KYC-Prüfung gemäß Wwft: Schritte, Pflichten und Durchsetzung

Eine KYC-Prüfung (Know Your Customer) ist die Kundenprüfung, die Banken, Zahlungsinstitute, Anbieter von Krypto-Dienstleistungen, Notare, Wirtschaftsprüfer und Anwaltskanzleien in den Niederlanden gemäß dem Geldwäsche- und Terrorismusfinanzierungsgesetz (Wwft) durchführen müssen. Sie umfasst drei feste Bestandteile: die Feststellung und Verifizierung der Kundenidentität, das Verständnis der Eigentumsverhältnisse, des Zwecks der Geschäftsbeziehung und der damit verbundenen Risiken sowie die fortlaufende Überwachung der Geschäftsbeziehung. Der Umfang der einzelnen Prüfungsbestandteile richtet sich nach dem jeweiligen Risiko, daher gibt es keine allgemeingültige Vorlage. Eine fehlerhafte Akte ist nicht nur ein formaler Fehler: Sie kann aufsichtsrechtliche Maßnahmen und in schwerwiegenden Fällen strafrechtliche Konsequenzen für das betreffende Institut nach sich ziehen.

Was eine KYC-Untersuchung nach niederländischem Recht ist

Das niederländische Recht verwendet nicht die englische Abkürzung. Das Wwft spricht von „clientenonderzoek“ (Kundenprüfung) und legt in einer Bestimmung fest, was diese Prüfung leisten muss. Das Institut muss den Kunden identifizieren und seine Identität überprüfen, den wirtschaftlich Berechtigten ermitteln und angemessene Maßnahmen ergreifen, um dessen Identität zu bestätigen, den Zweck und die beabsichtigte Art der Geschäftsbeziehung feststellen, prüfen, ob die im Namen des Kunden handelnde Person dazu befugt ist, und die Beziehung sowie die damit verbundenen Transaktionen kontinuierlich überwachen. Diese fünf Elemente bilden das Fundament jeder KYC-Prüfung, unabhängig von der verwendeten Software.

Das zweite Organisationsprinzip ist die Verhältnismäßigkeit. Die Wwft schreibt einen risikobasierten Ansatz vor: Das Institut entscheidet über den Umfang der Prüfung, muss diese Entscheidung aber begründen können. Ein niederländischer Arbeitnehmer, der ein Sparkonto eröffnet, birgt ein anderes Risiko als eine Offshore-Holdingstruktur mit einem Treuhanddirektor, und dieser Unterschied sollte in der Akte deutlich werden. Aufsichtsbehörden verhängen selten Bußgelder gegen Institute, weil sie zu wenige abstrakte Fragen stellen; sie verhängen Bußgelder, weil sie keine nachvollziehbare Begründung für die gewählte Detailtiefe der Prüfung liefern können.

Wie KYC mit der Bekämpfung von Geldwäsche insgesamt zusammenhängt

KYC ist die Kundenebene eines umfassenderen Rahmens zur Bekämpfung der Geldwäsche . Dieser Rahmen beinhaltet auch Transaktionsüberwachung, Mitarbeiterschulungen, Governance, Aufzeichnungen und die Meldepflicht. Es ist wichtig, die beiden Rechtsbereiche getrennt zu betrachten. Das Wwft legt Kontrollinstanzen präventive Pflichten auf und wird hauptsächlich von Verwaltungsaufsichtsbehörden durchgesetzt. Geldwäsche selbst ist eine Straftat und in den Artikeln 420bis bis 420quater des Wetboek van Strafrecht (niederländisches Strafgesetzbuch) definiert, nicht im Wwft. Ein Institut kann daher gegen das Wwft verstoßen, ohne dass tatsächlich Geld gewaschen wurde, und ein Kunde kann Geldwäsche begehen, selbst wenn die Akte des Instituts einwandfrei ist.

Die praktische Konsequenz ist, dass eine KYC-Prüfung zwei Zwecken dient. Sie muss die Aufsichtsbehörde davon überzeugen, dass die Institution die Vorgaben der Wwft erfüllt hat, und sie muss der Institution genügend Informationen liefern, um tatsächliche Unregelmäßigkeiten zu erkennen. Akten, die nur für den ersten Zweck erstellt wurden, erfüllen in der Regel nicht den zweiten.

