Das EU-Datenverordnung,[1] das den fairen Zugang zu und die Nutzung von Daten regeln soll, ist nach seiner Veröffentlichung im Amtsblatt der Europäischen Union im Januar 2024 in Kraft getreten. Das Gesetz soll ab September 2025 flächendeckend gelten.

Das Gesetz legt Regeln für die Nutzung, den Zugriff, die Verfügbarkeit und die Weitergabe generierter personenbezogener und nicht personenbezogener Daten fest und richtet sich an Hersteller vernetzter Produkte und Anbieter damit verbundener Dienstleistungen unabhängig von ihrem Niederlassungsort – alle zusammengefasst unter dem Oberbegriff „Dateninhaber“ in Form einer natürlichen oder juristischen Person.

In diesem Zusammenhang wird „vernetztes Produkt“ definiert als „ein Gegenstand, der Daten über seine Nutzung oder Umgebung erlangt, generiert oder erhebt und der Produktdaten über einen elektronischen Kommunikationsdienst, eine physische Verbindung oder einen geräteinternen Zugang übermitteln kann, und dessen Hauptfunktion nicht die Speicherung, Verarbeitung oder Übertragung von Daten im Namen einer anderen Partei – ausser dem Nutzer – ist.“ Darüber hinaus bezieht sich der Begriff „verbundene Dienste“ auf „einen digitalen Dienst, bei dem es sich nicht um einen elektronischen Kommunikationsdienst handelt, einschließlich Software, der zum Zeitpunkt des Kaufs, der Miete oder des Leasings so mit dem Produkt verbunden ist, dass das vernetzte Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen könnte oder der anschliessend vom Hersteller oder einem Dritten mit dem Produkt verbunden wird, um die Funktionen des vernetzten Produkts zu ergänzen, zu aktualisieren oder anzupassen“.

In Abgrenzung zum Begriff „Nutzer“ bezeichnet „Datenempfänger“ „eine natürliche oder juristische Person, die zu Zwecken innerhalb ihrer gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit handelt, ohne Nutzer eines vernetzten Produktes oder verbundenen Dienstes zu sein, und dem vom Dateninhaber Daten bereitgestellt werden, einschliesslich eines Dritten“, auf Anfrage des Nutzers an den Dateninhaber.“

Die folgenden im Gesetz festgelegten Elemente sind von Bedeutung:

• Einführung des Datenzugriffs durch Design und Standardeinstellung;

• Wo ein direkter Zugriff nicht möglich ist, müssen Dateninhaber auf Anfrage der Nutzer sowohl im B2B- als auch im B2C-Bereich Zugriff auf Daten über Produkte und zugehörige Dienstleistungen einschliesslich Metadaten gewähren – mit Ausnahme strengerer Bedingungen aus Sicherheitsgründen und bei der Weitergabe von Daten, die Geschäftsgeheimnisse darstellen;

• Dateninhaber müssen den Datenempfängern Daten auf Anfrage der Nutzer zu fairen, angemessenen und nichtdiskriminierenden Bedingungen unter Wahrung der Transparenz zur Verfügung stellen;

• Dateninhaber stellen öffentlichen Stellen der EU auf Anfrage Daten aus Gründen des öffentlichen Interesses zur Verfügung;

• Anbieter von Datenverarbeitungsdiensten wie Cloud-Computing-Diensten ergreifen die erforderlichen Massnahmen, um eine wirksame Interoperabilität für Datenzugriff, -übertragung und -nutzung zwischen verschiedenen Anbietern zu ermöglichen, und legen Vertragsbedingungen für den Wechsel von Diensten fest;

• Datenverarbeitungsdienstleister müssen technische, organisatorische und rechtliche Massnahmen ergreifen, um rechtswidrige grenzüberschreitende Übermittlungen von und Zugriff auf nicht personenbezogene Daten, die im EU-Block gespeichert sind, aus Drittländern zu verhindern;

• Einführung von Datenlizenzverträgen zwischen Dateninhabern, d.h. Herstellern und Nutzern;

