ICO-Registrierung prüfen: Was sie bestätigt und was nicht

Die kurze Antwort: Eine ICO-Registrierungsprüfung bestätigt, ob eine Organisation im Register der Gebührenzahler des britischen Information Commissioner's Office (ICO) steht - also ob sie der ICO gemeldet hat, dass sie personenbezogene Daten verarbeitet, und die damit verbundene Datenschutzgebühr bezahlt hat. Sie bestätigt nicht, dass die Organisation finanziell gesund ist, dass ihr das Bankkonto auf ihrer Rechnung gehört oder dass eine Zahlung an sie sicher ist.

Diese Unterscheidung zählt, weil beide Fragen gemeinsam auftauchen. Ein Einkaufsteam, das einen neuen Lieferanten prüft, will wissen, dass das Unternehmen existiert und die Vorgaben einhält. Ein Treasury-Team will wissen, dass das Geld auf dem richtigen Konto landet. Das ICO-Register beantwortet nur die erste Frage, und davon nur den Datenschutzteil.

Was eine ICO-Registrierungsprüfung tatsächlich bestätigt

Die ICO ist die unabhängige britische Datenschutzaufsicht. Nach den Data Protection (Charges and Information) Regulations 2018 müssen die meisten Organisationen, die personenbezogene Daten verarbeiten, jährlich eine Gebühr an die ICO zahlen - meist Datenschutzgebühr genannt -, sofern keine Ausnahme greift. Das Register der Gebührenzahler ist die öffentliche Liste der Organisationen, die das getan haben.

Ein positives Ergebnis bestätigt also eine enge, sachliche Sache: Die Organisation steht in diesem Register, mit einer Registrierungsnummer, einer Gebührenstufe und einem Status. Das ist ein nützliches Compliance-Signal, wenn Sie personenbezogene Daten an einen Lieferanten geben - Lohnabrechner, Marketingagenturen, Softwareanbieter, alle, die Kunden- oder Mitarbeiterdaten in Ihrem Auftrag verarbeiten.

So prüfen Sie eine ICO-Registrierung Schritt für Schritt

Die Prüfung ist schnell und kostenlos. Nutzen Sie die offizielle Suche der ICO statt einer Auskunftsseite Dritter, denn das offizielle Register ist die Quelle, von der jedes andere Werkzeug abschreibt.

1. 1 Rufen Sie die Registersuche auf der ICO-eigenen Website ico.org.uk auf - das Suchfeld für das Register der Gebührenzahler.
2. 2 Suchen Sie nach dem rechtlichen Namen der Organisation, wie er im Vertrag oder auf der Rechnung steht, nicht nach einem Handelsnamen oder einer Marke.
3. 3 Ist der Name häufig, grenzen Sie die Treffer mit der Registrierungsnummer ein, falls Sie sie schon haben, oder mit der Adresse der Organisation.
4. 4 Öffnen Sie den Eintrag und lesen Sie drei Dinge: die Registrierungsnummer, die Gebührenstufe und den Status.
5. 5 Speichern Sie einen datierten Screenshot oder eine Notiz zu Ihrem Fund, damit die Prüfung später nachvollziehbar ist.

Erscheint nichts, ziehen Sie keine voreiligen Schlüsse. Versuchen Sie den im Handelsregister (Companies House) eingetragenen Firmennamen, versuchen Sie die Muttergesellschaft und Varianten mit und ohne Rechtsformzusatz. Viele Organisationen treten unter einem Namen auf, der von der Einheit abweicht, die die Gebühr zahlt.

Eine Warnung, die sich zu wiederholen lohnt: Mehrere kommerzielle Seiten bieten einen kostenpflichtigen Dienst für eine „ICO-Feststellung“ oder ein „Registrierungszertifikat“ an. Das Selbsteinschätzungs-Tool und die Registersuche der ICO selbst sind kostenlos, und eine Zahlung an Dritte macht eine Registrierung nicht gültiger.

