Nach Angaben der Exekutivbehörde der Kommission zur Verhinderung von Geldwäsche und Währungsdelikten (SEPBLAC) aus dem Jahr 2024 wurden in Spanien infolge der obligatorischen „Know Your Customer”-Überprüfungen (KYC) mehr als 24.000 Warnungen wegen verdächtiger Transaktionen festgestellt. Der Großteil der Warnungen (86 %) entfiel auf Finanzinstitute, gefolgt von Nichtfinanzinstituten (11,6 %) und anderen Arten von Unternehmen (2,6 %).

In Spanien sind bestimmte Unternehmen rechtlich zur Durchführung von KYC-Kontrollen verpflichtet. Jedes Unternehmen, das die Betrugserkennung und Betrugsprävention verbessern möchte, kann dies jedoch auch freiwillig tun. Unabhängig davon, ob KYC für Ihr Unternehmen obligatorisch ist oder nicht, sollten Sie wissen, wie es umgesetzt wird. In diesem Artikel erklären wir KYC, seinen Zwecks und seine Verfahren.

Worum geht es in diesem Artikel?

• Was bedeutet „Know Your Customer” (KYC)?
  
• Was sind die Vorteile von KYC?
  
• Wer ist in Spanien zur Umsetzung von KYC-Verfahren verpflichtet?
  
• Rechtliche Anforderungen für KYC-Verfahren in Spanien
  
• Beispiel für ein KYC-Verfahren in Spanien
  
• So vereinfacht Stripe Identity KYC-Verfahren
  
• Häufig gestellte Fragen zu KYC in Spanien
  

Was bedeutet „Know Your Customer” (KYC)?

Ein KYC-Verfahren dient dazu, die Identität von Kundinnen und Kunden zu überprüfen, bevor Dienstleistungen in Anspruch genommen oder Online-Käufe getätigt werden. Ziel ist es, das Risiko von Betrug und anderen Finanzdelikten wie Geldwäsche zu verringern.

Zur Überprüfung der Kundenidentität und zur Minderung von Sicherheitsrisiken – darunter Identitätsdiebstahl und Diebstahl personenbezogener Daten – können Unternehmen Mechanismen wie die Zwei-Faktor-Authentifizierung und digitale Signaturen einsetzen.

Was sind die Vorteile von KYC?

Abgesehen davon, dass es in einigen Branchen eine zwingende Vorschrift ist, bietet die Einführung von KYC Unternehmen, die in digitalen Umgebungen tätig sind, Vorteile auf operativer und strategischer Ebene. Dies sind die wichtigsten Vorteile der Integration von KYC-Verfahren:

• Betrugsvorbeugung
  Die Überprüfung der Identität von Kundinnen und Kunden erschwert es betrügerischen Akteuren, Zugang zu erhalten. KYC ist die erste Barriere, die jeden Kunden oder jede Kundin überprüft. Dies ist besonders wichtig in einer digitalen Umgebung, in der Fälle von Identitätsdiebstahl 14 % der Anfragen an das Nationale Institut für Cybersicherheit (INCIBE) ausmachen.
  
• Operative Stabilität
  Die strikte Einhaltung des Gesetzes zur Verhinderung von Geldwäsche ist wichtig, um die Geschäftskontinuität zu gewährleisten. Zusätzlich zu finanziellen Strafen kann ein mangelhaftes KYC-System zur Aussetzung der Unternehmensaktivitäten oder zur Disqualifizierung von Direktorinnen und Direktoren führen.
  
• Automatisierung und Genauigkeit bei der Datenverarbeitung
  Die meisten modernen KYC-Lösungen nutzen optische Zeichenerkennung (OCR) und künstliche Intelligenz (KI), um Informationen aus Dokumenten mit hoher Genauigkeit zu extrahieren. Da keine manuelle Dateneingabe mehr erforderlich ist, minimieren diese KYC-Lösungen menschliche Fehler. Dies kann zu zuverlässigen und standardisierten Kundendatensätzen führen.
  
