Fintech, Zahlungsdienste
und Kryptowerte

Rechtliche Gestaltung des Fintech-Geschäftsmodells

Zielnutzer, Ertragsmodell, Geldfluss, Datenfluss, technische Architektur, Vertragsparteien und ausgelagerte Leistungen des Produkts werden gemeinsam geprüft. Welche Tätigkeit das Unternehmen selbst ausübt und welche Funktion es über eine Bank oder ein lizenziertes Institut betreibt, wird schriftlich festgehalten. Die Trennung der erlaubnispflichtigen Funktionen von denjenigen, die über einen lizenzierten Geschäftspartner aufgebaut werden können, bereits vor Beginn der Entwicklung verringert das Risiko, dass das Produkt später angehalten werden muss, die Integration neu aufgebaut werden muss oder im Investitionsprozess rechtliche Unsicherheit entsteht.

Aufsichtsumfeld und Übersicht der zuständigen Behörden

Die Tätigkeit wird im Hinblick auf TCMB, SPK, BDDK, MASAK, KVKK, das Handelsministerium, die Wettbewerbsbehörde und, soweit einschlägig, ausländische Aufsichtsbehörden eingeordnet. Für jede Behörde werden Erlaubnis-, Anzeige-, Berichts-, Prüfungs- und Sanktionsthemen in einer eigenen Tabelle dargestellt. Weil eine von einer Behörde erteilte Erlaubnis oder Eintragung Pflichten aus anderen Vorschriften nicht von selbst aufhebt, wird die mehrschichtige Befugnisübersicht in ein Entscheidungsdokument überführt, das der Verwaltungsrat nachvollziehen kann.

Prüfung der Erlaubnispflicht und der Tätigkeitsgrenze

Es wird bestimmt, ob Funktionen wie der Betrieb eines Zahlungskontos, die Geldüberweisung, die Auslösung von Zahlungsaufträgen, die Bereitstellung von Kontoinformationen, die Ausgabe oder Akzeptanz eines Zahlungsinstruments, die Vermittlung von Rechnungszahlungen, mobile Zahlung, die Ausgabe von E-Geld, der Betrieb einer Krypto-Plattform oder die Verwahrung erlaubnispflichtig sind. Die Voraussetzungen der Ausnahme für technische Dienstleistungen, des Handelsvertreters, des begrenzten Netzes oder sonstiger Strukturen außerhalb des Anwendungsbereichs werden am konkreten Ablauf geprüft; eine Ausnahme wird nicht aufgrund des Produktnamens unterstellt.

Eintragungsphase bei Zahlungs- und E-Geld-Instituten

Gesellschaftsform, Satzung, Beteiligungsverhältnisse, qualifizierte Beteiligungen, Finanzkraft, Leitungsstruktur und die vor der Eintragung einzureichenden aktuellen Formulare werden als Ganzes vorbereitet. Die vor der Eintragung einer Firma mit dem Zusatz Zahlungsinstitut oder E-Geld-Institut bei der TCMB einzureichenden Unterlagen, die Antragsgebühr und die Ordnung der Vorprüfung werden gesteuert. Die Voraussetzungen für Gesellschafter und Geschäftsleiter sowie die Angaben zur Herkunft der Mittel werden geprüft; Widersprüche zwischen dem amtlichen Formular und den internen Unterlagen werden beseitigt.

Hintergrundprüfung der TCMB, abschließende Genehmigung und Leistungsumfang

Bei den auf die Eintragungsphase folgenden Anträgen zur Hintergrundprüfung und zur abschließenden Genehmigung werden die aktuellen Fristen sowie die Angaben und Unterlagen in den Anlagen der Verordnung zugrunde gelegt. Es wird dargelegt, dass Organisation, Personal, Systeme, Prozesse, Verträge, Sicherheitskontrollen und Geschäftsfortführung für die Tätigkeit bereit sind. Für jeden beantragten Zahlungsdienst werden Produktablauf und technische Funktion gesondert erläutert. Nach der Tätigkeitserlaubnis wird sichergestellt, dass nur die erlaubten Leistungen angeboten werden und dass der Bedarf einer Erweiterung des Umfangs für ein neues Produkt vorab geprüft wird.

Einordnung der Zahlungsdienste nach dem Gesetz Nr. 6493

Ein- und Auszahlungen auf ein Zahlungskonto, Geldtransfer, Ausgabe oder Akzeptanz eines Zahlungsinstruments, Geldüberweisung, mobile Zahlung, Auslösung von Zahlungsaufträgen und Kontoinformationsdienste werden transaktionsbezogen eingeordnet. Ein Produkt kann mehrere Zahlungsdienste zugleich umfassen. Indem Nutzeroberfläche, die Bankanbindung im Hintergrund und der Übergang der Gelder an den Endempfänger gemeinsam geprüft werden, wird die Übereinstimmung zwischen Lizenzumfang und tatsächlicher Tätigkeit dokumentiert.

Ausgabe von E-Geld, Guthaben und Rückzahlungsstruktur

Es wird beurteilt, ob ein bei Entgegennahme von Geldern elektronisch gespeicherter monetärer Wert, der auch von anderen Personen als dem Emittenten akzeptiert wird, E-Geld darstellt. Die Zuordnung des ausgegebenen Werts zu den entgegengenommenen Geldern, das Nutzungsnetz, das Sicherungskonto, die Rückzahlung, nicht verbrauchtes Guthaben, Entgelte, Verjährungseinwände und die Kundeninformation werden geregelt. Bei Modellen wie Treuepunkten, Werten in geschlossenen Systemen oder Einheiten in Spielen sind wirtschaftliche Funktion und Akzeptanzumfeld maßgeblich, nicht der Name.

