Mutterhaus in der EU, Tochter in der Schweiz – oder umgekehrt? Ob ein Schweizer Finanzinstitut unmittelbar oder mittelbar von neuen EU-Regulierungen betroffen ist, hängt weniger vom Sitz des Instituts als von seiner Einbindung in eine Unternehmensgruppe und der genutzten Infrastruktur ab. Insbesondere beim EU-AML-Paket sowie bei PSD3 und der Payment Services Regulation (PSR) entscheidet die Konzernstruktur darüber, ob regulatorische Vorgaben direkt gelten oder faktisch entlang der Wertschöpfungs- und Zahlungskette auf Schweizer Institute ausstrahlen. (Ausführungen zu den Grundlagen der beiden Reformen finden sich in unseren früheren Beiträgen: AMLR, AMLD6 & AMLA bzw. PSD3 und PSR.)
AML: Die Richtung der Ausstrahlung ist entscheidend
Art. 16 und 17 der Anti-Money Laundering Regulation (AMLR) regeln ausdrücklich, wie gruppenweite AML/CFT-Anforderungen auf Unternehmensgruppen mit Einheiten ausserhalb der EU wirken.
Befindet sich die Muttergesellschaft in der EU und eine Tochtergesellschaft in der Schweiz, muss die Mutter sicherstellen, dass gruppenweite Strategien, Verfahren und Kontrollen auch von der Schweizer Tochter umgesetzt werden (Art. 16 Abs. 1 AMLR). Stehen dem zwingende Vorschriften des Drittstaatsrechts entgegen – etwa Geheimhaltungs- oder Datenschutzbestimmungen –, sind zusätzliche risikomindernde Massnahmen zu treffen (Art. 17 AMLR). Reichen diese nicht aus, kann die zuständige Aufsichtsbehörde als letztes Mittel Einschränkungen einzelner Geschäftsbeziehungen, Transaktionen oder Geschäftstätigkeiten verlangen.
Liegt hingegen die Muttergesellschaft in der Schweiz und besteht lediglich eine EU-Tochtergesellschaft, entfaltet die AMLR keine unmittelbare Wirkung gegenüber der Schweizer Muttergesellschaft. Diese darf jedoch die Einhaltung der AMLR durch ihre EU-Tochter nicht beeinträchtigen und muss insbesondere die für die gruppenweite Geldwäschereibekämpfung erforderlichen Informationen und Prozesse unterstützen (Art. 16 Abs. 3 AMLR).
Darüber hinaus bringt das EU-AML-Paket weitere wesentliche Neuerungen. Bestimmte AML/CFT-Kernfunktionen und wesentliche Risikobeurteilungen dürfen künftig nicht vollständig auf externe Dienstleister übertragen werden; die Konkretisierung durch Leitlinien der neuen Anti-Money Laundering Authority (AMLA) wird ab 2027 erwartet. Zudem wird die Umgehung von Finanzsanktionen als eigenständiger Risikofaktor in die Risikoanalyse aufgenommen. Neu gilt EU-weit ausserdem eine Bargeldobergrenze von EUR 10'000 für entsprechende Transaktionen sowie ein erweitertes Sorgfaltspflichtenregime für Händler hochwertiger Güter, etwa im Bereich Schmuck, Fahrzeuge, Luftfahrzeuge oder Wasserfahrzeuge.
PSD3: Wirkung nach Rechtsträger und Infrastruktur unterscheiden
Auch bei PSD3 und der Payment Services Regulation (PSR) ist inzwischen mehr Klarheit über den Zeitplan geschaffen worden. Nach der politischen Einigung zwischen Rat und Europäischem Parlament wurden die finalen Kompromisstexte veröffentlicht. Nach Inkrafttreten gelten gestaffelte Übergangsfristen für die nationale Umsetzung der PSD3, die unmittelbare Anwendbarkeit der PSR sowie bestehende Zulassungen.
Ob ein Schweizer Institut von PSD3 oder der PSR betroffen ist, hängt von der jeweiligen Konstellation ab:
- EU-Tochtergesellschaft: Sie unterliegt vollständig den Anforderungen von PSD3 und PSR im jeweiligen Sitzstaat. Die Schweizer Muttergesellschaft muss die hierfür erforderlichen gruppenweiten Governance-, Risiko- und Kontrollstrukturen bereitstellen.
- EU-Zweigniederlassung: Erbringt die Zweigniederlassung selbst Zahlungsdienste oder ist sie in deren Erbringung eingebunden, können die entsprechenden PSD3- und PSR-Anforderungen unmittelbar auf sie Anwendung finden. Erfolgt die Dienstleistung hingegen ausschliesslich über das Schweizer Head Office, richtet sich die regulatorische Beurteilung nach dieser konkreten Ausgestaltung.
