BaFin veröffentlicht aktualisierte Auslegungs- und Anwendungs­hinweise zum Geldwäsche­gesetz und eine Orientierungshilfe zur Verdachtsmeldung

Am 29. November 2024 hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ihre überarbeiteten Auslegungs- und Anwendungshinweise zum Geldwäschegesetz (GwG) (AuA) veröffentlicht. Diese neue Fassung der AuA soll ab dem 1. Februar 2025 gelten. Gleichzeitig wurde eine mit der Zentralstelle für Finanztransaktionsuntersuchungen (FIU) abgestimmte Orientierungshilfe zu den Begriffen der Unverzüglichkeit und Vollständigkeit der Verdachtsmeldung bekannt gemacht.

Hintergrund

Die Aktualisierung geht auf das auf EU-Ebene zu Beginn des Jahres 2024 verabschiedete Geldwäsche-Paket zurück, mit dem die gesetzlichen Vorgaben zur Prävention von Geldwäsche und Terrorismusfinanzierung deutlich harmonisiert werden – mehr dazu in unserem Newsletter vom 22. Januar. Die entsprechenden Rechtsakte sind zwar im Juni/Juli dieses Jahres in Kraft getreten, haben jedoch unterschiedliche Geltungszeitpunkte. Während die Verordnung (EU) 2023/1113 (GTVO 2023) bereits ab dem 30. Dezember 2024 gilt, werden die Regelungen der Verordnung (EU) 2024/1620 (AMLA-VO) bis auf wenige Ausnahmen erst ab dem 1. Juli 2025 und die Verordnung (EU) 2024/1624 (EU-Geldwäscheverordnung) sogar erst ab dem 10. Juli 2027 unmittelbar anwendbar. Die neugefasste Richtlinie (EU) 2015/849 (AMLD) muss im Wesentlichen bis zum 10. Juli 2027 in nationales Recht umgesetzt werden.

Es gibt somit nur sehr begrenzt rechtlich zwingenden Anlass, die AuA bereits jetzt zu ändern. Gleichwohl nutzt die BaFin die anstehenden Rechtsänderungen, ihre AuA in bestimmten Bereichen an künftig geltende Vorgaben des EU-Rechts anzupassen und bei dieser Gelegenheit einige Präzisierungen und auch lediglich redaktionelle Änderungen vorzunehmen.

Die wesentlichen Neuerungen der aktualisierten AuA werden im Folgenden zusammengefasst.

Adressatenkreis und Änderungen bei Verpflichteten

Da sich der Adressatenkreis der AuA und der Status als GwG-Verpflichteter aus dem GwG selbst ergeben, besteht insoweit nur ein geringer Spielraum für Akzentuierungen durch die BaFin. Dieser wird insoweit genutzt, als in den neuen AuA für Zahlungsauslösedienstleister keine Einschränkung der anwendbaren GwG-Pflichten mehr angedeutet wird. Ferner wird hervorgehoben, dass die Pflichten nach dem GwG für Agenten und E-Geld-Agenten – vorbehaltlich der Ausnahme von der generellen Verpflichtung zur Bestellung eines Geldwäschebeauftragten – vollumfänglich gelten.

Erweiterte Risikomanagementvorgaben

Die Anforderungen an die Risikoanalyse werden in den neuen AuA präzisiert. Dazu gehört bspw., dass die Risikofaktoren im Hinblick auf Geldwäsche einerseits und Terrorismusfinanzierung andererseits getrennt voneinander betrachtet, ermittelt und dokumentiert werden sollen. Darüber hinaus werden die Anforderungen an interne Sicherungsmaßnahmen konkretisiert, wenn festgestellt wird, dass Kreditinstitute, Zahlungsinstitute und E-Geld-Institute angemessene interne Verfahren einzurichten haben, um die Einhaltung der Pflichten aus der GTVO 2023, insbesondere die neuen Vorgaben für den Transfer von Kryptowerten, zu gewährleisten. 

