Leitlinien zu den Informationen, die für die Zulassung von Zahlungsinstituten und E-Geld-Instituten sowie für die Eintragung von Kontoinformationsdienstleistern gemäß Artikel 5 Absatz 5 der Richtlinie (EU) 2015/2366 zu übermitteln sind (EBA/GL/2017/09)

1. Einhaltung der Vorschriften und Meldepflichten

2. Gegenstand, Anwendungsbereich und Begriffsbestimmungen

3. Umsetzung

4. Vier Einheiten von Leitlinien, die für Zahlungsinstitute ( Payment Institutions, PIs ), Kontoinformationsdienstleister ( Account Information Services Providers, AISPs ), E-Geld-Institute ( Electronic Money Institutions, EMIs ) und jeweils die zuständigen Behörden ( Competent Authorities, CAs ) gelten

Leitlinie 1: Allgemeine Grundsätze

1.1 Diese Leitlinieneinheit gilt für Antragsteller für die Zulassung als Zahlungsinstitut (PI). Hierzu zählen Antragsteller, die beabsichtigen, einen oder mehrere der in Anhang I Ziffern 1-7 der Zahlungsdiensterichtlinie 2 ( Payment Services Directive 2 , PSD2) genannten Dienste oder den in Ziffer 8 aufgeführten Dienst in Kombination mit anderen Zahlungsdiensten zu erbringen. Für Antragsteller, die beabsichtigen, nur den in Anhang I Ziffer 8 der Richtlinie (EU) 2015/2366 (PSD2) genannten Dienst zu erbringen, gilt die besondere Leitlinieneinheit für Kontoinformationsdienstleister (AISP), die in Abschnitt 4.2 behandelt wird.

1.2 Die von den Antragstellern bereitgestellten Informationen sollten wahrheitsgetreu, vollständig, präzise und aktuell sein. Sämtliche Antragsteller sollten alle Bestimmungen erfüllen, die in der für sie jeweils geltenden Leitlinieneinheit enthalten sind. Die Detailgenauigkeit sollte in einem angemessenen Verhältnis zur Größe und internen Organisation des Antragstellers sowie zu Art, Umfang, Komplexität und Risikobehaftung des Dienstes bzw. der Dienste stehen, den bzw. die der Antragsteller zu erbringen beabsichtigt. In jedem Falle sind die Geschäftsleiter und die für die Geschäftsführung des Zahlungsinstituts verantwortlichen Personen im Einklang mit Richtlinie (EU) 2015/2366 zuverlässig und verfügen über angemessene Kenntnisse und Erfahrungen zur Erbringung von Zahlungsdiensten, ungeachtet der Größe und internen Organisation des Instituts sowie der Art, des Umfangs und der Komplexität seiner Tätigkeiten sowie ungeachtet der Pflichten und Zuständigkeiten der spezifischen Position.

1.3 Bei der Übermittlung der geforderten Informationen sollte der Antragsteller davon absehen,

Stattdessen sollte der Antragsteller die relevanten Abschnitte herausgreifen und diese der zuständigen Behörde (CA) zur Verfügung stellen. 1.4 Sollten die CAs eine Klarstellung der übermittelten Informationen verlangen, so sollte der Antragsteller diese unverzüglich bereitstellen.

1.5 Sämtliche im Rahmen dieser Leitlinien für die Zulassung als Zahlungsinstitut angeforderten Daten werden für die Bewertung des Antrags benötigt und von der CA in Übereinstimmung mit der Geheimhaltungspflicht gemäß der PSD2 behandelt, unbeschadet geltenden Unionsrechts und nationaler Anforderungen und Verfahren bezüglich der Ausübung des Rechts auf Zugriff, Richtigstellung, Löschung oder Einspruch/Widerspruch.

Leitlinie 2: Angaben zur Identifikation

2.1 Die vom Antragsteller zu übermittelnden Angaben zur Identifikation sollten folgende Informationen umfassen:

• a) die Unternehmensbezeichnung und, sofern hiervon abweichend, den Handelsnamen des Antragstellers;
• b) Angaben dazu, ob der Antragsteller bereits ein eingetragenes Unternehmen ist oder sich in Gründung befindet;
• c) gegebenenfalls die nationale Identifikationsnummer des Antragstellers;
• d) die Rechtsform und die Satzung (bzw. den Satzungsentwurf) des Antragstellers und/oder Gründungsunterlagen, aus denen die Rechtsform des Antragstellers hervorgeht;
• e) die Anschrift der Hauptverwaltung und des Sitzes des Antragstellers;
• f) die elektronische Adresse und Website des Antragstellers, sofern verfügbar;
• g) den bzw. die Namen der Person(en), die mit dem Antrag und dem Zulassungsverfahren befasst ist bzw. sind, sowie deren Kontaktdaten;
• h) Angaben dazu, ob der Antragsteller jemals einer Regulierung/Beaufsichtigung durch eine zuständige Behörde im Finanzdienstleistungssektor unterlag oder derzeit unterliegt;
• i) gegebenenfalls Angaben zu Wirtschaftsverband im Zusammenhang mit der Erbringung von Zahlungsdiensten, denen der Antragsteller beizutreten beabsichtigt;
• j) den Nachweis der Eintragung in das Handelsregister oder gegebenenfalls eine Negativbescheinigung eines Handelsregisters, die nachweist, dass der von dem Unternehmen verwendete Name verfügbar ist;
• k) Nachweise über die Zahlung von Gebühren oder Hinterlegung von Mitteln zur Einreichung eines Antrags auf Zulassung als Zahlungsinstitut, sofern nach entsprechend nationalem Recht anwendbar.

Leitlinie 3: Geschäftsmodell

3.1. Das vom Antragsteller zu übermittelnde Geschäftsmodell sollte folgende Informationen umfassen:

• a) eine Schritt-für-Schritt-Beschreibung der Art der beabsichtigten Zahlungsdienste, einschließlich einer Erläuterung dessen, wie die geplanten Tätigkeiten und Vorgänge nach Ansicht des Antragstellers unter die in Anhang I der PSD2 aufgeführten rechtlichen Kategorien von Zahlungsdiensten fallen;
• b) eine Erklärung dazu, ob der Antragsteller zu irgendeinem Zeitpunkt in den Besitz von Kundengeldern gelangen wird oder nicht;
• c) eine Beschreibung der Ausführung der verschiedenen Zahlungsdienste unter Angabe aller beteiligten Parteien sowie für jeden einzelnen erbrachten Zahlungsdienst folgende Angaben:
• i. ein Diagramm der Geldflüsse, es sei denn, der Antragsteller beabsichtigt ausschließlich die Erbringung von Zahlungsauslösediensten;
• ii. Verfahren des Zahlungsausgleichs, es sei denn, der Antragsteller beabsichtigt ausschließlich die Erbringung von Zahlungsauslösediensten;
• iii. Entwürfe von Verträgen zwischen allen an der Erbringung von Zahlungsdiensten beteiligten Parteien, gegebenenfalls einschließlich derer mit Kartenzahlverfahren;
• iv. Bearbeitungszeiten/Durchlaufzeiten.
• d) eine Kopie des Rahmenvertragsentwurfs im Sinne von Artikel 4 Ziffer 21 der PSD2;
• e) die geschätzte Anzahl der Betriebsstätten, von denen aus der Antragsteller beabsichtigt, die Zahlungsdienste zu erbringen und/oder gegebenenfalls Tätigkeiten im Zusammenhang mit der Erbringung von Zahlungsdiensten auszuüben;
• f) gegebenenfalls eine Beschreibung von Nebendienstleistungen zu den Zahlungsdiensten;
• g) eine Erklärung dazu, ob – und gegebenenfalls innerhalb welcher Grenzen – der Antragsteller beabsichtigt, Kredite zu gewähren;
• h) eine Erklärung dazu, ob der Antragsteller nach Erteilung der Zulassung beabsichtigt, Zahlungsdienste in anderen Mitgliedstaaten oder Drittstaaten zu erbringen;
• i) Angaben dazu, ob der Antragsteller innerhalb der nächsten drei Jahre beabsichtigt, andere gewerbliche Tätigkeiten im Sinne von Artikel 18 der Richtlinie (EU) 2015/2366 auszuüben, oder bereits ausübt, einschließlich einer Beschreibung der Art und des geschätzten Umfangs der Tätigkeiten;
• j) die Informationen gemäß den EBA-Leitlinien zu den Kriterien, anhand deren die Mindestdeckungssumme der Berufshaftpflichtversicherung oder einer anderen gleichwertigen Garantie nach Artikel 5 Absatz 4 der Richtlinie (EU) 2015/2366 festzulegen ist, sofern der Antragsteller beabsichtigt, die in Ziffer 7 und 8 genannten Dienste (Zahlungsauslösedienste und Kontoinformationsdienste) zu erbringen.

Leitlinie 4: Geschäftsplan

4.1. Der vom Antragsteller zu übermittelnde Geschäftsplan sollte Folgendes umfassen:

• a) einen Marketingplan bestehend aus:
• i. einer Analyse der Wettbewerbsposition des Unternehmens im betreffenden Zahlungsmarktsegment;
• ii. einer Beschreibung der Zahlungsdienstnutzer, Marketingmaterialien und Vertriebskanäle;
• b) sofern verfügbar, für bestehende Unternehmen: die geprüften Jahresabschlüsse der drei vorhergehenden Jahre oder eine Zusammenfassung der finanziellen Situation für Unternehmen, die noch keinen Jahresabschluss erstellt haben;
• c) eine Budgetplanung für die ersten drei Geschäftsjahre, aus der hervorgeht, dass der Antragsteller über geeignete und angemessene Systeme, Ressourcen und Verfahren

Folgendes enthalten:

• i. eine Einkommensaufstellung und eine Bilanzprognose, einschließlich Zielszenarien und Stressszenarien sowie deren Grundannahmen wie Volumen

Durchschnittsbetrag pro Transaktion, erwartete Erhöhung der Rentabilitätsschwelle;

• ii. Erläuterungen zu den wesentlichen Ertrags- und Kostenkomponenten, Finanzverbindlichkeiten und Kapitalvermögenswerten;
• iii. ein Diagramm und eine detaillierte Aufschlüsselung der geschätzten Kapitalflussrechnung für die nächsten drei Jahre;
• d) Informationen über Eigenmittel, einschließlich des Betrags und einer detaillierten Aufschlüsselung der Zusammensetzung des Anfangskapitals gemäß Artikel 7 der PSD2;
• e) Informationen zu den Eigenmittelanforderungen und deren Berechnung gemäß der/den von der zuständigen Behörde festgelegten Methode(n) nach Artikel 9 der Richtlinie (EU) 2015/2366 (PSD2), es sei denn, der Antragsteller beabsichtigt die ausschließliche Erbringung von Zahlungsauslösediensten, einschließlich:
• i. einer jährlichen Planberechnung zur Aufschlüsselung der Eigenmittel für drei Jahre entsprechend der verwendeten Methode;
• ii. einer jährlichen Planberechnung zu den Eigenmitteln für drei Jahre entsprechend den anderen Methoden.

Leitlinie 5: Organisatorischer Aufbau

5.1. Der Antragsteller sollte eine Beschreibung des organisatorischen Aufbaus seines Unternehmens übermitteln, die folgende Elemente/Angaben umfasst:

• a) ein detailliertes Organigramm, in dem jeder Geschäftsbereich, jede Abteilung oder ähnliche strukturelle Untergliederung aufgeführt ist, einschließlich des Namens bzw. der Namen der verantwortlichen Person(en), insbesondere der für die interne Kontrollmechanismen zuständigen Personen; dem Organigramm sollten Beschreibungen der Funktionen und Verantwortlichkeiten jedes Geschäftsbereichs, jeder Abteilung oder vergleichbaren strukturellen Untergliederung beigefügt sein;
• b) eine Gesamtprognose zu den Mitarbeiterzahlen für die kommenden drei Jahre;
• c) eine Darstellung der relevanten Auslagerungsvereinbarungen mit folgenden Angaben:
• i. Name und geografischer Standort des Auslagerungsunternehmens;
• ii. Namen der Personen innerhalb des Zahlungsinstituts, die für die einzelnen ausgelagerten Tätigkeiten verantwortlich sind;
• iii. eine klare Beschreibung der ausgelagerten Tätigkeiten und ihrer wesentlichen Merkmale;
• d) eine Kopie der Entwürfe der Auslagerungsvereinbarungen;
• e) eine Beschreibung der Inanspruchnahme von Zweigniederlassungen und Agenten, soweit anwendbar einschließlich folgender Angaben:
• i. eine Darstellung der Überprüfungen vor Ort bzw. der außerhalb des Standorts erfolgenden Überprüfungen, die der Antragsteller, mindestens jährlich, bei Zweigniederlassungen und Agenten durchzuführen beabsichtigt, sowie die Angabe der Häufigkeit;
• ii. die IT-Systeme, Prozesse und Infrastrukturen, mit deren Hilfe die Agenten des Antragstellers Tätigkeiten im Namen des Antragstellers ausüben;
• iii. im Falle von Agenten: die Auswahlverfahren, Überwachungsprozeduren und Schulungsmaßnahmen der Agenten sowie gegebenenfalls die Entwürfe der Auftragsbedingungen;
• iv. gegebenenfalls Angaben zu dem nationalen und/oder internationalen Zahlungssystem, zu dem der Antragsteller Zugang haben wird;
• f) eine Liste aller natürlichen und juristischen Personen, die enge Verbindungen zu dem Antragsteller aufweisen, unter Angabe ihrer Identität und der Art dieser Verbindungen.

Leitlinie 6: Nachweis des Anfangskapitals

6.1 Für den vom Antragsteller zu erbringenden Nachweis, dass dieser über das erforderliche Anfangskapitals verfügt (125 000 EUR für Dienste 1-5 in Anhang I der PSD2, 20 000 EUR für Dienst 6 und 50 000 EUR für Dienst 7) sollte der Antragsteller folgende Unterlagen übermitteln:

• a) für bestehende Unternehmen: einen geprüften Rechnungsabschluss/Bestätigung der Bank oder Auszug eines öffentlichen Registers zur Bescheinigung der Höhe des Kapitals des Antragstellers;
• b) für Unternehmen in der Gründungsphase: einen von einer Bank ausgestellten Kontoauszug zur Bescheinigung dessen, dass das Eigenkapital auf dem Bankkonto des Antragstellers hinterlegt ist.

Leitlinie 7: Maßnahmen zur Absicherung der Geldbeträge der Zahlungsdienstnutzer (gilt nur für Zahlungsdienste 1-6)

7.1. Sichert der Antragsteller die Geldbeträge des Zahlungsdienstnutzers durch Hinterlegung von Geldbeträgen auf einem gesonderten Konto bei einem Kreditinstitut oder durch Investition in sichere liquide Aktiva mit niedrigem Risiko ab, so sollte die Beschreibung der Sicherungsmaßnahmen Folgendes enthalten:

• a) gegebenenfalls eine Beschreibung der Investitionsstrategie/Anlagepolitik, damit sichergestellt ist, dass die ausgewählten Aktiva sicher und liquide und mit einem niedrigen Risiko verbunden sind;
• b) die Anzahl und Funktionen der Personen, die Zugang zu dem Treuhandkontohaben;
• c) eine Beschreibung des Verwaltungs- und Kontenabstimmungsprozesses, mit dem sichergestellt wird, dass die Geldbeträge des Zahlungsdienstnutzers in seinem Interesse gegen Ansprüche anderer Gläubiger des Zahlungsinstituts abgesichert sind, insbesondere im Falle einer Insolvenz;
• d) eine Kopie des Entwurfs des Vertrags mit dem Kreditinstitut;
• e) eine ausdrückliche Erklärung des Zahlungsinstituts, dass Artikel 10 der PSD2 eingehalten wird.

7.2. Sichert der Antragsteller die Geldbeträge der Zahlungsdienstnutzer durch eine Versicherungspolice oder eine vergleichbare Garantie eines Versicherungsunternehmens oder eines Kreditinstituts ab, so sollte die Beschreibung der Sicherungsmaßnahmen Folgendes enthalten:

• a) eine Bestätigung, dass die Versicherungspolice oder die vergleichbare Garantie eines Versicherungsunternehmens oder eines Kreditinstituts von einem Unternehmen stammt, das nicht Teil derselben Firmengruppe wie der Antragsteller ist;
• b) Einzelheiten zum (Konten-)Abstimmungsverfahren, mit dem sichergestellt wird, dass die Versicherungspolice oder die vergleichbare Garantie ausreicht, um die Sicherungspflichten des Antragstellers zu jeder Zeit zu erfüllen;
• c) Dauer und Verlängerung bzw. Erneuerung der Absicherung;

vergleichbaren Garantie.

Leitlinie 8: Unternehmenssteuerung und interne Kontrollmechanismen

8.1. Der Antragsteller sollte eine Beschreibung der Unternehmenssteuerung und der internen Kontrollmechanismen übermitteln, die Folgendes umfasst:

• a) eine Darstellung der vom Antragsteller ermittelten Risiken, einschließlich der Art der Risiken und der Verfahren, die der Antragsteller zur Bewertung und Vermeidung solcher Risiken einrichten wird;
• b) die verschiedenen Verfahren zur Durchführung von regelmäßigen und ständigen Kontrollen, einschließlich Angaben zur Häufigkeit der Kontrollen und der hierfür zugewiesenen Personalressourcen;
• c) die Rechnungslegungsstandards, anhand derer der Antragsteller seine Finanzinformationen erfassen und melden wird;
• d) den bzw. die Identitäten sowie einen aktuellen Lebenslauf der Person(en), die für die internen Kontrollfunktionen, einschließlich der regelmäßigen und ständigen Kontrolle sowie der Einhaltung der Kontrollen, verantwortlich ist bzw. sind;
• e) die Identitäten von Revisoren, die keine Abschlussprüfer im Sinne der Richtlinie 2006/43/EG sind;
• f) die Zusammenstellung des Leitungsorgans sowie gegebenenfalls anderer Aufsichtsorgane oder -ausschüsse;
• g) eine Beschreibung der Überwachung und Kontrolle der ausgelagerten Aufgaben , damit die Qualität der internen Kontrollen des Zahlungsinstituts nicht beeinträchtigt wird;
• h) eine Beschreibung, wie Agenten und Zweigniederlassungen im Rahmen der internen Kontrollen des Antragstellers überwacht und kontrolliert werden;
• i) handelt es sich beim Antragsteller um eine Tochtergesellschaft eines regulierten Unternehmens in einem anderen EU-Mitgliedstaat, eine Beschreibung der Steuerung der Unternehmensgruppe.

Leitlinie 9: Verfahren für Überwachung, Bearbeitung und Folgemaßnahmen bei Sicherheitsvorfällen und sicherheitsbezogenen Kundenbeschwerden

9.1. Der Antragsteller sollte eine Beschreibung der vorhandenen Verfahren für Überwachung, Bearbeitung und Folgemaßnahmen bei Sicherheitsvorfällen und sicherheitsbezogenen Kundenbeschwerden übermitteln, die Folgendes umfassen sollte:

• a) organisatorische Maßnahmen und Verfahren zur Betrugsprävention;
• b) Einzelheiten zu der bzw. den Person(en) und Stellen, die Kunden in Fällen von Betrug, technischen Problemen und/oder beim Forderungsmanagement unterstützen;
• c) die Berichtswege in Betrugsfällen;
• d) die Kontaktstelle für Kunden, einschließlich des Namens und der E-Mail-Adresse;
• e) die Verfahren für die Meldung von Vorfällen, einschließlich der Übermittlung dieser Berichte an interne oder externe Stellen, einschließlich der Meldung schwerwiegender Vorfälle an zuständige nationale Behörden gemäß Artikel 96 der PSD2 sowie im Einklang mit den EBA-Leitlinien zur Meldung von Vorfällen im Sinne des genannten Artikels.
• f) die verwendeten Überwachungsinstrumente und die vorhandenen Folgemaßnahmen und -verfahren zur Minderung von Sicherheitsrisiken. Leitlinie 10: Verfahren für die Erfassung, Überwachung, Rückverfolgung sowie Beschränkung des Zugangs zu sensiblen Zahlungsdaten

10.1. Der Antragsteller sollte eine Beschreibung der vorhandenen Verfahren für die Erfassung, Überwachung, Rückverfolgung sowie Beschränkung des Zugangs zu sensiblen Zahlungsdaten übermitteln, die Folgendes umfasst:

• a) eine Beschreibung der Datenströme/Datenflüsse, die im Kontext des Geschäftsmodells des Zahlungsinstituts als sensible Zahlungsdaten klassifiziert sind;
• b) die vorhandenen Verfahren zur Autorisierung des Zugangs zu sensiblen Zahlungsdaten;
• c) eine Beschreibung der Überwachungsverfahren;
• d) die Richtlinien/Handlungsanweisungen/Verfahren bezüglich Zugangsrechten, in der der Zugang zu allen relevanten Infrastrukturkomponenten und -systemen, einschließlich Datenbanken und Back-up-Infrastrukturen, geregelt ist;
• e) sofern der Antragsteller nicht die ausschließliche Erbringung von Zahlungsauslösediensten beabsichtigt, eine Beschreibung dessen, wie die gesammelten Daten erfasst werden;
• f) sofern der Antragsteller nicht die ausschließliche Erbringung von Zahlungsauslösediensten beabsichtigt, Angaben zur erwarteten internen und/oder externen Nutzung der gesammelten Daten, einschließlich durch Gegenparteien;
• g) das IT-System und die technischen Sicherheitsmaßnahmen, die angewendet werden, einschließlich Verschlüsselung und/oder Tokenisierung;
• h) Identifizierung der Rollen (Personen, Stellen und/oder Ausschüsse) mit Zugang zu sensiblen Zahlungsdaten;
• i) eine Erläuterung dessen, wie Verstöße erkannt und behoben werden;
• j) ein Jahresprogramm/einen jährlichen Prüfplan zur internen Kontrolle im Hinblick auf die Sicherheit der IT-Systeme.

