Steuerliche Meldepflichten für Kryptowerte ab 2026: Was Dienstleister, Finanzinstitute und ihre Kunden jetzt tun müssen

Die neuen Vorschriften über die steuerliche Meldung von Kryptowerten gelten nicht erst ab 2027. Das Gesetz zur Änderung und Ergänzung der bulgarischen Steuer- und Sozialversicherungsprozessordnung wurde im Staatsanzeiger Nr. 85 vom 15. September 2026 verkündet, trat jedoch rückwirkend zum 1. Januar 2026 in Kraft. Damit läuft der erste Meldezeitraum bereits. Anbieter von Kryptowerte-Dienstleistungen und bestimmte Finanzinstitute müssen ihre Sorgfaltsprüfungen zudem auch in Bezug auf Kundenbeziehungen vervollständigen, die bereits vor der Verkündung des Gesetzes begründet wurden.

Die Änderung beschränkt sich nicht auf die Einreichung einer weiteren jährlichen Meldung bei der bulgarischen Nationalen Einnahmenagentur. Sie betrifft den gesamten Prozess der Aufnahme und laufenden Betreuung von Kunden. Dazu gehören die Feststellung ihrer steuerlichen Ansässigkeit, die Identifizierung beherrschender Personen, die Prüfung der vorgelegten Selbstauskünfte, die Klassifizierung der Transaktionen und die Aufbewahrung von Nachweisen über die durchgeführten Maßnahmen. Für bestimmte Betreiber entsteht außerdem eine gesonderte Registrierungspflicht bei der Nationalen Einnahmenagentur.

Ist die Sorgfaltsprüfung nicht abgeschlossen, kann die Folge über eine verwaltungsrechtliche Sanktion hinausgehen. In bestimmten Fällen darf der Dienstleister oder das Finanzinstitut dem betreffenden Kunden keine weiteren Geschäfte oder Transaktionen ermöglichen, bis die erforderlichen Informationen vorgelegt und geprüft wurden.

Die praktische Aufgabe für das Jahr 2026 besteht daher darin festzustellen, ob das Unternehmen über hinreichend verlässliche Informationen zu seinen Kunden und deren Transaktionen verfügt, ob diese Informationen im erforderlichen Format abgerufen werden können und ob die durchgeführte Prüfung bei einer späteren Kontrolle durch die Nationale Einnahmenagentur nachvollziehbar und nachweisbar ist. Wird diese Arbeit bis unmittelbar vor der ersten Meldung im Jahr 2027 aufgeschoben, lassen sich bestimmte fehlende Informationen möglicherweise nicht mehr zuverlässig rekonstruieren.

Was sich ändert und wer betroffen ist

Die Änderungen betreffen mehrere Personengruppen, deren Pflichten jedoch nicht identisch sind. Der wesentliche Teil der neuen Regelungen richtet sich an Anbieter und Betreiber von Kryptowerte-Dienstleistungen. Sie müssen den steuerlichen Status ihrer Nutzer feststellen, bestimmen, welche Transaktionen meldepflichtig sind, und die entsprechenden Informationen jährlich an die Nationale Einnahmenagentur übermitteln.

Gleichzeitig werden die Regelungen für Finanzinstitute und Finanzkonten erweitert. Es werden neue Informationskategorien zu Kontoinhabern und beherrschenden Personen eingeführt. Bestimmte Produkte im Zusammenhang mit E-Geld und digitalen Zentralbankwährungen können ebenfalls in den Anwendungsbereich der Regelungen fallen.

Eine dritte Gruppe von Änderungen betrifft weitere Formen des automatischen Austauschs steuerlicher Informationen. Dazu gehören bestimmte Dividendenzahlungen an natürliche Personen, bestimmte grenzüberschreitende Steuervorbescheide sowie Informationen, die im Zusammenhang mit der Ergänzungssteuer für multinationale Unternehmensgruppen eingereicht werden.

Diese Entwicklungen sind Teil eines allgemeinen Trends zu größerer steuerlicher Transparenz, müssen jedoch jeweils gesondert betrachtet werden. Nicht jeder Anbieter von Kryptowerte-Dienstleistungen ist ein Finanzinstitut, nicht jedes Finanzinstitut fällt unter die Meldepflichten für Kryptowerte und die besondere Registrierung bei der Nationalen Einnahmenagentur gilt nicht für alle Marktteilnehmer in gleicher Weise.

MiCA-Zulassung und steuerliche Meldepflichten sind unterschiedliche Regelungsbereiche

Mit dem neuen Abschnitt IIIb des Kapitels 16 der Steuer- und Sozialversicherungsprozessordnung wird eine besondere Regelung für den automatischen Informationsaustausch über Kryptowerte eingeführt. Sie steht im Zusammenhang mit dem europäischen Rechtsrahmen der Richtlinie (EU) 2023/2226, die als DAC8 bekannt ist, darf jedoch nicht mit dem Zulassungsregime der Verordnung (EU) 2023/1114 über Märkte für Kryptowerte, der sogenannten MiCA-Verordnung, gleichgesetzt werden.