Geldwäschebeauftragter

Klargestellt wird, dass der Stellvertreter des Geldwäschebeauftragten grundsätzlich im Ausland tätig sein darf, sofern sichergestellt ist, dass er seine Tätigkeit im Vertretungsfall im Inland ausübt. Ebenfalls soll es ausreichend sein, dass nicht in jedem Fall der Geldwäschebeauftragte selbst der deutschen Sprache mächtig sein muss, sondern es ggf. auch ausreicht, dass sein Stellvertreter diese Sprachqualifikation aufweist, sofern es dadurch nicht zu Verzögerungen bei der Wahrnehmung der gesetzlichen Aufgaben des Geldwäschebeauftragten kommen kann.

Zumindest für Kreditinstitute dürfte die Konkretisierung der Pflichten des Geldwäschebeauftragten in den AuA kaum praktischen Anpassungsbedarf nach sich ziehen, da es bspw. bereits gängiger Praxis entspricht, Gegenstand, Umfange sowie Zuständigkeiten und Frequenzen der einzelnen Überwachungshandlungen der GwG-Vorgaben schriftlich – bspw. in einem Kontrollplan – festzuhalten.

Whistleblowing

Neu in die AuA aufgenommen werden Ausführungen zum Verhältnis der Vorgaben für Hinweisgeber („Whistleblower“) im GwG, dem Hinweisgeberschutzgesetz sowie der GTVO 2023. Zwar kann hiernach den Erfordernissen der verschiedenen Normen durch die Einrichtung einer einzigen internen Meldestelle Rechnung getragen werden, doch wird auf die Geltung von im Detail unterschiedlichen Anforderungen hingewiesen. Während nach § 6 Abs. 5 GwG bspw. eine vertrauliche Meldung vorgesehen ist, verlangt Art. 32 Abs. 2 GTVO 2023 die Möglichkeit einer anonymen Meldung.

Verkürzte Aktualisierungsfristen von Kundendaten

Die auf den ersten Blick wesentlichste Neuerung der aktualisierten AuA besteht in den neuen Vorgaben zur Aktualisierung von Kundendaten. Gestrichen werden die Maximalfristen für die Aktualisierung von Kundendaten von fünfzehn Jahren für Kunden, bei denen vereinfachte Sorgfaltspflichten angewendet werden, bzw. von zehn Jahren für Kunden, bei denen „normale“ Sorgfaltspflichten anzuwenden sind. In Übereinstimmung mit Art. 26 Abs. 2 EU-Geldwäscheverordnung wird für die erste Kundengruppe wird auf eine Maximalfrist verzichtet und eine risikoangemessene Aktualisierung verlangt, während für die zweite Kundengruppe der Zeitabstand zwischen Aktualisierungen der Kundeninformationen maximal fünf Jahre betragen soll. Bei Kunden, für die verstärkte Sorgfaltspflichten gelten, wird der maximal zulässig Aktualisierungsabstand von zwei Jahren auf ein Jahr reduziert.

Die Bedeutung dieser Änderungen in den AuA bzw. der daraus erwachsende Handlungsdruck relativiert sich dadurch, dass die Anforderungen ab dem Zeitpunkt umzusetzen sind, ab dem die EU-Geldwäscheverordnung gilt, d.h. ab dem 10. Juli 2027. Freilich sind Institute gut beraten, ihre Prozesse bereits jetzt auf die neuen Anforderungen vorzubereiten, so dass es in 2027 zu keinem kaum zu bewältigenden Rückstau an erforderlichen Aktualisierungen kommt.

