Leitfaden
RegTech-, KYC- und AML-Plattform in den VAE: Auslagerungsregeln
Die kurze Antwort
Eine RegTech-, KYC- oder AML-Plattform wird in der Regel nicht als solche eigenständig lizenziert. Das Unternehmen wird auf dem üblichen Weg registriert, über das Dubai Department of Economy and Tourism (DET), eine free zone oder eine Behörde einer Financial Free Zone. Der Kunde verändert das Bild. Sobald sich ein lizenziertes Finanzinstitut für seine AML/CFT-Prüfungen auf die Plattform stützt, behandelt die Aufsichtsbehörde dieses Instituts die Vereinbarung als Auslagerung und nimmt das Institut, nicht den Anbieter, dafür in die Verantwortung. Diese Aufsichtsbehörde kann die Central Bank of the UAE (CBUAE), die Dubai Financial Services Authority (DFSA, DIFC), die Financial Services Regulatory Authority (FSRA, ADGM), die Capital Market Authority (CMA, früher Securities and Commodities Authority) oder die Virtual Assets Regulatory Authority (VARA, Dubai) sein. Entscheidend für den Weg ist die Frage, ob die Plattform lediglich Software bereitstellt oder auch die Entscheidung trifft: eine Warnmeldung schließen, einen Vorgang abschließen, eine Meldung einreichen.
Wer entscheidet, und wovon der Anwendungsbereich abhängt
Keine einzelne Aufsichtsbehörde der UAE erteilt eine „RegTech-Lizenz". Die gewerbliche Tätigkeit ist bei der DET oder einer free zone angesiedelt. Das regulatorische Gewicht liegt bei derjenigen Behörde, die den Käufer beaufsichtigt: Eine Bank oder ein Wechselhaus untersteht der CBUAE, ein DIFC-Unternehmen der DFSA, ein ADGM-Unternehmen der FSRA, ein Kapitalmarktunternehmen der CMA, ein Anbieter von Dienstleistungen für virtuelle Vermögenswerte der VARA. Jede dieser Behörden erwartet von dem von ihr lizenzierten Unternehmen eine Due-Diligence-Prüfung jeder ausgelagerten Funktion sowie Prüfrechte gegenüber dem Dienstleister. Die Plattform ist selten die regulierte Partei; der Vertrag, der den Kunden für sie verantwortlich macht, ist das, was diese Aufsichtsbehörden letztlich einsehen wollen.
Unabhängig davon, und unabhängig davon, welche Finanzaufsichtsbehörde gilt, erfasst das föderale Personal Data Protection Law die Verarbeitung personenbezogener Daten „ganz oder teilweise durch elektronische Systeme, innerhalb oder außerhalb des Landes." Es verbietet die Verarbeitung ohne die Einwilligung des Eigentümers, vorbehaltlich begrenzter Ausnahmen, und gibt Einzelpersonen das Recht, die Korrektur oder Einschränkung der Verarbeitung ihrer Daten zu verlangen. Eine Plattform, die Pässe, Selfies oder Transaktionshistorien verarbeitet, verarbeitet personenbezogene Daten nach diesem Gesetz, unabhängig davon, wie sie lizenziert ist.
Was das Compliance-Team eines Käufers tatsächlich prüft
Beschaffungs-Due-Diligence, nicht die Gründung, ist der Punkt, an dem RegTech-Verkäufe ins Stocken geraten. Ein regulierter Käufer möchte sehen:
- Woher die zugrunde liegenden Daten stammen und ob die Plattform dauerhafte Nutzungsrechte daran hat
- Ob eine Person strittige Fälle überprüft oder das Modell allein entscheidet
- Wo Daten gehostet werden und wo Support-Mitarbeiter sitzen
- Wie Fehlalarme und Modelländerungen gemessen und protokolliert werden
- Was mit einer Fallakte geschieht, wenn die eigene Aufsichtsbehörde des Käufers danach verlangt
Der UAE Cyber Security Council betreibt eine fünfjährige National Cybersecurity Strategy, die 2025 genehmigt wurde, sowie ein National Cyber Security Accreditation Program, einen Zertifizierungsweg zur Standardisierung der Cybersicherheitspraxis. Keines von beiden ist für jeden Anbieter ein verpflichtendes Tor, aber die Sicherheitsprüfung eines Abnehmers fragt zunehmend danach, wo eine Plattform im Verhältnis zu diesem Programm steht, insbesondere bei allem, was biometrische Daten betrifft.