MiCA regelt, wer bestimmte Kryptowerte-Dienstleistungen unter welchen Voraussetzungen erbringen darf. Die Steuer- und Sozialversicherungsprozessordnung führt dagegen einen anderen Pflichtenkreis ein. Dieser betrifft die steuerliche Identifizierung der Kunden, die Feststellung der beherrschenden Personen, die Erhebung von Transaktionsdaten und deren jährliche Meldung an die Nationale Einnahmenagentur.

Eine Zulassung oder Notifizierung nach MiCA bedeutet nicht, dass damit auch die Anforderungen der Steuer- und Sozialversicherungsprozessordnung erfüllt sind. Umgekehrt bedeutet das Fehlen des Status eines nach MiCA zugelassenen Dienstleisters nicht zwangsläufig, dass die betreffende Person außerhalb des steuerlichen Melderegimes steht.

Die Steuer- und Sozialversicherungsprozessordnung erfasst nicht nur Unternehmen, die nach MiCA zur Erbringung von Kryptowerte-Dienstleistungen berechtigt sind, sondern auch bestimmte Betreiber, die relevante Dienstleistungen erbringen, ohne dieser Kategorie anzugehören. Die Prüfung darf daher nicht mit der Frage enden, ob das Unternehmen über eine Zulassung verfügt. Zu analysieren sind vielmehr die tatsächlich erbrachten Dienstleistungen, die Rolle des Unternehmens bei der Durchführung der Transaktionen, der Ort seiner Geschäftsleitung, seine steuerliche Ansässigkeit, das Vorhandensein von Zweigniederlassungen sowie die Staaten, in denen Kunden betreut oder vergleichbare Meldepflichten erfüllt werden.

Diese Prüfung ist bei internationalen Strukturen besonders wichtig. Der Kundenvertrag kann von einem Unternehmen abgeschlossen werden, während ein anderes die technische Infrastruktur betreibt und die tatsächliche Abwicklung der Transaktionen sowie die Speicherung der Kundendaten auf mehrere Rechtsträger verteilt sind. In einer solchen Konstellation ist die vertragliche Aufgabenverteilung relevant, aber nicht allein entscheidend. Es muss festgestellt werden, wer die betreffende Dienstleistung tatsächlich erbringt und auf welcher Grundlage für diesen Rechtsträger eine Registrierungs- oder Meldepflicht entsteht.

Wann sich ein Betreiber bei der Nationalen Einnahmenagentur registrieren muss

Die besondere Registrierung nach Art. 142ya¹ der Steuer- und Sozialversicherungsprozessordnung gilt für Betreiber von Kryptowerten, die in den Anwendungsbereich der Regelung fallen, aber keine Dienstleister im Sinne der MiCA-Verordnung sind. Die Registrierung muss vor Ablauf des Zeitraums abgeschlossen sein, für den die Pflicht zur Übermittlung von Informationen entsteht.

Hat ein Betreiber eine hinreichende Verbindung zu mehr als einem Mitgliedstaat und erfüllt er gleichzeitig die Registrierungsvoraussetzungen in mehreren Staaten, kann er einen dieser Staaten für die Registrierung auswählen. Dies bedeutet jedoch nicht, dass seine Verbindungen zu den übrigen Rechtsordnungen unbeachtet bleiben dürfen. Sie müssen geprüft und dokumentiert werden, damit nachvollziehbar begründet werden kann, weshalb die Registrierung und Meldung gerade in dem ausgewählten Staat erfolgen.

Im Rahmen der Registrierung sind Angaben zum Betreiber zu übermitteln. Dazu gehören seine Firma oder Bezeichnung, seine Postanschrift und elektronischen Adressen, seine Internetseiten, seine Steueridentifikationsnummern, die Staaten, in denen die meldepflichtigen Nutzer steuerlich ansässig sind, sowie die einschlägigen qualifizierten Staaten. Änderungen der registrierten Angaben müssen dem Exekutivdirektor der Nationalen Einnahmenagentur innerhalb von 14 Tagen mitgeteilt werden.

Die Registrierung ist somit keine einmalige Verwaltungsformalität. Das Unternehmen benötigt einen internen Prozess, durch den Änderungen seiner gesellschaftsrechtlichen Struktur, seiner Geschäftsleitung, seiner Internetseiten, seines Dienstleistungsangebots oder der geografischen Zusammensetzung seines Kundenstamms unverzüglich an die für die steuerliche Meldung verantwortlichen Personen weitergeleitet werden.

Wie der Kunde zu prüfen ist

Die neuen Regelungen stellen die steuerliche Ansässigkeit in den Mittelpunkt der Sorgfaltsprüfung. Bei einer natürlichen Person muss der Dienstleister eine Selbstauskunft einholen, anhand derer der Staat oder die Rechtsordnung bestimmt werden kann, in der der Nutzer steuerlich ansässig ist. Die Selbstauskunft darf nicht isoliert betrachtet werden. Sie ist mit den Informationen abzugleichen, über die der Dienstleister bereits verfügt, einschließlich der im Rahmen der Kundenidentifizierung erhobenen Unterlagen.

Bei einem Unternehmenskunden ist die Prüfung komplexer. Es muss festgestellt werden, wo der Rechtsträger selbst steuerlich ansässig ist, ob er als ausgenommene Person oder aktiver Rechtsträger einzustufen ist und ob eine oder mehrere beherrschende Personen bestehen, für die ebenfalls eine Meldepflicht entsteht. Sind solche Personen vorhanden, müssen auch ihre steuerliche Ansässigkeit und die Grundlage ihrer beherrschenden Stellung bestimmt werden.

