Partnerstaaten außerhalb der EU: wen ein deutscher Krypto-Anbieter nach dem KStTG melden muss

Die erste Frage, die bei jeder DAC8-Vorbereitung auftaucht, lautet nicht "welches Format", sondern "wen eigentlich". Für Kunden mit Wohnsitz in der EU ist die Antwort einfach. Für den Kunden in Zürich, London oder Singapur ist sie es nicht, und wer die Antwort in einer Liste des Bundesfinanzministeriums sucht, sucht nach etwas, das es im Oktober 2026 nicht gibt.

Was das Gesetz sagt

Das Kryptowerte-Steuertransparenzgesetz (KStTG) definiert in § 1 Absatz 21, wer eine zu meldende Person ist:

"Zu meldende Person im Sinne dieses Gesetzes ist, wer in einem Mitgliedstaat der Europäischen Union oder in einem Drittstaat, mit dem eine qualifizierende Vereinbarung besteht, steuerlich ansässig und keine ausgenommene Person ist."

Der erste Teil ist klar: Ansässigkeit in einem EU-Mitgliedstaat genügt, der eigene Staat des Anbieters eingeschlossen. Der zweite Teil hängt an einem Begriff, den § 1 Absatz 13 definiert. Eine qualifizierende Vereinbarung ist eine Vereinbarung zwischen den zuständigen Behörden eines EU-Mitgliedstaats und eines Drittstaats über den automatischen Informationsaustausch, und zwar erst dann, wenn die Europäische Kommission festgestellt hat, dass die auszutauschenden Informationen den nach § 11 zu meldenden gleichwertig sind.

Zwei Dinge müssen also für einen Drittstaat vorliegen, bevor ein dort ansässiger Kunde meldepflichtig ist: ein Austauschabkommen mit Deutschland, das in Kraft ist, und die Gleichwertigkeitsfeststellung der Kommission. Keines von beiden ergibt sich aus einer Unterschrift unter das OECD-Abkommen allein.

Der gleiche Mechanismus wirkt auch in die andere Richtung. Nach § 9 Absatz 1 entfällt die Meldepflicht eines Kryptowerte-Betreibers für einen Nutzer, wenn er dessen Daten in einem Drittstaat meldet, der mit dem Ansässigkeitsstaat des Nutzers eine qualifizierende Vereinbarung hat. Und § 1 Absatz 14 nennt einen qualifizierten Drittstaat: ein Staat, der eine solche Vereinbarung mit allen EU-Mitgliedstaaten hat und die Mitgliedstaaten in einer veröffentlichten Liste als meldepflichtig führt. Auch dort steht das Wort Liste, aber als Pflicht des Drittstaats, nicht als Liste, die Deutschland bereitstellt.

Was es noch nicht gibt

Die Verfahrensseite des BZSt zu DAC8 nennt keine Staatenliste. Sie sagt, dass die Daten bis zum 31. Juli des Folgejahres an das BZSt zu übermitteln sind und dass das BZSt sie bis zum 30. September an das EU-Zentralverzeichnis und die CARF-Partnerstaaten weiterleitet. Welche Staaten das sind, steht dort nicht. Ein BMF-Schreiben mit einer Liste qualifizierter Drittstaaten haben wir nicht gefunden, eine Durchführungsentscheidung der Kommission zur Gleichwertigkeit ebenfalls nicht. Stand dieser Prüfung: 21. Oktober 2026.

Das ist keine Lücke, die jemand übersehen hat. Die Vereinbarungen entstehen gerade erst.

Was es gibt: der Weg zur Liste

Die OECD führt zwei Dokumente, die zusammen zeigen, welche Staaten auf dem Weg sind.

Die Unterzeichner des CARF-MCAA. Das ist die mehrseitige Vereinbarung der zuständigen Behörden, auf der der Austausch beruht. Die OECD-Liste mit Stand 3. März 2026 führt 56 Staaten und Gebiete mit Unterschriftsdatum. Deutschland hat am 26. November 2024 unterzeichnet, im selben Zug wie Frankreich, die Niederlande, Großbritannien, die Schweiz, Singapur, Japan und Südkorea. Später kamen unter anderem die Vereinigten Arabischen Emirate (21. Juli 2025), Chile (21. Oktober 2025), Panama (2. Dezember 2025) und Mauritius (12. Dezember 2025) hinzu. Nicht auf der Liste: die Vereinigten Staaten, Australien, Hongkong.

Die Zusagen zum Erstaustausch. Das Global Forum der OECD führt gesondert, welche Staaten sich politisch verpflichtet haben, CARF rechtzeitig für einen bestimmten Austauschjahrgang umzusetzen. Mit Stand 14. September 2026 sind das 46 Staaten für 2027 (darunter alle EU-Mitgliedstaaten außer Zypern, dazu Großbritannien, Norwegen, Island, Liechtenstein, Japan, Südkorea, Brasilien, Südafrika, Indonesien, Kasachstan und Uganda; die Schweiz ist nicht darunter), 27 Staaten für 2028 (darunter die Schweiz, Singapur, Hongkong, die Vereinigten Arabischen Emirate, Australien, Kanada, Israel, die Türkei, Zypern) und 4 Staaten für 2029 (Argentinien, Aserbaidschan, Mexiko, die Vereinigten Staaten). Vier weitere stuft das Global Forum als relevant ein, ohne dass sie sich bisher verpflichtet haben: El Salvador, Georgien, Indien, Vietnam.

