FATCA & CRS: Sind Sie überhaupt meldepflichtig?

Jeden Sommer wiederholt sich in deutschen Compliance-Teams dasselbe. Die FATCA- und CRS-Meldefrist zum 31. Juli rückt näher, und eine Frage, die das ganze Jahr über stillschweigend aufgeschoben wurde, wird plötzlich dringend: Müssen wir das überhaupt melden — und wenn ja, was?

Es ist eine berechtigte Frage, und von außen schwerer zu beantworten, als sie sein sollte. Die FATCA- und CRS-Meldung ist die Aufgabe, die niemand übernehmen will. Berater fassen sie ungern an, und die Institute, die die Pflicht trifft — kleinere Banken, Zahlungsinstitute, lizenzierte FinTechs und sehr oft Fonds — hätten sie am liebsten bei jemand anderem. Also bleibt sie liegen, ungeklärt, bis die Frist die Sache erzwingt.

Dieser Leitfaden beantwortet die vorgelagerte Frage: Sind Sie überhaupt meldepflichtig — und was umfasst diese Pflicht genau? Er richtet sich an in Deutschland beaufsichtigte Institute, deshalb beschreiben wir, wo die Mechanik zählt, den deutschen Weg: die Meldung an das Bundeszentralamt für Steuern (BZSt). Die Klassifizierungslogik selbst ist in jeder CRS-Jurisdiktion dieselbe.

Fangen Sie hier an: Sind Sie ein meldendes Finanzinstitut?

Der Reflex ist, mit der Frage zu beginnen: „Haben wir überhaupt meldepflichtige Konten?“ Das ist der falsche Ausgangspunkt. Sowohl unter FATCA als auch unter CRS ergibt sich die Meldepflicht nicht daraus, dass Sie meldepflichtige Konten haben. Sie ergibt sich daraus, was Sie sind.

Die Regime gelten für Rechtsträger, die die Definition eines meldenden Finanzinstituts (Reporting Financial Institution, RFI) erfüllen. Wenn Sie eines sind, tragen Sie Sorgfalts- und Meldepflichten — bestimmt durch Ihren Status, nicht durch das, was die Prüfung eines bestimmten Jahres zutage fördert (mehr dazu, was das erfordert und was nicht, weiter unten). Wenn Sie keines sind, in der Regel nicht. Die erste Frage betrifft also nicht Ihre Konten; sie betrifft Ihre Klassifizierung.

Es gibt vier Kategorien von Finanzinstituten. Die meisten Institute, die erfasst werden, fallen unter eine davon:

Wenn Sie einen Fonds betreiben, trifft in der Regel die dritte Zeile auf Sie zu. Ein Rechtsträger, dessen Geschäft im Anlegen, Wiederanlegen oder Handeln mit Finanzvermögen besteht — oder der von einem solchen Rechtsträger verwaltet wird —, ist typischerweise ein Investmentunternehmen und damit ein meldendes Finanzinstitut. „Wir sind nur ein kleiner Fonds“ ist keine Ausnahme. Wenn überhaupt, sind gerade kleine, neu aufgelegte Vehikel diejenigen, die die Klassifizierung übersehen, bis jemand nachfragt.

„Alle unsere Kunden sind in Europa — warum interessiert das die USA überhaupt?“

Das ist, fast wortwörtlich, der Einwand, den wir am häufigsten hören. Er bündelt zwei getrennte Missverständnisse, die sich zu trennen lohnen.

FATCA ist ein US-amerikanisches Gesetz. Es verlangt von deutschen Instituten, Konten von US-Personen zu identifizieren und zu melden. Wenn Sie tatsächlich keine US-Kontoinhaber haben, ist Ihre meldepflichtige FATCA-Population womöglich gleich null — aber, wie wir sehen werden, ist das nicht dasselbe wie „nichts zu melden“.

CRS ist der Teil, den viele übersehen. CRS ist nicht amerikanisch. Es ist der Common Reporting Standard der OECD, in Deutschland umgesetzt durch das Finanzkonten-Informationsaustauschgesetz (FKAustG), und er erfasst Steuerpflichtige aus mehr als hundert teilnehmenden Jurisdiktionen — die gesamte EU eingeschlossen. „Alle unsere Kunden sind in Europa“ ist kein Grund, warum CRS nicht gilt; es ist genau die Situation, für die CRS geschaffen wurde. Ein Konto, das von einem französischen, italienischen oder spanischen Steuerpflichtigen bei einem deutschen Institut gehalten wird, ist ein CRS-Fall.

