DAC8 und CARF Krypto-Meldepflicht: Was zyprische Krypto-Asset-Firmen vor dem ersten Bericht am 30. June 2027 tun müssen

Die kommerzielle Realität, die die meisten zyprischen Krypto-Firmen noch nicht verinnerlicht haben, lautet: Die Meldung wirkt rückwirkend zum 1. January 2026, sodass jeder Anbieter, dessen Kundenaufnahme und Transaktionsdatenerfassung noch nicht läuft, eine Datenlücke aufweist, die er vor der Frist nicht rechtmäßig nachfüllen kann. Dieser Leitfaden legt dar, wer erfasst ist, was genau erhoben werden muss, und bietet eine konkrete Roadmap bis zur Einreichung am 30. June 2027.

Zuletzt aktualisiert: August 2026

Was sind DAC8 und CARF, und warum sind sie für zyprische Krypto-Firmen von Bedeutung?

DAC8 und CARF sind die Steuertransparenzregeln, die Krypto-Asset-Firmen dazu verpflichten, die Identitäten ihrer Nutzer und deren Transaktionswerte jährlich an die Steuerbehörden zu melden. Für eine zyprische Firma verwandelt DAC8 die Krypto-Meldung von einer freiwilligen bewährten Praxis in eine verpflichtende jährliche Pflicht gegenüber dem zyprischen Finanzamt, gestützt auf EU-Recht und einen internationalen Standard. Wenn Sie Krypto-Assets für Kunden mit Zypern-Bezug tauschen, verwahren, vermitteln oder verarbeiten, gelten diese Regeln mit ziemlicher Sicherheit für Sie.

Was ist das Crypto-Asset Reporting Framework (CARF)?

Das Crypto-Asset Reporting Framework (CARF) ist der globale Standard der OECD für den automatischen Austausch steuerlicher Informationen über Krypto-Asset-Transaktionen, den die OECD gemeinsam mit den G20 im Jahr 2023 fertiggestellt hat. CARF verlangt von Krypto-Asset-Dienstleistern, ihre Nutzer zu identifizieren, die Jurisdiktion der steuerlichen Ansässigkeit jedes Nutzers zu bestimmen und die jährlichen Transaktionsdaten an ihre heimische Steuerbehörde zu melden, die sie dann mit den Partnerjurisdiktionen austauscht. CARF erfüllt für Krypto dieselbe Aufgabe, die der Common Reporting Standard (CRS) seit 2016 für Bankkonten erfüllt.

CARF ist bewusst weit gefasst. Es sieht keine Mindestmeldeschwelle vor, sodass grundsätzlich jede meldepflichtige Transaktion unabhängig von ihrer Höhe erfasst wird, und es erreicht Börsen, Broker, Verwahrer und bestimmte Wallet-Anbieter.

Was ist DAC8 und wie überführt es CARF in EU-Recht?

DAC8 ist die Richtlinie (EU) 2023/2226 des Rates vom 17. October 2023, die die Richtlinie 2011/16/EU über die Zusammenarbeit der Verwaltungsbehörden im Bereich der Besteuerung (die DAC) ändert und CARF in verbindliches EU-Recht überführt. DAC8 macht die CARF-artige Krypto-Meldung in allen EU-Mitgliedstaaten auf einer harmonisierten Rechtsgrundlage verpflichtend, anstatt es jedem Staat zu überlassen, den OECD-Standard freiwillig zu übernehmen. Die Richtlinie wurde im Amtsblatt veröffentlicht, und ihr amtlicher Text ist auf EUR-Lex verfügbar.

Da DAC8 eine Richtlinie ist, musste jeder Mitgliedstaat sie in nationales Recht umsetzen. Die Umsetzungsfrist war der 31. December 2025, und die Regeln gelten ab dem 1. January 2026, womit 2026 das erste Meldejahr in der gesamten Union ist.

Wie DAC8/CARF mit CRS, MiCAR und der FATF Travel Rule zusammenhängen

DAC8, CRS, MiCAR und die FATF Travel Rule sind vier sich überschneidende, aber unterschiedliche Regime, und eine zyprische Krypto-Firma befindet sich typischerweise gleichzeitig innerhalb aller vier. Sie in Ihrem Compliance-Design getrennt zu halten, vermeidet Doppelarbeit und gefährliche Lücken.

Der praktische Zusammenhang besteht darin, dass DAC8 einen Großteil der Kundendaten wiederverwendet, die Sie bereits für die MiCAR-Zulassung und zur Bekämpfung der Geldwäsche (AML) vorhalten. Wenn Sie sich noch in der Zulassungsphase befinden, erläutert unser Leitfaden zur Registrierung eines Krypto-Asset-Dienstleisters in Zypern den CySEC- und MiCAR-Rahmen, der neben diesen Meldepflichten steht.

Hat Zypern DAC8 tatsächlich bereits umgesetzt?