Leitlinie 11: Regelungen zur Geschäftsfortführung im Krisenfall

11.1. Der Antragsteller sollte eine Beschreibung der Regelungen zur Geschäftsfortführung im Krisenfall übermitteln, die folgende Informationen umfasst:

• a) eine Analyse der Auswirkungen auf die Geschäftstätigkeit, einschließlich der Geschäftsprozesse und Wiederherstellungsziele, wie die Ziele zur Wiederanlaufzeit, zum Wiederherstellungspunkt (maximal tolerierbarer Datenverlust) sowie geschützte Vermögenswerte;
• b) die Identifizierung des Standorts des Notfallsystems, des Zugangs zur IT-Infrastruktur und der wesentlichen Software sowie der Daten, die bei einer Katastrophe oder Unterbrechung wiederhergestellt werden;
• c) eine Erläuterung dessen, wie der Antragsteller mit erheblichen Zwischenfällen und Unterbrechungen der Kontinuität, etwa dem Ausfall von kritischen Systemen, dem Verlust von maßgeblichen Daten, der Unzugänglichkeit der Geschäftsräume oder dem Verlust von maßgeblichen Personen, umgehen wird;
• d) die Häufigkeit, mit der der Antragsteller beabsichtigt, die Pläne zur Geschäftsfortführung und Notfallwiederherstellung zu überprüfen, einschließlich Angaben dazu, wie die Ergebnisse der Überprüfung erfasst werden;
• e) eine Beschreibung der Risikominderungsmaßnahmen, die der Antragsteller in Fällen der

ausstehender Zahlungsvorgänge und die Kündigung bestehender Verträge gewährleistet werden.

Leitlinie 12: Die Grundsätze und Definitionen für die Erfassung statistischer Daten über Leistungsfähigkeit, Geschäftsvorgänge und Betrugsfälle

12.1. Der Antragsteller sollte eine Beschreibung der Grundsätze und Definitionen für die Erfassung statistischer Daten über Leistungsfähigkeit, Geschäftsvorgänge und Betrugsfälle übermitteln, die folgende Informationen umfasst:

Zahlungsweg, das Zahlungsinstrument, Gerichtsbarkeiten und Währungen erfasst werden;

• b) den Umfang der Erfassung im Hinblick auf betroffene Tätigkeiten und Unternehmen, einschließlich Zweigniederlassungen und Agenten;
• c) wie die Daten erfasst werden;
• d) den Zweck der Erfassung;
• e) die Häufigkeit der Erfassung;
• f) Begleitunterlagen, etwa ein Handbuch, in der die Funktionsweise des Systems beschrieben ist. Leitlinie 13: Dokument zur Sicherheitsstrategie

13.1. Der Antragsteller sollte ein Dokument zur Sicherheitsstrategie (Sicherheitsleitlinie) übermitteln, das folgende Informationen enthält:

• a) eine detaillierte Risikobewertung der bzw. des Zahlungsdienste(s), deren bzw. dessen

Sicherheitskontroll- und Risikominderungsmaßnahmen zur Gewährleistung eines angemessenen Schutzes der Zahlungsdienstnutzer vor den festgestellten Risiken umfassen sollte;

• b) eine Beschreibung der IT-Systeme, die folgende Angaben enthalten sollte:
• i. die Architektur der Systeme und deren Netzwerkelemente;

Geschäftstätigkeiten, wie die Website, Wallets, die Payment Engine, die Engine für Risiko- und Betrugsmanagement sowie eine Übersicht aller Kunden des Antragstellers;

• iii. die für die Organisation und Verwaltung des Antragstellers verwendeten unterstützenden IT-Systeme wie Rechnungslegung, gesetzliche Meldesysteme, Personalmanagement, Kundenbeziehungsmanagement, E-Mail-Server sowie interne Dateiserver;
• iv. Angaben dazu, ob diese Systeme vom Antragsteller oder seiner Gruppe bereits genutzt werden, sowie gegebenenfalls zum geschätzten Einführungsdatum;
• c) die Art der zugelassenen Verbindungen von außen, etwa mit Partnern, Dienstleistern, Unternehmen der Gruppe und Mitarbeitern, die an externen Standorten arbeiten, einschließlich der Gründe für derartige Verbindungen;
• d) für jede der unter Punkt c) aufgeführten Verbindungen: die vorhandenen logischen Sicherheitsmaßnahmen und -mechanismen, mit Angaben zur Kontrolle, die der Antragsteller über einen derartigen Zugang haben wird, sowie zu Art und Häufigkeit der einzelnen Kontrollen, etwa technisch oder organisatorisch, präventiv oder aufklärend sowie Echtzeitüberwachung oder regelmäßige Überprüfungen, wie die Verwendung eines von der Gruppe getrennten aktiven Verzeichnisses, die Öffnung/Schließung von Kommunikationswegen, die Konfiguration von Sicherheitsmaßnahmen, die Erzeugung von Schlüsseln oder Client-Authentifizierungszertifikaten, Systemüberwachung, Authentifizierung, Vertraulichkeit der Kommunikation, Erkennung von unbefugtem Zugriff, Antivirensysteme sowie Protokolle;
• e) die logischen Sicherheitsmaßnahmen und -mechanismen, die den internen Zugang zu IT-Systemen regeln und folgende Angaben umfassen sollten:
• i. die technische und organisatorische Art und Häufigkeit einer jeden Maßnahme, etwa ob sie präventiv oder aufklärend ist und ob sie in Echtzeit ausgeführt wird oder nicht;
• ii. Angaben dazu, wie die Frage des Abschottung oder Schutz des Kundenumfelds in Fällen gehandhabt wird, in denen die IT-Ressourcen des Antragstellers geteilt werden;
• f) die physischen Sicherheitsmaßnahmen und -mechanismen der Geschäftsräume und des Datenzentrums des Antragstellers, etwa Zugangskontrollen und Umgebungssicherheit;
• g) die Sicherheit der Zahlungsprozesse, einschließlich folgender Elemente:
• i. das Verfahren zur Kundenauthentifizierung, das für sowohl lesenden als auch transaktionsbezogenen Zugriff verwendet wird, sowie für alle zugrunde liegenden Zahlungsinstrumente;

Zahlungsdienstnutzer und die Integrität der Authentifizierungsfaktoren wie Hardware-Tokens und Mobilanwendungen sowohl zum Zeitpunkt der Erstanmeldung als auch bei der Erneuerung sichergestellt werden;

Transaktionsanalysen und die Identifizierung von verdächtigen oder unüblichen Vorgängen/Transaktionen eingerichtet hat;

• h) eine ausführliche Risikobewertung im Hinblick auf seine Zahlungsdienste, unter anderem zum Betrugsrisiko, mit Verbindung zu den im Antrag erläuterten Kontroll- und Risikominderungsmaßnahmen, woraus hervorgeht, dass sich mit diesen Risiken befasst wird;

Zusammenhang mit den IT-Systemen des Antragstellers oder für Verfahren, die noch nicht formalisiert wurden, das geschätzte Fertigstellungsdatum.

Leitlinie 14: Interne Kontrollmechanismen zur Erfüllung der Anforderungen zur Verhinderung der Geldwäsche und der Terrorismusfinanzierung

14.1. Die Beschreibung der internen Kontrollmechanismen, die der Antragsteller eingeführt hat, um diese Anforderungen zu erfüllen, sollte gegebenenfalls folgende Informationen umfassen:

• a) die Bewertung des Antragsstellers bezüglich der Risiken hinsichtlich Geldwäsche und Terrorismusfinanzierung im Zusammenhang mit seiner Geschäftstätigkeit , einschließlich der Risiken in Verbindung mit dem Kundenstamm sowie den Produkten und Diensten des Antragstellers, den verwendeten Vertriebskanälen sowie den geografischen Tätigkeitsbereichen;
• b) die Maßnahmen, die der Antragsteller eingeführt hat oder einführen wird, um die geltenden Anforderungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung zu erfüllen, einschließlich seines Risikobewertungsprozesses, der Richtlinien und Verfahren zur Erfüllung der Sorgfaltspflichten gegenüber Kunden sowie der Richtlinien und Verfahren zur Erkennung und Meldung verdächtiger Vorgänge/Transaktionen oder Tätigkeiten;
• c) die Systeme und Kontrollen, die der Antragsteller eingeführt hat oder einführen wird, um sicherzustellen, dass seine Zweigniederlassungen und Agenten die geltenden Anforderungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung erfüllen, auch in Fällen, in denen sich die Zweigniederlassung oder der Agent in einem anderen Mitgliedstaat befindet;
• d) die Vorkehrungen, die der Antragsteller getroffen hat oder treffen wird, um sicherzustellen, dass Personal und Agenten in Angelegenheiten der Verhinderung von Geldwäsche und Terrorismusfinanzierung angemessen geschult sind;
• e) die Identität der Person, die dafür zuständig ist, die Erfüllung der Anforderungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung sicherzustellen, und Nachweise dafür, dass deren Fachkenntnis im Bereich der Verhinderung von Geldwäsche und Terrorismusfinanzierung ausreichend ist, um diese Aufgabe wirksam zu erfüllen;
• f) die Systeme und Kontrollen, die der Antragsteller eingeführt hat oder einführen wird, um sicherzustellen, dass seine Richtlinien und Verfahren zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung auf dem neuesten Stand, wirksam und relevant bleiben;
• g) die Systeme und Kontrollen, die der Antragsteller eingeführt hat oder einführen wird, um sicherzustellen, dass die Agenten den Antragsteller nicht einem erhöhten Risiko in Bezug auf Geldwäsche und Terrorismusfinanzierung aussetzen;
• h) das Handbuch zur Verhinderung von Geldwäsche und Terrorismusfinanzierung für die Mitarbeiter des Antragstellers. Leitlinie 15: Identität sowie Eignungsbeurteilung der Personen, die eine qualifizierte Beteiligung an dem Antragsteller halten

15.1 Zur Angabe der Identität der Personen, die eine qualifizierte Beteiligung an dem antragstellenden Zahlungsinstitut halten, sowie zum Nachweis ihrer Eignung sollte der Antragsteller – unbeschadet der Bewertung gemäß den Kriterien, die mit Richtlinie 2007/44/EG eingeführt und in den Gemeinsamen Leitlinien zur aufsichtsrechtlichen Beurteilung des Erwerbs von qualifizierten Beteiligungen (JC/GL/2016/01) spezifiziert wurden – die folgenden Informationen übermitteln:

• a) eine Beschreibung der Gruppe, zu der der Antragsteller gehört, und gegebenenfalls die Angabe des Mutterunternehmens;
• b) ein Diagramm zur Beteiligungsstruktur des Antragstellers, das folgende Elemente umfasst:
• i) den Namen und den prozentualen Anteil (Kapital/Stimmrechte) jeder Person, die eine direkte Beteiligung am Grundkapital des Antragstellers hält oder halten wird, unter Angabe der Personen, die als qualifizierte Beteiligte eingestuft werden, sowie der Gründe für diese Einstufung;
• ii) den Namen und den prozentualen Anteil (Kapital/Stimmrechte) jeder Person, die eine indirekte Beteiligung am Grundkapital des Antragstellers hält oder halten wird, unter Angabe der Personen, die als indirekt qualifizierte Beteiligte eingestuft werden, sowie der Gründe für diese Einstufung;
• c) eine Liste der Namen aller Personen oder sonstigen Stellen, die eine qualifizierte Beteiligung am Kapital des Antragstellers halten oder – im Falle der Zulassung – halten werden, wobei für jede dieser Personen oder sonstigen Stellen Folgendes anzugeben ist:
• i. die Anzahl und Art der Anteile oder sonstigen Beteiligungen, die gezeichnet sind oder werden;
• ii. der Nennwert dieser Anteile oder sonstigen Beteiligungen.

15.2 Handelt es sich bei der Person, die eine qualifizierte Beteiligung am Kapital des Antragstellers hält oder – im Falle der Zulassung – halten wird, um eine natürliche Person, sollte der Antrag folgende Informationen bezüglich der Identität und Eignung dieser Person enthalten:

• a) Name und Geburtsname, Geburtsdatum und -ort, (derzeitige und frühere) Staatsangehörigkeit, (sofern verfügbar) Identifikationsnummer oder Passnummer, Anschrift und Kopie eines amtlichen Ausweisdokuments der Person;
• b) einen detaillierten Lebenslauf, aus dem die Aus- und Weiterbildung, bereits vorhandene Berufserfahrung und alle beruflichen Aktivitäten oder sonstigen Funktionen, die derzeit ausgeübt werden, hervorgehen;
• c) eine Erklärung mit Begleitdokumenten, die folgende Informationen zu der Person enthält:
• i. vorbehaltlich nationaler gesetzlicher Anforderungen betreffend die Offenlegung von Straftilgungen, strafrechtliche Verurteilungen oder Strafverfahren, in denen gegen die Person entschieden wurde und die nicht aufgehoben wurden;
• ii. zivil- oder verwaltungsrechtliche Entscheidungen in Angelegenheiten, die für den Bewertungs- oder Zulassungsprozess relevant sind und in denen gegen die Person entschieden wurde, sowie verwaltungsrechtliche Sanktionen oder Maßnahmen, die infolge eines Verstoßes gegen Gesetze oder Verordnungen (einschließlich Disqualifizierung als Unternehmensleiter) verhängt wurden, die nicht aufgehoben wurden und gegen die kein Rechtsmittel/Rechtsbehelf anhängig ist oder eingelegt werden kann;
• iii. Konkurs, Insolvenz oder ähnliche Verfahren;
• iv. laufende strafrechtliche Ermittlungen;
• v. zivil- oder verwaltungsrechtliche Ermittlungen, Vollstreckungsverfahren, Sanktionen oder sonstige Vollstreckungsentscheidungen gegen die Person betreffend Angelegenheiten, die als relevant für die Zulassung zur Aufnahme der Tätigkeit als Zahlungsinstitut oder die solide und umsichtige Führung eines Zahlungsinstitut angesehen werden können;
• vi. sofern verfügbar, eine amtliche Bescheinigung oder ein sonstiges gleichwertiges Dokument, aus dem hervorgeht, ob eines der in den Unterabsätzen (i)-(v) genannten Ereignisse in Verbindung mit der jeweiligen Person aufgetreten ist oder nicht;
• vii. Ablehnung der Eintragung, Erlaubnis, Mitgliedschaft oder Lizenz zur Abwicklung eines Gewerbes, eines Geschäfts oder zur Ausübung eines Berufs;
• viii. Rücknahme, Widerruf oder Kündigung einer solchen Eintragung, Erlaubnis, Mitgliedschaft oder Lizenz zur Abwicklung eines Handels, eines Geschäfts oder zur Ausübung eines Berufs;
• ix. Ausschluss durch eine Behörde oder öffentliche Stelle im Finanzdienstleistungssektor oder durch ein Berufsgremium oder einen Berufsverband;

strafrechtlichen Verurteilung oder von Strafverfahren, verwaltungsrechtlichen Ermittlungen, Sanktionen oder sonstigen Vollstreckungsentscheidungen aufgrund von Fehlverhalten – einschließlich in Bezug auf Betrug, Unehrlichkeit, Korruption, Geldwäsche, Terrorismusfinanzierung oder sonstige Finanzstraftaten

• – oder aufgrund des Versäumnisses ist, angemessene Strategien und Verfahren zur Verhinderung derartiger Vorkommnisse einzuführen, die zu dem Zeitpunkt des angeblichen Fehlverhaltens bekleidet wurde, zusammen mit Einzelheiten zu derartigen Vorkommnissen und gegebenenfalls der Beteiligung der betreffenden Person daran;
• xi. Verlust des Arbeitsplatzes oder einer Vertrauensstellung, eines Treuhandverhältnisses (die nicht Folge der regulären Beendigung des betreffenden Verhältnisses durch Zeitablauf ist) durch Kündigung des Arbeitgebers oder eine ähnliche Situation;
• d) eine Liste der Unternehmen, die die Person leitet oder kontrolliert und derer der Antragsteller nach gebührender und sorgfältiger Untersuchung gewahr ist; die

(aktiv/inaktiv, aufgelöst usw.) sowie eine Beschreibung von Insolvenzverfahren oder ähnlichen Verfahren;

• e) sofern bereits eine Bewertung der Zuverlässigkeit durch eine zuständige Behörde im Finanzdienstleistungssektor vorgenommen wurde, die Identität dieser Behörde und die Ergebnisse der Bewertung;
• f) die gegenwärtige Finanzlage der Person, einschließlich Angaben zu Einnahmequellen, Vermögenswerten und Verbindlichkeiten, gewährten oder erlangten Pfandrechten oder Garantien;
• g) eine Beschreibung möglicher Verbindungen zu politisch exponierten Personen im Sinne von Artikel 3 Absatz 9 der Richtlinie (EU) 2015/849² .

15.3 Falls eine Person oder eine Personenvereinigung eine qualifizierte Beteiligung am Kapital des Antragstellers hält oder – im Falle der Zulassung – halten wird (einschließlich Personen, die keine juristische Personen sind und die Beteiligung in eigenem Namen halten oder halten sollten), sollte der Antrag die folgenden Informationen zur Identität und Eignung dieser juristischen Person oder der Personenvereinigung enthalten:

• a) Name;
• b) ist die juristische Person oder Personenvereinigung in einem Zentralregister, Handelsregister, Unternehmensregister oder einem ähnlichen Register, das dieselben Zwecke wie die genannten Register erfüllt, erfasst, eine Kopie der Zuverlässigkeitsbescheinigung oder, sofern möglich, einer sonstigen Registrierungsbescheinigung;
• c) die Anschrift ihres Geschäftssitzes und, sofern abweichend, ihrer Hauptverwaltung und Hauptniederlassung;
• d) Kontaktangaben;
• e) Unternehmensunterlagen oder, falls die Person oder Personenvereinigung in einem anderen Mitgliedstaat registriert ist, eine zusammenfassende Erläuterung der wichtigsten rechtlichen Merkmale der Rechtsform oder der juristischen Person;
• f) Angaben dazu, ob die juristische Person oder Personenvereinigung jemals einer Regulierung/Beaufsichtigung durch eine zuständige Behörde im Finanzdienstleistungssektor oder eine sonstige staatliche Stelle unterlag oder derzeit unterliegt;
• g) sofern verfügbar, eine amtliche Bescheinigung oder ein sonstiges gleichwertiges Dokument der jeweiligen zuständigen Behörde, aus dem die Informationen gemäß den Buchstaben (a) bis (e) hervorgehen;
• h) die Informationen gemäß Leitlinie 15 Absatz 2 Buchstaben (c), (d), (e) (f) und (g) im Hinblick auf die juristische Person oder Personenvereinigung;
• i) eine Liste mit Angaben zu jeder Person, die die Geschäfte der juristischen Person oder Personenvereinigung tatsächlich leitet, einschließlich ihres Namens, Geburtsdatums und -orts, ihrer Anschrift, ihrer nationalen Identifikationsnummer (sofern verfügbar) und eines detaillierten Lebenslaufs (aus dem die jeweilige Aus- und Weiterbildung, bereits vorhandene Berufserfahrung und alle beruflichen Aktivitäten oder sonstigen Funktionen, die derzeit ausgeübt werden, hervorgehen), zusammen mit den Informationen gemäß Leitlinie 15 Absatz 2 Buchstaben (c) und (d) in Bezug auf jede dieser Personen;
• j) die Beteiligungsstruktur der juristischen Person, einschließlich mindestens ihres Namens, Geburtsdatums und -orts, ihrer Anschrift, ihrer persönlichen Identifikationsnummer oder Registrierungsnummer (sofern verfügbar) sowie des jeweiligen Anteils am Kapital oder Stimmrechten von direkten oder indirekten Anteilseignern oder Mitgliedern und wirtschaftlichen Eigentümern gemäß Definition in Artikel 3 Ziffer 6 der Richtlinie (EU) 2015/849;
• k) eine Beschreibung der regulierten Finanzgruppe, der der Antragsteller angehört oder womöglich angehören wird, unter Angabe der Muttergesellschaft und der Kredit-, Versicherungs- und Wertpapierunternehmen innerhalb der Gruppe sowie der Bezeichnung ihrer zuständigen Behörden (auf individueller oder konsolidierter Basis); und
• l) den Jahresabschluss, auf individueller und gegebenenfalls konsolidierter und unterkonsolidierter Gruppenebene, für die letzten drei Geschäftsjahre, falls die juristische Person oder Personenvereinigung in diesem Zeitraum tätig war (oder falls es

Personenvereinigung tätig war und für den ein Abschluss erstellt wurde), der vom Abschlussprüfer oder der Prüfungsgesellschaft im Sinne von Richtlinie 2006/43/EG³ geprüft wurde, gegebenenfalls einschließlich folgender Unterlagen:

• i. Bilanz;
• ii. Gewinn- und Verlustrechnung oder Erfolgsrechnung;
• iii. Jahresberichte und finanzielle Anhänge sowie sonstige Dokumente, die in dem einschlägigen Register oder bei der zuständigen Behörde der juristischen Person erfasst sind;
• m) war die juristische Person nicht für einen ausreichenden Zeitraum tätig, der für die Erstellung eines Abschlusses für die drei Geschäftsjahre unmittelbar vor dem Zeitpunkt der Antragstellung erforderlich ist, ist dem Antrag der bestehende Abschluss (sofern vorliegend) beizulegen;
• n) hat die juristische Person oder Personenvereinigung ihre Hauptverwaltung in einem Drittstaat, allgemeine Informationen über die für die juristische Person oder Personenvereinigung in diesem Drittstaat geltenden Rechtsvorschriften, einschließlich Informationen dazu, inwieweit die Regelungen des Drittstaats zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung den Empfehlungen der „Financial Action Task Force“ entsprechen;
• o) für Einrichtungen, die keine Rechtspersönlichkeit besitzen, wie Organismen für gemeinsame Anlagen, Staatsfonds oder Treuhandgesellschaften (Trusts), muss der Antrag folgende Informationen enthalten:
• i. die Identität der Personen, die Vermögenswerte verwalten, sowie der Personen, die Begünstigte oder Zeichner sind;

einschließlich der Anlagepolitik sowie für die Einrichtung geltender Anlagebeschränkungen.