Dies ist insbesondere bei Holdingstrukturen, Gesellschaften mit Treuhand- oder Nominee-Gesellschaftern, Trusts, Stiftungen, nicht rechtsfähigen Gebilden und internationalen Unternehmensgruppen von Bedeutung. Der Gründungsstaat eines Unternehmens entscheidet nicht immer abschließend über seine steuerliche Ansässigkeit. Der Ort der tatsächlichen Geschäftsleitung, das anwendbare ausländische Recht und das einschlägige Doppelbesteuerungsabkommen können eine gesonderte Prüfung erforderlich machen.

Die Selbstauskunft einer natürlichen Person oder einer beherrschenden Person muss unterzeichnet oder auf eine andere zulässige Weise bestätigt und spätestens zum Zeitpunkt ihres Eingangs datiert sein. Sie muss die erforderlichen Identifikations- und Steuerangaben enthalten, darunter den Staat oder die Staaten der steuerlichen Ansässigkeit und die jeweiligen Steueridentifikationsnummern, sofern solche erteilt werden. Bei Rechtsträgern müssen die Informationen außerdem eine Bestimmung ihres Status und gegebenenfalls die Identifizierung ihrer beherrschenden Personen ermöglichen.

Die Prüfung endet nicht mit dem Eingang der ursprünglichen Selbstauskunft. Ändern sich die Umstände und weiß der Dienstleister oder hat er Grund zu der Annahme, dass die vorhandenen Informationen unrichtig oder nicht mehr verlässlich sind, darf die Selbstauskunft ohne weitere Prüfung nicht weiterverwendet werden. Es muss eine neue Selbstauskunft eingeholt werden oder der Kunde muss eine hinreichende, durch Unterlagen belegte Erklärung vorlegen, welche die ursprünglich erklärten Umstände bestätigt.

Die Kundenakte darf daher nicht als statisches Archiv behandelt werden. Das Unternehmen muss Änderungen der Anschrift, der Geschäftsleitung, der Eigentumsverhältnisse, der Steueridentifikationsnummern, der Bankverbindungen oder anderer Umstände erkennen können, durch die die bereits vorliegenden Informationen infrage gestellt werden.

AML/KYC-Unterlagen können unterstützen, reichen allein jedoch nicht aus

Eine bereits durchgeführte Prüfung nach den Vorschriften zur Bekämpfung von Geldwäsche kann zur Erfüllung der neuen Anforderungen verwendet werden, ersetzt diese jedoch nicht automatisch. Die steuerliche Ansässigkeit und der Status der beherrschenden Personen müssen speziell für die Zwecke des automatischen steuerlichen Informationsaustauschs festgestellt werden.

In der Praxis sollte der Dienstleister die Selbstauskunft zur steuerlichen Ansässigkeit mit der Wohn- und Korrespondenzanschrift des Kunden, seinen Steueridentifikationsnummern, dem Gründungsstaat, dem Ort der Geschäftsleitung, den Vertretungsnachweisen, den Angaben zum wirtschaftlich Berechtigten, den Bank- und Zahlungsdaten und den sonstigen relevanten Informationen in der Kundenakte abgleichen. Weisen diese Angaben in unterschiedliche Richtungen, darf die Selbstauskunft nicht ohne weitere Prüfung übernommen werden.

Es reicht daher nicht aus, dem Verfahren zur Kundenaufnahme lediglich ein weiteres Formular hinzuzufügen. Erforderlich sind klare Regeln dazu, welche Angaben miteinander verglichen werden, wer die Prüfung vornimmt, wann der Fall einer zusätzlichen rechtlichen oder steuerlichen Beurteilung zugeführt wird und wie die abschließende Entscheidung dokumentiert wird.

Welche Geschäfte und Übertragungen gemeldet werden

Die Meldepflicht beschränkt sich nicht auf den Kauf oder Verkauf eines Kryptowerts gegen Euro oder eine andere herkömmliche Währung. Für jede relevante Art von Kryptowert sind zusammengefasste Informationen zu Käufen und Veräußerungen gegen Fiatwährung, Tauschgeschäften zwischen verschiedenen Kryptowerten, bestimmten Zahlungen für Waren und Dienstleistungen, sonstigen Übertragungen an oder von dem Nutzer sowie Übertragungen an bestimmte externe Adressen in einem Distributed Ledger zu erheben.

Für die jeweiligen Kategorien sind nicht nur die betreffenden Werte, sondern auch die Anzahl der Einheiten und die Anzahl der Transaktionen zu melden. Eine allgemeine Jahresübersicht über die Bewegungen auf dem Kundenkonto reicht daher nicht aus, wenn das System die rechtlichen und wirtschaftlichen Merkmale der einzelnen Transaktionen nicht unterscheiden kann.

Übertragungen auf externe Wallets erfordern besondere Aufmerksamkeit. Nicht jede Bewegung eines Kryptowerts stellt einen Verkauf oder Tausch dar. Der Dienstleister kann möglicherweise nicht feststellen, ob es sich bei einem Vorgang um ein Tauschgeschäft, eine Übertragung zwischen eigenen Adressen des Kunden oder eine Übertragung an eine andere Person handelt. Die neuen Regelungen sehen auch die Meldung bestimmter Übertragungen vor, bei denen die Empfängeradresse nicht als Adresse eines anderen Dienstleisters oder Finanzinstituts bekannt ist.