Das Ergebnis lesen: Registrierungsnummer, Stufe und Status

Eine ICO-Registrierungsnummer wird meist als ZA gefolgt von sechs Ziffern geschrieben - zum Beispiel ZA123456. Sie kennzeichnet den Eintrag im Register. Sie ist keine Handelsregisternummer, keine Umsatzsteuer-Identifikationsnummer und kein Zahlungsreferenzwert und sollte nie verwendet werden, um ein Bankkonto zu identifizieren.

Die Gebührenstufe beschreibt Größe und Art der Organisation, wie die ICO sie definiert. Die ICO veröffentlicht drei Stufen, und die Gebühr steigt mit der Stufe:

• Stufe 1 umfasst die kleinsten Organisationen - Mikroorganisationen, die vor allem nach Mitarbeiterzahl und Umsatz beurteilt werden.
• Stufe 2 umfasst kleine und mittlere Organisationen.
• Stufe 3 umfasst große Organisationen.

Die Stufe sagt Ihnen grob, wie groß der Gebührenzahler ist. Sie ist keine Bewertung von Sicherheit, Qualität oder Vertrauenswürdigkeit, und ein Eintrag der Stufe 3 ist nicht „sicherer“ als einer der Stufe 1 - er bedeutet nur eine größere Organisation, die eine höhere Gebühr zahlt.

Der Status ist der Teil, der falsch gelesen wird. Ein Eintrag kann als registriert erscheinen oder als in Bearbeitung, während eine Zahlung oder Verlängerung läuft. „In Bearbeitung“ ist für sich genommen kein Warnsignal: Verlängerungen erfolgen jährlich, und zwischen Zahlung und Registeraktualisierung liegt eine Lücke. Entscheidend ist, ob die Organisation den Status erklären kann und ob der Eintrag aktuell und nicht abgelaufen ist.

Was eine ICO-Prüfung Ihnen nicht sagt

Hier geht die Lieferanten-Sorgfalt schief. Ein sauberer ICO-Eintrag wird oft per Screenshot auf eine Vertrauensseite gestellt, als wäre er ein Echtheitsabzeichen. Das ist er nicht. Eine ICO-Prüfung bestätigt nicht:

• Wer das Unternehmen besitzt oder kontrolliert - das ist Sache von Companies House, wo Sie Geschäftsführung, Einreichungen und Abschlüsse sehen.
• Ob das Unternehmen zahlungsfähig ist oder Geschäfte betreibt - wieder Abschlüsse und Einreichungshistorie, nicht das ICO-Register.
• Ob dem Unternehmen das auf seiner Rechnung gedruckte Bankkonto gehört - kein öffentliches Register enthält das.
• Ob die Rechnung selbst echt ist oder ob die E-Mail, die sie brachte, vom echten Lieferanten kam.
• Ob die Organisation Daten gut behandelt - die Registrierung ist eine Gebühr, keine Prüfung.

Mit anderen Worten: Das ICO-Register beantwortet eine Compliance-Frage. Die Frage „Ist das das richtige Konto zum Bezahlen?“ wird ganz woanders beantwortet - durch eine Namens-IBAN-Prüfung, die ein Zahlungsdienstleister ausführt.

ICO-Registrierung vs. Verification of Payee: zwei verschiedene Prüfungen

Die Verification of Payee (VoP) ist die EU-/SEPA-Namensprüfung, die die Verordnung über Echtzeitüberweisungen vorschreibt. Bevor eine Euro-Überweisung abgesendet wird, fragt der Zahlungsdienstleister (PSP) des Zahlers den PSP des Empfängers, ob der angegebene Name zum Kontoinhaber passt, und erhält eines von vier Ergebnissen: Übereinstimmung, teilweise Übereinstimmung, keine Übereinstimmung oder nicht verfügbar. Das Vereinigte Königreich hat seine eigene Variante, die Confirmation of Payee, aufgebaut auf Sort Codes und Kontonummern.