15.4. Der Antrag muss für jede natürliche oder juristische Person oder Personenvereinigung, die eine qualifizierte Beteiligung am Kapital des Antragstellers hält oder – im Falle der Zulassung

• – halten wird, folgende Informationen enthalten:
• a) Einzelheiten zu den finanziellen oder geschäftlichen Gründen dieser Person für das Halten dieser Beteiligung sowie zu der Strategie der Person oder Personenvereinigung hinsichtlich der Beteiligung, einschließlich des Zeitraums, während dessen die Person oder Personenvereinigung das Halten dieser Beteiligung beabsichtigt, oder der etwaigen Absicht, die Höhe ihrer Beteiligung in absehbarer Zukunft aufzustocken, zu reduzieren oder beizubehalten;
• b) Einzelheiten zu den Absichten der Person oder Personenvereinigung in Bezug auf den Antragsteller und dem Einfluss, den die Person auf den Antragsteller auszuüben beabsichtigt, einschließlich in Bezug auf die Dividendenpolitik, die strategische Entwicklung oder die Ressourcenallokation des Antragstellers, sowie Einzelheiten dazu, ob diese beabsichtigt, als aktiver Minderheitsgesellschafter zu agieren, sowie zu den Gründen für eine solche Absicht;
• c) Informationen zur Bereitschaft der Person oder Personenvereinigung, den Antragsteller mit zusätzlichen eigenen Mitteln zu unterstützen, wenn dies für die Vornahme von dessen Tätigkeit erforderlich ist oder im Falle finanzieller Engpässe;
• d) den Inhalt angestrebter Anteilseigner- oder Mitgliedervereinbarungen mit anderen Anteilsinhabern oder Mitgliedern in Bezug auf den Antragsteller;
• e) eine Analyse dazu, ob sich die qualifizierte Beteiligung auf irgendeine Weise, unter anderem infolge der engen Verbindungen der Person zu dem Antragsteller, auf die Fähigkeit des Antragstellers auswirken wird, den zuständigen Behörden rechtzeitige und präzise Informationen bereitzustellen;
• f) die Identität aller Mitglieder des Leitungsorgans oder der Geschäftsleitung, die die Geschäfte des Antragstellers leiten und von diesen Anteilsinhabern oder Mitgliedern ernannt werden oder nominiert worden sind, zusammen mit den in Leitlinie 16 aufgeführten Informationen (sofern noch nicht bereitgestellt).

15.5. Der Antrag sollte eine ausführliche Erläuterung zu den konkreten Finanzierungsquellen der Beteiligung jeder Person oder jeder Personenvereinigung enthalten, die eine qualifizierte Beteiligung am Kapital des Antragstellers hält. Diese Erläuterung sollte folgende Angaben umfassen:

• a) Angaben zur Verwendung privater Finanzmittel, einschließlich ihrer Verfügbarkeit und (damit sich die zuständige Behörde vergewissern kann, dass die Tätigkeit, mit der diese Mittel generiert wurden, rechtmäßig ist) ihrer Herkunft;
• b) Angaben zum Zugang zu Finanzmärkten, einschließlich Angaben zu den zu emittierenden Finanzinstrumenten;
• c) Angaben zur Verwendung von Fremdmitteln, einschließlich der Namen der jeweiligen Kreditgeber, sowie Angaben zu den eingeräumten Fazilitäten wie Fälligkeit, Bedingungen, Pfandrechte und Garantien, sowie Informationen über die Einnahmequelle, die verwendet werden soll, um die Fremdmittel zurückzuzahlen;

Finanzinstitut, das zur Kreditvergabe befugt ist, sollte der Antragsteller den zuständigen Behörden Informationen zur Herkunft der Fremdmittel bereitstellen;

• d) Informationen zu allen finanziellen Vereinbarungen mit anderen Personen, die Anteilsinhaber oder Mitglieder des Antragstellers sind.

Leitlinie 16: Identität sowie Eignungsbeurteilung der Geschäftsleiter und der für die Geschäftsführung des Zahlungsinstituts verantwortlichen Personen

16.1. Zur Angabe der Identität sowie zur Beurteilung der Eignung von Geschäftsleitern und der für die Geschäftsführung des Zahlungsinstituts verantwortlichen Personen sollte der Antragsteller folgende Informationen übermitteln:

• a) Personalien, einschließlich folgender Angaben:
• i. vollständiger Name, Geschlecht, Geburtsort und -datum, Anschrift und Staatsangehörigkeit sowie persönliche Identifikationsnummer oder eine Kopie des Personalausweises oder eines gleichwertigen Dokuments;
• ii. Angaben zu der Position, für die die Beurteilung erfolgen soll, sowie dazu, ob die betreffende Position im Leitungsorgan in seiner Leitungs- bzw. Aufsichtsfunktion ist. Dies sollte auch folgende Elemente umfassen:

• b) gegebenenfalls Informationen über die vom Antragsteller durchgeführte Eignungsbeurteilung, die auch Einzelheiten über die Ergebnisse einer vom Institut durchgeführten Eignungsbeurteilung einer Einzelperson umfassen sollte, etwa einschlägige Vorstandsprotokolle oder Eignungsbeurteilungsberichte oder sonstige Dokumente;
• c) Nachweise über Kenntnisse, Fähigkeiten und Erfahrung, die einen Lebenslauf mit Einzelheiten zu Ausbildung und Berufserfahrung umfassen sollten, einschließlich akademischer Qualifikationen, sonstiger relevanter Weiterbildungsmaßnahmen, des Namens und der Art aller Organisationen, für die die Person tätig ist oder war, sowie der Art und Dauer der ausgeübten Funktionen, unter besonderer Hervorhebung von Tätigkeiten, die im Themenbereich der angestrebten Position liegen;
• d) Nachweise über Zuverlässigkeit, Redlichkeit und Integrität, die Folgendes umfassen sollten:
• i. Strafregisterauszüge sowie relevante Informationen über strafrechtliche Ermittlungen und Strafverfahren, relevante Zivil- oder Verwaltungsrechtsstreitigkeiten, Disziplinarmaßnahmen (einschließlich Disqualifizierung als Unternehmensleiter oder Konkurs, Insolvenz oder ähnliche Verfahren), nachzuweisen insbesondere durch eine amtliche Bescheinigung/polizeiliches Führungszeugnis oder eine objektiv zuverlässige Informationsquelle darüber, dass keine strafrechtlichen Verurteilungen, Ermittlungen oder Strafverfahren vorliegen, etwa durch Ermittlungen von Dritten oder Zeugnisse von Anwälten oder Notaren mit Sitz in der Europäischen Union;
• ii. eine Erklärung dazu, ob Strafverfahren anhängig sind oder ob die Person oder eine von ihr geleitete Organisation als Schuldner in ein Insolvenzverfahren oder ähnliche Verfahren verwickelt war;
• iii. Informationen betreffend folgende Aspekte:

Leitlinie 17: Identität von Abschlussprüfern und Prüfungsgesellschaften

Die vom Antragsteller zu übermittelnden Angaben zur Identität von Abschlussprüfern und Prüfungsgesellschaften im Sinne der Richtlinie 2006/43/EG sollten gegebenenfalls die Namen, Anschriften und Kontaktangaben der Prüfer umfassen.

Leitlinie 18: Berufshaftpflichtversicherung oder eine gleichwertige Garantie für Zahlungsauslösedienste und Kontoinformationsdienste

Als Nachweis für eine Berufshaftpflichtversicherung oder gleichwertige Garantie, die den EBA-Leitlinien zu den Kriterien, anhand deren die Mindestdeckungssumme der Berufshaftpflichtversicherung oder einer anderen gleichwertigen Garantie festzulegen ist (EBA/GL/2017/08), sowie Artikel 5 Absätze 2 und 3 der PSD2 entsprechen, sollte der Antragsteller für die Erbringung von Zahlungsauslösediensten oder Kontoinformationsdiensten folgende Informationen übermitteln:

• a) einen Versicherungsvertrag oder ein gleichwertiges Dokument zum Nachweis einer bestehenden Berufshaftpflichtversicherung oder gleichwertigen Garantie, mit einer Deckungssumme, die den genannten EBA-Leitlinien entspricht, woraus hervorgeht, dass die relevanten Haftungsverpflichtungen abgedeckt sind;
• b) Dokumentation dazu, wie der Antragsteller die Mindestdeckungssumme entsprechend den genannten EBA-Leitlinien berechnet hat, einschließlich aller anwendbaren Komponenten der darin angeführten Formel.

² Richtlinie (EU) 2015/849 des Europäischen Parlaments und des Rates vom 20. Mai 2015 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche und der Terrorismusfinanzierung (ABl. L 141 vom 5.6.2015, S. 73).

³ Richtlinie 2006/43/EG des Europäischen Parlaments und des Rates vom 17. Mai 2006 über Abschlussprüfungen von Jahresabschlüssen und konsolidierten Abschlüssen, zur Änderung der Richtlinien 78/660/EWG und 83/349/EWG des Rates und zur Aufhebung der Richtlinie 84/253/EWG des Rates (ABl. L 157 vom 9.6.2006, S. 87-107).

Leitlinie 1: Allgemeine Grundsätze

1.1 Diese Leitlinieneinheit gilt für Antragsteller für die Eintragung in das Register als Kontoinformationsdienstleister (AISP). Hierbei handelt es sich um Antragsteller, die beabsichtigen, nur Kontoinformationsdienste (AIS) zu erbringen. Sollte der Antragsteller beabsichtigen, zusätzlich zu den Kontoinformationsdiensten weitere Dienste zu erbringen, sollte er eine Zulassung beantragen und die in Abschnitt 4.1 aufgeführten Leitlinien für Zahlungsinstitute (PI) heranziehen.

1.2 Die von den Antragstellern bereitgestellten Informationen sollten wahrheitsgetreu, vollständig, präzise und aktuell sein. Sämtliche Antragsteller sollten alle Bestimmungen erfüllen, die in der für sie jeweils geltenden Leitlinieneinheit enthalten sind. Die für die Erfüllung der Anforderungen erforderliche Detailgenauigkeit sollte in einem angemessenen Verhältnis zur Größe und internen Organisation des Antragstellers sowie zu Art, Umfang, Komplexität und Risikobehaftung des Dienstes bzw. der Dienste stehen, den bzw. die der Antragsteller zu erbringen beabsichtigt. In jedem Falle sind die Geschäftsleiter und die für die Geschäftsführung des Zahlungsinstituts verantwortlichen Personen im Einklang mit Richtlinie (EU) 2015/2366 zuverlässig und verfügen über angemessene Kenntnisse und Erfahrungen zur

1.3 Bei der Übermittlung der geforderten Informationen sollte der Antragsteller davon absehen,

Stattdessen sollte der Antragsteller die relevanten Abschnitte herausgreifen und diese der zuständigen Behörde (CA) zur Verfügung stellen. 1.4 Sollten die CAs eine Klarstellung der übermittelten Informationen verlangen, so sollte der Antragsteller diese unverzüglich bereitstellen.

1.5 Sämtliche im Rahmen dieser Leitlinien für die Eintragung in das Register als Kontoinformationsdienstleister angeforderten Daten werden für die Bewertung des Antrags

Geheimhaltungspflicht gemäß PSD2 behandelt, unbeschadet geltenden Unionsrechts und nationaler Anforderungen und Verfahren bezüglich der Ausübung des Rechts auf Zugriff, Richtigstellung, Löschung oder Einspruch/Widerspruch.

Leitlinie 2: Angaben zur Identifikation

2.1 Handelt es sich beim Antragsteller um eine natürliche Person, sollten die von ihm zu übermittelnden Angaben zur Identifikation folgende Informationen umfassen:

• a) Name, Anschrift, Staatsangehörigkeit sowie Geburtsdatum und -ort;
• b) eine Kopie des Personalausweises oder eines gleichwertigen Ausweisdokuments;
• c) einen aktualisierten Lebenslauf;
• d) ein höchstens drei Monate altes polizeiliches Führungszeugnis;
• e) den bzw. die Namen der Person(en), die mit dem Antragsdossier und dem Zulassungsverfahren befasst ist bzw. sind, sowie deren Kontaktangaben;

2.2 Handelt es sich beim Antragsteller um eine juristische Person, sollten die von ihm zu übermittelnden Angaben zur Identifikation folgende Informationen umfassen:

• a) den Unternehmensnamen/Firma und, sofern hiervon abweichend, den Handelsnamen des Antragstellers;
• b) Angaben dazu, ob der Antragsteller bereits ein eingetragenes Unternehmen ist oder sich in Gründung befindet;
• c) gegebenenfalls die nationale Identifikationsnummer des Antragstellers;
• d) die Rechtsform und die Satzung (bzw. den Satzungsentwurf) des Antragstellers und/oder Gründungsunterlagen, aus denen die Rechtsform des Antragstellers hervorgeht;
• e) die Anschrift der Hauptverwaltung und des Sitzes des Antragstellers;
• f) die elektronische Adresse und Website des Antragstellers, sofern verfügbar;
• g) den bzw. die Namen der Person(en), die mit dem Antrag und dem Zulassungsverfahren befasst ist bzw. sind, sowie deren Kontaktdaten;
• h) Angaben dazu, ob der Antragsteller jemals einer Regulierung/Beaufsichtigung durch eine zuständige Behörde im Finanzdienstleistungssektor unterlag oder derzeit unterliegt;
• i) den Nachweis der Eintragung in das Handelsregister oder gegebenenfalls eine Negativbescheinigung eines Handelsregisters, die nachweist, dass der von dem Unternehmen verwendete Name verfügbar ist;
• j) gegebenenfalls Nachweise nach nationalem Recht über die Zahlung von Gebühren oder Hinterlegung von Mitteln zur Einreichung eines Antrags auf Eintragung in das Register als Kontoinformationsdienstleister.

Leitlinie 3: Geschäftsmodell

3.1. Das vom Antragsteller zu übermittelnde Geschäftsmodell sollte folgende Informationen umfassen:

• a) eine Beschreibung des Kontoinformationsdienstes, der erbracht werden soll, einschließlich einer Erläuterung dessen, wie der Antragsteller bestimmt hat, dass die Tätigkeit der Definition eines Kontoinformationsdienstes im Sinne der Definition in Artikel 4 Ziffer 16 der Richtlinie (EU) 2015/2366 (PSD2) entspricht;
• b) eine Erklärung des Antragstellers, dass er zu keinem Zeitpunkt in den Besitz von Kundengeldern gelangen wird;
• c) eine Beschreibung der Erbringung des Kontoinformationsdienstes, einschließlich:
• i. gegebenenfalls Entwürfe von Verträgen zwischen allen beteiligten Parteien;
• ii. Geschäftsbedingungen der Erbringung der Kontoinformationsdienste;
• iii. Bearbeitungszeiten/Durchlaufzeiten;
• d) gegebenenfalls die geschätzte Anzahl der Betriebsstätten, von denen der Antragsteller beabsichtigt, die Dienste zu erbringen;
• e) gegebenenfalls eine Beschreibung von Nebendienstleistungen zu dem Kontoinformationsdienst;
• f) eine Erklärung dazu, ob der Antragsteller beabsichtigt, nach der Eintragung in das Register Kontoinformationsdienste in einem anderen EU-Mitgliedstaat oder weiteren Ländern zu erbringen;
• g) Angaben dazu, ob der Antragsteller innerhalb der nächsten drei Jahre beabsichtigt, andere gewerbliche Tätigkeiten als Kontoinformationsdienste im Sinne von Artikel 18 der Richtlinie (EU) 2015/2366 auszuüben oder bereits ausübt, einschließlich einer Beschreibung der Art und des geschätzten Umfangs der Tätigkeiten;
• h) die Informationen gemäß den EBA-Leitlinien zu den Kriterien, anhand deren die Mindestdeckungssumme der Berufshaftpflichtversicherung oder einer anderen gleichwertigen Garantie nach Artikel 5 Absatz 4 der Richtlinie (EU) 2015/2366 festzulegen ist (EBA/GL/2017/08), sofern der Antragsteller beabsichtigt, ausschließlich die in Ziffer 8 genannte Dienste (Kontoinformationsdienste) zu erbringen.

Leitlinie 4: Geschäftsplan

4.1. Der vom Antragsteller zu übermittelnde Geschäftsplan sollte Folgendes umfassen:

• a) einen Marketingplan bestehend aus:
• i. einer Analyse der Wettbewerbsposition des Unternehmens;
• ii. einer Beschreibung der Kontoinformationsdienstnutzer im betreffenden Segment des Kontoinformationsdienstmarktes sowie der Marketingmaterialien und Vertriebskanäle;
• b) die geprüften Jahresabschlüsse der drei vorhergehenden Jahre (sofern verfügbar) oder eine Zusammenfassung der finanziellen Situation für die Antragsteller, die noch keinen Jahresabschluss erstellt haben;
• c) eine Budgetplanung für die ersten drei Geschäftsjahre, aus der hervorgeht, dass der Antragsteller über geeignete und angemessene Systeme, Ressourcen und Verfahren

• i. eine Einkommensaufstellung/prognostizierte Gewinn- und Verlustrechnung und

deren Grundannahmen wie Anzahl der Kunden, Preisgestaltung und erwartete Erhöhung der Rentabilitätsschwelle;

• ii. Erläuterungen zu den wesentlichen Ertrags- und Kostenkomponenten, Finanzverbindlichkeiten und Kapitalvermögenswerten;
• iii. ein Diagramm und eine detaillierte Aufschlüsselung der geschätzten Kapitalflussrechnung für die nächsten drei Jahre. Leitlinie 5: Organisatorischer Aufbau

5.1. Handelt es sich beim Antragsteller um eine natürliche Person, sollte die Beschreibung des organisatorischen Aufbaus des Unternehmens des Antragstellers folgende Informationen umfassen:

• a) eine Gesamtprognose zu den Mitarbeiterzahlen für die kommenden drei Jahre;
• b) eine Darstellung der relevanten operationellen Auslagerungsvereinbarungen mit folgenden Angaben:
• i. Name und geografischer Standort des Auslagerungsunternehmens;
• ii. Namen der Personen beim Kontoinformationsdienstleister, die für die einzelnen ausgelagerten Tätigkeiten verantwortlich sind;

wesentlichen Merkmale;

• c) eine Kopie der Entwürfe der Auslagerungsvereinbarungen;
• d) gegebenenfalls eine Beschreibung der Inanspruchnahme von Zweigniederlassungen und Agenten, einschließlich folgender Elemente:
• i. eine Darstellung der Überprüfungen vor Ort bzw. der außerhalb des Standorts erfolgenden Überprüfungen, die der Antragsteller bei Zweigniederlassungen und Agenten durchzuführen beabsichtigt;
• ii. die IT-Systeme, Prozesse und Infrastrukturen, mit deren Hilfe die Agenten des Antragstellers Tätigkeiten im Namen des Antragstellers ausüben;
• iii. im Falle von Agenten: die Auswahlverfahren, Überwachungsprozeduren und Schulungsmaßnahmen der Agenten sowie gegebenenfalls die Entwürfe der Auftragsbedingungen;
• e) eine Liste aller natürlichen und juristischen Personen, die enge Verbindungen zu dem antragstellenden Kontoinformationsdienstleister aufweisen, unter Angabe ihrer Identität und der Art dieser Verbindungen.