• Einführung einer Reihe von Anforderungen für Smart-Contract-Anwendungen im Zusammenhang mit der Umsetzung von Vereinbarungen über die gemeinsame Nutzung von Daten;

• Einführung unverbindlicher Mustervertragsbedingungen für Datenzugriff und -nutzung, angemessene Vergütung und den Schutz von Geschäftsgeheimnissen durch die Kommission, sowie Standardvertragsklauseln für Cloud-Computing-Dienste, die auf fairen, angemessenen und nichtdiskriminierenden vertraglichen Rechten und Pflichten basieren.

Die Datenverordnung ist unbeschadet der EU-DSGVO zu lesen, wobei die im Rahmen der ersteren gewährten Datenzugriffsrechte getrennt von den im Rahmen der letzteren gewährten Zugriffsrechten für Einzelpersonen behandelt werden.

Schliesslich wird die inhärente Extraterritorialität des Gesetzes direkte Konsequenzen für Hersteller und Anbieter ausserhalb der Union haben, einschliesslich für in der Schweiz ansässige Unternehmen. Mit anderen Worten: Jede kommerzielle Tätigkeit, die in den Geltungsbereich des Gesetzes fällt und deren Produkte und Dienstleistungen auf dem EU-Markt angeboten werden, bzw. jede Beteiligung am Datenaustausch mit Interessengruppen innerhalb der EU müsste innerhalb des festgelegten Zeitrahmens der erforderlichen Sorgfaltsprüfung unterzogen werden, um die rechtzeitige Einhaltung der Vorschriften zu gewährleisten.


[1] Siehe hier https://eur-lex.europa.eu/legal-content/DE/TXT/?qid=1707924358044&uri=CELEX%3A32023R2854.

Das Nationale Zentrum für Cybersicherheit (NCSC), die Schweizerische Kriminalprävention (SKP) und die kantonalen sowie die städtischen Polizeikorps haben dieses Jahr eine neue Sensibilisierungskampagne zur Cybersicherheit veröffentlicht. Diese Kampagne trägt den Namen S-U-P-E-R.ch und hat eine eigene Webseite. Die Kampagne dient unter anderem der Passwortsicherheit sowie generell zum bewussten und sicheren Verhalten im digitalen Raum.

Jeder Buchstabe der Kampagne S-U-P-E-R.ch steht für einen empfohlenen Schritt zum richtigen Umgang mit digitalen Daten. In den Bereichen Cyberkriminalität aber auch Datenschutz lassen sich häufig Verletzungen feststellen, die sich mit einfachen, vorbeugenden Massnahmen hätten verhindert werden können. Deshalb unterstützen wir gerne die S-U-P-E-R Kampagne und stellen im Folgenden die wichtigsten Punkte kurz vor.

Das wichtigste in Kürze – 5 Massnahmen gegen Verletzungen in der digitalen Welt:

S: Sichern der Daten

U: Updaten der Programme

P: Prüfen der Aktivierung eines Virenschutzprogramm oder einer Firewall

E: Einloggen mittels einem starken Passwort

R: Reduzieren des Betrugsrisikos

Nachfolgend die detaillierte Erläuterung zu den einzelnen Buchstaben.

S: Sichern der Daten

Regelmässiges Sichern der Daten mit einem Backup wird empfohlen. Auf der Webseite der Kampagne finden Sie eine Anleitung für die Erstellung eines solchen Backups für Mac und Windows.

Ebenfalls ist eine richtige Löschung der Daten empfohlen, die sie nicht mehr brauchen.

Folgendes sind die wichtigsten Merkpunkte zum Thema Sichern der Daten:

U: Updaten

Die Software-Hersteller aktualisieren ihre Software regelmässig, um unter anderem Fehler zu beheben, aber auch um Eintrittstore von Angreifern zu schliessen, die ein fremdes Gerät unter Kontrolle bringen wollen. Diese Änderungen werden den Kunden in Form von Updates zur Verfügung gestellt. Es empfiehlt sich daher, die Software-Programme und das System regelmässig auf den neusten Stand zu bringen.

