Artikel 4 der ECSPR trägt die Überschrift „wirksame und umsichtige Unternehmensführung" und macht aus einer Crowdfunding-Zulassung eine tägliche Betriebspflicht. Die europäische Schwarmfinanzierungsverordnung (ECSPR), also das EU-Gesetz, das Investment- und Kredit-Crowdfunding-Plattformen ein gemeinsames Regelwerk in allen EU-Ländern gibt, gilt seit mehreren Jahren, und die Übergangsfrist für Plattformen, die zuvor unter älteren nationalen Regeln gearbeitet haben, ist abgelaufen.

In einfacher Sprache sagt Artikel 4: Die Menschen, die eine Crowdfunding-Plattform betreiben, müssen sie tatsächlich steuern, mit schriftlichen Regeln, klaren Zuständigkeiten und einem System, das Risiken erkennt und behandelt, und zwar so lange, wie die Plattform existiert. Damit liegt die Pflicht von Beginn an bei namentlich benannten Geschäftsleitern. Vorzulegen haben diese Geschäftsleiter ein dokumentiertes Governance-Modell und die Beschlussdokumentation, die belegt, dass danach gehandelt wurde.

Die meisten Texte über die ECSPR enden bei der Zulassung. Dieser Artikel beginnt danach. Die Zulassung ist Tag null, und Artikel 4 definiert zusammen mit den benachbarten Regeln zu Beschwerdemanagement, Interessenkonflikten und Auslagerung das Betriebssystem, das eine regulierte Crowdfunding-Plattform anschließend an jedem einzelnen Tag fahren muss. Fünf Kontrollen bilden dieses Betriebssystem: Governance, Risikomanagement, Interessenkonflikte, Auslagerungskontrolle und Beschwerdemanagement. Jede davon ist gleichzeitig Rechtspflicht und Softwareverhalten. Dieser Artikel geht sie der Reihe nach durch: was Artikel 4 vom Leitungsorgan verlangt, wie ein Risikomanagement pro Angebot aussieht, wie Interessenkonflikte kontrolliert werden müssen, was die Auslagerungsregeln bedeuten, wenn die Plattform-Software von einem Anbieter kommt, wie Beschwerdemanagement funktionieren muss und welche Pflichten nach der Zulassung bei jeder einzelnen Investition greifen.

Die Aufsicht sieht bei diesem Betriebssystem genau hin, weil klar ist, wer auf der anderen Seite sitzt. Nach Angaben der ESMA, der EU-Wertpapieraufsicht, haben 181 Schwarmfinanzierungsdienstleister im Jahr 2024 insgesamt 4,25 Milliarden Euro in 21 Mitgliedstaaten eingesammelt, bei 229 Anbietern, die zum Jahresende im ESMA-Register als zugelassen geführt wurden. 88 Prozent der Anleger auf diesen Plattformen waren Kleinanleger, mit einer durchschnittlichen Anlage von rund 660 Euro. Eine durchschnittliche Anlage in dieser Größenordnung über eine so breite Privatanlegerbasis bedeutet: Der Schaden aus einer schwachen Kontrolle verteilt sich dünn und bleibt unsichtbar, und genau dieses Muster soll die Aufsicht früh erkennen. Die Last trägt deshalb der Compliance-Verantwortliche der Plattform, der belegen muss, dass die Kontrolle bei jeder einzelnen dieser Anlagen gegriffen hat.

Was verlangt Artikel 4 ECSPR von einem Schwarmfinanzierungsdienstleister konkret?