Abklärung und Identifizierung wirtschaftlich Berechtigter

Bei den Ausführungen in den neuen AuA zum Umgang mit wirtschaftlich Berechtigten dürften die Änderungen zu Sammeltreuhandkonten für die Praxis besonders relevant sein. Zwar war bereits bislang anerkannt, dass Kreditinstitute für Zahlungsinstitute oder E-Geld-Institute Sammeltreuhandkonten führen konnten, mit denen diese ihre Pflichten aus § 17 ZAG erfüllen konnten; die Erleichterung für die kontoführenden Kreditinstitute waren jedoch darauf beschränkt, dass für die Kunden der Zahlungsinstitute bzw. E-Geld-Institute lediglich vereinfachte Sorgfaltspflichten gefordert wurden. Nunmehr wird unter Hinweis auf die Gesetzesbegründung zur jüngst erfolgten Ergänzung von § 1 Abs. 21 GwG ausgeführt, dass in solchen Fällen die Endkunden grundsätzlich nicht als wirtschaftlich Berechtigte zu erfassen sind, weil die Grundsätze für das Korrespondenzbankgeschäft gelten sollen. Freilich bleibt daran zu denken, dass auch im Inlands-Korrespondenzbankgeschäft eine Risikobewertung im Einzelfall besondere Sorgfaltspflichten begründen kann. Zudem wird in den AuA darauf hingewiesen, dass die Pflichten, die sich aus der BaFin-Allgemeinverfügung zur Anordnung der Speicherung von Daten in einem Dateisystem nach § 24c Abs. 1 KWG im Zusammenhang mit der Ausgabe virtueller IBAN ergeben, weiterhin gelten. Da in dieser Allgemeinverfügung auch die Erfassung der Endkunden vorgesehen ist, könnten sich die praktischen Erleichterungen der vorgenommenen Änderungen relativieren.

Besonderheiten für das Factoring

Auffällig ist, dass in den neuen AuA an einigen Stellen dezidiert auf Besonderheiten des Factoringgeschäfts eingegangen wird. Zunächst wurde in den AuA das aufgenommen, was bereits aus den gemeinsamen Auslegungs- und Anwendungshinweisen des DFV und BFM für Factoringunternehmen aus 2012 bekannt war, nämlich dass das Institut mit den Debitoren typischerweise – anders im Fall des Reverse Factorings – keine Vertragsbeziehung unterhält und daher auch nicht die allgemeinen Sorgfaltspflichten nach § 10 Abs. 1 Nr. 1-4 GwG erfüllen werden müssen. Freilich wird sodann klargestellt, dass die Pflicht zur laufenden Überwachung von Geschäftsbeziehungen nach § 10 Abs. 1 Nr. 5 GwG auch die Zahlungen von Debitoren erfasse. Ferner wird auf die Notwendigkeit verstärkter Sorgfaltspflichten nach § 25k Abs. 2 KWG auch in dem Fall hingewiesen, dass das Institut auf Bonitätsanalysen der Debitoren verzichtet und diese nicht kennt, sofern erhöhte Geldwäscherisiken erkennbar sind. Wie das praktisch funktionieren soll, wird allerdings nicht erläutert.

Besonderheiten für Kryptowertetransfers

Auf geschäftsspezifische Besonderheiten wird auch für Kryptowertetransfers eingegangen. Unter Verweis auf die neuen Pflichten in der GTVO 2023 wird festgestellt, dass der Einsatz dedizierter Software für die Erfüllung dieser Anforderungen bei entsprechender Transaktionszahl unerlässlich sei. Dies wird auch noch einmal im Kontext der Ausführungen zur laufenden Transaktionsüberwachung nach § 10 Abs. 1 Nr. 5 GwG hervorgehoben.

Änderungen bei dem Verdachtsmeldewesen

Bei den Ausführungen in den AuA zum Verdachtsmeldewesen nach § 43 GwG wird zunächst auf die in den vergangenen Monaten veröffentlichten Auslegungshilfen verwiesen, in denen Sachverhalte festgelegt wurden, die grundsätzlich keine Meldepflicht auslösen sollen bzw. in denen die Erwartungen der Aufsicht an die Unverzüglichkeit und Vollständigkeit von Verdachtsmeldungen konkretisiert wurden. Als für Institute hilfreich dürfte sich die Klarstellung erweisen, dass eine Unstimmigkeitsmeldung nach § 23a GwG nicht gleichbedeutend mit der Notwendigkeit zur Abgabe einer Verdachtsmeldung ist.

