MiFID II – PRIIPs – DSGVO – Transparenzregister & kein Ende für luxemburgische Investmentfonds

Seit Anfang des Jahres ist die Luxemburger Investmentfondswelt um mindestens zwei regulatorische Prachtstücke reicher, deren Auswirkungen auf die Luxemburger Investmentfondswelt wir im Folgenden noch einmal in Erinnerung bringen wollen. Zunächst einmal ist da die zweite Finanzmarktrichtlinie 2014/65/EU (MiFID II) zu nennen, unmittelbar gefolgt von der Verordnung über Basisinformationsblätter für verpackte Anlageprodukte für Kleinanleger und Versicherungsanlageprodukte Nr. 1286/2014/EU¹ (PRIIP-VO).

Mit Wirkung zum 26. Mai sollten die hiesigen Investmentfonds dann die Datenschutz-Grundverordnung² (DSGVO) implementiert haben.

Da zwischen dem 02. Januar, dem In-Kraft-Treten der PRIIP-VO, und dem 26. Mai fast fünf Monate liegen, hat der luxemburgische Gesetzgeber in der ruhigen Vorweihnachtszeit des Weiteren beschlossen, dass die Finanzmarktindustrie sich in der Zwischenzeit sicherlich auch noch mit der Implementierung eines Transparenzregisters für in Luxemburg ansässige Gesellschaften beschäftigen kann.³

Das Erfreuliche an diesen vier aufsichtsrechtlichen Neuerungen ist, dass alle vier miteinander interagieren – der geschätzte Anwender muss MiFID II, DSGVO, PRIIP-VO und das Transparenzregister (die „Vier“) also nicht isoliert betrachten, sollte er auch nicht. Weniger erfreulich ist, dass die „Zusammenarbeit“ dieser Vier nicht immer so ganz aufeinander abgestimmt zu sein scheint. Einfassen lassen sich die Vier noch von der AIFMD, hier ist insbesondere an die Verantwortung des AIFM für den Vertrieb von Fondsanteilen zu denken.⁴

MiFID II

Nun könnte der eine oder andere AIFM, Geschäftsführer bzw. Verwaltungsrat einer SICAV bzw. einer KVG zumindest hinsichtlich MiFID II an Erwägungsgrund 34 und Artikel 2 Abs 1 j) MiFID II denken, der Organismen für gemeinsame Anlagen explizit von dem Anwendungsbereich der MiFID II ausnimmt.⁵ Glück gehabt? Sind Investmentfonds erstmal verschont? Ja schon, aber…

Die Regelungen der MiFID II setzen zunächst einmal den rechtlichen Rahmen für Wertpapierfirmen, Marktbetreiber, Datenprovider und Anbieter von Wertpapierdienstleistungen. Hierzu gehören unter anderem und in unserem Kontext relevant neben Banken auch häufig Vertriebspartner Luxemburger Investmentfonds. Wertpapierfirma (WP) im Sinne der MiFID II ist jede juristische Person, die gewerbsmäßig ein oder mehrere Wertpapierdienstleistungen für Dritte erbringt und/oder ein oder mehrere Anlagetätigkeiten ausübt.⁶ Zu diesem Adressenkreis zählen neben Finanzportfolioverwaltern insbesondere auch Anlageberater und Anlagevermittler. Von diesen verlangt MiFID II in Bezug auf die betreuten bzw. vertriebenen Investmentfonds unter anderem die Einhaltung der neuen Vergütungsvorschriften, das Vorhalten einer aktuellen sog. Product Governance Policy (PGP) inklusive einer sog. Zielmarktdefinition und die korrespondierende Dokumentation. Die Regelungen im Bereich der Product Governance sind eines der Kernelemente der MiFID-II-Regelungen und betreffen den gesamten Produktlebenszyklus z. B. eines betreuten / vertriebenen Investmentfonds von der Produktstrukturierung über dessen Vertrieb bis hin zu fortlaufenden Beobachtungspflichten. Die WP hat ein Verfahren für die interne Freigabe zum Vertrieb eines jeden Finanzinstruments zu unterhalten, zu betreiben und regelmäßig zu überprüfen.⁷ Ein Bestandteil dieses Verfahrens ist die Bestimmung eines oder mehrerer Zielmärkte. Der Zielmarkt ist eine abstrakte Beschreibung der Kundengruppe, an die sich das Finanzinstrument jeweils richtet.⁸ Ferner muss die WP allen Vertriebspartnern sämtliche erforderlichen und sachdienlichen Informationen zu dem Investmentfonds und dem Produktfreigabeverfahren einschließlich des bestimmten Zielmarktes zur Verfügung stellen. Darüber hinaus muss die WP sicherstellen, dass der Investmentfonds lediglich an den vorher bestimmten Zielmarkt vertrieben wird.⁹

Es ist also nicht damit getan, die Anforderungen der MiFID II einmal zu erfüllen und sich dann über die getane Arbeit zu freuen. Nach der initialen Implementierung und entsprechender Dokumentation haben AIFM, Geschäftsführer bzw. Verwaltungsrat einer SICAV bzw. einer KVG, je nach Verantwortung und Investmentfondsstruktur, ihren Investmentfonds laufend diesbezüglich zu überwachen und z. B. eine PGP bei Bedarf anzupassen.