Ja. Zypern hat DAC8 in nationales Recht umgesetzt, und die Pflicht gilt jetzt und nicht erst künftig. Die Regeln gelten rückwirkend ab dem 1. January 2026, weshalb die Datenerfassung nicht warten kann.

Das zyprische Umsetzungsgesetz und sein Inkrafttreten

Zypern hat DAC8 durch das Gesetz von 2026 zur Änderung des Gesetzes über die Zusammenarbeit der Verwaltungsbehörden im Bereich der Besteuerung, Law 38(I)/2026, umgesetzt, das am 27. March 2026 im Amtsblatt der Republik Zypern veröffentlicht wurde und an diesem Tag mit rückwirkender Anwendung ab dem 1. January 2026 in Kraft trat. Das Instrument ändert das Stammgesetz Law 205(I)/2012 und enthält die Melde- und Sorgfaltspflichtregeln in seinem Article 7ΣΤ und Annex VI, und es legt die erste Meldefrist zum 30. June 2027 für die Daten des Kalenderjahres 2026 fest. Das zyprische Finanzamt ist als zuständige Behörde für die Entgegennahme der Berichte und den Informationsaustausch mit den EU-Partnern benannt.

Warum das rückwirkende Startdatum 1. January 2026 von Bedeutung ist

Das rückwirkende Startdatum ist deshalb von Bedeutung, weil der erste Meldezeitraum bereits lief, bevor das zyprische Gesetz überhaupt im Amtsblatt veröffentlicht wurde. Die Meldung umfasst das gesamte Kalenderjahr 2026, sodass Transaktionen ab dem 1. January 2026 in den Anwendungsbereich fallen, obwohl Law 38(I)/2026 erst am 27. March 2026 in Kraft trat. Von einer Firma, die etwa im April 2026 eine konforme Kundenaufnahme aktivierte, wird dennoch erwartet, dass sie das gesamte Jahr meldet, einschließlich des ersten Quartals, das sie möglicherweise nicht ordnungsgemäß erfasst hat.

Diese Rückwirkung ist die operativ wichtigste Tatsache in diesem Artikel und treibt das nachfolgend behandelte Datenlücken-Problem an.

Der Kontext des Vertragsverletzungsverfahrens der Europäischen Kommission vom January 2026

Am 30. January 2026 leitete die Europäische Kommission Vertragsverletzungsverfahren gegen 12 Mitgliedstaaten ein, darunter Zypern, wegen Nichtumsetzung von DAC8 bis zur Frist am 31. December 2025. Dieser Kontext erklärt, warum das zyprische Gesetz erst im March 2026 mit rückwirkender Wirkung kam: Der Staat schloss eine Lücke, die die Kommission förmlich beanstandet hatte. Die Kommission versandte Aufforderungsschreiben nach Article 258 des Vertrags über die Arbeitsweise der Europäischen Union und räumte jedem Staat zwei Monate zur Antwort ein, und da Zypern die Umsetzung mit Law 38(I)/2026 im March 2026 abgeschlossen hat, hat es den im Schreiben festgestellten Mangel seither behoben, wobei die Kommission solche Verfahren üblicherweise einstellt, sobald die vollständige Umsetzung mitgeteilt wurde. Für Firmen lautet die Erkenntnis, dass weder verspätete nationale Gesetzgebung noch der Vertragsverletzungsstreit Ihre eigene Meldepflicht für die Daten des Jahres 2026 aufschiebt.

Wer ist ein meldender Krypto-Asset-Dienstleister (RCASP) in Zypern?

Ein meldender Krypto-Asset-Dienstleister (Reporting Crypto-Asset Service Provider, RCASP) in Zypern ist jeder in Zypern nach MiCAR zugelassene Krypto-Asset-Dienstleister oder jeder Krypto-Asset-Betreiber mit Zypern-Bezug, das heißt zyprische Steueransässigkeit, Gründung, Ort der tatsächlichen Geschäftsleitung oder gewöhnlicher Geschäftssitz. Trifft einer dieser Anknüpfungspunkte zu, ist die DAC8-Meldung an das zyprische Finanzamt verpflichtend. Die Definition ist bewusst weit gefasst, damit Firmen sich der Meldung nicht einfach dadurch entziehen können, dass sie ihre Lizenz anderswo halten, während sie von Zypern aus tätig sind.

In Zypern ansässige, MiCAR-zugelassene CASPs

Jeder Rechtsträger, der eine MiCAR-Zulassung von CySEC hält und in Zypern ansässig ist, ist ein RCASP. Dies ist die klarste Kategorie: Börsen, Broker, verwahrende Wallet-Anbieter, Portfolioverwalter und Berater, die nach der Verordnung über Märkte für Krypto-Assets zugelassen sind, sind unmittelbar erfasst. Wenn Ihre Firma die CySEC-Zulassung durchlaufen hat, um Krypto-Asset-Dienstleistungen zu erbringen, sollten Sie vom RCASP-Status ausgehen und die Meldung entsprechend aufbauen.

