MiFID II Video-Aufzeichnung 2026 im Finanzsektor

Rechtlicher Disclaimer: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Anforderungen nach MiFID II, DSGVO, WpHG und anwendbarem nationalem Recht variieren je nach Unternehmens-Typ, Jurisdiktion und Tätigkeit. Konsultiere qualifizierten Rechtsbeistand für unternehmens-spezifische Beratung.

2024 haben die nationalen zuständigen Behörden im Europäischen Wirtschaftsraum 294 Sanktionen speziell unter MiFID II und MiFIR verhängt, mit einer Gesamtsumme von rund 44,5 Millionen Euro. Das geht aus dem ESMA-Jahressanktionsbericht 2024 hervor (veröffentlicht Oktober 2025). Über alle EU-Finanzregulierungen hinweg verhängten Aufsichtsbehörden im selben Jahr über 970 Sanktionen mit einem Gesamtvolumen von mehr als 100 Millionen Euro. MiFID II/MiFIR war damit neben der Marktmissbrauchsverordnung (MAR) eines der beiden am intensivsten durchgesetzten Regime.

Bemerkenswert für DACH: Die höchste Einzel-Strafe 2024 stammt aus Deutschland – 12,75 Millionen Euro, verhängt durch BaFin für einen Verstoß gegen Vorschriften zum algorithmischen Handel nach MiFID II Artikel 17(1), im Vergleichsverfahren. Viele dieser Durchsetzungsmaßnahmen betrafen Versäumnisse bei der Aufzeichnung und Aufbewahrung von Kundenkommunikation. Diese Kategorie schließt jetzt explizit Videoanrufe ein.

Hybride Beratung ist 2026 kein Pandemie-Workaround mehr, sondern Standard. Vermögensverwalter, Anlageberater und Compliance-Verantwortliche führen tägliche Kundengespräche und Beratungs-Sessions über Videoplattformen durch. Die regulatorische Erwartung von ESMA, BaFin und FCA: dieselbe Disziplin, die jahrelang für Telefon-Aufzeichnung galt, muss jetzt auf jeden Video-Call ausgedehnt werden, in dem Wertpapierdienstleistungen besprochen oder erbracht werden.

Das Problem: Die meisten Videoplattformen wurden nicht für diese Anforderungen gebaut. Dieser Artikel zeigt, was MiFID II konkret für Video-Aufzeichnung verlangt, wie sich das mit DSGVO und WpHG verzahnt, und wie wirklich konforme Video-Infrastruktur im DACH-Raum 2026 aussieht.

Inhaltsverzeichnis

1. Warum Finanzdienstleister maßgeschneiderte Videokonferenz brauchen
2. MiFID II Aufzeichnungspflichten: was § 83 WpHG sagt
3. Der DACH-Rahmen: BaFin-MaComp und WpI-MaRisk
4. DSGVO-Schnittstelle: beide Pflichten erfüllen
5. Verschlüsselung, Integrität und Audit-Trail
6. Datenaufbewahrungs-Politik für Finanz-Video-Aufzeichnungen
7. Bewertungs-Checkliste: Plattform-Auswahl für Finanz-Compliance
8. Wie Digital Samba die Finanz-Compliance-Anforderungen erfüllt
9. Integration mit der Compliance-Infrastruktur
10. Plattform-Vergleich: Zoom, Teams, Webex und Digital Samba
11. Häufige Fragen (FAQ)

Warum Finanzdienstleister maßgeschneiderte Videokonferenz brauchen

Der Wechsel von telefon-basierter zu video-basierter Beratung war strukturell und nachhaltig. Hybrides Arbeiten nach Corona hat einen ohnehin laufenden Übergang beschleunigt, und die Aufsichtsbehörden haben ihre Erwartungen angepasst.

Unter MiFID II zählen Videoanrufe als „elektronische Kommunikation" im Sinne der Aufzeichnungspflicht aus Artikel 16(7). ESMA ist hier konsistent: Die regulatorische Erwartung ist nicht auf Telefonate beschränkt. Jede Kommunikation über eine Plattform, die zur Erbringung von Wertpapierdienstleistungen oder zur Ausführung einer Transaktion führen könnte, fällt in den Anwendungsbereich, unabhängig vom Kanal.

Der Anwendungsbereich ist allerdings enger, als er auf den ersten Blick wirkt. Artikel 16(7) gilt speziell für Kommunikation in Bezug auf Kunden-Auftragsdienste (Annahme, Übermittlung und Ausführung von Kundenaufträgen) sowie für Eigenhandel. KYC- und AML-Identifikations-Calls fallen unter separate Regime. Interne Ausschuss-Sitzungen ohne Auftrags-Annahme oder -Ausführung fallen nicht in den Scope. Reine Anlageberatungs-Firmen können zusätzlich unter eine nationale Ausnahme nach Artikel 3 MiFID II fallen, die die vollständige Aufzeichnungspflicht durch eine zeitnahe Notiz-Pflicht ersetzen kann. Prüfe deinen konkreten Tätigkeitsumfang mit deinem Rechtsbeistand, bevor du entscheidest, welche Sitzungen unter die volle Artikel-16(7)-Regelung fallen.

