Source: https://blogs.pwc.de/leasing-online/category/regulatory/
Timestamp: 2020-01-21 18:33:05+00:00

Document:
Regulatory Archiv - Leasing OnLine
Weiterlesen | Kategorien: Accounting, Aktuelles, IT, Regulatory, Tax
22. Mai 2018 ,Michael Benner
DSGVO – der Countdown läuft (Teil 2)
Was sind aus Ihrer Sicht die Aspekte mit der höchsten Priorität, die im Rahmen der Umsetzung zu beachten bzw. umgesetzt werden sollten um das Risiko von Sanktionen zu minimieren?
In erster Linie ist es natürlich ratsam alle Anforderungen die sich z. B. auf die Kommunikation gegenüber dem Kunden auswirken bzw. in der Außendarstellung des Unternehmens liegen möglichst bis zum 25. Mai 2018 abzuschließen. Im Moment versenden sehr viele Unternehmen ihre an die EU-DSGVO angepassten allgemeinen Geschäftsbedingungen und/oder neue Einwilligungserklärungen. Sofern dies noch nicht geschehen ist, empfehlen wir dringend dies kurzfristig nachzuholen.
Zudem erwarten wir ab dem 25. Mai 2018 einen sprunghaften Anstieg von Auskunftsersuchen der Betroffenen. Daher empfehlen wir den Unternehmen einen strukturierten Prozess zu etablieren, um die Anfragen effizient und compliant beantworten zu können.
Aus unserer Sicht hat es sich in der Praxis bewährt zuerst die Zielaufbau- und Ablauforganisation zu konzipieren und hieraus resultierend einzelne Teilprojekte und Maßnahmen umzusetzen.
Die nach innen gerichteten Maßnahmen, wie z.B. die bereits erwähnte Anpassungen von IT-Systemen zur Umsetzung der Sperr- und Löschfunktionen können durchaus in einer späteren Projektphase umgesetzt werden, dürfen aber abschließend nicht vernachlässigt werden.
Grundsätzlich empfehlen wir aber die Projekte nicht unnötig in die Länge zu ziehen, da es sich um die Umsetzung notwendiger regulatorischer Anforderungen handelt.
Besteht die Möglichkeit für unsere Mandanten im Rahmen eines DSGVO-Pre-Checks dem eigenen Umsetzungsstand prüfen zulassen und mögliche Lücken zu identifizieren?
In vielen Fällen existieren bereits teilweise Prozesse und Verfahren zum Datenschutz, welche am BDSG ausgerichtet aber für die DSGVO-Compliance nicht ausreichend sind. Daher empfehlen wir ein Projekt immer mit einem solchen Pre-Check zu starten. Dabei können relativ schnell diejenigen Handlungsfelder identifiziert werden, die den größten Handlungsbedarf und die höchste Priorität haben sollten. Darauf aufbauend kann dann eine dem Kontext der Organisation angepasste Projektplanung für eine Umsetzung erstellt werden. Bei komplexen und langlaufenden Projekten empfehlen wir, auch sogenannte Quality Gates mit Zwischenprüfungen durchzuführen.
Selbstverständlich unterstützen wir unsere Mandanten bei der Durchführung eines Pre-Checks / einer Zwischenprüfung und begleiten auch die Umsetzung mit unseren interdisziplinären Expertenteams aus dem Rechtsbereich sowie der Beratung.
Zusätzlich können wir die Wirksamkeit des Datenschutzmanagementsystems (DSMS) bescheinigen. Dies bietet sich insbesondere dann an, wenn das Unternehmen sein DSGVO-Projekt abgeschlossen hat und einmalig oder regelmäßig die DSGVO-Konformität bescheinigt haben möchte. Hierzu prüfen wir das im DSMS verankerte Kontrollsystem auf Basis des internationalen Prüfungsstandard ISAE 3402 oder ISAE 3000. Da es derzeit noch keine sonstigen Instanzen gibt, die eine Datenschutzzertifizierung anbieten, erscheint uns dieses Vorgehen derzeit als die beste Möglichkeit, um den Kunden gegenüber die Wirksamkeit der zum Datenschutz ergriffenen Maßnahmen nachweisen zu können.
