So richten Sie einen Anbieter für Offene Finanzen in den VAE ein

Nach der Open-Finance-Verordnung der CBUAE wählt ein Antragsteller eine oder beide lizenzpflichtigen Tätigkeiten: Data Sharing und Service Initiation. Sie werden getrennt geprüft und erteilt. Ein Unternehmen, das Kunden lediglich deren Kontostände über mehrere Institute hinweg anzeigt, erhält daher nicht automatisch das Recht, für sie Geld zu bewegen, und umgekehrt. Die CBUAE muss über einen vollständigen Antrag innerhalb von sechzig Arbeitstagen entscheiden.

Keine der beiden Lizenzen bringt ein Unternehmen für sich allein in die Regulierung von Bank-, Zahlungs- oder Wertpapiergeschäften. Wer Kundengelder hält, Kredit gewährt oder Anlageberatung gibt, braucht die gesonderte Zulassung der CBUAE oder der Wertpapier- und Warenbehörde (SCA), die diese Tätigkeiten verlangen, zusätzlich zur Open-Finance-Lizenz und nicht an ihrer Stelle. Es ist derselbe Umfangstest wie bei einer in den VAE aufgebauten Neobank: wer mit Geld umgeht und wessen Lizenz es erlaubt. Eine Plattform, die Geld vom Publikum einsammelt oder Kreditgeber und Kreditnehmer zusammenbringt, wird im Leitfaden zu Crowdfunding- und Kreditplattformen behandelt.

Die Regulierung legt finanzielle Mittel fest, die ein Unternehmen halten muss, nicht nur die Tätigkeit, die es anmeldet:

Dies sind finanzielle und operative Verpflichtungen, keine Gründungsformalitäten, und ein Geschäftsplan, der sie als spätere Probleme behandelt, trifft auf sie meist erst während der Lizenzierungsprüfung. Die eigene Gebühr von Velarozone wird gesondert in der Mandatsvereinbarung ausgewiesen; siehe wie Velarozone arbeitet, wie sich das zu den eigenen Zahlen der Aufsichtsbehörde verhält.

Ein lizenzierter Open Finance Provider baut kein eigenes Netzwerk auf: Er bindet sich in eine Infrastruktur ein, die die CBUAE selbst vorgibt. Innerhalb von vierzehn Tagen nach Genehmigung muss ein Anbieter sich unter dem Trust Framework registrieren und seine Registrierung aufrechterhalten, das die Teilnehmer validiert, die von jeder Verbindung benötigten digitalen Zertifikate ausstellt und die technischen Standards vorhält, auf die jedes Unternehmen aufbauen muss. Kundenseitige Schnittstellen müssen das ISO-20022-Nachrichtenformat verwenden, nicht ein eigenes API-Design des Anbieters.

Der API Hub, der die APIs der Teilnehmer auf einer Plattform bündelt, ist selbst eine lizenzierte, gesondert kapitalisierte Funktion: Mindestens AED 20.000.000 eingezahltes Kapital sind erforderlich, und der Betrieb muss innerhalb von sechs Monaten nach Genehmigung aufgenommen werden. Die meisten Anbieter werden ihn nie betreiben (sie schließen sich ihm an). Ein Unternehmen, das sich jedoch als Open-Finance-Infrastruktur für andere Teilnehmer und nicht als eigenständiger Lizenzinhaber positioniert, wählt den Weg über den API Hub und damit eine erheblich größere Kapitalbasis.

Eine Service-Initiation-Lizenz erlaubt es einem Unternehmen, eine Zahlung anzuweisen; sie erlaubt ihm nicht, das bewegte Geld zu halten, das bei der Bank oder dem Zahlungsinstitut verbleibt, das das Konto führt. Eine Data-Sharing-Lizenz bewegt überhaupt kein Geld: Sie ist ein Lesezugriff auf Daten, deren Weitergabe der Kunde zugestimmt hat. Beide Modelle enden an derselben Grenze: Gelder liegen auf getrennten Kundenkonten bei lizenzierten Instituten unter Aufsicht der Regulierungsbehörde, niemals beim Open Finance Provider selbst.

Das ist auch das, was eine Bank prüft, bevor sie ein Konto für das Unternehmen eröffnet: welche Lizenzkategorie das Unternehmen hält, ob es jemals, auch nur vorübergehend, Kundengelder in Besitz nimmt, und wie Einwilligungs- und Authentifizierungskontrollen tatsächlich umgesetzt sind statt nur beschrieben. Ein Unternehmen, das sich auf dieses Gespräch vorbereitet, profitiert von Bankkonto-Bereitschaft, die vor dem Antrag erledigt ist, nicht erst, nachdem eine Bank bereits abgelehnt hat.

Die Verordnung hält zwei Dinge im Inland. Erstens die Daten: Kundendaten, auf die im Rahmen einer Open-Finance-Lizenz zugegriffen wird, müssen in den VAE gespeichert werden; eine Kopie außerhalb des Landes erfordert sowohl die Genehmigung der CBUAE als auch die Einwilligung des Kunden. Die einzige eingebaute Ausnahme betrifft eine lizenzierte Zweigniederlassung einer ausländischen Bank, die eine täglich aktualisierte Kopie des Stammdatensatzes in den VAE vorhält. Zweitens die Kontrolle: Ein Unternehmen darf eine wesentliche Tätigkeit oder eine zentrale Kontrollfunktion wie Compliance oder Risikomanagement nicht auslagern, ohne zuvor die CBUAE zu benachrichtigen und deren Nichtbeanstandung zu erhalten. Aufzeichnungen sind mindestens fünf Jahre aufzubewahren.

Diese Regeln bestimmen, wo Compliance- und Engineering-Rollen tatsächlich angesiedelt sind, und nicht nur, wo die Holdinggesellschaft eingetragen ist. Ein Plan, der davon ausgeht, dass ein Offshore-Team den Zugriff auf Produktionsdaten betreiben kann oder dass Compliance ein Teilzeitmandat ist, muss in der Regel überarbeitet werden, sobald dieser Abschnitt sorgfältig gelesen wird. Wie diese Rollen besetzt werden, gehört in die Lizenzakte. Unter Businesspläne und Begleitdokumentation finden Sie, was diese Unterlagen belegen müssen.