Krypto-Asset-Betreiber mit Zypern-Bezug

Ein Krypto-Asset-Betreiber, der nicht MiCAR-zugelassen ist, kann dennoch ein RCASP sein, wenn er einen Zypern-Bezug hat. Die Anknüpfungspunkte sind zyprische Steueransässigkeit, Gründung in Zypern, Ort der tatsächlichen Geschäftsleitung in Zypern oder gewöhnlicher Geschäftssitz in Zypern. Dies erfasst Betreiber, die Krypto-Asset-Dienstleistungen erbringen, ohne eine MiCAR-Lizenz zu halten, einschließlich einiger Firmen, die annahmen, sie stünden außerhalb des Anwendungsbereichs. Eine in Zypern gegründete Holding- oder Betriebsgesellschaft, die Krypto-Transaktionen erleichtert, sollte sich sorgfältig an diesen Anknüpfungspunkten prüfen, denn schon die Gründung allein kann die Pflicht auslösen.

Wie Sie eine positive RCASP-Feststellung durchführen und dokumentieren

Um den RCASP-Status zu bestimmen, prüfen Sie Ihren Rechtsträger nacheinander an jedem Anknüpfungspunkt und halten Sie die Begründung in einer datierten Akte fest. Eine belastbare Feststellung schützt das Leitungsorgan, falls die Analyse später in Frage gestellt wird.

1. Bestätigen Sie, ob der Rechtsträger eine MiCAR-Zulassung in Zypern hält oder halten sollte.
2. Beurteilen Sie die zyprische Steueransässigkeit und den Ort der tatsächlichen Geschäftsleitung und stützen Sie sich dabei auf Ihre Analyse der zyprischen Steueransässigkeit und des Non-Domiciled-Status.
3. Prüfen Sie den Ort der Gründung und den gewöhnlichen Geschäftssitz.
4. Halten Sie eine schriftliche Schlussfolgerung, das Datum und die verantwortliche Person fest, und aktualisieren Sie sie, wenn sich das Geschäft ändert.
5. Ist das Ergebnis positiv, registrieren Sie sich beim zyprischen Finanzamt und beginnen Sie mit der Meldung für 2026.

Wenn Sie den Rechtsträger noch strukturieren, legt wie man eine Gesellschaft in Zypern gründet die Gründungsschritte dar, die für diese Zwecke selbst einen Zypern-Bezug schaffen.

Was ist die erste Meldefrist am 30. June 2027 und was umfasst sie?

Die erste Meldefrist am 30. June 2027 ist der Termin, bis zu dem jeder zyprische RCASP seinen ersten DAC8-Bericht beim zyprischen Finanzamt einreichen muss, der die gesamte meldepflichtige Krypto-Asset-Aktivität für das Kalenderjahr 2026 umfasst. Versäumen Sie ihn, verstoßen Sie für das gesamte erste Jahr des Regimes gegen Law 38(I)/2026. Die Frist ist fest und gilt einheitlich, unabhängig davon, wann im Jahr 2026 Ihre Firma den Betrieb aufgenommen hat.

Der Meldezeitraum: Kalenderjahr 2026

Der erste Meldezeitraum ist das gesamte Kalenderjahr vom 1. January 2026 bis zum 31. December 2026. Jede meldepflichtige Tauschtransaktion, Übertragung und meldepflichtige Einzelhandelszahlungstransaktion, die für einen meldepflichtigen Nutzer in diesem Jahr ausgeführt wurde, muss erfasst und aggregiert werden. Da das Jahr bereits weit fortgeschritten ist, schließt sich das Zeitfenster, um etwaige Erfassungsfehler zu beheben.

Einreichung beim zyprischen Finanzamt bis zum 30. June 2027

Der Bericht wird bis zum 30. June 2027 beim zyprischen Finanzamt (CTA) eingereicht, der benannten zuständigen Behörde. Es wird erwartet, dass die CTA ein technisches Meldeschema veröffentlicht, das das Dateiformat und die Datenfelder festlegt, doch der materielle Katalog der meldepflichtigen Positionen ist bereits durch Annex VI von Law 38(I)/2026 festgelegt, das die CARF- und DAC8-Vorlagen widerspiegelt: Für jeden meldepflichtigen Nutzer und jedes meldepflichtige Krypto-Asset meldet der RCASP die Bruttobeträge und die Anzahl der Einheiten für Erwerbe, Veräußerungen, eingehende Übertragungen, ausgehende Übertragungen und meldepflichtige Einzelhandelszahlungstransaktionen. Firmen sollten mit der Datenerfassung nicht auf das Schema warten, da die zugrunde liegenden Felder bereits durch CARF und DAC8 definiert sind.

