Gesetzliche Anforderungen an die digitale Archivierung im Finanzsektor

Finanzinstitute sehen sich im Hinblick auf die Aufbewahrung und Archivierung von Unterlagen mit einem der komplexesten regulatorischen Rahmenbedingungen in Europa konfrontiert. Die Vorschriften verlangen nicht mehr “nur” eine sichere Aufbewahrung – sie verlangen vielmehr, dass die Institute die Integrität, Authentizität, Zugänglichkeit und Beweiskraft der Unterlagen über einen längeren Zeitraum hinweg gewährleisten.

Dieser Artikel bietet einen umfassenden Überblick über die europäischen Rechtsrahmen, die festlegen, wie Finanzinstitute bei der digitalen Archivierung vorgehen müssen. Er behandelt MiFID II, AML, DORA, eIDAS 1 und 2 sowie die DSGVO, CRR/CRD IV, Solvency II, PSD2/PSD3, EMIR, CSDR und MAR.

MiFID II: Anlegerschutz und transparente Aufzeichnungspflicht

Die Richtlinie über Märkte für Finanzinstrumente (MiFID II – Richtlinie 2014/65/EU) schafft die Grundlage für die Aufzeichnungspflicht im gesamten EU-Wertpapierdienstleistungssektor.

Wesentliche Pflichten:

Aufbewahrung von Kommunikationsdaten und Transaktionsdaten: Jegliche Kommunikation mit Kunden (telefonisch, digital, persönlich), die zu einem Geschäftsabschluss führen könnte, muss aufgezeichnet werden.
Mindestaufbewahrungsfrist: Mindestens fünf Jahre, auf Antrag der nationalen Behörden verlängerbar auf sieben Jahre.
Technische Anforderungen: Die Unterlagen müssen in einer ein unveränderliches, mit Zeitstempeln versehenes Archiv, das Unveränderlichkeit gewährleistet und es den Aufsichtsbehörden ermöglicht, vollständige Transaktionsverläufe zu rekonstruieren.

AML: Aufbewahrung und Nachweisführung gegenüber Behörden

Die 6. Geldwäscherichtlinie (Richtlinie (EU) 2024/1624) bekräftigt die Verpflichtung der Finanzinstitute zur Aufbewahrung von Kunden- und Transaktionsdaten:

CDD und Transaktionsdatensätze müssen mindestens fünf Jahre nach Beendigung einer Geschäftsbeziehung.
Schnellzugriff für Behörden: Die Unterlagen müssen ohne unnötige Verzögerung abrufbar sein.
Technische Anforderungen: Archive müssen gewährleisten, dass Unverfälschbarkeit, die Führung von Prüfprotokollen sowie die Möglichkeit eines schnellen Abrufs bei gleichzeitiger Gewährleistung der Beweiskraft.

DORA: Operative Belastbarkeit und Authentizität

Das Gesetz über die digitale Betriebsresilienz (Verordnung (EU) 2022/2554), das ab Januar 2025 in Kraft tritt, erweitert die Aufzeichnungspflicht auf den Bereich der IKT-Risiken und -Resilienz:

Aufbewahrung von Aufzeichnungen über IKT-Vorfälle sowie die Ergebnisse der Belastungsprüfung.
Prüfpfade im Bereich der aufsichtsrechtlichen Kommunikation, der Risikobewertung und der Maßnahmen zur Widerstandsfähigkeit.
Technische Anforderungen: DORA erwartet, dass die Datensätze folgende Angaben enthalten authentische Prüfpfade, Zeitstempel und Mechanismen zur Nichtabstreitbarkeit, die gewährleisten, dass IKT- und Compliance-Nachweise nicht verändert oder geleugnet werden können.

eIDAS 1: Aufbewahrung digital signierter Dokumente

Elektronische Signaturen gemäß eIDAS 1 (Verordnung (EU) Nr. 910/2014) entfalten zwar sofortige Rechtswirkung, ihre kryptografische Gültigkeit nimmt jedoch mit der Zeit ab. Ohne entsprechende Aufbewahrung können signierte Verträge und Vereinbarungen ihre Durchsetzbarkeit verlieren.