Deutsche Umsetzung über § 83 WpHG. Die deutsche Umsetzung von MiFID II Artikel 16(7) findet sich in § 83 Absatz 3 des Wertpapierhandelsgesetzes (WpHG). BaFin hat zu dieser Regelung umfassende FAQs veröffentlicht, die seit Mai 2018 mehrfach aktualisiert wurden. Wichtig zu wissen:

• Aufzeichnungspflicht gilt für alle Telefongespräche und elektronische Kommunikation (inkl. Video-Calls und Online-Chats) im Zusammenhang mit Wertpapier-Geschäften für eigene Rechnung oder mit der Annahme, Übermittlung und Ausführung von Kundenaufträgen.
• Wenn ausschließlich Wertpapierdienstleistungen über einen Kommunikations-Kanal angeboten werden, muss die Aufzeichnung vom Beginn bis zum Ende des Gesprächs erfolgen. Die Aufzeichnung darf gestoppt werden, sobald die Erbringung der Wertpapierdienstleistung klar und endgültig abgeschlossen ist (sogenannte „Stop-Button"-Regel).
• Kundenexploration als Teil der Annahme, Übermittlung und Ausführung von Kundenaufträgen ist grundsätzlich aufzeichnungspflichtig.
• Aufbewahrungsdauer mindestens 5 Jahre nach § 83 Abs. 7 WpHG.

UK: FCA PS25/13 und SYSC 10A. Nach dem Brexit und mit der FCA-Policy-Statement PS25/13 vom Oktober 2025 ist die Aufzeichnungsregel im UK in einem eigenständigen Regime ins FCA-Handbook überführt worden. Wirksam seit 23. Oktober 2025, die überarbeitete Definition von „durable medium" gilt ab 12. Januar 2026. Substantielle Anforderungen sind ähnlich wie die EU, aber die Rechtsgrundlage ist jetzt FCA SYSC 10A, nicht mehr direkt die Richtlinie 2014/65/EU. Firmen mit grenzüberschreitendem UK/EU-Geschäft haben Doppel-Verpflichtungen.

Risiken bei Nicht-Konformität. MiFID-II-Bußgelder können bis zu 5 Millionen Euro oder 10 Prozent des Jahresumsatzes erreichen, je nachdem, was höher ist. Neben Geld-Strafen drohen Lizenz-Entzug, verschärfte Aufsicht und nicht quantifizierbarer Reputations-Schaden.

Die Herausforderung: Plattformen, die für allgemeine Enterprise-Zusammenarbeit gebaut wurden (wie Zoom, Microsoft Teams, Cisco Webex), erfüllen diese Anforderungen nicht out-of-the-box. Aufzeichnung ist typischerweise nutzer-initiiert oder von Terminplanung abhängig. Speicherung ist standardmäßig US-basiert. Unveränderbarkeit, Chain-of-Custody-Logging und API-gesteuerte Archiv-Integration fehlen oder verlangen erhebliche Zusatz-Tools.

MiFID II Aufzeichnungspflichten: was § 83 WpHG sagt

Artikel 16(7) der Richtlinie 2014/65/EU ist die EU-Kern-Vorschrift, in Deutschland umgesetzt durch § 83 WpHG. Investmentunternehmen müssen Telefongespräche und elektronische Kommunikation aufzeichnen, die mit auf eigene Rechnung abgeschlossenen Transaktionen zusammenhängen sowie mit Kunden-Auftragsdiensten (Annahme, Übermittlung, Ausführung von Aufträgen).

Artikel 16(7) Unterabsatz 2 erweitert die Pflicht über abgeschlossene Transaktionen hinaus. Hier missverstehen viele Firmen den Scope: wie ESMA in Q&A 2416 (Antwort veröffentlicht Juni 2025) bestätigt hat, müssen Kommunikationen, die zur Transaktion führen sollen, ebenfalls aufgezeichnet werden, selbst wenn am Ende keine Transaktion stattfindet. Der Scope erfasst jedes Gespräch, das zu einer Transaktion führen könnte – nicht nur solche, die es tun.

Was erfasst werden muss, geht über reinen Audio- oder Video-Stream hinaus:

• Audio- und Video-Streams kombiniert mit Bildschirmfreigaben
• Identitäten der Teilnehmer: Name, Rolle, Firmenzugehörigkeit
• Start- und Endzeitpunkte sowie Sitzungsdauer
• Sitzungs-Metadaten: Raum- oder Meeting-ID, Verbindungs-Methode, Beitritts-/Austritts-Ereignisse
• Während der Sitzung ausgetauschte Chat-Nachrichten

Aufbewahrungspflicht nach Artikel 16(6) MiFID II / § 83 Abs. 7 WpHG beträgt mindestens 5 Jahre, auf Anforderung der zuständigen Behörde verlängerbar auf 7 Jahre. BaFin kann diese Verlängerung verlangen; Firmen, die in Deutschland tätig sind, sollten standardmäßig mit 7 Jahren planen, statt die 5-Jahres-Frist als verlässliche Obergrenze zu behandeln.