Weiterlesen | Kategorien: Aktuelles, IT, Regulatory
16. Mai 2018 ,Michael Benner
DSGVO – der Countdown läuft (Teil 1)
Das Ende der Umsetzungsfrist für die EU Datenschutz-Grundverordnung (DSGVO) liegt in greifbarer Nähe. Die Unternehmen haben nur noch wenige Tage Zeit die Anforderungen umsetzen. Wir wollen die Gelegenheit nutzen, um mit unserem Experten Rüdiger Giebichenstein in zwei Blogbeiträgen den aktuellen Umsetzungsstand sowie wesentliche Handlungsfelder zu diskutieren.
Kurze Vorstellung Rüdiger Giebichenstein:
Rüdiger Giebichenstein ist Partner im Bereich Risk Assurance Solutions Financial Services bei PwC und mit seinem Expertenteam bundesweit für Datenschutz- und Informationssicherheit, Business Continuity Management sowie IT-Compliance tätig.
In weniger als einem Monat tritt die neue EU Datenschutz-Grundverordnung (DSGVO) in Kraft. Wie ist Ihre Einschätzung zum aktuellen Umsetzungsstand der Mandanten?
Bezüglich des aktuellen Umsetzungsstands erleben wir ein eher verteiltes Bild. Einerseits haben einige Mandaten, insbesondere die große Unternehmen, hierzu bereits 2017 entsprechende Projekte gestartet und sind auf einem guten Weg die EU-DSGVO bis zum 25. Mai 2018 in zumindest den Grundzügen umzusetzen.
Es gibt aber Unternehmen, die den Umsetzungsaufwand und dazu zählen insbesondere die mit komplexen Geschäftsmodellen und IT-Landschaften deutlich unterschätzt und demzufolge die Projekte tendenziell zu spät gestartet haben. Für diese Unternehmen wird sich die Umsetzung der EU-DSGVO auch noch deutlich bis nach Ende Mai 2018 hinziehen.
Im Mittelstand zeigt sich, dass hier noch deutlicher Nachholbedarf existiert. Dort wurden die Entwicklungen zur DSGVO nicht oder nicht ausreichend verfolgt und beim Top Management wenige Projekte initiiert bzw. entsprechendes Bewusstsein geschaffen.
Wo sehen Sie noch die größten Hürden, Handlungsbedarf bzw. Unklarheiten im Rahmen der Umsetzung, die aktuell viele Mandanten vor Herausforderungen stellen?
Die wesentliche Herausforderung ist, dass die EU-DSGVO sehr generisch formuliert und die notwendige Konkretisierung an vielen Stellen bisher fehlt. Da es auch noch keine einschlägige Rechtsprechung gibt, sind die Unternehmen im Rahmen der Umsetzung dazu gezwungen, eigene Interpretationen zu liefern und entsprechende Annahmen zu treffen. Insbesondere sind dabei die Themen Datenschutzfolgeabschätzung oder Datenportabilität zu nennen, die so im BDSG bisher nicht aufgeführt waren. Je früher ein Unternehmen mit der Umsetzung dieser Themen begonnen hat, umso schwieriger war es für diese auf good-practices oder etablierten Lösungen zurückzugreifen. Vor diesem Hintergrund ist es auch durchaus nachvollziehbar, dass gerade kleine und mittelständige Unternehmen den Beginn der Umsetzungsprojekte verhältnismäßig lange hinausgezögert haben.