5.2. Handelt es sich beim Antragsteller um eine juristische Person, sollte die Beschreibung des organisatorischen Aufbaus seines Unternehmens folgende Informationen umfassen:

• a) ein detailliertes Organigramm, in dem jeder Geschäftsbereich, jede Abteilung oder ähnliche strukturelle Untergliederung aufgeführt ist, einschließlich des Namens bzw. der Namen der verantwortlichen Person(en), insbesondere der für die interne Kontrollmechanismen zuständigen Personen; dem Organigramm sollte eine Beschreibung der Funktionen und Verantwortlichkeiten jedes Geschäftsbereichs, jeder Abteilung oder vergleichbaren strukturellen Untergliederung beigefügt sein;
• b) eine Gesamtprognose zu den Mitarbeiterzahlen für die kommenden drei Jahre;
• c) eine Darstellung der relevanten Auslagerungsvereinbarungen mit folgenden Angaben:
• i. Name und geografischer Standort des Auslagerungsunternehmens;
• ii. Namen der Personen beim Kontoinformationsdienstleister, die für die einzelnen ausgelagerten Tätigkeiten verantwortlich sind;

wesentlichen Merkmale;

• d) eine Kopie der Entwürfe der Auslagerungsvereinbarungen;
• e) soweit anwendbar, eine Beschreibung der Inanspruchnahme von Zweigniederlassungen und Agenten, einschließlich folgender Angaben:
• i. eine Darstellung der Überprüfungen vor Ort bzw. der außerhalb des Standorts erfolgenden Überprüfungen, die der Antragsteller bei Zweigniederlassungen und Agenten durchzuführen beabsichtigt;
• ii. die IT-Systeme, Prozesse und Infrastrukturen, mit deren Hilfe die Agenten des Antragstellers Tätigkeiten im Namen des Antragstellers ausüben;
• iii. im Falle von Agenten: die Auswahlverfahren, Überwachungsprozeduren und Schulungsmaßnahmen der Agenten sowie gegebenenfalls die Entwürfe der Auftragsbedingungen;
• f) eine Liste aller natürlichen und juristischen Personen, die enge Verbindungen zu dem Antragsteller aufweisen, unter Angabe ihrer Identität und der Art dieser Verbindungen.

Leitlinie 6: Unternehmenssteuerung und interne Kontrollmechanismen

6.1. Der Antragsteller sollte eine Beschreibung der Unternehmenssteuerung und der internen Kontrollmechanismen übermitteln, die Folgendes umfasst:

• a) eine Darstellung der vom Antragsteller ermittelten Risiken, einschließlich der Art der Risiken und der Verfahren, die der Antragsteller zur Bewertung und Vermeidung solcher Risiken einrichten wird;
• b) die verschiedenen beabsichtigten Verfahren zur Durchführung von regelmäßigen und ständigen Kontrollen, einschließlich Angaben zur Häufigkeit der Kontrollen und der hierfür zugewiesenen Personalressourcen;
• c) die Rechnungslegungsstandards, anhand derer der Antragsteller seine Finanzinformationen erfassen und melden wird;
• d) den bzw. die Identitäten sowie einen aktuellen Lebenslauf der Person(en), die für die internen Kontrollfunktionen, einschließlich der regelmäßigen und ständigen Kontrolle sowie der Einhaltung der Kontrollen, verantwortlich ist bzw. sind;
• e) die Identitäten von Revisoren, die keine Abschlussprüfer im Sinne der Richtlinie 2006/43/EG sind;
• f) die Zusammenstellung des Leitungsorgans sowie gegebenenfalls anderer Aufsichtsorgane oder -ausschüsse;
• g) eine Beschreibung dessen, wie ausgelagerte Aufgaben überwacht und kontrolliert werden, damit die Qualität der internen Kontrollen des Antragstellers nicht beeinträchtigt wird;
• h) eine Beschreibung, wie Zweigniederlassungen und Agenten im Rahmen der internen Kontrollen des Antragstellers überwacht und kontrolliert werden;
• i) handelt es sich beim Antragsteller um eine Tochtergesellschaft eines regulierten Unternehmens in einem anderen EU-Mitgliedstaat, eine Beschreibung der Steuerung der Unternehmensgruppe.

Leitlinie 7: Verfahren für Überwachung, Bearbeitung und Folgemaßnahmen bei Sicherheitsvorfällen und sicherheitsbezogenen Kundenbeschwerden

7.1. Der Antragsteller sollte eine Beschreibung der vorhandenen Verfahren für Überwachung, Bearbeitung und Folgemaßnahmen bei Sicherheitsvorfällen und sicherheitsbezogenen Kundenbeschwerden übermitteln, die Folgendes umfassen sollte:

• a) organisatorische Maßnahmen und Verfahren zur Betrugsprävention;
• b) Einzelheiten zu den Personen und Stellen, die Kunden in Fällen von Betrug, technischen Problemen und/oder beim Forderungsmanagement unterstützen;
• c) die Berichtswege in Betrugsfällen;
• d) die Kontaktstelle für Kunden, einschließlich des Namens und der E-Mail-Adresse;
• e) die Verfahren für die Meldung von Vorfällen, einschließlich der Übermittlung dieser Berichte an interne oder externe Stellen, einschließlich der Meldung schwerwiegender Vorfälle an zuständige nationale Behörden gemäß Artikel 96 der PSD2 sowie im Einklang mit den EBA-Leitlinien zur Meldung von Vorfällen im Sinne des genannten Artikels.
• f) die verwendeten Überwachungsinstrumente und die vorhandenen Folgemaßnahmen und -verfahren zur Minderung von Sicherheitsrisiken.

Leitlinie 8: Verfahren für die Erfassung, Überwachung, Rückverfolgung sowie Beschränkung des Zugangs zu sensiblen Zahlungsdaten

8.1. Der Antragsteller sollte eine Beschreibung der vorhandenen Verfahren für die Erfassung, Überwachung, Rückverfolgung sowie Beschränkung des Zugangs zu sensiblen Zahlungsdaten übermitteln, die Folgendes umfasst:

• a) eine Beschreibung der Datenströme/Datenflüsse, die im Kontext des Geschäftsmodells des Kontoinformationsdienstleisters als sensible Zahlungsdaten klassifiziert sind;
• b) die vorhandenen Verfahren zur Autorisierung des Zugangs zu sensiblen Zahlungsdaten;
• c) eine Beschreibung des Überwachungsverfahren;
• d) die Richtlinien/Handlungsanweisungen/Verfahren bezüglich Zugangsrechten, in der der Zugang zu allen relevanten Infrastrukturkomponenten und -systemen, einschließlich Datenbanken und Back-up-Infrastrukturen, geregelt ist;
• e) eine Beschreibung dessen, wie die gesammelten Daten erfasst werden;
• f) Angaben zur erwarteten internen und/oder externen Nutzung der gesammelten Daten, einschließlich durch Gegenparteien;
• g) das IT-System und die technischen Sicherheitsmaßnahmen, die angewendet werden, einschließlich Verschlüsselung und/oder Tokenisierung;
• h) Identifizierung der Rollen (Personen, Stellen und/oder Ausschüsse) mit Zugang zu sensiblen Zahlungsdaten;
• i) eine Erläuterung dessen, wie Verstöße erkannt und behoben werden;
• j) einen jährlichen Prüfplan zur internen Kontrolle im Hinblick auf die Sicherheit der IT-Systeme. Leitlinie 9: Regelungen zur Geschäftsfortführung im Krisenfall

9.1. Der Antragsteller sollte eine Beschreibung der Regelungen zur Geschäftsfortführung im Krisenfall übermitteln, die folgende Informationen umfasst:

• a) eine Analyse der Auswirkungen auf die Geschäftstätigkeit, einschließlich der Geschäftsprozesse und Wiederherstellungsziele, wie die Ziele zur Wiederanlaufzeit, zum Wiederherstellungspunkt (maximal tolerierbarer Datenverlust) sowie geschützte Vermögenswerte;
• b) die Identifizierung des Standorts des Notfallsystems, des Zugangs zur IT-Infrastruktur und der wesentlichen Software sowie der Daten, die bei einer Katastrophe oder Unterbrechung wiederhergestellt werden;
• c) eine Erläuterung dessen, wie der Antragsteller mit erheblichen Zwischenfällen und Unterbrechungen der Kontinuität, etwa dem Ausfall von kritischen Systemen, dem Verlust von maßgeblichen Daten, der Unzugänglichkeit der Geschäftsräume oder dem Verlust von maßgeblichen Personen, umgehen wird;
• d) die Häufigkeit, mit der der Antragsteller beabsichtigt, die Pläne zur Geschäftsfortführung und Notfallwiederherstellung zu überprüfen, einschließlich Angaben dazu, wie die Ergebnisse der Überprüfung erfasst werden.

Leitlinie 10: Dokument zur Sicherheitsstrategie

10.1. Der Antragsteller sollte ein Dokument zur Sicherheitsstrategie (Sicherheitsleitlinie) übermitteln, das folgende Informationen enthält:

• a) eine detaillierte Risikobewertung der bzw. des Zahlungsdienste(s), deren bzw. dessen

Sicherheitskontroll- und Risikominderungsmaßnahmen zur Gewährleistung eines angemessenen Schutzes der Zahlungsdienstnutzer vor den festgestellten Risiken umfassen sollte;

• b) eine Beschreibung der IT-Systeme, die folgende Angaben enthalten sollte:
• i. die Architektur der Systeme und deren Netzwerkelemente;

Geschäftstätigkeiten, wie die Website, die Engine für Risiko- und Betrugsmanagement sowie eine Übersicht aller Kunden des Antragstellers;

• iii. die für die Organisation und Verwaltung des Kontoinformationsdienstleisters verwendeten unterstützenden IT-Systeme wie Rechnungslegung, gesetzliche Meldesysteme, Personalmanagement, Kundenbeziehungsmanagement, E-Mail-Server sowie interne Dateiserver;
• iv. Angaben dazu, ob diese Systeme von dem Kontoinformationsdienstleister oder seiner Gruppe bereits genutzt werden, sowie gegebenenfalls zum geschätzten Einführungsdatum;
• c) die Art der zugelassenen Verbindungen von außen, etwa mit Partnern, Dienstleistern, Unternehmen der Gruppe und Mitarbeitern, die an externen Standorten arbeiten, einschließlich der Gründe für derartige Verbindungen;
• d) für jede der unter Punkt c) aufgeführten Verbindungen: die vorhandenen logischen Sicherheitsmaßnahmen und -mechanismen, mit Angaben zur Kontrolle, die der Kontoinformationsdienstleister über einen derartigen Zugang haben wird, sowie zu Art und Häufigkeit der einzelnen Kontrollen, etwa technisch oder organisatorisch, präventiv oder aufklärend sowie Echtzeitüberwachung oder regelmäßige Überprüfungen, wie die Verwendung eines von der Gruppe getrennten aktiven Verzeichnisses, die Öffnung/Schließung von Kommunikationswegen, die Konfiguration von Sicherheitsmaßnahmen, die Erzeugung von Schlüsseln oder Client-Authentifizierungszertifikaten, Systemüberwachung, Authentifizierung, Vertraulichkeit der Kommunikation, Erkennung von unbefugtem Zugriff, Antivirensysteme sowie Protokolle;
• e) die logischen Sicherheitsmaßnahmen und -mechanismen, die den internen Zugang zu IT-Systemen regeln und folgende Angaben umfassen sollten:
• i. die technische und organisatorische Art und Häufigkeit einer jeden Maßnahme, etwa ob sie präventiv oder aufklärend ist und ob sie in Echtzeit ausgeführt wird oder nicht;
• ii. Angaben dazu, wie die Frage der Abschottung oder Schutz des Kundenumfelds in Fällen gehandhabt wird, in denen die IT-Ressourcen des Antragstellers geteilt werden;
• f) die physischen Sicherheitsmaßnahmen und -mechanismen der Geschäftsräume und des Datenzentrums des Antragstellers, etwa Zugangskontrollen und Umgebungssicherheit;
• g) die Sicherheit der Zahlungsprozesse, einschließlich folgender Elemente:
• i. das Verfahren zur Kundenauthentifizierung, das für sowohl lesenden als auch transaktionsbezogenen Zugriff verwendet wird;

Zahlungsdienstnutzer und die Integrität der Authentifizierungsfaktoren wie Hardware-Tokens und Mobilanwendungen sowohl zum Zeitpunkt der Erstanmeldung als auch bei der Erneuerung sichergestellt werden;

Transaktionsanalysen und die Identifizierung von verdächtigen oder unüblichen Vorgängen/Transaktionen eingerichtet hat;

• h) eine ausführliche Risikobewertung im Hinblick auf seine Zahlungsdienste, unter anderem zum Betrugsrisiko, mit Verbindung zu den im Antrag erläuterten Kontroll- und Risikominderungsmaßnahmen, woraus hervorgeht, dass sich mit diesen Risiken befasst wird;

Zusammenhang mit den IT-Systemen des Antragstellers oder für Verfahren, die noch nicht formalisiert wurden, das geschätzte Fertigstellungsdatum.

Leitlinie 11: Identität sowie Eignungsbeurteilung der Geschäftsleiter und der für die Geschäftsführung des Kontoinformationsdienstleisters verantwortlichen Personen

11.1. Zur Angabe der Identität sowie zur Beurteilung der Eignung von Geschäftsleitern und der für die Geschäftsführung des Kontoinformationsdienstleisters verantwortlichen Personen sollte der Antragsteller folgende Informationen übermitteln:

• a) Personalien, einschließlich folgender Angaben:
• i. vollständiger Name, Geschlecht, Geburtsort und -datum, Anschrift und Staatsangehörigkeit sowie persönliche Identifikationsnummer oder eine Kopie des Personalausweises oder eines gleichwertigen Dokuments;
• ii. Angaben zu der Position, für die die Beurteilung erfolgen soll, sowie dazu, ob die betreffende Position im Leitungsorgan in seiner Leitungs- Bzw. seiner Aufsichtsfunktion ist, einschließlich folgender Angaben:

• b) gegebenenfalls Informationen über die vom Antragsteller durchgeführte Eignungsbeurteilung, die auch Einzelheiten über die Ergebnisse einer vom Institut durchgeführten Eignungsbeurteilung einer Einzelperson umfassen sollte, etwa einschlägige Vorstandsprotokolle oder Eignungsbeurteilungsberichte oder sonstige Dokumente;
• c) Nachweise über Kenntnisse, Fähigkeiten und Erfahrung, die einen Lebenslauf mit Einzelheiten zu Ausbildung und Berufserfahrung umfassen sollten, einschließlich akademischer Qualifikationen, sonstiger relevanter Weiterbildungsmaßnahmen, des Namens und der Art aller Organisationen, für die die Person tätig ist oder war, sowie der Art und Dauer der ausgeübten Funktionen, unter besonderer Hervorhebung von Tätigkeiten, die im Themenbereich der angestrebten Position liegen;
• d) Nachweise über Zuverlässigkeit, Redlichkeit und Integrität, die Folgendes umfassen sollten:
• i. Strafregisterauszüge sowie relevante Informationen über strafrechtliche Ermittlungen und Strafverfahren, relevante Zivil- oder Verwaltungsrechtsstreitigkeiten, Disziplinarmaßnahmen (einschließlich Disqualifizierung als Unternehmensleiter oder Konkurs, Insolvenz oder ähnliche Verfahren), nachzuweisen insbesondere durch eine amtliche Bescheinigung/polizeiliches Führungszeugnis oder eine objektiv zuverlässige Informationsquelle darüber, dass keine strafrechtlichen Verurteilungen, Ermittlungen oder Strafverfahren vorliegen, etwa durch Ermittlungen von Dritten oder Zeugnisse von Anwälten oder Notaren mit Sitz in der Europäischen Union;
• ii. eine Erklärung dazu, ob Strafverfahren anhängig sind oder ob die Person oder eine von ihr geleitete Organisation als Schuldner in ein Insolvenzverfahren oder ähnliche Verfahren verwickelt war;
• iii. Informationen betreffend folgende Aspekte:

Leitlinie 12: Berufshaftpflichtversicherung oder eine gleichwertige Garantie

12.1. Als Nachweis für eine Berufshaftpflichtversicherung oder gleichwertige Garantie, die den EBA-Leitlinien zur Berufshaftpflichtversicherung (EBA/GL/2017/08) sowie Artikel 5 Absätze 2 und 3 der PSD2 entsprechen, sollte der Antragsteller folgende Informationen übermitteln:

• a) einen Versicherungsvertrag oder ein gleichwertiges Dokument zum Nachweis einer bestehenden Berufshaftpflichtversicherung oder gleichwertigen Garantie, mit einer Deckungssumme, die den genannten EBA-Leitlinien entspricht, woraus hervorgeht, dass die relevanten Haftungsverpflichtungen abgedeckt sind;
• b) Dokumentation dazu, wie der Antragsteller die Mindestdeckungssumme entsprechend den genannten EBA-Leitlinien berechnet hat, einschließlich aller anwendbaren Komponenten der darin angeführten Formel.

Leitlinie 1: Allgemeine Grundsätze

1.1 Diese Leitlinieneinheit gilt für Antragsteller für die Zulassung als E-Geld-Institut (EMI). Hierbei handelt es sich um Antragsteller, die beabsichtigen, das E-Geld-Geschäft bzw. die Ausgabe

genannten Zahlungsdienste zu erbringen. Für Antragsteller, die beabsichtigen, nur die in Anhang I Ziffern 1-7 der PSD2 genannten Dienste oder den in Ziffer 8 genannten Dienst in Kombination mit einem oder mehreren der in den Ziffern 1-7 genannten Dienste zu erbringen, ohne die Ausgabe von E-Geld zu erbringen, gilt die in Abschnitt 4.1 aufgeführte spezifische Leitlinieneinheit zu den Informationen, die von Antragstellern für die Zulassung als Zahlungsinstitut verlangt werden. Für Antragsteller, die beabsichtigen, nur den in Anhang I Ziffer 8 der PSD2 genannten Dienst zu erbringen, ohne die Ausgabe von E-Geld zu erbringen, gelten die in Abschnitt 4.2 aufgeführten Leitlinien zu den Informationen, die von Antragstellern für eine Eintragung in das Register für die ausschließliche Erbringung des in Anhang I Ziffer 8 der PSD2 aufgeführten Dienstes verlangt werden.

1.2 Die von den Antragstellern bereitgestellten Informationen sollten wahrheitsgetreu, vollständig, präzise und aktuell sein. Sämtliche Antragsteller sollten alle Bestimmungen erfüllen, die in der für sie jeweils geltenden Leitlinieneinheit enthalten sind. Die Detailgenauigkeit sollte in einem angemessenen Verhältnis zur Größe und internen Organisation des Antragstellers sowie zu Art, Umfang, Komplexität und Risikobehaftung des Dienstes bzw. der Dienste stehen, den bzw. die der Antragsteller zu erbringen beabsichtigt. In jedem Falle sind die Geschäftsleiter und die für die Geschäftsführung des E-Geld-Instituts verantwortlichen Personen im Einklang mit Richtlinie (EU) 2015/2366 zuverlässig und verfügen über angemessene Kenntnisse und Erfahrungen zur Erbringung von Zahlungsdiensten, ungeachtet der Größe und internen Organisation des Instituts sowie der Art, des Umfangs und der Komplexität seiner Tätigkeiten sowie ungeachtet der Pflichten und Zuständigkeiten der spezifischen Position.

1.3 Bei der Übermittlung der geforderten Informationen sollte der Antragsteller davon absehen,

Stattdessen sollte der Antragsteller die relevanten Abschnitte herausgreifen und diese der zuständigen Behörde zur Verfügung stellen. 1.4 Sollten die zuständigen Behörden (CAs) eine Klarstellung der übermittelten Informationen verlangen, so sollte der Antragsteller diese unverzüglich bereitstellen.

1.5 Sämtliche im Rahmen dieser Leitlinien für die Zulassung als E-Geld-Institut (EMI) angeforderten Daten werden für die Bewertung des Antrags benötigt und von der zuständigen Behörde in Übereinstimmung mit der Geheimhaltungspflicht gemäß PSD2 behandelt, unbeschadet geltenden Unionsrechts und nationaler Anforderungen und Verfahren bezüglich der Ausübung des Rechts auf Zugriff, Richtigstellung, Löschung oder Einspruch/Widerspruch.