Zugänglichkeit verlangt, dass Aufzeichnungen den Aufsichtsbehörden auf Anfrage zügig zur Verfügung gestellt werden und während des gesamten Aufbewahrungs-Zeitraums lesbar und nicht-degradiert bleiben. Durchsuchbarkeit nach Kundenname, Datum und Berater ist operative Erwartung, nicht Komfort-Funktion.

Firmen-kontrollierte Aufzeichnungs-Infrastruktur ist Pflicht. ESMAs Q&A-Leitlinie ist klar: Investmentunternehmen können sich nicht auf die Geräte der Teilnehmer für die Aufzeichnung verlassen. Die Firma muss die Aufzeichnungs-Infrastruktur kontrollieren. Wenn ein Kunde einem Video-Call vom eigenen Gerät beitritt und ihn lokal aufzeichnet, erfüllt diese Aufzeichnung nicht die Verpflichtungen der Firma nach Artikel 16(7) / § 83 WpHG. Die Plattform der Firma muss die Sitzung unabhängig erfassen und aufbewahren.

Der DACH-Rahmen: BaFin-MaComp und WpI-MaRisk

Wer in Deutschland Wertpapierdienstleistungen erbringt, hat über MiFID II hinaus zwei zentrale BaFin-Rundschreiben zu berücksichtigen: die MaComp und die WpI-MaRisk. Beide setzen detaillierte operative Anforderungen, die direkt beeinflussen, wie Video-Aufzeichnung implementiert werden muss.

MaComp – Mindestanforderungen an die Compliance-Funktion

Die MaComp ist BaFins Rundschreiben mit Mindestanforderungen an die Compliance-Funktion und weiteren Verhaltens-, Organisations- und Transparenz-Pflichten für Wertpapierdienstleistungsunternehmen (WpDLU). Erstmals 2010 veröffentlicht, mehrfach aktualisiert – die letzte größere Aktualisierung war am 28. Februar 2024, eine weitere Konsultation lief bis zum 17. Juni 2026.

Für Video-Aufzeichnung sind besonders Modul BT 2 (Compliance-Funktion) und Modul BT 6 (Aufzeichnungspflichten) relevant. MaComp konkretisiert, wie WpDLU ihre Aufzeichnungsprozesse aufzubauen haben:

• Risikobasierte Auswahl, welche Kommunikations-Kanäle aufzuzeichnen sind (Telefon, Video, Chat, E-Mail)
• Compliance-Funktion muss in die Plattform-Auswahl eingebunden sein
• Audit-Trails über die Compliance-Funktion einsehbar
• Regelmäßige Kontrollen, dass Aufzeichnungen vollständig sind

WpI-MaRisk – Mindestanforderungen an das Risikomanagement von Wertpapierinstituten

WpI-MaRisk ist der jüngere Bruder der MaRisk-Bankenfassung, speziell für Wertpapierinstitute. BaFin konsultiert seit 2025 eine zweite Fassung, die mehr prinzipien-basiert aufgesetzt ist und Eigenverantwortung der Institute stärkt. Für Video-Plattform-Auswahl heißt das: Du brauchst eine eigene dokumentierte Risiko-Einschätzung, warum die gewählte Plattform den Anforderungen genügt, statt dich auf Vendor-Marketing zu verlassen.

Was DACH-Aufsicht praktisch erwartet

Aus den BaFin-FAQs zu §§ 63 ff. WpHG und der MaComp ergeben sich einige Praxis-Erwartungen, die in EN-MiFID-II-Artikeln oft fehlen:

• „Stop-Button"-Regel: Aufzeichnung kann gestoppt werden, sobald die Wertpapierdienstleistung klar und endgültig abgeschlossen ist. Aber: Wer den Stop-Button nutzt, sollte das Stop-Ereignis selbst protokollieren.
• Kunden-Widerspruch: Wenn ein Kunde der Aufzeichnung widerspricht, ist eine telefonische oder Video-basierte Order-Aufnahme nicht möglich. Der Kunde muss schriftlich oder vor Ort ordern.
• Aufbewahrung auf Anfrage: § 83 Abs. 7 WpHG verlangt, dass dem Kunden die Aufzeichnung auf Anfrage zur Verfügung gestellt wird. Eine schriftliche Zusammenfassung erfüllt diese Pflicht nicht.

Österreich und Schweiz

In Österreich gilt das Wertpapieraufsichtsgesetz (WAG 2018), umgesetzt durch die Finanzmarktaufsicht (FMA). Die Aufzeichnungspflichten entsprechen MiFID II.

