Papaya und Black­cat­card stärken ihre Compli­ance Prozesse

Papaya Ltd und Black­cat­card: Wenn Erklä­rungen zur Compli­ance mehr Fragen aufwerfen als sie beant­worten!

Papaya Ltd präsen­tiert sich als streng regu­liertes E‑Geld-Institut, das in einem komplexen Zahlungs­um­feld tätig ist, zu dem iGaming-Betreiber, Krypto-On-Ramps und Nicht-Karten-Zahlungs­sys­teme gehören. Auf dem Papier betont das Unter­nehmen eine robuste Unter­neh­mens­füh­rung, mehr­stu­fige Compli­ance-Kontrollen und eine strenge Aufsicht auf Vorstands­ebene.

Als das Unter­nehmen jedoch kürz­lich offi­ziell auf detail­lierte Fragen von Malta Media antwor­tete, wurden die Antworten selbst Teil der Geschichte.

Dieser Artikel unter­stellt kein Fehl­ver­halten. Er legt dar, was Papaya erklärt hat, unter­sucht, ob diese Erklä­rungen intern kohä­rent sind, und über­legt, warum Regu­lie­rungs­be­hörden, Gegen­par­teien und Verbrau­cher vernünf­ti­ger­weise weitere Fragen stellen könnten.

Warum wurde dieser Artikel nicht leicht­fertig geschrieben?

Bevor wir uns mit dem Inhalt befassen, ist der Kontext wichtig. Papaya Ltd hat bereits zuvor recht­liche Schritte unter­nommen, um Bericht­erstat­tungen zu unter­binden, darunter auch Maßnahmen gegen die Times of Malta. Allein diese Vorge­schichte erfor­dert eine erhöhte Sorg­falt bei jeder Veröf­fent­li­chung, die sich mit dem Unter­nehmen befasst. Sie erklärt auch, warum dieser Artikel nicht über­stürzt, sensa­ti­ons­lüs­tern oder als Anschul­di­gung formu­liert wurde.

Es wurde kein Artikel verfasst, bevor Papaya detail­lierte Antworten gegeben hatte. Diese Antworten sind in diesem Artikel enthalten, teil­weise ausführ­lich, da die eigenen Aussagen eines Unter­neh­mens im Kontext gesehen und geprüft werden sollten.

Dieser Artikel dreht sich daher um eine zentrale Frage: Wenn ein regu­liertes Unter­nehmen umfas­sende Erklä­rungen zur Compli­ance abgibt, lösen diese Erklä­rungen dann die aufge­wor­fenen Fragen oder laden sie zu einer genaueren Prüfung ein?

Die LinkedIn-Nach­richten und die Erklä­rung zum Hacking

Auslöser für diesen Austausch war eine Reihe von LinkedIn-Nach­richten, in denen die Dienste von Papaya und Black­cat­card bei Betrei­bern beworben wurden. Die Nach­richten bezogen sich auf Themen wie die Umge­hung von Reibungs­ver­lusten, die Redu­zie­rung von Rück­bu­chungen, schnel­lere Auszah­lungen und den Fluss von Kryp­to­wäh­rungen zu Fiat-Währungen.

Die Antwort von Papaya war eindeutig. Die Nach­richten, so das Unter­nehmen, stammten nicht aus einer auto­ri­sierten Kampagne. Nach Angaben des Chief Compli­ance Offi­cers wurde das persön­liche LinkedIn-Konto eines Kollegen unbe­fugt genutzt. Das Konto wurde dann ohne Wissen oder Zustim­mung des Mitar­bei­ters zum Versenden von Nach­richten verwendet. Der Zugriff wurde gesi­chert und die internen Kontrollen verschärft.

Rein sach­lich betrachtet ist diese Erklä­rung akten­kundig und muss als solche akzep­tiert werden. Es wurden keine externen Beweise vorge­legt, die ihr direkt wider­spre­chen.

