AML- und KYC-Compliance: Geldwäschepflichten rechtssicher umsetzen

AML steht für Anti-Money Laundering und umfasst alle Maßnahmen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung. Know Your Customer, kurz KYC, ist ihr Kernbestandteil: Unternehmen müssen wissen, mit wem sie Geschäfte machen, wer tatsächlich hinter ihrem Vertragspartner steht und ob eine Geschäftsbeziehung ein erhöhtes Risiko aufweist. Das Geldwäschegesetz spricht insoweit von Sorgfaltspflichten, international ist von Customer Due Diligence die Rede.

Für Unternehmen ist AML-Compliance nicht nur eine Frage der Rechtstreue. Banken und institutionelle Partner machen funktionierende Strukturen zunehmend zur Voraussetzung einer Geschäftsbeziehung. Fehlen sie, drohen Kontokündigungen und der Verlust wichtiger Partner.

Am Anfang jeder AML-Compliance steht die Frage, ob und in welchem Umfang ein Unternehmen überhaupt verpflichtet ist. Diese Weichenstellung entscheidet darüber, welche Pflichten gelten, welche Behörde zuständig ist und welcher Aufwand tatsächlich erforderlich wird. Den Kreis der Verpflichteten legt § 2 GwG abschließend fest. Dazu gehören insbesondere:

• Kredit-, Zahlungs- und E-Geld-Institute sowie Kryptowerte-Dienstleister
• Finanzunternehmen, Lebensversicherer und Kapitalverwaltungsgesellschaften
• Immobilienmakler, Güterhändler und Kunstvermittler
• Dienstleister für Gesellschaften und Treuhandvermögen, international als Trust or Company Service Provider bezeichnet
• Veranstalter und Vermittler von Glücksspielen
• Rechtsanwälte, Notare, Steuerberater und Wirtschaftsprüfer bei bestimmten Tätigkeiten

Maßgeblich ist dabei nicht die Branche, sondern die konkrete Tätigkeit. Für einige Verpflichtete greifen die Sorgfaltspflichten zudem erst ab bestimmten Schwellenwerten. Güterhändler müssen sie nach § 10 Abs. 6a GwG etwa bei Barzahlungen ab 10.000 Euro erfüllen, beim Handel mit Edelmetallen bereits ab 2.000 Euro. Immobilienmakler sind nach § 10 Abs. 6 GwG bei der Vermittlung von Mietverträgen erst ab einer monatlichen Nettokaltmiete von 10.000 Euro betroffen. Ein Unternehmen kann deshalb mit einem Geschäftsbereich verpflichtet sein und mit einem anderen nicht.

Besonders anspruchsvoll ist die Einordnung bei digitalen und internationalen Geschäftsmodellen. Plattformen mit Zahlungsabwicklung, Tokenisierungsmodelle, Marktplätze für hochwertige Güter oder Corporate-Service-Angebote im Konzern lassen sich selten eindeutig einer gesetzlichen Kategorie zuordnen. Ob ein Unternehmen als Finanzunternehmen gilt oder ob die Bereitstellung einer Geschäftsadresse bereits eine TCSP-Dienstleistung darstellt, hängt von Produkt, Vertragsgestaltung und Kundengruppe ab. In unserer Beratungspraxis zeigt sich zudem regelmäßig, dass gerade ausländische Anbieter ihre Verpflichteteneigenschaft in Deutschland erst prüfen, wenn eine Bank im Onboarding entsprechende Nachweise verlangt und die Geschäftsbeziehung bereits unter Zeitdruck steht. Unternehmen sollten deshalb zunächst ihren tatsächlichen regulatorischen Scope bestimmen, bevor sie umfassende KYC-Prozesse implementieren. So lassen sich unnötige Compliance-Belastungen vermeiden und die erforderlichen Maßnahmen gezielt ausgestalten.