In der Schweiz – nicht in der EU, aber durch das Finanzinstitutsgesetz (FINIG) und das Finanzdienstleistungsgesetz (FIDLEG) eng angelehnt – führen die FINMA und das FIDLEG vergleichbare Anforderungen. Wer als deutsche oder österreichische Firma Schweizer Kunden betreut, sollte CH-spezifische Datenschutz-Aspekte (revidiertes Bundesdatenschutzgesetz, in Kraft seit September 2023) mit MiFID-II-Pflichten harmonisieren.

DSGVO-Schnittstelle: beide Pflichten erfüllen

Die häufigste Frage, die sich Compliance-Verantwortliche bei der Implementierung von Video-Aufzeichnungs-Workflows stellen: Wie versöhne ich MiFID IIs Aufzeichnungs-Pflicht mit DSGVO-Prinzipien wie Einwilligung und Datenminimierung?

Die Antwort ist einfacher als auf den ersten Blick.

Rechtsgrundlage für die Aufzeichnung. Art. 6 Abs. 1 lit. c DSGVO liefert eine Rechtsgrundlage für die Verarbeitung, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. MiFID II Artikel 16(7) / § 83 WpHG ist genau eine solche rechtliche Verpflichtung. Eine ausdrückliche Einwilligung der Teilnehmenden ist nicht erforderlich und sollte auch nicht herangezogen werden, weil Einwilligung widerrufen werden kann. Die rechtliche Verpflichtungs-Grundlage ist die korrekte und passende für regulatorische Aufzeichnung.

Transparenz bleibt Pflicht. Art. 13 und 14 DSGVO verlangen, dass Betroffene über die Verarbeitung ihrer personenbezogenen Daten informiert werden. Für Video-Aufzeichnungen heißt das: Teilnehmende müssen zu Beginn der Sitzung darüber informiert werden, dass das Gespräch aufgezeichnet wird und zu welchem Zweck. Standard ist eine automatisierte Ansage zu Sitzungs-Beginn: „Dieses Gespräch wird zu Zwecken der regulatorischen Compliance gemäß § 83 WpHG aufgezeichnet." Das erfüllt die DSGVO-Transparenz-Pflicht, ohne aktive Einwilligung zu verlangen.

Betroffenenrechte im Aufbewahrungs-Zeitraum. Kunden können ihr Auskunfts-Recht nach Art. 15 DSGVO geltend machen und eine Kopie ihrer Aufzeichnung verlangen. Das Lösch-Recht nach Art. 17 DSGVO überlagert aber nicht die MiFID-II-Aufbewahrungs-Pflicht. Wenn eine rechtliche Verpflichtung die Aufbewahrung verlangt, ist der Verantwortliche nicht verpflichtet, einer Lösch-Anfrage zu folgen. Art. 17 Abs. 3 lit. b DSGVO macht das explizit. Die Aufzeichnung muss für die volle regulatorische Frist aufbewahrt werden.

Aufbewahrungs-Konflikt zugunsten MiFID II gelöst. Das DSGVO-Speicherbegrenzungs-Prinzip verlangt, dass personenbezogene Daten nicht länger als notwendig aufbewahrt werden. MiFID IIs 5-bis-7-Jahres-Aufbewahrungs-Frist ist die konkrete rechtliche Verpflichtung, die „notwendig" in diesem Kontext definiert. MiFID II wirkt als lex specialis, die spezifischere Regel hat Vorrang. Firmen sollten Aufzeichnungen nicht löschen, um DSGVO zu erfüllen, wenn MiFID II die Aufbewahrung verlangt.

Grenzüberschreitende Erwägungen. Wenn ein Kunde in einem anderen EU-Mitgliedstaat sitzt als der Berater, gelten die Daten-Residenz-Anforderungen beider Jurisdiktionen. Aufzeichnungen müssen in EU-Infrastruktur gespeichert werden, und wo nationales Recht zusätzliche Anforderungen stellt (z. B. deutsche Daten-Lokalisierungs-Anforderungen für bestimmte regulierte Tätigkeiten), müssen diese ebenfalls eingehalten werden.

Verschlüsselung, Integrität und Audit-Trail

Regulatorische Compliance für Video-Aufzeichnungen heißt nicht nur, das Gespräch zu erfassen. Es heißt auch, es gegen Manipulation zu schützen, Zugriff zu kontrollieren und eine vollständige Chain-of-Custody von der Erstellung bis zur Löschung zu erhalten.

Verschlüsselungs-Anforderungen. Aufzeichnungen müssen gegen unbefugten Zugriff (Vertraulichkeit) und gegen Veränderung (Integrität) geschützt sein. Die regulatorische Grundlage für Verschlüsselung at rest ist Art. 32 DSGVO, der angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten verlangt. AES-256-Verschlüsselung für gespeicherte Aufzeichnungen und Backup-Daten ist der aktuelle Industrie-Standard für die Erfüllung dieser Anforderung. Artikel 76 der Delegierten Verordnung (EU) 2017/565 setzt den Rahmen für Aufzeichnungs-Policy und Qualität, inklusive Manipulations-sicherer Speicher-Anforderungen, aber der konkrete Verschlüsselungs-Standard leitet sich aus Art. 32 DSGVO ab.