Modelle der digitalen Geldbörse und gespeicherter Zahlungsinstrumente

Die Funktionen der digitalen Geldbörse im Sinne von Art. 4/A der Verordnung, die Ausgabe von Zahlungsinstrumenten und gegebenenfalls weitere Befugnisse für Zahlungsdienste oder E-Geld werden gemeinsam geprüft. Die Ausnahme der rein technischen Speicherung wird mit allen Voraussetzungen beurteilt, einschließlich der unmittelbaren Beziehung zum Kunden und der Eigenschaft, das sichtbare Gesicht der Leistung zu sein. Die Abläufe für das Aufladen der Geldbörse, den Gerätewechsel, die Authentifizierung, das Transaktionslimit, ein verlorenes Gerät, unbefugte Nutzung, die Rückerstattung des Guthabens und die Kontoschließung werden dem Rechtstext und der Benutzeroberfläche zugeordnet.

Schutz der Kundengelder und Kontentrennung

Die Trennung der Zahlungsgelder und der gegen Ausgabe von E-Geld vereinnahmten Gelder vom Gesellschaftsvermögen, die Sicherungskonten, der Tagesabschlussabgleich, Zugriffsbefugnisse, das Pfändungs-/Insolvenzrisiko und die Erstattungsabläufe werden geprüft. Es wird sichergestellt, dass Kontobezeichnung bei der Bank, Buchung und Betriebsablauf denselben rechtlichen Zweck zeigen. Eskalation und Meldung an die Geschäftsleitung für den Fall einer Verzögerung der Gelder bei einem Dritten oder eines unvollständigen Abgleichs werden schriftlich festgelegt.

Mindesteigenmittel, Kapitalausstattung und Berufshaftpflicht

Die von Erlaubnisart und Transaktionsvolumen des Instituts abhängigen Mindesteigenmittel, ihre Berechnung, die Berichterstattung und gegebenenfalls die Pflicht zur Berufshaftpflichtversicherung werden überwacht. Jährlich aktualisierbare Beträge werden nicht als feste Zahlen in den dauerhaften Text einer Webseite aufgenommen; sie werden in einem datierten Compliance-Plan der Geschäftsleitung geführt. Die Auswirkung von Gewinnausschüttung, Kapitalherabsetzung, Verlusten, Geschäften mit nahestehenden Personen oder schnellem Wachstum auf die Eigenmittel wird vor der Entscheidung geprüft.

Open Banking, Kontoinformationen und Auslösung von Zahlungsaufträgen

Bei Kontoinformations- und Zahlungsauslösediensten werden die Rollen der Parteien, der Auftrag des Nutzers und die Freigabe der Transaktion, die starke Authentifizierung, der Zugriffsumfang, der Widerruf der Freigabe, die API-Sicherheit und die Verantwortung für die Aufzeichnungen bestimmt. Die Standards der Datenaustauschdienste für Zahlungsdienste (ÖHVPS) werden zusammen mit den Vertrags- und Datenschutztexten geprüft. Die Aufnahme der mit ÖHVPS 2.0.0 eingeführten Kartendaten sowie der Zahlungsaufträge mit zukünftigem Datum und der Daueraufträge in das Produkt wird hinsichtlich Erlaubnisumfang und Versionswechsel gesondert beurteilt.

API, Datenaustausch und Fintech-Integrationsverträge

In API-Verträgen zwischen Banken, Zahlungsinstituten, E-Geld-Instituten, Technologieunternehmen und Firmenkunden werden Service-Level, Zugriffsbefugnis, Datenfelder, Authentifizierung, Änderungsmitteilung, Ausfall, Fehler, Aufzeichnungen, Prüfung, Subunternehmer, geistige Eigentumsrechte, Haftung und Ausstiegsplan geregelt. Mit welcher Version die technische Dokumentation an den Vertrag gebunden ist und wie sich eine API-Änderung auf Kundentransaktionen auswirkt, wird klar bestimmt.

FAST, TR Karekod und Modelle für Sofortzahlungen

Bei Produkten, die mit FAST, der einfachen Adresse (kolay adres), TR Karekod und der Infrastruktur für Kartenzahlungen verbunden sind, werden Teilnehmerstatus, Nachrichtenfluss, Zahlungsauftrag, Empfängerprüfung, Transaktionslimit, Erstattung, Abstimmung und operative Verantwortung geprüft. Ob der QR-Code statisch oder dynamisch ist, das Szenario einer Händlerzahlung oder einer Zahlung von Person zu Person und das Risiko gefälschter QR-Codes werden in das Prozessdesign aufgenommen. Die technischen Grundsatzversionen von BKM und TCMB werden über Vertragsanlagen und den Änderungskalender gesteuert.

Händler-Acquiring, POS und Zahlungsakzeptanz

Bei Modellen mit physischem oder virtuellem POS, Zahlungs-Gateway, Sub-Händlern, Marktplatzzahlungen und Payment Facilitation werden Bestimmungen zur Akzeptanz des Zahlungsinstruments, zur Aufnahme von Händlern, Provision, Sperre, Rücklage, Abstimmung, Chargeback, Erstattung und Beendigung vorbereitet. Es wird verfolgt, von wem das Terminal zugewiesen wurde und von wem es tatsächlich genutzt wird. Kontrollen zur Händleridentifizierung, zu verbotenen Tätigkeiten, zur Transaktionsüberwachung und dazu, dass das Terminal nicht Dritten überlassen wird, werden in Vertrag und Betrieb gemeinsam verankert.