Gleich­zeitig ist es nicht unan­ge­messen zu fragen, ob diese Erklä­rung mit der Art und Weise über­ein­stimmt, wie sich Account-Kompro­mit­tie­rungen in der Praxis typi­scher­weise mani­fes­tieren. Ein feind­li­cher Akteur, der einem Unter­nehmen Schaden zufügen will, würde norma­ler­weise Inhalte veröf­fent­li­chen, die den Ruf schä­digen, Fehl­ver­halten aufde­cken oder Störungen verur­sa­chen. Werbe­maß­nahmen, die die kommer­zi­ellen Inter­essen des Unter­neh­mens fördern, sind eine unge­wöhn­liche Wahl als Waffe, wenn das Ziel Sabo­tage ist.

Diese Beob­ach­tung impli­ziert keine Fälschung. Sie verdeut­licht ledig­lich, warum Regu­lie­rungs­be­hörden oft über Erklä­rungen hinaus­bli­cken und neben dem Prozess und dem Ergebnis auch die Plau­si­bi­lität bewerten.

Marke­ting­kon­trollen versus Ergeb­nisse der Nach­rich­ten­über­mitt­lung

Papaya betont, dass es die Händ­ler­ka­te­go­rie­codes nicht verän­dert, maskiert oder umleitet. Es erklärt, dass alle externen Kommu­ni­ka­tionen einer Compli­ance-Prüfung unter­liegen und dass verbo­tene Behaup­tungen durch interne Lexika, Stich­proben, Verfahren zur Entfer­nung und Eska­la­tion von Diszi­pli­nar­maß­nahmen verfolgt werden.

Wenn diese Struk­turen so robust sind, wie beschrieben, stellt sich eine berech­tigte Folge­frage. Wie konnten über­haupt mehrere Nach­richten mit risi­ko­rei­chen Formu­lie­rungen an Dritte weiter­ge­geben werden, selbst über ein persön­li­ches Konto?

Auch dies ist keine Schluss­fol­ge­rung auf einen Verstoß. Es ist eine Frage der Kohä­renz zwischen den beschrie­benen Kontrollen und den beob­ach­teten Ergeb­nissen. Regu­lie­rungs­be­hörden neigen dazu, genau diese Lücke zu unter­su­chen. Kontrollen werden nicht nach ihrer Exis­tenz beur­teilt, sondern danach, ob sie die Verwirk­li­chung vorher­seh­barer Risiken verhin­dern.

Nicht-Karten-Rails und Verständnis der Verbrau­cher

Ein wesent­li­cher Teil der Antwort von Papaya konzen­triert sich auf Zahlungen von Konto zu Konto und Open-Banking-Zahlungen. Das Unter­nehmen erklärt zu Recht, dass solche Zahlungen keine Karten­rück­bu­chungen beinhalten, aber dass die PSD2-Schutz­maß­nahmen dennoch gelten. Es beschreibt Rück­ruf­ver­fahren, SEPA-Rahmen­be­din­gungen, Haftungs­zu­wei­sung und Fristen für die Bear­bei­tung von Beschwerden.

Weniger klar bleibt, wie deut­lich diese Unter­schiede den Nutzern zum Zeit­punkt der Trans­ak­tion vermit­telt werden. Für Verbrau­cher und kleine Betreiber ist der Unter­schied zwischen einer Karten­zah­lung und einer Push-Zahlung nicht nur tech­ni­scher Natur. Er entscheidet darüber, ob Gelder schnell zurück­ge­for­dert werden können oder effektiv endgültig sind.

Aus Sicht des Verbrau­cher­schutzes ist die Trans­pa­renz hinsicht­lich dieser Unter­schei­dung kein neben­säch­li­ches Thema. Sie ist von zentraler Bedeu­tung für eine infor­mierte Zustim­mung. Ob die Offen­le­gungen von Papaya ausrei­chend sind, ist eine Frage, die eher in den Bereich der behörd­li­chen Kontrolle als in den jour­na­lis­ti­schen Bereich fällt.

Krypto-Nähe ohne Krypto-Verant­wor­tung

Papaya betont wieder­holt, dass es sich nicht um einen Krypto-Asset-Dienst­leister handelt. Die Krypto-Funk­tio­na­lität werde ausschließ­lich von lizen­zierten Dritt­an­bie­tern (CASP) bereit­ge­stellt. Die Rolle von Papaya beginne erst, wenn Fiat-Erlöse als E‑Geld gutge­schrieben werden.

Diese Struktur mag formal korrekt sein. Sie ist auch struk­tu­rell üblich.

