Source: OJ L 150, 9.6.2023, pp. 1–39

Artikel 25 Datenschutz

Summary What does Article 25 of the Transfer of funds regulation (TFR) say?

This article establishes the data protection framework that sits alongside the regulation's core obligations.

It anchors the entire regulation to the EU's existing data protection rules — primarily GDPR (Regulation (EU) 2016/679) — and makes clear that personal data collected under this regulation can only be used for AML/CFT purposes, with commercial use of that data explicitly prohibited.

The article also places transparency obligations on payment service providers and crypto-asset service providers toward their clients, and addresses the specific challenge of cross-border data transfers in the context of crypto-asset transactions, tasking both the European Data Protection Board and EBA with issuing relevant guidelines.

Important points:

Process personal data collected under this regulation solely for the prevention of money laundering and terrorist financing — using it for commercial purposes is prohibited.
Provide new clients with the required data protection information before establishing a business relationship or carrying out an occasional transaction, in a concise, transparent, intelligible and easily accessible form.
The European Data Protection Board is required to issue guidelines on data protection requirements for transfers of personal data to third countries in the context of crypto-asset transfers, and EBA is required to issue guidelines on procedures for handling transfers where those requirements cannot be met.

Springlex's summary of the article, a reading aid, not a substitute for the legal text.

1. Für die Verarbeitung personenbezogener Daten im Rahmen der vorliegenden Verordnung gilt die Verordnung (EU) 2016/679. Für die Verarbeitung personenbezogener Daten im Rahmen der vorliegenden Verordnung durch die Kommission oder die EBA gilt die Verordnung (EU) 2018/1725.
1. Personenbezogene Daten dürfen von Zahlungsdienstleistern und Anbietern von Krypto-Dienstleistungen auf der Grundlage dieser Verordnung ausschließlich für die Zwecke der Verhinderung von Geldwäsche und Terrorismusfinanzierung verarbeitet werden und nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist. Es ist untersagt, personenbezogene Daten auf der Grundlage dieser Verordnung für kommerzielle Zwecke zu verarbeiten.
1. Zahlungsdienstleister und Anbieter von Krypto-Dienstleistungen stellen neuen Kunden die nach Artikel 13 der Verordnung (EU) 2016/679 vorgeschriebenen Informationen zur Verfügung, bevor sie eine Geschäftsbeziehung begründen oder gelegentliche Transaktionen ausführen. Diese Informationen werden in präziser, transparenter, verständlicher und leicht zugänglicher Form nach Maßgabe des Artikels 12 der Verordnung (EU) 2016/679 übermittelt und umfassen insbesondere einen allgemeinen Hinweis zu den rechtlichen Pflichten der Zahlungsdienstleister und Anbieter von Krypto-Dienstleistungen bei der Verarbeitung personenbezogener Daten zu Zwecken der Verhinderung von Geldwäsche und Terrorismusfinanzierung gemäß dieser Verordnung.
1. Zahlungsdienstleister und Anbieter von Krypto-Dienstleistungen stellen jederzeit sicher, dass die Übermittlung personenbezogener Daten zu den an einem Geldtransfer oder einem Kryptowertetransfer beteiligten Parteien im Einklang mit der Verordnung (EU) 2016/679 erfolgt.
2. Der Europäische Datenschutzausschuss gibt nach Konsultation der EBA Leitlinien für die praktische Umsetzung der Datenschutzanforderungen für die Übermittlung personenbezogener Daten an Drittländer im Zusammenhang mit Kryptowertetransfers heraus. Die EBA gibt Leitlinien zu geeigneten Verfahren heraus, mit deren Hilfe festgestellt werden kann, ob ein Kryptowertetransfer auszuführen oder zurückzuweisen ist, die Kryptowerte zurückzuüberweisen sind oder der Kryptowertetransfer auszusetzen ist, wenn die Einhaltung der Datenschutzanforderungen für die Übermittlung personenbezogener Daten an Drittländer nicht gewährleistet werden kann.

