Neue EU-Vorgaben zu Kundensorgfaltspflichten: worum es jetzt geht
Mit der Geldwäscheverordnung (EU) 2024/1624 wird der europäische Rahmen zur Geldwäschebekämpfung weiter vereinheitlicht. Im Mittelpunkt stehen die Kundensorgfaltspflichten, also die Pflichten von Verpflichteten, Kunden zu identifizieren, deren Identität zu überprüfen und den Zweck sowie die beabsichtigte Art einer Geschäftsbeziehung zu verstehen. „Verpflichtete“ sind hierbei Unternehmen und Berufsgruppen, die aufgrund ihrer Tätigkeit typischerweise für Geldwäsche oder Terrorismusfinanzierung missbraucht werden könnten. Dazu zählen je nach nationaler Ausgestaltung und Tätigkeitsprofil insbesondere Akteure aus dem Finanzsektor sowie ausgewählte Nichtfinanzunternehmen.
Die Verordnung sieht vor, dass die EU-Antigeldwäschebehörde AMLA bis zum 10.07.2026 Entwürfe technischer Regulierungsstandards ausarbeitet und der EU-Kommission zur Annahme vorlegt. Technische Regulierungsstandards sind detaillierte, fachlich präzise Regelwerke, die den allgemeinen gesetzlichen Rahmen konkretisieren und dadurch ein einheitliches Vorgehen in der Praxis ermöglichen sollen. Genau an dieser Stelle ist nun Bewegung entstanden: Die AMLA hat eine Konsultation zum Entwurf eines solchen Standards eingeleitet, die bis zum 08.05.2026 läuft, und bittet insbesondere Verpflichtete aus Finanz und Nichtfinanzsektor um Feedback. Für Unternehmen, Steuerberatende und Finanzinstitutionen ist das praxisrelevant, weil sich daraus absehbar ein harmonisierter, stärker ausdifferenzierter Erwartungskatalog für KYC-Prozesse ergibt, also für „Know Your Customer“ als Sammelbegriff für Identifizierung, Überprüfung und laufende Aktualisierung von Kundendaten.
Wichtig ist dabei der risikobasierte Ansatz. Das bedeutet, dass Tiefe und Intensität der Prüfungen sich nach dem konkreten Geldwäscherisiko richten sollen. In der Praxis verlangt dieser Ansatz eine nachvollziehbare Dokumentation, warum in einem Fall Standardmaßnahmen ausreichen und in einem anderen Fall verstärkte Maßnahmen erforderlich sind. Gerade bei kleinen und mittelständischen Unternehmen, bei Onlinehändlern mit vielen Neukunden oder in stark regulierten Bereichen wie Pflegeeinrichtungen und Krankenhäusern, die mit unterschiedlichen Zahlungsströmen, Kostenträgern und Dienstleistern arbeiten, kommt es darauf an, Sorgfaltspflichten effizient, aber prüfungssicher in Prozesse zu integrieren.
Identifizierung und Verifizierung: welche Informationen künftig im Fokus stehen
Der Entwurf des Standards legt detailliert fest, welche Informationen bei der Identifizierung und Überprüfung zu erheben sind. Bei natürlichen Personen werden sämtliche Vor und Nachnamen, wie sie im Identitätsdokument geführt sind, hervorgehoben. Beim Geburtsort soll mindestens das Geburtsland erfasst werden; zusätzliche Angaben sind einzubeziehen, soweit sie im Ausweisdokument enthalten sind. Zudem sollen alle Staatsangehörigkeiten berücksichtigt werden. Gibt eine Person mehrere Staatsangehörigkeiten in gutem Glauben an, soll nur eine Staatsangehörigkeit überprüft werden. Für staatenlose Personen oder Personen mit Flüchtlingsstatus sollen diese Statusinformationen eingeholt werden.
