Blockchain und der Austausch von Compliance-Informationen: Sind Steuer- und Datenschutzvorschriften bereit für ein Distributed Ledger?

Covid-19 hat die dringende Abhängigkeit des privaten und öffentlichen Sektors von neuen Technologien offengelegt, um Informationen schneller und kostengünstiger zu verarbeiten und gleichzeitig ausreichend Vertrauen zu wahren. Dies gilt insbesondere für Organisationen, die die Aktivitäten ihrer Kunden und Dritter kontinuierlich auf die Einhaltung von Vorschriften überwachen. Insbesondere die Standards zur Bekämpfung von Geldwäscherei, Terrorismusfinanzierung, Betrug und Korruption erfordern immer ausgereiftere Systeme zu ihrer Durchsetzung. Wie sollten Juristen die Blockchain- und Distributed-Ledger-Technologie (DLT) als Lösung in diesem Rennen um Vertrauen betrachten?

Neben DLT hat die Blockchain in den letzten Jahren als innovative und sichere Software zum Sammeln und Teilen von Informationen erhebliche Aufmerksamkeit erregt. Viele wichtige wirtschaftliche Akteure, darunter die Weltbank und J. P. Morgan, haben ihre Anwendung getestet. Das Weltwirtschaftsforum hat im Mai 2020 sein eigenes Toolkit für den Einsatz von Blockchain verlinkt. Es stellte fest, dass die Covid-19-Krise die letzten Zweifel am Wert der DLT von Blockchain ausgeräumt hat.

Offensichtlich müssen bestimmte technologische und praktische Verbesserungen konsolidiert werden, um die DLT der Blockchain zu einem voll funktionsfähigen Instrument zu machen. Ich werde rechtliche Überlegungen untersuchen, die die Blockchain und DLT derzeit als Due-Diligence-Plattform für den Datenaustausch abgrenzen und verbessern.

Blockchain-DLT als Instrument für den effizienten Austausch von Informationen zur Einhaltung gesetzlicher Vorschriften

Während die Begriffe Blockchain und DLT oft synonym verwendet werden, beziehen sie sich auf getrennte, aber komplementäre Software. Die Blockchain ist ein Computerprogramm, das einen Algorithmus und Kryptografie nutzt, um Informationen in einer hochsicheren und strukturierten Abfolge von Datensegmenten («Blöcken») zu erfassen, die alle in einer unveränderlichen logischen Beziehung zueinander stehen. Wiederum beschreibt ein Distributed Ledger oder DLT einen spezifischen Datenbanktyp, der es ermöglicht, dass auf Informationen innerhalb eines Computernetzwerks synchron zugegriffen und diese geteilt werden können. Dieses könnte sich über mehrere Standorte erstrecken, ohne dass eine benannte verwaltende Partei erforderlich ist. Ein Distributed Ledger besteht im Allgemeinen aus gekoppelten Registern, die von den Teilnehmern an jedem «Knoten» des Netzwerks privat oder öffentlich geführt werden. Ohne dass alle Knoten sofort dieselben Änderungen registrieren, können dem Netzwerk keine neuen Datenblöcke hinzugefügt werden. Da das DLT-Ledger gleichzeitig auf vielen einzelnen Computern repliziert wird, erhöhen sich Transparenz und Glaubwürdigkeit. Jegliche lokalen Versuche, das Ledger zu manipulieren, werden schnell aufgedeckt.

Im Gegensatz dazu sind traditionelle Datenbanken als zentralisierte Plattformen oder dezentralisiert in komplexen, geschützten Netzwerken strukturiert. Sie benötigen die Genehmigung eines Administrators, um zwischen verschiedenen Benutzern geteilt zu werden. Innerhalb einer Gruppe von Institutionen werden gespeicherte Informationen im Allgemeinen von einem einzigen Benutzer verwaltet, der anderen den Zugriff auf einen eindeutigen Server gestattet. Die DLT der Blockchain kann jedoch ein geschütztes Peer-to-Peer-Netzwerk ohne Zwischenhändler schaffen, das auf einem Konsortium mehrerer Benutzer aufbaut. Sie teilen ihr Wissen standardmässig, um die Konsultation der von jedem Benutzer registrierten Informationen zu erleichtern.

Die wesentlichen Merkmale der DLT der Blockchain stechen beim obligatorischen Informationsaustausch durch Finanzinstitute hervor für Zwecke der Bekämpfung von Geldwäscherei und Terrorismusfinanzierung (kurz AML/CFT). Seine unveränderliche und verschlüsselte Natur bietet Rückverfolgbarkeit und Sicherheit für den Austausch sensibler Daten innerhalb von Finanzgruppen mit komplexer Vernetzung. Dies gilt insbesondere auch im Hinblick auf Pflichten zur Sorgfaltspflichtprüfung gegenüber Kunden (CDD) und Überprüfungen Dritter. Die Financial Action Task Force (FATF, die internationale Standards für AML/CFT festlegt) erinnert private und öffentliche Organisationen wiederholt – zuletzt während der Pandemie – daran, dass ein effektiver Informationsaustausch ein Eckpfeiler eines gut funktionierenden AML/CFT-Rahmens ist. In der Europäischen Union (EU) hat die Fünfte Geldwäschereirichtlinie (5AMLD) vom Mai 2018[1] verschärfte CDD-Anforderungen für Unternehmen eingeführt, die mit Hochrisikoländern zu tun haben. Sie regelte auch den Informationsaustausch innerhalb von Konzernfinanzinstituten, mit Finanzinstituten in anderen Konzernen sowie zwischen für AML/CFT zuständigen Behörden.