Voraussetzungen:

Zeitstempelung und Syntax für Beweismittelaufzeichnungen (ERS): Stellen Sie sicher, dass der Gültigkeitsnachweis über die Lebensdauer von Algorithmen oder Zertifikaten hinaus erhalten bleibt.
Erneuerung von Beweismitteln: Signaturen und Zeitstempel müssen regelmäßig verlängert werden.
Vollständige Vertrauenskette: Archive müssen alle Validierungsdaten – Zertifikate, Sperrlisten und Metadaten zur Aufbewahrung – aufbewahren.
Technische Anforderungen: Archive müssen in der Lage sein, Langzeitvalidierung (LTV), kontinuierliche Erneuerung von Zeitstempeln und sichere Aufbewahrung aller kryptografischen Nachweise.

eIDAS 2.0: Qualifizierte elektronische Archivierung

Die Änderung der eIDAS-Verordnung (Verordnung (EU) Nr. 2024/1183) führt die elektronische Archivierung als qualifizierten Vertrauensdienst ein:

Qualifizierte elektronische Archivierung (QeA) gewährleistet die langfristige Integrität, Herkunft und Lesbarkeit der archivierten Unterlagen.
Vermutung der Integrität und Richtigkeit: Aufzeichnungen im Rahmen eines QeA-Verfahrens zeichnen sich durch eine erhöhte Beweiskraft aus.
Technische Anforderungen: QeA-Archive müssen Folgendes enthalten: Kryptografische Versiegelung, Zeitstempelung, Erstellung von Nachweisen und manipulationssichere Speicherung, validiert unter der Aufsicht eines qualifizierten Vertrauensdienstanbieters (QTSP).

DSGVO: Abwägung zwischen Aufbewahrungsfristen und Datenschutz

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) hat Vorrang vor allen anderen Rahmenwerken, indem es festlegt, wie personenbezogene Daten gespeichert und archiviert werden dürfen:

Speicherbeschränkung: Daten dürfen nicht länger als erforderlich aufbewahrt werden, es sei denn, dies ist gesetzlich vorgeschrieben.
Recht auf Löschung: Dies muss mit den gesetzlichen Aufbewahrungspflichten in Einklang gebracht werden.
Technische Anforderungen: Die Archive müssen Folgendes enthalten Zugriffskontrollen, Verschlüsselung, Prüfprotokolle und die Möglichkeit, Aufbewahrungsvorschriften anzuwenden im Einklang sowohl mit den Compliance-Vorgaben als auch mit den Datenschutzbestimmungen.

CRR/CRD IV: Dokumentation zu Risiken und Unternehmensführung

Die Eigenkapitalverordnung (Verordnung (EU) Nr. 575/2013) und Richtlinie (EU) 2013/36 (CRD IV) verpflichten die Banken, Aufzeichnungen über Risikopositionen, Governance-Prozesse und die Berichterstattung an die Aufsichtsbehörden aufzubewahren.

Technische Anforderungen: Archive müssen sicherstellen, dass Genauigkeit, Unveränderlichkeit und Zugänglichkeit von Unterlagen zur Finanzsteuerung, einschließlich Prüfpfaden für die behördliche Überprüfung.

Solvency II: Aufzeichnungspflichten für Versicherer

Die Solvency-II-Richtlinie (2009/138/EG) verpflichtet die Versicherer, Aufzeichnungen über Risikobewertungen, versicherungsmathematische Modelle und die Unternehmensführung zu führen.

Technische Anforderungen: Archive müssen bewahren strukturierte Daten, Unterstützung der Rückverfolgbarkeit und Gewährleistung der langfristigen Zugänglichkeit für Aufsichtszwecke.

PSD2 / PSD3 und die Zahlungsdiensterichtlinie

Die Zahlungsdiensterichtlinie (PSD2 – Richtlinie (EU) 2015/2366) und die bevorstehende PSD3 bzw. die Zahlungsdiensterichtlinie sehen zusätzliche Aufbewahrungspflichten für Zahlungsdienstleister vor:

Nachweis der starken Kundenauthentifizierung (SCA) müssen archiviert werden.
Betrugsüberwachung und Transaktionsprotokolle müssen für aufsichtsrechtliche Prüfungen aufbewahrt werden.
Technische Anforderungen: Archive müssen Folgendes bereitstellen unverfälschbare Protokolle, Zeitstempelung und Funktionen zur Beweissicherung bei Streitfällen.

