Blog
Regeln zur Kontenüberwachung bei Banken und die RegTech-Möglichkeiten in den VAE
Die kurze Antwort
Die Regeln des britischen Department for Work and Pensions (DWP) zur Überwachung von Bankkonten sind britische Politik und gelten in den VAE nicht. Eine Gesellschaft in den VAE, die Kundenkontodaten bei Banken abruft, benötigt nach der Open Finance Regulation der Central Bank of the UAE (CBUAE) eine Open Finance Licence der CBUAE, mit ausdrücklicher Einwilligung des Kunden und einem Mindestkapital von AED 1,000,000. Ein Softwareanbieter, der im Rahmen eines Vertrags mit einer Bank arbeitet, ist ein anderer Fall, und seine Stellung hängt davon ab, was das Produkt mit den Daten macht.
Entscheidend ist die Grenze zwischen einem Softwareanbieter und einem Anbieter von Datenzugang. Ein Unternehmen, das einer lizenzierten Bank Überwachungs- oder Vorgangsmanagement-Werkzeuge liefert, befindet sich in einer anderen Position als eines, das Kontodaten direkt von Kunden abruft. Die Central Bank of the UAE (CBUAE) beaufsichtigt Banken und Open-Finance-Tätigkeiten, und das UAE Data Office überwacht personenbezogene Daten nach dem föderalen Datenschutzgesetz.
Die Einwilligung ist der gemeinsame Nenner. Das föderale Recht verbietet die Verarbeitung personenbezogener Daten ohne die Einwilligung der betroffenen Person, mit begrenzten Ausnahmen für das öffentliche Interesse und bestimmte rechtliche Verfahren. Ein auf „Monitoring“ aufgebautes Geschäft muss belegen können, woher diese Einwilligung stammt.
Was die britische Entwicklung einem Gründer in den VAE sagt, und was nicht
Die britische Debatte betrifft eine Regierungsbehörde, die Bankkonten auf Betrug und Fehler bei Sozialleistungen prüfen möchte. Das ist eine staatliche Befugnis, die durch britische Gesetzgebung festgelegt ist und gegenüber einer bestimmten Gruppe von Antragstellern ausgeübt wird. Nichts Vergleichbares gibt einem privaten UAE-Unternehmen das Recht, in die Konten irgendeiner Person Einsicht zu nehmen.
Die britische Geschichte wirft für einen Gründer eine Gestaltungsfrage auf: Welchen Teil der Überwachungskette würde mein Unternehmen betreiben? Banken führen eine Transaktionsüberwachung durch, weil sie dazu verpflichtet sind. Ein Softwareunternehmen kann Werkzeuge entwickeln, die dies günstiger und genauer machen. Es kann sich aber nicht die Befugnis der Bank borgen, die Daten einzusehen.
Diese Linie entscheidet über den regulatorischen Weg. Nach der Open Finance Regulation der CBUAE (C 03/2025) benötigt eine Gesellschaft, die Kundenkontodaten über Bankschnittstellen abruft, eine Open Finance Licence, während ein Anbieter, der im Rahmen eines Vertrags mit einer Bank arbeitet, ein anderer Fall ist. Pitch Decks gehen oft dadurch fehl, dass sie ein Anbieterprodukt in der Sprache einer regulierten Funktion beschreiben.
Vier Geschäftsmodelle, die sich ähneln und es doch nicht sind
Verwaltung von Einwilligungen und Berechtigungen. Das Produkt erfasst, wozu ein Kunde zugestimmt hat, ermöglicht ihm den Widerruf und führt den Prüfpfad. Es verarbeitet Einwilligungsnachweise, nicht zwingend die zugrunde liegenden Kontodaten. Es steht den Datenschutzregeln am nächsten, weil die zentrale Pflicht darin besteht, eine wirksame Einwilligung nachzuweisen.
An Institute verkaufte Überwachungssoftware. Die Bank ist in der Praxis der Verantwortliche, und der Anbieter arbeitet auf Grundlage ihres Vertrags. Fragen des Zugriffs, der Aufbewahrung, des Modelltrainings mit Kundendaten und der Meldung von Vorfällen werden im Dienstleistungsvertrag geregelt. Ob für den Anbieter eine Zulassung erforderlich ist, hängt genau davon ab, was er tut; das ist mit der zuständigen Aufsichtsbehörde zu klären und nicht vorauszusetzen.
Open-Finance-Analytik. Hier liest das Unternehmen mit Erlaubnis des Kunden Kontodaten über Schnittstellen der Banken aus. Hier kommt es auf das Open-Finance-Rahmenwerk der CBUAE an, und dieses Modell benötigt am ehesten eine eigene Zulassung. Der gesonderte Leitfaden zum Weg als Open-Finance-Anbieter behandelt diesen Regulierungsbereich.
Werkzeuge für Vorgangsmanagement und aufsichtsrechtliche Berichterstattung. Sie unterstützen Compliance-Teams bei der Dokumentation von Entscheidungen. Entscheidend ist, ob das Werkzeug menschliche Entscheidungen lediglich festhält oder beginnt, sie selbst zu treffen.