In der Praxis müssen die Informationssysteme zwischen Käufen und Verkäufen gegen Fiatwährung, Tauschgeschäften zwischen Kryptowerten, Übertragungen an und von dem Kunden, Übertragungen an externe Adressen und meldepflichtigen Zahlungen für Waren oder Dienstleistungen unterscheiden können. Erfolgt diese Klassifizierung nicht bereits bei der Verarbeitung der Transaktionen zuverlässig, kann sich eine spätere manuelle Rekonstruktion der gesamten Transaktionshistorie für 2026 als schwierig und fehleranfällig erweisen.

Wie der Wert der Transaktionen bestimmt wird

Bei Geschäften gegen Fiatwährung ist der in der jeweiligen Währung gezahlte oder erhaltene Betrag zu melden. Wurden im Laufe des Jahres unterschiedliche Währungen verwendet, muss der Dienstleister bei der Umrechnung eine einheitliche Methode anwenden.

Bei Tauschgeschäften zwischen Kryptowerten und bei anderen meldepflichtigen Übertragungen ist der beizulegende Zeitwert zum Zeitpunkt der jeweiligen Transaktion zu bestimmen. Dies setzt eine vorab festgelegte Bewertungsmethodik voraus, in der die Quelle der Marktdaten, der maßgebliche Bewertungszeitpunkt und das Vorgehen bei geringer Liquidität, fehlenden verlässlichen Kursen oder erheblichen Preisunterschieden zwischen verschiedenen Märkten festgelegt werden.

Es reicht nicht aus, zum Jahresende lediglich den Gesamtwert des Kundenportfolios zu berechnen. Der gemeldete Wert muss einer konkreten Transaktionskategorie zugeordnet werden können und auf einer einheitlich angewandten Methode beruhen. Bei einer späteren Kontrolle kann die Nationale Einnahmenagentur nicht nur das Endergebnis, sondern auch eine Erläuterung seiner Berechnung verlangen.

Was geschieht, wenn der Kunde die erforderlichen Informationen nicht vorlegt

Legt ein Nutzer die erforderlichen Angaben nicht vor, muss der Dienstleister zunächst eine Aufforderung und anschließend mindestens zwei schriftliche Erinnerungen übermitteln. Liegen die Informationen auch nach Ablauf von 60 Tagen seit der ersten Aufforderung nicht vor, darf der Dienstleister dem betreffenden Nutzer keine weiteren Transaktionen ermöglichen.

Durch diesen Mechanismus wird die steuerliche Sorgfaltsprüfung zu einem Bestandteil der operativen Verwaltung des Kundenkontos. Das Unternehmen muss feststellen und nachweisen können, wann die erste Aufforderung versandt wurde, welche Informationen verlangt wurden, wann die Erinnerungen erfolgten, ob der Kunde geantwortet hat, ob die Antwort ausreicht und wann die 60-Tage-Frist genau abläuft.

Außerdem muss festgelegt werden, wer die Entscheidung über die Einschränkung von Transaktionen trifft, wie diese technisch umgesetzt wird und unter welchen Voraussetzungen der Zugang wieder freigegeben werden kann. Ermöglicht die Plattform keine Beschränkung eines bestimmten Kundenkontos, kann das Unternehmen möglicherweise eine unmittelbar gesetzlich vorgeschriebene Maßnahme nicht umsetzen.

Auch der Nutzer trägt eine eigenständige Verantwortung für die vorgelegten Informationen. Eine natürliche Person oder ein Rechtsträger, die oder der in der Selbstauskunft unrichtige Angaben oder Umstände erklärt, kann mit einer Sanktion belegt werden. Bei Unternehmenskunden bedeutet dies, dass die Selbstauskunft nicht allein anhand der eingetragenen Geschäftsanschrift routinemäßig durch einen Verwaltungsmitarbeiter ausgefüllt werden sollte. Eine internationale Unternehmensstruktur, der Ort der tatsächlichen Geschäftsleitung und der Status der beherrschenden Personen können eine gesonderte rechtliche und steuerliche Beurteilung erfordern.

Fristen, die unmittelbar zu beachten sind

Die Informationen sind einmal jährlich in elektronischer Form bis zum 30. Juni des auf das Meldejahr folgenden Jahres an die Nationale Einnahmenagentur zu übermitteln. Für den ersten Meldezeitraum, der am 1. Januar 2026 beginnt, muss die erste Meldung somit bis zum 30. Juni 2027 erfolgen. Liegen für das betreffende Jahr keine meldepflichtigen Informationen vor, ist nach dem Gesetz dennoch eine entsprechende Mitteilung erforderlich.

Die Nationale Einnahmenagentur tauscht die erhaltenen Informationen anschließend innerhalb von neun Monaten nach Ablauf des Kalenderjahres mit den zuständigen Behörden der betreffenden Staaten aus. Für die Informationen über das Jahr 2026 endet diese Frist am 30. September 2027.

