Die kurze Antwort
Ein VASP ist ein Virtual Asset Service Provider, also ein Dienstleister für virtuelle Vermögenswerte: ein Unternehmen, das für andere Dienstleistungen rund um virtuelle Vermögenswerte erbringt. Dazu gehören Tausch, Übertragung, Verwahrung oder Verwaltung sowie Finanzdienstleistungen im Zusammenhang mit dem Angebot oder Verkauf durch einen Emittenten. Zentralisierte Börsen, Zahlungsdienste und Verwahrer sind typische Beispiele. Welche Pflichten zu Zulassung, kundenbezogenen Sorgfaltsmaßnahmen, Monitoring, Aufzeichnungen und übertragungsbegleitenden Informationen bestehen, hängt von den Tätigkeiten und dem geltenden Recht ab. Im VASP-Compliance-Hub finden Sie die zugehörigen Leitfäden.
Die Abkürzung steht für Virtual Asset Service Provider; die ausgeschriebene Bezeichnung ist der formelle Begriff. Er stammt von der Financial Action Task Force, dem standardsetzenden Gremium, dessen Empfehlungen die Gesetze zur Geldwäschebekämpfung in den meisten Ländern prägen. Die FATF überarbeitete ihre Standards im Oktober 2018 und im Juni 2019 und veröffentlichte im Juni 2019 Leitlinien zu virtuellen Vermögenswerten, wie die Chronologie des FSB dokumentiert.
Es lohnt sich, den unscharfen Ausdruck „Krypto-Unternehmen“ davon abzugrenzen. Viele Unternehmen haben mit Krypto zu tun, ohne VASPs zu sein: ein Softwareanbieter ohne Zugriff auf Kundengelder, ein Miner, der seine eigenen Coins verkauft, oder ein Datenanbieter. VASP ist enger gefasst und präziser. Der Begriff knüpft an Tätigkeiten an, die für andere ausgeführt werden. Die veröffentlichte VASP-Definition der irischen Zentralbank nennt fünf Kategorien, darunter Finanzdienstleistungen im Zusammenhang mit Emittenten. Diese Seite fasst typische Beispiele für Tausch, Übertragung und Verwahrung zusammen, ohne sie als abschließende Liste darzustellen.
Welche Tätigkeiten Sie zum VASP machen
Entscheidend ist die Tätigkeit, nicht der Marktauftritt. Typische Dienstleistungen sind der Tausch zwischen virtuellen Vermögenswerten und Fiatgeld oder anderen virtuellen Vermögenswerten, Übertragungen sowie die Verwahrung oder Verwaltung für Kunden. Auch Finanzdienstleistungen im Zusammenhang mit Emittenten können unter VASP-Definitionen fallen. Den Geltungsbereich bestimmt das anwendbare Recht; die folgenden Beispiele veranschaulichen typische Dienstleistungsgruppen.
Zentralisierte Börsen sind der eindeutigste Fall. Käufer und Verkäufer zusammenführen, Orderbücher führen, Bitcoin in Euro umtauschen: Jede Kernfunktion fällt unter die Bereiche Tausch und Übertragung. Wenn eine Plattform es einem Kunden ermöglicht, mit einem anderen zu handeln, lässt sich nur schwer begründen, warum sie nicht unter die Definition fallen sollte.
Zahlungs- und Geldtransferdienste bilden die zweite Gruppe. Ein Dienst, über den ein Händler Stablecoins annehmen und Fiatgeld erhalten kann oder der Krypto zwischen einem Zahler in einem Land und einem Empfänger in einem anderen bewegt, überträgt virtuelle Vermögenswerte. Die Kryptowerte werden zwischen Personen bewegt. Genau an diese Tätigkeit knüpft die Definition an, unabhängig davon, wie das Marketing das Produkt bezeichnet.
Anbieter verwahrender Wallets bilden die dritte Gruppe. Schlüssel aufbewahren, Konten verwalten oder den Zugang für Kunden wiederherstellen fällt unter Verwahrung. Die Vermögenswerte gehören dem Kunden; der Anbieter kontrolliert ihre Bewegung. Diese Kontrolle ist es, die die Definition erfasst.