Stellen Sie beide nebeneinander, ist der Unterschied offensichtlich:

• Die ICO-Prüfung fragt: Hat sich diese Organisation als Verantwortlicher registriert und ihre Gebühr bezahlt? Sie wird aus einem öffentlichen Register beantwortet, einmal, beim Onboarding.
• Die Empfängerprüfung fragt: Gehört dieses Konto der Partei, die ich genannt habe? Sie wird von der Bank des Empfängers beantwortet, im Moment der Zahlung.
• Die ICO-Prüfung betrifft die Datenschutz-Compliance. Die Empfängerprüfung betrifft, wo das Geld landet.

Keine ersetzt die andere. Ein Betrüger kann sich bei der ICO registrieren - es ist eine Gebühr, kein Prüfverfahren -, und ein völlig regelkonformer Lieferant kann trotzdem kompromittierte E-Mails haben und eine Rechnung mit anderen Bankdaten untergeschoben bekommen. Wenn Sie den Hintergrund zum EU-Schema wollen, beginnen Sie mit der Frage, was Verification of Payee ist; die Mechanik der Kontoinhaberprüfung steht in der Anleitung, wie Sie den Kontoinhaber einer IBAN verifizieren.

Wo eine ICO-Prüfung ins Lieferanten-Onboarding gehört

Die praktische Antwort lautet: als ein Schritt unter mehreren, in fester Reihenfolge. Eine machbare Abfolge für einen neuen Lieferanten sieht so aus.

1. 1 Unternehmensprüfung: Bestätigen Sie Rechtsträger, Geschäftsführung und Einreichungshistorie bei Companies House und gleichen Sie den Namen im Vertrag ab.
2. 2 Datenschutzprüfung: Schlagen Sie die Einheit im ICO-Register nach und erfassen Sie Registrierungsnummer, Stufe und Status.
3. 3 Bankdatenprüfung: Führen Sie eine Namens-IBAN-Prüfung für das Konto aus, das Sie gleich bezahlen, und speichern Sie den zurückgegebenen verifizierten Namen.
4. 4 Änderungskontrolle: Führen Sie die Bankdatenprüfung erneut aus, sobald sich die Kontodaten des Lieferanten ändern, und bestätigen Sie die Änderung telefonisch unter einer Nummer, die Sie bereits hatten.

Der dritte und der vierte Schritt sind die, die verhindern, dass Geld auf dem falschen Konto landet. Für den weiteren Prozess, einschließlich des Umgangs mit gespeicherten Empfängerdaten, lesen Sie den Leitfaden zum Onboarding von Lieferanten und Dienstleistern und die Seite Verification of Payee für Unternehmen.

Häufige Verwechslungen und kurze Antworten

Die meiste Verwirrung rund um ICO-Prüfungen entsteht aus drei Fragen, hier also klar beantwortet.

• Wann ist eine Registrierung erforderlich? Die meisten Organisationen, die personenbezogene Daten verarbeiten, müssen die Gebühr zahlen, doch es gibt Ausnahmen - etwa einige kleine Organisationen, die Daten nur zu begrenzten Zwecken verarbeiten. Das kostenlose Selbsteinschätzungs-Tool der ICO sagt Ihnen, ob Ihre eigene Organisation sich registrieren muss.
• Wie finde ich meine eigene ICO-Referenznummer? Suchen Sie im Register nach dem rechtlichen Namen Ihrer Organisation oder sehen Sie in der Bestätigung nach, die die ICO bei Zahlung der Gebühr geschickt hat. Die Nummer steht in diesem Datensatz.
• Ist eine ICO-Nummer eine Handelsregisternummer? Nein. Eine Handelsregisternummer kommt von Companies House und kennzeichnet den Rechtsträger. Eine ICO-Nummer kennzeichnet einen Gebührenzahler-Eintrag im Datenschutzregister. Sie werden von verschiedenen Stellen zu verschiedenen Zwecken vergeben.

RoxPay liefert die Verification of Payee auf dem SEPA-Schema über eine einzige REST-API und ein Dashboard und gibt die standardisierten Ergebnisse - Übereinstimmung, teilweise Übereinstimmung, keine Übereinstimmung und nicht verfügbar - in deutlich unter einer Sekunde zurück, mit dem verifizierten Namen bei einer teilweisen Übereinstimmung, für eine einzelne Zahlung oder eine ganze Zahlungsdatei.