Compliance und KYC sind in Europa nicht voneinander zu trennen. EU-Richtlinien haben zu einer Harmonisierung der gesetzlichen Regelungen geführt; dennoch gibt es weiterhin Unterschiede in den einzelnen Mitgliedsstaaten. In diesem Artikel erfahren Sie, was KYC ist und warum sich die KYC-Verfahren in Deutschland im Vergleich zu anderen EU-Ländern unterscheiden. Zudem klären wir, welche Bedeutung KYC für deutsche Unternehmen hat und welche Anforderungen sie erfüllen müssen, um rechtskonform zu handeln.

Worum geht es in diesem Artikel?

• Was ist KYC und welchen Zweck erfüllt es?
  
• Warum und wie unterscheiden sich die KYC-Anforderungen in Deutschland?
  
• Welche KYC-Anforderungen müssen deutsche Unternehmen erfüllen?
  

Was ist KYC und welchem Zweck dient es?

Die Abkürzung KYC steht für „Know Your Customer“. Die damit verbundenen Grundsätze setzen internationale Standards zur Bekämpfung von Geldwäsche, Terrorismusfinanzierung, Betrug, Korruption und anderen Formen der Finanzkriminalität. Dazu gehört eine Reihe von Vorschriften und Verfahren, die in erster Linie darauf abzielen, Kundinnen und Kunden, deren Eigentumsverhältnisse und deren wirtschaftlichen Hintergrund zu ermitteln und zu überprüfen.

Der KYC-Prozess deckt potenzielle Risiken in neuen oder bestehenden Geschäftsbeziehungen auf – beispielsweise Briefkastenfirmen oder Geldmittel aus zweifelhaften Quellen. Für Unternehmen ist dies von Bedeutung, da es ihnen hilft, Betrug zu verhindern, indem sie ihre Kundinnen und Kunden identifizieren. Im Grunde geht es darum, zu überprüfen, ob Kundinnen und Kunden tatsächlich die Personen sind, für die sie sich ausgeben.

KYC wird in verschiedenen Branchen weltweit eingesetzt, insbesondere im Bereich der steuerlichen Abläufe und der regulatorischen Compliance.

• Finanzsektor: Banken, Versicherungsgesellschaften, Kreditinstitute und Zahlungsdienstleister sind gesetzlich verpflichtet, KYC-Maßnahmen durchzuführen.
  
• E-Commerce und Marktplätze: Plattformen, auf denen Finanztransaktionen stattfinden, nutzen KYC, um Betrug zu verhindern.
  
• Fintech und Kryptowährungen: Kryptobörsen und Wallet-Anbieter müssen die Identität ihrer Kundinnen und Kunden überprüfen, um unter anderem Geldwäsche zu verhindern.
  
• Immobilienbranche: Beim Kauf oder der Vermittlung von Immobilien werden die wirtschaftlichen Verhältnisse der Kundinnen und Kunden überprüft.
  
• Rechts- und Unternehmensberatung: Anwaltskanzleien und Wirtschaftsprüfer/innen nutzen KYC zur Überprüfung von Mandanten und Partnern.
  

In vielen Ländern ist KYC ein wichtiger Bestandteil regulatorischer Verpflichtungen. Die spezifischen Kriterien variieren jedoch je nach Region erheblich, was international tätige Unternehmen vor Herausforderungen stellen kann. Einige Länder haben strenge Anforderungen, andere bieten mehr Flexibilität.

In den Vereinigten Staaten sind die Compliance-Bestimmungen von KYC relativ streng. Der USA PATRIOT Act und der Bank Secrecy Act verlangen umfassende Identitätsprüfungen, um illegale Steuerströme frühzeitig zu erkennen und zu verhindern. Finanzinstitute müssen Kundinnen und Kunden authentifizieren und ihre Transaktionen kontinuierlich überwachen, um verdächtige Aktivitäten zu melden.

KYC gewinnt in Asien zunehmend an Bedeutung. An Finanzplätzen wie Singapur und Hongkong haben Banken und andere Dienstleister klare Richtlinien für die Identitätsprüfung. Die 6. EU-Geldwäscherichtlinie (6AMLD), die einheitliche Mindeststandards für alle EU-Mitgliedstaaten festlegt, handelt für KYC. Trotz gemeinsamer Ziele gibt es länderspezifische Unterschiede bei der Umsetzung.

Warum und wie unterscheiden sich die KYC-Anforderungen in Deutschland?