Welche Unternehmen müssen eine KYC-Prüfung durchführen?

Das Wwft gilt für eine bestimmte Liste von Institutionen und nicht für Unternehmen im Allgemeinen. Es umfasst Banken, Zahlungsdienstleister und E-Geld-Institute, Lebensversicherer, Investmentfirmen und Fondsmanager, Anbieter von Krypto-Asset-Dienstleistungen, Treuhandbüros, Notare und Zivilnotare, Rechtsanwälte, Wirtschaftsprüfer, Steuerberater und Verwaltungsämter, Immobilienmakler und Sachverständige, Händler, die Barzahlungen über dem im Gesetz festgelegten Schwellenwert annehmen, Kunsthändler und Pfandleiher. Auch Anbieter von Glücksspielen fallen darunter. Wenn Ihre Organisation auf dieser Liste steht, ist die Kundenprüfung obligatorisch und kann nicht ausgelagert werden: Eine Institution kann zwar Teile der Arbeit an Dritte vergeben, bleibt aber für das Ergebnis verantwortlich. Unsere Übersicht der KYC-Pflichten für niederländische Unternehmen beschreibt die Pflichten pro Kategorie detaillierter.

Für Anwaltskanzleien ist der Umfang der Meldepflicht enger gefasst, als viele Mandanten annehmen, und die Nuancen sind entscheidend. Ein niederländischer Anwalt ist nur dann zur Meldung verpflichtet, wenn er in Bezug auf bestimmte Dienstleistungen berät oder tätig wird. Dazu gehören im Wesentlichen der Kauf und Verkauf von Immobilien oder Unternehmen, die Vermögens- oder Wertpapierverwaltung, die Gründung oder Führung von Unternehmen sowie vergleichbare Transaktionen. Die Beratung zur Rechtslage eines Mandanten und die Vertretung in Gerichtsverfahren fallen nicht unter die Meldepflicht, wodurch das Anwaltsgeheimnis gewahrt bleibt. Kanzleien, die diese beiden Bereiche vermischen, melden entweder Dinge, die sie nicht melden sollten, oder unterlassen die Meldung von Dingen, die sie melden müssten.

Der rechtliche Rahmen: Wwft, das Sanktionsgesetz und das einheitliche EU-Regelwerk

Drei Regelwerke sind übereinander angeordnet, und deren Verwechslung ist der häufigste Strukturfehler in niederländischen Compliance-Dokumenten. Das Wwft regelt die Kundenprüfung und die Meldung ungewöhnlicher Transaktionen. Das Sanctiewet 1977 (Sanktionsgesetz) regelt die Überprüfung anhand von Sanktionslisten und das Einfrieren von Vermögenswerten. EU-Vorschriften stehen über beiden und übernehmen ab 2027 viele Details.

Was die WWFT benötigt

Das Wwft ist die niederländische Umsetzung der europäischen Geldwäscherichtlinien. Es verpflichtet jedes Institut, eine dokumentierte Risikobewertung durchzuführen, diese in schriftliche Richtlinien, Verfahren und Maßnahmen zu überführen, vor Aufnahme einer Geschäftsbeziehung oder Durchführung einer Transaktion oberhalb der gesetzlichen Schwellenwerte eine Kundenprüfung durchzuführen und ungewöhnliche Transaktionen der FIU-Nederland zu melden. Zudem muss das Institut die Akte fünf Jahre nach Beendigung der Geschäftsbeziehung oder der Transaktion aufbewahren und sie der Aufsichtsbehörde auf Anfrage zugänglich machen. Eine längere Aufbewahrung wird mitunter steuerlich begründet, doch die Aufbewahrungsfrist des Wwft beträgt selbst fünf Jahre. Die Speicherung personenbezogener Daten über das notwendige Maß hinaus stellt ein Problem im Sinne der DSGVO dar und ist keine unbedenkliche Standardeinstellung.

Die Sanktionsprüfung ist eine separate Aufgabe.