Leitlinie 2: Angaben zur Identifikation

2.1 Die vom Antragsteller zu übermittelnden Angaben zur Identifikation sollten folgende Informationen umfassen:

• a) die Unternehmensbezeichnung/Firma und, sofern hiervon abweichend, den Handelsnamen des Antragstellers;
• b) Angaben dazu, ob der Antragsteller bereits ein eingetragenes Unternehmen ist oder sich in Gründung befindet;
• c) gegebenenfalls die nationale Identifikationsnummer des Antragstellers;
• d) die Rechtsform und die Satzung (den Satzungsentwurf) des Antragstellers und/oder Gründungsunterlagen, aus denen die Rechtsform des Antragstellers hervorgeht;
• e) die Anschrift der Hauptverwaltung und des Sitzes des Antragstellers;
• f) die elektronische Adresse und Website des Antragstellers, sofern verfügbar;
• g) den bzw. die Namen der Person(en), die mit dem Antrag und dem Zulassungsverfahren befasst ist bzw. sind, sowie deren Kontaktdaten;
• h) Angaben dazu, ob der Antragsteller jemals einer Regulierung/Beaufsichtigung durch eine zuständige Behörde im Finanzdienstleistungssektor unterlag oder derzeit unterliegt;
• i) ggf. Angaben zu Wirtschaftsverband im Zusammenhang mit der Erbringung von E-Geld-Diensten und/oder Zahlungsdiensten, denen der Antragsteller beizutreten beabsichtigt;
• j) den Nachweis der Eintragung in das Handelsregister oder gegebenenfalls eine Negativbescheinigung eines Handelsregisters, die nachweist, dass der von dem Unternehmen verwendete Name verfügbar ist;
• k) Nachweise über die Zahlung von Gebühren oder Hinterlegung von Mitteln zur Einreichung eines Antrags auf Zulassung als E-Geld-Institut, sofern nach entsprechend nationalem Recht anwendbar.

Leitlinie 3: Geschäftsmodell

3.1 Das vom Antragsteller zu übermittelnde Geschäftsmodell sollte folgende Informationen umfassen:

• a) die Angabe der Art des E-Geld-Geschäfts, die der Antragsteller zu erbringen beabsichtigt: Ausgabe, Vertrieb, Rücktausch;
• b) eine Schritt-für-Schritt-Beschreibung der Art der beabsichtigten Zahlungsdienste, einschließlich einer Erläuterung dessen, wie die geplanten Tätigkeiten und Vorgänge nach Ansicht des Antragstellers unter die in Anhang I der PSD2 aufgeführten rechtlichen Kategorien von Zahlungsdiensten fallen, sowie Angaben dazu, ob diese Zahlungsdienste zusätzlich zum E-Geld-Geschäft erbracht würden und ob sie im Zusammenhang mit der Ausgabe von E-Geld stehen;
• c) eine Erklärung dazu, ob der Antragsteller zu irgendeinem Zeitpunkt in den Besitz von Geldern gelangen wird;
• d) gegebenenfalls eine Beschreibung der Ausführung der verschiedenen Aspekte des E-Geld-Geschäfts und gegebenenfalls Zahlungsdienste, unter Angabe aller beteiligten Parteien für jeden einzelnen erbrachten Aspekt des E-Geld-Geschäfts und gegebenenfalls Zahlungsdienst;
• i. ein Diagramm der Geldflüsse;
• ii. Verfahren des Zahlungsausgleichs;
• iii. Entwürfe von Verträgen zwischen allen an der Erbringung von Zahlungsdiensten beteiligten Parteien, gegebenenfalls einschließlich derer mit Kartenzahlverfahren/Zahlungskartensysteme;
• iv. Bearbeitungszeiten/Durchlaufzeiten;
• e) eine Kopie des Vertrags zwischen dem E-Geld-Emittenten und dem E-Geld-Inhaber sowie des Entwurfs des Rahmenvertrags gemäß Definition in Artikel 4 Ziffer 21 der PSD2, sofern der Antragsteller beabsichtigt, Zahlungsdienste zusätzlich zum E-Geld-Geschäft zu erbringen;
• f) gegebenenfalls die geschätzte Anzahl der Betriebsstätten, von denen der Antragsteller beabsichtigt, die Dienste zu erbringen;
• g) eine Beschreibung von Nebendienstleistungen zu dem E-Geld-Geschäft und gegebenenfalls Zahlungsdiensten;
• h) beabsichtigt der Antragsteller die Erbringung von Zahlungsdiensten zusätzlich zum E-Geld-Geschäft, eine Erklärung dazu, ob – und gegebenenfalls innerhalb welcher Grenzen
• – der Antragsteller beabsichtigt, Kredite zu gewähren;
• i) eine Erklärung dazu, ob der Antragsteller nach Erteilung der Zulassung beabsichtigt, das E-Geld-Geschäft und gegebenenfalls Zahlungsdienste in anderen EU-Mitgliedstaaten oder Drittstaaten zu erbringen;
• j) Angaben dazu, ob der Antragsteller innerhalb der nächsten drei Jahre beabsichtigt, andere gewerbliche Tätigkeiten als das E-Geld-Geschäft und gegebenenfalls Zahlungsdienste im Sinne von Artikel 11 Absatz 5 der Richtlinie (EU) 2015/2366 auszuüben oder bereits ausübt, einschließlich einer Beschreibung der Art und des geschätzten Umfangs der Tätigkeiten;
• k) die Informationen gemäß den EBA-Leitlinien zu den Kriterien, anhand deren die Mindestdeckungssumme der Berufshaftpflichtversicherung oder einer anderen gleichwertigen Garantie nach Artikel 5 Absatz 4 der Richtlinie (EU) 2015/2366 festzulegen ist (EBA/GL2017/08), sofern der Antragsteller beabsichtigt, die in Ziffer 7 und 8 genannten Dienste (Zahlungsauslösedienste (PIS) und Kontoinformationsdienste (AIS)) zu erbringen.

Leitlinie 4: Geschäftsplan

4.1. Der vom Antragsteller zu übermittelnde Geschäftsplan sollte Folgendes umfassen:

• a) einen Marketingplan bestehend aus:
• i. einer Analyse der Wettbewerbsposition des Unternehmens im betreffenden Segment des E-Geld-Marktes und gegebenenfalls Zahlungsdienstemarktes;
• ii. einer Beschreibung der Zahlungsdienstnutzer und E-Geld-Inhaber, Marketingmaterialien und Vertriebskanäle;
• b) die geprüften Jahresabschlüsse der drei vorhergehenden Jahre (sofern verfügbar) oder eine Zusammenfassung der finanziellen Situation für die Unternehmen, die noch keinen Jahresabschluss erstellt haben;
• c) eine Budgetplanung für die ersten drei Geschäftsjahre, aus der hervorgeht, dass der Antragsteller über geeignete und angemessene Systeme, Ressourcen und Verfahren

• i. eine Einkommensaufstellung/prognostizierte Gewinn- und Verlustrechnung und

deren Grundannahmen wie Volumen und Wert der Transaktionen, Anzahl der Kunden, Preisgestaltung, Durchschnittsbetrag pro Transaktion, erwartete Erhöhung der Rentabilitätsschwelle;

• ii. Erläuterungen zu den wesentlichen Ertrags- und Kostenkomponenten, Finanzverbindlichkeiten und Kapitalvermögenswerten;
• iii. ein Diagramm und eine detaillierte Aufschlüsselung der geschätzten Kapitalflussrechnung für die nächsten drei Jahre;
• d) Informationen über Eigenmittel, einschließlich des Betrags und einer detaillierten Aufschlüsselung der Zusammensetzung des Anfangskapitals im Sinne von Artikel 57 Buchstaben a und b der Richtlinie 2006/48/EG;
• e) Informationen zu den Eigenmittelanforderungen und deren Berechnung gemäß Methode D nach Artikel 5 Absatz 3 der Richtlinie 2009/110/EG (der zweiten E-Geld-Richtlinie (EMD2)), falls das E-Geld-Institut nur die Erbringung des E-Geld-Geschäfts beabsichtigt, oder gemäß der/den von der zuständigen Behörde festgelegten Methode(n) nach Artikel 9 der Richtlinie (EU) 2015/2366 (PSD2), falls der Antragsteller die Erbringung von Zahlungsdiensten zusätzlich zum E-Geld-Geschäft beabsichtigt, einschließlich einer jährlichen Planberechnung zur Aufschlüsselung der Eigenmittel für drei Jahre entsprechend der verwendeten Methode und gegebenenfalls einer jährlichen Planberechnung zu den Eigenmitteln für drei Jahre gemäß den anderen verwendeten Methoden.

Leitlinie 5: Organisatorischer Aufbau

5.1. Der Antragsteller sollte eine Beschreibung des organisatorischen Aufbaus seines Unternehmens übermitteln, die folgende Elemente/Angaben umfasst:

• a) ein detailliertes Organigramm, in dem jeder Geschäftsbereich, jede Abteilung oder ähnliche strukturelle Untergliederung aufgeführt ist, einschließlich des Namens bzw. der Namen der verantwortlichen Person(en), insbesondere der für die interne Kontrollmechanismen zuständigen Personen; dem Organigramm sollte eine Beschreibung der Funktionen und Verantwortlichkeiten jedes Geschäftsbereichs, jeder Abteilung oder vergleichbaren strukturellen Untergliederung beigefügt sein;
• b) eine Gesamtprognose zu den Mitarbeiterzahlen für die kommenden drei Jahre;
• c) eine Darstellung der relevanten operationellen Auslagerungsvereinbarungen mit folgenden Angaben:
• i. Name und geografischer Standort des Auslagerungsunternehmens;
• ii. Namen der Personen innerhalb des E-Geld-Instituts, die für die einzelnen ausgelagerten Tätigkeiten verantwortlich sind;
• iii. eine klare Beschreibung der ausgelagerten Tätigkeiten und ihrer wesentlichen Merkmale;
• d) eine Kopie der Entwürfe der Auslagerungsvereinbarungen;
• e) eine Beschreibung der Inanspruchnahme von Zweigniederlassungen, Agenten und Distributoren, soweit anwendbar einschließlich folgender Angaben:
• i. eine Darstellung der Überprüfungen vor Ort bzw. der außerhalb des Standorts erfolgenden Überprüfungen, die der Antragsteller bei Zweigniederlassungen, Agenten und Distributoren durchzuführen beabsichtigt;
• ii. die IT-Systeme, Verfahren und Infrastrukturen, mit deren Hilfe die Agenten und Distributoren des Antragstellers Tätigkeiten im Namen des Antragstellers ausüben;

Überwachungsprozeduren und Schulungsmaßnahmen der Agenten und Distributoren sowie gegebenenfalls die Entwürfe der Auftragsbedingungen von Agenten und Distributoren;

• f) gegebenenfalls Angaben zu dem nationalen und/oder internationalen Zahlungssystem, zu dem der Antragsteller Zugang haben wird;
• g) eine Liste aller natürlichen und juristischen Personen, die enge Verbindungen zu dem Antragsteller aufweisen, unter Angabe ihrer Identität und der Art dieser Verbindungen.

Leitlinie 6: Nachweis des Anfangskapitals

6.1. Für den vom Antragsteller zu erbringenden Nachweis , dass dieser über das erforderliche

übermitteln:

• a) für bestehende Unternehmen: einen geprüften Rechnungsabschluss/Bestätigung der Bank oder Auszug eines öffentlichen Registers zur Bescheinigung der Höhe des Kapitals des Antragstellers;
• b) für Unternehmen in der Gründungsphase: einen von einer Bank ausgestellten Kontoauszug zur Bescheinigung dessen, dass das Eigenkapital auf dem Bankkonto des Antragstellers hinterlegt ist.

Leitlinie 7: Maßnahmen zur Absicherung der Geldbeträge der E-Geld-Nutzer und/oder Zahlungsdienstnutzer

7.1. Sichert der Antragsteller die Geldbeträge der E-Geld-Nutzer und/oder der Zahlungsdienstnutzer durch Hinterlegung von Geldbeträgen auf einem gesonderten Konto bei einem Kreditinstitut oder durch Investition in sichere liquide Aktiva mit niedrigem Risiko ab, so sollte die Beschreibung der Sicherungsmaßnahmen Folgendes enthalten:

• a) gegebenenfalls eine Beschreibung der Investitionsstrategie/Anlagepolitik, damit sichergestellt ist, dass die ausgewählten Aktiva sicher und liquide und mit einem niedrigen Risiko verbunden sind;
• b) die Anzahl und Funktionen der Personen, die Zugang zu dem Treuhandkonto haben;
• c) eine Beschreibung des Verwaltungs- und Kontenabstimmungsprozesses für E-Geld-

anderer Gläubiger des E-Geld-Instituts, insbesondere im Falle einer Insolvenz;

• d) eine Kopie des Entwurfs des Vertrags mit dem Kreditinstitut;
• e) eine ausdrückliche Erklärung des E-Geld-Instituts, dass Artikel 10 der PSD2 eingehalten wird.

7.2. Sichert der Antragsteller die Geldbeträge der E-Geld-Nutzer und gegebenenfalls der Zahlungsdienstnutzer durch eine Versicherungspolice oder eine vergleichbare Garantie eines Versicherungsunternehmens oder eines Kreditinstituts ab und beabsichtigt der Antragsteller nicht die ausschließliche Erbringung von Zahlungsauslösediensten, so sollte die Beschreibung der Sicherungsmaßnahmen Folgendes enthalten:

• a) eine Bestätigung, dass die Versicherungspolice oder die vergleichbare Garantie einer Versicherungsgesellschaft oder eines Kreditinstituts von einem Unternehmen stammt, das nicht Teil derselben Firmengruppe wie der Antragsteller ist;
• b) Einzelheiten zum (Konten-)Abstimmungsverfahren, mit dem sichergestellt wird, dass die Versicherungspolice oder die vergleichbare Garantie ausreicht, um die Sicherungspflichten des Antragstellers zu jeder Zeit zu erfüllen;
• c) Dauer und Verlängerung bzw. Erneuerung der Absicherung;

vergleichbaren Garantie.

Leitlinie 8: Unternehmenssteuerung und interne Kontrollmechanismen

8.1. Der Antragsteller sollte eine Beschreibung der Unternehmenssteuerung und der internen Kontrollmechanismen übermitteln, die Folgendes umfasst:

• a) eine Darstellung der vom Antragsteller ermittelten Risiken, einschließlich der Art der Risiken und der Verfahren, die der Antragsteller zur Bewertung und Vermeidung solcher Risiken einrichten wird, im Hinblick auf das E-Geld-Geschäft und gegebenenfalls Zahlungsdienste;
• b) die verschiedenen Verfahren zur Durchführung von regelmäßigen und ständigen Kontrollen, einschließlich Angaben zur Häufigkeit der Kontrollen und der hierfür zugewiesenen Personalressourcen;
• c) die Rechnungslegungsstandard, anhand derer der Antragsteller seine Finanzinformationen erfassen und melden wird;
• d) den bzw. die Identitäten sowie einen aktuellen Lebenslauf der Person(en), die für die internen Kontrollfunktionen, einschließlich der regelmäßigen und ständigen Kontrolle sowie der Einhaltung der Kontrollen, verantwortlich ist bzw. sind;
• e) die Identitäten von Revisoren, die keine Abschlussprüfer im Sinne der Richtlinie 2006/43/EG sind;
• f) die Zusammenstellung des Leitungsorgans sowie gegebenenfalls anderer Aufsichtsorgane oder -ausschüsse;
• g) eine Beschreibung, wie ausgelagerte Aufgaben überwacht und kontrolliert werden, damit die Qualität der internen Kontrollen des E-Geld-Instituts nicht beeinträchtigt wird;
• h) eine Beschreibung dessen, wie Agenten, Zweigniederlassungen und Distributoren im Rahmen der internen Kontrollen des Antragstellers überwacht und kontrolliert werden;
• i) handelt es sich beim Antragsteller um eine Tochtergesellschaft eines regulierten Unternehmens in einem anderen EU-Mitgliedstaat, eine Beschreibung der Steuerung der Unternehmensgruppe. Leitlinie 9: Verfahren für Überwachung, Bearbeitung und Folgemaßnahmen bei Sicherheitsvorfällen und sicherheitsbezogenen Kundenbeschwerden

9.1. Der Antragsteller sollte eine Beschreibung der vorhandenen Verfahren für Überwachung, Bearbeitung und Folgemaßnahmen bei Sicherheitsvorfällen und sicherheitsbezogenen Kundenbeschwerden übermitteln, die Folgendes umfassen sollte:

• a) organisatorische Maßnahmen und Verfahren zur Betrugsprävention;
• b) Einzelheiten zu den Personen und Stellen, die Kunden in Fällen von Betrug, technischen Problemen und/oder beim Forderungsmanagement unterstützen;
• c) die Berichtswege in Betrugsfällen;
• d) die Kontaktstelle für Kunden, einschließlich des Namens und der E-Mail-Adresse;
• e) die Verfahren für die Meldung von Vorfällen, einschließlich der Übermittlung dieser Berichte an interne oder externe Stellen, einschließlich für Antragsteller, die die Erbringung von Zahlungsdiensten zusätzlich zum E-Geld-Geschäft beabsichtigen, sowie der Meldung schwerwiegender Vorfälle an zuständige nationale Behörden gemäß Artikel 96 der PSD2 sowie im Einklang mit den EBA-Leitlinien zur Meldung von Vorfällen im Sinne des genannten Artikels.
• f) die verwendeten Überwachungsinstrumente und die vorhandenen Folgemaßnahmen und -verfahren zur Minderung von Sicherheitsrisiken.

Leitlinie 10: Verfahren für die Erfassung, Überwachung, Rückverfolgung sowie Beschränkung des Zugangs zu sensiblen Zahlungsdaten

10.1. Der Antragsteller sollte eine Beschreibung der vorhandenen Verfahren für die Erfassung, Überwachung, Rückverfolgung sowie Beschränkung des Zugangs zu sensiblen Zahlungsdaten übermitteln, die Folgendes umfasst:

• a) eine Beschreibung der Datenströme/Datenflüsse, die im Kontext des Geschäftsmodells des E-Geld-Instituts als sensible Zahlungsdaten klassifiziert sind;
• b) die vorhandenen Verfahren zur Autorisierung des Zugangs zu sensiblen Zahlungsdaten;
• c) eine Beschreibung des Überwachungsverfahren;
• d) die Richtlinien/Handlungsanweisungen/Verfahren bezüglich Zugangsrechten, in der der Zugang zu allen relevanten Infrastrukturkomponenten und -systemen, einschließlich Datenbanken und Back-up-Infrastrukturen, geregelt ist;
• e) eine Beschreibung dessen, wie die gesammelten Daten erfasst werden;
• f) Angaben zur erwarteten internen und/oder externen Nutzung der gesammelten Daten, einschließlich durch Gegenparteien;
• g) das IT-System und die technischen Sicherheitsmaßnahmen, die angewendet werden, einschließlich Verschlüsselung und/oder Tokenisierung;
• h) Identifizierung der Rollen (Personen, Stellen und/oder Ausschüsse) mit Zugang zu sensiblen Zahlungsdaten;
• i) eine Erläuterung dessen, wie Verstöße erkannt und behoben werden;
• j) einen jährlichen Prüfplan zur internen Kontrolle im Hinblick auf die Sicherheit der IT-Systeme.

Leitlinie 11: Regelungen zur Geschäftsfortführung im Krisenfall

11.1. Der Antragsteller sollte eine Beschreibung der Regelungen zur Geschäftsfortführung im Krisenfall übermitteln, die folgende Informationen umfasst:

• a) eine Analyse der Auswirkungen auf die Geschäftstätigkeit, einschließlich der Geschäftsprozesse und Wiederherstellungsziele, wie die Ziele zur Wiederanlaufzeit, zum Wiederherstellungspunkt (maximal tolerierbarer Datenverlust) sowie geschützte Vermögenswerte;
• b) die Identifizierung des Standorts des Notfallsystems, des Zugangs zur IT-Infrastruktur und der wesentlichen Software sowie der Daten, die bei einer Katastrophe oder Unterbrechung wiederhergestellt werden;
• c) eine Erläuterung dessen, wie der Antragsteller mit erheblichen Zwischenfällen und Unterbrechungen der Kontinuität, etwa dem Ausfall von kritischen Systemen, dem Verlust von maßgeblichen Daten, der Unzugänglichkeit der Geschäftsräume oder dem Verlust von maßgeblichen Personen, umgehen wird;
• d) die Häufigkeit, mit der der Antragsteller beabsichtigt, die Pläne zur Geschäftsfortführung und Notfallwiederherstellung zu überprüfen, einschließlich Angaben dazu, wie die Ergebnisse der Überprüfung erfasst werden;
• e) eine Beschreibung der Risikominderungsmaßnahmen, die der Antragsteller in Fällen der Beendigung seiner Zahlungsdienste zu ergreifen hat und mit denen die Ausführung ausstehender Zahlungsvorgänge und die Kündigung bestehender Verträge gewährleistet werden. Leitlinie 12: Die Grundsätze und Definitionen für die Erfassung statistischer Daten über Leistungsfähigkeit, Geschäftsvorgänge und Betrugsfälle

12.1. Der Antragsteller sollte eine Beschreibung der Grundsätze und Definitionen für die Erfassung statistischer Daten über Leistungsfähigkeit, Geschäftsvorgänge und Betrugsfälle übermitteln, die folgende Informationen umfasst:

• a) die Art der Daten, die im Hinblick auf Kunden, die Art des Zahlungsdienstes, den Zahlungsweg, das Zahlungsinstrument, Gerichtsbarkeiten und Währungen erfasst werden;
• b) den Umfang der Erfassung im Hinblick auf betroffene Tätigkeiten und Unternehmen, einschließlich Zweigniederlassungen, Agenten und Distributoren;
• c) wie die Daten erfasst werden;
• d) den Zweck der Erfassung;
• e) die Häufigkeit der Erfassung;
• f) Begleitunterlagen, etwa ein Handbuch, in der die Funktionsweise des Systems beschrieben ist.

