Die ordnungsgemäße Geschäftsorganisation umfasst insbesondere drei wesentliche Dimensionen: Risikoidentifikation, interne Kontrollsysteme sowie umfassende Dokumentation und klare Organisationsrichtlinien.

Die Risikomanagementsysteme bilden das Rückgrat einer guten Geschäftsorganisation. Dein Institut ist verpflichtet, regelmäßig zu prüfen, welche Risiken sich aus deinen Geschäftsaktivitäten ergeben. Dabei musst du sämtliche Risiken institutsweit erfassen, unabhängig davon, in welcher Einheit diese entstehen. Ziel ist es, wesentliche Risiken frühzeitig zu identifizieren und angemessene Vorkehrungen zu ihrer Beherrschung zu treffen. Typische Risiken sind beispielsweise:

• Kreditrisiken

• Operationelle Risiken

• Compliance-Risiken, insbesondere Datenschutzverstöße

Die kontinuierliche Bewertung dieser Risiken und die Festlegung angemessener Gegenmaßnahmen sind hierbei entscheidend.

2. Interne Kontroll- und Überwachungsverfahren

Deine internen Kontrollsysteme (IKS) dienen dazu, Geschäftsabläufe kontinuierlich zu überwachen und Risiken wirksam zu steuern. Die BaFin erwartet von dir insbesondere:

• Eine klare Aufbau- und Ablauforganisation mit eindeutigen Zuständigkeiten

• Einrichtung einer verantwortlichen Stelle zur Überwachung und Kommunikation von Risiken, gegebenenfalls auch durch eine Compliance-Stelle

• Regelmäßige Überprüfung der Wirksamkeit deiner internen Kontrollen durch die Geschäftsleitung oder speziell dafür benannte Personen

Dabei gilt der Grundsatz der Proportionalität: Je komplexer deine Geschäftsaktivitäten sind, desto differenzierter und umfangreicher müssen auch deine Kontrollsysteme sein.

3. Organisationsrichtlinien und Dokumentation

Deine Organisationsrichtlinien müssen schriftlich oder elektronisch fixiert sein und regelmäßig aktualisiert werden. Diese Richtlinien sind nicht bloß eine Formalität, sondern dienen als verbindliche Leitplanken für alle Mitarbeitenden. Dabei ist insbesondere Folgendes zu regeln:

• Aufbau- und Ablauforganisation sowie Zuständigkeiten und Verantwortlichkeiten

• Interne Kontroll- und Überwachungsverfahren

• Einhaltung gesetzlicher Vorgaben, z. B. Datenschutz-Grundverordnung (DSGVO), Compliance-Anforderungen

• Verfahrensweisen bei Auslagerungen von Geschäftsprozessen

• Verfahren zur Risikoidentifikation

Diese Richtlinien müssen allen Mitarbeitenden bekannt gemacht und verständlich kommuniziert werden. Dokumentationen von Geschäftsabläufen und Kontrollverfahren müssen transparent, nachvollziehbar und revisionssicher erfolgen.

Anforderungen gemäß § 14 Absatz 2 bis 4 KrZwMG

Neben den allgemeinen Anforderungen stellt das KrZwMG spezifische Anforderungen, insbesondere in Bezug auf die Rechte der Kreditnehmer und den Schutz personenbezogener Daten.

Unternehmensführung und Datenschutz (§ 14 Abs. 2 KrZwMG)

Dein Institut ist verpflichtet, klare Regelungen zur Unternehmensführung zu erstellen, die insbesondere den Schutz personenbezogener Daten gemäß DSGVO und die Rechte der Kreditnehmer sicherstellen. Dies umfasst:

• Identifizierung der betroffenen Unternehmensbereiche und Definition der Abläufe

• Verhaltensmaßregeln für Mitarbeitende sowie deren regelmäßige Unterweisung und Beaufsichtigung

• Regelmäßige Überprüfung und Berichterstattung über die Einhaltung der Regelungen durch die Geschäftsleitung

• Verfahren zur Prüfung und Behebung von Datenschutzverletzungen oder Verletzungen der Rechte von Kreditnehmern

Schutz und angemessene Behandlung der Kreditnehmer (§ 14 Abs. 3 KrZwMG)

Weiterhin musst du Grundsätze zur fairen und umsichtigen Behandlung der Kreditnehmer entwickeln. Diese umfassen:

• Identifizierung relevanter Unternehmensbereiche, typische Fallkonstellationen und Entscheidungsmaßstäbe

• Verhaltensmaßregeln und deren Beaufsichtigung

• Sicherstellung einer angemessenen Berücksichtigung der finanziellen Lage der Kreditnehmer

• Verpflichtung, Kreditnehmer bei Bedarf an Schuldenberatungen oder soziale Einrichtungen zu verweisen

Beschwerdemanagement (§ 14 Abs. 4 KrZwMG)

Auch das Beschwerdemanagement ist klar geregelt: Du musst interne Verfahren schaffen, um Beschwerden der Kreditnehmer effektiv zu erfassen und zu bearbeiten. Ziel ist eine schnelle und transparente Bearbeitung aller eingehenden Beschwerden zur Sicherstellung einer hohen Kundenzufriedenheit.

Personelle und technische Ressourcen

Neben diesen organisatorischen Vorgaben erwartet die Aufsicht, dass du über ausreichende personelle und technische Ressourcen verfügst. Dies beinhaltet:

• Eine ausreichende Anzahl qualifizierter Mitarbeitender

• Eine angemessene IT-Infrastruktur, die den Anforderungen der Geschäftsaktivitäten genügt

• Kontinuierliche Fortbildung und Schulung der Mitarbeitenden, insbesondere zu Compliance und Datenschutz

Proportionalität und Risikoorientierung

Ein zentraler Aspekt ist das Prinzip der Proportionalität. Nicht jedes Institut benötigt dieselbe Intensität und denselben Umfang der Kontrollmaßnahmen. Vielmehr sind Art, Umfang und Komplexität deiner Geschäfte ausschlaggebend. Je komplexer und risikoreicher deine Geschäftsmodelle, desto höher und anspruchsvoller sind die Anforderungen an deine Geschäftsorganisation.

Aufsichtliche Maßnahmen bei Nichteinhaltung

Sollten diese Anforderungen nicht erfüllt werden, drohen erhebliche aufsichtsrechtliche Maßnahmen. Die BaFin kann im Einzelfall konkrete Anordnungen treffen, um sicherzustellen, dass dein Institut die gesetzlich geforderte Geschäftsorganisation einhält. Verstöße können ernsthafte Folgen haben, darunter Bußgelder, verstärkte aufsichtsrechtliche Maßnahmen bis hin zum Entzug der Geschäftserlaubnis.

Fazit: Deine Verantwortung als Kreditdienstleistungsinstitut

Die Anforderungen des KrZwMG an die ordnungsgemäße Geschäftsorganisation sind umfangreich, aber essenziell. Sie schützen nicht nur die Kreditnehmer, sondern sichern auch deine langfristige Geschäftsfähigkeit und den Markterfolg deines Instituts. Sorge also dafür, dass du diese Anforderungen nicht nur formal erfüllst, sondern aktiv und proaktiv in deinem Institut etablierst und kontinuierlich weiterentwickelst.

Insgesamt solltest du die gesetzliche Verpflichtung zur ordnungsgemäßen Geschäftsorganisation als Chance sehen, deine Geschäftsprozesse systematisch zu optimieren, Risiken zu reduzieren und gleichzeitig das Vertrauen deiner Kunden sowie der Aufsichtsbehörden nachhaltig zu stärken.