EMIR: Aufzeichnungspflichten für Derivate

Die europäische Verordnung über Marktinfrastrukturen (Verordnung (EU) Nr. 648/2012) schreibt Aufbewahrungspflichten für Derivate-Gegenparteien und Transaktionsregister vor:

Aufbewahrungsfrist: Fünf Jahre nach Beendigung des Vertrags.
Technische Anforderungen: Archive müssen Folgendes ermöglichen Wiederherstellung von Geschäftsvorgängen, Gewährleistung der Integrität und Führung chronologischer Prüfpfade.

CSDR: Aufzeichnungen zur Wertpapierabwicklung

Die Verordnung über zentrale Wertpapierverwahrstellen (Verordnung (EU) Nr. 909/2014) schreibt die Aufbewahrung von Abwicklungs- und Teilnehmerdaten vor:

Technische Anforderungen: Archive müssen gewährleisten, dass Authentizität, Unveränderlichkeit und langfristige Zugänglichkeit, um sicherzustellen, dass die Aufsichtsbehörden die Abwicklungshistorie überprüfen können.

MAR: Nachweise für Marktmissbrauch

Die Marktmissbrauchsverordnung (Verordnung (EU) Nr. 596/2014) verpflichtet Unternehmen zur Archivierung von:

Insider-Listen.
Meldungen über verdächtige Transaktionen.
Aufzeichnungen über Marktkommunikation.
Technische Anforderungen: Archive müssen unveränderlich, mit Zeitstempel versehen und fälschungssicher, wodurch die Beweiskraft bei Ermittlungen gewährleistet ist.

Die Rahmenwerke zusammenführen

Aus diesen Vorschriften ergeben sich gemeinsame Verpflichtungen:

Integrität und Authentizität (MiFID II, AML, DORA, eIDAS 1 und 2, MAR).
Unveränderliche, mit Zeitstempeln versehene Archive (MiFID II, PSD2/PSD3, MAR).
Prüfpfade und Erstellung von Belegen (AML, DORA, CRR/CRD IV, EMIR, CSDR).
Aufbewahrung digitaler Signaturen (eIDAS 1).
Manipulationssichere, von der QTSP überwachte Archive (eIDAS 2).
Strukturierte Datenaufbewahrung und -zugänglichkeit (Solvency II, CRR/CRD IV).
Die Vereinbarkeit von Compliance und Datenschutzrechten (DSGVO).

Schlussfolgerung

Für Finanzinstitute ist die digitale Archivierung zu einer zentralen Compliance-Verpflichtung geworden. Die Aufsichtsbehörden erwarten von den Instituten den Nachweis, dass die Unterlagen:

Unveränderlich und mit Zeitstempel versehen (MiFID II, MAR, PSD2).
Schnell abrufbar und nachprüfbar (AML, EMIR, CRR/CRD IV).
Mit voller Beweiskraft gewahrt (DORA, eIDAS 1).
Kryptografisch versiegelt und manipulationssicher (eIDAS 2).
Sicher verwaltet unter Einhaltung datenschutzrechtlicher Auflagen (DSGVO).
Strukturiert und für die aufsichtsrechtliche Überprüfung zugänglich (Solvency II, CSDR).

Qualifizierte elektronische Archivierung (QeA) erfüllt diese Anforderungen durch die Kombination folgender Elemente:

Unveränderlichkeit und Nichtabstreitbarkeit durch die Erstellung von Nachweisen und kryptografische Versiegelung.
Zeitstempelung und Verlängerung zur Gewährleistung der langfristigen Gültigkeit der Signatur.
Prüfpfade und schneller Abruf im Hinblick auf die Aufsichtstauglichkeit.
QTSP-Aufsicht um rechtliche Anerkennung und Vertrauen zu erlangen.
Konfigurierbare Aufbewahrungsrichtlinien um sowohl den gesetzlichen Vorgaben als auch den Grundsätzen der DSGVO gerecht zu werden.

Letztendlich ermöglicht QeA Finanzinstituten, die sich angleichenden europäischen regulatorischen Anforderungen zu erfüllen und gleichzeitig das Vertrauen und die Sicherheit im digitalen Binnenmarkt zu stärken – genau das Ziel von eIDAS. Siehe Verweis der Europäischen Kommission.

Rechtliche und aufsichtsrechtliche Anforderungen an die digitale Archivierung im Finanzsektor

Inhaltsverzeichnis