Informationsaustausch auf EU-Ebene bis zum 30. September 2027

Nach Erhalt der Berichte tauscht das zyprische Finanzamt die Informationen bis zum 30. September 2027 mit anderen EU-Steuerbehörden aus. Auf EU-Ebene finden die ersten DAC8-Austausche für das Meldejahr 2026 innerhalb von neun Monaten nach Jahresende statt, also zwischen dem 1. January und dem 30. September 2027. Das bedeutet, dass Daten, die Sie in Zypern über einen in Deutschland oder Frankreich ansässigen Nutzer einreichen, innerhalb von Monaten an die heimische Steuerbehörde dieses Nutzers weitergeleitet werden, sodass Genauigkeit grenzüberschreitende Folgen hat.

Warum muss Ihre Datenerfassung bereits jetzt laufen?

Ihre Datenerfassung muss bereits laufen, weil die DAC8-Meldung rückwirkend zum 1. January 2026 gilt und die erforderlichen Transaktions- und Selbstauskunftsdaten in der Regel nicht nachträglich rekonstruiert werden können. Jeder Handelstag ohne konforme Erfassung erzeugt ein dauerhaftes Loch in Ihrem Bericht für 2026. Dies ist der operative Kern des gesamten Regimes für zyprische Firmen.

Das rückwirkende Datenlücken-Problem, das Sie nicht nachfüllen können

Das Datenlücken-Problem besteht darin, dass Transaktionsdetails und gültig erhobene Selbstauskünfte an Integrität verlieren, sobald der Moment vergangen ist. Sie können eine Selbstauskunft über die steuerliche Ansässigkeit vom January 2026 Mitte 2027 nicht glaubhaft nachbilden, und Sie können Tauschwerte und Gegenparteien, die nie nach dem CARF-Standard erfasst wurden, nicht rekonstruieren. Ein RCASP, der zu spät mit der Erfassung von DAC8-Daten begonnen hat, steht daher vor einer Lücke, die keine bloße Formatierungskorrektur, sondern ein materieller Beweisdefizit ist.

Was ein konformer Onboarding-Prozess bereits erheben sollte

Ein konformer Onboarding-Prozess sollte bereits bei der Kontoeröffnung eine gültige Selbstauskunft über die steuerliche Ansässigkeit zuzüglich des vollständigen Identitätsdatensatzes erheben und diese Daten gegen Ihre AML- und Know-your-Customer-Aufzeichnungen (KYC) validieren. Wenn eines der folgenden Elemente in Ihrem derzeitigen Prozess fehlt, besteht sofortiger Handlungsbedarf:

• Eine strukturierte Selbstauskunft, die jede Jurisdiktion der steuerlichen Ansässigkeit und die jeweilige Steueridentifikationsnummer (TIN) erfasst.
• Vollständiger rechtlicher Name, Wohnanschrift, Geburtsdatum und, bei natürlichen Personen, Geburtsort.
• Daten zu den beherrschenden Personen bei Rechtsträger-Nutzern.
• Eine Plausibilitätsprüfung, die die Selbstauskunft mit den vorhandenen AML/KYC-Daten abgleicht.
• Eine Transaktionsprotokollierung, die die für die jährliche Aggregation erforderlichen Datenpunkte erfasst.

Behebung einer Datenlücke von 2026 vor der Einreichung

Wenn Sie bereits eine Lücke für 2026 haben, bedeutet Behebung, rasch zu handeln, um frische Selbstauskünfte einzuholen, das zu rekonstruieren, was belegbar ist, und die Grenzen dessen zu dokumentieren, was nicht rekonstruierbar ist. Frühzeitige rechtliche Beratung ist unerlässlich, denn die Art und Weise, wie Sie eine Lücke gegenüber dem zyprischen Finanzamt charakterisieren und offenlegen, beeinflusst Ihr Risiko. Warten Sie nicht bis 2027, um das Loch zu entdecken, wenn das Fenster zur Behebung praktisch geschlossen ist.

Welche Krypto-Assets und Transaktionen sind meldepflichtig?

Meldepflichtige Krypto-Assets sind, grob gesagt, Vermögenswerte, die dezentral mittels Distributed-Ledger-Technologie gehalten und übertragen werden können, und meldepflichtige Transaktionen sind Tausche zwischen Krypto und Fiat, Tausche zwischen verschiedenen Krypto-Assets sowie bestimmte Übertragungen einschließlich meldepflichtiger Einzelhandelszahlungen. Der Anwendungsbereich ist bewusst weit, wobei spezifische Ausnahmen für Vermögenswerte bestehen, die nicht zur Zahlung oder Anlage verwendet werden können, sowie für digitale Zentralbankwährungen.