Aus Sicht der Geld­wä­sche­be­kämp­fung und des Verbrau­cher­ri­sikos bedeutet eine Tren­nung auf dem Papier jedoch nicht immer eine Tren­nung in der Wahr­neh­mung. Die Nutzer erleben ein einziges Marken-Ökosystem. Wenn Kryp­to­wäh­rungen in Fiat-Währungen umge­wan­delt und schnell über E‑Geld-Konten trans­fe­riert werden, stellen sich natür­lich Fragen zur Rück­ver­folg­bar­keit, zur Diszi­plin bei der Rück­füh­rung zur Quelle und zum Laye­ring-Risiko.

Papaya gibt an, dass seine Stan­dard­richt­linie die Rück­füh­rung zur Quelle ist und dass Abwei­chungen einer Risi­ko­be­wer­tung unter­zogen und einge­schränkt werden. Diese Aussage ist wichtig. Es handelt sich dabei auch genau um die Art von Behaup­tung, die Regu­lie­rungs­be­hörden in der Regel durch Trans­ak­ti­ons­tests über­prüfen, anstatt sie für bare Münze zu nehmen.

Beschwerden, Entschei­dungen des Schieds­rich­ters und Leis­tungs­an­sprüche

Die Antwort von Papaya hebt Verbes­se­rungen hervor, die nach früheren Entschei­dungen des Office of the Arbiter for Finan­cial Services erzielt wurden. Das Unter­nehmen führt eine 92-prozen­tige Verrin­ge­rung des Beschwer­de­vo­lu­mens an und stellt fest, dass die meisten veröf­fent­lichten Fälle zu seinen Gunsten entschieden wurden.

Diese Aussagen mögen zutref­fend sein. Ohne Kontext können sie jedoch auch unvoll­ständig sein.

Das Beschwer­de­vo­lumen kann aus vielen Gründen sinken, darunter Ände­rungen bei der Kunden­auf­nahme, Konto­schlie­ßungen oder stren­gere Kontrollen, die die Trans­ak­ti­ons­ak­ti­vität redu­zieren. Posi­tive Ergeb­nisse in einzelnen Schieds­ver­fahren heben nicht die Rele­vanz der syste­mi­schen Probleme auf, die ursprüng­lich zu den Beschwerden geführt haben.

Die entschei­dende Frage ist nicht, ob sich Papaya verbes­sert hat. Die Frage ist, wie solche Verbes­se­rungen gemessen, über­prüft und kommu­ni­ziert werden, insbe­son­dere wenn recht­liche oder aufsichts­recht­liche Prozesse an anderer Stelle noch unge­löst sind.

Gover­nance, Einrei­chungen und struk­tu­relle Trans­pa­renz

Öffent­liche Aufzeich­nungen zeigen mitein­ander verbun­dene Unter­nehmen, sich über­schnei­dende Direk­toren und Offshore-Elemente inner­halb der größeren Papaya-Struktur. Nichts davon ist an sich unzu­lässig. Es ist in der inter­na­tio­nalen Fintech-Branche üblich.

Gleich­zeitig werfen verspä­tete Finanz­be­richte, das Fehlen eines bestellten Wirt­schafts­prü­fers auf Regis­ter­ebene und die Konzen­tra­tion des Eigen­tums unwei­ger­lich Fragen auf. Dies gilt insbe­son­dere dann, wenn das opera­tive Unter­nehmen über eine Finanz­li­zenz verfügt und mit Kunden­gel­dern umgeht.

Hierbei handelt es sich um Fragen der Gover­nance und Trans­pa­renz, nicht um Vorwürfe wegen Fehl­ver­hal­tens. Es sind auch Fragen, die von den Aufsichts­be­hörden gründ­li­cher geprüft werden müssen, als dies in einer Veröf­fent­li­chung möglich ist.

Die umfas­sen­dere Frage des Vertrauens in die Aufsicht

Für sich genommen kann jede Erklä­rung von Papaya als plau­sibel ange­sehen werden. Zusam­men­ge­nommen zeichnen sie jedoch das Bild eines Unter­neh­mens, das am Rande mehrerer Risi­ko­rahmen operiert und sich stark auf interne Kontrollen, Bezie­hungen zu Dritten und Nach­bes­se­rungen nach Vorfällen stützt.