Grenzfälle gibt es, und es wäre nicht ehrlich, das Gegenteil zu behaupten. Manche dezentralen Strukturen geben an, ganz ohne Betreiber auszukommen. Aufsichtsbehörden beschäftigen sich seit Jahren damit, wann ein Frontend oder eine Governance-Ebene genügend Kontrolle ausübt, um als Dienstleister zu gelten. Die Entwicklung ist klar: Wo ein Unternehmen Kundengelder kontrolliert oder sie für Kunden bewegt, sehen Aufsichtsbehörden in der Regel einen VASP. Wenn Ihre Struktur tatsächlich ein Grenzfall ist, muss das anhand des Definitionstextes und mit rechtlicher Beratung geklärt werden, nicht anhand eines Blogbeitrags.
Drei typische Dienstleistungsgruppen im Vergleich, keine abschließende rechtliche Definition:
| Tätigkeit | So sieht sie in der Praxis aus | Was den Status begründet |
|---|---|---|
| Tausch | Kunden tauschen Bitcoin gegen Euro oder einen Coin gegen einen anderen | Jedes für Kunden betriebene Tauschgeschäft |
| Übertragung | Eine Zahlungsinfrastruktur bewegt Krypto zwischen einem Zahler und einem Empfänger | Vermögenswerte werden zwischen Personen bewegt, unabhängig von der Produktbezeichnung |
| Verwahrung | Ein Dienst bewahrt Schlüssel auf, verwaltet Wallets oder stellt den Zugang wieder her | Kontrolle über Kundenvermögen, auch nur vorübergehend |
Zwei Dinge wird diese Seite nicht tun: konkrete Unternehmen als VASP oder Nicht-VASP benennen und irgendeine Liste als vollständig bezeichnen. Rechtsordnungen führen eigene Register, und wer wo zugelassen ist, ändert sich monatlich. Länderübergreifend brauchbar ist die Prüfung anhand der Tätigkeit. Deshalb stützt sich dieser Leitfaden darauf.
Die zugehörigen Leitfäden zu Zulassung und Compliance finden Sie im VASP-Compliance-Hub.
VASP und CASP: Zwei Regelwerke, dieselbe Grundidee
CASP steht für Crypto-Asset Service Provider, auf Deutsch Anbieter von Kryptowerte-Dienstleistungen. Das ist die Bezeichnung der EU unter MiCA für nahezu dieselbe Gruppe von Unternehmen. VASP ist der international etablierte Begriff; CASP steht im EU-Regelwerk und in den zugehörigen Zulassungsunterlagen. Ein Unternehmen in Frankfurt ist beides zugleich: ein VASP in internationalen Leitlinien und ein CASP in seiner Zulassung.
MiCA, die EU-Verordnung über Märkte für Kryptowerte, trat als einheitliches Regelwerk mit einer eigenen Zulassung für Kryptowerte-Dienstleistungen in Kraft. Der Verordnungstext definiert den CASP und seine Tätigkeiten. Die Definitionen orientieren sich eng an denen der FATF: Tausch, Übertragung und Verwahrung sowie weitere Ausführungs- und Beratungsdienstleistungen. Die Überschneidung ist beabsichtigt, denn beide Regelwerke richten sich im Kern an dieselbe Gruppe von Unternehmen.
Für ein Compliance-Team hebt diese Überschneidung die Unterschiede beim Dienstleistungsumfang, bei der Zulassung und bei den gesetzlichen Pflichten nicht auf. MiCA enthält eigene Zulassungsanforderungen, und nationale VASP-Vorschriften können andere Kriterien zur Einordnung der Tätigkeiten verwenden. Der Leitfaden zu Lizenz und Registrierung behandelt die Zulassungsentscheidung in der EU und andernorts.