Karten, Prepaid-Instrumente und Ausgabe von Zahlungsinstrumenten

Bei Modellen mit physischer oder virtueller Karte, Prepaid-Instrument, Firmenausgabenkarte und einmal nutzbarem Zahlungsinstrument werden Bestimmungen zu Emittentenstatus, Markenprogramm, Nutzerbefugnis, Limit, Entgelt, Aufladung, Verlust/Diebstahl, Einwendung und Schließung geregelt. Das Zusammenspiel von Regeln des Kartensystems, Gesetz Nr. 6493, den Vorschriften zu Bankkarten und Kreditkarten sowie Verbraucherbestimmungen wird nach dem konkreten Modell bestimmt.

Mobile Zahlung und Vermittlung von Rechnungszahlungen

Bei mobilen Zahlungen, die über ein elektronisches Kommunikationsgerät freigegeben werden, und bei Modellen zur Vermittlung von Rechnungszahlungen werden Leistungsart, Nutzerfreigabe, Limit, Zahlungseingang, Stornierung, Erstattung und die Verantwortlichkeiten der Parteien bestimmt. Die Beziehung zwischen Telekommunikationsbetreiber, Zahlungsinstitut, Dienstleister und Nutzer wird in gesonderten Vertragsebenen geregelt. Aktuelle Transaktionslimits und der Erlaubnisumfang werden nicht in festen Text eingebettet, sondern über einen datierten Compliance-Plan gesteuert.

Geldüberweisung, inländische und grenzüberschreitende Geldtransfers

Die Rollen von Absender, Empfänger, zwischengeschaltetem Institut, Korrespondent, ausländischem Geschäftspartner und weiteren Beteiligten der Zahlungskette werden bestimmt. Wechselkurs, Entgelt, Abzug, Bearbeitungszeit, fehlende Angaben, falscher Empfänger, Ablehnung der Transaktion, Rückruf, Sanktionsprüfung und Fehlerhaftung werden im Vertrag erläutert. Bei Modellen, in denen die Leistung zusammen mit einer im Ausland ansässigen juristischen Person erbracht werden muss, werden die TCMB-Erlaubnis, die lokale Regulierung, die Datenübermittlung und der Korrespondenzvertrag gemeinsam geprüft.

Recht der Zahlungs- und Wertpapierabwicklungssysteme

Für Betreiber von Zahlungssystemen oder Wertpapierabwicklungssystemen werden Gründung, Tätigkeit, Systemregeln, Teilnehmerzulassung, Sicherheiten, Endgültigkeit der Abwicklung, Geschäftsfortführung, operationelles Risiko und Aufsichtspflichten bewertet. Die Stimmigkeit zwischen den Teilnehmerverträgen und dem Regelwerk des Systems wird geprüft. Bei einer kritischen Änderung, einem neuen Teilnehmertyp oder der Nutzung von Auslagerungen wird die Anzeige- und Erlaubnispflicht gegenüber der TCMB gesondert bestimmt.

Digitales Banking, Servicemodell-Banking und Embedded Finance

Die Struktur zwischen Digitalbank, Servicebank, Schnittstellenanbieter, Fintech-Unternehmen und Endnutzer wird im Rahmen der BDDK-Vorschriften geprüft. Es wird bestimmt, welche juristische Person die Bankdienstleistung erbringt, ob der Kunde dies klar versteht und auf welche Daten der Schnittstellenanbieter zugreift und welche Funktion er übernimmt. Bei einem eingebetteten Zahlungs-, Konto-, Kredit- oder Kartenprodukt wird sichergestellt, dass das Markenbild nicht mit der Stellung des rechtlichen Dienstleisters verwechselt wird.

Auslagerung, Cloud, Software und Technologiebeschaffung

Bei Cloud, zentraler Zahlungsinfrastruktur, Authentifizierung, Betrugsüberwachung, Callcenter, Rechenzentrum, Softwareentwicklung und Supportleistungen wird geprüft, ob eine Auslagerung zulässig ist und welche Bedingungen gelten. Datenstandort, Zugriff, Unterdienstleister, Prüfungsrecht, Vorfallmeldung, Kontinuität, Quellcode, Ausstiegsunterstützung und Rückgabe der Daten werden geregelt. Die Übertragung einer kritischen Funktion hebt die aufsichtsrechtliche Verantwortung des Instituts nicht auf.

Informationssysteme, Cybersicherheit und Vorfallmanagement

Inventar der Informationswerte, Zugriffsverwaltung, privilegierte Konten, Protokollierung, Verschlüsselung, Netzsicherheit, sichere Softwareentwicklung, Penetrationstests, Schwachstellenmanagement, Datensicherung, Notfallwiederherstellung und Vorfallreaktion werden den rechtlichen Pflichten zugeordnet. Ob ein Cybervorfall eine Meldung an TCMB, SPK, KVKK, MASAK, Kunden oder andere Beteiligte erfordert, wird nach der Art des Vorfalls bestimmt. Die technische Untersuchung wird zusammen mit Berufsgeheimnis, Datensicherheit, Aufbewahrung der Aufzeichnungen und Meldepflichten durchgeführt. Technische Tests und Reaktion liegen in der Verantwortung des jeweiligen Fachteams.