Für die Identitätsprüfung sollen grundsätzlich Ausweisdokument, Pass oder gleichwertige Dokumente herangezogen werden. Gleichzeitig betont der Entwurf, dass Verpflichtete sicherstellen müssen, dass sie den Inhalt von Originaldokumenten in einer Fremdsprache verstehen. Das hat unmittelbare organisatorische Folgen: In der Kundenannahme und in der Bestandskundenpflege braucht es Prozesse, die Übersetzungs und Plausibilitätsprüfungen abbilden, ohne dass operative Teams regelmäßig in rechtliche oder sprachliche Unsicherheiten geraten. Für Situationen, in denen bestimmte natürliche Personen, etwa Flüchtlinge, kein klassisches Ausweisdokument vorlegen können, wird ein von einer öffentlichen Behörde ausgestelltes Dokument als gleichwertig anerkannt, wenn es Vor und Nachnamen, Geburtsdatum, Geburtsort und ein Foto enthält.
Bei juristischen Personen steht neben dem eingetragenen Namen oder einem abweichenden Handelsnamen die Rechtsform, Registrierangaben und die Sitzanschrift im Zentrum. Als verlässliche und unabhängige Quellen zur Verifizierung nennt der Entwurf beispielsweise Gesellschaftsvertrag oder Satzung, Handelsregisterauszug, Gründungsurkunde sowie geprüfte Jahresabschlüsse. Besonders praxisprägend ist der Fokus auf das Verständnis von Eigentums und Kontrollstrukturen, einschließlich komplexer Strukturen und Trusts. „Wirtschaftlicher Eigentümer“ ist die natürliche Person, die letztlich Eigentum oder Kontrolle ausübt. Nach dem Entwurf ist eine Abfrage des Zentralregisters, also des Transparenzregisters, notwendig, aber nicht ausreichend. Ergänzend sollen weitere öffentliche Register oder zuverlässige nationale Systeme konsultiert werden, sofern Zugang besteht. Darüber hinaus können Informationen auch aus anderen Quellen stammen, beispielsweise aus Nebenkostenabrechnungen. Falls kein wirtschaftlich Beteiligter ermittelbar ist, sollen ersatzweise gleichwertige Daten zu einem Mitglied der Führungsebene erhoben werden. Für diese Personen kann statt der Privatanschrift auch die Geschäftsanschrift des Rechtsträgers erfasst werden.
Ein weiterer Schwerpunkt ist die Identifizierung und Überprüfung von Personen, die vorgeben, im Namen des Kunden zu handeln. Gerade in Konzernstrukturen, im Mittelstand mit filialisierten Betrieben oder in Branchen mit vielen externen Dienstleistern ist diese Prüfung oft der neuralgische Punkt, weil Vollmachten, Rollen und Verantwortlichkeiten nicht immer zentral dokumentiert sind. Der Entwurf macht deutlich, dass eine saubere Rollen und Berechtigungslogik sowie eine revisionssichere Ablage der Nachweise zur Kernanforderung der Compliance werden.
Screening, PEP-Prüfung und elektronische Identifizierung im risikobasierten Ansatz
Der Entwurf adressiert ausdrücklich den Einsatz von automatischen Screening Tools oder eine Kombination aus automatischem Screening und manuellen Kontrollen. Gemeint ist insbesondere die Identifizierung politisch exponierter Personen. Politisch exponierte Personen sind Personen, die wichtige öffentliche Ämter ausüben oder ausgeübt haben; bei ihnen gelten aufgrund eines erhöhten Korruptions und Geldwäscherisikos häufig strengere Prüfanforderungen. Zusätzlich soll geprüft werden, ob Kunden oder wirtschaftlich Eigentümer gezielten finanziellen Sanktionen unterliegen. In der Praxis bedeutet das, dass Sanktionslisten Screening nicht als punktuelle Maßnahme am Anfang einer Geschäftsbeziehung verstanden werden darf, sondern als prozessual verankerte, regelmäßig aktualisierte Kontrollhandlung, deren Ergebnisse nachvollziehbar dokumentiert werden müssen.
Ein zentraler Teil ist die elektronische Identifizierung, insbesondere für Identitätsprüfungen ohne persönlichen Kontakt. Der Entwurf sieht vor, dass Verpflichtete elektronische Identifizierungsmittel nach der eIDAS-Verordnung (EU) Nr. 910/2014 mit den Vertrauensniveaus substanziell oder hoch oder qualifizierte Vertrauensdienste nutzen sollen. Wenn diese Mittel nicht verfügbar oder nicht zumutbar sind, dürfen Fernidentifikationslösungen eingesetzt werden. Diese müssen amtliche Ausweisdokumente erfassen und bestimmte Sicherheitsanforderungen erfüllen. Zudem müssen Verpflichtete gegenüber den zuständigen Behörden nachweisen können, dass die eingesetzten Fernidentifikationsverfahren die Anforderungen erfüllen, und begründen, warum keine Identifizierung nach den Vorgaben der Geldwäscheverordnung (EU) 2024/1624 möglich war.
