Geldtransferverordnung (TFR): Geld- und Kryptotransfers

Der vollständige Name der Vorschrift sagt fast alles: Verordnung (EU) 2023/1113 des Europäischen Parlaments und des Rates vom 31. Mai 2023 über die Übermittlung von Angaben bei Geldtransfers und Transfers bestimmter Kryptowerte und zur Änderung der Richtlinie (EU) 2015/849. In der Branche heißt sie TFR, nach Transfer of Funds Regulation, und die Pflicht, die sie auferlegt, Travel Rule: Die Angaben dazu, wer einen Transfer in Auftrag gibt und wer ihn erhält, müssen zusammen mit dem Transfer reisen.

Die Logik der Geldwäschebekämpfung ist einfach. Kommt ein Transfer an, ohne dass der Auftraggeber identifiziert ist, kann der Empfänger das Risiko nicht bewerten, die Behörde kann die Kette nicht rekonstruieren, und die Spur verliert sich. Deshalb gibt es in der Union schon seit Jahren Regeln zur Übermittlung von Angaben bei Geldtransfers. Die Verordnung 2023/1113 fasst diese Regeln neu und erstreckt sie auf Kryptowerte. Damit schließt sie eine Lücke: Derselbe Wert konnte bisher als Banküberweisung nachvollziehbar bewegt werden, als Transfer von Kryptowerten dagegen ohne jede Rückverfolgbarkeit.

Der Aufbau der Verordnung spiegelt genau diese Doppelnatur wider. Nach einem Kapitel I mit Gegenstand, Anwendungsbereich und Begriffsbestimmungen regelt Kapitel II die Pflichten der Zahlungsdienstleister und Kapitel III die Pflichten der Anbieter von Kryptowerte-Dienstleistungen. Es sind zwei parallele Regelungen mit ähnlichen, aber nicht identischen Anforderungen. Und der wichtigste Unterschied zwischen beiden – die Schwellen – ist genau der, der die meisten Fehler verursacht.

Als Verordnung ist die TFR unmittelbar anwendbar: Sie muss nicht umgesetzt werden und gilt in Spanien, ohne dass eine nationale Vorschrift sie wiedergeben müsste. Sie gilt neben dem Gesetz 10/2010 und seiner Durchführungsverordnung, die weiterhin den allgemeinen Rahmen der Präventionspflichten bilden, und ist mit dem europäischen Paket abgestimmt, zu dem die neue Geldwäscheverordnung (AMLR) und die AMLA gehören.

Praktisch führt dieser Aufbau dazu, dass viele Unternehmen unter beide Kapitel zugleich fallen. Ein Anbieter von Kryptowerte-Dienstleistungen, der zusätzlich Transferdienstleistungen für E-Geld-Token anbietet, kann eine Zulassung für Zahlungsdienste benötigen und muss dann beide Regelungen für unterschiedliche Geschäftsbereiche erfüllen. Die erste Aufgabe jedes TFR-Compliance-Projekts ist daher, zuzuordnen, welches Geschäft unter welches Kapitel fällt, denn Schwellen und Pflichten decken sich nicht.

Zwei Hinweise zur praktischen Umsetzung. Der erste betrifft den Zeitpunkt: Die Angaben zum Originator und zum Begünstigten müssen unverzüglich und sicher übermittelt werden, und bei Sammeltransfers verlangt die Verordnung, dass dies vor oder zum Zeitpunkt des Abschlusses der Transaktion geschieht. Eine nachträgliche Übermittlung reicht nicht: Die Regel heißt gerade deshalb Travel Rule, weil die Daten die Transaktion begleiten.

Der zweite betrifft den Übermittlungsweg. Die Verordnung schreibt keine bestimmte Übertragungstechnik vor. Sie verlangt, dass die Angaben unverzüglich und sicher übermittelt werden. In der Praxis hat die Branche deshalb Protokolle und spezialisierte Messaging-Anbieter für die Travel Rule eingeführt. Die Wahl dieser Infrastruktur ist eine Compliance-Entscheidung, nicht nur eine technische: Nutzt Ihre Gegenpartei ein Protokoll, das Sie nicht unterstützen, lässt sich der Transfer nicht ordnungsgemäß abschließen.

Das ist mit Abstand das häufigste Missverständnis. Viele Projekte übernehmen einfach die Schwelle von 1.000 € aus der Regelung für Geldtransfers und wenden sie auf das Kryptogeschäft an. Damit fallen alle Transfers unterhalb dieses Betrags aus dem Informationsfluss heraus. Das ist ein Konstruktionsfehler mit direkten Folgen: Ein erheblicher Teil des Geschäfts läuft ohne die Angaben, die die Verordnung verlangt.

Die Schwelle von 1.000 € gibt es in der Kryptowelt durchaus, aber für etwas anderes: Sie löst die verschärfte Pflicht in Bezug auf selbst gehostete Adressen aus. Es sind zwei verschiedene Regeln mit demselben Betrag. Wer sie verwechselt, erzielt das schlechteste mögliche Ergebnis: Er tut zu wenig, wo es keine Schwelle gibt, und glaubt zugleich, die Vorgaben zu erfüllen.