• Schnelles Onboarding
  Einer der Hauptgründe für den Abbruch während des Registrierungsvorgangs ist ein langsames oder komplexes Onboarding. Die Integration eines flexiblen KYC-Systems kann diese Erfahrung verändern. So kann beispielsweise ein Prozess, der zuvor physische Unterlagen und lange Wartezeiten erforderte, nun innerhalb von Sekunden abgeschlossen werden. Darüber hinaus sind einige KYC-Lösungen mit Ausweisdokumenten aus Dutzenden von Ländern kompatibel, was die Einführung in neuen Märkten erleichtert.
  

Wer ist in Spanien zur Umsetzung von KYC-Verfahren verpflichtet?

Die Verordnung (EU) 2024/1624 legt den Rechtsrahmen für die Anwendung von KYC-Richtlinien und -Verfahren in der EU fest. Jeder Mitgliedstaat hat jedoch die Befugnis, eigene rechtliche Nuancen einzuführen.

In Spanien regelt das Gesetz 10/2010 zur Verhinderung von Geldwäsche und Terrorismusfinanzierung hauptsächlich das KYC-System. Nachfolgend finden Sie eine Liste der Unternehmen, die gesetzlich verpflichtet sind, bei der Aufnahme oder Aufrechterhaltung einer Geschäftsbeziehung in Spanien Identitätsdaten zu erheben und zu überprüfen

Finanzinstitute

Finanzinstitute sind einem höheren Risiko betrügerischer Transaktionen ausgesetzt, da sie sich auf die Verwaltung der finanziellen Ressourcen ihrer Kundinnen und Kunden konzentrieren. Dies spiegelt sich in den Daten der SEPBLAC wider, aus denen hervorgeht, dass Banken, Sparkassen, Zahlungsinstitute und andere Kreditinstitute im Jahr 2024 die meisten hinweisbasierten Meldungen hatten. Hier finden Sie eine vollständige Liste der Finanzinstitute, die KYC-Verfahren implementieren müssen:

• Kreditinstitute
  
• Lebens- oder Investmentversicherungsgesellschaften
  
• Investmentdienstleistungsunternehmen
  
• Investmentfondsverwalter und -gesellschaften
  
• Pensionsfondsverwalter
  
• Venture-Capital-Verwalter und -Gesellschaften
  
• Gegenseitigkeitsgesellschaften (d. h. gemeinnützige Organisationen, die spanische kleine und mittlere Unternehmen [KMU] finanzieren und dem Gesetz 1/1994 unterliegen)
  
• E-Geld- und Zahlungsinstitute
  
• Geldwechsler
  
• Kryptowährungsdienstleister
  

Nichtfinanzinstitute

Einige Unternehmen außerhalb des Finanzsektors sind ebenfalls an risikoreichen Transaktionen beteiligt. Laut SEPBLAC verzeichneten Lotterieveranstalter, Registerführer und Notarinnen und Notare im Jahr 2024 die höchste Anzahl an hinweisbasierten Meldungen. Die folgenden Nichtfinanzinstitute müssen KYC-Verfahren implementieren:

• Dienstleister/innen von Zahlungsanweisungen, sofern ihre Haupttätigkeit im Bereich Logistik und nicht im Bereich Zahlungsinstitute liegt
  
• Kreditvermittler und Kreditgeber, die ohne Banklizenz tätig sind und rechtlich nicht als Kreditinstitute oder Finanzkreditinstitute gelten
  
• Immobilienentwickler/innen und -makler/innen mit Mietgeschäften von mindestens 10.000 € pro Monat oder 120.000 € pro Jahr
  
• Wirtschaftsprüfer/innen, externe Buchhalter/innen und Steuerberater/innen
  
• Notarinnen und Notare sowie Grundbuchführer, Registerführer für bewegliches Vermögen und Handelsregisterführer
  
• Rechtsanwälte/Rechtsanwältinnen und Notare/Notarinnen bei bestimmten Transaktionen im Namen von Kundinnen und Kunden, wie Finanz- oder Immobilientransaktionen
  