Krypto-Assets im und außerhalb des Anwendungsbereichs (Stablecoins, NFTs, CBDCs, E-Geld)

Die meisten handelbaren Krypto-Assets fallen in den Anwendungsbereich, während digitale Zentralbankwährungen (CBDCs) und bestimmte E-Geld-Produkte gesondert behandelt werden und außerhalb der Kryptoregeln liegen können. Stablecoins fallen in der Regel als Krypto-Assets in den Anwendungsbereich, und Non-Fungible-Token (NFTs) sind erfasst, soweit sie zur Zahlung oder Anlage und nicht als tatsächlich einzigartige Sammlerstücke verwendet werden. Zypern folgt unmittelbar den DAC8-Definitionen in Annex VI von Law 38(I)/2026: Digitale Zentralbankwährungen und bestimmte E-Geld-Produkte werden aus dem Krypto-Asset-Meldestrom herausgenommen und stattdessen unter den geänderten Finanzkontoregeln des Common Reporting Standard erfasst, während Stablecoins, die keine E-Geld-Produkte sind, als Krypto-Assets im Anwendungsbereich bleiben. Da die Einordnung eines bestimmten Tokens fein austariert sein kann, sollten Grenzfall-Assets im Einzelfall beurteilt werden.

Tauschtransaktionen: Krypto-zu-Fiat und Krypto-zu-Krypto

Tauschtransaktionen sind in beide Richtungen meldepflichtig: Krypto-zu-Fiat und Krypto-zu-Krypto. Das bedeutet, dass ein Nutzer, der Bitcoin gegen Euro tauscht, und ein Nutzer, der Bitcoin gegen Ether tauscht, beide meldepflichtige Ereignisse erzeugen. Für jedes meldet der RCASP die aggregierte jährliche Anzahl der Transaktionen und die Bruttowerte und unterscheidet dabei Erwerbe von Veräußerungen, sodass Ihr Transaktionsprotokoll genügend Details erfassen muss, um diese Aggregate je Nutzer und je Asset-Typ zu bilden.

Übertragungen und meldepflichtige Einzelhandelszahlungstransaktionen

Übertragungen von Krypto-Assets an einen und von einem Nutzer sowie meldepflichtige Einzelhandelszahlungstransaktionen, die im Auftrag eines Händlers verarbeitet werden, fallen ebenfalls in den Anwendungsbereich. Einzelhandelszahlungstransaktionen werden meldepflichtig, wenn sie die nachstehend erörterte Schwelle von EUR 50,000 überschreiten. Wenn ein Nutzer Krypto an eine externe Wallet abhebt, meldet der RCASP die Übertragung, und wenn das Ziel kein anderer RCASP ist, können zusätzliche Angaben erforderlich sein.

Welche Sorgfaltspflicht und Selbstauskunft müssen RCASPs durchführen?

RCASPs müssen eine CARF-artige Sorgfaltspflicht durchführen: von jedem Nutzer eine gültige Selbstauskunft über die steuerliche Ansässigkeit einholen, sie gegen vorhandene AML/KYC-Informationen auf Plausibilität prüfen und Konsequenzen durchsetzen, wenn ein Nutzer keine vorlegt. Diese Sorgfaltspflicht ist kein optionaler Papierkram; sie ist der Mechanismus, der den jährlichen Bericht genau und rechtlich belastbar macht.

Einholung gültiger Selbstauskünfte über die steuerliche Ansässigkeit

Eine gültige Selbstauskunft einer natürlichen Person muss den vollständigen Namen des Nutzers, die Wohnanschrift, jede Jurisdiktion der steuerlichen Ansässigkeit, die TIN für jede meldepflichtige Jurisdiktion und das Geburtsdatum enthalten. Eine Selbstauskunft, der ein erforderliches Feld fehlt, ist nicht gültig und erfüllt Ihre Pflicht nicht. Holen Sie sie bei der Kundenaufnahme für neue Nutzer und nachträglich für bestehende Nutzer innerhalb der im Rahmenwerk festgelegten Fristen ein.

Die Plausibilitätsprüfung gegen vorhandene AML/KYC-Daten

Die Plausibilitätsprüfung verlangt vom RCASP zu bestätigen, dass eine Selbstauskunft mit den bereits über den Nutzer vorgehaltenen AML- und KYC-Daten übereinstimmt. Wenn ein Nutzer die steuerliche Ansässigkeit in einem Land angibt, während Ihre KYC-Akte eine Anschrift und Ausweisdokumente aufweist, die auf ein anderes Land hindeuten, besteht die Selbstauskunft die Plausibilitätsprüfung nicht und muss vor ihrer Verwendung bereinigt werden. Da Sie diese Daten bereits für MiCAR- und AML-Zwecke vorhalten, ist die Prüfung weitgehend eine Abgleichsübung, und Firmen, die Daten zum wirtschaftlichen Eigentum verarbeiten, sollten sie mit den Pflichten des zyprischen UBO-Registers und der Compliance zum wirtschaftlichen Eigentum in Einklang bringen.