Von unmittelbarer Bedeutung ist jedoch vor allem die Übergangsregelung. Für Kundenbeziehungen, die zwischen dem 1. Januar 2026 und der Verkündung des Gesetzes am 15. September 2026 begründet wurden, müssen Anbieter von Kryptowerte-Dienstleistungen und Finanzinstitute die entsprechende Sorgfaltsprüfung innerhalb von drei Monaten nach der Verkündung abschließen. Praktisch bedeutet dies eine Frist bis zum 15. Dezember 2026. Ist die Prüfung nicht abgeschlossen, dürfen die betreffenden Geschäfte oder Transaktionen bis zum Abschluss der Sorgfaltsprüfung nicht zugelassen werden.

Für Nutzer von Kryptowerten, zu denen bereits am 31. Dezember 2025 eine Geschäftsbeziehung bestand, ist eine Frist bis zum 1. Januar 2027 vorgesehen. Der Wortlaut der Übergangsbestimmung ist sorgfältig zu prüfen, da er sowohl natürliche Personen als auch Rechtsträger erwähnt, zugleich aber auf die Vorschrift über die Sorgfaltsprüfung natürlicher Personen verweist. Die Sorgfaltsprüfung von Rechtsträgern und ihren beherrschenden Personen ist gesondert geregelt. Bei Unternehmenskunden sollte daher nicht ausschließlich auf den wörtlichen Verweis abgestellt werden, ohne die Gesamtregelung und den anwendbaren europäischen Rechtsrahmen zu berücksichtigen.

Der praktische Zeitplan lässt sich wie folgt zusammenfassen:

Dieser Zeitplan verdeutlicht, weshalb die Umsetzung nicht als ein erst 2027 beginnendes Projekt behandelt werden kann. Die Arbeiten an den Kundenakten, Transaktionsdaten, internen Verfahren und technischen Beschränkungen müssen bereits 2026 durchgeführt werden.

Sanktionen und weitere Folgen bei Verstößen

Das Gesetz sieht je nach Art des Verstoßes unterschiedliche Sanktionen vor. Eine juristische Person oder ein Einzelkaufmann, die oder der die erforderlichen jährlichen Informationen nicht übermittelt, kann mit einer Vermögenssanktion zwischen 5.000 und 10.000 Euro belegt werden. Gesonderte Sanktionen gelten für die unterlassene Mitteilung bei fehlenden meldepflichtigen Daten, die Übermittlung unvollständiger oder unrichtiger Informationen, Verstöße gegen die Sorgfaltsprüfung, die Ausübung einer Tätigkeit ohne erforderliche Registrierung und die Nichteinhaltung der Aufbewahrungspflichten.

Bei unvollständigen oder unrichtigen Angaben sowie bei Verstößen gegen die Sorgfaltsprüfung kann die Sanktion für jeden betroffenen Nutzer oder jede betroffene beherrschende Person gesondert festgesetzt werden. Bei einem größeren Kundenstamm beschränkt sich das Risiko daher nicht auf eine einzige allgemeine Sanktion für die eingereichte Meldung.

Eine eigenständige Verantwortlichkeit entsteht auch dann, wenn ein Betreiber Änderungen seiner Registrierungsdaten nicht fristgerecht mitteilt oder Transaktionen zulässt, obwohl der Kunde die Informationsanforderungen nicht erfüllt hat. Bei einem wiederholten Verstoß werden die Sanktionen in doppelter Höhe verhängt.

Das Risiko ist nicht nur finanzieller Natur. Bei fortgesetzter Nichterfüllung kann die Registrierung des Betreibers beendet werden. Bei einem nicht registrierten Betreiber kann die Nationale Einnahmenagentur zudem bei Gericht die Sperrung des Zugangs zu der betreffenden Internetseite oder Anwendung beantragen. Ein Verstoß gegen die steuerlichen Meldepflichten kann daher die Möglichkeit zur Fortführung der Geschäftstätigkeit unmittelbar beeinträchtigen.

Was bei einer Kontrolle nachweisbar sein muss

Die Nationale Einnahmenagentur kann die Einhaltung der neuen Regelungen kontrollieren, Unterlagen und Informationen anfordern, die Qualität der gemeldeten Daten prüfen und verbindliche Anweisungen erteilen. Es reicht daher nicht aus, dass die Jahresmeldung lediglich formal richtige Werte enthält. Der Dienstleister muss nachweisen können, wie diese Werte ermittelt wurden.

Es muss nachvollziehbar sein, wie der Status des Dienstleisters bestimmt, der Kunde identifiziert und seine steuerliche Ansässigkeit anhand bestimmter Unterlagen festgestellt wurde. Ebenso muss erkennbar sein, welche Personen als beherrschende Personen eingestuft wurden und auf welcher Grundlage diese Einstufung erfolgte. Die erhaltenen Selbstauskünfte, die Prüfung ihrer Verlässlichkeit, spätere Aktualisierungen und Entscheidungen bei festgestellten Abweichungen müssen vorgelegt werden können.

Dasselbe gilt für die Transaktionsdaten. Das Unternehmen muss erklären können, wie die einzelnen Transaktionen klassifiziert, ihre beizulegenden Zeitwerte ermittelt, welche Wechselkurse und Datenquellen verwendet und wie festgestellte Fehler korrigiert wurden.