Vertreibt nun eine WP nicht ihre eigenen Produkte, sondern wird von einem externen AIFM, einer KVG, einem Komplementär oder Verwaltungsrat eines Luxemburger Investmentfonds mit dem Vertrieb der Fondsanteile beauftragt, wird sie im Gegenzug erfahrungsgemäß verlangen, dass „der Fonds“ die PGP inklusive Zielmarktdefinition in Einklang mit den Vorgaben der MiFID II zuliefert. Gleichzeitig sollte der Auftraggeber der WP, also der externe AIFM, eine KVG, Komplementär oder Verwaltungsrat eines Luxemburger Investmentfonds sicherstellen, dass die beauftragte WP ihrerseits die Anforderungen der MiFID II auch einhält. Ansonsten lässt sich ihm wohl der Vorwurf einer nicht den marktüblichen Standards entsprechenden Due Dilligence und Vertragsgestaltung machen.

Mit anderen Worten schlagen die oben beschriebenen Anforderungen der MiFID II mittelbar auf Investmentfonds durch, wofür zumindest die Vertriebspartner sorgen.

Bei bestehenden und zukünftigen Vertriebsvereinbarungen ist bzw. sollte darüber hinaus bereits geprüft worden sein, dass gemäß Artikel 24 Abs. 4 Buchstabe a) der MiFID II ein Vertriebspartner den potentiellen Investor vor der Beratung darüber zu informieren hat, ob die erbrachte Dienstleistung als „abhängige“ oder „unabhängige“ Anlageberatung zu verstehen ist. Unabhängige Anlageberater dürfen keine Zuwendungen von Dritten oder dem Vertreter eines Dritten in Bezug auf den Vertrieb erhalten, also auch und gerade nicht von dem Investmentfonds.¹⁰ Falls Zuwendungen von Dritten erhalten werden, müssen diese vollständig und alsbald an den Kunden ausgekehrt werden.¹¹ Bei abhängigen Beratern ist eine Vergütung nur in festgelegten Grenzen zulässig.

Auch in diesem Zusammenhang kann es als Pflicht des externen AIFM, einer KVG, eines Komplementärs oder Verwaltungsrates eines Luxemburger Investmentfonds – je nachdem, wer die Vertriebsvereinbarungen geschlossen hat – angesehen werden, sicherzustellen, dass bestehende und zukünftige Vertriebsvereinbarungen den Vorgaben der MiFID II entsprechen.

PRIIP-VO¹²:

Vergleichbar MiFID II verlangt die PRIIP-VO ebenfalls den Ausweis eines Zielmarktes in dem KID und die Unterscheidung, ob es sich um ein komplexes oder nicht-komplexes Produkt handelt.¹³ Initiale und laufende Kosten sowie Transaktionskosten des verpackten Produkts¹⁴ sind gemäß den Vorgaben der PRIIP-VO darzustellen. Auch MiFID II schreibt Kostentransparenz seitens der WP gegenüber potentiellen Investoren eines Investmentfonds vor. ¹⁵ Es wird also deutlich, dass MiFID II und PRIIP-VO an diversen, für Luxemburger Investmentfonds relevanten Stellen, in die gleiche Richtung zielen. Hier ist es aus unserer Sicht wichtig

1. sicherzustellen, dass keine divergierenden Informationen in den Markt gegeben werden – einmal gemäß den Vorgaben der MiFID II und einmal gemäß PRIIP-VO und
2. wo möglich Effizienzen zu nutzen, um nicht gleiche Arbeit doppelt zu machen.

DSGVO:

Es sollte bisher deutlich geworden sein, dass MiFID II und PRIIP-VO deutlich erhöhte Anforderungen an die Transparenz von Investmentfonds gegenüber (potentiellen) Investoren stellen, z. B. im Rahmen der Zielmarktdefinition, also u.a. des gewünschten Investorentyps und der Kosten, z. B. von Vertriebsleistungen. Dies geht einher mit entsprechend steigenden Informationsbedürfnissen der beteiligten Parteien. Um z. B. überwachen zu können, dass ein Investmentfonds in der Tat an Investoren in Einklang mit der Zielmarktdefinition vertrieben wird, müssen Vertrieb und Investmentfonds wohl oder übel entsprechende Informationen austauschen. Die PRIIP-VO verlangt die Ausweisung einer Beschwerdestelle für jeden Investor. Ruft der Investor an oder schreibt eine E-Mail, wird er wohl seine Kontaktdaten hinterlassen und diese werden dann gespeichert, weitergegeben und – im besten Fall – für eine Antwort genutzt.