Eine praktische Besonderheit sollten Sie kennen: Innerhalb der EU ermöglicht eine CASP-Zulassung das Passporting in andere Mitgliedstaaten. Deshalb prüfen so viele Antragsteller zunächst EU-Rechtsordnungen. Außerhalb der EU steht jedes Regelwerk für sich. An dieser Weggabelung setzt der Zulassungsleitfaden an.
Warum der Begriff für Sie wichtig ist
Die Bezeichnung VASP weist darauf hin, dass ein Unternehmen unter einen regulierten Rahmen fallen kann. Ermitteln Sie, welche Pflichten zu Zulassung, kundenbezogenen Sorgfaltsmaßnahmen, Monitoring, Aufbewahrung von Aufzeichnungen und übertragungsbegleitenden Informationen nach lokalem Recht gelten, einschließlich des jeweiligen Geltungsbeginns. Gehen Sie nicht davon aus, dass eine bestehende Lizenz oder das Ausbleiben einer schriftlichen Mitteilung diese Anforderungen entfallen lässt.
Viele traditionelle Institute, die in den Kryptobereich einsteigen, begegnen dem Begriff genau auf diese Weise. Eine Bank oder ein Zahlungsunternehmen führt eine Krypto-Funktion ein, nimmt an, dass die bestehenden Lizenzen sie abdecken, und erfährt dann, dass die Krypto-Tätigkeit einem eigenen, spezifischen Regelwerk unterliegt. Die Lücke zwischen „Wir sind bereits reguliert“ und „Wir sind für diese Tätigkeit reguliert“ ist der Ausgangspunkt der Probleme.
Klären Sie, ob die Definition auf Ihre Tätigkeiten zutrifft, und bestimmen Sie den Weg zur Zulassung oder Registrierung. Bereiten Sie die erforderlichen AML-Kontrollen, das Personal, die Tools und die Nachweise vor oder während der Antragstellung vor. Halten Sie anschließend Monitoring und Aufzeichnungen während des gesamten Betriebs aufrecht. Zu jedem Schritt gibt es einen Leitfaden in dieser Reihe; der VASP-Compliance-Hub bietet den Überblick.
Auch die Prüfung des eigenen Status ist kein einmaliger Vorgang. Produkte verändern sich: Eine Verwahrfunktion wird eingeführt, ein OTC-Handelsbereich wird eröffnet, eine Auszahlungsinfrastruktur wird auf Stablecoins umgestellt. Jede Änderung macht eine erneute Prüfung anhand der Tätigkeiten erforderlich. Die verlässliche Vorgehensweise ist, diese Prüfung immer dann zu wiederholen, wenn das Produkt etwas Neues mit den Vermögenswerten anderer Personen tut.
Risiken vor Aufnahme des Betriebs prüfen
Unabhängig vom Stand Ihrer Unterlagen bleibt die erste betriebliche Gewohnheit dieselbe: Prüfen Sie, mit wem Sie es zu tun haben, bevor Gelder bewegt werden. Nach der Registrierung auf der BlockSec-Website erhalten Sie drei kostenlose Risikoprüfungen pro Monat. Jede liefert innerhalb von Sekunden eine Einstufung der Adresse auf einer fünfstufigen Risikoskala. Das ist der kostengünstigste Weg, um sich ein Bild von den Kennzeichnungen zu machen.
Diese Gewohnheit entwickelt sich später zur oben beschriebenen Monitoring-Pflicht weiter. Sie beginnt jedoch als manueller Ablauf: Adresse eingeben, Risikoeinstufung erhalten, Entscheidung dokumentieren. Wenn das Volumen das übersteigt, was eine Person zuverlässig prüfen kann, werden die Prüfungen in die Verarbeitungskette integriert. Diesen Übergang behandelt der Leitfaden zum Transaktionsmonitoring gesondert.
Für die Definitionsfragen, die diese Seite aufgeworfen, aber nicht abschließend geklärt hat, sind die beiden oben verlinkten Primärquellen maßgeblich: die FATF-Empfehlungen für den internationalen Begriff und MiCA für den EU-Begriff. Für alle betrieblichen Aufgaben, die aus der Einordnung folgen, bietet der VASP-Hub die Orientierung.