Das macht Papaya nicht einzig­artig. Es macht das Unter­nehmen jedoch zu einem offen­sicht­li­chen Kandi­daten für die weitere Aufmerk­sam­keit der Aufsichts­be­hörden.

Dieser Artikel versucht nicht, diese Fragen zu klären. Er doku­men­tiert, warum sie bestehen.

Unsere abschlie­ßenden Gedanken und Schluss­fol­ge­rungen

Papaya Ltd hat sich mit Malta Media in Verbin­dung gesetzt. Das Unter­nehmen hat über seinen Chief Compli­ance Officer umfas­sende Antworten gegeben. Diese Bereit­schaft zur Antwort ist positiv und sollte aner­kannt werden.

Gleich­zeitig wird eine wirk­same Compli­ance nicht anhand der Länge oder Ausge­reift­heit von Erklä­rungen beur­teilt. Sie wird anhand der Ergeb­nisse, der internen Kohä­renz und der Frage beur­teilt, ob vernünf­tige Dritte nach diesen Erklä­rungen weiterhin Vertrauen haben.

Der LinkedIn-Vorfall, die Struktur der Marke­ting­kon­trollen, die Schnitt­stelle zwischen Kryp­to­wäh­rungen und E‑Geld, der Umgang mit Verbrau­cher­ent­schä­di­gungen und die Trans­pa­renz der Gover­nance-Struk­turen sind alle­samt Bereiche, in denen weitere Klar­stel­lungen nicht nur für Jour­na­listen, sondern auch für Regu­lie­rungs­be­hörden und Gegen­par­teien von Vorteil wären.

Dieser Artikel verzichtet bewusst auf Schluss­fol­ge­rungen über Fehl­ver­halten. Er erhebt keine Anschul­di­gungen. Er speku­liert nicht. Er legt dar, warum die Prüfung fort­ge­setzt wird und warum der Dialog wichtig ist.

Malta Media ist weiterhin offen für ein persön­li­ches Treffen mit der Führung von Papaya. Ein konstruk­tiver Dialog ist nach wie vor möglich. Er könnte auch einer Klage und Schweigen vorzu­ziehen sein. Manchmal besteht die verant­wor­tungs­vollste Form des inves­ti­ga­tiven Jour­na­lismus nicht darin, laut zu schreien, sondern zu fragen, ob die gege­benen Antworten die aufge­wor­fenen Fragen wirk­lich klären.

Häufig gestellte Fragen

Was ist Papaya Ltd und welche Dienst­leis­tungen bietet das Unter­nehmen an?
Papaya Ltd ist ein regu­liertes E‑Geld-Institut, das Zahlungs­lö­sungen anbietet, darunter Über­wei­sungen von Konto zu Konto, Open Banking und Dienst­leis­tungen für iGaming-Betreiber.

Gab es Probleme mit LinkedIn-Nach­richten, in denen für die Dienst­leis­tungen von Papaya Ltd geworben wurde?
Ja, über ein kompro­mit­tiertes Mitar­bei­ter­konto, das das Unter­nehmen später gesi­chert hat, wurden unbe­fugte LinkedIn-Nach­richten verschickt, in denen für die Dienst­leis­tungen von Papaya und Black­cat­card geworben wurde.

Bietet Papaya Ltd direkt Kryp­to­dienste an?
Nein, Papaya Ltd ist kein Anbieter von Krypto-Asset-Diensten. Kryp­to­trans­ak­tionen werden von lizen­zierten Dritt­an­bie­tern (CASP) abge­wi­ckelt, wobei Papaya Fiat-Erlöse als E‑Geld verar­beitet.

Wie geht Papaya mit Verbrau­cher­be­schwerden und Strei­tig­keiten um?
Das Unter­nehmen berichtet von Verbes­se­rungen nach Entschei­dungen des Office of the Arbiter for Finan­cial Services, darunter eine 92-prozen­tige Verrin­ge­rung des Beschwer­de­vo­lu­mens sowie klare Prozesse zur Beschwer­de­be­ar­bei­tung.

