Berichte erstellen: Datenqualität im BaFin-Reporting

Das Wichtigste auf einen Blick

Welche Finanzunternehmen die BaFin beaufsichtigt und wen die Berichtspflichten treffen

Die Bundesanstalt für Finanzdienstleistungsaufsicht ist die zentrale Aufsichtsbehörde für den deutschen Finanzmarkt. Sie beaufsichtigt Kreditinstitute, Finanzdienstleistungsinstitute, Versicherer, Pensionsfonds, Kapitalverwaltungsgesellschaften und Wertpapierfirmen. Hinzu kommen Zahlungs- und E-Geld-Institute.

Wer eine Erlaubnis der BaFin braucht, hat auch Berichtspflichten. Die Pflicht trifft das Institut, nicht einzelne Abteilungen. In der Praxis bedeutet das: Vorstand oder Geschäftsleitung haften für die Richtigkeit, das Meldewesen liefert zu.

Die Aufsicht gilt bundesweit einheitlich. Institute in Bayern, Nordrhein-Westfalen und Sachsen melden nach denselben Regeln wie Häuser in Hamburg oder Berlin. Regionale Sonderfristen gibt es nicht.

Auch die Rechtsform spielt keine Rolle. Ob Aktiengesellschaft, Sparkasse, Genossenschaftsbank oder Niederlassung einer ausländischen Gruppe: Sobald der deutsche Aufsichtstatbestand erfüllt ist, greifen die Melderegeln.

Einen Überblick über die Aufsichtsfelder und die daraus folgenden Pflichten bietet die Startseite der BaFin. Wer wissen will, ob ein konkretes Produkt oder Geschäft meldepflichtig ist, findet die Einordnung über die Themen und Finanzprodukte der BaFin. Beide Quellen sind als Referenz für die eigene Pflichtenanalyse geeignet.

Wen es zuerst trifft

Am stärksten belastet sind Institute mit Bilanzsummen oberhalb der Schwellen für das Meldewesen nach CRR. Kleine Institute melden seltener, aber nicht weniger formal. Versicherer melden zusätzlich nach Solvency II, Kapitalverwaltungsgesellschaften nach KAGB.

Entscheidend ist die Kombination aus Erlaubnis, Geschäftsmodell und Größenklasse. Ein Institut kann gleichzeitig CRR-, Wertpapier- und Geldwäschemeldungen abgeben müssen. Wer nur eine Meldeart im Blick hat, übersieht leicht Fristen aus einer anderen Regelung.

Die wichtigsten Meldungen: von der Finanzinformation zur Ad-hoc-Publizität

Die BaFin sammelt Meldungen aus mehreren Rechtskreisen. Kreditinstitute reichen ihre Finanzinformationen nach der CRR ein – für die Kapitalanforderungen im Format COREP, für die Finanzinformationen im Format FINREP; Großkredite sind nach § 13 KWG anzuzeigen, Millionenkredite nach § 14 KWG, ergänzend gilt die Großkreditmeldung nach Art. 394 CRR. Versicherer melden nach Solvency II und dem VAG, Kapitalverwaltungsgesellschaften nach KAGB, Wertpapierfirmen nach dem WpHG; kursrelevante Ereignisse gehen als Ad-hoc-Meldung nach Art. 17 MAR gleichzeitig an die BaFin und an die Börse. Eingereicht werden die Meldungen über die Melde- und Veröffentlichungsplattform der Aufsicht, Millionenkreditanzeigen nimmt die Deutsche Bundesbank als Meldeempfänger entgegen.

Die Fristen sind Teil der Melderegeln und werden von der BaFin durchgesetzt. Wer zu spät liefert, riskiert nicht nur ein Bußgeld, sondern auch eine Sonderprüfung. Die Behörde veröffentlicht Aufsichtsmitteilungen zu geänderten Reporting-Anforderungen über ihre Presse- und Social-Media-Kanäle. Diese Mitteilungen sind die schnellste Quelle für Friständerungen und neue Meldeformate.