Integritäts-Verifikation. Ein kryptografischer Hash, erzeugt am Punkt der Aufzeichnung, liefert einen Manipulations-evidenten Mechanismus: Wird die Aufzeichnungs-Datei später verändert, passt der Hash nicht mehr. Einige Aufsichtsbehörden interpretieren die „nicht-degradiert"-Anforderung als Implizierung von Append-only- oder WORM-konformem (Write Once Read Many) Speicher, der sowohl Überschreiben als auch Löschen vor Ablauf der Aufbewahrungs-Frist verhindert.

Audit-Trail-Anforderungen. Jeder Zugriff auf eine Aufzeichnung muss protokolliert werden: wer hat zugegriffen, wann, von welchem System aus, und zu welchem erklärten Zweck. Diese Chain-of-Custody dient als Beweis-Aufzeichnung der ordnungsgemäßen Handhabung über den gesamten Aufbewahrungs-Lebenszyklus. Das Audit-Log selbst muss getrennt von den Aufzeichnungen gespeichert und gegen Veränderung geschützt sein.

Chain-of-Custody von Erstellung bis Löschung. Compliance endet nicht beim Erfassungs-Punkt. Firmen müssen eine kontinuierliche, kontrollierte Verwahrung jeder Aufzeichnung nachweisen können – vom Moment der Erstellung bis zur sicheren Löschung nach der Aufbewahrungs-Frist. Die Löschung nach Ablauf der Frist muss selbst dokumentiert werden: Lösch-Zeitstempel, Bestätigung der sicheren Zerstörung des Inhalts und eine erhaltene Metadaten-Aufzeichnung, die Erstellungs- und Lösch-Datum bestätigt.

Datenaufbewahrungs-Politik für Finanz-Video-Aufzeichnungen

• Die 5-Jahres-Basis. Artikel 16(6) MiFID II / § 83 Abs. 7 WpHG setzt eine Mindest-Aufbewahrungs-Frist von 5 Jahren ab Aufzeichnungs-Datum. Die Aufbewahrungs-Uhr startet am Tag der Aufzeichnung, nicht am Tag der Transaktion oder der Auftrags-Ausführung.
• Planung für 7 Jahre. Zuständige Behörden können auf Anfrage die Aufbewahrungs-Frist auf 7 Jahre verlängern. BaFin und andere nationale Behörden haben diese Option ausgeübt. Jede Firma unter aktiver Untersuchung oder Aufsichts-Prüfung kann mit einer solchen Verlängerung rechnen. Die sichere Annahme: Plane standardmäßig für 7-Jahres-Aufbewahrung.
• Backup und Redundanz. Backup-Kopien von Aufzeichnungen müssen geografisch von der Primär-Speicherung getrennt sein, mit denselben Standards wie die Primär-Speicherung verschlüsselt und regelmäßig auf Wiederherstellbarkeit getestet werden. Ein Backup, das sich nicht erfolgreich wiederherstellen lässt, ist kein compliantes Backup.
• Sichere Löschung. Nach Ablauf der anwendbaren Aufbewahrungs-Frist müssen Aufzeichnungen sicher gelöscht werden – die Daten müssen so überschrieben werden, dass Wiederherstellung unmöglich ist. Das Lösch-Ereignis muss protokolliert werden, inklusive Datum, Aufzeichnungs-ID und Bestätigung, dass die Zerstörung abgeschlossen wurde. Metadaten-Aufzeichnungen (Datum, Teilnehmer, Dauer, Lösch-Zeitstempel) sollten nach Inhalts-Löschung erhalten bleiben, als Nachweis konformer Handhabung über den Lebenszyklus.

Bewertungs-Checkliste: Plattform-Auswahl für Finanz-Compliance

Diese Checkliste als Ausgangsrahmen für die Plattform-Bewertung gegen MiFID II / § 83 WpHG-Compliance 2026. Sie ist nicht erschöpfend; dein Rechts-Team sollte eine vollständige Gap-Analyse gegen anwendbare nationale Anforderungen durchführen.

Aufzeichnungs-Infrastruktur

• Serverseitige, automatische Aufzeichnung, nicht nutzer-initiiert oder von Teilnehmer-Aktionen abhängig
• Konfigurierbare Durchsetzung pro Raum-Typ, sodass Compliance-Verantwortliche Aufzeichnung für alle kundenseitigen Räume vorschreiben können
• Output umfasst kombinierten Audio-, Video- und Bildschirmfreigabe-Stream in einem durable, nicht-proprietären Format (MP4)

Verschlüsselung und Integrität

• AES-256-Verschlüsselung at rest für alle Aufzeichnungen und Backups
• TLS 1.3 / DTLS-SRTP für Medien-Streams in transit
• Manipulations-evidenter Speicher (kryptografischer Hash oder WORM-konform)