Eine Gruppe kann mehrere davon unter einer Marke betreiben, aber die Verträge unterscheiden sich.
Einwilligung, Datenrecht und die Frage nach der free zone
Das föderale Gesetz zum Schutz personenbezogener Daten gilt für Verarbeitungen innerhalb und außerhalb der UAE, die ganz oder teilweise mit elektronischen Mitteln erfolgen, und es stellt Anforderungen an grenzüberschreitende Übermittlungen. Das UAE Data Office, das dem UAE-Kabinett angegliedert ist, verfasst die Leitlinien und bearbeitet Beschwerden. Dateninhaber können eine Berichtigung verlangen und die Verarbeitung einschränken oder beenden lassen.
Für ein Überwachungs- oder Datenprodukt ergeben sich drei praktische Punkte. Die Einwilligung muss hinreichend konkret sein, um das abzudecken, was die Software tatsächlich mit den Daten macht. Der Widerruf muss im Produkt funktionieren, nicht nur in den Bedingungen. Und ein Datenfluss, der die VAE verlässt, etwa in eine Cloud-Region oder zu einer Muttergesellschaft im Ausland, braucht eine dokumentierte Grundlage. Ein lizenzierter Open-Finance-Anbieter unterliegt strengeren Bedingungen. Die Open Finance Regulation der CBUAE verlangt für jeden Zweck eine gesonderte Einwilligung, und der Widerruf muss ebenso einfach sein wie die Erteilung der Einwilligung. Sie verlangt außerdem, dass die Daten in den VAE gespeichert werden, es sei denn, die CBUAE hat die Speicherung im Ausland genehmigt und der Kunde hat nach Information darüber, wo und warum die Daten gespeichert werden, schriftlich zugestimmt.
Der Standort fügt eine weitere Ebene hinzu. Die Seite der Regierung der VAE zum Datenschutz nennt neben dem Bundesgesetz das DIFC Data Protection Law (DIFC Law No. 5 of 2020) und das Dubai Data Law (Law No. 26 of 2015). Eine Gesellschaft in einer finanziellen free zone kann daher einem anderen Datenschutzregime unterliegen als eine Gesellschaft auf dem mainland, und eine Gesellschaft, die Kunden in beiden bedient, kann beiden unterliegen. Die Bundesseite erläutert nicht, wie diese zusammenwirken; die Lage für Ihre eigene Struktur sollte daher mit der Behörde der Zone und der zuständigen Aufsichtsbehörde bestätigt werden, bevor Sie sich auf einen Standort festlegen.
Wahl zwischen mainland und free zone für ein Daten- und Compliance-Geschäft
Eine Gesellschaft auf dem mainland eignet sich für ein Unternehmen, das überwiegend an UAE-Banken und -Unternehmen verkauft und bei der Wahl seiner Vertragspartner keine territoriale Beschränkung wünscht. Eine free-zone-Gesellschaft kann für ein Technologieunternehmen mit regionalem Kundenstamm gut geeignet sein, sofern die Lizenztätigkeit der Zone Software- und Datendienstleistungen abdeckt und die Verträge mit der richtigen Gesellschaft geschlossen werden.
Für einen RegTech-Anbieter gelten andere praktische Prüfkriterien als für ein Handelsunternehmen. Kann die Handelslizenz Softwareentwicklung und Datenverarbeitung zutreffend beschreiben? Wird die Beschaffungsabteilung einer Bank die Gesellschaft als Lieferanten akzeptieren? Wo werden die Mitarbeitenden arbeiten, und welche Aufenthaltsvisa für das Gründerteam unterstützt dieser Standort? Wo werden die Daten physisch gehostet?
Ein niedriger Gründungspreis spielt kaum eine Rolle, wenn die Lizenztätigkeit später geändert werden muss, weil sich herausgestellt hat, dass das Produkt regulierte Daten berührt. Legen Sie zuerst die Produktgrenze fest und vergleichen Sie dann die Standorte; diese Reihenfolge ist in so arbeitet Velarozone beschrieben.
Was eine Bank fragt, bevor sie unterschreibt
Gründer betrachten das Banking oft als Aufgabe nach der Gründung. In diesem Sektor ist es zugleich Teil des Vertriebsprozesses. Eine Bank, die Monitoring-Software kauft, oder eine Bank, die Ihr eigenes Firmenkonto eröffnet, will ein stimmiges Gesamtbild sehen.
Rechnen Sie mit Fragen dazu, wem das Unternehmen gehört und wer den Code kontrolliert, wo Kundendaten gespeichert werden und wer darauf zugreifen kann, wie das Modell getestet wird und wie Fehlalarme behandelt werden und was nach einer Datenpanne geschieht. Zur Eigentümerschaft: Die Leitlinien der CBUAE erwarten von einer Bank, jede natürliche Person zu identifizieren und zu überprüfen, die 25 % oder mehr eines Unternehmenskunden besitzt oder kontrolliert. Erreicht niemand 25 %, identifiziert sie stattdessen die Führungskraft auf oberster Ebene (senior manager). Banken werden auch fragen, ob Ihre Mitarbeiter Compliance-Erfahrung haben, denn das Produkt ist nur so glaubwürdig wie das Team dahinter.