Die Zwei-Erinnerungs-/60-Tage-Regel und die Sperrung nicht konformer Nutzer

Nach CARF und DAC8 muss der RCASP, wenn ein Nutzer nach zwei Erinnerungen innerhalb von 60 Tagen keine gültige Selbstauskunft vorlegt, diesen Nutzer daran hindern, meldepflichtige Transaktionen auf der Plattform durchzuführen, bis eine gültige Selbstauskunft vorgelegt und validiert ist. Diese Sperrregel ist eine harte Anforderung, keine Ermessenssanktion. Ihre Systeme müssen daher in der Lage sein, die Anzahl der Erinnerungen zu verfolgen, die 60-Tage-Uhr laufen zu lassen und ein nicht konformes Konto automatisch einzuschränken. Bauen Sie diesen Arbeitsablauf jetzt auf, denn manuelle Durchsetzung über eine aktive Nutzerbasis hinweg lässt sich nicht skalieren.

Welche Daten müssen Sie genau je Nutzer erheben und melden?

Je Nutzer muss ein RCASP die vollständigen Identitäts- und Steueransässigkeitsangaben des Nutzers zusammen mit aggregierten Jahreswerten für dessen meldepflichtige Transaktionen erheben und melden. Der Datensatz spiegelt CRS wider, ist aber für Krypto angepasst, und die Felder bei der Erfassung richtig zu erheben, macht die spätere Einreichung unkompliziert.

Datenfelder für natürliche Personen (Name, Anschrift, TIN, Geburtsdatum und Geburtsort)

Für einen Nutzer, der eine natürliche Person ist, müssen Sie den vollständigen rechtlichen Namen, die Wohnanschrift, jede Jurisdiktion der steuerlichen Ansässigkeit, die TIN für jede solche Jurisdiktion und das Geburtsdatum erheben und melden, wobei in bestimmten Fällen auch der Geburtsort erforderlich ist. Diese Felder müssen im Rahmen der Plausibilitätsprüfung gegen AML/KYC-Aufzeichnungen validiert werden. Fehlende oder ungeprüfte TINs sind ein häufiger Schwachpunkt, sodass Sie die TIN-Erhebung als Zugangsvoraussetzung bei der Kundenaufnahme behandeln sollten und nicht als nachträglichen Gedanken.

Rechtsträger-Nutzer und beherrschende Personen

Für einen Nutzer, der ein Rechtsträger ist, müssen Sie die Identitäts- und Steueransässigkeitsdaten des Rechtsträgers erheben und, wenn der Rechtsträger ein passives Vehikel ist, auf seine beherrschenden Personen durchgreifen und diese ebenfalls melden. Dieser Durchgriff verhindert, dass sich Einzelpersonen hinter Unternehmens-Wallets verstecken. Die Identifizierung der beherrschenden Personen stützt sich unmittelbar auf die Analyse des wirtschaftlichen Eigentums, die Ihre Firma bereits durchführt, sodass Sie die beiden Datensätze integrieren und nicht getrennt führen sollten.

Aggregierte jährliche Transaktionswerte, je Nutzer gemeldet

Der Bericht enthält aggregierte Jahreswerte je Nutzer: für jedes meldepflichtige Krypto-Asset die Bruttobeträge und die Anzahl der Einheiten für Erwerbe, Veräußerungen, eingehende Übertragungen, ausgehende Übertragungen und meldepflichtige Einzelhandelszahlungen. Sie melden nicht jede einzelne Transaktionszeile, aber Sie müssen jede Zeile erfasst haben, um die Aggregate genau zu bilden. Deshalb ist eine granulare Transaktionsprotokollierung ab dem 1. January 2026 nicht verhandelbar.

Wie unterscheidet sich DAC8 vom globalen CARF-Standard?

DAC8 unterscheidet sich vom globalen CARF-Standard hauptsächlich durch seine EU-spezifischen Merkmale, insbesondere eine Schwelle von EUR 50,000 für meldepflichtige Einzelhandelszahlungstransaktionen und seine Integration in die umfassendere DAC-Austauschmaschinerie. In der Sache sind die beiden aufeinander abgestimmt, sodass ein CARF-konformes System den Großteil des Wegs zur DAC8-Konformität zurückgelegt hat, aber die EU-spezifischen Details sind für eine zyprische Firma, die unter Law 38(I)/2026 meldet, von Bedeutung.