Die eigentliche Falle: sich für nicht meldepflichtig zu halten

Hier ist das teuerste Missverständnis im gesamten Regime — und das, das neu lizenzierte Institute am häufigsten trifft. Es geht nicht darum, wie Sie melden, sondern darum, fälschlich zu schließen, dass gar keine Pflicht besteht.

Zwei Annahmen richten den Schaden an. Die erste: „Wir sind eigentlich kein Finanzinstitut“ — ein Klassifizierungsfehler. Die zweite: „Wir haben keine US-Kunden, also gilt das nicht für uns“ — was CRS vollständig ausblendet. Beide lassen ein Institut sich stillschweigend aus dem Anwendungsbereich herausschreiben.

Die Pflichten, sich selbst zu klassifizieren und die Sorgfaltsprüfung durchzuführen, knüpfen an Ihren Status als meldendes Finanzinstitut an, nicht an das, was die Prüfung ergibt. Sie müssen die Prüfungen durchführen, um überhaupt sagen zu dürfen, dass Sie nichts zu melden haben — und für ein rein europäisches Portfolio ist „nichts zu melden“ meist von vornherein falsch, denn CRS-meldepflichtige Konten von EU-Steuerpflichtigen sind genau das, was Sie finden werden.

Ein Wort zur Nullmeldung (Leermeldung), denn sie wird häufig falsch dargestellt. Manche Jurisdiktionen verlangen eine Nullmeldung auch dann, wenn nichts zu melden ist — Luxemburg etwa schreibt sie seit 2021 vor. Deutschland tut das derzeit nicht: Das BZSt stellt klar, dass für CRS und FATCA keine gesetzliche Pflicht zur Übersendung einer Leermeldung besteht, wenn keine meldepflichtigen Daten vorliegen. Das ist kein Freibrief, die Arbeit zu überspringen — Sie sollten Ihre Sorgfaltsprüfung dennoch durchführen und die Nachweise aufbewahren —, aber in Deutschland liegt die Pflicht in der Klassifizierung und der Prüfung, nicht in einer verpflichtenden Leermeldung.

Was tatsächlich in den Anwendungsbereich fällt — und wer als Kontoinhaber gilt

Sobald feststeht, dass Sie melden müssen, ist der nächste Nebel der Anwendungsbereich. Zwei Fragen kommen immer wieder auf.

Wer ist der Kontoinhaber — und wer steht dahinter? Bei Konten, die von Rechtsträgern gehalten werden, endet CRS nicht beim Rechtsträger. Wird ein Konto von einem passiven Non-Financial Entity (passiven NFE) gehalten, müssen Sie auf dessen beherrschende Personen durchschauen — grob: die wirtschaftlich Berechtigten — und diejenigen melden, die meldepflichtig sind. Deshalb schließt „Wir haben nur Firmenkunden“ die Frage nicht: Die beherrschenden Personen hinter diesen Rechtsträgern können meldepflichtig sein, selbst wenn der Rechtsträger selbst es nicht ist.

Die steuerliche Ansässigkeit eines Kontoinhabers stellen Sie über eine Selbstauskunft fest — die Erklärung, die der Kontoinhaber bei der Kontoeröffnung abgibt und die Sie als Institut einholen und plausibilisieren. Sie ist der Ausgangspunkt der Sorgfaltsprüfung, nicht ihr Ersatz.

Was wird gemeldet, und wie viel? Für jedes meldepflichtige Konto melden Sie die Identifikationsdaten, die Kontonummer, den Saldo oder Wert zum Jahresende sowie die relevanten Erträge oder Bruttoerlöse — zusammen mit der Steueridentifikationsnummer (TIN) des Ansässigkeitsstaats des Inhabers und, unter CRS, aufgeschlüsselt nach Jurisdiktion. Herauszufinden, welcher Saldo zu melden ist, TIN-Formate zu validieren und beherrschende Personen zu identifizieren — dort steckt die eigentliche Arbeit.

Wenn Sie die vollständige technische Behandlung möchten — die XML-Schemata, die DIP-API, die Bau-oder-Kauf-Ökonomie —, ist das Gegenstand unseres Whitepapers zu FATCA, CRS und DAC8. Dieser Leitfaden bleibt bei der vorgelagerten Frage: ob und wofür Sie melden müssen.

Was passiert, wenn Sie den 31. Juli verpassen?

Die deutsche Meldung an das BZSt für das vorangegangene Kalenderjahr ist grundsätzlich bis zum 31. Juli fällig. Sie zu verpassen, bleibt nicht folgenlos.