Zwei Beobachtungen dazu. Erstens sind Unterschrift und Zusage nicht dasselbe: Australien und Hongkong haben zugesagt, aber nicht unterzeichnet; Barbados oder die Bahamas haben unterzeichnet und für 2028 zugesagt. Zweitens sagt das Austauschjahr etwas über den Berichtszeitraum: Wer für 2027 zugesagt hat, will Daten über das Jahr 2026 austauschen, also genau den Zeitraum, für den deutsche Anbieter bis zum 31. Juli 2027 melden.

Und Deutschland selbst?

Dass Deutschland unterzeichnet hat, reicht für die Wirkung im Inland nicht. Die mehrseitige Vereinbarung braucht ein Vertragsgesetz nach Artikel 59 Absatz 2 Satz 1 des Grundgesetzes. Die Bundesregierung hat den Entwurf am 29. Mai 2026 in den Bundesrat eingebracht (Drucksache 336/26); der Bundestag führt ihn als Drucksache 21/7195. Der Finanzausschuss hat am 7. Oktober 2026 empfohlen, den Entwurf unverändert anzunehmen (Drucksache 21/8425). Dass das Plenum ihn am 8. Oktober 2026 angenommen hat, berichten mehrere Fachseiten; das Plenarprotokoll und eine Verkündung im Bundesgesetzblatt haben wir bis zum 21. Oktober nicht gefunden. Wir schreiben das so hin, weil ein Artikel, der aus einer Pressemeldung ein Gesetz macht, genau der Fehler wäre, den dieses Thema nicht verträgt.

Was ein Anbieter bis dahin tut

Die Sorgfaltspflichten hängen nicht an der Liste. Die Selbstauskunft ist von jedem Kryptowerte-Nutzer einzuholen, mit allen steuerlichen Ansässigkeiten und den zugehörigen Steuernummern, und für Bestandskunden muss sie bis zum 1. Januar 2027 vorliegen. Ein Anbieter, der heute nur EU-Ansässigkeiten erfasst, weil nur die "sicher" meldepflichtig sind, hat am Tag der Liste ein Problem, das sich rückwirkend nicht lösen lässt.

Was sich festlegen lässt, ist der Umgang mit Drittstaaten in der Zwischenzeit, und zwar dokumentiert:

1. Jede Ansässigkeit wird erfasst, auch außerhalb der EU.
2. Für jeden Drittstaat, der bei den eigenen Kunden vorkommt, wird festgehalten, was belegt ist: Unterschrift unter das CARF-MCAA mit Datum, zugesagtes Austauschjahr, oder keines von beidem.
3. Ob ein Drittstaat in die Meldung aufgenommen wird, ist eine Entscheidung des Anbieters, die mit ihrer Quelle festgehalten wird: einer Mitteilung des BZSt, einem BMF-Schreiben, einer Auskunft der Kanzlei. Nicht die Software entscheidet das, und nicht eine Vermutung.
4. Erscheint eine amtliche Liste, ersetzt sie die eigenen Entscheidungen, und die Differenz wird sichtbar.

So ist es in Stablewerk gebaut. Die Seite "Partnerstaaten außerhalb der EU" zeigt jede Ansässigkeit, die Ihre Nutzer erklärt haben, mit dem Stand der Belege, und daneben alle Staaten und Gebiete außerhalb der EU, die unterzeichnet oder zugesagt haben (54, Stand 21.10.2026). Der Inhaber des Mandanten trifft die Entscheidung je Staat und hinterlegt die Quelle; die Entscheidung ist mit Name und Zeitpunkt protokolliert und lässt sich aufheben. Die Meldungsvorbereitung folgt ihr: Ein Kunde in der Schweiz erscheint in der Meldung erst, wenn die Schweiz bestätigt ist, und in der Liste der nicht gemeldeten Nutzer steht bis dahin der Grund.

Häufige Fragen

Muss ich Kunden in der Schweiz für 2026 melden? Nach dem Wortlaut des KStTG nur, wenn bis zur Abgabe eine qualifizierende Vereinbarung mit der Schweiz besteht. Die Schweiz hat am 26. November 2024 unterzeichnet und den Erstaustausch für 2028 zugesagt, also für Daten des Jahres 2027. Ob und wann die Kommission die Gleichwertigkeit feststellt, ist offen. Die Selbstauskunft des Kunden brauchen Sie in jedem Fall.

Und Kunden in Großbritannien? Großbritannien hat unterzeichnet und den Erstaustausch für 2027 zugesagt. Dieselbe Bedingung gilt: Die Zusage ist der Weg zur Vereinbarung, nicht die Vereinbarung selbst.

Reicht es, die OECD-Liste als Meldeliste zu nehmen? Nein. Die Unterzeichnerliste enthält Staaten, die erst 2028 oder 2029 austauschen wollen, und das Gesetz knüpft an die qualifizierende Vereinbarung an, nicht an die Unterschrift. Wer die OECD-Liste vorsorglich komplett meldet, meldet Daten über Personen, für die das Gesetz keine Meldung vorsieht; das ist eine Datenschutzfrage, keine Vorsichtsmaßnahme.

Wo erfahre ich, wenn die Liste kommt? Auf der Verfahrensseite des BZSt und in den BMF-Schreiben zum KStTG. Wir prüfen beides laufend und aktualisieren diesen Artikel mit Datum.