Relevant recitals

Erwägungsgrund 19 Personal data processing requirements and intra-group data transfers

Die Verarbeitung personenbezogener Daten nach dieser Verordnung sollte in voller Übereinstimmung mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates(¹⁷) erfolgen. Die Weiterverarbeitung personenbezogener Daten für kommerzielle Zwecke sollte strengstens untersagt sein. Die Bekämpfung der Geldwäsche und der Terrorismusfinanzierung wird von allen Mitgliedstaaten als wichtiges öffentliches Interesse anerkannt. Bei der Anwendung dieser Verordnung muss die Übermittlung personenbezogener Daten an ein Drittland im Einklang mit Kapitel V der Verordnung (EU) 2016/679 erfolgen. Es ist wichtig, dass Zahlungsdienstleister und Anbieter von Krypto-Dienstleistungen, die ihr Geschäft über Tochtergesellschaften oder Niederlassungen in verschiedenen Ländern außerhalb der Union betreiben, nicht daran gehindert werden sollten, Informationen über verdächtige Transaktionen innerhalb derselben Organisation weiterzuleiten, sofern sie angemessene Sicherungsmaßnahmen anwenden. Zusätzlich sollten die Anbieter von Krypto-Dienstleistungen des Originators und des Begünstigten, die Zahlungsdienstleister des Zahlers und des Zahlungsempfängers, die zwischengeschalteten Zahlungsdienstleister und die zwischengeschalteten Anbieter von Krypto-Dienstleistungen über geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor versehentlichem Verlust, Veränderung, unbefugter Weitergabe oder unbefugtem Zugriff verfügen.

Erwägungsgrund 34 Data protection assessment for crypto-asset transfers to non-Union providers

Kryptowerte existieren in einer grenzenlosen virtuellen Realität und können unabhängig davon, ob ein Anbieter von Krypto-Dienstleistungen in einem Land eingetragen ist, an jeden solcher Anbieter transferiert werden. In vielen Ländern außerhalb der Union gelten andere Vorschriften für Datenschutz und dessen Durchsetzung als in der Union. Wenn Kryptowerte im Auftrag eines Kunden an einen nicht in der Union eingetragenen Anbieter von Krypto-Dienstleistungen transferiert werden, sollte der Anbieter von Krypto-Dienstleistungen des Originators bewerten, ob der Anbieter von Krypto-Dienstleistungen des Begünstigten in der Lage ist, die gemäß dieser Verordnung vorgeschriebenen Angaben im Einklang mit der Verordnung (EU) 2016/679 zu erhalten und aufzubewahren, und dabei gegebenenfalls von den in Kapitel V der Verordnung (EU) 2016/679 vorgesehenen Möglichkeiten Gebrauch machen. Der Europäische Datenschutzausschuss sollte nach Konsultation der EBA Leitlinien für die praktische Umsetzung der Datenschutzanforderungen herausgeben, die bei Kryptowertetransfers für die Übermittlung personenbezogener Daten an Drittländer gelten. Es kann vorkommen, dass personenbezogene Daten nicht übermittelt werden können, weil die Anforderungen der Verordnung (EU) 2016/679 nicht erfüllt werden können. Die EBA sollte Leitlinien zu geeigneten Verfahren herausgeben, mit deren Hilfe festgestellt werden kann, ob der Kryptowertetransfer in solchen Fällen ausgeführt, zurückgewiesen oder ausgesetzt werden sollte.

Erwägungsgrund 63 Fundamental rights and data protection compliance

Diese Verordnung unterliegt den Verordnungen (EU) 2016/679 und (EU) 2018/1725 des Europäischen Parlaments und des Rates(²³). Sie steht im Einklang mit den Grundrechten und Grundsätzen, die mit der Charta der Grundrechte der Europäischen Union anerkannt wurden, insbesondere mit dem Recht auf Achtung des Privat- und Familienlebens (Artikel 7), dem Recht auf den Schutz personenbezogener Daten (Artikel 8), dem Recht auf einen wirksamen Rechtsbehelf und auf ein unparteiisches Gericht (Artikel 47) und dem Grundsatz ne bis in idem.

Table of contents

Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.