Deutsche Unternehmen stehen vor einer besonderen Herausforderung bei der KYC-Compliance. Hierfür gibt es verschiedene Gründe.

Gesetzliche Vorschriften

In Deutschland werden die EU-Geldwäscherichtlinien mit dem „Gesetz über das Aufspüren von Gewinnen aus schweren Straftaten“ (GwG) in nationales Recht umgesetzt. Das Geldwäschegesetz gilt im internationalen Vergleich als verhältnismäßig streng und detailliert. Die Anforderungen an die Identitätsprüfung von Kundinnen und Kunden sowie an die Dokumentations- und Meldepflichten sind hoch. Deutsche Banken müssen beispielsweise nicht nur bei einer Kontoeröffnung oder großen Transaktionen KYC-Checks durchführen. Sie sind verpflichtet, die Geschäftsbeziehungen regelmäßig zu kontrollieren, um Verdachtsmomente frühzeitig melden zu können. Diese kontinuierliche Überprüfung erfordert hohe Investitionen in Compliance-Prozesse und -Systeme.

Transparenzregister

Ein weiterer zentraler Unterschied zu anderen europäischen Ländern ist das deutsche Transparenzregister. Das Transparenzregister ist eine Datenbank, die Informationen über wirtschaftlich Berechtigte (siehe § 3 GwG) von Unternehmen enthält und der Bekämpfung von Geldwäsche und Steuerhinterziehung dient. Behörden und andere Unternehmen können über das Register verdächtige Aktivitäten aufdecken, Geldflüsse nachvollziehen und versteckte Vermögensverhältnisse identifizieren.

Seit dem 1. August 2021 ist das deutsche Transparenzregister ein sogenanntes Vollregister. Damit sind nahezu alle inländischen Unternehmen dazu verpflichtet, ihre wirtschaftlich Berechtigten mit vollständigen Datensätzen zu melden. In anderen EU-Ländern bleibt das Transparenzregister ein sogenanntes Auffangregister, in dem Unternehmen nur dann Angaben machen müssen, wenn die wirtschaftlich Berechtigten nicht in anderen offiziellen Quellen zu finden sind. Damit ist der Verwaltungsaufwand für Unternehmen in Deutschland höher: Sie müssen immer eine separate Meldung machen.

Darüber hinaus sind Unternehmen in Deutschland gesetzlich verpflichtet, ihre Angaben regelmäßig zu prüfen und zu aktualisieren. Verstöße gegen die Transparenzpflichten können als Ordnungswidrigkeit zu Bußgeldern in Höhe von 150.000 € führen. Schwerwiegende, wiederholte oder systematische Verstöße können im Einzelfall mit einem Bußgeld von 5 Millionen € oder zehn Prozent des Gesamtumsatzes geahndet werden. In anderen EU-Ländern können die Strafen geringer ausfallen beziehungsweise werden seltener durchgesetzt.

BaFin

Die starke Rolle der BaFin ist ein weiterer Unterschied zu anderen Ländern in puncto KYC. Die Bundesanstalt für Finanzdienstleistungsaufsicht kontrolliert als Finanzaufsichtsbehörde für Deutschland unter anderem Banken und deren Geschäfte. KYC und Compliance gehen dabei Hand in Hand, denn die BaFin erhält nicht nur Einblicke in die Bilanzen, sondern auch in die Geschäftspraktiken der Banken. Verstöße werden mit Sanktionen geahndet, die von Abmahnungen und Bußgeldern bis zum Entzug der Banklizenz reichen können. In Deutschland müssen Finanzinstitute und andere Unternehmen mit einer sehr intensiven Überwachung und schnellen Sanktionierung bei Verfehlungen rechnen. In anderen Ländern sind vergleichbare Aufgaben oft auf mehrere Behörden verteilt, was zu einer weniger stringenten Kontrolle führen kann.

Welche KYC-Anforderungen müssen deutsche Unternehmen erfüllen?

Deutsche Unternehmen müssen dem Geldwäschegesetz folgend zahlreiche Anforderungen im Rahmen des KYC-Verfahrens erfüllen. Die wichtigsten Anforderungen finden Sie nachfolgend im Überblick.