Die Überprüfung eines Kunden anhand der EU-Sanktionslisten ist nicht Teil der Wwft-Untersuchung; sie ergibt sich aus dem Sanctiewet 1977 und den unmittelbar anwendbaren EU-Verordnungen und betrifft einen wesentlich größeren Personenkreis. Auch die Prüfungskriterien unterscheiden sich, und diese Unterschiede sind kostspielig. Ein Unternehmen wird von einer Vermögenssperre betroffen, wenn eine benannte Person oder Einrichtung 50 % oder mehr der Anteile oder Stimmrechte hält oder anderweitig die Kontrolle darüber ausübt. Diese 50-%-Hürde für Eigentum und Kontrolle steht in keinem Zusammenhang mit der 25-%-Schwelle, die gemäß Wwft zur Identifizierung des wirtschaftlich Berechtigten verwendet wird. Institute, die lediglich bei 25 % prüfen oder annehmen, dass eine Prüfung des wirtschaftlich Berechtigten gleichzeitig eine Sanktionsprüfung darstellt, übersehen regelmäßig eingefrorene Geschäftspartner. Unsere separate Leitlinie zur Sanktionskonformität für Unternehmen beschreibt detailliert, wie diese Prüfung organisiert werden sollte.

Was ändert sich ab dem 10. Juli 2027?

Im Jahr 2024 ersetzte die Europäische Union das richtlinienbasierte System durch ein umfassenderes Maßnahmenpaket mit deutlich einheitlicherer Anwendung. Die Verordnung (EU) 2024/1624, die Geldwäscheverordnung, enthält die materiellen Sorgfaltspflichten gegenüber Kunden und gilt ab dem 10. Juli 2027. Die Richtlinie (EU) 2024/1640 regelt die Aufsicht, Register und Zentralstellen für Finanzinformationen und muss bis zum selben Datum in die EU-Verordnung umgesetzt werden. Mit der Verordnung (EU) 2024/1620 wurde die Geldwäschebehörde (AMLA) mit Sitz in Frankfurt am Main geschaffen, die 2025 ihre Tätigkeit aufnahm. Sie erarbeitet die technischen Standards und wird künftig ausgewählte grenzüberschreitend tätige Institute mit hohem Risiko direkt beaufsichtigen.

Da es sich bei der Geldwäscheverordnung um eine Verordnung handelt, gelten viele Bestimmungen des Wwft direkt aus Brüssel, und der nationale Interpretationsspielraum wird eingeschränkt. Institute, die ihre Verfahren ausschließlich auf niederländischen Aufsichtsrichtlinien basieren, sollten diese daher jetzt mit der Verordnung abgleichen, anstatt erst im Frühjahr 2027. Bis dahin ist jedoch das Wwft in seiner jetzigen Fassung geltendes Recht, und KYC-Prüfungen werden anhand dessen beurteilt.

Kundenakzeptanz, Identifizierung und Verifizierung

Die Untersuchung beginnt bereits vor der Anforderung eines einzigen Dokuments mit der Frage, welche Kunden das Institut überhaupt zu akzeptieren bereit ist.

Die eigene Risikobewertung der Institution

Die Wwft verlangt eine systematische Integritätsrisikobewertung, die die angebotenen Produkte, die genutzten Vertriebskanäle, die beteiligten Länder und die bedienten Kundentypen umfasst. Diese Bewertung ist das Dokument, das die Aufsichtsbehörden als Erstes anfordern, da alle weiteren Schritte darauf aufbauen. Sie sollte eine schriftliche Annahmerichtlinie hervorbringen, die klar festlegt, welche Geschäftsbeziehungen kategorisch abgelehnt, welche nur mit erhöhter Sorgfaltspflicht und Genehmigung durch die Geschäftsleitung zulässig sind und welche dem Standardverfahren folgen. Anonyme Konten und Geschäftsbeziehungen zu Briefkastenfirmen sind gesetzlich verboten; darüber hinaus ist die Abgrenzung eine unternehmerische Entscheidung, die das Institut begründen kann.

Eine praktikable Annahmerichtlinie schützt auch die wirtschaftliche Seite des Unternehmens. Sind die Kriterien schriftlich festgehalten, weiß der Kundenbetreuer bereits vor dem ersten Kontakt, dass ein kapitalintensiver potenzieller Kunde in einem risikoreichen Land Wochen statt Tage in Anspruch nehmen wird, und die Compliance-Abteilung wird nicht als diejenige dargestellt, die Geschäfte in letzter Minute zunichtemacht.