Automatisierte Warnmeldungen werfen ein besonderes Problem auf. Wenn ein Modell ein Konto markiert und ein Analyst die Markierung einfach übernimmt, ist die Entscheidung faktisch automatisiert. Regulierte Kunden bevorzugen Werkzeuge, die ein dokumentiertes menschliches Urteil unterstützen. Dies von Anfang an in den Arbeitsablauf einzubauen, ist günstiger, als es nachzurüsten, nachdem eine Bank danach gefragt hat.
Der Weg über eine RegTech-Plattform für KYC und AML überschneidet sich stark mit der Überwachung. Seine Käufer sind dieselben Compliance-Teams, sodass dieselbe Anbieterprüfung gilt.
Kurz gesagt
Was davon zu halten ist
- Die britischen Regeln sind lediglich der Auslöser. Eine UAE-Gesellschaft würde sich an den UAE-Datenschutzgesetzen und den Erwartungen der CBUAE ausrichten, nicht an den Befugnissen des DWP.
- Die erste strukturelle Entscheidung ist die zwischen einem Softwareanbieter und einem Unternehmen, das Kundenkontodaten berührt.
- Das föderale Datenschutzrecht macht die Einwilligung zum Ausgangspunkt für die Verarbeitung personenbezogener Daten, und das UAE Data Office ist die föderale Aufsichtsbehörde.
- Ein Standort in einer free zone kann ein eigenes Datenregime mit sich bringen, etwa das Datenschutzgesetz des Dubai International Financial Centre (DIFC).
- Der Verkauf an Banken bedeutet in der Regel, deren Lieferanten-Due-Diligence zu bestehen, die Sicherheit und Governance vor dem Preis prüft.
- Ein Produkt, das als Möglichkeit angeboten wird, das Monitoring zu umgehen, ist kein Geschäft, das eine UAE-Bank oder Aufsichtsbehörde in ihrer Nähe haben möchte.
- Kann eine UAE-Gesellschaft ein Monitoring anbieten, dem Kunden zustimmen, wenn die Daten von ihrer Bank stammen?
- Möglicherweise, aber das ist die Open-Finance-Frage, keine Softwarefrage. Eine Gesellschaft, die auf Anweisung eines Kunden Kontodaten bei Banken abruft, benötigt eine Open Finance Licence der CBUAE, und die Einwilligung allein berechtigt nicht zum Zugriff. Die Einwilligung muss ausdrücklich, auf den Zweck bezogen und jederzeit widerruflich sein. Auf diese Weise erlangte Daten müssen in den VAE gespeichert werden, es sei denn, die CBUAE und der Kunde haben beide der Speicherung im Ausland zugestimmt.
- Benötigen wir eine Lizenz, wenn wir Software nur an Banken verkaufen?
- Das hängt davon ab, was die Software tut. Ein Werkzeug, das in der Umgebung der Bank läuft und auf Grundlage deren Vertrags arbeitet, ist ein anderer Fall als ein Dienst, der Kundendaten auf eigene Rechnung entgegennimmt oder weiterleitet. Halten Sie schriftlich fest, was das Produkt tut und was nicht, und lassen Sie diese Beschreibung von der zuständigen Aufsichtsbehörde prüfen, denn die Bezeichnung des Produkts entscheidet nichts.
- Welches Datenschutzrecht gilt, wenn wir in einer free zone ansässig sind?
- Beide Ebenen können relevant sein. Das föderale Gesetz zum Schutz personenbezogener Daten erfasst Verarbeitungen innerhalb und außerhalb der UAE, und finanzbezogene free zones wie das DIFC haben ein eigenes Datenschutzgesetz. Welches Recht für eine bestimmte Tätigkeit maßgeblich ist, hängt davon ab, wo die Gesellschaft ansässig ist und wen sie bedient; klären Sie dies daher mit der Behörde der Zone.
- Können wir das Produkt als Möglichkeit für Kunden anbieten, dem Monitoring zu entgehen?
- Nein. Banken und Aufsichtsbehörden werden dies als Warnsignal werten, und es untergräbt die Compliance-Begründung für das Produkt. Eine glaubwürdige Position ist, dass das Produkt Kunden hilft zu verstehen und zu steuern, wie ihre Daten im Rahmen des Gesetzes verwendet werden.
Quellen
Woher das kommt
Allgemeine Informationen aus dem CBUAE Rulebook, darunter die Retail Payment Services and Card Schemes Regulation (C 15/2021), und aus dem Cabinet Resolution No. (134) of 2025 in der veröffentlichten Fassung; keine Rechts- oder Steuerberatung. Regeln und Leitlinien ändern sich. Prüfen Sie daher vor der Einreichung den aktuellen Wortlaut und die eigenen Anforderungen jedes Instituts.