Schwellen: die EUR-50,000-Einzelhandelszahlungsregel

DAC8 wendet eine Schwelle von EUR 50,000 für meldepflichtige Einzelhandelszahlungstransaktionen an, die von einem Krypto-Asset-Dienstleister verarbeitet werden, oberhalb derer die Transaktion in den Anwendungsbereich fällt, selbst wenn der Empfänger ansonsten kein meldepflichtiger Nutzer ist. CARF hingegen sieht keine allgemeine Mindestmeldeschwelle vor, sodass jede Transaktion unabhängig von ihrer Höhe erfasst wird. Zypern übernimmt diesen Betrag von EUR 50,000 genau so, wie er durch Annex VI der Richtlinie festgelegt ist, ohne lokale Abweichung in Law 38(I)/2026 umgesetzt, sodass dieselbe Schwelle, die in der gesamten Union gilt, auch in Zypern gilt. Für zyprische Firmen bedeutet dies, dass die Verarbeitung von Einzelhandelszahlungen eine eigene Schwellenlogik oberhalb der allgemeinen Meldung benötigt.

Unterschiede beim Anwendungsbereich und bei der Behandlung von Stablecoins/E-Geld

DAC8 enthält eine EU-spezifische Behandlung von Stablecoins und E-Geld, die im Detail vom OECD-Text abweichen kann, und die genaue Position hängt vom zyprischen Umsetzungsgesetz ab. Soweit DAC8 Optionen dazu bietet, wie weit E-Geld- und CBDC-nahe Produkte erfasst werden, sind die Entscheidungen Zyperns in Law 38(I)/2026 maßgeblich, und Annex VI dieses Gesetzes ordnet digitale Zentralbankwährungen und bestimmte E-Geld-Produkte dem geänderten CRS-Finanzkontoregime zu und nicht dem Kryptostrom. Bis das zyprische Schema und die Leitlinien veröffentlicht sind, behandeln Sie andere Stablecoins als im Anwendungsbereich und dokumentieren Sie Ihre Begründung für jeden Ausschluss.

Überschneidung mit bestehenden zyprischen Kryptosteuerpflichten

Die DAC8-Meldung ist getrennt von und zusätzlich zur zyprischen Kryptosteuerpflicht. Ab dem 1. January 2026 besteuert Zypern Gewinne aus Veräußerungen von Krypto-Assets mit einem einheitlichen Satz von 8% unter einem eigenen gesetzlichen Regime, und diese Pflicht liegt beim Nutzer, während die DAC8-Meldung beim RCASP liegt. Die beiden wirken zusammen, ersetzen sich aber nicht gegenseitig, wie unser Leitfaden zur Besteuerung von Kryptowährungen in Zypern für natürliche Personen und Unternehmen erläutert, neben den umfassenderen Änderungen der zyprischen Steuerreform 2026.

Welche Strafen und Risiken bestehen, wenn man DAC8 in Zypern falsch handhabt?

Die Strafen und Risiken einer falschen Handhabung von DAC8 in Zypern reichen von finanziellen Sanktionen für Meldeversäumnisse über Zulassungs- und Reputationsschäden bei CySEC und MiCAR bis hin zur persönlichen Verantwortlichkeit des Leitungsorgans und der Compliance-Beauftragten. Über die direkten, im Gesetz festgeschriebenen finanziellen Sanktionen hinaus ist das strategische Risiko für ein reguliertes Kryptogeschäft erheblich genug, um eine frühzeitige Investition in Compliance zu rechtfertigen.

Nichtkonformität und das Risiko von Meldeversäumnissen

Das Risiko der Nichtkonformität umfasst Sanktionen für das Versäumnis einzureichen, verspätete Einreichung, Einreichung unrichtiger Daten oder das Versäumnis, gültige Selbstauskünfte einzuholen. Nach Law 38(I)/2026 kann das zyprische Finanzamt Verwaltungssanktionen von bis zu EUR 5,000 für Sorgfaltspflichtverstöße verhängen, etwa das Versäumnis, eine gültige Selbstauskunft einzuholen oder zu prüfen, und bis zu EUR 10,000 für Verstöße gegen Aufzeichnungs-, Melde- und Registrierungspflichten, einschließlich des Versäumnisses einzureichen, verspäteter Einreichung oder der Einreichung unrichtiger Daten. Firmen sollten davon ausgehen, dass ein Versäumnis, Selbstauskünfte einzuholen und die Sperrregel durchzusetzen, selbst ein eigenständiger Verstoß ist und nicht nur ein Problem der Datenqualität.

Reputations- und Zulassungsrisiko bei CySEC/MiCAR

Ein DAC8-Versäumnis birgt ein Reputations- und Zulassungsrisiko, weil Ihre MiCAR-Zulassung von CySEC erteilt und beaufsichtigt wird, die eine starke Compliance-Kultur erwartet. Ein Verstoß gegen die Steuertransparenz kann in die aufsichtsrechtliche Beurteilung der Eignung und Führung einer Firma einfließen, auch wenn DAC8 selbst vom zyprischen Finanzamt verwaltet wird. Für einen zugelassenen CASP kann die indirekte regulatorische Folge jede direkte finanzielle Sanktion überwiegen.