Leitlinie 13: Dokument zur Sicherheitsstrategie

13.1. Der Antragsteller sollte ein Dokument zur Sicherheitsstrategie (Sicherheitsleitlinie) im Hinblick auf sein E-Geld-Geschäft und gegebenenfalls Zahlungsdienst(e) übermitteln, das folgende Informationen enthält:

• a) eine detaillierte Risikobewertung der bzw. des E-Geld-Geschäfts und gegebenenfalls Zahlungsdienste(s), deren bzw. dessen Erbringung der Antragsteller beabsichtigt, die die Betrugsrisiken sowie die Sicherheitskontroll- und Risikominderungsmaßnahmen zur Gewährleistung eines angemessenen Schutzes der E-Geld-Nutzer und gegebenenfalls Zahlungsdienstnutzer vor den festgestellten Risiken umfassen sollte;
• b) eine Beschreibung der IT-Systeme, die folgende Angaben enthalten sollte:
• i. die Architektur der Systeme und deren Netzwerkelemente;

Geschäftstätigkeiten, wie die Website, Wallets, den Payment Engine, den Engine für Risiko- und Betrugsmanagement sowie eine Übersicht der Kunden des Antragstellers;

• iii. die für die Organisation und Verwaltung des E-Geld-Instituts verwendeten unterstützenden IT-Systeme wie Rechnungslegung, gesetzliche Meldesysteme, Personalmanagement, Kundenbeziehungsmanagement, E-Mail-Server sowie interne Dateiserver;
• iv. Angaben dazu, ob diese Systeme vom E-Geld-Institut oder seiner Gruppe bereits genutzt werden, sowie gegebenenfalls zum geschätzten Einführungsdatum;
• c) die Art der zugelassenen Verbindungen von außen, etwa mit Partnern, Dienstleistern, Unternehmen der Gruppe und Mitarbeitern, die an externen Standorten arbeiten, einschließlich der Gründe für derartige Verbindungen;
• d) für jede der unter Punkt c) aufgeführten Verbindungen: die vorhandenen logischen Sicherheitsmaßnahmen und -mechanismen, mit Angaben zur Kontrolle, die das E-Geld-Institut über einen derartigen Zugang haben wird, sowie zu Art und Häufigkeit der einzelnen Kontrollen, etwa technisch oder organisatorisch, präventiv oder aufklärend sowie Echtzeitüberwachung oder regelmäßige Überprüfungen, wie die Verwendung eines von der Gruppe getrennten aktiven Verzeichnisses, die Öffnung/Schließung von Kommunikationswegen, die Konfiguration von Sicherheitsmaßnahmen, die Erzeugung von Schlüsseln oder Client-Authentifizierungszertifikaten, Systemüberwachung, Authentifizierung, Vertraulichkeit der Kommunikation, Erkennung von unbefugtem Zugriff, Antivirensysteme sowie Protokolle;
• e) die logischen Sicherheitsmaßnahmen und -mechanismen, die den internen Zugang zu IT-Systemen regeln und folgende Angaben umfassen sollten:
• i. die technische und organisatorische Art und Häufigkeit einer jeden Maßnahme, etwa ob sie präventiv oder ausklärend ist und ob sie in Echtzeit ausgeführt wird oder nicht;
• ii. Angaben dazu, wie die Frage der Abschottung oder Schutz des Kundenumfelds in Fällen gehandhabt wird, in denen die IT-Ressourcen des Antragstellers geteilt werden;
• f) die physischen Sicherheitsmaßnahmen und -mechanismen der Geschäftsräume und des Datenzentrums des Antragstellers, etwa Zugangskontrollen und Umgebungssicherheit;
• g) die Sicherheit des E-Geldes und gegebenenfalls der Zahlungsvorgänge, die folgende Elemente umfassen sollte:
• i. das Verfahren zur Kundenauthentifizierung, das für sowohl lesenden als auch transaktionsbezogenen Zugriff verwendet wird, sowie für alle zugrunde liegenden Zahlungsinstrumente;
• ii. eine Erläuterung dessen, wie die sichere Lieferung an den rechtmäßigen E-Geld-Nutzer und gegebenenfalls Zahlungsdienstnutzer und die Integrität der Authentifizierungsfaktoren wie Hardware-Tokens und Mobilanwendungen sowohl zum Zeitpunkt der Erstanmeldung als auch bei der Erneuerung sichergestellt werden;
• iii. eine Beschreibung der Systeme und Prozesse, die das E-Geld-Institut für Transaktionsanalysen und die Identifizierung von verdächtigen oder unüblichen Vorgängen/Transaktionen eingerichtet hat;
• h) eine ausführliche Risikobewertung im Hinblick auf sein E-Geld-Geschäft und gegebenenfalls Zahlungsdienste, unter anderem zum Betrugsrisiko, mit Verbindung zu den im Antrag erläuterten Kontroll- und Risikominderungsmaßnahmen, woraus hervorgeht, dass sich mit diesen Risiken befasst wird;

Zusammenhang mit den IT-Systemen des Antragstellers oder für Verfahren, die noch nicht formalisiert wurden, das geschätzte Fertigstellungsdatum.

Leitlinie 14: Interne Kontrollmechanismen zur Erfüllung der Anforderungen zur Verhinderung der Geldwäsche und der Terrorismusfinanzierung

14.1 Die Beschreibung der internen Kontrollmechanismen, die der Antragsteller eingeführt hat, um diese Anforderungen zu erfüllen, sollte gegebenenfalls folgende Informationen umfassen:

• a) die Bewertung des Antragsstellers bezüglich der Risiken hinsichtlich Geldwäsche und Terrorismusfinanzierung im Zusammenhang mit seiner Geschäftstätigkeit , einschließlich der Risiken in Verbindung mit dem Kundenstamm sowie den Produkten und Diensten des Antragstellers, den verwendeten Vertriebskanälen sowie den geografischen Tätigkeitsbereichen;
• b) die Maßnahmen, die der Antragsteller eingeführt hat oder einführen wird, um die geltenden Anforderungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung zu erfüllen, einschließlich seines Risikobewertungsprozesses, der Richtlinien und Verfahren zur Erfüllung der Sorgfaltspflichten gegenüber Kunden sowie der Richtlinien und Verfahren zur Erkennung und Meldung verdächtiger Vorgänge/Transaktionen oder Tätigkeiten;
• c) die Systeme und Kontrollen, die der Antragsteller eingeführt hat oder einführen wird, um sicherzustellen, dass seine Zweigniederlassungen, Agenten und Distributoren die geltenden Anforderungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung erfüllen, auch in Fällen, in denen sich die Zweigniederlassung, der Agent oder der Distributor in einem anderen Mitgliedstaat befindet;
• d) Vorkehrungen, die der Antragsteller getroffen hat oder treffen wird, um sicherzustellen, dass Personal, Agenten und Distributoren in Angelegenheiten der Verhinderung von Geldwäsche und Terrorismusfinanzierung angemessen geschult sind;
• e) den Identität der Person, die dafür zuständig ist, die Erfüllung der Anforderungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung sicherzustellen, und Nachweise dafür, dass deren Fachkenntnis im Bereich der Verhinderung von Geldwäsche und Terrorismusfinanzierung ausreichend ist, um diese Aufgabe wirksam wahrzunehmen;
• f) die Systeme und Kontrollen, die der Antragsteller eingeführt hat oder einführen wird, um sicherzustellen, dass seine Richtlinien und Verfahren zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung auf dem neuesten Stand, wirksam und relevant bleiben;
• g) die Systeme und Kontrollen, die der Antragsteller eingeführt hat oder einführen wird, um sicherzustellen, dass die Agenten und Distributoren den Antragsteller nicht einem erhöhten Risiko in Bezug auf Geldwäsche und Terrorismusfinanzierung aussetzen;
• h) das Handbuch zur Verhinderung von Geldwäsche und Terrorismusfinanzierung für die Mitarbeiter des Antragstellers.

Leitlinie 15: Identität sowie Eignungsbeurteilung der Personen, die eine qualifizierte Beteiligung an dem Antragsteller halten

15.1 Zur Angabe der Identität der Personen, die eine qualifizierte Beteiligung an dem antragstellenden E-Geld-Institut halten, sowie zum Nachweis ihrer Eignung sollte der Antragsteller – unbeschadet der Bewertung gemäß den Kriterien, die mit Richtlinie 2007/44/EG eingeführt und in den Gemeinsamen Leitlinien zur aufsichtsrechtlichen Beurteilung des Erwerbs von qualifizierten Beteiligungen (EBA/GL/2017/08) spezifiziert wurden – die folgenden Informationen übermitteln:

• a) eine Beschreibung der Gruppe, zu der der Antragsteller gehört, und gegebenenfalls die Angabe des Mutterunternehmens;
• b) ein Diagramm zur Beteiligungsstruktur des Antragstellers, das folgende Elemente umfasst:
• i. den Namen und den prozentualen Anteil (Kapital/Stimmrechte) jeder Person, die eine direkte Beteiligung am Grundkapital des Antragstellers hält oder halten wird, unter Angabe der Personen, die als qualifizierte Beteiligte eingestuft werden, sowie der Gründe für diese Einstufung;
• ii. den Namen und den prozentualen Anteil (Kapital/Stimmrechte) jeder Person, die eine indirekte Beteiligung am Grundkapital des Antragstellers hält oder halten wird, unter Angabe der Personen, die als indirekt qualifizierte Beteiligte eingestuft werden, sowie der Gründe für diese Einstufung;
• c) eine Liste der Namen aller Personen oder sonstigen Stellen, die eine qualifizierte Beteiligung am Kapital des Antragstellers halten oder – im Falle der Zulassung – halten werden, wobei für jede dieser Personen oder sonstigen Stellen Folgendes anzugeben ist:
• i. die Anzahl und Art der Anteile oder sonstigen Beteiligungen, die gezeichnet sind oder werden;
• ii. der Nennwert dieser Anteile oder sonstigen Beteiligungen.

15.2 Handelt es sich bei der Person, die eine qualifizierte Beteiligung am Kapital des Antragstellers hält oder – im Falle der Zulassung – halten wird, um eine natürliche Person, sollte der Antrag folgende Informationen bezüglich der Identität und Eignung dieser Person enthalten:

• a) Name und Geburtsname, Geburtsdatum und -ort, (derzeitige und frühere) Staatsangehörigkeit, (sofern verfügbar) Identifikationsnummer oder Passnummer, Anschrift und Kopie eines amtlichen Ausweisdokuments der Person;
• b) einen detaillierten Lebenslauf, aus dem die Aus- und Weiterbildung, bereits vorhandene Berufserfahrung und alle beruflichen Aktivitäten oder sonstigen Funktionen, die derzeit ausgeübt werden, hervorgehen;
• c) eine Erklärung mit Begleitdokumenten, die folgende Informationen zu der Person enthält:
• i. vorbehaltlich nationaler gesetzlicher Anforderungen betreffend die Offenlegung von Straftilgungen, strafrechtliche Verurteilungen oder Strafverfahren, in denen gegen die Person entschieden wurde und die nicht aufgehoben wurden;
• ii. zivil- oder verwaltungsrechtliche Entscheidungen in Angelegenheiten, die für den Bewertungs- oder Zulassungsprozess relevant sind und in denen gegen die Person entschieden wurde, sowie verwaltungsrechtliche Sanktionen oder Maßnahmen, die infolge eines Verstoßes gegen Gesetze oder Verordnungen (einschließlich Disqualifizierung als Unternehmensleiter) verhängt wurden, die nicht aufgehoben wurden und gegen die kein Rechtsmittel/Rechtsbehelf anhängig ist oder eingelegt werden kann;
• iii. Konkurs, Insolvenz oder ähnliche Verfahren;
• iv. laufende strafrechtliche Ermittlungen;
• v. zivil- oder verwaltungsrechtliche Ermittlungen, Vollstreckungsverfahren, Sanktionen oder sonstige Vollstreckungsentscheidungen gegen die Person betreffend Angelegenheiten, die als relevant für die Zulassung zur Aufnahme der Tätigkeit als E-Geld-Institut oder die solide und umsichtige Führung eines E-Geld-Instituts angesehen werden können;
• vi. sofern verfügbar, eine amtliche Bescheinigung oder ein sonstiges gleichwertiges Dokument, aus dem hervorgeht, ob eines der in den Unterabsätzen (i)-(v) genannten Ereignisse in Verbindung mit der jeweiligen Person aufgetreten ist oder nicht;
• vii. Ablehnung der Eintragung, Erlaubnis, Mitgliedschaft oder Lizenz zur Abwicklung eines Handels, eines Geschäfts oder zur Ausübung eines Berufs;
• viii. Rücknahme, Widerruf oder Kündigung einer solchen Eintragung, Erlaubnis, Mitgliedschaft oder Lizenz zur Abwicklung eines Handels, eines Geschäfts oder zur Ausübung eines Berufs;
• ix. Ausschluss durch eine Behörde oder öffentliche Stelle im Finanzdienstleistungssektor oder durch ein Berufsgremium oder einen Berufsverband;
• x. eine verantwortliche Position bei einer Stelle, die Gegenstand einer strafrechtlichen Verurteilung oder von Strafverfahren, verwaltungsrechtlichen Ermittlungen, Sanktionen oder sonstigen Vollstreckungsentscheidungen aufgrund von Fehlverhalten – einschließlich in Bezug auf Betrug, Unehrlichkeit, Korruption, Geldwäsche, Terrorismusfinanzierung oder sonstige Finanzstraftaten – oder aufgrund des Versäumnisses ist, angemessene Strategien und Verfahren zur Verhinderung derartiger Vorkommnisse einzuführen, die zu dem Zeitpunkt des angeblichen Fehlverhaltens bekleidet wurde, zusammen mit Einzelheiten zu derartigen Vorkommnissen und gegebenenfalls der Beteiligung der betreffenden Person daran;
• xi. Kündigung eines Arbeitsverhältnisse oder Abberufung einer Vertrauensstellung, eines Treuhandverhältnisses (die nicht Folge der regulären Beendigung des betreffenden Verhältnisses durch Zeitablauf ist) durch Kündigung des Arbeitgebers oder eine ähnliche Situation;
• d) eine Liste der Unternehmen, die die Person leitet oder kontrolliert und derer der Antragsteller nach gebührender und sorgfältiger Untersuchung gewahr ist; die

(aktiv/inaktiv, aufgelöst usw.) sowie eine Beschreibung von Insolvenzverfahren oder ähnlichen Verfahren;

• e) sofern bereits eine Bewertung der Zuverlässigkeit durch eine zuständige Behörde im Finanzdienstleistungssektor vorgenommen wurde, die Identität dieser Behörde und die Ergebnisse der Bewertung;
• f) die gegenwärtige Finanzlage der Person, einschließlich Angaben zu Einnahmequellen, Vermögenswerten und Verbindlichkeiten, gewährten oder erlangten Pfandrechten oder Garantien;
• g) eine Beschreibung möglicher Verbindungen zu politisch exponierten Personen im Sinne von Artikel 3 Absatz 9 der Richtlinie (EU) 2015/849⁴ .

15.3 Falls eine Person oder Personenvereinigung eine qualifizierte Beteiligung am Kapital des Antragstellers hält oder – im Falle der Zulassung – halten wird (einschließlich Personen, die keine juristische Personen sind und die Beteiligung in eigenem Namen halten oder halten sollten), sollte der Antrag die folgenden Informationen zur Identität und Eignung dieser juristischen Person oder Personenvereinigung enthalten:

• a) Name;
• b) ist die juristische Person oder Personenvereinigung in einem Zentralregister, Handelsregister, Unternehmensregister oder einem ähnlichen Register, das dieselben Zwecke wie die genannten Register erfüllt, erfasst, eine Kopie der Zuverlässigkeitsbescheinigung oder, sofern möglich, einer sonstigen Registrierungsbescheinigung;
• c) die Anschrift ihres Geschäftssitzes und, sofern abweichend, ihrer Hauptverwaltung und Hauptniederlassung;
• d) Kontaktangaben;
• e) Unternehmensunterlagen oder, falls die Person oder Personenvereinigung in einem anderen Mitgliedstaat registriert ist, eine zusammenfassende Erläuterung der wichtigsten rechtlichen Merkmale der Rechtsform oder der juristischen Person;
• f) Angaben dazu, ob die juristische Person oder Personenvereinigung jemals einer Regulierung/Beaufsichtigung durch eine zuständige Behörde im Finanzdienstleistungssektor oder eine sonstige staatliche Stelle unterlag oder derzeit unterliegt;
• g) sofern verfügbar, eine amtliche Bescheinigung oder ein sonstiges gleichwertiges Dokument der jeweiligen zuständigen Behörde, aus dem die Informationen gemäß den Buchstaben (a) bis (e) hervorgehen;
• h) die Informationen gemäß Leitlinie 15 Absatz 2 Buchstaben (c), (d), (e) (f) und (g) im Hinblick auf die juristische Person oder Personenvereinigung;
• i) eine Liste mit Angaben zu jeder Person, die die Geschäfte der juristischen Person oder Personenvereinigung tatsächlich leitet, einschließlich ihres Namens, Geburtsdatums und -orts, ihrer Anschrift, ihrer nationalen Identifikationsnummer (sofern verfügbar) und eines detaillierten Lebenslaufs (aus dem die jeweilige Aus- und Weiterbildung, bereits vorhandene Berufserfahrung und alle beruflichen Aktivitäten oder sonstigen Funktionen, die derzeit ausgeübt werden, hervorgehen), zusammen mit den Informationen gemäß Leitlinie 15 Absatz 2 Buchstaben (c) und (d) in Bezug auf jede dieser Personen;
• j) die Beteiligungsstruktur der juristischen Person, einschließlich mindestens ihres Namens, Geburtsdatums und -orts, ihrer Anschrift, ihrer persönlichen Identifikationsnummer oder Registrierungsnummer (sofern verfügbar) sowie des jeweiligen Anteils am Kapital oder Stimmrechten von direkten oder indirekten Anteilseignern oder Mitgliedern und wirtschaftlichen Eigentümern gemäß Definition in Artikel 3 Ziffer 6 der Richtlinie (EU) 2015/849;
• k) eine Beschreibung der regulierten Finanzgruppe, der der Antragsteller angehört oder womöglich angehören wird, unter Angabe der Muttergesellschaft und der Kredit-, Versicherungs- und Wertpapierunternehmen innerhalb der Gruppe sowie der Bezeichnung ihrer zuständigen Behörden (auf individueller oder konsolidierter Basis); und
• l) den Jahresabschluss, auf individueller und gegebenenfalls konsolidierter und unterkonsolidierter Gruppenebene, für die letzten drei Geschäftsjahre, falls die juristische Person oder Personenvereinigung in diesem Zeitraum tätig war (oder falls es

Personenvereinigung tätig war und für den ein Abschluss erstellt wurde), der vom Abschlussprüfer oder der Prüfungsgesellschaft im Sinne von Richtlinie 2006/43/EG⁵ geprüft wurde, gegebenenfalls einschließlich folgender Unterlagen:

• i. Bilanz;
• ii. Gewinn- und Verlustrechnung oder Erfolgsrechnung;
• iii. Jahresberichte und finanzielle Anhänge sowie sonstige Dokumente, die in dem einschlägigen Register oder bei der zuständigen Behörde der juristischen Person erfasst sind;
• m) war die juristische Person nicht für einen ausreichenden Zeitraum tätig, der für die Erstellung eines Abschlusses für die drei Geschäftsjahre unmittelbar vor dem Zeitpunkt der Antragstellung erforderlich ist, ist dem Antrag der bestehende Abschluss (sofern vorliegend) beizulegen;
• n) hat die juristische Person oder Personenvereinigung ihre Hauptverwaltung in einem Drittstaat, allgemeine Informationen über die für die juristische Person oder Personenvereinigung in diesem Drittstaat geltenden Rechtsvorschriften, einschließlich Informationen dazu, inwieweit die Regelungen des Drittstaats zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung den Empfehlungen der „Financial Action Task Force“ entsprechen;
• o) für Einrichtungen, die keine Rechtspersönlichkeit besitzen, wie Organismen für gemeinsame Anlagen, Staatsfonds oder Treuhandgesellschaften (Trusts), muss der Antrag folgende Informationen enthalten:
• i. die Namen der Personen, die Vermögenswerte verwalten, sowie der Personen, die Begünstigte, Zeichner oder Inhaber sind, die den Organismus für gemeinsame Anlagen kontrollieren oder eine Beteiligung haben, die ihnen ermöglicht, das Ergreifen von Entscheidungen durch den Organismus für gemeinsame Anlagen zu verhindern;
• ii. eine Kopie des Gründungs- und Regelungsdokuments der Einrichtung, einschließlich der Anlagepolitik sowie für die Einrichtung geltender Anlagebeschränkungen.

