BAFINS AML-ÜBERARBEITUNG: AUSWIRKUNGEN AUF FIRST UND SECOND LINE OF DEFENCE

Am 29. November 2024 veröffentlichte die BaFin eine aktualisierte Auslegungs- und Anwendungshinweise zum Geldwäschegesetz („GwG“), die am 1. Februar 2025 in Kraft tritt. Mit diesem lange erwarteten Update verfolgt die BaFin das Ziel, die Wirksamkeit der Maßnahmen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AML/CFT) zu stärken und gleichzeitig eine einheitliche Umsetzung der einschlägigen gesetzlichen Anforderungen bei allen beaufsichtigten Unternehmen sicherzustellen.

Die aktualisierten Auslegungs- und Anwendungshinweise bringen wesentliche Änderungen sowohl für die First Line als auch für die Second Line Defence mit sich. In diesem Artikel beleuchten wir die wichtigsten Neuerungen für die First Line of Defence und deren Auswirkungen auf die Verpflichteten – mit besonderem Fokus auf zwei zentrale Aspekte: die Fristen für die Überprüfung von Kundenprofilen und die Identifizierung der wirtschaftlich Berechtigten.

Verkürzte Aktualisierungspflichten für Kundeninformationen

Eine der zentralen Neuerungen betrifft die Fristen zur Aktualisierung von Kundeninformationen. Die neuen Intervalle sind wie folgt:

• Vereinfachte Sorgfaltspflichten: Die Frist für die Aktualisierung von Kundeninformationen bei vereinfachten Sorgfaltspflichten wird künftig risikobasiert gestaltet. Es gibt keine pauschale Frist mehr, sondern die Aktualisierungsfrequenz hängt vom Risikoprofil des Kunden ab. Bei niedrigen Risiken bleiben diese Intervalle flexibel.
• Normales Risiko: Kunden, die als normal risikobehaftet eingestuft werden, müssen nun alle fünf Jahre (bisher alle zehn Jahre) ihre Informationen aktualisieren.
• Hohes Risiko: Bei Kunden mit hohem Risiko ist nun eine jährliche Aktualisierung erforderlich (bisher alle zwei Jahre).

Zusätzlich präzisiert die BaFin in ihren Ausführungen, dass die Prüfung der Daten einer juristischen Person (z.B. GmbH oder AG) durch den Abruf von Unternehmensdokumenten wie Handelsregisterauszügen erfolgen kann. Hier hatte die BaFin ursprünglich eine Frist von nur vier Wochen nach Ausstellung des Dokuments gefordert, welche jedoch auf nun drei Monate verlängert wurde. Dies bedeutet, dass Verpflichtete mehr Zeit haben, um relevante Dokumente zu prüfen. Die genaue Frist erstreckt sich nun vom Ausstellungsdatum des Dokuments bis zum Zeitpunkt der ersten Verarbeitung der Informationen durch die Verpflichteten. Für die Praxis ergibt sich daraus, dass Unternehmen ihren internen Prüfprozess bezüglich der Dokumentenüberprüfung anpassen müssen, da die Fristen flexibler gestaltet wurden, aber dennoch eine regelmäßige Kontrolle erforderlich bleibt.

Zudem hat die BaFin klargestellt, dass in Fällen mit geringem Risiko auch ein amtlicher Personalausweis einer Behörde oder öffentlichen Stelle als Nachweis zur Überprüfung der Identität verwendet werden kann, was die Anforderungen an die Verifizierung der Identität bei solchen Kunden vereinfacht. Hierbei wird jedoch betont, dass nicht alle Datenpunkte, wie sie in den §§ 10 Abs. 1 Nr. 1, 11 Abs. 4 Nr. 2 GwG beschrieben werden, in solchen Fällen zwingend erfasst werden müssen. Dies bietet den Verpflichteten eine gewisse Flexibilität, da sie nicht alle Daten im Detail erfassen müssen, wenn das Risiko als gering eingeschätzt wird.