Identifizierung und Überprüfung von Personen

Bei natürlichen Personen erfolgt die Identitätsfeststellung anhand eines gültigen Ausweisdokuments und dessen Überprüfung. Die Online-Registrierung ist mittlerweile Standard und wird akzeptiert, sofern das Verfahren zuverlässig ist: Auslesen des Chips eines Reisepasses oder Personalausweises, verifizierter iDIN- oder DigiD-Flow, qualifizierte elektronische Identifizierung gemäß der eIDAS-Verordnung oder eine erste Zahlung von einem Konto im Namen des Kunden bei einer europäischen Bank. Unabhängig vom gewählten Verfahren muss das Institut nachweisen können, warum es angesichts des damit verbundenen Risikos ausreichend zuverlässig ist.

Datenschutz spielt dabei eine zentrale Rolle. Eine Kopie eines Ausweisdokuments enthält mehr Informationen, als die Institution benötigt, und der Grundsatz der Datenminimierung gemäß DSGVO findet uneingeschränkt Anwendung. Es sollten nur die vom Wwft benötigten Daten aufbewahrt, der Zugriff auf die Berechtigten beschränkt, Konsultationen protokolliert und die Daten planmäßig gelöscht werden. Sowohl der aufsichtsrechtliche Druck, mehr Daten zu speichern, als auch der datenschutzrechtliche Druck, weniger Daten zu speichern, sind real, und die Akte sollte eine bewusste Entscheidung zwischen diesen beiden Polen widerspiegeln.

Identifizierung von juristischen Personen

Für Unternehmen und andere juristische Personen ist ein aktueller Auszug aus dem Handelsregister der Handelskammer , ergänzt durch die Satzung und gegebenenfalls das Gesellschafterregister, die Grundlage. Der Auszug weist die gesetzlichen Geschäftsführer und die Grenzen ihrer Vertretungsbefugnis aus – ein Punkt, der häufig übersehen wird: Ein Vertrag, der nur von einer Person mit Vertretungsbefugnis unterzeichnet wird, ist für niemanden rechtsverbindlich. Für ausländische Unternehmen werden die entsprechenden Registerdokumente benötigt, die unter Umständen legalisiert oder beglaubigt übersetzt werden müssen, bevor sie rechtswirksam sind.

Sorgfaltspflichten, wirtschaftlich Berechtigte und erweiterte Sorgfaltspflichten

Sobald die Identität festgestellt ist, konzentriert sich die KYC-Untersuchung auf die Frage, die das eigentliche Risiko birgt: Wer steckt hinter dem Kunden, und ist die geplante Aktivität sinnvoll?

Den letztendlich wirtschaftlich Berechtigten finden

Der wirtschaftlich Berechtigte ist die natürliche Person, die das Unternehmen letztendlich besitzt oder kontrolliert. Bei den meisten Unternehmen gilt dies für den direkten oder indirekten Besitz von mehr als 25 Prozent der Anteile oder Stimmrechte bzw. die Kontrolle durch andere Mittel, beispielsweise durch ein vertragliches Recht zur Bestellung des Aufsichtsrats. Lässt sich nach Ausschöpfung aller zumutbaren Mittel keine solche Person ermitteln, werden die gesetzlichen Geschäftsführer als Pseudo-UBOs registriert. Diese Ausweichregelung ist als Ausnahme gedacht; Fälle, in denen sie angewendet wird, werfen sofort Fragen auf.