15.4 Der Antrag muss für jede natürliche oder juristische Person oder Personenvereinigung, die eine qualifizierte Beteiligung am Kapital des Antragstellers hält oder – im Falle der Zulassung

• – halten wird, folgende Informationen enthalten:
• a) Angaben zu den finanziellen oder geschäftlichen Gründen dieser Person oder Personenvereinigung für das Halten dieser Beteiligung sowie zu der Strategie der Person oder Personenvereinigung hinsichtlich der Beteiligung, einschließlich des Zeitraums, während dessen die Person oder Personenvereinigung das Halten dieser Beteiligung beabsichtigt, oder der etwaigen Absicht, die Höhe ihrer Beteiligung in absehbarer Zukunft aufzustocken, zu reduzieren oder beizubehalten;
• b) Angaben zu den Absichten der Person oder Personenvereinigung in Bezug auf den Antragsteller und dem Einfluss, den die Person oder Personenvereinigung auf den Antragsteller auszuüben beabsichtigt, einschließlich in Bezug auf die Dividendenpolitik, die strategische Entwicklung oder die Ressourcenallokation des Antragstellers, sowie Einzelheiten dazu, ob diese beabsichtigt, als aktiver Minderheitsgesellschafter zu agieren, sowie zu den Gründen für eine solche Absicht;
• c) Informationen zur Bereitschaft der Person oder Personenvereinigung, den Antragsteller mit zusätzlichen eigenen Mitteln zu unterstützen, wenn dies für die Vornahme von dessen Tätigkeit erforderlich ist oder im Falle finanzieller Engpässe;
• d) den Inhalt angestrebter Anteilseigner- oder Mitgliedervereinbarungen mit anderen Anteilsinhabern oder Mitgliedern in Bezug auf den Antragsteller;
• e) eine Analyse dazu, ob sich die qualifizierte Beteiligung auf irgendeine Weise, unter anderem infolge der engen Verbindungen der Person zu dem Antragsteller, auf die Fähigkeit des Antragstellers auswirken wird, den zuständigen Behörden rechtzeitige und präzise Informationen bereitzustellen;
• f) die Identität aller Mitglieder des Leitungsorgans oder der Geschäftsleitung, die die Geschäfte des Antragstellers leiten und von diesen Anteilsinhabern oder Mitgliedern ernannt werden oder nominiert worden sind, zusammen mit den in Leitlinie 16 aufgeführten Informationen (sofern noch nicht bereitgestellt).

15.5 Der Antrag sollte eine ausführliche Erläuterung zu den konkreten Finanzierungsquellen der Beteiligung jeder Person oder jeder Personenvereinigung enthalten, die eine qualifizierte Beteiligung am Kapital des Antragstellers hält. Diese Erläuterung sollte folgende Angaben umfassen:

• a) Einzelheiten zur Verwendung privater Finanzmittel, einschließlich ihrer Verfügbarkeit und (damit sich die zuständige Behörde vergewissern kann, dass die Tätigkeit, mit der diese Mittel generiert wurden, rechtmäßig ist) ihres Ursprungs;
• b) Einzelheiten zum Zugang zu Finanzmärkten, einschließlich Einzelheiten zu den zu emittierenden Finanzinstrumenten;
• c) Angaben zur Verwendung von Fremdmitteln, einschließlich Nennung der Namen der jeweiligen Kreditgeber, sowie Einzelheiten zu den eingeräumten Fazilitäten wie Fälligkeit, Bedingungen, Pfandrechte und Garantien, sowie Informationen über die Einnahmequelle, die verwendet werden soll, um die Fremdmittel zurückzuzahlen;

Finanzinstitut, das zur Kreditvergabe befugt ist, sollte der Antragsteller den zuständigen Behörden Informationen zur Herkunft der Fremdmittel bereitstellen;

• d) Informationen zu allen finanziellen Vereinbarungen mit anderen Personen, die Anteilsinhaber oder Mitglieder des Antragstellers sind.

Leitlinie 16: Identität sowie Eignungsbeurteilung der Geschäftsleiter und der für die Geschäftsführung des E-Geld-Instituts verantwortlichen Personen

16.1 Zur Angabe der Identität sowie zur Beurteilung der Eignung von Geschäftsleitern und der für die Geschäftsführung des E-Geld-Instituts verantwortlichen Personen sollte der Antragsteller folgende Informationen übermitteln:

• a) Personalien, einschließlich folgender Angaben:
• i. vollständiger Name, Geschlecht, Geburtsort und -datum, Anschrift und Staatsangehörigkeit sowie persönliche Identifikationsnummer oder eine Kopie des Personalausweises oder eines gleichwertigen Dokuments;
• ii. Einzelheiten zu der Position, für die die Beurteilung erfolgen soll, sowie dazu, ob die betreffende Position im Leitungsorgan in seiner Leitungsfunktion bzw. in seiner Aufsichtsfunktion ist. Dies sollte auch folgende Elemente umfassen:

• b) gegebenenfalls Informationen über die vom Antragsteller durchgeführte Eignungsbeurteilung, die auch Einzelheiten über die Ergebnisse einer vom Institut durchgeführten Eignungsbeurteilung einer Einzelperson umfassen sollte, etwa einschlägige Vorstandsprotokolle oder Eignungsbeurteilungsberichte oder sonstige Dokumente;

Einzelheiten zu Ausbildung und Berufserfahrung umfassen sollten, einschließlich akademischer Qualifikationen, sonstiger relevanter Weiterbildungsmaßnahmen, des Namens und der Art aller Organisationen, für die die Person tätig ist oder war, sowie der Art und Dauer der ausgeübten Funktionen, unter besonderer Hervorhebung von Tätigkeiten, die im Themenbereich der angestrebten Position liegen;

• d) Nachweise über Zuverlässigkeit, Redlichkeit und Integrität, die Folgendes umfassen sollten:
• i. Strafregisterauszüge sowie relevante Informationen über strafrechtliche Ermittlungen und Strafverfahren, relevante Zivil- oder Verwaltungsrechtsstreitigkeiten, Disziplinarmaßnahmen (einschließlich Disqualifizierung als Unternehmensleiter oder Konkurs, Insolvenz oder ähnliche Verfahren), nachzuweisen insbesondere durch eine amtliche Bescheinigung/polizeiliches Führungszeugnis oder eine objektiv zuverlässige Informationsquelle darüber, dass keine strafrechtlichen Verurteilungen, Ermittlungen oder Strafverfahren vorliegen, etwa durch Ermittlungen von Dritten oder Zeugnisse von Anwälten oder Notaren mit Sitz in der Europäischen Union;
• ii. eine Erklärung dazu, ob Strafverfahren anhängig sind oder ob die Person oder eine von ihr geleitete Organisation als Schuldner in ein Insolvenzverfahren oder ähnliche Verfahren verwickelt war;
• iii. Informationen betreffend folgende Aspekte:

Leitlinie 17: Identität von Abschlussprüfern und Prüfungsgesellschaften

Die vom Antragsteller zu übermittelnden Angaben zur Identität von Abschlussprüfern und Prüfungsgesellschaften im Sinne der Richtlinie 2006/43/EG sollten gegebenenfalls die Namen, Anschriften und Kontaktangaben der Prüfer umfassen.

Leitlinie 18: Berufshaftpflichtversicherung oder eine gleichwertige Garantie für Zahlungsauslösedienste und Kontoinformationsdienste

Als Nachweis für eine Berufshaftpflichtversicherung oder gleichwertige Garantie, die den EBA-Leitlinien zu den Kriterien, anhand deren die Mindestdeckungssumme der Berufshaftpflichtversicherung oder einer anderen gleichwertigen Garantie festzulegen ist (EBA/GL/2017/08), sowie Artikel 5 Absätze 2 und 3 der PSD2 entsprechen, sollte der Antragsteller auf Zulassung als E-Geld-Institut, der zusätzlich zum E-Geld-Geschäft die Erbringung von Zahlungsauslösediensten oder Kontoinformationsdiensten beabsichtigt, folgende Informationen übermitteln:

• a) einen Versicherungsvertrag oder ein gleichwertiges Dokument zum Nachweis einer bestehenden Berufshaftpflichtversicherung oder gleichwertigen Garantie, mit einer Deckungssumme, die den genannten EBA-Leitlinien entspricht, woraus hervorgeht, dass die jeweiligen Haftungsverpflichtungen abgedeckt sind;
• b) Dokumentation dazu, wie der Antragsteller die Mindestdeckungssumme entsprechend den genannten EBA-Leitlinien (EBA/GL/2017/08) berechnet hat, einschließlich aller anwendbaren Komponenten der darin angeführten Formel.

⁴ Richtlinie (EU) 2015/849 des Europäischen Parlaments und des Rates vom 20. Mai 2015 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche und der Terrorismusfinanzierung (ABl. L 141 vom 5.6.2015, S. 73).

⁵ Richtlinie 2006/43/EG des Europäischen Parlaments und des Rates vom 17. Mai 2006 über Abschlussprüfungen von Jahresabschlüssen und konsolidierten Abschlüssen, zur Änderung der Richtlinien 78/660/EWG und 83/349/EWG des Rates und zur Aufhebung der Richtlinie 84/253/EWG des Rates (ABl. L 157 vom 9.6.2006, S. 87-107).

Leitlinie 1: Bewertung der Vollständigkeit des Antrags

1.1. Ein Antrag gilt für die Zwecke von Artikel 12 der Richtlinie (EU) 2015/2366 als vollständig, wenn er alle Informationen enthält, welche die zuständigen Behörden für die Bewertung des Antrags im Einklang mit diesen Leitlinien und mit Artikel 5 der Richtlinie (EU) 2015/2366 benötigen.

1.2. Werden die vom Antragsteller übermittelten Informationen für unvollständig erachtet, sollte die zuständige Behörde in Papierform oder auf elektronischem Wege ein Ersuchen an den Antragsteller senden, in dem sie auf klare Weise darlegt, welche Informationen fehlen. Der Antragsteller sollte Gelegenheit erhalten, die fehlenden Informationen zu übermitteln.

1.3. Wird ein Antrag als vollständig erachtet, sollte die zuständige Behörde den Antragsteller hierüber in Kenntnis setzen und ihm das Eingangsdatum des vollständigen Antrags oder gegebenenfalls das Eingangsdatum der Informationen, durch die der Antrag vervollständigt wurde, mitteilen.

1.4. In jedem Falle kann die zuständige Behörde vom Antragsteller verlangen, eine Klarstellung zu den Informationen für die Zwecke der Bewertung des Antrags vorzunehmen.

1.5. Enthält ein Antrag Informationen oder basiert er auf Informationen, die den zuständigen Behörden vorliegen und die nicht länger wahrheitsgetreu, präzise oder vollständig sind, sollte den zuständigen Behörden unverzüglich eine Aktualisierung des Antrags vorgelegt werden. In der Aktualisierung sollten die betreffenden Informationen und die Stelle des ursprünglichen Antrags, an der sie sich befinden, identifiziert werden. Ferner sollten die Gründe dafür, warum die Informationen nicht länger wahrheitsgetreu, präzise oder vollständig sind, sowie die aktualisierten Informationen angegeben werden. Schließlich sollte eine Bestätigung abgegeben werden, dass die restlichen Informationen des Antrags weiterhin wahrheitsgetreu, präzise und vollständig sind.

Guideline 1: General principles

1.1 This set of guidelines applies to applicants for authorisation as electronic money institutions (EMIs).This refers to applicants that intend to provide e-money services and, if applicable, any payment service(s) referred to in points 1-8 of Annex I to PSD2. Applicants that intend to provide only payment services referred to in points 1-7 of Annex I to PSD2 or service 8 referred to in this Annex in combination with other service(s) referred to in points 1-7 without providing e-money services should refer to the specific set of guidelines on the information required from applicants for authorisation as payment institutions (PIs) set out in section 4.1. Applicants that intend to provide only the payment service referred to in point 8 of Annex I to PSD2 without providing e-money services should refer to the guidelines on the information required from applicants for registration for the provision of only service 8 of Annex I PSD2 set out in section 4.2.

1.2 The information provided by applicants should be true, complete, accurate and up to date. All applicants should comply with all the provisions in the set of guidelines that applies to them. The level of detail should be proportionate to the applicant’s size and internal organisation, and to the nature, scope, complexity and riskiness of the particular service(s) that the applicant intends to provide. In any event, in accordance with Directive (EU) 2015/2366, the directors and the persons responsible for the management of the electronic money institution are of good repute and possess appropriate knowledge and experience to perform payment services, regardless of the institution’s size, internal organisation and the nature, scope and complexity of its activities and the duties and responsibilities of the specific position.

1.3 When submitting the information required, the applicant should avoid making references to specific sections of internal procedures/documents. Instead, the applicant should extract the relevant sections and provide these to the competent authority.

1.4 Should the competent authorities (CAs) require clarifications on the information that has been submitted, the applicant should provide such clarification without delay. 1.5 All data requested under these guidelines for authorisation as EMIs are needed for the assessment of the application and will be treated by the competent authority in accordance with the professional secrecy obligations set out in PSD2, without prejudice to applicable Union law and national requirements and procedures on the exercise of the right to access, rectify, cancel or oppose.

Guideline 2: Identification details

2.1 The identification details to be provided by the applicant should contain the following information:

• a) the applicant’s corporate name and, if different, trade name;
• b) an indication of whether the applicant is already incorporated or in the process of incorporation;
• c) the applicant’s national identification number, if applicable;
• d) the applicant’s legal status and (draft) articles of association and/or constitutional documents evidencing the applicant’s legal status;
• e) the address of the applicant’s head office and registered office;
• f) the applicant’s electronic address and website, if available;
• g) the name(s) of the person(s) in charge of dealing with the application file and authorisation procedure, and their contact details;
• h) an indication of whether or not the applicant has ever been, or is currently being, regulated by a competent authority in the financial services sector;
• i) any trade association(s), in relation to the provision of e-money services and/or payment services, that the applicant plans to join, where applicable;
• j) the register certificate of incorporation or, if applicable, negative certificate of a mercantile register that certifies that the name applied by the company is available;
• k) evidence of the payment of any fees or of the deposit of funds to file an application for authorisation as an electronic money institution, where applicable under national law.

Guideline 3: Programme of operations

3.1 The programme of operations to be provided by the applicant should contain the following information:

• a) an indication of the e-money services the applicant intends to provide: issuance, redemption, distribution;
• b) if applicable, a step-by-step description of the type of payment services envisaged, including an explanation of how the activities and the operations that will be provided are identified by the applicant as fitting into any of the legal categories of payment services listed in Annex I to PSD2, and an indication of whether these payment services would be provided in addition to electronic money services or whether they are linked to the issuance of electronic money;
• c) a declaration of whether the applicant will at any point enter or not into possession of funds;
• d) if applicable, a description of the execution of the different e-money services and, if applicable, payment services, detailing all parties involved, for each e-money service and, if applicable, each payment service provided:
• i. a diagram of flow of funds;
• ii. settlement arrangements;

services including those with payment card schemes, if applicable;

• iv. processing times;
• e) a copy of the draft contract between the electronic money issuer and the electronic money holder and the draft framework contract, as defined in Article 4(21) of PSD2 if the applicant pretends to provide payment services in addition to e-money services;
• f) the estimated number of different premises from which the applicant intends to provide the services, if applicable;
• g) a description of any ancillary services to e-money services and, if applicable, to payment services;
• h) when the applicant intends to provide payment services in addition to e-money services, a declaration of whether or not the applicant intends to grant credit and, if so, within which limits;
• i) a declaration of whether or not the applicant plans to provide e-money services and, if applicable, payment services in other EU Member States or third countries after the granting of the licence;
• j) an indication of whether or not the applicant intends, for the next three years, to provide or already provides business activities other than e-money services and, if applicable, payment services, as referred to in Article 11(5) of Directive (EU) 2015/2366, including a description of the type and expected volume of the activities;
• k) the information specified in EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional indemnity insurance or other comparable guarantee under Article 5(4) of Directive (EU) 2015/2366’ (EBA/GL2017/08), where the applicant intends to provide services 7 and 8 (payment initiation services (PIS) and account information services (AIS)).

Guideline 4: Business plan

4.1. The business plan to be provided by the applicant should contain:

• a) a marketing plan consisting of:
• i. an analysis of the company’s competitive position in the e-money market and, if applicable, payment market segment concerned;
• ii. a description of the payment service users and electronic money holders, marketing materials and distribution channels;
• b) certified annual accounts for the previous three years, if available, or a summary of the financial situation for those companies that have not yet produced annual accounts;
• c) a forecast budget calculation for the first three financial years that demonstrates that the applicant is able to employ appropriate and proportionate systems, resources and procedures that allow the applicant to operate soundly; it should include:
• i. an income statement and balance-sheet forecast, including target scenarios and stress scenarios as well as their base assumptions, such as volume and value of transactions, number of clients, pricing, average amount per transaction, expected increase in profitability threshold;
• ii. explanations of the main lines of income and expenses, the financial debts and the capital assets;
• iii. a diagram and detailed breakdown of the estimated cash flows for the next three years;

with method D, as referred to in Article 5.3 of Directive (EU) 2009/110 (the second E-Money Directive (EMD2)), if the electronic money institution intends to provide e-money services only, or the method(s) referred to in Article 9 of Directive (EU) 2015/2366 (PSD2) as determined by the competent authority, if the applicant intends to provide payment services in addition to e-money services, including an annual projection of the breakdown of own funds for three years according to the method used and, If applicable, an annual projection of the own funds for three years according to the other methods used.

Guideline 5: Structural organisation

5.1. The applicant should provide a description of the structural organisation of its undertaking consisting of:

• a) a detailed organisational chart, showing each division, department or similar structural separation, including the name of the person(s) responsible, in particular those in charge of internal control functions; the chart should be accompanied by a description of the functions and responsibilities of each division, department or similar structural separation;
• b) an overall forecast of the staff numbers for the next three years;
• c) a description of the relevant operational outsourcing arrangements consisting of:
• i. the identity and geographical location of the outsourcing provider;
• ii. the identity of the persons within the electronic money institution that are responsible for each of the outsourced activities;
• iii. a clear description of the outsourced activities and their main characteristics;
• d) a copy of draft outsourcing agreements;
• e) a description of the use of branches, agents and distributors, where applicable, including:
• i. a mapping of the off-site and on-site checks that the applicant intends to perform of branches, agents and distributors;
• ii. the IT systems, processes and infrastructure that are used by the applicant’s agents and distributors to perform activities on behalf of the applicant;
• iii. in the case of agents and distributors, the selection policy, monitoring procedures, agents’ and distributor’s training and, where available, the draft terms of engagement of agents and distributors;
• f) an indication of the national and/or international payment system that the applicant will access, if applicable;
• g) a list of all natural or legal persons that have close links with the applicant, indicating their identities and the nature of those links.

Guideline 6: Evidence of initial capital

6.1. For the evidence of initial capital to be provided by the applicant (of EUR 350 000), the applicant should submit the following documents:

• a) for existing undertakings, an audited account statement or public register certifying the amount of capital of the applicant;
• b) for undertakings in the process of being incorporated, a bank statement issued by a bank certifying that the funds are deposited in the applicant’s bank account.

Guideline 7: Measures to safeguard the funds of electronic money users and/or payment service users

7.1. Where the applicant safeguards the electronic money users’ and/or payment service users’ funds through depositing funds in a separate account in a credit institution or through an investment in secure, liquid, low-risk assets, the description of the safeguarding measures should contain:

• a) a description of the investment policy to ensure the assets chosen are liquid, secure and low risk, if applicable;
• b) the number of persons that have access to the safeguarding account and their functions;
• c) a description of the administration and reconciliation process for electronic money users and, if applicable, payment service users, against the claims of other creditors of the electronic money institution, in particular in the event of insolvency;
• d) a copy of the draft contract with the credit institution;
• e) an explicit declaration by the electronic money institution of compliance with Article 10 of PSD2. 7.2. Where the applicant safeguards the funds of the electronic money users and, if applicable, the payment service users through an insurance policy or comparable guarantee from an insurance company or credit institution, and unless the applicant intends to provide PIS only, the description of the safeguarding measures should contain the following:
• a) a confirmation that the insurance policy or comparable guarantee from an insurance company or credit institution is from an entity that is not part of the same group of firms as the applicant;
• b) details of the reconciliation process in place to ensure that the insurance policy or comparable guarantee is sufficient to meet the applicant’s safeguarding obligations at all times;
• c) duration and renewal of the coverage;
• d) a copy of the (draft) insurance agreement or (draft) comparable guarantee.