Artikel 4 verpflichtet das Leitungsorgan eines Schwarmfinanzierungsdienstleisters, also die Personen, die das Unternehmen rechtlich verantworten, in der Regel die Geschäftsführung, angemessene Strategien und Verfahren festzulegen und deren Umsetzung zu überwachen, damit eine wirksame und umsichtige Unternehmensführung gewährleistet ist. Dazu gehören die Aufgabentrennung (keine einzelne Person kontrolliert einen kritischen Prozess allein), die Betriebskontinuität (die Plattform funktioniert weiter, und Daten überleben, wenn etwas ausfällt) und die Vermeidung von Interessenkonflikten, jeweils so, dass Marktintegrität und Kundeninteressen gewahrt bleiben. Konkreter: Die Geschäftsführung muss drei Unterlagen vorhalten, bevor eine Aufsicht danach fragt, nämlich ein schriftliches Governance-Modell mit klaren Entscheidungszuständigkeiten, einen getesteten Notfall- und Wiederanlaufplan sowie Protokolle, die die Befassung des Gremiums mit beiden belegen.

Das tragende Wort in Artikel 4 ist überwachen. Eine Richtlinie zu schreiben lässt sich an eine Kanzlei oder an eine Compliance-Stelle delegieren, ihre Umsetzung zu überwachen nicht, denn die Verantwortung liegt bei benannten Personen und lässt sich nicht in ein Organigramm delegieren und dort vergessen. Die häufigste Schwachstelle, die eine Aufsicht findet, ist deshalb eine Governance-Akte, die ein Gremium benennt, ohne eine einzige Sitzung zu dokumentieren, und verantworten muss diese Lücke die Geschäftsführung.

In Plattform-Begriffen zeigt sich Governance als Konfiguration. Das Governance-Modell muss sich in rollenbasierter Zugriffskontrolle abbilden, sodass die Person, die ein Angebot freigibt, den Projektträger nicht selbst aufgenommen hat, ebenso in Freigabe-Workflows mit benannten Verantwortlichen und in einem Audit-Trail, den eine Aufsichtsbehörde ohne Hilfe lesen kann. Wo eine Richtlinie „Vier-Augen-Prinzip" sagt, muss die Software ein Augenpaar tatsächlich nicht ausreichen lassen. Dann antwortet der Compliance-Verantwortliche auf eine aufsichtliche Frage mit einer Berechtigungsmatrix.

Wie sieht ein ECSPR-Risikomanagement in der Praxis aus?

Ein ECSPR-Risikomanagement ist der dokumentierte, wiederholbare Prozess, mit dem eine Plattform die Risiken der gehosteten Projekte und des eigenen Betriebs bewertet, angemessen zu Art, Umfang und Komplexität des Geschäfts. Plattformen, die Kredite vermitteln, tragen mehr. Die Verordnung erwartet Systeme und Kontrollen, die das Risiko der über die Plattform vermittelten Kredite bewerten, und wo die Plattform den Preis selbst festlegt, muss sie das Kreditrisiko vor Veröffentlichung des Angebots nachvollziehbar einschätzen und einen fairen und angemessenen Preis setzen, nach einer Methodik, die die EU im Detail vorgegeben hat. Daher braucht eine Kreditplattform eine benannte Kreditfunktion im eigenen Haus, denn jemand muss die Bepreisungsmethodik verantworten und sie Zeile für Zeile erklären können, wenn die Aufsicht fragt, wie ein konkreter Zinssatz zustande kam.

Neben dem Risikorahmen steht die Sorgfaltspflicht, und Sorgfaltspflicht heißt hier: prüfen, mit wem man es zu tun hat, bevor man ihn Geld einsammeln lässt. Mindestens muss eine Plattform verifizieren, dass ein Projektträger nicht wegen Verstößen gegen Handels-, Insolvenz-, Finanzdienstleistungs- oder Geldwäscherecht, wegen Betrugs oder wegen Verletzung beruflicher Sorgfaltspflichten vorbestraft ist und nicht in einem Land sitzt, das die EU als nicht kooperativ oder als Hochrisikoland einstuft. In der Praxis heißt das: Das Onboarding-Team muss zu jeder dieser Prüfungen für jeden Projektträger datierte und zuordenbare Nachweise vorhalten, denn die Aufsicht prüft die Akte selbst.