Das niederländische UBO-Register der Handelskammer ist nicht mehr öffentlich zugänglich. Nach dem Urteil des Gerichtshofs der Europäischen Union vom 22. November 2022, das den allgemeinen öffentlichen Zugang als unverhältnismäßigen Eingriff in die Privatsphäre einstufte, haben die Niederlande den öffentlichen Teil des Registers gesperrt. Der Zugriff ist nun gestaffelt: Zuständige Behörden und die niederländische Finanzaufsichtsbehörde (FIU-Nederland) erhalten vollständige Daten, während Wwft-Institute für ihre eigenen Kundenuntersuchungen einen begrenzten Datensatz einsehen können. Der Zugriff für Parteien mit berechtigtem Interesse wird per Verordnung geregelt. Daraus ergeben sich zwei praktische Hinweise: Das Register dient als Kontrollinstrument, nicht als alleinige Datenquelle. Ein Institut darf sich nicht allein darauf verlassen und muss sich ein eigenes Bild von der Eigentümerstruktur machen. Weichen die Angaben im Register von den eigenen Erkenntnissen des Instituts ab, muss das Institut die Diskrepanz der Handelskammer melden.

Politisch exponierte Personen und Hochrisikoländer

Eine verstärkte Sorgfaltsprüfung ist in bestimmten Situationen zwingend erforderlich und nicht nur empfehlenswert. Sie gilt, wenn der Kunde oder der wirtschaftlich Berechtigte eine politisch exponierte Person oder ein unmittelbares Familienmitglied oder ein enger Vertrauter einer solchen Person ist; dieser Status besteht auch nach dem Ausscheiden der Person aus dem Amt fort. In diesen Fällen benötigt die Wwft vor Beginn oder Fortsetzung der Geschäftsbeziehung die Zustimmung der Geschäftsleitung, Maßnahmen zur Ermittlung der Vermögens- und Geldquellen sowie eine intensivierte laufende Überwachung. Eine verstärkte Sorgfaltsprüfung ist auch dann erforderlich, wenn der Kunde in einem Land ansässig ist oder die Transaktion über ein solches Land abgewickelt wird, das die Europäische Kommission als Hochrisikoland eingestuft hat, und wenn die Geschäftsbeziehung ungewöhnlich komplex ist oder die Transaktion keinen erkennbaren wirtschaftlichen oder rechtlichen Zweck hat.

Am anderen Ende des Spektrums steht die vereinfachte Sorgfaltspflicht, die jedoch keine Ausnahme darstellt. Sie erlaubt eine weniger intensive Überprüfung und weniger häufige Kontrollen in nachweislich risikoarmen Situationen. Auch dann muss das Institut den Kunden identifizieren, die Geschäftsbeziehung überwachen und die Einstufung als risikoarm begründen können.

Geldquelle und Vermögensquelle

Die beiden Begriffe werden oft synonym verwendet, was jedoch nicht korrekt ist. Die Herkunft der Mittel bezieht sich auf das Geld, das in einer bestimmten Transaktion verwendet wurde; die Herkunft des Vermögens hingegen darauf, wie das Gesamtvermögen des Mandanten aufgebaut wurde. Ein Mandant kann die Herkunft einer einzelnen Zahlung einwandfrei erklären, während die zugrunde liegende Vermögensherkunft ungeklärt bleibt. In der Regel ist es diese zweite Diskrepanz, die zu einer behördlichen Feststellung führt. Beweise sollten, sofern das Risiko dies erfordert, in Form von Dokumenten erbracht werden: Kaufverträge, Steuererklärungen, geprüfte Jahresabschlüsse, Erbschaftsdokumente. Eine Notiz, in der der Mandant angibt, das Geld stamme aus einem Immobilienverkauf, ist kein Nachweis der Mittelherkunft.

Laufende Überwachung und die Pflicht zur Meldung ungewöhnlicher Transaktionen

Ein heute als positiv bewerteter Kunde kann morgen schon problematisch sein. Deshalb ist die Überwachung ein gesetzlich vorgeschriebener Bestandteil der Kundenprüfung und keine optionale Zusatzleistung. Das Institut muss die Geschäftsbeziehung regelmäßig überprüfen, sicherstellen, dass die durchgeführten Transaktionen dem erstellten Profil entsprechen, und die Akte aktualisieren, sobald sich die Situation ändert: ein neuer wirtschaftlich Berechtigter, ein geändertes Geschäftsmodell, negative Medienberichterstattung oder eine Verlagerung der Geldflüsse in andere Länder.