• Fachleute, die Dienstleistungen für Kapitalgesellschaften und Trusts erbringen
  
• Casinos
  
• Händler/innen mit Schmuck, Edelsteinen oder Edelmetallen
  
• Kunst- oder Antiquitätenhändler/innen oder -makler/innen
  
• Verkäufer/innen von Waren mit Rückkaufangeboten
  
• Lotterie- und Glücksspielanbieter bei der Auszahlung von Gewinnen
  
• Verkäufer/innen von Waren mit Käufen durch Nichtansässige in Spanien im Wert von mehr als 10.000 € und Bezahlung mit risikoreichen Zahlungsmethoden wie Bargeld
  
• Stiftungen und Vereine, wenn sie Gelder spenden oder erhalten
  
• Verwalter von Wertpapierabwicklungs- und Zahlungssystemen
  

Auch wenn ein Unternehmen gesetzlich nicht verpflichtet ist, ein KYC-System einzuführen, wird dessen Implementierung empfohlen, um das Betrugsrisikomanagement zu verbessern. Da KYC die Überprüfung der Identität und der finanziellen Aktivitäten von Kundinnen und Kunden umfasst, kann dieser Prozess dazu beitragen, Gefahren wie Identitätsdiebstahl zu mindern.

Rechtliche Anforderungen für KYC-Verfahren in Spanien

Im Gesetz 10/2010 sind auch die Anforderungen festgelegt, die alle Unternehmen erfüllen müssen, die KYC-Verfahren implementieren müssen. Die Anforderungen sind in Sorgfaltspflichten und Kontrollmaßnahmen unterteilt. Die wichtigsten dieser Anforderungen werden im Folgenden beschrieben.

Due Diligence

Zur Due Diligence gehört das Sammeln von Informationen über die Identität und die wirtschaftlichen Aktivitäten der Kundinnen und Kunden. Die Sorgfaltspflichten werden entsprechend dem Risikoniveau des Kunden oder der Kundin, der Art des Produkts oder der Art der Transaktion angewendet. Diese Risikoanalyse muss im Voraus schriftlich festgehalten werden, um das Risikoprofil und letztlich die geltenden Anforderungen zu bestimmen.

Due Diligence für Profile mit geringem Risiko

In Fällen, in denen die Analyse ergibt, dass das Risikoprofil gering ist, erlauben die Vorschriften die Anwendung vereinfachter Sorgfaltspflichten. Dadurch werden die Verfahren vereinfacht, ohne die Einhaltung der Vorschriften zu beeinträchtigen. Die wichtigsten Anforderungen werden im Folgenden beschrieben:

• Identifizierung des Kunden bzw. der Kundin
  Der erste Schritt für Unternehmen oder Fachleute, die KYC-Verfahren implementieren, ist die formelle Identifizierung des Kunden bzw. der Kundin. Handelt es sich um eine juristische Person (zum Beispiel ein Unternehmen, das ein Büro kaufen möchte), muss der/die wirtschaftliche Eigentümer/in identifiziert werden (d. h. die Person, die mehr als 25 % des Unternehmens besitzt oder kontrolliert).
  
• Überprüfung der beruflichen oder geschäftlichen Tätigkeiten
  Die für das KYC-Verfahren zuständige Stelle muss überprüfen, ob die berufliche oder geschäftliche Tätigkeit des Kunden oder der Kundin wahrheitsgemäß ist (zum Beispiel anhand der Gehaltsabrechnung oder der Unternehmensgewinne). Diese Überprüfung muss angemessen sein (d. h. in einem angemessenen Verhältnis zum Risikoniveau der Transaktion stehen).
  
• Feststellung des Zwecks der Transaktion
  Als Nächstes muss der Zweck des Kunden oder der Kundin bei der Durchführung der Finanztransaktion ermittelt werden. Dieser muss mit der zuvor überprüften beruflichen oder geschäftlichen Tätigkeit übereinstimmen. Wenn der Zweck der Transaktion beispielsweise darin besteht, einen Teil der Ersparnisse des Unternehmens für Investitionen in Kryptowährungen zu verwenden, kann ein Kauf von Bitcoin im Wert von 500.000 € angemessen sein, wenn das Unternehmen einen Jahresumsatz von mehreren Millionen Euro erzielt. Für eine Einzelperson mit einem Monatsgehalt von 1.500 € wäre dies jedoch nicht angemessen.
  