Starke Authentifizierung, Kundengewinnung auf Distanz und elektronische Verträge

Fernidentifizierung, Videogespräch oder geeignete elektronische Verfahren, Gerätebindung, Mehr-Faktor-Authentifizierung, zusätzliche Kontrolle bei riskanten Transaktionen, elektronische Signatur und die Abläufe zum dauerhaften Datenträger werden geprüft. Es wird erläutert, dass Authentifizierung und Kundenidentifizierung nach MASAK nicht derselbe Begriff sind. Fehlversuche, Kontoübernahme, SIM-Tausch, Gerätewechsel und Anforderungen an die Barrierefreiheit werden in einen sicheren Ablauf überführt, ohne Nutzerrechte unnötig einzuschränken.

KVKK, Finanzdaten und Übermittlung ins Ausland

Für die Prozesse der Kundengewinnung, Transaktionsüberwachung, Risikobewertung, Betrugsprävention, des Callcenters sowie für Cookies, Geräte-Fingerabdruck, Biometrie und Marketing wird ein Verarbeitungsverzeichnis erstellt. Die Rollen von Verantwortlichem und Auftragsverarbeiter, Aufbewahrungsfristen, Anträge betroffener Personen, Verletzungsmanagement und der Mechanismus für die Übermittlung ins Ausland werden bestimmt. Eine zwingende aufsichtsrechtliche Aufzeichnung und Produktanalysen oder Marketingdaten werden nicht unter demselben Zweck zusammengeführt.

Unternehmensführung, interne Kontrolle, Risiko und interne Revision

Verantwortung des Verwaltungsrats, Funktionstrennung, interne Kontrolle, Risikomanagement, interne Revision, Compliance, Informationssicherheit und Geschäftsfortführung werden der Größe des Instituts entsprechend geregelt. Dass Richtlinientexte lediglich in der Akte vorliegen, gilt nicht als ausreichend; Kontrollverantwortlicher, Häufigkeit, Stichprobe, Feststellungsklasse, Behebungsfrist und Berichterstattung an die Geschäftsleitung werden bestimmt. Interessenkonflikte und die Risiken der Bündelung kritischer Befugnisse bei einer Person werden im Organigramm beseitigt.

MASAK-Compliance-Programm, Know-your-Customer und Verdachtsmeldung

Risikomanagement, Überwachung und Kontrolle, Compliance-Beauftragter, Schulung, interne Revision, Kundenannahme, wirtschaftlich Berechtigter, politisch exponierte Person, Hochrisikoland, Sanktionsliste und die Abläufe der Verdachtsmeldung werden je nach Institutsart eingerichtet. Die Vertraulichkeit der Meldung wird gewahrt; die Kommunikation mit dem Kunden wird so gesteuert, dass die Prüfung nicht offengelegt wird. Für Zahlungs-, E-Geld- und Krypto-Transaktionen spezifische Risikoindikatoren werden mit den Aufzeichnungen zu Szenarien und Fallmanagement verknüpft.

Wirtschaftssanktionen und Einfrieren von Vermögenswerten

Beschlüsse der Vereinten Nationen, die in der Türkei angewandte Regelung zum Einfrieren von Vermögenswerten, Länder- und Produktbeschränkungen sowie vertragliche ausländische Sanktionsbestimmungen werden voneinander abgegrenzt. Der Umfang des Screenings von Kunde, wirtschaftlich Berechtigtem, Empfänger, Absender, Wallet und Transaktionen wird bestimmt. Die Schritte Treffer, Falschtreffer, Zurückhalten der Transaktion, Ablehnung, Meldung und Aufzeichnung werden schriftlich festgelegt; die Anwendbarkeit ausländischer Sanktionsklauseln nach türkischem Recht wird gesondert geprüft. Für Listungsbeschlüsse im Anwendungsbereich der Allgemeinen Mitteilung Serie Nr. 34 der MASAK werden die Schritte Bekanntmachung, Treffer, unverzügliche Meldung und Aufschub der Transaktion gesondert bewertet.

TCMB-Aufsicht, Berichterstattung und Verwaltungsverfahren

Periodische Berichterstattung, unabhängige Prüfung, Auskunftsverlangen, Prüfung vor Ort, Antwort auf Feststellungen, Abhilfemaßnahmen und Begleitung durch den Verwaltungsrat werden durchgeführt. Damit die verlangten Daten nicht an die Behörde gesendet werden, ohne dass ihre Quelle und Berechnungsmethode verifiziert wurden, wird ein Freigabeverfahren von Recht, Finanzen und Technologie eingerichtet. Bei Feststellungen, die das Risiko eines Verwaltungsbußgeldes, einer Tätigkeitsbeschränkung, einer vorübergehenden Einstellung oder eines Erlaubnisentzugs begründen, werden Frist, Befugnis, Verhältnismäßigkeit und Rechtsweg geprüft.

Rahmenvertrag, vorvertragliche Information und Entgelttransparenz

Der Rahmenvertrag für Zahlungsdienste, die Information zu einmaligen Zahlungen, der E-Geld-Vertrag, der Kundenvertrag für Kryptowerte und die Texte für Firmenkunden werden je nach Produkt vorbereitet. Entgelt, Wechselkurs, Bearbeitungszeit, eindeutige Kennung, Widerruf der Freigabe, Kommunikation, Einwendung, Kündigung und Änderungsmitteilung werden klar geregelt. Zwischen den in der Benutzeroberfläche gezeigten Informationen, der unterzeichneten Fassung und der betrieblichen Praxis wird Übereinstimmung hergestellt.