Software trägt diesen Rahmen als strukturierte Workflows. Ein Projektträger-Onboarding dokumentiert die vorgeschriebenen Prüfungen und lässt sich ohne sie nicht fortsetzen, Risikobewertungen liegen pro Angebot mit Name und Datum des Prüfers vor, und ein Reporting macht Risikoindikatoren sichtbar. Fragt die Aufsicht „Zeigen Sie mir, wie Sie dieses Projekt bewertet haben", sollte die Antwort eine Abfrage sein, die der Compliance-Verantwortliche in Minuten ausführen kann. Dann kostet eine aufsichtliche Anfrage einen Nachmittag.

Wie muss eine Crowdfunding-Plattform Interessenkonflikte steuern?

Ein Interessenkonflikt ist jede Situation, in der die eigenen Interessen der Plattform gegen die Interessen ihrer Anleger arbeiten könnten, und die schärfsten Fälle löst die Verordnung mit klaren Verboten. Ein Schwarmfinanzierungsdienstleister darf sich an den Angeboten auf der eigenen Plattform nicht beteiligen, und seine wesentlichen Gesellschafter (ab 20 Prozent Beteiligung), Geschäftsleiter und Mitarbeiter dürfen auf der Plattform überhaupt nicht als Projektträger auftreten. In gehostete Projekte investieren dürfen sie nur, wenn die Plattform das offenlegt, einschließlich der konkreten Projekte, und sie zu denselben Bedingungen behandelt wie jeden anderen Anleger, ohne Vorzugsbehandlung und ohne privilegierten Informationszugang.

Jenseits der Verbote verlangt die Verordnung interne Regeln zur Vermeidung von Konflikten, angemessene Schritte, um sie zu erkennen, zu steuern und offenzulegen, sowie die Offenlegung von Art und Ursprung bestehender Konflikte samt der Maßnahmen, mit denen sie abgemildert werden. Daher muss der Compliance-Verantwortliche ein laufend gepflegtes Verzeichnis beschränkter Personen halten, das Gesellschafter ab der 20-Prozent-Schwelle, Geschäftsleiter und Mitarbeiter erfasst und bei jedem Zugang und Abgang aktualisiert wird. Ein Verzeichnis, das am Tag der Zulassung korrekt war und danach nie angefasst wurde, ist genau die Fassung, die die Aufsicht findet.

Plattform-Software setzt diese Pflicht entweder durch oder unterläuft sie leise. Das Onboarding von Anlegern und Projektträgern sollte gegen das Verzeichnis beschränkter Personen prüfen, Warnhinweise zu verbundenen Parteien sollten auslösen, bevor ein Angebot live geht, und jede Offenlegung gehört mit Zeitstempel protokolliert. Eine Richtlinie, die nur im Handbuch lebt, scheitert an dem Tag, an dem ein Mitarbeiter still über die normale Zeichnungsstrecke investiert. Dann erklärt der Betreiber einen Verstoß, den eine Datenbankabfrage verhindert hätte.

Was bedeuten die ECSPR-Auslagerungsregeln, wenn die Plattform-Software von einem Anbieter kommt?

Auslagerung heißt in der Sprache der ECSPR: sich für eine betriebliche Funktion auf einen Dritten stützen. Die eigene Plattform von einem Software-Anbieter zu beziehen ist genau das. Die Verordnung erlaubt es unter Bedingungen: Die Plattform muss alle zumutbaren Schritte unternehmen, um zusätzliches operationelles Risiko zu vermeiden, und die Vereinbarung darf weder die Qualität der internen Kontrollen beeinträchtigen noch die nationale Aufsicht daran hindern, die Einhaltung der Regeln zu überwachen. Vor allem bleibt der Plattformbetreiber in vollem Umfang für die Einhaltung der Verordnung in Bezug auf die ausgelagerten Tätigkeiten verantwortlich.

Im Klartext: Wer einen Software-Anbieter beauftragt, lagert die Arbeit aus, niemals die Verantwortung. Der Betreiber kann nicht auf seinen Anbieter zeigen, wenn eine Kontrolle versagt. Daher muss die IKT-Funktion beim Betreiber ein eigenes Auslagerungsverzeichnis, eine eigene Risikoanalyse des Anbieters und einen dokumentierten Ausstiegsplan vorhalten, denn das sind die drei Unterlagen, die eine Aufsicht anfordert, wenn sie prüfen will, ob die Auslagerungsregeln ernst genommen wurden.