Die wichtigsten Merkpunkte in Sachen Updaten sind:

P: Prüfen

Es wird empfohlen zu prüfen, ob auf verwendeten Geräten (Computer, aber auch Tablet oder Smartphone) ein Virenschutzprogramm und eine Firewall aktiviert sind. Regelmässige Scans und vollständige Systemprüfungen verhindern einen Ausbruch nach einem Schädlingsbefall. Dies sind Massnahmen, die ihre Geräte vor Viren schützen. Genauere Informationen und Erläuterungen zur Installation eines Virenschutzprogramms für die verschiedenen Betriebssysteme finden Sie auch auf der Webseite der Kampagne.

Die wichtigsten Punkte zum Thema Prüfen sind:

E: Einloggen

Um persönliche Daten, wie z.B. hinterlegte Kreditkartendaten, zu schützen, wird empfohlen, sich nur mit starken Passwörtern einzuloggen. Ein starkes Passwort sollte mindestens zwölf Zeichen lang sein und Sonderzeichen, Zahlen sowie Gross- und Kleinbuchstaben enthalten. Weitere Hilfen sind Passwortmanager und Zweifaktor- (2FA) oder Mehrfach-Authentisierung. Dies erschwert es Cyberkriminellen die Benutzerdaten zu hacken (zum Beispiel durch brute-force) und trägt somit auch zur Verhinderung des Missbrauchs dieser Daten für illegale Zwecke bei.

Im folgenden werden die wichtigsten Merkpunkte in Sachen Einloggen aufgeführt:

R: Reduzieren des Betrugsrisikos

Der letzte Schritt besteht darin, das Betrugsrisiken zu verringern. Dabei ist es dienlich stets wachsam zu sein und den gesunden Menschenverstand walten zu lassen. Die verbreitetsten Arten der Cyberkriminalität erfolgen unter anderem in Form von E-Mails und Kurznachrichten.

Darüber hinaus empfiehlt es sich, insbesondere bei mobilen Geräten, die Zugriffsrechte gewisser Apps, die zum Erfüllen der Funktionalität tatsächlich notwendig sind, kritisch zu prüfen und gegebenenfalls zu deaktivieren.

Die wichtigsten Punkte zur Reduzierung des Betrugsrisikos sind:

Gerne helfen wir Ihnen bei allfälligen Fragen oder Unklarheiten und stehen Ihnen zur Beratung in Sachen Cyberkriminalität und Datenschutz gerne zur Verfügung.

Mehr als ein Jahr nach dem Vorschlag[1] der Europäischen Kommission für einen neuen Cyber Resilience Act zum Schutz von Verbrauchern und Unternehmen vor (digitalen) Produkten mit unzureichenden Sicherheitsmerkmalen durch die Einführung verbindlicher Anforderungen wurde nun eine politische Einigung[2] am 1. Dezember 2023 zwischen den beiden anderen Teilen des «Trilogs», nämlich dem Europäischen Parlament und dem Rat.

Der recht umfassende Vorschlag soll sowohl Hardware- als auch Softwareprodukte abdecken, die unterschiedliche Risikoniveaus aufweisen können und daher unterschiedliche Sicherheitsmassnahmen erfordern. Infolgedessen soll die Art der Konformitätsbewertung für jedes Produkt an das jeweilige Risikoniveau angepasst werden.

Folglich müssen Hersteller von Hard- und Software, Entwickler und Händler, die ihre Produkte in die EU importieren und auf dem EU-Markt anbieten wollen, im Wesentlichen Cybersicherheitsmassnahmen für den gesamten Lebenszyklus ihrer Produkte umsetzen, von der Entwurfs- und Entwicklungsphase bis zum Inverkehrbringen. Konkret geht es nicht nur um Produkte, die an Endnutzer und Verbraucher verkauft werden, sondern auch um solche, die in Unternehmen für die Produktion verwendet werden, die als Vorprodukte bezogen und weiterverarbeitet werden oder die Teil von Lieferketten sind.