Nicht autorisierte oder fehlerhafte Zahlungsvorgänge und Erstattungsabläufe

Ob der Kunde die Transaktion autorisiert hat, der Zeitpunkt der Mitteilung, die starke Authentifizierung, der Vorwurf grober Fahrlässigkeit, die eindeutige Kennung, die Haftung zwischen den Dienstleistern und der Erstattungszeitpunkt werden geprüft. Anstelle einer automatischen Ablehnung wird je nach Transaktionsart ein Prüf- und Begründungsablauf eingerichtet. Die Integrität von Anrufprotokoll, Geräteprotokoll, Verifizierungsschritt, Sitzung, Zahlungsnachricht und Mitteilungsprotokollen wird gewahrt.

Zahlungsbetrug, Chargeback und Streitigkeiten mit Händlern

Transaktionen ohne physische Karte, Kontoübernahme, Social Engineering, falsche Händler, der Vorwurf des freundlichen Betrugs, Lieferstreitigkeiten und Chargeback-Abläufe werden gesteuert. Die Frist des Kartensystems und die gesetzliche Antragsfrist werden voneinander unterschieden. Durch die Prüfung von Händlervertrag, Bestell-/Lieferaufzeichnung, Authentifizierung, Einwendungscode, Rücklage und Sperrvorgängen wird die Verteilung der Verantwortung zwischen Zahlungsinstitut, Händler und Nutzer bestimmt.

Verwaltungs-, Handels-, Verbraucher- und Strafstreitigkeiten

Verwaltungsanträge und Anfechtungsklagen gegen Maßnahmen von TCMB oder SPK, Vertragsstreitigkeiten zwischen lizenzierten Instituten sowie Streitigkeiten über Kundengelder, nicht autorisierte Zahlungen, Chargeback, Krypto-Übertragungen, Kontobeschränkungen, Listung oder Verwahrung werden geführt. Bei Vorwürfen von Fälschung, Computerkriminalität, Untreue, marktverzerrenden Handlungen oder Tätigkeit ohne Erlaubnis werden rechtliche und technische Aufzeichnungen gemeinsam geprüft. Mediation, Schiedsverfahren, Klage und, soweit die Voraussetzungen vorliegen, Wege des einstweiligen Rechtsschutzes werden nach der Art der Akte gewählt.

Anteilsübertragung, Verschmelzung, Wechsel der Geschäftsleitung und gesellschaftsrechtliche Vorgänge

Bei lizenzierten Zahlungs- und E-Geld-Instituten und Kryptowerte-Dienstleistern werden unmittelbare oder mittelbare Anteilsübertragungen, Kontrollwechsel, Verschmelzung, Spaltung, Satzungsänderungen und die Bestellung kritischer Geschäftsleiter im Hinblick auf aufsichtsrechtliche Erlaubnis und Anzeige geprüft. Die Closing-Bedingungen im Investitionsvertrag werden so gestaltet, dass ohne aufsichtsrechtliche Genehmigung kein tatsächlicher Kontrollübergang entsteht. Im Prüfungsverlauf werden Datenraum, Eignung der Gesellschafter und Unterlagen zur Herkunft der Mittel stufenweise gesteuert.

Rechtliche Einordnung von Kryptowerten und Token

Wirtschaftliches Recht des Tokens, Art der Ausgabe, Übertragbarkeit, Verwendungszweck, Governance-Recht, Bezug zu Erträgen oder Vermögenswerten, Rückkaufversprechen und technische Infrastruktur werden geprüft. Es wird bestimmt, ob das Produkt die Eigenschaft eines Kryptowerts, eines Kapitalmarktinstruments, von E-Geld, eines Zahlungsinstruments, eines digitalen Rechts oder eines sonstigen vertraglichen Rechts hat. Maßgeblich sind nicht die Bezeichnungen in der technischen Dokumentation, sondern das dem Anleger tatsächlich angebotene Recht und die wirtschaftliche Struktur.

Wertstabile Token, Tokenisierung von Vermögenswerten und NFT-Modelle

Bei Token, die an Fiat-Währung, Rohstoffe, Wertpapiere, Immobilien oder andere Vermögenswerte gebunden sind, werden Emittent, Reserve, Rückkauf, Rechtsinhaberschaft, Verwahrung und Struktur des Sekundärhandels geprüft. Die Bezeichnung als „einzigartiger digitaler Vermögenswert“ oder „NFT“ nimmt das Produkt für sich allein nicht aus der Regulierung; Serienfertigung, Teilbarkeit, Anlagezweck und wirtschaftliche Rechte werden beurteilt. Das Recht der Türkei und des Ziellandes sowie der Anwendungsbereich von MiCA werden in gesonderten Rechtsvermerken behandelt.