Diese Verantwortungsverteilung sollte bestimmen, wie ein Betreiber Software einkauft. Die Plattform muss dem Betreiber, und damit auch der Aufsicht, volle Sichtbarkeit geben: Dokumentation dessen, was das System tut, exportierbare Datensätze, die Eigentum des Betreibers bleiben, definierte Support- und Change-Prozesse und vertraglich gesicherter Prüfungszugang. Ein Anbieter, dessen System eine Blackbox ist, lässt die Pflichten des Betreibers unverändert und macht sie zugleich unbeweisbar. Die White-Label-Infrastruktur von ONINO setzt auf derselben Prämisse auf: Erlaubnis und Verantwortung liegen beim Betreiber, also muss die White-Label-Software für Crowdfunding-Plattformen dessen Kontrollen dokumentiert und nachweisbar machen. In der Praxis heißt das: Der Compliance-Verantwortliche und die IKT-Funktion gehören neben den Entwicklern in die Anbieterauswahl, denn sie müssen die Vereinbarung später belegen.

Wie muss das Beschwerdemanagement einer Crowdfunding-Plattform funktionieren?

Die Verordnung verlangt von jeder Crowdfunding-Plattform wirksame und transparente Verfahren, um Anlegerbeschwerden zügig, fair und einheitlich zu bearbeiten, und zwar kostenlos. Das Verfahren muss veröffentlicht sein, Beschwerden müssen in einem Standardformat angenommen werden, und jede Beschwerde samt der ergriffenen Maßnahmen ist zu dokumentieren. Vorlage und Prozessdetails gibt die EU vor. Daher muss eine namentlich benannte Person beim Betreiber die Beschwerdebearbeitung verantworten, mit einer Frist pro Fall, denn „kostenlos" und „zügig" sind beide prüfbar und scheitern beide leise, sobald die Zuständigkeit bei allen liegt.

Für den Laien: Ein Anleger muss sich einfach und kostenlos beschweren können, die Plattform muss innerhalb einer angemessenen, kommunizierten Frist antworten, und der gesamte Vorgang muss als Akte existieren. Aufseher lesen Beschwerderegister wie Ingenieure Fehlerprotokolle, als frühestes ehrliches Signal dafür, wo ein Prozess bricht. Ein auffällig dünnes Beschwerderegister liest die Aufsicht deshalb als fehlende Leitung, und das Gegenteil belegen muss der Beschwerdeverantwortliche.

In Software muss Beschwerdemanagement ein Workflow mit Fristen und einem benannten Verantwortlichen sein. Die Leitung führt vom Eingang im vorgeschriebenen Format über Eingangsbestätigung und Zuweisung bis zur Lösung, mit der vollständigen, pro Fall abrufbaren Akte. Plattformen, die hier scheitern, sind selten böswillig; sie haben schlicht nie diese Leitung gebaut. Dann rekonstruiert der Compliance-Verantwortliche zwei Jahre Beschwerdehistorie aus E-Mail-Threads, während die Aufsicht zusieht.

Welche laufenden Pflichten gelten nach der Zulassung an jedem Tag?