Weiter wird ein Attributrahmen erwähnt, der sich an der Durchführungsverordnung (EU) 2024/2977 zur European digital Identity Wallet orientiert. Kerngedanke ist, dass elektronische Identifizierungsmittel und qualifizierte Vertrauensdienste bestimmte Attribute mitbringen müssen, um sie für Standard und verstärkte Sorgfaltspflichten verwenden zu können. Fehlen notwendige Attribute, müssen Verpflichtete zusätzliche Maßnahmen ergreifen, um die fehlenden Informationen anderweitig zu ermitteln und zu überprüfen. Für digital aufgestellte Unternehmen, etwa Plattformen oder Onlinehändler, aber auch für Banken und Zahlungsdienstleister, ist das besonders wichtig, weil die Customer Journey schnell und medienbruchfrei bleiben soll, ohne dass Compliance Risiken entstehen. Genau hier entscheidet sich, ob digitale Identprozesse nur formal „online“ sind oder ob sie regulatorisch robust, skalierbar und auditfähig umgesetzt werden.
Umsetzung und Fristen: was Unternehmen jetzt vorbereiten sollten
Nach Annahme durch die EU-Kommission wird die delegierte Verordnung im EU-Amtsblatt veröffentlicht und tritt 20 Tage später in Kraft. Besonders relevant ist die Übergangsperspektive für Bestandskunden. Für Kundenbeziehungen, die bereits vor der Veröffentlichung bestanden, müssen Dokumente, Daten und Informationen auf risikosensibler Basis an die neuen Anforderungen angepasst werden. Maßgeblich sind dabei die in der Geldwäscheverordnung (EU) 2024/1624 vorgesehenen Fristen: spätestens innerhalb eines Jahres für Kunden mit erhöhtem Risiko und innerhalb von fünf Jahren für alle anderen Kunden. Diese Fristen klingen großzügig, werden in der Praxis aber schnell eng, wenn Datenhaushalte historisch gewachsen sind, Stammdaten in mehreren Systemen liegen oder wirtschaftlich Eigentümer in komplexen Strukturen nicht konsistent dokumentiert wurden.
Für die Umsetzung empfiehlt sich ein prozessorientierter Blick: Entscheidend ist nicht nur, welche Daten erhoben werden, sondern dass die Erhebung, die Überprüfung, die Aktualisierung und die Ablage nachvollziehbar miteinander verzahnt sind. In der täglichen Arbeit entstehen typische Reibungspunkte bei der Anforderung von Unterlagen, beim Umgang mit Fremdsprachen Dokumenten, bei der Prüfung von Vertretungsberechtigungen sowie beim Nachhalten fehlender Attribute in elektronischen Identverfahren. Unternehmen profitieren daher, wenn sie ihre Datenmodelle, Berechtigungskonzepte und Dokumentationslogik frühzeitig so ausrichten, dass die risikobasierte Entscheidung in jedem Einzelfall begründet werden kann. Für Steuerberatende und Finanzinstitutionen bedeutet das auch, Mandanten und Kunden rechtzeitig auf neue Datenanforderungen, zusätzliche Nachweise und mögliche Nachforderungen im Bestand hinzuweisen, um operative Engpässe zu vermeiden.
Im Fazit lässt sich festhalten, dass der Entwurf der technischen Regulierungsstandards den Trend zu stärker harmonisierten und zugleich detaillierteren Kundensorgfaltspflichten in der EU fortsetzt und die Messlatte für digitale, prüfungssichere KYC und UBO Prozesse weiter anhebt. Wenn Sie diese Anforderungen effizient in Ihre Abläufe integrieren wollen, unterstützen wir als Kanzlei kleine und mittelständische Unternehmen dabei, Buchhaltungs und Compliance Prozesse zu digitalisieren, schlank zu gestalten und dadurch spürbare Kostenersparnisse zu realisieren.
Gerichtsentscheidung lesen
