app-fraud-aufsichtsrat-vorlage

APP-Fraud Bank

Arbeitsweg

• Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
• Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
• Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
• Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.

Fachkern: APP-Fraud Bank

• Normen-/Quellenanker: KWG, ZAG, WpHG, WpIG, MaRisk/BAIT-DORA-Schnittstellen, BGB/AGB, HGB, GwG, BaFin-Praxis, Sanierung/InsO/StaRUG.
• Entscheidende Weiche: Bankgeschäft, Erlaubnis, Vorstandsvorlage, Risikoappetit, Kundenschutz, Sicherheiten, Aufsichtskommunikation und externe Kanzleisteuerung trennen.
• Arbeitsprodukt: Erzeuge eine konkrete Prüf- oder Entscheidungsmatrix mit Norm, Tatbestand, Beleg, Einwand, Risikoampel und nächstem Schritt; Anschluss-Skills nur bei echter Vertiefung nennen.

Schnellmodus

1. Eilpunkt erkennen: Fristen, Anzeigewege, Launch-Termine, Register-/Portal-Einreichung, Aufsichtskontakt, Kundenkommunikation und irreversible Vollzugsschritte zuerst markieren.
2. Regime sauber trennen: Geltendes Recht, Verwaltungspraxis, EU-Entwurf/Vorschau und reine Produktidee nicht vermischen. Bei PSD3/PSR oder Roadmap-Themen ausdrücklich als Monitoring oder Gap-Vorschau kennzeichnen.
3. Tatbestand vor Meinung: Erst Geschäftsmodell, Zahlungsfluss, Tokenrecht, Organrolle oder Registerfunktion sauber beschreiben, dann rechtlich einordnen.
4. Quellenhygiene: Gesetze, BaFin, Bundesbank, EBA, EZB und EUR-Lex bevorzugen. Rechtsprechung nur mit Gericht, Entscheidungsform, Datum, Aktenzeichen und freier oder amtlicher Quelle.
5. Bankrealität: Nicht nur sagen, ob etwas erlaubt ist. Immer mitliefern: wer entscheidet, welche Unterlagen fehlen, welcher Fachbereich Owner ist und wie die Bank das dokumentiert.

Intake

Frage nur nach, wenn ohne Antwort ein falscher nächster Schritt droht. Andernfalls mit Annahmen arbeiten und sie sichtbar markieren.

• Kerninformationen: Timeline, Anrufe, TAN-Freigabe, Warnungen, Empfänger, Recall, Logs, Polizeianzeige, Kundenprofil.
• Institut und Rolle: Bank, Zahlungsinstitut, E-Geld-Institut, Wertpapierinstitut, CRR-Kreditinstitut, FinTech-Tochter, Vermittler, Agent, Registerführer, CASP, Emittent oder Dienstleister.
• Produkt oder Vorgang: Zahlungsdienst, E-Geld, Kredit, Wertpapier, Token, Register, Organwechsel, Auslagerung, Betrugsfall, Trade Finance oder Kooperation.
• Aufsicht und Einreichweg: BaFin, Bundesbank, EZB/SSM, EBA, FIU, Register, MVP, IMAS, Bundesanzeiger, Handelsregister oder interner Ausschuss.
• Dokumente: Produktbeschreibung, Flow-of-Funds, Vertragsentwurf, API-Doku, Token Terms, Organ-CV, Eignungsmatrix, Registerauszug, Kundenkommunikation, Logs oder Vorstandsvorlage.

Prüfaufbau

1. Kurzbild

Punkt	Klärung
Ergebnisbedarf	Vermerk, Freigabe, BaFin-Anfrage, Vertrag, Vorstandsvorlage oder Prozessstrategie
Rechtsregime	KWG, ZAG, WpHG, WpIG, eWpG, MiCAR, DORA, GwG, BGB, HGB, AktG, SEPA-/EU-Regime oder Entwurf
Risiko	Aufsicht, Bußgeld, Zivilhaftung, Organhaftung, Kundenstreit, AML, Datenschutz, IT oder Reputation
Frist	Anzeige, Launch, Antwort, Rückgabe, Register, Gremium oder Verjährung
Entscheidung	Go, Go mit Auflagen, Stop, BaFin-Vorabklärung oder externe Spezialprüfung

2. Subsumtion und Geschäftsmodell

Arbeite in dieser Reihenfolge:

1. Lebenssachverhalt und Rollen in einfachen Sätzen festhalten.
2. Geld-, Daten-, Wertpapier- oder Tokenfluss als Tabelle beschreiben.
3. Tatbestandsmerkmale einzeln prüfen.
4. Ausnahmen, Privilegierungen, Bestandsschutz, Übergangsregeln oder Entwurfsstand gesondert behandeln.
5. Gegenargumente und Red-Team-Sicht der Aufsicht formulieren.
6. Praktische Auflagen für Launch, Fortführung, Korrektur oder Ablehnung schreiben.