Guideline 8: Governance arrangements and internal control mechanisms

8.1. The applicant should provide a description of the governance arrangement and internal control mechanisms consisting of:

• a) a mapping of the risks identified by the applicant, including the type of risks and the procedures the applicant will put in place to assess and prevent such risks, in relation to e-money services and, if applicable, payment services;
• b) the different procedures to carry out periodical and permanent controls, including the frequency and the human resources allocated;
• c) the accounting procedures by the which the applicant will record and report its financial information;
• d) the identity of the person(s) responsible for the internal control functions, including for periodic, permanent and compliance control, as well as an up-to-date curriculum vitae;
• e) the identity of any auditor that is not a statutory auditor pursuant to Directive 2006/43/EC;
• f) the composition of the management body and, if applicable, any other oversight body or committee;
• g) a description of the way outsourced functions are monitored and controlled so as to avoid an impairment in the quality of the electronic money institution’s internal controls;
• h) a description of the way any agents, branches and distributors are monitored and controlled within the framework of the applicant’s internal controls;
• i) where the applicant is the subsidiary of a regulated entity in another EU Member State, a description of the group governance.

Guideline 9: Procedure for monitoring, handling and following up on security incidents and security-related customer complaints

9.1. The applicant should provide a description of the procedure in place to monitor, handle and follow up on security incidents and security-related customer complaints to be provided by the applicant, which should contain:

• a) organisational measures and tools for the prevention of fraud;
• b) details of the individuals and bodies responsible for assisting customers in cases of fraud, technical issues and/or claim management;
• c) reporting lines in cases of fraud;
• d) the contact point for customers, including a name and email address;
• e) the procedures for the reporting of incidents, including the communication of these reports to internal or external bodies, including for applicants that intend to provide payment services in addition to e-money services, and the notification of major

the EBA guidelines on incident reporting under the referred Article.

• f) the monitoring tools used and the follow-up measures and procedures in place to mitigate security risks.

Guideline 10: Process for filing, monitoring, tracking and restricting access to sensitive payment data

10.1. The applicant should provide a description of the process in place to file, monitor, track and restrict access to sensitive payment data consisting of:

• a) a description of the flows of data classified as sensitive payment data in the context of the electronic money institution’s business model;
• b) the procedures in place to authorise access to the sensitive payment data;
• c) a description of the monitoring tool;
• d) the access right policy, detailing access to all relevant infrastructure components and systems, including databases and back-up infrastructures;
• e) a description of how the collected data are filed;
• f) the expected internal and/or external use of the collected data, including by counterparties;
• g) the IT system and technical security measures that have been implemented, including encryption and/or tokenisation;
• h) identification of the individuals, bodies and/or committees with access to the sensitive payment data;
• i) an explanation of how breaches will be detected and addressed;
• j) an annual internal control programme in relation to the safety of the IT systems.

Guideline 11: Business continuity arrangements

consisting of the following information:

• a) a business impact analysis, including the business processes and recovery objectives, such as recovery time objectives, recovery point objectives and protected assets;
• b) the identification of the back-up site and access to IT infrastructure, and the key software and data to recover from a disaster or disruption;
• c) an explanation of how the applicant will deal with significant continuity events and disruptions, such as the failure of key systems; the loss of key data; the inaccessibility of the premises; and the loss of key persons;
• d) the frequency with which the applicant intends to test the business continuity and disaster recovery plans, including how the results of the testing will be recorded;
• e) a description of the mitigation measures to be adopted by the applicant, in cases of the termination of its payment services, ensuring the execution of pending payment transactions and the termination of existing contracts. Guideline 12: The principles and definitions applicable to the collection of statistical data on performance, transactions and fraud.

12.1. The applicant should provide a description of the principles and definitions applicable to the collection of the statistical data on performance, transactions and fraud consisting of the following information:

• a) the type of data that is collected, in relation to customers, type of payment service, channel, instrument, jurisdictions and currencies;
• b) the scope of the collection, in terms of the activities and entities concerned, including branches, agents and distributors;
• c) the means of collection;
• d) the purpose of collection;
• e) the frequency of collection;
• f) supporting documents, such as a manual, that describe how the system works.

Guideline 13: Security policy document

service(s) and, where applicable, payment service(s) containing the following information:

• a) a detailed risk assessment of the e-money service(s) and, where applicable, the payment service(s) the applicant intends to provide, which should include risks of fraud and the security control and mitigation measures taken to adequately protect e-money service users and, where applicable, payment service users against the risks identified;
• b) a description of the IT systems, which should include:
• i. the architecture of the systems and their network elements;
• ii. the business IT systems supporting the business activities provided, such as the applicant’s website, wallets, the payment engine, the risk and fraud management engine, and customer accounting;
• iii. the support IT systems used for the organisation and administration of the electronic money institution, such as accounting, legal reporting systems, staff management, customer relationship management, e-mail servers, internal file servers;
• iv. information on whether those systems are already used by the electronic money institution or its group, and the estimated date of implementation, if applicable;
• c) the type of authorised connections from outside, such as with partners, service providers, entities of the group and employees working remotely, including the rationale for such connections;
• d) for each of the connections listed under point c), the logical security measures and mechanisms in place, specifying the control the electronic money institution will have over such access as well as the nature and frequency of each control, such as technical versus organisational; preventative versus detective; and real-time monitoring versus regular reviews, such as the use of an active directory separate from the group, the opening/closing of communication lines, security equipment configuration, generation

confidentiality of communication, intrusion detection, antivirus systems and logs;

• e) the logical security measures and mechanisms that govern the internal access to IT systems, which should include:
• i. the technical and organisational nature and frequency of each measure, such as whether it is preventative or detective and whether or not it is carried out in real time;
• ii. how the issue of client environment segregation is dealt with in cases where the applicant’s IT resources are shared;
• f) the physical security measures and mechanisms of the premises and the data centre of the applicant, such as access controls and environmental security;

include:

• i. the customer authentication procedure used for both consultative and transactional access, and for all underlying payment instruments;
• ii. an explanation of how safe delivery to the legitimate e-money services user and, where applicable, payment service user and the integrity of authentication factors, such as hardware tokens and mobile applications, are ensured, at the time of both initial enrolment and renewal;
• iii. a description of the systems and procedures that the electronic money institution has in place for transaction analysis and the identification of suspicious or unusual transactions;
• h) a detailed risk assessment in relation to its e-money services and, where applicable, its payment services, including fraud, with a link to the control and mitigation measures explained in the application file, demonstrating that the risks are addressed;
• i) a list of the main written procedures in relation to the applicant’s IT systems or, for procedures that have not yet been formalised, an estimated date for their finalisation.

Guideline 14: Internal control mechanisms to comply with obligations in relation to money laundering and terrorist financing (AML/CFT obligations)

14.1 The description of the internal control mechanisms that the applicant has established in order to comply, where applicable, with those obligations should contain the following information:

• a) the applicant’s assessment of the money laundering and terrorist financing risks associated with its business, including the risks associated with the applicant’s customer base, the products and services provided, the distribution channels used and the geographic areas of operation;
• b) the measures the applicant has or will put in place to mitigate the risks and comply with applicable anti-money laundering and counter terrorist financing obligations, including the applicant’s risk assessment process, the policies and procedures to comply with customer due diligence requirements, and the policies and procedures to detect and report suspicious transactions or activities;
• c) the systems and controls the applicant has or will put in place to ensure that its branches, agents and distributors comply with applicable anti-money laundering and terrorist financing requirements, including, in cases where the agent, distributor or branch is located in another Member State;
• d) arrangements the applicant has or will put in place to ensure that staff, agents and distributors are appropriately trained in anti-money laundering and counter terrorist financing matters;
• e) the identity of the person in charge of ensuring the applicant’s compliance with anti-money laundering and counter-terrorism obligations, and evidence that their anti-money laundering and counter-terrorism expertise is sufficient to enable them to fulfil this role effectively;
• f) the systems and controls the applicant has or will put in place to ensure their anti-money laundering and counter terrorist financing policies and procedures remain up to date, effective and relevant;
• g) the systems and controls the applicant has or will put in place to ensure that the agents and distributors do not expose the applicant to increased money laundering and terrorist financing risk;
• h) the anti-money laundering and counter-terrorism manual for the staff of the applicant.

Guideline 15: Identity and suitability assessment of persons with qualified holdings in the applicant

15.1 For the purposes of the identity and evidence of the suitability of persons with qualifying holdings in the applicant electronic money institution, without prejudice to the assessment in accordance with the criteria, as relevant, introduced with Directive 2007/44/EC and specified in the joint guidelines for the prudential assessment of acquisitions of qualifying holdings (JC/GL/2016/01), the applicant should submit the following information:

• a) a description of the group to which the applicant belongs and an indication of the parent undertaking, where applicable;
• b) a chart setting out the shareholder structure of the applicant, including:
• i. the name and the percentage holding (capital/voting right) of each person that has or will have a direct holding in the share capital of the applicant, identifying those that are considered as qualifying holders and the reason for such qualifications;
• ii. the name and the percentage holding (capital/voting rights) of each person that has or will have an indirect holding in the share capital of the applicant, identifying those that are considered as indirect qualifying holders and the reason for such qualification;
• c) a list of the names of all persons and other entities that have or, in the case of authorisation, will have qualifying holdings in the applicant’s capital, indicating for each such person or entity:
• i. the number and type of shares or other holdings subscribed or to be subscribed;
• ii. the nominal value of such shares or other holdings.

15.2 Where a person who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital is a natural person, the application should set out all of the following information relating to the identity and suitability of that person:

• a) the person’s name and name at birth, date and place of birth, citizenship (current and previous), identification number (where available) or passport number, address and a copy of an official identity document;
• b) a detailed curriculum vitae stating the education and training, previous professional experience and any professional activities or other functions currently performed;
• c) a statement, accompanied by supporting documents, containing the following information concerning the person:
• i. subject to national legislative requirements concerning the disclosure of spent convictions, any criminal conviction or proceedings where the person has been found against and which were not set aside;
• ii. any civil or administrative decisions in matters of relevance to the assessment

each case which were not set aside and against which no appeal is pending or may be filed;

• iii. any bankruptcy, insolvency or similar procedures;
• iv. any pending criminal investigations;
• v. any civil or administrative investigations, enforcement proceedings, sanctions

may be considered to be relevant to the authorisation to commence the activity of an electronic money institution or to the sound and prudent management of an electronic money institution;

• vi. where such documents can be obtained, an official certificate or any other equivalent document evidencing whether any of the events set out in sub-paragraphs (i)-(v) has occurred in respect of the relevant person;
• vii. any refusal of registration, authorisation, membership or licence to carry out trade, business or a profession;
• viii. any withdrawal, revocation or termination of a registration, authorisation, membership or licence to carry out trade, business or a profession;
• ix. any expulsion by an authority or public sector entity in the financial services sector or by a professional body or association;
• x. any position of responsibility with an entity subject to any criminal conviction or proceedings, administrative investigations, sanctions or other enforcement decisions for conduct failings, including in respect of fraud, dishonesty, corruption, money laundering, terrorist financing or other financial crime, or

events, held at the time when the alleged conduct occurred, together with details of such occurrences and of the person’s involvement, if any, in them;

• xi. any dismissal from employment or a position of trust, any removal from a fiduciary relationship (other than as a result of the relevant relationship coming to an end by passage of time) and any similar situation;
• d) a list of undertakings that the person directs or controls and of which the applicant is aware of after due and careful enquiry; the percentage of control either direct or indirect in these companies; their status (whether or not they are active, dissolved, etc.); and a description of insolvency or similar procedures;
• e) where an assessment of reputation of the person has already been conducted by a competent authority in the financial services sector, the identity of that authority and the outcome of the assessment;

revenues, assets and liabilities, security interests and guarantees, whether granted or received;

• g) a description of any links to politically exposed persons, as defined in Article 3(9) of Directive (EU) 2015/849⁵ .

15.3 Where a person or entity who has or, in the case of authorisation, will have a qualifying holding in the applicant’s capital (including entities that are not a legal person and which hold or should hold the participation in their own name), the application should contain the following information relating to the identity and suitability of that legal person or entity:

• a) name;
• b) where the legal person or entity is registered in a central register, commercial register, companies register or similar register that has the same purposes of those aforementioned, a copy of the good standing, if possible, or otherwise a registration certificate;
• c) the addresses of its registered office and, where different, of its head office, and principal place of business;
• d) contact details;
• e) corporate documents or, where the person or entity is registered in another Member State, a summary explanation of the main legal features of the legal form or the entity;
• f) whether or not the legal person or entity has ever been or is regulated by a competent authority in the financial services sector or other government body;
• g) where such documents can be obtained, an official certificate or any other equivalent document evidencing the information set out in paragraphs (a) to (e) issued by the relevant competent authority;
• h) the information referred to in Guideline 15(2)(c), 15(2)(d), 15(2)(e),15(2)(f) and 15(2)(g) a in relation to the legal person or entity;
• i) a list containing details of each person who effectively directs the business of the legal person or entity, including their name, date and place of birth, address, their national identification number, where available, and detailed curriculum vitae (stating relevant education and training, previous professional experience, any professional activities or other relevant functions currently performed), together with the information referred to in Guideline 15(2)(c) and 15(2)(d) in respect of each such person;
• j) the shareholding structure of the legal person, including at least their name, date and place of birth, address and, where available, personal identification number or registration number and the respective share of capital and voting rights of direct or indirect shareholders or members and beneficial owners, as defined in Article 3(6) of Directive (EU) 2015/849;
• k) a description of the regulated financial group of which applicant is a part, or may become a part, indicating the parent undertaking and the credit, insurance and security entities within the group; the name of their competent authorities (on an individual or consolidated basis); and
• l) annual financial statements, at the individual and, where applicable, the consolidated and sub-consolidated group levels, for the last three financial years, where the legal person or entity has been in operation for that period (or, if less than three years, the period for which the legal person or entity has been in operation and financial statements were prepared), approved by the statutory auditor or audit firm within the meaning of Directive 2006/43/EC⁶ , where applicable, including each of the following items:
• i. the balance sheet;
• ii. the profit-and-loss accounts or income statement;
• iii. the annual reports and financial annexes and any other documents registered with the relevant registry or competent authority of the legal person;
• m) where the legal person has not been operating for a sufficient period to be required to prepare financial statements for the three financial years immediately prior to the date of the application, the application shall set out the existing financial statements (if any);

information on the regulatory regime of that third country as applicable to the legal person or entity, including information on the extent to which the third country’s anti-money laundering and counter-terrorist financing regime is consistent with the Financial Action Task Force Recommendations;

undertaking, a sovereign wealth fund or a trust, the application shall set out the following information:

• i. the identity of the persons who manage assets and of the persons who are beneficiaries or subscribers, unit holders controlling the collective investment undertaking or having a holding enabling them to prevent the taking of decisions by the collective investment undertaking;
• ii. a copy of the document establishing and governing the entity including the investment policy and any restrictions on investment applicable to the entity.

15.4 The application shall set out all of the following information for each natural or legal person or entity who has or, in the case of authorisation, will have a qualifying holding in the capital of the applicant should contain the following:

• a) details of that person’s or entity’s financial or business reasons for owning that holding and the person’s or the entity’s strategy regarding the holding, including the period for which the person or the entity intends to hold the holding and any intention to increase, reduce or maintain the level of the holding in the foreseeable future;
• b) details of the person’s or entity’s intentions in respect of the applicant and of the influence the person or the entity intends to exercise over the applicant, including in respect of the dividend policy, the strategic development and the allocation of resources of the applicant, whether or not it intends to act as an active minority shareholder and the rationale for such intention;

additional own funds if needed for the development of its activities or in the case of financial difficulties;

• d) the content of any intended shareholder’s or member’s agreements with other shareholders or members in relation to the applicant;
• e) an analysis as to whether or not the qualifying holding will impact in any way, including as a result of the person’s close links to the applicant, on the ability of the applicant to provide timely and accurate information to the competent authorities;
• f) the identity of each member of the management body or of senior management who will direct the business of the applicant and will have been appointed by, or following a nomination from, such shareholders or members, together with, to the extent not already provided, the information set out in Guideline 16 below.

15.5 The application should set out a detailed explanation of the specific sources of funding for the participation of each person or entity having a qualifying holding in the applicant’s capital, which should include:

• a) details on the use of private financial resources, including their availability and (so as to

funds is legitimate) source;

• b) details on access to financial markets, including details of financial instruments to be issued;

authorised to grant credit, the applicant should provide to the competent authorities information on the origin of the borrowed funds;

• d) information on any financial arrangement with other persons who are shareholders or members of the applicant. Guideline 16: Identity and suitability assessment of directors and persons responsible for the management of the electronic money institution

16.1 For the purposes of the identity and suitability assessment of directors and persons responsible for the management of the electronic money institution, the applicant should provide the following information:

• a) Personal details including:

personal identification number or copy of ID card or equivalent.

• ii. details of the position for which the assessment is sought, whether or not the management body position is executive or non-executive. This should also include the following details:

• b) where applicable, information on the suitability assessment carried out by the applicant which should include details of the result of any assessment of the suitability of the individual performed by the institution, such as relevant board minutes or suitability assessment reports or other documents;
• c) evidence of knowledge, skills and experience, which should include a curriculum vitae containing details of education and professional experience, including academic qualifications, other relevant training, the name and nature of all organisations for which the individual works or has worked, and the nature and duration of the functions performed, in particular highlighting any activities within the scope of the position sought;
• d) evidence of reputation, honesty and integrity, which should include:
• i. criminal records and relevant information on criminal investigations and proceedings, relevant civil and administrative cases, and disciplinary actions, including disqualification as a company director, bankruptcy, insolvency and similar procedures, notably through an official certificate or any objectively reliable source of information concerning the absence of criminal conviction, investigations and proceedings, such as third-party investigations, testimonies made by a lawyer or a notary established in the European Union;
• ii. a statement as to whether criminal proceedings are pending or the person or any organisation managed by him or her has been involved as a debtor in insolvency proceedings or comparable proceedings;
• iii. information concerning the following :

Guideline 17: Identity of statutory auditors and audit firms

The identity of statutory auditors and audit firms as defined in Directive 2006/43/EC to be provided by the applicant, where relevant, should contain the names, addresses and contact details of auditors.

Guideline 18: Professional indemnity insurance or a comparable guarantee for payment initiation services and account information services

As evidence of a professional indemnity insurance or comparable guarantee that is compliant with EBA Guidelines on the criteria on how to stipulate the minimum monetary amount of the professional insurance or other comparable guarantee (EBA/GL/2017/08) and Article 5(2) and 5(3) of PSD2, the applicant for authorisation as electronic money institutions that, in addition to e-money services, intends to provide PIS or AIS, should provide the following information:

• a) an insurance contract or other equivalent document confirming the existence of the professional indemnity insurance or comparable guarantee, with a cover amount that is compliant with the referred EBA Guidelines, showing the coverage of the respective liabilities;
• b) documentation of how the applicant has calculated the minimum amount in a way that is compliant with the referred EBA Guidelines (EBA/GL/2017/08), including all applicable components of the formula specified therein.

⁵ Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing (OJ L 141, 5.6.2015, p. 73).

⁶ Directive 2006/43/EC of the European Parliament and of the Council of 17 May 2006 on statutory audits of annual accounts and consolidated accounts, amending Council Directives 78/660/EEC and 83/349/EEC and repealing Council Directive 84/253/EEC (OJ L 157, 9.6.2006, p. 87-107).

Guideline 1: Assessment of the completeness of the application

1.1. An application should be deemed to be complete for the purpose of Article 12 of Directive (EU) 2015/2366 if it contains all the information needed by the competent authorities in order to assess the application in accordance with these guidelines and with Article 5 of Directive (EU) 2015/2366.

1.2. Where the information provided in the application is assessed to be incomplete, the competent authority should send, in paper format or by electronic means, a request to the applicant, indicating in a clear way what information is missing, and should provide to the applicant the opportunity to submit the missing information.

1.3. Upon an application being assessed as complete, the competent authority should inform the applicant of that fact, together with the date of receipt of the complete application or, as the case may be, the date of receipt of the information that completed the application.

1.4. In any case, the competent authority may require the applicant to provide clarification on the information for the purposes of assessing the application.

1.5. Where an application contains information, or relies on information held by the competent authorities, which is no longer true, accurate or complete, an update to the application should be provided to the competent authorities without delay. The update should identify the information concerned, its location within the original application, the reason for the information no longer being true, accurate or complete, the updated information and confirmation that the rest of the information in the application remains true, accurate and complete.