Insbesondere werden Produkte, die bereits unter andere bestehende EU-Rechtsvorschriften fallen, wie z. B. in den Anwendungsbereich der NIS2-Richtlinie, ausgenommen sein.

In diesem Zusammenhang wird die Einhaltung der vorgeschlagenen Rechtsvorschriften im Wesentlichen in Form einer CE-Kennzeichnung erfolgen, mit der bestätigt wird, dass die auf dem Markt des Europäischen Wirtschaftsraums (EWR) verkauften Produkte ordnungsgemäss auf die Einhaltung der Sicherheits-, Gesundheits- und Umweltschutzanforderungen geprüft worden sind.

Darüber hinaus werden die Hersteller verpflichtet, den Verbrauchern eine genaue Angabe über die voraussichtliche Nutzungsdauer eines bestimmten Produkts zu machen.

Die vorgeschlagenen Rechtsvorschriften, die für alle Produkte gelten, die direkt oder indirekt mit einem anderen Gerät oder Netz verbunden sind, müssen nun förmlich genehmigt werden und dürften nach ihrer Veröffentlichung im Amtsblatt in Kraft treten.

Da die EU für viele Branchen und Sektoren in der Schweiz der wichtigste Absatzmarkt ist, sind die direkten Auswirkungen der vorgeschlagenen Rechtsvorschriften auf die Schweizer Akteure und Interessengruppen unbestreitbar. Wichtig ist, dass die Schweizer Exporteure von Produkten, die im Sinne des vorgeschlagenen Textes als «kritisch» eingestuft werden könnten, erstens nachweisen müssen, dass die entsprechenden digitalen Komponenten die festgelegten Sicherheitsstandards erfüllen, und zweitens Konformitätsbewertungen vorlegen müssen, wenn dies für erforderlich gehalten wird.


[1] Siehe hier https://ec.europa.eu/commission/presscorner/detail/de/IP_22_5374.

[2] Siehe hier https://ec.europa.eu/commission/presscorner/detail/de/ip_23_6168.

Der Bundesrat hat vor kurzem angekündigt[1], dass er bis zum 29. November 2023 eine Vernehmlassung für eine Gesetzesvorlage zur Verschärfung der bestehenden Geldwäschereibestimmungen durchführen wird.

Der vorgeschlagene Rahmen konzentriert sich insbesondere auf die Identifizierung juristischer Personen, wobei ein obligatorisches bundesweites (Transparenz-)Register mit Informationen über wirtschaftliche Eigentümer eingeführt werden soll, das sich im Wesentlichen an alle juristischen Personen richtet. Das nicht-öffentliche Register wird vom Eidgenössischen Justiz- und Polizeidepartement (EJPD) koordiniert und den zuständigen Behörden zugänglich gemacht. Abweichend davon wird es für bestimmte Rechtsformen wie Einzelunternehmen, Stiftungen, Vereine, sowie Gesellschaften mit beschränkter Haftung auch ein vereinfachtes Verfahren geben.

Darüber hinaus wird der Schwellenwert für Sorgfaltspflichten im Handel mit Edelmetallen und Edelsteinen von CHF 100’000 auf CHF 15’000 deutlich gesenkt.

Auch für Barzahlungen im Immobiliengeschäft wird eine pauschale Sorgfaltspflicht eingeführt, unabhängig von der Höhe des Betrags.

Nach dem Ablauf der Vernehmlassungsperiode soll der Vorschlag Anfang 2024 dem Parlament vorgelegt werden.


[1] Siehe hier: https://www.admin.ch/gov/de/start/dokumentation/medienmitteilungen.msg-id-97561.html.