Hier kommt nun ab 26. Mai die DSGVO ins Spiel. Sie enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten. Die DSGVO gilt für jede natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden.¹⁶ Die DSGVO verlangt eine erhöhte Transparenz gegenüber den betroffenen Personen bei der Verarbeitung von personenbezogenen Daten, wie beispielsweise der Übermittlung von Kundendaten an Vertriebspartner und die Einwilligung der betroffenen Personen zur Datenverarbeitung durch eine eindeutig bestätigende Handlung in „informierter und unmissverständlicher Weise“. Unter personenbezogenen Daten versteht die DSGVO nach Artikel 4 Nr. 1 „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.“ Um diese Definition zu erfüllen, genügt bereits die Weiterleitung einer personalisierten E-Mail-Adresse.

Die DSGVO enthält – anders als zumindest bislang MiFID II – keine Ausnahme für z. B. OGAW, AIFs oder AIFM. Das heißt mit dem 26. Mai müssen AIFM, KVG, Komplementäre oder Verwaltungsräte eines Luxemburger Investmentfonds einen Datenschutzverantwortlichen im Sinne der DSGVO benennen und dieser hat die Einhaltung der DSGVO im Unternehmen, also hier für den Investmentfonds, sicherzustellen. Zu diesen Anforderungen gehört an erster Stelle das dokumentierte Einverständnis der betroffenen Personen, in informierter und unmissverständlicher Weise über die Verwendung ihrer Daten informiert worden zu sein und hierin eingewilligt zu haben. Häufig betroffen von dieser Anforderung werden die Investoren des Fonds sein.

Werden z. B. Investorendaten von der Transfer- und Registerstelle und der Verwahrstelle eines Investmentfonds gespeichert und verarbeitet, was in der Regel der Fall ist, hat der Investmentfonds also ein entsprechendes outsourcing-controlling einzurichten und zu dokumentieren.¹⁷ Im Rahmen des Fondsvertriebs werden zwischen Investmentfonds bzw. AIFM und den Vertriebspartnern häufig Daten über bereits bestehende oder kontaktierte potentielle Investoren ausgetauscht. Auch hier sind häufig Daten natürlicher Personen betroffen und auch hier sollten die Vertriebsverantwortlichen auf Seiten des Investmentfonds eine entsprechende Dokumentationskette etablieren.

Im Ergebnis wird ein Investmentfonds bzw. AIFM / KVG nicht umhin kommen, zu analysieren, wo überall personenbezogene Daten gespeichert, verarbeitet oder / und weitergeben werden und sich überlegen müssen, wie ein entsprechendes Einverständnis der Betroffenen eingeholt werden kann und dies im Falle eines Falles auch nachgewiesen werden kann.

Transparenzregister

Last but not least wird auch noch das zukünftige Transparenzregister die Investmentfondswelt erfrischen. Es dient der Umsetzung von Artikel 30 und 31 der Richtlinie zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche und der Terrorismusfinanzierung (EU) 2015/849 (AML-RL).¹⁸ Mit dem Inkrafttreten des Transparenzregisters in Luxemburg werden hiesige Unternehmen verpflichtet, ihre wirtschaftlich berechtigten Personen im Sinne der AML-RL in dem Register zu veröffentlichen. Es wird unmittelbar deutlich, dass dies in jedem Fall Auswirkungen im Sinne der DSGVO hat, denn hierbei handelt es sich grundsätzlich um Daten von natürlichen Personen. Hinzu kommt, dass sich die betroffenen Fondsverantwortlichen darüber Gedanken machen müssen, wer diesen neuen Pflichten nachkommt – initial aber auch laufend. Wie wird sichergestellt, dass z. B. Tochtergesellschaften diese Anforderungen ebenfalls erfüllen?

Rolle und Verantwortung des AIFM

Nach dem AIFM-Gesetz verfügt der AIFM über die EU-weite Vertriebsberechtigung der von ihm verwalteten alternativen Investmentfonds. Übt der AIFM den Vertrieb nicht selber aus, sondern werden z. B. externe Vertriebspartner wie eine WP eingeschaltet, ändert das nichts an der Verantwortlichkeit des AIFM für diesen Vertrieb. Darüber hinaus hat der AIFM im Rahmen des Risikomanagements auch operationelle Risiken der AIFs zu überwachen, was eine Umsetzungskontrolle für neue aufsichtsrechtliche Vorgaben nach MiFID II und DSGVO einschließt. Vor diesem Hintergrund wird deutlich, dass die oben beschriebenen, neuen Anforderungen auch entsprechende Prozesse und Dokumentationspflichten bei den AIFM nach sich ziehen sollten. Schlussendlich ist es aber in der Verantwortung der Verwaltungsräte bzw. der Geschäftsführer der Komplementäre und KVGen sicherzustellen, dass die neuen, regulatorischen Anforderungen auch umgesetzt werden.

02. März 2018