• Umsetzung einer kontinuierlichen Überwachung
  Das KYC-System beschränkt sich nicht nur auf den Beginn der Geschäftsbeziehung. Vielmehr umfasst es eine kontinuierliche Überwachung. Wenn ein Kunde oder ein Kundin beispielsweise zum Zeitpunkt seiner bzw. ihrer Investition in einen Fonds ein Gehalt von 2.900 € bezog, nun aber arbeitslos und ohne Einkommen ist, ist es für das Finanzinstitut wichtig, diese Information zu kennen. Daher ist es wichtig, die Kundendaten zu aktualisieren, wenn sich wesentliche Änderungen in ihrem Profil ergeben.
  

Due-Diligence-Anforderungen für risikoreiche Profile

Wenn die Analyse ergibt, dass das Kundenprofil, die Transaktion oder der erworbene Vermögenswert ein hohes Risiko darstellt, werden verstärkte Sorgfaltspflichten umgesetzt. Diese gelten zusätzlich zu den Anforderungen für risikoarme Profile. Im Folgenden erläutern wir einige der in Spanien gängigsten Maßnahmen:

• Ermittlung der Herkunft der Gelder
  Diese verstärkte Maßnahme gilt beispielsweise, wenn der Kunde oder die Kundin eine Position mit öffentlicher Verantwortung innehat, wie beispielsweise ein/e Minister/in oder ein/e hochrangige/r leitende/r Parteifunktionär/in einer politischen Partei mit Vertreterinnen und Vertretern im Parlament.
  
• Anforderung einer elektronischen Signatur
  Wenn die Transaktion elektronisch erfolgt, muss das Unternehmen die Identität des Kunden oder der Kundin mit einer elektronischen Signatur überprüfen, die den Anforderungen der Verordnung (EU) 910/2014 entspricht.
  
• Einholung einer ausdrücklichen Genehmigung
  Bei bestimmten grenzüberschreitenden Zahlungen von einer spanischen Bank an eine ausländische Bank ist vor der Überweisung eine ausdrückliche Genehmigung der Geschäftsleitung erforderlich.
  

Kontroll- und Informationsmaßnahmen

Wenn die Ergebnisse der Due-Diligence-Prüfung auf mögliche illegale Aktivitäten hindeuten, muss das für das KYC-Verfahren verantwortliche Unternehmen die folgenden Kontroll- und Informationsmaßnahmen ergreifen:

• Sonderprüfung
  Das Unternehmen muss seine internen Kontrollprotokolle anwenden, um den konkreten Fall zu untersuchen und einen Bericht zu erstellen, in dem die Gründe für den Verdacht und die gewonnenen Erkenntnisse detailliert dargelegt werden.
  
• Indikationsbasierte oder systematische Meldung
  Wenn die Ergebnisse der Sonderprüfung den ursprünglichen Verdacht bestätigen oder verstärken, muss das Unternehmen einen Bericht an die SEPBLAC senden, in dem die Identität des Kunden oder der Kundin, seine bzw. ihre Aktivitäten und die verdächtige Transaktion detailliert beschrieben werden. Auch wenn keine Verdachtsmomente vorliegen, ist es obligatorisch, einen systematischen Bericht über diejenigen Transaktionen zu senden, deren Ursprung oder Ziel in Ländern mit hohem Geldwäscherisiko liegt.
  
• Stornierung der Transaktion
  Das Unternehmen muss von der Durchführung der Transaktion absehen, es sei denn, dies ist unmöglich oder könnte den Verlauf der Untersuchung behindern.
  