Gründungs- und Tätigkeitserlaubnis für Krypto-Plattformen bei der SPK

Aktiengesellschaftsstruktur, Gesellschafter, Kapital, Leitung, Organisation, interne Systeme, Informationssysteme, Kundenannahme sowie Auftrags- und Transaktionsinfrastruktur der neuen Plattform werden bewertet. Anträge auf Gründungs- und Tätigkeitserlaubnis werden jeweils nach den aktuellen Formularen und Anlagen der einzelnen Phase gesondert vorbereitet; es wird nicht unterstellt, dass alle Vorbereitungen für die Tätigkeit bereits in der Phase der Gründungserlaubnis abgeschlossen sind. Vorläufiger Listeneintrag, Gründungserlaubnis und Tätigkeitserlaubnis werden in Texten für Anleger, Geschäftspartner und Werbung mit den richtigen Bezeichnungen dargestellt.

Krypto-Kundenverträge, Risikohinweis und Werbung

Im Plattform- oder Verwahrvertrag werden Leistungsumfang, Auftragsverfahren, Entgelt, Verwahrung, Übertragung, Fork, Airdrop, Netz-Update, Fehler, Zugriffsausfall, Kontobeschränkung, Beendigung und Streitweg erläutert. Es wird sichergestellt, dass sichtbar angegeben wird, dass Kryptowerte nicht den Vorschriften zur Anlegerentschädigung unterliegen, und dass die vermögenswertspezifischen Risiken genannt werden. Werbesprache, Kundenerfahrung und Empfehlungskampagnen, die den Eindruck von Rendite oder Wertsteigerung erwecken, werden einer rechtlichen Kontrolle unterzogen.

Verwahrung von Kryptowerten und Schlüsselverwaltung

Die Struktur aus heißen, kalten und Multi-Signatur-Wallets sowie die Abläufe der Erzeugung, Aufbewahrung, Sicherung, des Zugriffs, der Vernichtung und Wiederherstellung privater Schlüssel werden geprüft. Die Trennung von Kundenvermögen und Institutsvermögen, die Abstimmung zwischen On-Chain- und internen Aufzeichnungen, die Freigabe von Übertragungen, die Befugnisse des Personals, die Verwahrung durch Dritte und die Vorfallreaktion werden auf Ebene von Verträgen und Richtlinien geregelt. Welches Institut die Verwahrleistung tatsächlich erbringt, wird dem Kunden klar mitgeteilt.

Kundenkryptowerte, Aufzeichnung, Abstimmung und Reservenachweis

Die Trennung des Bargelds und der Kryptowerte der Kunden von den Vermögenswerten des Instituts, Aufzeichnungen zur Rechtsinhaberschaft, tägliche Abstimmung, On-Chain-Wallets, Schuldaufzeichnungen und Zugriffsbefugnisse werden geprüft. Bei unabhängiger Prüfung und Reservenachweis werden Umfang, Datenquelle, Stichprobe, Wallet-Verifizierung, Vollständigkeit der Verbindlichkeiten und Grenze der Verwendung des Berichts bestimmt. Der Reservenachweis wird nicht als allgemeine Vertrauenserklärung dargestellt, die eine Jahresabschlussprüfung oder eine Beurteilung der Zahlungsfähigkeit ersetzt.

Übertragung von Kryptowerten, Travel Rule und Übertragungsmaßnahmen

Die Aufnahme von Absender- und Empfängerangaben in die Übertragungsnachricht, fehlende Angaben, Übertragungen an einen anderen Dienstleister, nicht verwahrte Wallets, riskante Adressen, Wartezeiten bei Übertragungen und Limits werden nach den aktuellen Vorschriften von SPK und MASAK angewandt. Ein Ergebnis der Kettenanalyse allein gilt nicht als endgültige rechtliche Einordnung; der Risikoindikator wird zusammen mit weiteren Kunden- und Transaktionsdaten bewertet. Die Abläufe der Ablehnung, Aussetzung, Anforderung zusätzlicher Angaben zu einer Transaktion und der Verdachtsmeldung werden voneinander getrennt.

Listung und Delisting von Kryptowerten

Listungsausschuss, technische und rechtliche Prüfung, Interessenkonflikt, Verbindung zu Emittent/Projektteam, Verteilung, Liquidität, Cyberrisiko, Smart Contract, marktverzerrende Handlungen und Kriterien der laufenden Überwachung werden vorbereitet. Ein Listungsentgelt oder eine Geschäftsbeziehung sollte den Entscheidungsprozess nicht überschatten. Im Fall des Delistings wird ein verhältnismäßiger Übergangsplan für Bekanntgabe, Schließung der Aufträge, Übertragung, Verwahrung und Rückgabe des Kundenvermögens aufgestellt.

Auftrag, Transaktion, Preisbildung und Marktintegrität

Regeln zu Auftragsannahme, Priorität, Zusammenführung, Stornierung, außergewöhnlichen Preisbewegungen, Market Making, Handel auf Rechnung des Instituts, Mitarbeitergeschäften und Interessenkonflikten werden geregelt. Für Wash Trading, Scheinaufträge, irreführenden Anschein, Kontoverbindungen und das Risiko von Insiderinformationen werden Überwachungsszenarien vorbereitet. Befugnis, Begründung, Mitteilung an den Kunden und Aufzeichnung einer Entscheidung zur Einstellung oder Beschränkung des Handels werden bestimmt.