Die DLT der Blockchain ist ein Kostensparer für Finanzinstitute in Konzernen, die voraussichtlich mit einer strengeren Regulierung konfrontiert werden. In Frankreich hat sich die Summe aller von der Bankenaufsicht verhängten Geldbussen in zwei Jahren vervierfacht – von 4,9 Millionen Euro im Jahr 2016 auf 70 Millionen Euro im Jahr 2018. Das Beratungsunternehmen McKinsey & Company schätzte im Juni 2019, dass auf Blockchain-DLT basierende Lösungen zur Kundenidentifizierung weltweit Einsparungen bei den Betriebskosten für Privatkundenbanken von bis zu 1 Milliarde US-Dollar bringen könnten. Darüber hinaus könnten dadurch behördliche Geldbussen um 2 bis 3 Milliarden US-Dollar gesenkt und jährliche Verluste durch Betrug um 7 bis 9 Milliarden US-Dollar verringert werden. Trotz der anfänglichen Kosten, die mit dem Wechsel von einem zentralisierten System zu DLT verbunden sind, erfordern eine verschärfte AML/CFT-Regulierung und das wachsende Risiko von Geldbussen eine Beschleunigung der Umsetzung. Langfristig wird sie Geldwäscherei, Terrorismusfinanzierung und ähnliche kriminelle Aktivitäten wirksam verhindern.

Dennoch muss die Implementierung einer Blockchain-DLT innerhalb von Finanzinstituten und anderen Organisationen den zahlreichen nationalen Gesetzen und Vorschriften entsprechen, die den Informationsaustausch regeln. Gleichzeitig sollte sie dazu beitragen, individuelle Rechte und öffentliche Interessen zu wahren.

Nationale Gesetze als praktische Schutzmassnahmen für den auf Blockchain-DLT basierenden Informationsaustausch    

Für die Zwecke von AML/CFT müssen Finanzinstitute eine Reihe von Faktoren bewerten, um zu entscheiden, ob eine Blockchain auf Konzernebene eingeführt werden kann. Die Leitlinien der FATF erwarten von den Ländern, dass sie Richtlinien und Verfahren für den Informationsaustausch von Finanzgruppen durchsetzen und überwachen, um Geldwäscherei und Terrorismusfinanzierung zu verhindern. Dies umfasst die Muttergesellschaft, Zweigniederlassungen und Tochtergesellschaften im Mehrheitsbesitz im In- und Ausland. Diese Überwachung umfasst Daten zur Identifizierung von Kunden und wirtschaftlich Berechtigten (KYC-Informationen) sowie die Konto- und Transaktionsüberwachung. Letztere umfasst Meldungen über verdächtige Transaktionen (STRs) und erweiterte CDD-Analysen. Zu den Überlegungen sollten auch Elemente wie Produkte und Dienstleistungen, Standort, bestehende Gesetzes- und Regulierungsrahmen, die Vertraulichkeit und Sensibilität aller geteilten Informationen sowie andere Risiken und Kontexte gehören.

Insgesamt haben die Länder ähnliche Definitionen von KYC-Informationen, aber selbst innerhalb der EU unterscheiden sich die Länder bei der Weitergabe von STRs. In Frankreich beispielsweise sind STRs vertraulich und ihre Offenlegung ist gemäss Artikel L. 561-18 des französischen Währungs- und Finanzgesetzbuches verboten, ausser gegenüber der finanziellen Nachrichtendiensteinheit (FIU) des Staates. Die den STRs zugrunde liegenden Daten und die Tatsache, dass sie übermittelt wurden, können jedoch unter Bedingungen strikter Vertraulichkeit an Konzerngesellschaften weitergegeben werden, die sich in Ländern befinden, die von der EU vorläufig nicht als Hochrisikostaaten eingestuft werden. Im Gegensatz dazu können Banken in den Vereinigten Staaten (einschl. US-Zweigniederlassungen ausländischer Banken) STRs weitergeben, jedoch nur an ihre Muttergesellschaft, unabhängig davon, ob diese ihren Sitz in den USA oder im Ausland hat.[2] In anderen Ländern kann der Austausch von STR-bezogenen Informationen der vorherigen Genehmigung durch nationale FIUs unterliegen oder in einigen Fällen verboten sein.