Die allgemeinen Sorgfaltspflichten regelt § 10 GwG. Sie greifen insbesondere bei Begründung einer Geschäftsbeziehung, bei bestimmten Einzeltransaktionen und bei Verdachtsmomenten. Verpflichtete müssen zunächst ihren Vertragspartner identifizieren, die Angaben anhand geeigneter Dokumente überprüfen und bei Personen, die für ihn auftreten, die Vertretungsberechtigung klären. Wer externe Dienstleister, etwa für Video-Identifizierungsverfahren, einsetzt, bleibt dennoch selbst verantwortlich.

Besonders aufwendig ist häufig die Ermittlung des wirtschaftlich Berechtigten, im internationalen Sprachgebrauch Ultimate Beneficial Owner. Gemeint ist die natürliche Person, die den Vertragspartner letztlich besitzt oder kontrolliert, bei Gesellschaften in der Regel jede Person mit mehr als 25 Prozent der Anteile oder Stimmrechte. Bei mehrstufigen oder internationalen Strukturen ist die gesamte Eigentums- und Kontrollkette nachvollziehbar zu ermitteln. Seine Identität ist anschließend mit risikoangemessenen Maßnahmen zu verifizieren. Ein Auszug aus dem Transparenzregister genügt dafür allein nicht: Die Angaben sind beim Vertragspartner selbst zu erheben und mit dem Register abzugleichen, Unstimmigkeiten müssen gemeldet werden. Zudem ist festzustellen, ob eine politisch exponierte Person beteiligt ist. Mehr dazu erläutert unser Beitrag zur PEP-Compliance.

Der Umfang der Prüfung richtet sich nach dem Risiko. Bei geringem Risiko dürfen Verpflichtete nach § 14 GwG vereinfachte Sorgfaltspflichten anwenden, müssen diese Einschätzung aber begründen können. Bei erhöhtem Risiko verlangt § 15 GwG zusätzliche Maßnahmen wie die Zustimmung der Führungsebene, die Klärung der Mittelherkunft und eine engere Überwachung. Ein solches Risiko liegt insbesondere vor, wenn

• der Vertragspartner oder der wirtschaftlich Berechtigte eine politisch exponierte Person, ein Familienmitglied oder eine ihr nahestehende Person ist,
• ein Drittstaat mit hohem Risiko oder eine dort ansässige Person beteiligt ist oder
• eine Transaktion ungewöhnlich komplex oder groß ist und keinen erkennbaren wirtschaftlichen Zweck hat.

KYC endet zudem nicht mit dem Onboarding. Bestehende Geschäftsbeziehungen sind kontinuierlich zu überwachen, Kundendaten risikoabhängig zu aktualisieren und die Sorgfaltspflichten erneut zu erfüllen, wenn sich maßgebliche Umstände wie die Gesellschafterstruktur des Kunden ändern.

Verpflichtete müssen nach § 4 GwG über ein Risikomanagement verfügen, das Art und Umfang ihrer Geschäftstätigkeit angemessen abbildet. Verantwortlich ist ein zu benennendes Mitglied der Leitungsebene.

Fundament ist die Risikoanalyse, in der das Unternehmen seine Risiken in Bezug auf Kunden, Produkte, Transaktionen, Vertriebswege und Regionen erfasst und bewertet. Aus ihr leiten sich die internen Sicherungsmaßnahmen ab. Dazu gehören vor allem:

• Richtlinien und Arbeitsanweisungen für Onboarding, Monitoring und Eskalation
• die Prüfung der Zuverlässigkeit von Mitarbeitern und deren regelmäßige Schulung
• ein internes Hinweisgebersystem für die vertrauliche Meldung von Verstößen
• die Aufzeichnung aller Angaben aus der Erfüllung der Sorgfaltspflichten, die grundsätzlich fünf Jahre aufzubewahren sind

Kredit- und Finanzinstitute, Finanzunternehmen, bestimmte Versicherer und Glücksspielanbieter müssen zudem einen Geldwäschebeauftragten und einen Stellvertreter bestellen. Bei anderen Verpflichteten kann die Aufsichtsbehörde die Bestellung anordnen. Unter der AMLR wird ein Geldwäschebeauftragter künftig grundsätzlich für jeden Verpflichteten erforderlich.