In einer aktuellen Entscheidung des Gerichtshofs der Europäischen Union (EuGH)[1], nämlich Breyer gegen REA, wurde erneut die Frage aufgeworfen, wie und wann ein Gleichgewicht zwischen kommerziellen Interessen und öffentlichem Interesse, insbesondere dem Recht auf Privatsphäre, Gleichheit und Meinungsäusserung, herzustellen ist.

Der Fall betrifft ein von der EU finanziertes Forschungsprojekt, nämlich iBorderCtrl, zur Entwicklung einer KI-gestützten Emotionserkennungstechnologie, die im Rahmen des EU-Grenzkontrollmanagementsystems an Grenzen eingesetzt werden soll. Das Problem ergab sich aus der Weigerung der EU-Institutionen, Informationen offenzulegen und uneingeschränkten Zugang zu Unterlagen zu gewähren, die sich sowohl auf die Genehmigung des Projekts als auch auf dessen Fortschritt beziehen. Als Hauptbegründung wurde der Schutz der kommerziellen Interessen der Beteiligten genannt.

Daraufhin wurde von einem Mitglied des Europäischen Parlaments (EP) Klage gegen die Europäische Exekutivagentur für die Forschung (REA) erhoben, hauptsächlich mit der Begründung, dass eindeutig ein überwiegendes öffentliches Interesse bestehe, das die Notwendigkeit einer vollständigen Offenlegung der Unterlagen rechtfertige, insbesondere im Zusammenhang mit einer Technologie, die grundsätzlich zur Massenüberwachung und  Kontrolle von Menschenmengen eingesetzt werden könnte.

Dem Urteil des EuGH gelingt es jedoch nicht, das öffentliche Interesse gegenüber kommerziellen Interessen tatsächlich aufzuwiegen, da es im Wesentlichen festlegt, dass „allgemeine Erwägungen“ des überwiegenden öffentlichen Interesses möglicherweise nicht ausreichen, um ein „besonders dringendes“ Bedürfnis nach Transparenz zu begründen.

Eine solche Haltung könnte sicherlich die Bedeutung demokratischer Kontrolle und öffentlicher Debatte sowie die Notwendigkeit von Transparenz bei der Softwareentwicklung in Projekten mit unbestreitbaren Auswirkungen auf den Einzelnen untergraben.

Darüber hinaus wurde bestätigt, dass die im Rahmen eines bestimmten Projekts entwickelten Instrumente und Technologien als Geschäftsgeheimnis gelten und lediglich die Ergebnisse des Projekts ausser Acht gelassen werden.


[1] Siehe hier: https://curia.europa.eu/juris/document/document.jsf?mode=DOC&pageIndex=0&docid=277067&part=1&doclang=DE&text=&dir=&occ=first&cid=1901751.

Mit mehr als 750 Mitgliedsfirmen und 36.000 Anwälten in mehr als 200 Ländern gilt das Nextlaw Referral Network[1] als das grösste Rechtsberatungsnetzwerk der Welt. Das von Dentons ins Leben gerufene Netzwerk verwendet ein detailliertes Screening-System, um die Qualität seiner Mitgliedsfirmen zu gewährleisten, und hat eine proprietäre Technologie entwickelt, die es Mitgliedern ermöglicht, Anwälte, Rechtsberater und Berater anderer Mitgliedsfirmen mit entsprechender gebietsspezifischer Erfahrung zu identifizieren, wenn Kunden personalisierte Beratung benötigen.


[1] Weitere Informationen finden Sie hier: https://www.nextlawnetwork.com/.

Das Europäische Parlament (EP) hat kürzlich[i] in einer Plenarsitzung seine Verhandlungsposition zum Gesetz über künstliche Intelligenz (KI) verabschiedet.

Die Diskussionen über die Regeln folgen im Wesentlichen einem risikobasierten Ansatz und zielen darauf ab, sicherzustellen, dass die Entwicklung und der Einsatz von KI-Anwendungen und -Systemen in Europa theoretisch mit den Rechten und Werten der EU in Einklang stehen, darunter «menschliche Aufsicht, Sicherheit, Privatsphäre, Transparenz, Nichtdiskriminierung sowie soziales und ökologisches Wohlergehen».

