Dr. Servatius hat heute die Analyse zu C-81/24 Jenec veröffentlicht, und der Kernsatz ist unangenehm präzise: Eine Listung ausschliesslich unter US-amerikanischen OFAC-Sanktionen berechtigt eine Bank in der EU nicht zur automatischen Kontoablehnung oder -kündigung — zulässig ist eine Ablehnung nur nach einer individuellen Geldwäscherei- und Terrorismusfinanzierungsrisikoprüfung, die ergibt, dass das Risiko nicht proportional beherrschbar ist. Die OFAC-Listung ist dabei ein Faktor unter anderen, kein hinreichender Automatismus. Für Compliance-Abteilungen, die ihre Ablehnungsmechanik auf amerikanischen Listen aufgebaut haben, ist das keine theoretische Frage mehr. Die Trennlinie verläuft zwischen automatischer Ablehnung und individueller Risikoabklärung — nicht zwischen Listungsregimen.

Das war in der Praxis seit Jahren vermutet, jetzt ist es entschieden: Die Kommission darf bei einem Auskunftsverlangen nach Art. 11 Abs. 3 FKVO auf persönliche Mobiltelefone von Mitarbeitern zugreifen, wenn geschäftliche Kommunikation dort gespeichert ist. Das Eigentumsverhältnis am Gerät spielt keine Rolle — massgebend ist der Inhalt. Die Handlungskonsequenz ist unmittelbar: Welche Führungskräfte führen relevante Korrespondenz auf privaten Geräten? Diese Liste sollte die Rechtsabteilung kennen, bevor das Auskunftsverlangen eingeht. Dr. Servatius' vollständige Analyse erscheint heute.

Der Zusammenhang zum Auken-Meinungsbefund weiter unten ist nicht zufällig: Was Vivendi/Lagardère für Geräte sagt, sagt Auken für Verträge — was man für geschützt hält, ist es meistens nur unter Bedingungen, die man selbst nicht kontrolliert.

FINMA-Aufsichtsmitteilung 03/2026 liest sich beim ersten Durchgang wie eine Klarstellung des Selbstverständlichen. Beim zweiten merkt man, dass genau hier die Lücke liegt: Das Suitability-File muss bei jeder Neuaufnahme eines Produkts in ein diskretionäres Mandat aktualisiert werden — nicht nur beim Vertragsschluss. Wer die Eignungsdokumentation als statisches Onboarding-Dokument behandelt, hat bei der nächsten FINMA-Prüfung ein Problem. Dr. Servatius hat die Implikationen heute aufgearbeitet.

Der EDPB hat einen Konsultationsentwurf des harmonisierten Meldeformulars unter Art. 33 DSGVO veröffentlicht — ein Formular, alle EU-Aufsichtsbehörden, grenzüberschreitende Vorfälle; die öffentliche Konsultation läuft bis 5. August 2026, das Formular ist noch nicht in Kraft. Der praktische Gewinn für multinationale Unternehmen ist real; die häufigste Fehlanwendung ändert das Formular nicht: 72 Stunden laufen ab Kenntnis, nicht ab interner Klärung. Casimirs Analyse erscheint heute. Die Schweiz ist nicht gebunden, aber wer EU-Tochtergesellschaften hat, fährt gut damit, den Entwurf jetzt zu prüfen und nach der Finalisierung als internen Standard zu übernehmen.

Das EuG hat die Gatekeeper-Designation für Meta Marketplace aufgehoben — nicht weil die Plattform harmlos wäre, sondern weil die Kommission die qualitative Diensteinstufung nach Art. 2 DMA fehlerhaft vornahm: Sie übertrug den Drei-Jahres-Rückblick der quantitativen Schwellenwerte (Art. 3 Abs. 2 DMA) auf die Klassifizierungsfrage und ignorierte Metas Produktänderung vom 31. Juli 2023, die sechs Wochen vor der Designation das massgebende Merkmal entfernte. Das ist keine Kapitulation vor Big Tech, sondern eine Einladung an Brüssel, die Hausaufgaben sorgfältiger zu wiederholen. Für Händler auf Marketplace: Die DMA-Pflichten über die anderen designierten Meta-Dienste laufen unverändert weiter. Casimirs Analyse erscheint heute.

Art. 33 FINMAG ist keine ultima-ratio-Waffe für Grossschadensfälle — das Wendelspiess-Verfahren zeigt, dass FINMA das Instrument für Verhalten einsetzt, das aufsichtsrechtlich nicht tragbar ist, unabhängig davon, ob Verluste entstanden sind. Für verantwortliche Personen in beaufsichtigten Gesellschaften ist das ein Anlass, den persönlichen Haftungsrahmen nach Art. 33 mindestens einmal jährlich mit dem Compliance-Team zu besprechen. Dr. Servatius hat die Signalwirkung heute analysiert.

