„Strengere Auflagen für Zahlungsdienstleister – warum die BaFin handelt“

Ein Interview mit Rechtsanwalt Michael Iwanow aus Dresden

Frage: Herr Iwanow, die BaFin hat gegenüber der GP Payments Acquiring International GmbH erhöhte Eigenmittelanforderungen angeordnet. Was genau bedeutet das?

Michael Iwanow: Die BaFin fordert in diesem Fall von dem betroffenen Institut, dass es mehr Eigenkapital vorhält, als es unter normalen Umständen nötig wäre. Das dient dazu, die Stabilität des Unternehmens zu sichern, solange es Mängel in der Geschäftsorganisation gibt. Hintergrund ist, dass eine Sonderprüfung im Jahr 2024 Verstöße festgestellt hat – insbesondere bei IT-Prozessen und Auslagerungen.

Frage: Warum greift die BaFin in solchen Fällen ein?

Michael Iwanow: Zahlungsdienstleister stehen unter strenger Aufsicht, weil sie mit Kundengeldern umgehen. Wenn die Geschäftsorganisation nicht den gesetzlichen Vorgaben entspricht – etwa weil IT-Sicherheitsmaßnahmen nicht ausreichen oder Auslagerungen nicht ordnungsgemäß geregelt sind –, kann das zu Risiken für Kunden und den Finanzmarkt führen. Die BaFin muss hier präventiv tätig werden, um mögliche Schäden zu vermeiden.

Frage: Was sind die konkreten Mängel, die hier beanstandet wurden?

Michael Iwanow: Laut BaFin wurden unter anderem Defizite in der IT-Sicherheit und den IT-Prozessen festgestellt. Zahlungsdienstleister müssen strenge Standards erfüllen, insbesondere gemäß dem Rundschreiben 11/2021 (BA) – ZAIT. Darin sind Anforderungen an IT-Sicherheit, Datenschutz und Auslagerungsmanagement festgelegt. Wenn diese nicht eingehalten werden, besteht die Gefahr von Datenlecks, Betrug oder Systemausfällen.

Frage: Welche Konsequenzen hat die Anordnung für GP Payments Acquiring International GmbH?

Michael Iwanow: Zunächst bedeutet es für das Unternehmen eine finanzielle Belastung, da es zusätzliches Kapital vorhalten muss. Zudem muss es nachweisen, dass die beanstandeten Mängel vollständig beseitigt wurden, bevor die verschärften Anforderungen wieder aufgehoben werden. Das kann mit erheblichen Investitionen in IT-Sicherheit, Compliance und interne Kontrollen verbunden sein.

Frage: Warum macht die BaFin solche Maßnahmen öffentlich?

Michael Iwanow: Die Veröffentlichung dient der Transparenz. Gemäß § 27 Abs. 2 Satz 1 ZAG in Verbindung mit § 60b Abs. 1 Kreditwesengesetz müssen solche Anordnungen bekannt gemacht werden, damit Marktteilnehmer – also Geschäftspartner, Kunden und Investoren – informiert sind. Dadurch soll Vertrauen in den Finanzsektor gewahrt werden.

Frage: Was müssen andere Zahlungsdienstleister aus diesem Fall lernen?

Michael Iwanow: Unternehmen in diesem Bereich sollten sicherstellen, dass ihre IT-Sicherheit, Compliance-Strukturen und internen Kontrollsysteme den regulatorischen Anforderungen entsprechen. Präventive Maßnahmen sind entscheidend, um Sanktionen der BaFin zu vermeiden. Die Anforderungen an Zahlungsdienstleister steigen kontinuierlich, insbesondere im Bereich IT und Datenschutz.

Frage: Wie kann GP Payments Acquiring International GmbH die Auflagen wieder loswerden?

Michael Iwanow: Das Unternehmen muss die festgestellten Mängel vollständig beheben und dies gegenüber der BaFin nachweisen. Das kann durch externe Prüfungen oder eine erneute Sonderprüfung erfolgen. Erst wenn die BaFin überzeugt ist, dass die Geschäftsorganisation nun den gesetzlichen Vorgaben entspricht, kann die erhöhte Eigenmittelanforderung wieder entfallen.

Frage: Vielen Dank für Ihre Einschätzungen, Herr Iwanow!

Michael Iwanow: Sehr gern!