Bei Kunden, die keine Informationen vorgelegt haben, müssen Nachweise über die erste Aufforderung, die beiden Erinnerungen, den Ablauf der 60-Tage-Frist, die verhängte Beschränkung und deren spätere Aufhebung vorhanden sein. Die Unterlagen und Daten zur Sorgfaltsprüfung und Meldung sind für einen Zeitraum von mindestens fünf und höchstens zehn Jahren nach Ablauf des betreffenden Kalenderjahres aufzubewahren.

Was sich für Finanzinstitute ändert

Die Änderungen erweitern auch die Informationen, die Finanzinstitute in Bezug auf Finanzkonten erheben und melden müssen. Zu den neuen Angaben gehört, ob der Kontoinhaber eine gültige Selbstauskunft vorgelegt hat, auf welcher Grundlage eine Person als beherrschende Person gilt, ob für beherrschende Personen gültige Selbstauskünfte vorliegen, um welche Kontoart es sich handelt, ob das Konto als bestehendes oder neues Konto einzustufen ist und ob es sich um ein Gemeinschaftskonto handelt, einschließlich der Anzahl seiner Inhaber.

Auch die Verbindung zu AML/KYC-Verfahren wird verstärkt. Aktualisiert ein Finanzinstitut die Informationen zu einem bestehenden Konto aufgrund der Vorschriften zur Bekämpfung von Geldwäsche, kann dadurch zugleich die Pflicht entstehen, Angaben für den automatischen steuerlichen Informationsaustausch zu erheben oder zu aktualisieren. Regelmäßige KYC-Überprüfungen sollten daher nicht getrennt von den steuerlichen Meldeprozessen verwaltet werden.

Geändert werden außerdem die Definitionen des Einlageninstituts und des Einlagenkontos. Rechtsträger, die E-Geld oder digitale Zentralbankwährungen zugunsten von Kunden halten, können in den Anwendungsbereich der Regelungen fallen. Dies ist für Zahlungsinstitute, E-Geld-Institute und andere Fintech-Unternehmen von Bedeutung, die bestimmte Produkte bisher möglicherweise nicht als Finanzkonten für die Zwecke des automatischen Informationsaustauschs behandelt haben.

Die Beurteilung sollte nicht allein anhand der kommerziellen Bezeichnung des Produkts erfolgen. Zu prüfen ist, wie das Produkt tatsächlich funktioniert, ob ein Geldwert zugunsten des Kunden gehalten wird, welche Rechte dem Kunden zustehen und ob das Produkt unter die neuen gesetzlichen Begriffsbestimmungen fällt.

Für Produkte, die ab dem 1. Januar 2026 als Finanzkonten behandelt werden, unterscheidet das Gesetz zwischen bestehenden und neuen Konten. Ein am 31. Dezember 2025 geführtes Konto kann als bestehendes Konto behandelt werden, während ein am oder nach dem 1. Januar 2026 eröffnetes Konto den Vorschriften für neue Konten unterliegt.

Für die Meldezeiträume 2026 und 2027 müssen bestimmte zusätzliche Informationen zu bestehenden Konten nur dann übermittelt werden, wenn sie in elektronisch durchsuchbaren Aufzeichnungen des Instituts vorhanden sind. Dies beseitigt jedoch nicht die Notwendigkeit einer Prüfung. Das Finanzinstitut muss feststellen, welche Informationen tatsächlich in seinen Systemen gespeichert sind, ob sie abgerufen werden können und ob sie dem richtigen Kunden, Konto und der richtigen beherrschenden Person zugeordnet werden können.

Weitere neue Bereiche des automatischen Informationsaustauschs

Die Änderungen erfassen auch bestimmte Dividendenzahlungen an natürliche Personen, soweit die entsprechenden Informationen nicht bereits nach den Regelungen für Finanzkonten gemeldet werden. Die Änderung führt nicht selbst zu einer neuen Besteuerung der Dividende, sondern erhöht die Transparenz zwischen den Steuerverwaltungen. Praktisch relevant sind insbesondere Zahlungen mit grenzüberschreitendem Bezug, bei denen sich der Zahlende, der Intermediär und der Empfänger in unterschiedlichen Staaten befinden. Die Angaben zur Ausschüttung, zum Empfänger und zu dessen steuerlicher Ansässigkeit müssen mit den Buchhaltungsunterlagen und Steuererklärungen übereinstimmen.

Erweitert wird auch der Austausch bestimmter grenzüberschreitender Steuervorbescheide, die natürliche Personen betreffen. Die Regelung ist unter anderem anwendbar, wenn der im Steuervorbescheid genannte Wert der Transaktion oder der Reihe von Transaktionen 1.500.000 Euro übersteigt oder wenn der Vorbescheid die steuerliche Ansässigkeit der natürlichen Person bestimmt. Dies ist bei hochwertigen Investitionsstrukturen, einem Wechsel der steuerlichen Ansässigkeit, der internationalen Vermögensverwaltung und anderen grenzüberschreitenden Gestaltungen von Bedeutung.