Zugriffs-Kontrolle und Audit-Trail

• Rollenbasierte Zugriffs-Kontrolle (RBAC) für Wiedergabe, Download und Löschung von Aufzeichnungen
• Unveränderbare Zugriffs-Logs: wer hat wann von welchem System aus auf welche Aufzeichnung zugegriffen
• Logs getrennt von der Produktiv-Speicherung

Aufbewahrung und Löschung

• Konfigurierbare Aufbewahrungs-Fristen (Minimum 5 Jahre, bis zu 7)
• Sichere Löschung mit dokumentierter Zerstörungs-Nachweis
• Metadaten-Aufbewahrung nach Inhalts-Löschung

EU-Daten-Residenz

• Alle Aufzeichnungen in EU-Infrastruktur gespeichert
• Keine Daten-Übertragung in Drittland-Infrastruktur ohne adäquate Garantien
• Sub-Auftragsverarbeiter identifiziert, mit bestätigten EU-Standorten im AVV

DACH-spezifische Pflichten

• MaComp-konforme Compliance-Funktion in den Aufzeichnungs-Prozess eingebunden
• WpI-MaRisk-konforme Risiko-Dokumentation für die Plattform-Wahl
• BSI-C5-Testat des Anbieters (für KRITIS-Betreiber Pflicht)
• Stop-Button-Regel sauber implementierbar, mit Protokollierung des Stop-Ereignisses
• Aufzeichnung dem Kunden auf Anfrage nach § 83 Abs. 7 WpHG zur Verfügung stellbar

Archiv-Integration

• REST-API oder Webhook-basierter Export zu Compliance-Archiv-Systemen (NICE, Verint, Global Relay, ASC Technologies, Theta Lake)
• Sitzungs-Metadaten zusammen mit Aufzeichnungs-Inhalt für durchsuchbares Archiv zugänglich

AVV und Compliance-Dokumentation

• DSGVO-Art.-28-konformer AVV verfügbar
• Security Whitepaper oder gleichwertige Architektur-Dokumentation für regulatorische Prüfung verfügbar

Wie Digital Samba die Finanz-Compliance-Anforderungen erfüllt

Wir haben unsere Plattform von Anfang an für Enterprise-Compliance gebaut. Jede Anforderung der Checkliste oben kann auf ein konkretes, dokumentiertes Feature abgebildet werden. Beachte: die Dokumentation der Plattform ersetzt nicht die eigene rechtliche und technische Bewertung, bevor du eine Lösung als compliant für deine spezifischen Pflichten behandelst.

• Aufzeichnungs-Infrastruktur. Die Recordings-API ermöglicht serverseitige Erfassung, die automatisch, policy-getrieben und nicht von Teilnehmer-Aktion abhängig ist. Compliance-Verantwortliche können automatische Aufzeichnung auf Raum-Ebene konfigurieren – jede kundenseitige Sitzung wird erfasst, ohne dass Hosts die Aufzeichnung manuell starten müssen. Output ist eine kombinierte MP4-Datei (Audio, Video, Bildschirmfreigabe), zugänglich über REST-API oder Dashboard.
• Verschlüsselung at rest. AES-256-Verschlüsselung für alle gespeicherten Aufzeichnungen und Backup-Daten, erfüllt Art. 32 DSGVO. Schlüssel-Management folgt einer definierten Kryptografie-Policy.
• Verschlüsselung in transit. TLS 1.3 für allen Web-Traffic (TLS 1.2 Minimum), DTLS-SRTP für Medien-Streams. HSTS auf allen Web-Services aktiviert.
• Zugriffs-Kontrolle. RBAC mit Host-, Moderator- und Teilnehmer-Rollen, serverseitig durchgesetzt, sodass Clients ihre eigenen Berechtigungen nicht eskalieren können. Scoped API-Keys beschränken Integrations-Zugriff auf spezifische Operationen. Token-Authentifizierung pro Sitzung stellt sicher, dass nur vorautorisierte Teilnehmer beitreten können.
• Audit-Logging. Die Plattform protokolliert Authentifizierungs-Ereignisse, API-Zugriffe, administrative Aktionen und Sicherheits-Ereignisse. Audit-Logs werden getrennt von Produktiv-Systemen gespeichert.
• EU-Daten-Residenz. Produktiv-Infrastruktur in den Niederlanden und über mehrere EU-Länder via Scaleway gehostet; Backup-Infrastruktur in Deutschland. Keine Anwendungs- oder Session-Daten außerhalb der EU. Sub-Auftragsverarbeiter umfassen Leaseweb NL, Leaseweb DE, Scaleway und Exoscale; die vollständige Sub-Auftragsverarbeiter-Liste ist im AVV auf Anfrage verfügbar.
• Backup und Wiederherstellung. Tägliche Backups mit 90-Tage-rollender Aufbewahrung, AES-256-verschlüsselt, geografisch von den Niederlanden nach Deutschland getrennt. Quartalsweise Wiederherstellungs-Tests bestätigen die Wiederherstellbarkeit.
• Archiv-Integration. Die REST-API bietet programmatischen Zugriff auf Aufzeichnungen, Sitzungs-Metadaten und Teilnehmer-Daten. Firmen können in eigene Archiv- oder Surveillance-Systeme exportieren, terminiert oder ereignisgesteuert via Webhooks.
• On-Premises-Deployment. Für Firmen mit voller Infrastruktur-Kontrolle (z. B. Privatbanken mit strenger Daten-Souveränitäts-Anforderung) bieten wir ein On-Premises-Deployment an. Der Kunde betreibt alle Plattform-Komponenten auf eigener Infrastruktur, verwaltet eigene Verschlüsselungs-Schlüssel und kontrolliert die Daten-Aufbewahrung unabhängig.
• E2EE für interne Sitzungen. Für Vorstands-Calls, interne Strategie-Diskussionen oder jede Sitzung, in der regulatorische Aufzeichnung nicht erforderlich ist, liefert Ende-zu-Ende-Verschlüsselung maximale Vertraulichkeit. E2EE deaktiviert serverseitige Aufzeichnung by design – das ist die korrekte architektonische Wahl. Compliance-Verantwortliche können pro Raum konfigurieren: E2EE an für interne Calls, E2EE aus mit automatischer Aufzeichnung an für Kunden-Beratungs-Sitzungen.
• AVV. Auf Anfrage verfügbar, deckt Video-Aufzeichnung als Verarbeitungs-Aktivität ab. DSGVO-Art.-28-konform mit allen Infrastruktur-Anbietern. Anfrage über security@digitalsamba.com.