In Kürze enthält die vorgeschlagene Aufgabenliste, die sich unter anderem an Anbieter und Einsatzkräfte richtet, neben einer überarbeiteten Definition des Begriffs «KI-System», die mit der OECD-Version übereinstimmt, folgende Punkte:

Insbesondere würde das Verbot der nachträglichen biometrischen Fernidentifizierung der Ausnahme unterliegen, dass die Strafverfolgung nach vorheriger richterlicher Genehmigung im Zusammenhang mit schweren Straftaten erfolgt.

Darüber hinaus müssten generative KI-Systeme, die auf Basismodellen basieren (wie ChatGPT), Transparenzanforderungen erfüllen und wirksame Schutzmechanismen gegen illegale Inhalte einrichten. Im Falle der Verwendung urheberrechtlich geschützter Daten für Trainingsmodelle müssten detaillierte Zusammenfassungen davon öffentlich zugänglich gemacht werden. Die Registrierung in der EU-Datenbank wird für Basismodelle obligatorisch sein.

Wichtig ist, dass das EP neben der Festlegung der Zuständigkeiten der verschiedenen Akteure in der KI-Wertschöpfungskette auch die Entwicklung unverbindlicher Standardvertragsklauseln vorschlägt, um die Rechte und Pflichten entsprechend dem Grad der Kontrolle der einzelnen Akteure in einer bestimmten Wertschöpfungskette zu regeln.

In Anbetracht der Tatsache, dass das KI-Gesetz auch für Anbieter und Nutzer von KI-Systemen ausserhalb der EU gelten soll – vorausgesetzt, die erzeugten Ergebnisse sind für die Verwendung in der EU bestimmt – sind diese Entwicklungen für den Schweizer Markt von entscheidender Bedeutung.


[i] Siehe hier https://www.europarl.europa.eu/news/de/press-room/20230609IPR96212/parlament-bereit-fur-verhandlungen-uber-regeln-fur-sichere-und-transparente-ki; https://www.europarl.europa.eu/doceo/document/TA-9-2023-0236_DE.html.

Die Luzerner Kantonalbank (LUKB) hat sich kürzlich[i] mit der Digital Asset Bank Sygnum und den beiden Technologieunternehmen Wyden und Fireblocks zusammengetan, um eine umfassende Lösung für den Handel, die Verwahrung und die Transaktionsüberwachung von Krypto-Assets zu integrieren.

Damit kann die LUKB ab Ende dieses Jahres ihren Kunden Krypto-Assets anbieten.

Das Setup wäre eine Ergänzung zum bereits bestehenden Kernbankensystem der LUKB und soll auf effektive Weise implementiert werden, um eine vollständige Automatisierung des gesamten Krypto-Asset-Lebenszyklus und ein nahtloses Benutzererlebnis (UX) zu ermöglichen.

Diese strategische Partnerschaft könnte als Beispiel für die wachsende Präsenz und aktive Beteiligung des Kantons Luzern an innovativen Projekten und technologischen Entwicklungen gesehen werden, die im Gegenzug ein unterstützendes Umfeld für Start-ups, insbesondere in der Kryptoindustrie, weiter erleichtern würde.


[i] Siehe hier https://www.luzern-business.ch/de/news/luzerner-kantonalbank-bietet-kuenftig-krypto-anlagen-an-9499.

Am 3. April kündigte[i] das deutsche Finanzministerium Pläne für ein Zukunftsfinanzierungsgesetz an, das als Grundlage für die Ausgabe von elektronischen Aktien über DLT-Register dienen soll.

Nachdem die Tokenisierung von Anleihen und bestimmten Fonds bereits im Rahmen des Gesetzes über elektronische Wertpapiere (eWpG) möglich ist, soll die kryptografisch generierte und registrierte Aktie ein weiterer Schritt sein, um unter anderem die Start-up-Atmosphäre besser zu fördern und den Zugang zum Kapitalmarkt effektiv zu erleichtern.