Grenzüberschreitendes Fintech, MiCA, DORA und Koordination ausländischer Lizenzen

Bei Leistungen von der Türkei ins Ausland oder bei einer Ausrichtung aus dem Ausland auf in der Türkei ansässige Nutzer werden Erlaubnis des Ziellandes, lokale Vertretung sowie Vorschriften zu Verbrauchern, Zahlungen, Krypto, Daten, Cyberresilienz und Sanktionen geprüft. Für die EU werden die MiCA-Zulassung, die Folgen der am 1. Juli 2026 ausgelaufenen Übergangsregelung, die Travel Rule und der Anwendungsbereich von DORA tätigkeitsbezogen beurteilt. Ebenso wie eine ausländische Erlaubnis in der Türkei nicht von selbst ein Tätigkeitsrecht verleiht, begründet auch die Erlaubnis in der Türkei nicht automatisch eine Befugnis in einem anderen Land.

Die Gründung einer Gesellschaft als „Fintech“ unterliegt für sich allein keiner besonderen Erlaubnis; stellt die angebotene Funktion jedoch einen Zahlungsdienst, die Ausgabe von E-Geld, eine Bankdienstleistung, eine Krypto-Plattform oder eine Verwahrtätigkeit dar, ist die Erlaubnis der zuständigen Behörde erforderlich. Die Tätigkeitsgrenze sollte vor der Entwicklung des Produkts geprüft werden.

Ein Zahlungsinstitut erbringt nur die Zahlungsdienste, die ihm erlaubt sind. Ein E-Geld-Institut kann E-Geld ausgeben und auch die von seiner Erlaubnis erfassten Zahlungsdienste erbringen. Die konkrete Befugnis ergibt sich nicht aus der Firma des Instituts, sondern aus dem Umfang der von der TCMB veröffentlichten aktuellen Tätigkeitserlaubnis.

Einige Strukturen, die nur technische Leistungen erbringen, können außerhalb des Anwendungsbereichs bleiben; dass keine Gelder gehalten werden, reicht jedoch für sich allein nicht aus. Insbesondere die Auslösung von Zahlungsaufträgen, Kontoinformationen und die Funktionen der digitalen Geldbörse sind gesondert geregelt. Die Beziehung zum Kunden, die Eigenschaft als sichtbares Gesicht der Leistung, der Vertrag und die tatsächliche Funktion werden gemeinsam geprüft.

Für eine digitale Geldbörse, die unter die Definition in Art. 4/A der Verordnung fällt, sind die entsprechenden Befugnisse für Zahlungsdienste erforderlich. Die Ausnahme der rein technischen Datenspeicherung wird mit allen Voraussetzungen beurteilt. Dass kein Guthaben gehalten oder Karteninformationen gespeichert werden, ergibt für sich allein keine abschließende Antwort; Geld- und Transaktionsfluss sowie Kundenbeziehung sollten gemeinsam betrachtet werden.

Die Grunddienste sind die Bereitstellung von Kontoinformationen und die Auslösung von Zahlungsaufträgen. Mit ÖHVPS 2.0.0 wurden auch die Funktionen für Kartendaten und Kartenumsätze sowie für Zahlungsaufträge mit zukünftigem Datum und Daueraufträge zur Nutzung freigegeben. Nicht jeder API-Dienst ist von selbst Open Banking; Funktion und Erlaubnisumfang werden gesondert beurteilt.

Bei Zahlungs- und E-Geld-Instituten werden die Phasen Eintragungsvorbereitung, Hintergrundprüfung und abschließende Genehmigung durchlaufen. Es gelten die aktuellen Voraussetzungen und Anlagen von Art. 11 der Verordnung. Die Antragstellung oder die Eintragung verleiht für sich allein keine Befugnis zur Aufnahme der Tätigkeit; Erlaubnisumfang und veröffentlichte Entscheidung werden gemeinsam geprüft.

Das neue Produkt sollte mit den Leistungen der bestehenden Tätigkeitserlaubnis, der Satzung des Instituts, den Informationssystemen und dem Geschäftsplan übereinstimmen. Geht es um einen neuen Zahlungsdienst, eine Funktion der digitalen Geldbörse oder eine wesentliche Auslagerung, wird der Bedarf an Erlaubnis, Erweiterung des Umfangs oder Anzeige vorab geprüft.

Zahlungsgelder und für die Ausgabe von E-Geld vereinnahmte Gelder sind keine Gesellschaftsmittel, über die das Institut frei verfügen kann. Es gelten die Regeln zu Schutz, Trennung und Erstattung in den einschlägigen Vorschriften. Die Struktur von Buchhaltung und Bankkonto sollte diese Unterscheidung zeigen.

Nein. Das für Gründung und Tätigkeit verlangte Kapital und die fortlaufende Eigenmittelpflicht sind möglicherweise nicht derselbe Begriff; die Beträge können periodisch aktualisiert werden. Die am Tag der Transaktion geltende Regelung der TCMB oder SPK und die Berechnungsmethode sollten verifiziert werden.

Eine ausländische Lizenz verleiht in der Türkei nicht von selbst eine Tätigkeitsbefugnis. Die Ausrichtung auf in der Türkei ansässige Nutzer, der Geldfluss, der lokale Geschäftspartner, Daten, Werbung und Vertragsstruktur werden geprüft. Einige Modelle mit gemeinsamer Leistungserbringung können zusätzlich einer Erlaubnis der TCMB unterliegen.

Nein. Die TCMB-Verordnung verbietet es, Kryptowerte bei Zahlungen unmittelbar oder mittelbar zu verwenden und hierauf gerichtete Dienstleistungen anzubieten. Zudem besteht ein gesondertes Verbot für Zahlungs-/E-Geld-Institute, bei Geldübertragungen an Krypto-Plattformen und von diesen Plattformen zu vermitteln. Kauf und Verkauf von Krypto und die Bezahlung von Waren oder Dienstleistungen mit Krypto sind nicht dieselbe Transaktion.