Bankgeheimnisregeln zum Schutz der Privatsphäre von Kunden in bestimmten Rechtsordnungen können die Implementierung einer Blockchain-DLT weiter einschränken. Obwohl die FATF von den Ländern verlangt sicherzustellen, dass Bankgeheimnisgesetze ihre AML/CFT-Standards nicht beeinträchtigen, bleiben bestimmte Rechtsordnungen extrem restriktiv. Selbst ein berechtigtes Interesse, Sicherheitsbedenken oder die ausdrückliche Zustimmung des Kunden erlauben es bestimmten Banken möglicherweise nicht, ein Finanzgeheimnis zu lüften. Laut dem Financial Secrecy Index des Tax Justice Network aus dem Jahr 2020 sind die zehn führenden Länder in dieser Hinsicht nicht überraschend die Kaimaninseln, die USA, die Schweiz, Hongkong, Singapur, Luxemburg, Japan, die Niederlande, die Britischen Jungferninseln und die Vereinigten Arabischen Emirate. In der Schweiz, so berichtete das Tax Justice Network im Jahr 2020, müsste jeder bestehende und potenzielle Kunde einer Datenübermittlung an eine ausländische Konzerngesellschaft zustimmen, abhängig von der Rechtsordnung der Empfängereinheit.

Darüber hinaus könnten spezifische Geschäfts- und Staatsgeheimnisgesetze, die die Interessen von Staaten schützen sollen, auch grenzüberschreitende Informationsübertragungen zwischen Konzerngesellschaften verbieten. Sowohl in Frankreich als auch in der Schweiz ist eine behördliche Genehmigung erforderlich, bevor Beweismittel oder sensible Informationen ins Ausland übermittelt werden können, insbesondere im Rahmen eines Strafverfahrens.

Solche Datenschutzgesetze könnten jedoch tatsächlich mit Blockchain kompatibel sein. Ein Beispiel ist die Datenschutz-Grundverordnung (DSGVO) der EU. Sie erlegt Unternehmen mit Sitz in der EU – und darüber hinaus, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten – strenge Regeln für das Erheben, Verarbeiten, Speichern und Übertragen personenbezogener Daten auf. Obwohl einige Fragen offen bleiben, hat das Europäische Parlament die Nutzung von Blockchain-DLT-Lösungen unter der Bedingung ermutigt, dass diese privat sind und für den konzernweiten Informationsaustausch Zugriffsberechtigungen erfordern (im Gegensatz zu ihrer öffentlichen Standardeinstellung). Spezifische Bedenken hinsichtlich der ewigen Natur von Blockchain-Daten könnten durch Verschlüsselungstechniken ausgeräumt werden, die registrierte Informationen nach einer gewissen Zeit praktisch unzugänglich machen. Dennoch müssten zahlreiche Schutzmassnahmen eingeführt werden, einschliesslich der Verabschiedung verbindlicher Unternehmensregeln (Binding Corporate Rules), einer vorherigen Datenschutz-Folgenabschätzung, die den zuständigen Regulierungsbehörden mitgeteilt wird, und der Benennung eines Verantwortlichen für die Datenverarbeitung, der die Rechtmässigkeit jeglicher Datenverarbeitung (wie AML/CFT und CDD) bescheinigen kann. Auch die Information des Kunden über seine Rechte und den Zweck der Blockchain-DLT wäre in Vertragsklauseln erforderlich.

Trotz der spezifischen Bedingungen des Finanzsektors könnten rechtliche Zwänge hinsichtlich der Implementierung eines auf Blockchain-DLT basierenden Informationsaustauschsystems überwunden werden. Der gesunde Menschenverstand gebietet es nicht, Blockchain systematisch dort einzusetzen, wo traditionelle und vielleicht flexiblere Lösungen verfügbar sind. Dennoch könnte sie, wenn sie so konzipiert ist, dass sie den einschlägigen Rechtsvorschriften entspricht, ein effizientes Instrument für Transparenz innerhalb von Konzernorganisationen darstellen. Über die AML/CFT-Pflichten hinaus unterliegen Unternehmen auf ganzer Breite nun verschärften Anti-Korruptions-Bestimmungen. Als Reaktion auf die Covid-19-Krise gab das Netzwerk der Korruptionsbekämpfungsbehörden am 11. Mai eine Erklärung ab, in der Regulierungsbehörden und private Einrichtungen aufgefordert wurden, ihre internen Anti-Korruptions-Massnahmen zu stärken. Die Blockchain stellt zu diesem Zweck ein optimales Mittel zur Speicherung transparenter und genauer Datenbanken dar.

Charlotte Gunka ist eine Avocate à la cour in Paris.

Bild: Pixabay.

[1]       Richtlinie (EU) 2018/843 des Europäischen Parlaments und des Rates vom 30. Mai 2018 zur Änderung der Richtlinie (EU) 2015/849 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche oder der Terrorismusfinanzierung und zur Änderung der Richtlinien 2009/138/EG und 2013/36/EU. Die 5AMLD hätte bis zum 10. Januar 2020 in das nationale Recht aller EU-Mitgliedstaaten umgesetzt werden müssen.

[2]       FinCEN, “Sharing Suspicious Activity Reports by Depository Institutions with Certain U.S. Affiliates”, Guidance (FIN-2010-G006), 23. November 2010.