Wenn eine Transaktion ungewöhnlich wird

Das niederländische Recht befasst sich mit ungewöhnlichen Transaktionen, nicht mit dem internationalen Konzept verdächtiger Transaktionen – und diese Unterscheidung ist beabsichtigt. Die Indikatoren sind in der Uitvoeringsbesluit Wwft 2018 festgelegt. Einige sind objektiv: festgelegte Situationen und Schwellenwerte, ab denen eine Meldung automatisch und ohne Prüfung des Kunden erforderlich ist. Ein Indikator ist subjektiv und offen und erfasst jede Transaktion, bei der das Institut Grund zur Annahme hat, dass sie mit Geldwäsche oder Terrorismusfinanzierung in Verbindung stehen könnte. Bei diesem subjektiven Indikator liegt die Beurteilung im Ermessen des Instituts, und die Akten werden im Nachhinein geprüft. Unser Artikel über den Unterschied zwischen Geldwäsche und ungewöhnlichen Transaktionen erläutert das Zusammenspiel beider Konzepte.

Wie und wann man sich melden soll

Ungewöhnliche Transaktionen müssen unverzüglich über das goAML-Portal an die niederländische Finanzaufsichtsbehörde (FIU-Nederland) gemeldet werden. Es gibt keine festgelegte Frist: Die Meldung muss so schnell wie möglich erfolgen. Die Frist beginnt, sobald das Institut von der Ungewöhnlichkeit Kenntnis erlangt, was auch erst lange nach der Transaktion selbst der Fall sein kann. Auch versuchte und geplante Transaktionen fallen unter die Meldepflicht; so kann beispielsweise eine vom Institut abgelehnte Zahlung meldepflichtig sein. Die FIU-Nederland entscheidet anschließend, ob die Transaktion als verdächtig eingestuft und an die Ermittlungs- und Strafverfolgungsbehörden weitergeleitet wird; diese Entscheidung liegt nicht beim Institut.

Die Meldepflicht beinhaltet zwei Schutzmechanismen und ein Verbot. Eine in gutem Glauben erfolgte Meldung begründet keine zivilrechtliche Haftung des Instituts oder seiner Mitarbeiter, und die übermittelten Daten dürfen in einem Strafverfahren wegen der zugrundeliegenden Straftat nicht gegen das meldende Institut verwendet werden. Das Verbot betrifft die Weitergabe von Hinweisen: Das Institut darf weder den Kunden noch Dritte darüber informieren, dass eine Meldung erstattet wurde oder in Erwägung gezogen wird. Bereits die Mitteilung an einen Kunden, dass seine Zahlung gemeldet wurde, stellt einen Verstoß gegen die Meldepflicht dar.

Wenn die Ermittlungen nicht abgeschlossen werden können

Führt die Kundenprüfung nicht zum gewünschten Ergebnis, ist die Konsequenz vorgeschrieben und nicht im Ermessen des Instituts. Das Institut darf die Geschäftsbeziehung nicht eingehen, die Transaktion nicht durchführen und muss eine bestehende Geschäftsbeziehung beenden. Es muss zudem prüfen, ob die Umstände selbst eine Meldung an die niederländische Finanzaufsichtsbehörde (FIU-Nederland) rechtfertigen. Die weitere Betreuung eines Kunden, dessen Eigentümerstruktur nie geklärt wurde, mit der Begründung, die Akte werde später vervollständigt, zählt zu den häufigsten Verstößen gegen die Aufsichtspraxis in den Niederlanden.

Aufsicht, Geldstrafen und strafrechtliche Verantwortlichkeit

Die Aufsicht über die Wwft (Wildlife Regulatory and Trademarks) in den Niederlanden ist nach Sektoren aufgeteilt und nicht in einer einzigen Behörde konzentriert. Die erste Frage in jedem Vollstreckungsverfahren ist daher, welche Aufsichtsbehörde zuständig ist. Die Niederländische Zentralbank (De Nederlandsche Bank) beaufsichtigt Banken, Zahlungs- und E-Geld-Institute, Versicherer, Treuhandgesellschaften und Anbieter von Krypto-Dienstleistungen. Die Finanzmarktbehörde (Autoriteit Financiele Markten) beaufsichtigt Investmentfirmen, Fondsmanager und Finanzdienstleister. Das Finanzaufsichtsamt (Bureau Financieel Toezicht) beaufsichtigt Notare, Wirtschaftsprüfer und Steuerberater. Das Wwft-Aufsichtsamt (Bureau Toezicht Wwft), das der Steuerverwaltung untersteht, beaufsichtigt Händler, Immobilienmakler und Pfandleiher. Die Glücksspielbehörde (Kansspelautoriteit) beaufsichtigt Glücksspielanbieter, und die örtliche Anwaltskammer (Deken) beaufsichtigt Rechtsanwälte. Jede dieser Behörden veröffentlicht eigene Richtlinien, anhand derer die offenen Normen des Gesetzes in der Praxis umgesetzt werden.