Allgemeine Due Diligence-Pflichten

In Abschnitt 10 des GwG sind die allgemeinen Due Diligence-Pflichten aufgeführt, die Unternehmen im Hinblick auf die Compliance mit den KYC-Vorschriften erfüllen müssen. Dazu gehören:

• Die Identifizierung der Vertragsparteien
  
• Die Feststellung, ob die Vertragsparteien im Namen von wirtschaftlichen Eigentümerinnen/Eigentümern handeln, und gegebenenfalls die Ermittlung dieser Personen
  
• Die Feststellung, ob die Vertragsparteien politisch exponierte Personen sind oder diesen nahestehen
  
• Klärung des Zwecks der Geschäftsbeziehung des Unternehmens
  
• Überwachung der Beziehung und der kontinuierlich durchgeführten Transaktionen
  

Zur korrekten Identifizierung natürlicher Personen sind gemäß § 11 Abs. 4 GwG folgende Daten erforderlich:

• Vor- und Nachname
  
• Geburtsort und -datum
  
• Staatsangehörigkeit
  
• Anschrift
  

Unternehmen müssen für eine juristische Person oder eine Personengesellschaft folgende Daten erheben:

• Unternehmen, Name oder Bezeichnung
  
• Rechtsform
  
• Registrierungsnummer (falls vorhanden)
  
• Anschrift des eingetragenen Firmensitzes oder der Hauptniederlassung
  
• die Namen der Mitglieder des Vertretungsorgans oder die Namen der gesetzlichen Vertreter/innen
  

Da die Identifizierung der Kundinnen und Kunden den Kern des KYC-Prinzips bildet, müssen Unternehmen eine geeignete technische Lösung einsetzen. Mit Stripe Identity können Sie amtliche Ausweisdokumente aus über 100 verschiedenen Ländern überprüfen. Diese umfassende Überprüfung stellt eine technische Herausforderung dar, da es weltweit unterschiedliche Standards für Ausweise gibt. Darüber hinaus ermöglicht Identity den biometrischen Abgleich von Passfotos und Selfies sowie die Überprüfung von Namen, Geburtsdaten und Sozialversicherungsnummern.

Interne Sicherheitsmaßnahmen

Die Compliance mit den KYC-Vorschriften erfordert interne Kontrollmechanismen, die ein wirksames Risikomanagement ermöglichen, das der Art und dem Umfang der Geschäftstätigkeit angemessen ist. Unternehmen müssen unter anderem auf der Grundlage der Absätze 4, 6 und 7 des GwG folgende Maßnahmen ergreifen:

• Überprüfung der Zuverlässigkeit der Mitarbeiter/innen
  
• Regelmäßige Unterrichtung der Mitarbeiter/innen über aktuelle Methoden der Geldwäsche und die geltenden Vorschriften
  
• Ernennung einer/eines qualifizierten Geldwäschebeauftragten und einer/eines Stellvertreterin/Stellvertreters
  
• Bereitstellung von Informationen auf Anfrage der Finanzermittlungsstelle (FIU)
  
• Einrichtung eines Whistleblowing-Systems, damit verantwortungsbewusste Mitarbeiter/innen Verstöße gegen das GwG vertraulich melden können
  

Risikoanalyse

Gemäß § 5 GwG sind Unternehmen verpflichtet, jede Geschäftsbeziehung oder Transaktion zu prüfen. Ziel ist es, die Risiken der Geldwäsche und der Terrorismusfinanzierung zu ermitteln und zu bewerten. Eine Liste der wichtigsten Risikofaktoren finden Sie in den Anhängen 1 und 2 des GwG. Diese beziehen sich auf die Kundinnen und Kunden, das Produkt, die Dienstleistung oder den Geschäftsbetrieb sowie auf den geografischen Standort der Organisation. Besteht nur eine geringe Gefährdung, müssen Unternehmen lediglich vereinfachte Due Diligence erfüllen (siehe § 14 GwG).

Aufbewahrungspflicht

Gemäß § 8 GwG müssen Unternehmen alle Daten aus KYC-Verfahren sorgfältig aufzeichnen und mindestens fünf Jahre lang aufbewahren. Dazu gehören Informationen über Vertragspartner, Kopien von Ausweisdokumenten, Angaben zu Geschäftsbeziehungen sowie Risikoanalysen.

Meldepflicht

Besteht der Verdacht, dass bestimmte Aktivitäten oder Geschäfte zu Geldwäsche oder Terrorismusfinanzierung führen könnten, sind Sie verpflichtet, dies der FIU zu melden. Gemäß § 43 GwG gilt diese Meldepflicht unabhängig vom Wert des Vermögensgegenstands oder vom Transaktionsbetrag.