Wie sich Geld und Haftung durch das Produkt bewegen
Das eigene Bankkonto eines RegTech-Unternehmens ist in der Regel die erste Bankfrage und zugleich die unkomplizierteste: Das Unternehmen benötigt wie jedes Softwareunternehmen ein Betriebskonto, und die Unterlagen, die eine Bank verlangt, sehen gleich aus (Eigentumsverhältnisse, Herkunft der Mittel der Gründer und eine klare Beschreibung dessen, was das Produkt mit Kundendaten macht). Wer sich frühzeitig mit der Bankkonto-Bereitschaft befasst, verhindert, dass das Konto zum letzten Punkt wird, der vor dem Start geklärt wird.
Das ändert sich, sobald das Produkt keine reine Software mehr ist. Dieselben Fragen, die in einem Fintech darüber entscheiden, wer Geld entgegennimmt oder kontrolliert, gelten auch hier: Ein Tool, das Kundengelder hält, eine Zahlung auslöst oder Kredit gewährt, ist eine andere regulierte Tätigkeit, und keine Bankkonto-Bereitschaft macht aus einer Gewerbelizenz eine Erlaubnis dafür. Halten Sie die beiden Fragen getrennt: Kann dieses Unternehmen ein Bankkonto führen, und kommt es, anstelle seines Kunden, jemals mit Kundengeld in Berührung? Die zweite Frage braucht, wo sie sich stellt, eine eigene Zulassung oder einen Sponsor.
Eigentum, Substanz und die Rollen, die ein Käufer prüft
Eine Gruppenstruktur kann die Technologie, das geistige Eigentum und jede lizenzierte Funktion in separaten Einheiten bündeln, sofern jede eine echte Rolle hat. Das Rechtsteam eines Käufers wird fragen, wem das Modell und die Datenpipeline gehören, wer im Vertrag genannt ist und wer haftet, wenn ein Prüfergebnis falsch ist. Liegt das Eigentum über mehr als eine Jurisdiktion verteilt, arbeiten Sie dies als regulierte und komplexe Eigentümerstruktur durch, bevor ein Due-Diligence-Team es prüft. Die schriftliche Begründung gehört in den unterstützenden Businessplan, nicht erst zusammengestellt, nachdem die Frage gestellt wurde.
Was häufig schiefgeht
- Daten zu scrapen oder zu kaufen, ohne ein dauerhaftes Recht, sie für das Screening zu nutzen
- Das Tool als etwas zu beschreiben, das einen Kunden „compliant" macht, statt als etwas, das eine Entscheidung unterstützt, die weiterhin beim Kunden liegt
- Biometrische Daten zu nutzen, ohne zuvor die Einwilligungs- und Zweckanforderungen des Datenschutzgesetzes durchgearbeitet zu haben
- Ein Offshore-Prüfteam oder einen Subprozessor aus dem Vertrag und aus der Due-Diligence-Akte des Käufers herauszuhalten
Gründungsgebühren zu vergleichen, ist der häufigste frühe Fehler. Die entscheidenden Kosten sind der vollständige Weg: die Einheit, jede Datenlizenzierung und Sicherheitszusicherung, die ein Käufer verlangt, sowie das, was es kostet, später eine Managed-Review-Ebene hinzuzufügen, falls reine Software nicht ausreicht. Velarozone bepreist diesen vollständigen Stack statt einer Gründungs-Hauptzahl und legt die eigene Gebühr so dar, wie es wie Velarozone arbeitet beschreibt.