Die Durchsetzungsstufen reichen von einem informellen Gespräch zur Normenübertragung über eine formelle Anweisung und eine mit einer Geldbuße verbundene Anordnung bis hin zu einer Verwaltungsstrafe. Die Wwft ordnet Verstöße verschiedenen Bußgeldkategorien zu, wobei der Höchstbetrag für die höchste Kategorie gesetzlich und durch den Besluit bestuurlijke boetes financiele sector festgelegt ist; für Finanzunternehmen kann ein umsatzabhängiger Höchstbetrag gelten. Da diese Beträge regelmäßig angepasst werden, ist nicht der Bußgeldbetrag selbst entscheidend, sondern die Tatsache, dass Bußgeldentscheidungen einschließlich des Namens des betroffenen Instituts veröffentlicht werden. Für die meisten Unternehmen richtet die Veröffentlichung mehr Schaden an als die Zahlung selbst.

Neben der administrativen Durchsetzung stellt die vorsätzliche Verletzung der Kernpflichten der Aufsichtsbehörde für Banken und Finanzinstitute (Wwft) eine Wirtschaftsstraftat dar und kann strafrechtlich verfolgt werden. Die Staatsanwaltschaft hat mit mehreren großen niederländischen Finanzinstituten strafrechtliche Vergleiche wegen Versäumnissen in ihrer Kontrollfunktion geschlossen. In diesen Fällen wurde festgestellt, dass anhaltende, strukturelle Unterinvestitionen in die Kundenprüfung als Straftat und nicht als Compliance-Verstoß geahndet werden. Auch Einzelpersonen sind gefährdet: Entscheidungsträger und Führungskräfte können persönlich strafrechtlich verfolgt werden, und bei regulierten Unternehmen führt ein Verstoß gegen die Wwft-Pflicht regelmäßig zu einer erneuten Eignungs- und Integritätsprüfung der betroffenen Vorstandsmitglieder. Wenn eine Aufsichtsbehörde oder die Staatsanwaltschaft ein Verfahren einleitet, sollte das Institut vor dem ersten Gespräch, nicht erst danach, Rechtsberatung einholen.

Wo KYC-Untersuchungen in der Praxis schiefgehen

Die meisten Probleme, die wir sehen, sind nichts Besonderes. Sie treten branchenübergreifend auf und sind lösbar.

Die erste Kategorie umfasst Dokumente, die zwar formal vorhanden, aber inhaltlich leer sind. Die Akten enthalten Ausweisdokumente, Screenshots von Sicherheitsüberprüfungen und eine Risikobewertung, doch nichts erklärt, warum die Aktivitäten des Kunden wirtschaftlich sinnvoll sind oder wie der Analyst zu diesem Schluss gekommen ist. Vorgesetzte lesen die Begründung, nicht die Anhänge. Ein kurzer schriftlicher Bericht, der von einer zweiten Person geprüft wurde, ist wertvoller als eine weitere beglaubigte Kopie.

Der zweite Aspekt betrifft Reibungspunkte mit dem kaufmännischen Bereich und die daraus resultierende Risikominimierung. Die Ablehnung oder Beendigung einer Geschäftsbeziehung aufgrund der Komplexität eines Falls anstatt aufgrund eines inakzeptablen Risikos ist keine neutrale Entscheidung. Niederländische Gerichte haben wiederholt entschieden, dass die Entscheidungsfreiheit einer Bank hinsichtlich der Ablehnung oder Beendigung einer Geschäftsbeziehung durch ihre Sorgfaltspflicht sowie durch die Grundsätze der Angemessenheit und Fairness eingeschränkt ist, insbesondere wenn der Kunde dadurch faktisch vollständig vom Zahlungsverkehr ausgeschlossen würde. Eine rechtmäßige Kündigung setzt eine dokumentierte Risikobewertung, die tatsächliche Möglichkeit für den Kunden, die fehlenden Informationen nachzureichen, und eine angemessene Kündigungsfrist voraus.