Integration mit der Compliance-Infrastruktur

Eine Sitzung aufzuzeichnen, ist nur der erste Schritt. Damit eine Video-Plattform in den bestehenden Compliance-Stack einer Firma passt, muss sie ohne manuelle Intervention mit Archiv-, Surveillance- und eDiscovery-Systemen verbinden.

Unsere REST-API und Webhook-Events liefern diese Integrations-Schicht. Drei zentrale Webhook-Events steuern Compliance-Workflows: session.started, session.ended und recording.available. Ein typisches MiFID-II-konformes Archiv-Muster läuft so:

1. Das recording.available-Webhook löst automatisch aus, wenn eine Sitzung endet.
2. Die Integrations-Schicht der Firma lädt die Aufzeichnung über die REST-API herunter.
3. Die Datei wird ins Archiv-System (NICE, Verint, Global Relay, ASC Technologies, Theta Lake oder vergleichbar) eingespielt.
4. Das Archiv-System bestätigt die erfolgreiche Aufnahme.
5. Die Aufzeichnung wird optional aus Digital Sambas Speicher entfernt, das Archiv-System hält jetzt die Aufzeichnungs-Kopie.

Sitzungs-Metadaten (Sitzungs-IDs, Teilnehmer-Listen, Zeitstempel, Raum-Konfiguration) lassen sich mit CRM-Daten kombinieren, um ein durchsuchbares Compliance-Archiv zu schaffen, das die MiFID-II-Zugänglichkeits-Anforderung erfüllt: Aufzeichnungen abrufbar nach Kundenname, Datum und Berater. Für Firmen mit bestehenden Surveillance-Plattformen heißt das: Video-Aufzeichnungen liegen neben Telefon- und Chat-Aufzeichnungen in einer einheitlichen Compliance-Oberfläche – genau das Modell, das Aufsichtsbehörden erwarten.

Im DACH-Markt sind ASC Technologies (Hösbach, Deutschland) und Theta Lake besonders verbreitete Archiv-Lösungen. Beide haben dedizierte Integrationen für Microsoft Teams, Zoom und Webex und können auch Digital-Samba-Aufzeichnungen via standard REST-API aufnehmen.

Plattform-Vergleich: Zoom, Teams, Webex und Digital Samba

Standard-Enterprise-Plattformen haben gemeinsame Limitierungen, die für MiFID-II-Compliance relevant sind. Die Tabelle unten ordnet jede Plattform den Anforderungen zu, die für Finanz-Aufzeichnungs-Pflichten am wichtigsten sind.

Zertifizierte Compliance-Recorder wie ASC Technologies (Deutschland), Theta Lake, NICE, Verint und Global Relay sind der etablierte Industrie-Ansatz, jede Videokonferenz-Plattform um vollständige MiFID-II-Manipulations-Evidenz und Audit-grade-Aufbewahrung zu erweitern. Sie werden von vielen der größten regulierten Firmen in Europa eingesetzt und sind ESMA-anerkannt. Die relevanten Fragen in jeder Beschaffungs-Entscheidung sind All-in-Kosten, Integrations-Aufwand und wie sauber die nativen Fähigkeiten der Plattform (Residenz, Aufzeichnungs-Kontrolle, API-Zugang) mit dem gewählten Archiv zusammenpassen. Bewerte alle Plattformen gegen deine regulatorischen Anforderungen und mit Begleitung qualifizierten Rechtsbeistands.