Auch die bisher im BDSG relativ konkret benannten technisch organisatorischen Maßnahmen (sog. TOM‘s), die zum Schutz von personenbezogenen Daten verpflichtend waren, sind durch generischere Formulierungen von sog. Schutzzielen abgelöst wurden, die allerdings z.T. bereits aus dem Bereich der Informationssicherheit bekannt sind. Dadurch werden den Unternehmen zwar zusätzliche Freiheiten eingeräumt, die Schutzmaßnahmen an den für sie relevanten Risiken auszurichten, gleichzeitig erfordert dies aber auch die Etablierung eines angemessenen Vorgehens zum IT-Risikomanagement was wiederum für viele Unternehmen neu ist.
Viele Unternehmen tun sich auch schwer damit, die abstrakt formulierten Anforderungen an die Nachweis und Rechenschaftspflichten in für den jeweiligen Kontext des Unternehmens passende Prozesse und Governance Strukturen zu überführen. Wir empfehlen daher unseren Mandanten den Aufbau eines sog. Datenschutzmanagementsystems (DSMS) und dieses eng mit ggf. bereits bestehenden Governance-Strukturen wie z.B. einem Informationssicherheitsmanagementsystem (ISMS) oder dem internen Kontrollsystem oder anderen Compliance-Funktionen zu verzahnen. Dadurch kann üblicherweise der Aufbau von unnötigen Doppelstrukturen vermieden werden und Synergien zu weiteren regulatorischen Anforderungen wie z.B. denen des IT-Sicherheitsgesetzes oder den MaRisk und den Konkretisierungen für die IT (BAIT und VAIT) wenn man beispielsweise den Finanzsektor betrachtet, erzielt werden.
Wie bereits erwähnt haben viele Unternehmen zudem den tatsächlichen Umsetzungsaufwand deutlich unterschätzt, da einige Anforderungen auch tiefgreifenden Anpassungsbedarf der einzelnen IT-Anwendungen erfordern. Insbesondere sind dabei das Recht auf „Vergessen werden“ und das Recht auf „Einschränkung der Verarbeitung“ zu nennen, da viele Anwendungen bisher gar keine Möglichkeiten geboten haben, Datensätze strukturiert und nachvollziehbar zu löschen und stattdessen die Datensätze einfach fortschreiben.
Gerade zum Abschluss der Projekte sehen wir derzeit häufig, dass es noch einmal erheblicher Anstrengung bedarf, um die umgesetzten Maßnahmen zum Datenschutz auch nachhaltig in der Unternehmenskultur zu verankern. Wir sind der Meinung, dass gelebter Datenschutz ein wirksames Instrument ist, um das Vertrauen der Kunden in eine Marke nachhaltig zu stärken. Die Unternehmen sollten sich nicht der „Verführung“ hingeben, Daten anders als zu dem Zweck zu dem sie erhoben wurden zu verwenden oder wichtige Maßnahmen zur Datensicherheit aus Kostengründen zu vernachlässigen und somit das Vertrauen der Kunden zu verspielen. Unabhängig hiervon hat der Gesetzgeber signifikante Sanktionsmaßnahmen vorgesehen (bis zu 20 Mio. EUR oder bis zu 4% des konzernweiten Umsatzes).
27. März 2018 ,Michael Benner
BaFin veröffentlicht Entwurf zur Verwaltungspraxis im Umgang mit dem neuen Geldwäschegesetz
Die BaFin hat die lange erwarteten Auslegungs- und Anwendungshinweise zum Geldwäschegesetz in Konsultationsfassung veröffentlicht (BaFin-Konsultation 05/2018). Der nun vorliegende Entwurf bezieht sich auf das aktuelle Geldwäschegesetz vom Juni 2017 und gilt für alle Verpflichteten, die unter der Aufsicht der BaFin stehen.