Das Gesetz regelt außerdem den Austausch von Informationen aus Erklärungen im Zusammenhang mit der globalen Mindestbesteuerung multinationaler Unternehmensgruppen. Für die betroffenen Gruppen besteht die Aufgabe nicht nur darin, sicherzustellen, dass die Erklärung von dem richtigen Rechtsträger eingereicht wird. Es muss auch geprüft werden, welche Informationen im allgemeinen Teil und in den einzelnen länderbezogenen Abschnitten enthalten sind, an welche Staaten sie übermittelt werden und ob die lokalen Daten mit der Gruppenerklärung übereinstimmen. Eine Abweichung zwischen den Angaben eines lokalen Unternehmens und den Informationen auf Gruppenebene kann ein Risiko begründen, selbst wenn jede einzelne Meldung formal korrekt erscheint.

Bedeutsam ist auch die Erweiterung der zulässigen Verwendung der ausgetauschten Informationen. Unter den gesetzlich festgelegten Voraussetzungen können diese Informationen nicht nur für direkte Steuern, sondern auch für die Mehrwertsteuer, andere indirekte Steuern, Zölle, Maßnahmen zur Bekämpfung von Geldwäsche und bestimmte restriktive Maßnahmen der Europäischen Union relevant sein. Eine Abweichung, die im Rahmen eines Melderegimes entsteht, kann daher auch bei einer anderen Form der steuerlichen oder regulatorischen Kontrolle festgestellt und verwendet werden.

Wesentliche praktische Risiken

Was Unternehmen jetzt sinnvollerweise tun sollten

Die Vorbereitung sollte mit der Bestimmung des genauen Status des Unternehmens und der daraus folgenden Pflichten beginnen. Es ist festzustellen, ob das Unternehmen ein nach MiCA zugelassener Dienstleister, ein Betreiber außerhalb dieser Kategorie, ein Finanzinstitut oder eine nicht von den Regelungen erfasste Person ist. Bei einer internationalen Struktur muss die Prüfung auch die Verteilung der Funktionen zwischen den verschiedenen Unternehmen, Zweigniederlassungen und technischen Betreibern erfassen.

Im nächsten Schritt ist der Kundenstamm nach dem Zeitpunkt der Begründung der jeweiligen Geschäftsbeziehung zu überprüfen. In der Praxis ist zwischen Kunden zu unterscheiden, die bereits am 31. Dezember 2025 betreut wurden, Kunden, die zwischen dem 1. Januar und dem 15. September 2026 aufgenommen wurden, und Kunden, die nach der Verkündung des Gesetzes aufgenommen wurden. Für jede Gruppe ist die einschlägige Übergangsfrist anzuwenden und zu prüfen, ob die vorhandenen Unterlagen den neuen Anforderungen entsprechen.

Im Rahmen dieser Prüfung ist festzustellen, ob eine gültige Selbstauskunft zur steuerlichen Ansässigkeit vorliegt, ob diese mit den übrigen Angaben in der Kundenakte übereinstimmt, ob die beherrschenden Personen identifiziert wurden und ob Hinweise auf eine spätere Änderung der Umstände bestehen. Bei Unternehmenskunden mit internationaler Struktur kann eine gesonderte Prüfung erforderlich sein, anstatt lediglich ein Standardformular administrativ auszufüllen.

Parallel zur Prüfung der Kundenakten sollten die Transaktionsdaten für den gesamten Zeitraum ab dem 1. Januar 2026 überprüft werden. Die Systeme müssen die einzelnen Transaktionskategorien unterscheiden und die jeweiligen Werte, die Anzahl der Einheiten und die Anzahl der Transaktionen bereitstellen können. Außerdem muss eine einheitliche Methodik zur Bestimmung des beizulegenden Zeitwerts bestehen, die bei einer Kontrolle sachlich verteidigt werden kann.

Für Fälle, in denen der Kunde die erforderlichen Informationen nicht vorlegt, muss ein gesondertes Verfahren eingerichtet werden. Die internen Regelungen sollten bestimmen, wer die erste Aufforderung versendet, wer die Erinnerungen und die 60-Tage-Frist überwacht, wer entscheidet, ob die erhaltene Antwort ausreicht, wer eine Beschränkung von Transaktionen anordnet und wie diese technisch umgesetzt wird.

Schließlich muss eine vollständige Nachweisdokumentation organisiert werden. Selbstauskünfte, Unterlagen zur Sorgfaltsprüfung, Systemprotokolle, verwendete Bewertungen, Kundenkorrespondenz, Entscheidungen über Beschränkungen und spätere Korrekturen müssen dem betreffenden Kunden und Meldezeitraum eindeutig zugeordnet werden können.

Bevor das Unternehmen zu dem Ergebnis gelangt, auf die neuen Regelungen vorbereitet zu sein, sollte es prüfen, ob es seinen eigenen Status zutreffend bestimmt, sämtliche Kundengruppen erfasst, gültige Selbstauskünfte eingeholt und mit den AML/KYC-Daten abgeglichen, die beherrschenden Personen identifiziert und sichergestellt hat, dass seine Transaktionssysteme die erforderlichen Informationen bereitstellen können. Ebenso wichtig sind ein tatsächlich funktionsfähiger Mechanismus zur Beschränkung von Transaktionen, eine klare Verteilung der Verantwortlichkeiten zwischen Rechts-, Steuer-, Compliance-, IT- und operativen Funktionen sowie ein interner Zeitplan für die erste Meldung bis zum 30. Juni 2027.