Deuten Tatsachen darauf hin, dass ein Vermögenswert aus einer Straftat stammt oder der Terrorismusfinanzierung dient, müssen Verpflichtete nach § 43 GwG unverzüglich die Financial Intelligence Unit informieren, grundsätzlich elektronisch über das Portal goAML. Ein strafrechtlicher Anfangsverdacht ist dafür nicht erforderlich. Die gemeldete Transaktion darf in der Regel erst nach Zustimmung der Behörden oder nach Ablauf von drei Werktagen ausgeführt werden, und der Kunde darf über die Meldung nicht informiert werden.

Entscheidend ist ein klarer interner Eskalationsprozess: Mitarbeiter müssen wissen, wann und an wen sie Auffälligkeiten weitergeben, und die Entscheidung über eine Meldung muss nachvollziehbar dokumentiert werden, ausdrücklich auch dann, wenn im Ergebnis keine Meldung erfolgt.

Die Aufsicht liegt für den Finanzsektor regelmäßig bei der BaFin, für den Nichtfinanzsektor bei den nach Landesrecht bestimmten Behörden, in Nordrhein-Westfalen bei den Bezirksregierungen. Sie können Auskünfte verlangen, vor Ort prüfen und Anordnungen treffen. Kündigt die Aufsicht eine Prüfung an oder fordert Unterlagen an, sollte die Antwort nicht ohne rechtliche Vorbereitung erfolgen. Wer Schwachstellen vorher selbst identifiziert und die Kommunikation abstimmt, kann den Verlauf der Prüfung maßgeblich beeinflussen.

In der Praxis sind bei der Umsetzung von AML- und KYC-Pflichten häufig folgende Schwachstellen zu beobachten:

• Die Verpflichteteneigenschaft wird zwar intern geklärt, das Ergebnis aber nicht dokumentiert, sodass es sich gegenüber Aufsicht und Banken nur schwer belegen lässt.
• Die Risikoanalyse wird nicht regelmäßig an neue Produkte, Märkte oder Kundengruppen angepasst.
• Der Transparenzregisterauszug wird als ausreichender Nachweis des wirtschaftlich Berechtigten behandelt.
• PEP-Treffer aus Datenbanken werden übernommen oder verworfen, ohne die Bewertung festzuhalten.
• Screening-Software wird eingesetzt, ohne Treffer und Risikoeinstufungen rechtlich zu bewerten.

Kritisch kann es zudem werden, wenn interne Prüfungen ohne Verdachtsmeldung enden und die Gründe dafür nicht aufgezeichnet sind. Gerade solche Entscheidungen stehen bei späteren Prüfungen, Ermittlungen oder internen Untersuchungen häufig im Mittelpunkt.

Verstöße gegen das Geldwäschegesetz werden in der Regel als Ordnungswidrigkeiten geahndet. Nach § 56 GwG drohen je nach Verstoß und Verschulden Geldbußen bis zu 150.000 Euro. Bei schwerwiegenden, wiederholten oder systematischen Verstößen erhöht sich der Rahmen auf bis zu eine Million Euro oder bis zum Zweifachen des aus dem Verstoß gezogenen wirtschaftlichen Vorteils. Für bestimmte Verpflichtete des Finanzsektors, etwa Kredit-, Zahlungs- und E-Geld-Institute, sind in diesen Fällen bis zu fünf Millionen Euro oder 10 Prozent des Gesamtumsatzes möglich. Bestandskräftige Maßnahmen und unanfechtbare Bußgeldentscheidungen machen die Aufsichtsbehörden nach § 57 GwG grundsätzlich öffentlich bekannt. Der Reputationsschaden gegenüber Banken, Investoren und Geschäftspartnern wiegt oft schwerer als die Geldbuße selbst.