In Kapitel 4.5.2 der AuAs wird klargestellt, dass die BaFin auch zunehmend den Einsatz von kommerziellen Datenbanken, bei der Pürfung, ob ein Kunde oder dessen wirtschaftlicher Eigentümer eine politisch exponierte Person (PEP) ist, akzeptiert. Dies ist von erheblicher Bedeutung, da PEPs einem erhöhten Risiko hinsichtlich Geldwäsche und Korruption ausgesetzt sind. Verpflichtete müssen jedoch sicherstellen, dass sie stets die neuesten Listen verwenden, die von ihren Dienstleistern bereitgestellt werden, um diese Risikoanalyse korrekt durchzuführen. Dies erfordert eine regelmäßige Überprüfung und gegebenenfalls den Austausch von Daten mit externen Anbietern.

Die verkürzten Fristen und die detaillierteren Anforderungen an die Kundeninformationen führen zu einer Erhöhung des Arbeitsaufwands für Unternehmen. Insbesondere die jährliche Überprüfung von Kunden mit hohem Risiko erfordert eine signifikante Aufstockung der personellen und technischen Ressourcen. Unternehmen müssen ihre Systeme so anpassen, dass sie die Aktualisierungen effizient und fristgerecht vornehmen können. Die Verwaltung von Handelsregisterauszügen und die Integration kommerzieller Datenbanken in die Risikomanagementsysteme erhöhen die Komplexität und den administrativen Aufwand.

Identifizierung von wirtschaftlich Berechtigten

Ein weiterer wesentlicher Bestandteil der aktualisierten BaFin’s Ausleguns- und Anwendungshinweise betrifft die Anforderungen zur Identifizierung der wirtschaftlich Berechtigten. Dies ist eine zentrale Maßnahme im Rahmen der Geldwäschebekämpfung, da der wirtschaftlich Berechtigte die Person ist, die letztlich die Kontrolle über eine juristische Person oder ein Konstrukt ausübt.

Laut den neuen Vorgaben müssen Verpflichtete die Informationen über den wirtschaftlich Berechtigten direkt beim Vertragspartner oder der auftretenden Person einholen. Das bedeutet, dass die alleinige Nutzung öffentlicher Quellen, Auskunfteien oder des Transparenzregisters nicht ausreicht. Diese Quellen können nur als ergänzende Informationsquelle dienen, aber sie dürfen nicht die primäre Grundlage für die Identifizierung des wirtschaftlich Berechtigten darstellen.

Die Verpflichtung, diese Informationen direkt vom Vertragspartner zu erhalten, führt zu einer intensiveren Kommunikation und einer genaueren Überprüfung der Daten. Für Unternehmen bedeutet dies, dass sie detaillierte Nachweise über die Eigentümerstruktur ihrer Kunden und deren wirtschaftlich Berechtigte einfordern müssen.

Die BaFin hat zudem eine wichtige Änderung hinsichtlich börsennotierter Unternehmen vorgenommen. Nach der neuen Regelung sind Tochtergesellschaften von börsennotierten Unternehmen von der Verpflichtung zur Identifizierung der wirtschaftlich Berechtigten befreit, wenn die Muttergesellschaft mehr als 75 % der Anteile besitzt. Zuvor galt diese Ausnahme nur, wenn die Muttergesellschaft mindestens 50 % der Anteile hielt.

Die direkte Erhebung von Informationen bei Vertragspartnern und das Erfordernis einer detaillierten Überprüfung der wirtschaftlich Berechtigten wird den administrativen Aufwand erheblich erhöhen. Unternehmen müssen in ihren Compliance-Abteilungen eng mit den Vertriebsteams zusammenarbeiten, um sicherzustellen, dass alle erforderlichen Daten korrekt und vollständig erfasst werden.

Fazit

Die überarbeiteten BaFin-Vorgaben zur Aktualisierung von Kundeninformationen und zur Identifizierung wirtschaftlich Berechtigter bringen signifikante Änderungen für die Verpflichteten mit sich. Unternehmen müssen ihre Compliance-Prozesse anpassen, was insbesondere die Arbeitsbelastung in den Bereichen Dokumentenprüfung, Risikomanagement und Kommunikation mit Kunden betrifft.