• Verbot der Offenlegung
  Es ist dem Unternehmen untersagt, den Kundinnen und Kunden oder Dritte über die Meldung an die SEPBLAC zu informieren, unabhängig davon, ob es sich um eine indikationsbasierte oder eine systematische Meldung handelt.
  
• Zusammenarbeit mit Behörden
  Wenn die zuständigen Behörden zusätzliche Informationen anfordern, muss das Unternehmen diese schnell und genau bereitstellen, um die Ermittlungen zu erleichtern.
  
• Aufbewahrung von Unterlagen
  Das Unternehmen muss alle Unterlagen, welche die Einhaltung der rechtlichen Anforderungen für KYC-Verfahren in Spanien belegen, 10 Jahre lang aufbewahren.
  

Beispiel für ein KYC-Verfahren in Spanien

Obwohl die Sorgfaltspflichten gegenüber Kundinnen und Kunden je nach Risikoprofil und Geschäftsart variieren, sind die grundlegenden Schritte in den meisten Fällen ähnlich. Im Folgenden finden Sie ein Beispiel für ein KYC-Verfahren in Spanien:

• Auf das Formular zugreifen
  Booking.com ist das meistgenutzte Buchungssystem für Unterkünfte im B2C-Bereich in Spanien und liegt sogar vor Direktbuchungen bei Hotels. Die Geschäftsleitung eines traditionellen Hotels beschließt, im Rahmen ihrer Strategie zur digitalen Transformation eine Geschäftsbeziehung mit diesem Online-Reisebüro aufzunehmen. Um auf der Plattform tätig zu werden, muss zunächst das KYC-Formular von Booking.com ausgefüllt werden.
  
• Art des Unternehmens festlegen
  Booking.com stellt je nach Art des Unternehmens unterschiedliche Anforderungen. Selbstständige müssen beispielsweise nur ihre persönlichen Daten und Bankverbindung angeben. Da das Hotel jedoch im Handelsregister als Gesellschaft mit beschränkter Haftung (Sociedad Limitada, S.L.) eingetragen ist, wählen die Hotelmanager/innen die Option „Unternehmen”.
  
• Formular ausfüllen
  Der Vertreter bzw. die Vertreterin füllt das Formular im Namen der S.L. aus. Um als Partnerunternehmen tätig zu sein, fordert Booking.com Informationen wie den Firmennamen, das Gründungsdatum und die Internationale Bankkontonummer (IBAN) für das Bankkonto des Unternehmens an.
  
• Informationen überprüfen und Risiko analysieren
  Nach Erhalt des Formulars führt Booking.com den Überprüfungsvorgang durch, der mehrere Schritte umfasst, darunter die Identifizierung der Inhaber/innen der S.L. und die Überprüfung, ob die Angaben mit den Einträgen im Handelsregister übereinstimmen. Anschließend wird eine Risikoanalyse durchgeführt und bei positivem Ergebnis eine Geschäftsbeziehung mit dem Hotel aufgenommen.
  
• KYC-Verfahren für Buchungen implementieren
  Es ist üblich, dass Plattformen wie Booking.com dieses Verfahren auf Kundinnen und Kunden ausweiten, die Hotelbuchungen vornehmen, um ihre KYC-Protokolle zu stärken. In diesem Video demonstrieren wir den Identitätsprüfungsvorgang mit Stripe Identity und die Schritte, die Kundinnen und Kunden während des Buchungsablaufs durchführen müssen.
  

So vereinfacht Stripe Identity KYC-Verfahren

Wenn Sie rechtlich verpflichtet sind, in Spanien ein KYC-System zu implementieren, müssen Sie sicherstellen, dass die Verfahren zur Datenerfassung mit der Datenschutz-Grundverordnung (DSGVO) konform sind. Stripe Identity erleichtert diese Aufgabe, indem es die Identitätsprüfung während des Onboardings vereinfacht und die spanischen KYC-Vorschriften einhält.

Mit Identity können Sie die Identität Ihrer Kundinnen und Kunden überprüfen und das Risiko vertraulicher Datenlecks verringern. Darüber hinaus vereinfacht es die Arbeit der Expertenteams für Betrugsaufdeckung, indem es manuelle Aufgaben reduziert und gleichzeitig legitimen Kundinnen und Kunden hilft, von schnelleren und einfacheren Verifizierungsvorgängen zu profitieren.