Welche Kontrollen gibt es für das Marke­ting und die Kommu­ni­ka­tion von Papaya?
Papaya gibt an, dass alle Mittei­lungen einer Compli­ance-Prüfung unter­zogen werden, mit internen Lexika, Stich­proben, Verfahren zur Entfer­nung und Eska­la­tion von Diszi­pli­nar­maß­nahmen bei verbo­tenen Behaup­tungen.

Wie trans­pa­rent ist Papaya in Bezug auf Risiken bei Nicht-Karten­zah­lungen?
Papaya erläu­tert die Schutz­maß­nahmen für Zahlungen von Konto zu Konto und im Open Banking gemäß PSD2, aber die Sicht­bar­keit dieser Unter­schei­dungen für die Nutzer an den Trans­ak­ti­ons­punkten muss mögli­cher­weise noch klarer gestaltet werden.

Gibt es Bedenken hinsicht­lich der Führungs­struktur von Papaya?
Öffent­liche Aufzeich­nungen zeigen mitein­ander verbun­dene Unter­nehmen, sich über­schnei­dende Direk­toren und Offshore-Elemente, die zwar legal sind, aber Fragen zur Trans­pa­renz und verspä­teten Einrei­chungen aufwerfen können.

Hat Papaya konstruktiv mit Medien und Aufsichts­be­hörden zusam­men­ge­ar­beitet?
Ja, Papaya hat über seinen Chief Compli­ance Officer detail­lierte offi­zi­elle Antworten gegeben und ist offen für weitere Gespräche, um Fragen zur Compli­ance zu klären.

Löst die Erklä­rung von Papaya alle regu­la­to­ri­schen und verbrau­cher­be­zo­genen Bedenken?
Die Erklä­rungen sind zwar plau­sibel, doch Fragen zur internen Kohä­renz, zum Risi­ko­ma­nage­ment und zur Trans­pa­renz gegen­über den Verbrau­chern lassen vermuten, dass eine weitere Prüfung erfor­der­lich sein könnte.

Was ist die wich­tigste Erkenntnis in Bezug auf die Compli­ance von Papaya und Black­cat­card?
Das Unter­nehmen verfügt über ein struk­tu­riertes Compli­ance-Rahmen­werk, doch letzt­lich entscheiden die Ergeb­nisse in der Praxis, die interne Kohä­renz und die Trans­pa­renz über das Vertrauen der Regu­lie­rungs­be­hörden.

Recht­li­cher Hinweis

Dieser Artikel wird von Malta Media zu jour­na­lis­ti­schen und öffent­li­chen Zwecken veröf­fent­licht und befasst sich mit Fragen der Regu­lie­rung, Gover­nance und des Verbrau­cher­schutzes im Finanz­dienst­leis­tungs­sektor.

Alle Tatsa­chen­aus­sagen stammen aus öffent­lich zugäng­li­chen Aufzeich­nungen, Unter­neh­mens­un­ter­lagen oder offi­zi­ellen Korre­spon­denzen, die direkt von den genannten Unter­nehmen oder Personen zur Verfü­gung gestellt wurden. Alle Inter­pre­ta­tionen, Kommen­tare oder Meinungen sind eindeutig als solche gekenn­zeichnet und basieren ausschließ­lich auf den offen­ge­legten Mate­ria­lien.

Nichts in diesem Artikel behauptet oder unter­stellt krimi­nelles Verhalten, Verstöße gegen Vorschriften, Betrug, Unehr­lich­keit oder rechts­wid­rige Hand­lungen von Personen oder Unter­nehmen. Verweise auf regu­la­to­ri­sche Maßnahmen, Verwal­tungs­maß­nahmen, Beschwerden oder Verfahren dienen ausschließ­lich der kontext­be­zo­genen Bericht­erstat­tung und impli­zieren keine Haftung, Schuld oder Ergeb­nisse.

Allen genannten Parteien wurde vor der Veröf­fent­li­chung die Möglich­keit gegeben, Stel­lung zu nehmen, und die einge­gan­genen Antworten wurden fair wieder­ge­geben. Dieser Artikel wird in gutem Glauben veröf­fent­licht und beab­sich­tigt nicht, die Repu­ta­tion einer Person oder Orga­ni­sa­tion zu diffa­mieren, falsch darzu­stellen oder zu schä­digen.