Unter CRS behandelt § 28 FKAustG Meldeverstöße — verspätete, unterlassene oder unrichtige Meldungen — als Ordnungswidrigkeiten. Der Höchstbetrag hängt vom Verstoß ab: bis zu 50.000 € für die im Gesetz eigens benannten Kategorien und bis zu 10.000 € in den übrigen Fällen. Für ein Institut mit Konten über mehrere Jurisdiktionen kann sich ein mangelhafter Meldezyklus dennoch schnell summieren.

Unter FATCA ist der Mechanismus ein anderer und wirtschaftlich oft schwerwiegender. Ein Institut, das nicht meldet oder wesentlich unrichtige Daten meldet, riskiert, als nicht teilnehmendes ausländisches Finanzinstitut behandelt zu werden — was über es geleitete Zahlungen aus US-Quellen einem Quellensteuereinbehalt von 30 % aussetzt. Für alle, die mit US-Dollar-Strömen zu tun haben, ist das ein weit ernsteres Ergebnis als ein Bußgeld.

Der praktische Punkt: Weder „wir sind klein“ noch „wir hatten nichts zu melden“ ändert etwas an der Frist oder am Risiko.

Sie müssen das nicht selbst tun

Ein Punkt, der den meldepflichtigen Instituten selten bewusst ist: Sie dürfen die Meldung durch einen Dritten für sich erledigen lassen. Das deutsche System sieht ausdrücklich einen Dritten als Datensender vor, der die technische Übermittlung an das BZSt übernimmt, während die rechtliche Verantwortung für die Richtigkeit der Daten bei Ihnen bleibt. Sie behalten die Verantwortung; Sie geben nur die Mechanik ab.

Das ist heute wichtiger als früher, aus zwei Gründen.

Erstens verlagert das BZSt die Meldung weg vom alten Browser-Upload (ELMA) hin zum BZSt-Online-Portal und zur DIP-Massendatenschnittstelle — FATCA wurde Ende 2025 umgestellt, und CRS durchläuft denselben Übergang. Die Meldung ist zu einer technischen Aufgabe geworden — genau der Teil, den ein kleines Compliance-Team nicht für zwei oder drei Einreichungen im Jahr von Grund auf selbst bauen sollte.

Zweitens — und das erleben wir gerade in Echtzeit — beginnen Teams unter Fristdruck, Kontodaten von Kunden in allgemeine KI-Tools zu kopieren, um „die Meldung einfach fertig zu bekommen“. Das bedeutet, dass die personenbezogenen Daten Ihrer Kunden an Drittanbieter übertragen werden, häufig außerhalb der EU, ohne große Rücksicht darauf, wo sie landen. Für ein reguliertes Institut, das personenbezogene Daten von Kontoinhabern verarbeitet, ist das für sich genommen ein Datenschutzrisiko. Ein eigens gebauter, zugriffskontrollierter Meldeweg ist hier keine Annehmlichkeit; er ist der Unterschied zwischen einem belastbaren Prozess und einer undokumentierten Datenübermittlung.

Wenn Sie eine selbst gebaute gegen eine zugekaufte Lösung abwägen, ordnet unser Vergleich der besten Compliance-Software 2026 die gängigen Anbieter am Markt ein.

Kurz zusammengefasst

• Die Pflicht folgt daraus, ein meldendes Finanzinstitut zu sein, nicht daraus, meldepflichtige Konten zu haben. Die meisten Fonds sind Investmentunternehmen und damit im Anwendungsbereich.
• CRS ist nicht FATCA. Ein rein europäischer Kundenstamm liegt mitten im CRS-Anwendungsbereich.
• Deutschland verlangt keine Nullmeldung, wenn Sie nichts zu melden haben — aber die Pflicht, sich zu klassifizieren und die Sorgfaltsprüfung durchzuführen, bleibt bestehen, und ein rein europäisches Portfolio hat in der Regel doch CRS-meldepflichtige Konten.
• Der Anwendungsbereich reicht bis zu den beherrschenden Personen hinter Rechtsträger-Konten.
• Die BZSt-Frist ist der 31. Juli; sie zu verpassen, hat echte Folgen nach dem FKAustG und, für FATCA, das Risiko eines Quellensteuereinbehalts.
• Sie können einen Datensender benennen, der für Sie meldet — und Sie sollten keine Kundendaten durch allgemeine KI-Tools schleusen, um die Frist zu halten.

Karthik Iyengar entwickelt Regfiler, eine Plattform für FATCA-, CRS- und DAC8-Meldungen an das BZSt.