- Gruppenweite Infrastruktur: APIs, Fraud-Monitoring-Systeme oder Outsourcing-Lösungen werden in der Praxis häufig konzernweit betrieben. Dadurch wirken regulatorische Anforderungen oftmals auch auf Schweizer Systeme, Reporting-Prozesse oder konzerninterne Verträge, obwohl hierfür keine unmittelbare gesetzliche Verpflichtung besteht.
- EU-Kunden ohne EU-Präsenz: Verfügt ein Institut über keine Niederlassung in der EU, betreut jedoch EU-Kunden oder nutzt SEPA sowie europäische Zahlungsverkehrsinfrastrukturen, entsteht in der Regel keine unmittelbare Anwendbarkeit von PSD3 oder PSR. Vertragliche Anforderungen von Korrespondenzbanken, Clearingstellen oder anderen Marktteilnehmern können jedoch dazu führen, dass einzelne regulatorische Standards faktisch übernommen werden müssen.
Für die Praxis ist deshalb zwischen zwei Ebenen zu unterscheiden: Einerseits stellt sich die rechtliche Frage, ob ein Institut überhaupt Normadressat der europäischen Regelung ist. Andererseits können dieselben Vorgaben über gemeinsam genutzte Infrastrukturen oder vertragliche Anforderungen auch ohne unmittelbare gesetzliche Verpflichtung faktisch verbindlich werden.
Neu im Blickfeld: FiDA
Mit der Financial Data Access Regulation (FiDA) schafft die EU den regulatorischen Rahmen für Open Finance. Aufbauend auf der PSD2-Logik im Zahlungsverkehr wird der Zugang zu Finanzdaten auf weitere Produktkategorien wie Konten, Kredite, Anlagen, Versicherungen oder Altersvorsorge ausgeweitet. Grundlage bleibt die ausdrückliche Einwilligung der Kundinnen und Kunden. FiDA definiert hierfür neue Rollen wie den Customer Data Holder, den Customer Data User sowie den Financial Information Service Provider (FISP) und verpflichtet die Marktteilnehmer zu standardisierten, sicheren Datenschnittstellen. Ziel ist ein europaweit interoperables Datenökosystem, das Innovation, Wettbewerb und datenbasierte Finanzdienstleistungen fördert.
Auch wenn FiDA Schweizer Institute ohne EU-Präsenz grundsätzlich nicht unmittelbar verpflichtet, kann die Verordnung mittelbar erhebliche Auswirkungen entfalten. Insbesondere internationale Finanzgruppen werden ihre Datenarchitektur, Governance-Prozesse und API-Infrastrukturen regelmässig konzernweit ausgestalten. Ebenso können Geschäftspartner oder EU-Tochtergesellschaften entsprechende Anforderungen entlang der Wertschöpfungskette an Schweizer Einheiten weitergeben. Für Institute mit grenzüberschreitendem Geschäft empfiehlt es sich deshalb, die Entwicklung bereits heute in die strategische Planung ihrer Daten- und Open-Finance-Initiativen einzubeziehen.
Fazit
Die praktische Reichweite von EU-Regulierungen entscheidet sich nicht am Unternehmenssitz, sondern an ihren regulatorischen Anknüpfungspunkten. Konzernstrukturen, gemeinsame Infrastrukturen und grenzüberschreitende Geschäftsmodelle bestimmen, ob Schweizer Finanzinstitute unmittelbar oder mittelbar von neuen Vorgaben erfasst werden. Während das EU-AML-Paket insbesondere gruppenweite Governance- und Compliance-Strukturen stärkt und PSD3 beziehungsweise die PSR den europäischen Zahlungsverkehr weiter harmonisieren, schafft FiDA die Grundlage für ein neues Open-Finance-Ökosystem. Gerade dieser Wandel dürfte mittel- bis langfristig erhebliche Auswirkungen auf Datenarchitekturen, Schnittstellen, Outsourcing-Modelle und die Zusammenarbeit innerhalb internationaler Finanzgruppen haben.
Für Schweizer Institute bedeutet dies, regulatorische Entwicklungen nicht nur auf ihre unmittelbare Anwendbarkeit zu prüfen. Ebenso entscheidend ist die Frage, welche Anforderungen über Konzernvorgaben, gemeinsame Infrastrukturen oder vertragliche Beziehungen faktisch übernommen werden müssen. Wer diese Wechselwirkungen frühzeitig analysiert und in Governance, Compliance sowie IT-Strategie integriert, kann regulatorische Risiken reduzieren und sich gleichzeitig auf die künftigen Marktstandards im europäischen Finanzmarkt vorbereiten.