Die wichtigsten Elemente des Gesetzes sind:

  1. “Senkung des Mindestkapitals für einen Börsengang von derzeit 1,25 Millionen Euro auf 1 Million Euro;
  2. Erleichterung von Investitionen institutioneller Anleger in Gründungs- und Wachstumsunternehmen sowie in KMUs, neben besseren Rahmenbedingungen für moderne Transaktionsformen wie z.B. ‹Special Purpose Acquisition Companies›;
  3. Digitalisierung des Kapitalmarktes, d.h. die Möglichkeit, Aktien mit elektronischen Wertpapieren auszugeben;
  4. Prüfung der verbesserten Übertragbarkeit von Krypto-Vermögenswerten;
  5. Einführung von Aktien mit Mehrfachstimmrechten;
  6. Stärkere Digitalisierung und Internationalisierung der Aufsicht und des Aufsichtsrechts;
  7. Anreize zum Vermögensaufbau, insbesondere durch Investitionen in Aktien, durch Änderungen der Arbeitnehmer-Sparzulage; und
  8. Steuerliche Änderung und Vereinfachung der Mitarbeiterkapitalbeteiligung.”

Andererseits wurde in Luxemburg vor kurzem ein neues Gesetz, das Gesetz Nr. 8055[ii], verabschiedet, das seit dem 23. März gilt und eine Reihe von Änderungen im Zusammenhang mit Sicherheiten und Finanzinstrumenten sowie eine teilweise Integration der EU-Verordnung über das DLT-Pilotregime umfasst, was eine Stärkung der DLT-Gesamtstrategie des Landes ermöglicht.

Der neue Rahmen zielt im Wesentlichen auf das Gesetz von 2005 über Finanzsicherheiten ab und bringt Klarheit in Bezug auf die Einstufung der in Wertpapierkonten verbuchten Finanzinstrumente, die in DLT-Registern geführt werden, als Finanzinstrumente im Sinne des bestehenden Gesetzes. Infolgedessen würden die Sicherheiten für solche Finanzinstrumente ebenfalls unter eine Reihe von Schutzmechanismen im Rahmen des Gesetzes von 2005 fallen.

Mit anderen Worten, das neue Gesetz sieht vor, dass Finanzinstrumente in seinen Anwendungsbereich fallen, unabhängig davon, «ob sie […] in physischer Form, dematerialisiert, buchmässig übertragbar vorliegen, einschliesslich Wertpapierkonten, die innerhalb oder mittels sicherer elektronischer Aufzeichnungsmechanismen, einschliesslich verteilter elektronischer Hauptbücher oder Datenbanken, geführt werden, oder durch Lieferung, als Inhaber oder auf den Namen lautend, indossierbar oder nicht, und unabhängig von dem für sie geltenden Recht».

Bemerkenswert ist, dass die Schweiz bereits im August 2021 eine Vorreiterrolle bei diesen innovativen Ansätzen übernommen hat, indem sie die bestehenden Bundesgesetze geändert hat, um den Entwicklungen bei DLT und DLT-basierten Registern wirksam Rechnung zu tragen.


[i] Siehe hier https://www.bundesfinanzministerium.de/Content/DE/Downloads/Finanzmarktpolitik/2022-06-29-eckpunkte-zukunftsfinanzierungsgesetz.pdf?__blob=publicationFile&v=8.

[ii] Siehe hier https://www.chd.lu/fr/dossier/8055; https://wdocs-pub.chd.lu/docs/exped/0133/035/266359.pdf.

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat am 8. März 2023[i] ihre grundsätzliche Haltung zur Klassifizierung von Non-Fungible-Token-Modellen (NFTs) bekannt gegeben.

Die BaFin schlägt eine strenge Einzelfallprüfung vor und verfolgt einen eher konservativen Ansatz bei der Definition von NFTs als Wertpapiere, vor allem wegen der fehlenden unmittelbaren Austauschbarkeit. Mit anderen Worten: Ein NFT könnte nur dann als Wertpapier angesehen werden, wenn beispielsweise eine erhebliche Anzahl dieser Token identische Rückzahlungs- und Zinsansprüche verkörpern würde.