Governance, Risiko, Konflikte, Auslagerung und Beschwerden bilden die Managementebene, und darum herum legt die ECSPR Anlegerschutzpflichten, die bei jeder einzelnen Investition greifen. Diese Compliance-Pflichten eines Schwarmfinanzierungsdienstleisters sind Dauerpflichten und damit Produktverhalten. Eine europaweite Untersuchung von EUROCROWD aus dem Jahr 2025, einer Beratungsorganisation, die aus dem European Crowdfunding Network hervorgegangen ist, hat 236 lizenzierte Plattformen an 17 aus der ECSPR abgeleiteten Kriterien gemessen und kam auf einen Durchschnitt von 5,0 von 10 Punkten, mit knapp 40 Prozent unterhalb der Basiserwartung und nur 25 Prozent mit starker Umsetzung. Geprüft wurde dabei, was Plattformen öffentlich offenlegen, nicht was Aufsichtsbehörden festgestellt haben. Die gemessene Lücke ist damit eine Sichtbarkeitslücke, und Sichtbarkeit ist das Erste, was eine Aufsicht als funktionierende Funktionalität prüft. Die Tabelle unten zeigt die neun Pflichten, den jeweiligen Artikel, was die Verordnung erwartet und wo die Pflicht in der Plattform-Software lebt. Liest man die letzte Spalte hinunter, wird das Muster deutlich: Die meisten dieser Pflichten sind nur real, wenn die Software sie standardmäßig erzwingt. Diese Spalte zu prüfen ist für den Compliance-Verantwortlichen der schnellste Weg zu der Erkenntnis, wo die Plattform offen liegt.

Eine Anmerkung zum Geltungsbereich, damit die Grenze explizit ist: Alles oben Gesagte gilt innerhalb der Schwarmfinanzierungsdienstleistung, die die ECSP-Zulassung abdeckt. ECSP steht für European Crowdfunding Service Provider, also die Zulassung, die eine Crowdfunding-Plattform in der EU benötigt. Diese Zulassung deckt keine Angebote oberhalb von 5 Millionen Euro ab, gerechnet je Projektträger über 12 Monate und unter Anrechnung der prospektfreien öffentlichen Wertpapierangebote desselben Projektträgers. Instrumente oder Volumina außerhalb dieses Perimeters unterliegen anderen Regimen, nicht der ECSPR, und dieser Artikel erstreckt sich nicht auf sie. Daher muss ein Betreiber, der eine Emission oberhalb von 5 Millionen Euro plant, eine zweite Erlaubnis und ein zweites Kontrollset einplanen, und wissen muss das zuerst die Person, die die Produkt-Roadmap verantwortet.

„Mit dem Wachstum kommen neue Erwartungen. Je größer der Markt wird, desto stärker verschiebt sich die Aufsicht in Richtung Governance, Anlegerschutz und operative Widerstandsfähigkeit. In der nächsten Phase der ECSPR geht es weniger um die Zulassung als um die laufende Aufsicht."
Luís Pimentel, CEO von Crowdestate

Das Betriebssystem hinter dem Zertifikat

Letztlich belegt eine Crowdfunding-Zulassung nur, dass eine Aufsichtsbehörde an einem bestimmten Tag zufrieden war, und Governance und Risikomanagement nach Artikel 4 sind das, was diese Aussage an jedem folgenden Tag wahr hält. Von den fünf Kontrollen verdient die Auslagerungskontrolle die größte Aufmerksamkeit, denn sie ist die einzige, bei der das Risiko des Betreibers aus einer Entscheidung wächst, die jemand anderes getroffen hat: Der Anbieter liefert das System, und nachweisen muss der Betreiber trotzdem jede Kontrolle darin. Betreiber, deren Nachweise als Nebenprodukt des normalen Betriebs entstehen, beantworten Aufsichtsfragen aus einer Position der Stärke, während Betreiber, die Governance als jährliche Dokumentationsübung behandeln, still einen Risikorückstand aufbauen.

Der nächste Akteur ist der Compliance-Verantwortliche. Wer eine Crowdfunding-Plattform betreibt oder kurz davor steht, sollte diese Person jede der neun Zeilen aus der Tabelle oben durch den heutigen Stack führen lassen und jede Zeile markieren, die derzeit ein Mensch von Hand zusammenhält. Vertiefenden regulatorischen Kontext bietet unser Ressourcenbereich zur Regulierung.

Und wer sehen will, wie eine dafür gebaute Plattform diese Pflichten als native Workflows trägt, von der Angemessenheitsprüfung bis zur KIIS-Versionierung: Gehen Sie die neun Zeilen mit uns durch eine Live-Plattform und bringen Sie den eigenen Compliance-Verantwortlichen mit. Der Durchgang ist nützlicher mit der Person, die das Audit verantwortet.