Auch die Geschäftsleitung kann persönlich haften. Die Pflichten aus dem GwG treffen zwar das Unternehmen als Verpflichteten. Über § 9 OWiG werden sie aber den vertretungsberechtigten Organen zugerechnet, sodass Bußgelder auch unmittelbar gegen Geschäftsleiter verhängt werden können. Wer erforderliche Aufsichtsmaßnahmen unterlässt, riskiert zudem nach § 130 OWiG eine eigene Geldbuße. Gegen das Unternehmen kann in beiden Fällen nach § 30 OWiG eine Verbandsgeldbuße festgesetzt werden. Gesellschaftsrechtlich kommt eine Inanspruchnahme wegen unzureichender Compliance-Organisation in Betracht, etwa nach § 43 Abs. 2 GmbHG oder § 93 Abs. 2 AktG. Mehr dazu auf unserer Seite zur Geschäftsführerhaftung. Strafrechtlich relevant wird es, wenn Verantwortliche selbst den Tatbestand der Geldwäsche nach § 261 StGB erfüllen. Dafür genügt nach § 261 Abs. 6 StGB bereits, dass sie leichtfertig nicht erkennen, dass ein Gegenstand aus einer rechtswidrigen Tat herrührt. Bußgeld- und Strafverfahren laufen dann häufig parallel und müssen aufeinander abgestimmt werden. Mehr dazu erfahren Sie auf unserer Seite zur Strafverteidigung bei Geldwäscheverdacht.

Mit dem 2024 verabschiedeten AML-Paket ordnet die EU die Geldwäschebekämpfung neu. Die Geldwäscheverordnung AMLR gilt ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten und verdrängt wesentliche Teile des Geldwäschegesetzes. Zu den wichtigsten Neuerungen zählen:

• einheitliche Sorgfalts- und Organisationspflichten in allen Mitgliedstaaten
• grundsätzlich für jeden Verpflichteten ein Geldwäschebeauftragter und ein Compliance-Manager aus dem Leitungsorgan
• eine Schwelle für wirtschaftlich Berechtigte bereits ab 25 Prozent der Anteile oder Stimmrechte
• eine EU-weite Obergrenze für gewerbliche Barzahlungen von 10.000 Euro
• ein neu zugeschnittener Kreis der Verpflichteten

Die sechste Geldwäscherichtlinie ergänzt die Verordnung vor allem zu Aufsicht, FIU und Transparenzregistern. Die neue EU-Geldwäschebehörde AMLA in Frankfurt am Main hat ihre Arbeit 2025 aufgenommen, erarbeitet technische Standards und soll ab 2028 ausgewählte grenzüberschreitend tätige Institute direkt beaufsichtigen.

Bestehende AML- und KYC-Systeme sollten deshalb frühzeitig einer Gap-Analyse unterzogen werden. Da viele Details erst durch Standards der AMLA festgelegt werden, empfiehlt es sich, Prozesse und IT-Systeme so aufzubauen, dass sie sich noch anpassen lassen.

Wir prüfen, ob und in welchem Umfang Ihr Unternehmen dem Geldwäschegesetz unterliegt, und halten das Ergebnis belastbar fest. Darauf aufbauend entwickeln wir KYC-Prozesse, Risikoanalysen und Richtlinien, die zu Ihrem Geschäftsmodell passen, oder unterziehen bestehende Systeme einer Gap-Analyse gegenüber GwG und AMLR. Bei Verdachtsfällen, behördlichen Prüfungen und Bußgeldverfahren vertreten wir Unternehmen und Geschäftsleiter und arbeiten bei strafrechtlichen Bezügen eng mit unseren Strafverteidigern zusammen. Sprechen Sie uns an.