Von der Meldung zur Veröffentlichung

Ad-hoc-Meldungen richten sich an den Kapitalmarkt, nicht an die Aufsicht allein. Sie müssen gleichzeitig an die BaFin und an die Börse gehen. Der Inhalt muss vollständig sein und darf nicht beschönigt werden.

Ein Praxisbeispiel: Ein Institut stellt im Oktober fest, dass eine wesentliche Beteiligung abgewertet werden muss. Die Bewertung ist kursrelevant. Die Meldung muss unverzüglich erfolgen, nicht erst mit dem Quartalsabschluss. Wer bis zur Bilanzpressekonferenz wartet, verletzt die Pflicht.

Solche Fälle zeigen, warum Meldewesen und Unternehmenskommunikation zusammenarbeiten müssen. Ein Report, der erst nach der Veröffentlichung entsteht, kommt zu spät.

Berichte erstellen mit validierten Kennzahlen: Datenqualität als Grundlage

Berichte erstellen beginnt nicht am Meldeformular, sondern an der Datenquelle. Wer Kennzahlen ungeprüft aus Vorsystemen übernimmt, produziert Fehler, die sich durch alle Folgeberichte ziehen.

Validierte Kennzahlen haben drei Eigenschaften: Sie sind vollständig, sie sind richtig, und sie sind nachvollziehbar. Vollständigkeit heißt, dass alle Geschäftsvorfälle erfasst sind. Richtigkeit heißt, dass die Werte die zugrunde liegende Tatsache korrekt abbilden. Nachvollziehbarkeit heißt, dass ein Prüfer den Weg vom Einzelbeleg bis zur Meldung nachverfolgen kann.

Die DIN 66398 beschreibt ein Vorgehen zur Entwicklung eines Datenqualitätskonzepts. Sie verlangt, Qualitätsziele schriftlich festzulegen und regelmäßig zu messen. Für das regulatorische Reporting ist das kein Selbstzweck: Fehlerquoten, die im Monatsabschluss tolerierbar wirken, führen in der Meldung zur Rückfrage.

Wo eine konkrete Melderegel unklar bleibt, hilft die erweiterte Suche der BaFin mit ihren Rundschreiben und Merkblättern.

Typische Fehlerquellen

Die meisten Fehler entstehen nicht im Meldesystem, sondern davor. Dazu zählen manuelle Überleitungen in Tabellenkalkulationen, unterschiedliche Stichtage zwischen Hauptbuch und Risikocontrolling sowie fehlende Abstimmung zwischen Konzern und Einzelinstitut.

Ein weiterer Punkt ist die Versionierung. Wer Stammdaten ändert, muss wissen, welcher Bericht mit welchem Stand erstellt wurde. Ohne Versionsstand ist eine Rückfrage der BaFin kaum zu beantworten.

Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form, kurz GoBD, verlangen Nachvollziehbarkeit und Unveränderbarkeit der Aufzeichnungen. Für das Reporting bedeutet das: Jede Meldung braucht eine dokumentierte Datenherkunft und eine Aufbewahrung, die eine spätere Prüfung erlaubt.

Kennzahlen validieren

Validierung ist ein Prozess, kein einmaliger Test. Bewährt hat sich eine Kette aus Plausibilitätsprüfungen, Abstimmung gegen Vorperioden und Freigabe durch eine fachlich verantwortliche Person.

Prüfungen sollten automatisiert laufen und bei Abweichungen eine Klärung erzwingen. Ein Wert, der ohne Kommentar von der Vorperiode abweicht, ist ein Risiko. Ein Wert mit dokumentierter Begründung ist eine belastbare Kennzahl.

Analysewerkzeuge für das regulatorische Reporting: Prüfbarkeit vor Oberfläche

Analysewerkzeuge unterscheiden sich weniger in der Oberfläche als in der Datenhaltung. Wer ein Werkzeug auswählt, entscheidet damit, wie prüfbar das eigene Reporting in zwei Jahren noch ist.

Die Wahl hängt vom Institut ab. Ein kleiner Versicherer braucht keine Meldesoftware für alle Formate. Eine Bank mit mehreren Tochtergesellschaften braucht ein Regelwerk, das Konzern und Einzelinstitut trennt.