In der zeitgleich veröffentlichten Gemeinsamen Orientierungshilfe von BaFin und FIU wird klargestellt, dass bei Vorliegen eines Verdachts nach § 43 Abs. 1 GwG die Verdachtsmeldung am selben, spätestens am nächsten Werktag abzugeben ist. Etwas anderes soll nur gelten, wenn mehr Zeit benötigt wird, um Hintergrundinformationen aufzunehmen sowie Geschäftsbeziehung und Transaktion zu beschreiben, damit die Verdachtsmeldung für die FIU verständlich und auswertbar wird. Präzisiert wird zudem, dass Verpflichtete weitere Sachverhaltsaufklärung vornehmen dürfen, wenn zwar gewisse Auffälligkeiten erkannt wurden, diese aber noch nicht die – geringe – Verdachtsschwelle des § 43 Abs. 1 GwG erreicht haben.

Entsprechend bislang schon kommunizierten Erwartungen vertritt die BaFin in den AuA die Auffassung, dass zwar eine Transaktion nach Abgabe einer Verdachtsmeldung grundsätzlich nach Ablauf des dritten Werktages freigegeben werden darf, sofern keine Untersagung durch die zuständige Behörde erfolgt ist, doch ein weiteres Anhalten der Transaktion für das Institut geboten sein kann, wenn sich Hinweise auf Geldwäsche oder Terrorismusfinanzierung aufdrängen. Dies mag zwar mit dem Wortlaut des § 46 Abs. 1 GwG („darf frühestens durchgeführt werden“) vereinbar sein, jedoch wird angesichts einer zunehmend kritischen Rechtsprechung damit das Risiko einer zu langen Kontosperre in bedenklicher Weise auf die Verpflichteten verlagert.

Mit den AuA werden zudem die Verpflichtungen eines Instituts nach Abgabe einer Verdachtsmitteilung modifiziert. Erhält er bspw. innerhalb von 21 Kalendertagen keine Rückmeldung, dass die Verdachtsmitteilung nach § 43 Abs. 1 S. 1 Nr. 1 und Nr. 3 GwG für eine weitere Analyse identifiziert wurde, ist künftig ab diesem Zeitpunkt die Anwendung verstärkter Sorgfaltspflichten nicht zwingend erforderlich. Für eine Mitteilung wegen des Verdachts auf Terrorismusfinanzierung dagegen sollen Institute auch ohne Rückmeldung der FIU für einen Zeitraum von mindestens sechs Monaten verstärkte Sorgfaltspflichten bei dem betreffenden Kunden anwenden.

Verschiedenes

Weitere Änderungen betreffen Klarstellungen und integrieren das in die AuA, was die BaFin bereits an anderer Stelle kommuniziert hatte. So wird bspw. betont, , dass – unbeschadet der Regelungen zu vereinfachten Sorgfaltspflichten – die zur Überprüfung erhobener Daten nach §§ 12 f. GwG verwendeten Dokumente im Original vorliegen müssen, sofern keine Ausnahme durch Rechtsvorschrift zugelassen ist.

Fazit

Die neuen AuA stellen die Verpflichteten, die der Aufsicht der BaFin unterstehen, vor Herausforderungen. Sie haben sehr sorgfältig für ihr jeweiliges Geschäft zu analysieren, ob und inwieweit sie ihre internen Maßnahmen zur Prävention von Geldwäsche und Terrorismusfinanzierung anzupassen haben. Zwar gehen Änderungen zu wesentlichen Teilen lediglich auf redaktionelle Anpassungen oder eine bereits geübte Verwaltungspraxis zurück, so dass kein Handlungsbedarf indiziert sein sollte. An anderen Stellen werden jedoch durchaus wichtige Neuakzentuierungen vorgenommen, die Anpassungsbedarf in der internen Organisation nach sich ziehen dürften. Daher ist insbesondere Instituten zu empfehlen, sich intensiv mit den neuen AuA auseinanderzusetzen und etwaigen Handlungsbedarf zu analysieren. Die neuen AuA zeigen einmal mehr, dass die AML-/CTF-Compliance weiterhin ein sich dynamisch entwickelnder Bereich bleibt. Ein Ende dieser Entwicklung ist nicht absehbar.