C-483/23 schliesst eine Strukturierungsfrage, die Trust-Berater seit Jahren offengehalten haben: Sanktionen erfassen Vermögenswerte, die ein gelisteter Settlor einem Trust übertragen hat — sofern der Settlor weiterhin die Befugnis hat, die Vermögenswerte zu nutzen, Vorteile daraus zu ziehen, darüber zu verfügen oder Einfluss auf die Entscheidungen des Trustees auszuüben. Eine arm's-length-Struktur ohne zurückbehaltenen Einfluss oder Nutzungsvorbehalt ist nicht automatisch erfasst. Massgebend ist die tatsächliche Kontrolle des Settlors — nicht allein der Begünstigtenstatus, auch wenn der in die Screening-Logik gehört. Die Logik entspricht dem, was wir zur Sperrung russischer Vermögen nach Embargogesetz beschrieben haben: Immobilisierung ja, Rechtstitel-Isolation nein. Dr. Servatius' Analyse erscheint heute.

Auch nach den datenschutzrechtlichen Einschränkungen des allgemeinen Registerzugangs bleibt ein «berechtigtes Interesse» als Zugangstitel zum wirtschaftlich Berechtigten-Register erhalten — das ist der Befund in C-684/24. Casimirs Analyse liest das Urteil neben dem Schweizer TJPG, dessen Register ab Mitte 2026 aktiv wird. Die offene Frage ist jetzt nicht mehr, wer meldepflichtig ist, sondern wer Einsicht erhält. Unsere TJPG-Analyse bleibt das Fundament; heute kommt die EU-Dimension dazu.

Das WBF hat Anhang 8 der Russland-Verordnung per 15. Juni aktualisiert (Fedlex-Eintrag: 15. Juni, 23:00; FINMA-Meldung: 16. Juni). Screening-Systeme, die auf dem FINMA-Publikationsdatum laufen statt auf dem Fedlex-Wirksamkeitsdatum, haben eine dokumentierte Lücke von einem Tag. Wer kein automatisiertes Fedlex-Monitoring betreibt, arbeitet heute mit einer veralteten Liste. Der Abstand zwischen EU-Listung und Schweizer Vollzug ist bekannt variabel — wie variabel, haben wir am Beispiel von Anhang 2 SR 946.231.18 (zwanzig Tage Rückstand) gezeigt. Die Frage ist, ob das Screening-System diese Latenz abbildet oder stillschweigend ignoriert.

Anhang 2 der Sudan-Verordnung wurde per 5. Juni aktualisiert — eine Routine-Meldung, die genau deshalb durchfällt: Sudan ist kein tägliches Screening-Thema, und wer es nicht auf der Liste hat, hat eine dokumentierte Lücke.

Casimirs Analyse zum Aarhus-Strang nach KlimaSeniorinnen behandelt eine Konsequenz, die im unternehmerischen Kontext untergeht: Umweltverbände können die Aarhus-Konvention nutzen, um gerichtlichen Zugang in Verwaltungsverfahren zu erzwingen, an denen Unternehmen als Verfahrenspartei beteiligt sind. Für Genehmigungsverfahren mit Klimabezug auf Bundesebene ist das kein abstraktes Risiko mehr. Die Klagebefugnis von NGOs gehört in die Risikoabschätzung jedes grösseren Infrastrukturprojekts.

«Vertraulich» im Vertragsheader schützt nicht vor einem Dokumentenzugangsantrag nach Verordnung 1049/2001, solange kein konkretes schutzwürdiges Interesse nachgewiesen ist — das ist der Befund der Auken-Meinung zu den Impfstoffverträgen. Casimir hat die Konsequenz heute aufgearbeitet. Das Prinzip gilt nicht nur für Pharmaunternehmen: Wer Rahmen- oder Dienstleistungsverträge mit EU-Organen oder -Agenturen hält, sollte wissen, was im Ernstfall wirklich nicht öffentlich werden soll — und das separat absichern, nicht durch eine Standardklausel.

C-717/24 regelt, wie Tätigkeitszeiten in einem gefährlichen Beruf im Ausland auf die Rentenberechnung im Wohnsitzstaat angerechnet werden. Casimirs Analyse erscheint heute. Für Unternehmen mit langjährig entsandten Mitarbeitern: Die Koordinierungsverordnungen suggerieren mehr Einheitlichkeit, als die Praxis liefert. Eine gute Gelegenheit, die Renteninformation für Mobile-Workforce-Profile zu überprüfen — insbesondere bei Mitarbeitern, die mehrere Jahre in Hochrisikopositionen im Ausland verbracht haben.

C-188/24 ist ein direkter Treffer für Plattformen, die das Herkunftslandprinzip der E-Commerce-Richtlinie als Schutzschild gegen nationale Altersverifikationspflichten eingesetzt haben. Der EuGH lässt Abweichungen zu, wenn der Gastmitgliedstaat Minderjährigenschutz glaubhaft als öffentliche Ordnung qualifiziert. Das werden viele tun. Casimir hat die Konsequenzen heute analysiert. Altersverifikation, die nur im Registrierungsstaat der Plattform compliant ist, reicht nicht mehr.