Darüber hinaus kann die Kombination von Stripe Payments, der Online-Zahlungsplattform von Stripe, mit Stripe Radar, dem Betrugstool von Stripe, dazu beitragen, betrügerische Angriffe zu verhindern. Grund dafür sind die Sicherheitsmaßnahmen dieser Systeme und die Vermeidung von Fehlalarmen, die sich auf die Konversion auswirken könnten.

Für Plattformen und Marktplätze kann Stripe Connect die KYC-Verfahren im Zusammenhang mit der Verwaltung von Zahlungen zwischen mehreren Parteien vereinfachen. Es integriert KYC-Überprüfungen für Kundinnen und Kunden sowie Überprüfungen für Unternehmen und Fachleute, die ihre Produkte und Dienstleistungen auf Ihrer Website anbieten.

Häufig gestellte Fragen zu KYC in Spanien

Ist es obligatorisch, KYC-Verfahren für alle Transaktionen durchzuführen?

Ob KYC-Verfahren obligatorisch sind oder nicht, hängt von der Art des Unternehmens ab. Finanzinstitute (zum Beispiel Kreditinstitute und Kryptowährungsdienstleister) müssen KYC-Verfahren für alle Transaktionen anwenden. Einige Nicht-Finanzunternehmen sind jedoch nur in bestimmten Fällen zur Durchführung dieser Überprüfungen verpflichtet. Beispielsweise müssen Geschäfte und Gewerbetreibende das KYC-Verfahren bei Transaktionen mit Nichtansässigen für Beträge über 10.000 €, die mit risikoreichen Zahlungsmethoden bezahlt werden, durchführen.

Was geschieht, wenn das KYC-Verfahren trotz seiner Verbindlichkeit nicht umgesetzt wird?

Verstößt ein Unternehmen gegen die Verpflichtung zur Umsetzung von KYC-Verfahren, muss es mit entsprechenden Strafen rechnen. Geringfügige Verstöße – wie etwa die Nichtidentifizierung eines Kunden oder eine Kundin bei einer einzelnen Transaktion – können zu privaten Verwarnungen oder Geldstrafen von bis zu 60.000 € führen. Bei schwerwiegenden Verstößen, wie der Nichtidentifizierung des Kunden oder der Kundin bei Anzeichen oder Gewissheit von Geldwäsche oder Terrorismusfinanzierung, beträgt die Mindeststrafe 60.000 €. Bei sehr schweren Verstößen, einschließlich Wiederholungsfällen, beträgt die Mindeststrafe 150.000 Euro. Zusätzlich zu den Geldstrafen können schwere und sehr schwere Verstöße weitere Konsequenzen nach sich ziehen, wie beispielsweise die vorübergehende Aussetzung der behördlichen Betriebsgenehmigung und die Disqualifizierung von Führungskräften.

Ist es ratsam, KYC-Verfahren in einem E-Commerce-Unternehmen zu implementieren?

Zwar sind E-Commerce-Unternehmen rechtlich nicht verpflichtet, ein KYC-System zu implementieren, doch wird dies zur Aufdeckung und Verhinderung von Betrug im E-Commerce empfohlen. Durch das Sammeln von Informationen über Kundinnen und Kunden und ihre wirtschaftlichen Aktivitäten können Sie das Risikoniveau in Geschäftsbeziehungen bestimmen und gegebenenfalls zusätzliche Vorsichtsmaßnahmen treffen, um Bedrohungen wie Identitätsdiebstahl zu vermeiden. Die Implementierung des KYC-Verfahrens ohne gesetzliche Verpflichtung wird insbesondere für Unternehmen empfohlen, die risikoreichere Zahlungsmethoden akzeptieren, wie beispielsweise E-Commerce-Unternehmen, die Kryptowährungszahlungen oder Ratenzahlungen akzeptieren.