DAC8 ist live – das müssen Kryptowerte-Anbieter jetzt tun

Das Kryptowerte-Steuertransparenz-Gesetz (KStTG) ist in Kraft. Kryptowerte-Anbieter sind nun erstmals gesetzlich verpflichtet, Transaktionsdaten ihrer Nutzenden systematisch zu erfassen, aufzubereiten und bis zum 31. Juli 2027 an das Bundeszentralamt für Steuern (BZSt) zu melden. Was aber viele noch nicht realisiert haben: Die erste Meldung betrifft das gesamte Kalenderjahr 2026 (1. Januar bis 31. Dezember 2026) – also Daten, die ab sofort anfallen. Wer jetzt nicht handelt, wird im Frühjahr 2027 nur mehr unter unverhältnismäßig großem Aufwand oder gar nicht mehr aufholen können.
Dieser Beitrag fasst die sieben wichtigsten To-dos für eine rechtskonforme Erstmeldung kompakt zusammen. Er richtet sich an Kryptowerte-Anbieter, die ihre DAC8-Umsetzung noch nicht abgeschlossen haben, sowie an Steuerberater:innen, die betroffene Mandant:innen bei Betroffenheitsanalyse, Datenprozessen und Erstmeldung begleiten. 

1 To-do
Betroffenheit klären

DAC8 gilt nicht für alle Unternehmen, die irgendwie mit Kryptowerten zu tun haben. Meldepflichtig sind Anbieter von Kryptowerte-Dienstleistungen i. S. d. § 1 Abs. 2 KStTG – das umfasst MiCA-CASPs ebenso wie Kryptowerte-Betreiber außerhalb der MiCA-Lizenzierung. Ob ein hinreichender Nexus zu Deutschland besteht, richtet sich nach § 2 Abs. 1 KStTG. Die Prüfung ist mehrstufig und führt zu unterschiedlichen Nexus-Codes. Wer kein Kryptowerte-Dienstleistungsgeschäft betreibt, ist typischerweise nicht betroffen. Die Verwahrung von Kryptowerten spielt meist keine Rolle, im Zentrum steht vielmehr die Frage, ob und wer eine Transaktion für oder im Auftrag eines Kunden durchführt.
In einem ersten Schritt sollten Unternehmen daher prüfen: Bin ich überhaupt meldepflichtig? Wenn ja: In welchen Ländern, mit welchem Nexus-Code und für welche Nutzergruppen?

2 To-do
Nutzerdaten strukturiert erheben – DAC8 ist kein Re-Labeling von KYC

Viele Anbieter gehen davon aus, dass ihre bestehenden KYC-Daten für DAC8 ausreichen. Das greift zu kurz: DAC8 benötigt zusätzliche, steuerlich relevante Informationen, die im klassischen KYC-Prozess oft fehlen:

• alle Länder der steuerlichen Ansässigkeit (nicht nur Wohnsitzstaat)
• Steueridentifikationsnummer(n) je Ansässigkeitsstaat (TIN)
• bei Rechtsträgern: Angaben zu beherrschenden Personen
• Unterschrift oder vergleichbare Bestätigung der Selbstauskunft

Der entscheidende Unterschied: KYC identifiziert eine Person. DAC8 klärt, wo diese Person steuerlich ansässig ist und welche Steuer-ID sie dort hat. Beides kann voneinander abweichen und erfordert separate Prozesse.
Selbstauskunftsformulare müssen den gesetzlichen Mindestanforderungen des § 6 KStTG genügen, insbesondere bei elektronischer Abgabe hinsichtlich Integrität und Zugriffsschutz. Insofern handelt es sich hierbei um strukturierte Steuerdokumentation, die über bestehende KYC-Prozesse in aller Regel nicht gesetzeskonform umgesetzt werden kann. 

3 To-do
Bestandskunden gezielt identifizieren und nachqualifizieren

Das KStTG sieht eine Unterscheidung zwischen Neu- und Bestandskunden vor. Für Kunden, deren Geschäftsbeziehung vor dem 31. Dezember 2025 bestand, gilt eine verlängerte Frist: Die steuerlichen Sorgfaltspflichten (Selbstauskunft, Plausibilisierung) müssen spätestens bis zum 1. Januar 2027 erfüllt sein.
Das klingt komfortabel, ist es aber nicht. Wer 2026 wartet, steht kurz vor der Meldefrist vor einem kritischen Engpass: Tausende Bestandskunden müssen gleichzeitig nachqualifiziert werden, viele werden nicht reagieren, und für fortgesetzte Nichtmitwirkung sieht das Gesetz nach Aufforderung, Erinnerung und Mahnung sowie Ablauf der gesetzlichen Fristen vor, den Nutzenden an der Durchführung meldepflichtiger Transaktionen zu hindern (§ 8 Abs. 3 KStTG).