Auch wenn ein NFT Arten von Eigentumsrechten wie z.B. ein Ausschüttungsversprechen verkörpert, könnte der Token grundsätzlich als Anlage im Sinne des Vermögensanlagengesetzes (VermAnIG) angesehen werden. Der blosse Akt der Spekulation durch Token-Inhaber würde dagegen grundsätzlich nicht ausreichen, um dem betreffenden NFT einen Anlagezweck zu unterstellen.

NFTs können grundsätzlich im Finanzsektor eingesetzt werden, insbesondere wenn sie übertragbar und auf dem Finanzmarkt handelbar sind und somit bestimmte sicherheitsähnliche Rechte, d.h. Mitgliedschaftsrechte oder vertragliche Ansprüche ähnlich wie Aktien und Schuldtitel, beinhalten. Wie die BaFin feststellt, «kann die Übertragbarkeit bei den gängigen Standards als gegeben unterstellt werden […], während die Handelbarkeit ein Mindestmass an Standardisierung voraussetzt.»

Zusammenfassend lässt sich sagen, dass der Nexus hier in der Definition der Arten von Rechten besteht, die mit einem bestimmten Token-Modell verbunden sind, sowie im potenziellen Nutzen dieser Rechte nach der Token-Ausgabe.

Die BaFin vertritt einen ähnlichen Standpunkt wie der Entwurf des EU-Vorschlags für eine Verordnung über Märkte für Kryptowerte (MiCA) und ist der Ansicht, dass eine Fragmentierung von NFT, die zu fungiblen Token führt, die jeweils einen gleichen Anteil an einem NFT darstellen, theoretisch das Merkmal der Austauschbarkeit erfüllen würde.

Andererseits wird Frankreich nach der Parlamentsabstimmung vom 28. Februar 2023[ii] strengere Lizenzierungsregeln für neue Marktteilnehmer in seinem Krypto-Ökosystem einführen, um seine nationalen Gesetze mit der kommenden EU-Gesetzgebung zu harmonisieren. Nach den bestehenden Vorschriften haben Unternehmen die Möglichkeit, sich für vereinfachte Registrierungsverfahren bei der Autorité des Marchés Financiers (AMF) mit geringeren Offenlegungsanforderungen zu entscheiden. Nach der Verabschiedung der neuen Regelungen werden die neuen Marktteilnehmer mit strengeren Massnahmen zur Bekämpfung der Geldwäscherei konfrontiert sein, insbesondere mit einer klaren Trennung der Kundengelder, einer neuen Reihe von Berichterstattungsrichtlinien und einer detaillierteren Offenlegung von Risiken und Interessenkonflikten.

Schliesslich haben die plötzlichen Zusammenbrüche und die jüngsten aufsichtsrechtlichen Probleme in den USA im Zusammenhang mit den drei in der Kryptowährungsbranche tätigen Finanzinstituten Silicon Valley Bank (SVB), Signature Bank und Silvergate Capital Fragen des Vertrauens aufgeworfen und unweigerlich zu einer immer grösseren Volatilität in der Branche geführt. Ein einfacher Bank-Run, bei dem eine grosse Anzahl von Einlegern aus Angst vor einer möglichen Insolvenz gleichzeitig Geld abhebt, wird als Ursache angesehen.

Im Zusammenhang mit dem potenziellen Ansteckungsrisiko ist jedoch auch die Frage aufgetaucht, ob das Bankensystem in Europa im Allgemeinen über eine wirksamere Infrastruktur für das Risikomanagement und strengere Liquiditätsanforderungen verfügt.


[i] Siehe hier https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2023/fa_bj_2303_NFT.html.

[ii] Siehe hier https://www2.assemblee-nationale.fr/scrutins/detail/(legislature)/16/(num)/1098.