Der dritte Aspekt ist die grenzüberschreitende Komplexität. Ein niederländisches Zahlungsinstitut, das einen spanischen Kunden über eine luxemburgische Holdinggesellschaft und einen Trust in einem Drittland betreut, sieht sich mit sich überschneidenden Regelwerken konfrontiert, die selten problemlos zusammenpassen. Die praktikable Lösung besteht darin, den strengsten anwendbaren Standard anzuwenden und die Gründe dafür zu dokumentieren, anstatt in jedem einzelnen Fall einen Rechtsstreit über die widersprüchlichen Rechtsnormen auszutragen. Wenn die Struktur selbst einer Erklärung widersteht, handelt es sich dabei um Informationen über den Kunden und nicht nur um ein administratives Hindernis.

Der vierte Fehler besteht darin, Screening-Listen und Länderklassifizierungen als statisch zu betrachten. Sanktionseinstufungen ändern sich kurzfristig, und die Hochrisikoländerliste der Europäischen Kommission wird durch delegierte Verordnungen aktualisiert. Ein Screening, das nur bei der Kontoeröffnung durchgeführt wird, erfasst einen Kunden nicht, der drei Monate später eingestuft wird. Durch ein erneutes Screening des Portfolios anhand aktualisierter Listen und die Dokumentation des jeweiligen Zeitpunkts wird eine Lücke geschlossen, auf die Aufsichtsbehörden gezielt achten.

Die fünfte Annahme ist, dass Technologie das Problem löst. Automatisierte Identitätsprüfung, Namensprüfung und Transaktionsüberwachung reduzieren zwar Fehler und Kosten und liefern den vom Vorgesetzten gewünschten Prüfpfad. Sie führen aber auch zu einer Vielzahl von Fehlalarmen, und eine unbegründet geschlossene Warnung ist schlimmer als gar keine. Modelle mit kontinuierlicher Überwachung, bei denen Registeränderungen und Listenaktualisierungen eine dynamische Risikobewertung anstelle einer Aktualisierung alle fünf Jahre speisen, werden für größere Institute zum Standard, und europäische digitale Identitäts-Wallets werden die Verifizierung im Laufe der Zeit noch günstiger machen. Beides entbindet jedoch nicht von der Pflicht, den jeweiligen Kunden im Blick zu behalten.

Bringen Sie Ihr KYC-System in Ordnung

Eine erfolgreiche KYC-Prüfung basiert auf vier Säulen: einer Risikobewertung, die das Institut tatsächlich für gerechtfertigt hält, einer darauf aufbauenden Annahmerichtlinie, Dokumentationen, die die Begründung und nicht nur die Unterlagen enthalten, und einer kontinuierlichen Überwachung nach dem Onboarding. Alles Weitere, einschließlich der Software, ist Implementierungssache. Da die einheitlichen europäischen Vorschriften ab dem 10. Juli 2027 gelten, ist es sinnvoll, die Begründung jetzt festzulegen und die Details anzupassen, sobald die technischen Standards vorliegen.

Law & More Wir beraten Finanzinstitute, Krypto-Dienstleister, Treuhandgesellschaften, Wirtschaftsprüfungsgesellschaften und deren Führungskräfte zu Fragen der Einhaltung der WWFT-Richtlinien und Sanktionen. Wir erstellen und prüfen Risikobewertungen und Kundenannahmerichtlinien, führen Aktenbereinigungen durch, beraten zu Fragen der wirtschaftlich Berechtigten und Sanktionen und vertreten Institute und Vorstandsmitglieder in aufsichtsrechtlichen Untersuchungen, Vollstreckungsverfahren und strafrechtlichen Ermittlungen. Sollten Sie eine konkrete Frage oder eine Informationsanfrage einer Aufsichtsbehörde haben, kontaktieren Sie bitte unsere Anwälte.