Häufige Fragen (FAQ)

Gilt MiFID II Artikel 16(7) auch für Video-Calls und nicht nur für Telefon?

Ja. ESMA hat bestätigt, dass „elektronische Kommunikation" im Sinne von Artikel 16(7) auch Video-Calls und Bildschirmfreigaben umfasst. § 83 Abs. 3 WpHG, die deutsche Umsetzung, ist explizit weiter formuliert und schließt Video- und Chat-Kommunikation ein. Wer Kunden-Auftrags-Dienste oder Eigenhandel über Video bespricht, muss die Sitzung aufzeichnen.

Wie lange müssen Video-Aufzeichnungen in Deutschland aufbewahrt werden?

§ 83 Abs. 7 WpHG verlangt mindestens 5 Jahre. BaFin kann auf Anfrage eine Verlängerung auf 7 Jahre verlangen. Für die Planung in Deutschland ist 7 Jahre die sicherere Standard-Annahme.

Was ist die „Stop-Button"-Regel der BaFin?

Wenn ein Kommunikations-Kanal ausschließlich für Wertpapierdienstleistungen genutzt wird, beginnt die Aufzeichnung mit Sitzungs-Start. Sie darf gestoppt werden, sobald die Erbringung der Wertpapierdienstleistung klar und endgültig abgeschlossen ist. Der Stop-Moment sollte technisch protokolliert werden, damit später nachvollziehbar ist, warum die Aufzeichnung endete.

Reicht eine schriftliche Zusammenfassung statt der vollständigen Aufzeichnung?

Nein. § 83 Abs. 7 WpHG verlangt, dass dem Kunden die Aufzeichnung selbst zur Verfügung gestellt wird. Eine schriftliche Zusammenfassung erfüllt diese Pflicht nicht. Das wurde in den BaFin-FAQs zu MiFID II klargestellt.

Was passiert, wenn ein Kunde der Aufzeichnung widerspricht?

Wenn ein Kunde der Aufzeichnung von Telefonen oder elektronischer Kommunikation, die für die Auftrags-Erteilung relevant ist, widerspricht, ist eine telefonische oder Video-basierte Order-Aufnahme nicht möglich. Der Kunde muss schriftlich oder vor Ort ordern. Das ergibt sich aus der Kombination MiFID II / § 83 WpHG mit DSGVO-Art. 6 lit. c (rechtliche Verpflichtung als Grundlage).

Wie verhält sich MaComp zur Plattform-Auswahl?

Die MaComp verlangt, dass die Compliance-Funktion in die Plattform-Auswahl eingebunden ist, dass Audit-Trails für die Compliance einsehbar sind, und dass regelmäßige Kontrollen die Vollständigkeit der Aufzeichnungen prüfen. Faktisch heißt das: Compliance ist kein nachgelagerter Audit, sondern Teil der initialen Vendor-Auswahl.

Ist Cloud-Hosting für Video-Aufzeichnungen DSGVO- und § 83-konform?

Ja, sofern die Cloud-Infrastruktur in der EU steht und die Verarbeitung nicht US-rechtlichen Zugriffsregimen wie dem CLOUD Act ausgesetzt ist. Microsoft Teams und Zoom auf US-Cloud-Backend erfüllen diese Anforderung nur eingeschränkt; EU-Hosting auf Anbietern wie OVH, Scaleway, Hetzner oder STACKIT ist sauberer. Für KRITIS-Banken kommt zusätzlich BSI-C5-Testat hinzu.

Was compliante Video-Infrastruktur 2026 ausmacht

MiFID IIs Aufzeichnungs-Pflichten haben sich immer auch auf Video-Calls erstreckt. Was sich geändert hat, ist das Volumen video-basierter Beratungs-Aktivität, das jetzt in den Anwendungsbereich fällt, und die Intensität regulatorischer Durchsetzung gegen Firmen, die Video nicht als regulierten Kommunikations-Kanal behandeln.

Eine Consumer-Grade-Video-Plattform mit optionaler Aufzeichnung ist keine compliante Infrastruktur. Was MiFID-II- und WpHG-Compliance 2026 wirklich verlangt, ist: serverseitige automatische Aufzeichnung, Verschlüsselung mit Integritäts-Verifikation, EU-Daten-Residenz, rollenbasierte Zugriffs-Kontrolle, vollständiges Audit-Logging und API-gesteuerte Archiv-Integration in den bestehenden Compliance-Stack. Genau dafür haben wir Digital Samba gebaut.

• Demo anfragen, um Aufzeichnung, Verschlüsselung und Compliance-Features in Aktion zu sehen.
• Security Whitepaper herunterladen für die vollständigen technischen Architektur-Details, inklusive Verschlüsselungs-Spezifikationen, Zugriffs-Kontrolle und Sub-Auftragsverarbeiter-Dokumentation.
• Mehr zu unseren Compliance-Features findest du in der Embedded-Plattform-Übersicht.