3. Beleg- und Unterlagenliste

Frage	Beleg	Fehlt	Owner	Wirkung
Wer erbringt welche Leistung?	Vertrag, Produktbild, Prozess	...	Legal/Produkt	Regimewahl
Fließen Kundengelder oder Kryptowerte?	Flow-of-Funds, Wallet-/Kontoauszug	...	Operations/Risk	Erlaubnis/Haftung
Gibt es Aufsichtskontakt?	Schreiben, Ticket, Portalnachweis	...	Legal/Compliance	Frist/Strategie
Sind Kunden betroffen?	AGB, FAQ, Beschwerde, Marketing	...	Vertrieb/Legal	Transparenz/Haftung

4. Ergebnis

Erzeuge Haftungsanalyse, Sofortmaßnahmen, Kundenantwort, Beweisfragen und Präventions-Backlog.

Baue das Ergebnis mit diesen Elementen:

• Entscheidungssatz: Ein Satz, der intern zitiert werden kann.
• Risikoampel: Rot/Gelb/Grün mit kurzer Begründung.
• Auflagen: Welche Bedingungen müssen vor Go-Live oder vor Antwort erfüllt sein?
• Offene Punkte: konkrete Rückfragen statt allgemeiner Rechercheaufträge.
• Anschluss-Skills: passende Skills aus bank-rechtsabteilung nennen, insbesondere bafin-kommunikation-und-anhoerung, bankaufsichtsrecht-kwg-marisk-triage, dora-ict-vertraege-vorfall, gwg-aml-kyc-verdachtsmeldung, vorstandsvorlage-gutachten oder produktfreigabe-new-product-process.

Spezialhinweise

• PSD3/PSR: Als EU-Gesetzgebungsvorschau behandeln, bis finaler Text und nationale Umsetzung/Anpassung greifbar sind. Keine Scheingeltung behaupten.
• eWpG/MiCAR: Immer zuerst trennen, ob der Token ein Finanzinstrument, elektronisches Wertpapier, Kryptowert, E-Geld-Token, vermögenswertreferenzierter Token oder etwas anderes ist.
• ZAG: Zahlungsfluss und Besitz an Kundengeldern sind zentral. Grafische Flow-of-Funds-Logik in Worte übersetzen.
• Geschäftsleiter/FAP: Nicht nur Einzelperson prüfen, sondern Kollektiveignung, Zeitverfügbarkeit, Interessenkonflikte und Einreichkanal.
• Tokenisierung: Keine Technikromantik. Rechtsposition, Register, Verwahrung, Übertragung, Verlustfall, Kundenschutz und Aufsicht zuerst.

APP-Fraud-Spezifika

• Autorisierte vs. nicht autorisierte Zahlung: § 675u BGB (nicht autorisiert, Bank haftet) vs. § 675v BGB (Mitverschulden bei autorisierter Zahlung). Bei APP-Fraud regelmäßig "autorisiert" — Erstattung nur nach AGB oder ex gratia.
• Warnpflichten: Risikohinweise bei verdächtigem Empfänger/Betrag/Verhalten; nach PSD3/PSR-Entwurf ggf. erweiterte Refund-Pflichten — als Roadmap-Risiko markieren.
• SCA-Befreiung: keine Erleichterung, wenn Kunde aktiv getäuscht wurde; SCA-Logs trotzdem zu Beweiszwecken vorhalten (Art. 97 PSD2 iVm RTS 2018/389).
• Recall/SEPA Recall: über RTS SEPA Credit Transfer Recall Request — sofortige Anfrage Empfängerbank, Frist regelmäßig 10 Bankarbeitstage; Mitwirkungsklausel in AGB nutzen.
• Praktiker-Tipp: APP-Fraud-Playbook mit Eingangsmeldung (Hotline, App-Reporting), Polizeianzeige, Recall innerhalb 24 h, parallel BaFin-Meldung bei Massenfall (MaRisk AT 7.2, BAIT, ggf. § 24 KWG); Schadensquote und Refund-Politik dokumentieren — wird bei BaFin-Prüfungen abgefragt.

Qualitätsgate

Vor Ausgabe prüfen:

• Steht klar da, was geltendes Recht ist und was Entwurf/Monitoring ist?
• Sind BaFin-/EBA-/EUR-Lex-Quellen als Live-Check markiert, wenn sie tragen?
• Gibt es eine konkrete Unterlagenliste?
• Ist die Bankentscheidung dokumentationsfest?
• Sind keine BeckRS-, Juris-, Kommentar- oder Aufsatz-Blindzitate enthalten?