Was die Änderungen für Nutzer von Kryptowerte-Dienstleistungen bedeuten

Die neuen Regelungen betreffen nicht nur Börsen, Plattformen und andere Dienstleister. Unternehmen und natürliche Personen, die solche Dienstleistungen nutzen, müssen mit detaillierteren Auskunftsanforderungen zu ihrer steuerlichen Ansässigkeit, ihrer Unternehmensstruktur und ihren beherrschenden Personen rechnen.

Bei internationalen Strukturen sollten diese Informationen vor ihrer Übermittlung geprüft werden. Der Gründungsstaat eines Unternehmens bestimmt nicht immer abschließend dessen steuerliche Ansässigkeit. Auch die Anschrift einer natürlichen Person kann unzureichend sein. Ebenso beantwortet der für AML-Zwecke festgestellte wirtschaftlich Berechtigte nicht automatisch sämtliche Fragen zu den beherrschenden Personen für Zwecke des steuerlichen Informationsaustauschs.

Es sollte auch nicht davon ausgegangen werden, dass eine bereits vorgelegte Selbstauskunft unabhängig von späteren Änderungen weiterhin gültig bleibt. Ändert ein Unternehmen den Ort seiner Geschäftsleitung, seine Eigentumsverhältnisse oder seine Struktur, zieht eine natürliche Person in einen anderen Staat um oder treten andere relevante Umstände ein, müssen die Informationen aktualisiert werden.

Internationale Unternehmensgruppen sollten die Angaben koordinieren, die sie verschiedenen Plattformen und Finanzinstituten zur Verfügung stellen. Ein Widerspruch zwischen zwei Selbstauskünften zur steuerlichen Ansässigkeit oder zwischen einer Selbstauskunft und den Gesellschaftsunterlagen kann im Rahmen des automatischen Informationsaustauschs zwischen den Steuerverwaltungen festgestellt werden.

Praktisches Fazit

Die im September 2026 verabschiedeten Änderungen der Steuer- und Sozialversicherungsprozessordnung schaffen ein umfassendes System für die Erhebung, Prüfung und den Austausch von Informationen über Kryptowerte. Für Dienstleister bedeutet dies nicht nur eine jährliche Datenmeldung, sondern eine Änderung der Art und Weise, wie Kunden aufgenommen und betreut, beherrschende Personen identifiziert, Transaktionen klassifiziert und Entscheidungen dokumentiert werden.

Für Finanzinstitute werden sowohl die zu Kontoinhabern und Konten zu erhebenden Informationen als auch der Kreis der Finanzprodukte erweitert, die unter die Regelungen fallen können. Gleichzeitig wird der automatische Informationsaustausch auf bestimmte Dividenden, grenzüberschreitende Steuervorbescheide und Informationen im Zusammenhang mit der globalen Mindestbesteuerung multinationaler Unternehmensgruppen ausgeweitet.

Die wichtigste praktische Schlussfolgerung besteht darin, dass die Vorbereitung nicht bis zur ersten Meldung im Jahr 2027 aufgeschoben werden kann. Der Meldezeitraum beginnt am 1. Januar 2026, und bestimmte Sorgfaltsprüfungen müssen noch vor Ende des Jahres 2026 abgeschlossen werden. Werden die Kundenakten und Transaktionsdaten nicht rechtzeitig überprüft, können die Folgen nicht nur in einer Sanktion bestehen. Möglich sind auch die notwendige Beschränkung von Transaktionen, die Beendigung einer Registrierung oder Schwierigkeiten beim Nachweis, dass die jeweiligen Pflichten erfüllt wurden.

Der sachgerechte Ansatz verbindet daher eine rechtliche, steuerliche, dokumentarische und technische Prüfung. Es muss festgestellt werden, wer in den Anwendungsbereich fällt, welche Kundeninformationen fehlen, wie die steuerliche Ansässigkeit und die Kontrolle bestimmt und nachgewiesen werden, ob die Transaktionen zutreffend klassifiziert werden können und ob die Informationssysteme tatsächlich in der Lage sind, die gesetzlichen Anforderungen zu erfüllen.

Die Rechtsanwaltsgesellschaft „Vassilev und Partner“ kann bei der Bestimmung der anwendbaren Regelungen, der Prüfung von Kunden- und Compliance-Verfahren, der Erstellung und Überprüfung von Selbstauskünften und internen Richtlinien, der Analyse grenzüberschreitender Strukturen sowie bei der Organisation des für eine spätere Kontrolle durch die Nationale Einnahmenagentur erforderlichen Dokumentationsrahmens unterstützen.

Hinweis

Die in diesem Artikel enthaltenen Informationen dienen ausschließlich allgemeinen Informationszwecken und sollen einen grundlegenden Überblick über das behandelte Thema auf Grundlage der zum Zeitpunkt der Veröffentlichung geltenden Rechtslage vermitteln. Obwohl wir uns um größtmögliche inhaltliche Genauigkeit bemühen, können sich die Rechtsvorschriften und ihre Auslegung ändern. Die Prüfung des aktuellen Wortlauts der anwendbaren Bestimmungen und ihrer Anwendung auf einen konkreten Sachverhalt erfordert eine individuelle Rechtsberatung. Für Schäden, die aus einer selbstständigen Verwendung der in diesem Artikel enthaltenen Informationen ohne vorherige individuelle Rechtsberatung entstehen, übernehmen wir keine Haftung. Dieser Artikel stellt kein Rechtsgutachten dar.