benachrichtigungsfrist ist zwingend und ihre Verletzung ist sanktionierbar, wie dieser Fall bestätigt.

Sollten die Finanzberichte unseres Unternehmens potenzielle MiCA-Compliance-Risiken widerspiegeln?

Möglicherweise ja. Nach IAS 37 ist eine Rückstellung zu bilden, wenn eine gegenwärtige Verpflichtung aus einem vergangenen Ereignis besteht, ein Mittelabfluss wahrscheinlich ist und eine zuverlässige Schätzung möglich ist. Wenn die Bedingungen für eine Rückstellung nicht vollständig erfüllt sind, aber ein wesentlicher Mittelabfluss möglich ist, ist eine Angabe zu Eventualverbindlichkeiten erforderlich. Jede bekannte MiCA-Verfahrenslücke erfordert eine sorgfältige Bewertung anhand dieser Kriterien unter Einbeziehung von Rechts- und Compliance-Beratung.

Ist diese Geldbuße für Unternehmen relevant, die in anderen EU-Mitgliedstaaten als Österreich tätig sind?

Ja. MiCA ist eine EU-weite Verordnung, und die von Bitpanda verletzten Pflichten gelten in jedem Mitgliedstaat. Die veröffentlichte Entscheidung der FMA setzt einen öffentlichen Präzedenzfall, auf den andere nationale Aufsichtsbehörden verweisen können. Unternehmen, die Dienstleistungen in der EU passportieren, sind zusätzlich dem Risiko ausgesetzt, dass ein veröffentlichtes Durchsetzungsregister in einer Jurisdiktion die Prüfung durch Aufsichtsbehörden in anderen Ländern nach sich zieht.

Quelle: Cointelegraph