4 To-do
Transaktionsdaten ab 1. Januar 2026 vollständig und kategorisiert erfassen

DAC8 verlangt aggregierte Transaktionsmeldungen – nicht Einzelbuchungen, sondern Jahressummen pro Nutzendem, Kryptowert, Transaktionstyp. Die Meldepflicht erfasst u. a.:

• Krypto-gegen-Fiat-Tausche
• Krypto-gegen-Krypto-Tausche
• Transfers (ein- und ausgehend)
• Massenzahlungstransaktionen
• Staking, Mining, Airdrops, Krypto-Darlehen
• NFT-Transaktionen (sofern als Kryptowerte einzuordnen)

Technisch heißt das: Transaktionen müssen bereits bei ihrer Entstehung korrekt kategorisiert und gespeichert werden. Ein späteres Reprocessing ist nur eingeschränkt möglich. Denn im Unterschied zum kontobasierten Reporting nach CRS verlangt CARF ein transaktionsbasiertes Reporting auf Ebene der einzelnen Kryptowerte und Transaktionen, wodurch wiederum deutlich höhere Anforderungen an Datenmodelle und die Systemarchitektur gestellt werden. Das Ziel-Datenformat ist das CARF-XML-Schema Version 1.5 gemäß der amtlichen Datensatzbeschreibung des BZSt. Je früher die interne Datenstruktur auf diese Voraussetzungen ausgerichtet wird, desto geringer wird der Aufwand im Rahmen der Berichterstattung im Jahr 2027 sein.

5 To-do
Technische Umsetzung und Übermittlungsinfrastruktur aufbauen

Die Meldung an das BZSt erfolgt ausschließlich elektronisch – entweder über die DIP-Schnittstelle oder den XML-Upload im BZSt-Online-Portal. Voraussetzung ist eine BZSt-Registrierung sowie Authentifizierung via ELSTER-Zertifikat oder vergleichbarem Mittel.
Folgende technische Bausteine sollten 2026 aufgebaut und getestet werden:

• System zur Aggregation und XML-Erzeugung im CARF-Format
• Plausibilitäts- und Validierungsprüfung vor Übermittlung
• Übertragungsprotokollierung und Nachweisführung
• Prozesse für Korrektur-, Folge- und Leermeldungen

Wer die Infrastruktur erst 2027 aufbaut, hat keinen Puffer für technische Probleme.

6 To-do
Governance, Verantwortlichkeiten und Dokumentation festlegen

DAC8 ist kein reines IT-Projekt. Es ist ein Schnittstellenthema zwischen IT, Tax, Compliance und Operations. In der Praxis fehlt oft eine klare Governance-Struktur, die festlegt:

• Wer ist verantwortlich für Datenerhebung, Aggregation und Übermittlung?
• Welche internen Kontrollmechanismen gibt es?
• Wie werden Korrekturen und Folgejahre gesteuert?
• Welche Aufzeichnungen müssen 10 Jahre aufbewahrt werden (§ 14 KStTG)?

7 To-do
Typische Fehler vermeiden

Aus der Praxis zeichnen sich bereits typische Umsetzungsfehler ab:

• Annahme, KYC-Daten seien für DAC8 ausreichend – tatsächlich fehlt regelmäßig die steuerliche TIN je Ansässigkeitsstaat oder ein entsprechendes Verfahren zur Plausibilitätsprüfung
• Fehlende Kategorisierung von Transaktionen ab Jahresbeginn
• Keine Trennung zwischen Bestandskunden- und Neukunden-Prozessen
• Unvollständige XML-Struktur (falsche Nexus-Codes, fehlende MessageRefId)
• Später Start der technischen Umsetzung ohne Puffer für Fehlerkorrektur
• Fehlende Informationspflicht gegenüber Nutzenden gem. § 13 KStTG vor der ersten Meldung

Diese Fehler können nicht nur zu formell mängelbehafteten Meldungen führen, sondern auch Bußgeldrisiken nach § 18 KStTG (bis zu 50.000 € je Verstoß) eröffnen.

______________________

✍️ Selbst Lust darauf, Erfahrungen & Wissen zu teilen? Dann gerne hier eintragen:

→ BLOGGER WERDEN