Verantwortlichkeit des Leitungsorgans und der Compliance-Beauftragten

Die letztendliche Verantwortlichkeit für die DAC8-Konformität liegt beim Leitungsorgan und beim benannten Compliance-Beauftragten, die dafür verantwortlich sind, dass Systeme, Selbstauskunfts-Arbeitsabläufe und Meldung vorhanden sind. Die Direktoren sollten ihre Aufsicht über die DAC8-Bereitschaft protokollieren und sich vergewissern, dass die rückwirkende Datenerfassungslage unter Kontrolle ist. Eine dokumentierte Governance ist sowohl eine Verteidigung als auch eine echte Maßnahme zur Risikominderung.

Was ist Ihre praktische DAC8/CARF-Compliance-Roadmap bis zum 30. June 2027?

Ihre praktische Roadmap bis zum 30. June 2027 besteht darin, den RCASP-Status zu bestätigen, jede aktive Datenerfassungslücke sofort zu schließen, die Selbstauskunfts- und Melde-Arbeitsabläufe aufzubauen, Ihre Daten auf das Meldeschema abzubilden und mit rechtlicher und steuerlicher Unterstützung fristgerecht einzureichen. Die Reihenfolge ist von Bedeutung, denn der rückwirkende Datenerfassungsschritt ist zeitkritisch und alles Weitere baut auf sauberen Daten auf.

Eine Schritt-für-Schritt-Bereitschaftscheckliste

1. Führen Sie für jeden zyprischen Rechtsträger eine positive oder negative RCASP-Feststellung durch und dokumentieren Sie sie.
2. Bestätigen Sie, dass Ihre Kundenaufnahme jetzt gültige Selbstauskünfte erfasst, und beheben Sie jede Lücke rückwirkend bis zum 1. January 2026.
3. Implementieren Sie den Zwei-Erinnerungs-Selbstauskunfts-Arbeitsablauf mit 60 Tagen und automatischer Sperrung.
4. Gleichen Sie die Selbstauskünfte im Rahmen der Plausibilitätsprüfung mit den AML/KYC-Daten ab.
5. Erfassen Sie granulare Transaktionsdaten, die ausreichen, um jährliche Aggregate je Nutzer zu bilden.
6. Registrieren Sie sich beim zyprischen Finanzamt und bereiten Sie die Meldedatei vor.
7. Reichen Sie den Bericht für das Kalenderjahr 2026 bis zum 30. June 2027 ein.

Systeme, Datenzuordnung und Aufbau des Meldeschemas

Der Systeme-Arbeitsstrang besteht darin, jedes erforderliche Feld einem Quellsystem zuzuordnen und die Extraktion in das Meldeschema des zyprischen Finanzamts aufzubauen, sobald es veröffentlicht ist. Behandeln Sie die Datenzuordnung als Brücke zwischen Ihren aktiven KYC- und Transaktionssystemen und der letztlichen XML- oder strukturierten Datei, die die CTA verlangt. Wo Holdingstrukturen beteiligt sind, koordinieren Sie dies mit jeder Planung rund um das Halten von Krypto über einen zyprischen International Trust, sodass Meldung und Vermögensschutz-Design konsistent sind.

Wann Sie zyprische Rechts- und Steuerberater hinzuziehen sollten

Ziehen Sie jetzt zyprische Rechts- und Steuerberater hinzu, wenn Sie eine aktive Datenlücke, Zweifel am RCASP-Status oder Komplexität in Ihrer Token- oder Nutzerbasis haben. Die Kosten einer frühzeitigen Beratung sind gering gegenüber dem Risiko einer fehlerhaften ersten Einreichung oder einer nicht bereinigten Datenlücke von 2026. Berater können Ihren DAC8-Aufbau auch mit Ihren umfassenderen Pflichten im Rahmen eines Überblicks über die Steuern in Zypern in Einklang bringen.

Wie Philippou Law Firm helfen kann

Philippou Law Firm berät zyprische Krypto-Asset-Firmen über den gesamten DAC8- und CARF-Compliance-Lebenszyklus, von der Bestätigung des RCASP-Status und der Diagnose rückwirkender Datenlücken über den Aufbau konformer Selbstauskunfts-Arbeitsabläufe bis zur Vorbereitung der ersten Einreichung beim zyprischen Finanzamt. Unsere Anwälte arbeiten Seite an Seite mit Ihren Compliance- und Technologieteams, sodass Meldung, MiCAR-Zulassung und zyprische Kryptosteuerplanung zusammenpassen, anstatt in unterschiedliche Richtungen zu ziehen. Wenn Sie ein Kryptogeschäft mit einem Zypern-Bezug betreiben, kontaktieren Sie uns jetzt, weit vor der Frist am 30. June 2027, damit jedes Datenerfassungsproblem angegangen werden kann, solange es noch behebbar ist.

Dieser Artikel enthält allgemeine Informationen, keine Rechtsberatung. Bitte holen Sie vor jedem Handeln Beratung zu Ihren konkreten Umständen ein.