Wichtig ist die Prüfbarkeit. Ein Werkzeug, das Ergebnisse liefert, aber keine Herkunft zeigt, ist für das regulatorische Reporting ungeeignet. Die BaFin fragt im Zweifel nach, wie eine Zahl entstanden ist.

Worauf bei der Auswahl zu achten ist

Diese Liste ist bewusst knapp gehalten. Wer sie vollständig beantwortet, hat die wichtigsten Risiken im Griff.

Kontrollen, Prüfungen und Sanktionen: wie die BaFin Berichte nachhält

Die BaFin prüft Meldungen auf Vollständigkeit, Frist und Plausibilität. Auffällige Werte führen zu Rückfragen, wiederholte Auffälligkeiten zu einer Prüfung vor Ort.

Sanktionen reichen von der Anordnung, eine Meldung zu korrigieren, bis zum Bußgeld. Bei schweren Verstößen kann die Aufsicht Maßnahmen gegen Geschäftsleiter verhängen. Die Höhe richtet sich nach Art, Dauer und Schwere des Verstoßes.

Neben der BaFin prüfen Wirtschaftsprüfer und die Deutsche Prüfstelle für Rechnungslegung. Wer nur auf die Aufsicht schaut, übersieht diese zweite Kontrollebene.

Ein Beispiel: Ein Institut meldet dieselbe Kennzahl über drei Quartale mit identischem Wert, obwohl sich das Geschäftsvolumen verändert hat. Die BaFin fragt nach. Stellt sich heraus, dass die Meldung aus einer nicht aktualisierten Tabelle stammt, folgt eine Prüfung des Meldewesens.

Solche Fälle sind vermeidbar. Automatisierte Plausibilitätsprüfungen und ein Vier-Augen-Prinzip vor der Freigabe decken sie auf.

Schnittstellen zu DSGVO, BDSG und IT-Grundschutz im Reporting

Regulatorisches Reporting verarbeitet personenbezogene Daten. Kreditnehmer, Vorstände, Verdachtsfälle: Ohne Rechtsgrundlage dürfen diese Daten nicht verarbeitet werden.

Die Datenschutz-Grundverordnung gilt unmittelbar in Deutschland. Das Bundesdatenschutzgesetz ergänzt sie, unter anderem für Beschäftigtendaten und Videoüberwachung. Für das Reporting ist wichtig, dass jede Datenverarbeitung eine Rechtsgrundlage braucht, meist die gesetzliche Meldepflicht.

Das bedeutet nicht, dass alles erlaubt ist. Der Grundsatz der Datenminimierung gilt auch hier: Es dürfen nur die Daten gemeldet werden, die die Melderegel verlangt. Wer zusätzliche Felder befüllt, weil sie vorhanden sind, schafft Risiken.

IT-Grundschutz als Rahmen

Der IT-Grundschutz des BSI beschreibt, wie Informationssicherheit organisiert wird. Für Reporting-Systeme relevant sind die Anforderungen an Verfügbarkeit, Integrität und Vertraulichkeit.

Konkret heißt das: Zugriffe werden protokolliert, Änderungen sind nachvollziehbar, Systeme sind gegen Ausfall abgesichert. Ein Meldesystem, das nur auf einem Arbeitsplatzrechner läuft, erfüllt diese Anforderungen nicht.

Die Bundesnetzagentur und das Statistische Bundesamt sind für das Reporting nur mittelbar relevant. Wer als Zahlungsdienstleister oder Telekommunikationsunternehmen meldet, hat zusätzliche Pflichten, die nicht in der BaFin-Aufsicht aufgehen.

Praktische Checkliste für das Berichtswesen gegenüber der BaFin

Die folgende Checkliste fasst die wichtigsten Schritte zusammen. Sie ersetzt keine Rechtsberatung, hilft aber, Lücken im eigenen Prozess zu finden.

Wer diese Punkte abarbeitet, hat die Grundlage für ein belastbares Berichtswesen. Die Details ändern sich mit jeder Formatänderung. Der Prozess bleibt.

Häufige Fragen