Nein. Die SPK erklärt ausdrücklich, dass die vorläufige Liste keine Zulassung bedeutet. Gründungserlaubnis, Tätigkeitserlaubnis und der Listenstatus in der Übergangszeit sollten getrennt geprüft werden.

Es wird eine Struktur aufgebaut, die den Gründungs- und Tätigkeitsvoraussetzungen der Mitteilungen III-35/B.1 und III-35/B.2 entspricht, und bei der SPK wird mit dem aktuellen Formular und den Anlagen ein Antrag gestellt. Die Akten zu Gesellschaft, Beteiligungsverhältnissen, Kapital, Leitung, internem System, Technologie, Verwahrung, Verträgen und Betrieb werden gemeinsam vorbereitet.

Die Verwahrordnung richtet sich nach der angebotenen Leistung, der erteilten Erlaubnis, den Bestimmungen der SPK und der Struktur des jeweiligen Verwahrinstituts. Es sollte klar sein, wer den privaten Schlüssel und die Dispositionsbefugnis hat; Kundenvermögen sollte vom Vermögen des Instituts getrennt und regelmäßig abgestimmt werden.

Bargeld und Kryptowerte der Kunden sind vom Vermögen des Instituts getrennt; es besteht ein gesetzlicher Schutz dagegen, dass sie für Schulden des Instituts gepfändet, verpfändet oder in die Insolvenzmasse einbezogen werden. Das bedeutet nicht in jedem Fall Unantastbarkeit im Hinblick auf eigene Schulden des Kunden oder konkrete gerichtliche/behördliche Maßnahmen. Konto, Rechtsinhaberschaft und Verwahraufzeichnung werden gesondert geprüft.

Die Listungsentscheidung sollte auf schriftlichen Kriterien, technischer und rechtlicher Prüfung, Kontrolle von Interessenkonflikten und laufender Überwachung beruhen. Allein auf kommerzielle Nachfrage hin sollte nicht gelistet werden, ohne Eigenschaft, Projektteam, Verteilung, Liquidität, Smart Contract und Marktrisiko des Tokens zu bewerten.

Sie bezeichnet die sichere Übermittlung bestimmter Absender- und Empfängerangaben zusammen mit der Übertragung und die Anwendung von Kontrollen bei Transaktionen mit fehlenden Angaben. In der Türkei gelten die Vorschriften von SPK und MASAK je nach Transaktionsart, Limit, Frist und Gegenpartei-Dienstleister gemeinsam.

Nicht jede Übertragung an eine persönliche Wallet ist unbedingt verboten. Identität, Adressinhaberschaft, Risiko, Betrag, Wartezeit und zusätzliche Maßnahmen werden nach der aktuellen Regelung bewertet. Das Institut sollte eine schriftliche Risikopolitik und eine Aufzeichnungsordnung haben.

Nein. Know-your-Customer, wirtschaftlich Berechtigter, Risikoeinstufung, verstärkte Maßnahmen, Überwachung, Compliance-Programm, Schulung, interne Revision, Auskunfts- und Unterlagenpflicht, Aufbewahrung und Vorlage sowie die Vertraulichkeit der Meldung sind ebenfalls Teile des Compliance-Systems.

Nein. Verifizierung von Ausweisdokument und Person, Lebendigkeitsprüfung, Kommunikation, Risikokontrollen, Aufzeichnung, Verifizierung anhand einer amtlichen Datenquelle und Vertragsschluss werden gemeinsam behandelt. Sowohl die Branchenvorschriften als auch die Bestimmungen von MASAK sollten geprüft werden.

Dass der Name „Stable Token“ lautet, verleiht keine abschließende Rechtsnatur. Bindung an Fiat-Währung, Gelder gegen Ausgabe, Rückzahlungsrecht, Akzeptanzumfeld, Übertragung und Verwendungszweck werden geprüft. Das Recht der Türkei und die Regelung des Ziellandes erfordern eine gesonderte Bewertung.

Nein. Eine EU-Zulassung verleiht in der Türkei nicht von selbst ein Tätigkeitsrecht. Die Regeln zur Ausrichtung und Erlaubnis in der Türkei gelten gesondert. In der EU sollte, weil die MiCA-Übergangsfrist am 1. Juli 2026 endete, die aktuelle Befugnis der die Leistung erbringenden juristischen Person geprüft werden.

Eine kurze Beschreibung des Produkts, die Zielnutzer, ein Schema des Geld- oder Krypto-Flusses, die bestehende Erlaubnis/der Geschäftspartner, die Zielländer und eine Zusammenfassung des zu prüfenden Themas reichen aus. Ausführliche Gesellschafts- und Systemaufzeichnungen werden nach der Beauftragung und der Bestimmung des sicheren Austauschverfahrens stufenweise entgegengenommen.

Die Fristen werden sofort bestimmt; die betroffene Produkt- und Transaktionsversion wird gesichert; Behördenschreiben, Vertrag, Kundenmitteilung, Zahlungs- oder Krypto-Aufzeichnung und interne Entscheidungen werden zusammengetragen. Bevor eine Erklärung abgegeben wird, wird die Bedeutung der Aufzeichnungen von den Teams für Recht, Compliance und Technik gemeinsam verifiziert.