Die Auslegungs- und Anwendungshinweise gliedern sich in vier Hauptkapitel und haben in ihrer Konsultationsfassung einen Umfang von 88 Seiten. Hinzu kommen die ESA Risk Factors Guidelines, die als Anlage der Auslegungs- und Anwendungshinweise nunmehr auch verpflichtet anzuwenden sind. Wir haben für sie den Aufbau und die wesentlichen Regelungsbereiche in der nachfolgenden Übersicht zusammengefasst.
Die BaFin hat in der vorliegenden Konsultationsfassung der Auslegungs- und Anwendungshinweise bislang keine expliziten Konkretisierungen für Leasing/-Factoringgesellschaften aufgenommen.
Stellungnahmen können der BaFin bis zum 11. Mai 2018 übermittelt werden. Zudem plant die BaFin, eine entsprechende Anhörung am 2. Mai 2018 in Bonn durchzuführen.
5. September 2017 ,Dirk Mayr
Institutsvergütungsverordnung – wesentliche Auswirkung für Leasinginstitute
Zur Umsetzung von internationalen Richtlinien und Vorgaben wurde die Institutsvergütungsverordnung (InstitutsVergV) angepasst und am 4. August 2017 in Kraft gesetzt.
Eine gute Nachricht für die meisten Leasinggesellschaften besteht darin, dass die Identifizierungspflicht von Risikoträgern für alle Institute nicht umgesetzt wurde. Weiterhin besteht diese Verpflichtung nur für die bedeutenden Institute. Insbesondere aufgrund des Schwellenwertes von § 17 Abs. 1 InstitutsVergV in Höhe von € 15 Mrd. Bilanzsumme im Durchschnitt der letzten drei Jahre, dürften nur wenige Leasinggesellschaften hiervon sowie den damit verbundenen weiteren Änderungen betroffen sein.
Obwohl die Verordnung gem. § 28 InstitutsVergV erst mit Beginn des nächsten Bemessungszeitraums i.S. § 19 InstitutsVergV umzusetzen ist, ist bereits heute zu beachten, dass sich Änderungen in einzelnen Definitionen ergeben haben. So wurde die Definition der variablen Vergütung dahingehend angepasst, dass alle Bestandteile, die nicht gem. § 2 Abs. 6 InstitutsVergV fix sind, als variabel anzusehen sind. Hiervon betroffen sind grundsätzlich auch Abfindungen und Zulagen, welche nur unter engen Voraussetzungen als fixer Bestandteil klassifiziert werden können. Auswirkungen in Bezug auf den Bonus Cap gem. § 25 Abs. 5 KWG sind für Leasinggesellschaften allerdings nicht von Bedeutung, da diese gem. § 2 Abs. 7a KWG von deren Anwendung ausgenommen sind.
In Bezug auf Abfindungen haben Leasinggesellschaften künftige Grundsätze zu fixieren, die einen Höchstbetrag oder Kriterien für die Bestimmung regeln. Darüber hinaus ist das Vergütungssystem jährlich zu überprüfen und sofern Mängel festgestellt werden, ein Maßnahmenplan zu erstellen und die umgesetzten Maßnahme zu dokumentieren.
Da die neuen Vorschriften bereits Gegenstand der anstehenden Jahresabschlussprüfung sein werden, sollten Leasinggesellschaften im Rahmen einer GAP-Analyse den individuellen Anpassungsbedarf ermitteln und entsprechende Maßnahmen definieren bzw. bereits umsetzen.
Weitere Informationen zur Institutsvergütungsverordnung finden Sie hier.
Weiterlesen | Kategorien: Accounting, RegulatoryKommentieren |
25. Juli 2017 ,Michael Henneberger
Weiterlesen | Kategorien: Accounting, Aktuelles, IT, Regulatory, TaxKommentieren |
1. Juni 2017 ,Michael Benner
AnaCredit für Leasinggesellschaften – Kommt! Kommt nicht! Oder doch?
Die weiteren Entwicklungen sind daher eng zu beobachten.

References: § 17
 § 28
 § 19
 § 2
 § 25
 § 2