Eine selbst gehostete Adresse ist eine Adresse, die der Nutzer direkt kontrolliert, ohne Einschaltung eines Anbieters von Kryptowerte-Dienstleistungen. Es gibt keine beaufsichtigte Gegenpartei, die man nach den Daten des Begünstigten fragen oder der man die Daten des Originators übermitteln könnte. Die Verordnung löst diese Asymmetrie, indem sie die Last auf den Anbieter verlagert, der beaufsichtigt wird.

Der Mechanismus hat zwei Bausteine. Der erste ist die Prüfung der Inhaberschaft oder Kontrolle: Übersteigt ein Transfer an oder von einer selbst gehosteten Adresse 1.000 €, muss der Anbieter prüfen, ob diese Adresse im Eigentum seines Kunden steht oder seiner tatsächlichen Kontrolle unterliegt. Der zweite, geregelt in Artikel 14 Absatz 5, ist die individuelle Identifizierung von Transfers von Kryptowerten an selbst gehostete Adressen. Artikel 16 Absatz 2 betrifft die umgekehrte Richtung: Transfers von selbst gehosteten Adressen.

In der Praxis wird die Inhaberschaft über Nachweise der Kontrolle geprüft – Signatur einer Nachricht mit dem privaten Schlüssel, Verifizierungs-Mikrotransaktion oder andere gleichwertige Methoden –, deren Eignung dokumentiert sein muss. Was nicht funktioniert, ist die bloße Erklärung des Kunden: Die Verordnung spricht von prüfen, nicht davon, eine Erklärung einzuholen.

Außerdem sollte man bedenken, dass sich dieses Feld weiterentwickelt. Die Verordnung selbst sieht vor, dass die Kommission prüft, ob zusätzliche Maßnahmen für Transfers mit selbst gehosteten Adressen nötig sind. Jede heute entworfene Richtlinie muss überprüfbar sein, und das interne Verfahren muss es erlauben, die Kontrollen zu verschärfen, ohne das System neu aufzubauen.

Die dritte Phase wird am häufigsten vernachlässigt und hat die größten Folgen. Feststellen und Zurückweisen sind operative Vorgänge, die ein gut konfiguriertes System selbst erledigt. Die Wiederholung bei einer Gegenpartei zu bewerten, ist etwas anderes: Man muss die Historie sammeln, ein eigenes Kriterium dafür anwenden, wann ein Muster kein Einzelfall mehr ist, sondern ein Problem, und entsprechend handeln – von verschärften Kontrollen bis zur Beendigung der Zusammenarbeit mit dieser Gegenpartei. Ohne dieses Register kann das Unternehmen nicht nachweisen, dass es tut, was die Verordnung verlangt, selbst wenn es tatsächlich jeden Tag Transfers zurückweist.

Die TFR gilt ab dem Geltungsbeginn der Verordnung (EU) 2023/1114 (MiCA), wie die Verordnung ausdrücklich vorsieht – Erwägungsgrund 64 begründet dies damit, „Kohärenz zu gewährleisten“ zwischen beiden. MiCA wiederum gilt seit dem 30. Dezember 2024, mit der Übergangsregelung des Artikels 143 Absatz 3 für Anbieter, die bereits vor diesem Datum tätig waren.

Und hier liegt der entscheidende Punkt für jeden spanischen Anbieter: Spanien hat diese Übergangsfrist nicht verkürzt, anders als andere Mitgliedstaaten. Das Grandfathering galt daher bis zum 1. Juli 2026 oder bis zur Erteilung oder Ablehnung der Zulassung, je nachdem, was früher eintrat. Diese Frist ist bereits abgelaufen. Die Folge: Heute muss jeder Anbieter von Kryptowerte-Dienstleistungen, der in Spanien tätig ist, zugelassen sein und unterliegt damit uneingeschränkt den Regeln zur Übermittlung von Angaben bei Transfers.

Zuständige Behörde für Anbieter von Kryptowerte-Dienstleistungen in Spanien ist die CNMV, die spanische Wertpapieraufsicht. Die Banco de España, die spanische Zentralbank, bleibt für die Zulassung von Zahlungsdiensten nach der PSD2 zuständig – das ist relevant, wenn der Anbieter Transferdienstleistungen für E-Geld-Token anbietet. Diese doppelte Zuständigkeit erklärt, warum so viele Kryptoprojekte am Ende eine Perimeteranalyse brauchen, die beide Regelwerke umfasst: siehe MiCA-Lizenz und Lizenz als Zahlungsinstitut.

Beachten Sie außerdem, dass zum Text der Verordnung eine Berichtigung erschienen ist, veröffentlicht im Amtsblatt am 3. Dezember 2025. Sie betraf unter anderem die Definition des Anbieters von Kryptowerte-Dienstleistungen in Artikel 3 Nummer 15, Artikel 14 Absatz 5 – individuelle Identifizierung von Transfers an selbst gehostete Adressen –, Artikel 16 Absatz 2 – Transfers von selbst gehosteten Adressen – und Artikel 28 Absatz 2 zu den Sanktionen. Wenn Ihr Handbuch den ursprünglichen Text zitiert, sollten Sie prüfen, ob Sie mit der geltenden Fassung arbeiten.