Geldwäschegesetz (GwG): die Pflichten im Überblick

Das Geldwäschegesetz (GwG) ist die zentrale deutsche Rechtsgrundlage der Geldwäscheprävention. Es setzt die europäischen Geldwäscherichtlinien um und legt fest, welche Pflichten Verpflichtete erfüllen müssen, um zu verhindern, dass das Finanz und Wirtschaftssystem für Geldwäsche oder Terrorismusfinanzierung genutzt wird.

Was Geldwäsche bedeutet

Geldwäsche bezeichnet den Vorgang, Vermögenswerte aus rechtswidrigen Quellen als legal erscheinen zu lassen. Klassisch werden drei Phasen unterschieden: die Platzierung, mit der Mittel in den Wirtschaftskreislauf gelangen, die Verschleierung, mit der die Herkunft durch Transaktionsketten verdeckt wird, und die Integration, mit der die Mittel scheinbar legal zurückfließen. Die Prävention setzt an allen drei Phasen an.

Nicht zu verwechseln mit § 261 StGB

Das deutsche Geldwäscherecht steht auf zwei Beinen. Das GwG regelt die vorbeugenden Pflichten der Verpflichteten, § 261 StGB regelt die Strafbarkeit der Geldwäsche selbst. Eine Verdachtsmeldung nach dem GwG ist deshalb keine Strafanzeige, und umgekehrt ersetzt eine Strafanzeige die Meldung nicht. Wer beides abgibt, teilt das der FIU mit der Meldung mit.

Wer verpflichtet ist

§ 2 GwG benennt die Verpflichteten. Dazu zählen unter anderem:

• Kreditinstitute und Finanzdienstleistungsinstitute,
• Zahlungsinstitute und E-Geld-Institute,
• Anbieter von Krypto-Dienstleistungen,
• Rechtsanwälte, Notare und Steuerberater für bestimmte Tätigkeiten,
• Güterhändler und Immobilienmakler ab bestimmten Schwellen.

Die Pflichten im Überblick

Sorgfaltspflichten

§ 10 Absatz 1 zählt sie einzeln auf, und die Aufzählung ist präziser als die übliche Kurzformel:

• den Vertragspartner und gegebenenfalls die für ihn auftretende Person identifizieren und prüfen, ob diese Person dazu berechtigt ist;
• abklären, ob der Vertragspartner für einen wirtschaftlich Berechtigten handelt, und diesen identifizieren, was bei nicht natürlichen Personen die Pflicht einschließt, die Eigentums und Kontrollstruktur mit angemessenen Mitteln in Erfahrung zu bringen;
• Informationen über Zweck und angestrebte Art der Geschäftsbeziehung einholen und bewerten, soweit sie sich nicht bereits zweifelsfrei ergeben;
• mit angemessenen, risikoorientierten Verfahren feststellen, ob Vertragspartner oder wirtschaftlich Berechtigter eine politisch exponierte Person, ein Familienmitglied oder eine bekanntermaßen nahestehende Person ist;
• die Geschäftsbeziehung kontinuierlich überwachen.

Die Vertretungsprüfung in der ersten Zeile wird in der Praxis oft übersprungen. Details im Leitfaden zu den Sorgfaltspflichten.

Wann verstärkte Sorgfaltspflichten greifen

Verstärkte Sorgfaltspflichten kommen zu den allgemeinen hinzu, nicht an ihre Stelle. Sie greifen, wenn die Risikoanalyse oder der Einzelfall ein höheres Risiko ergibt, und in den gesetzlich benannten Fällen: bei politisch exponierten Personen, Familienmitgliedern und nahestehenden Personen, und bei Geschäftsbeziehungen oder Transaktionen mit Bezug zu einem von der Europäischen Kommission ermittelten Drittstaat mit hohem Risiko.

Für Kryptowerte gibt es seit § 15a eine eigene Fallgruppe: die Übertragung von einer selbst gehosteten Adresse oder an eine solche löst verstärkte Pflichten aus. Wer Krypto-Dienstleistungen erbringt, sollte diese Fallgruppe getrennt in den Regelwerken abbilden.

Aufzeichnung und Aufbewahrung

Fünf Jahre, und der Umfang geht über die Ausweiskopie hinaus. Aufzuzeichnen sind auch die Informationen über Durchführung und Ergebnis der Risikobewertung, die Angemessenheit der daraufhin ergriffenen Maßnahmen und, für die Bewertung eines Sachverhalts, die Erwägungsgründe und eine nachvollziehbare Begründung des Bewertungsergebnisses.

Das ist die Stelle, an der Prüfungen scheitern: die Unterlagen sind vollständig, aber es steht nirgends, warum ein Sachverhalt als unbedenklich bewertet wurde. Die Begründung selbst ist Teil der Aufzeichnungspflicht, und ihr Fehlen ist bußgeldbewehrt.

Verdachtsmeldung

Gemeldet wird, wenn Tatsachen vorliegen, die darauf hindeuten, dass ein Vermögensgegenstand aus einer Vortat der Geldwäsche stammt oder ein Sachverhalt mit Terrorismusfinanzierung zusammenhängt. Die Meldung erfolgt unverzüglich und unabhängig vom Wert des Vermögensgegenstandes oder der Höhe der Transaktion.

Es gibt einen dritten, weniger bekannten Meldetatbestand: Wenn der Vertragspartner seine Pflicht nicht erfüllt, offenzulegen, ob er die Geschäftsbeziehung oder Transaktion für einen wirtschaftlich Berechtigten begründen oder durchführen will, ist auch das meldepflichtig. Die verweigerte Auskunft ist damit selbst ein Meldeanlass, nicht nur ein Grund, die Beziehung nicht einzugehen.

Das Verbot der Informationsweitergabe

Verpflichtete dürfen den Vertragspartner, den Auftraggeber der Transaktion und sonstige Dritte weder über eine beabsichtigte oder erstattete Meldung informieren noch über ein daraufhin eingeleitetes Ermittlungsverfahren oder ein Auskunftsverlangen der FIU.

Ausgenommen sind die Weitergabe an staatliche Stellen und der Austausch innerhalb derselben Unternehmensgruppe zwischen bestimmten Verpflichteten, auch mit Zweigstellen und Gruppenunternehmen in Drittstaaten, sofern diese dort geldwäscherechtlichen Pflichten unterliegen. Diese Ausnahme ist die Grundlage gruppenweiter Verfahren und sollte dokumentiert sein, bevor sie genutzt wird.

Unstimmigkeitsmeldung an das Transparenzregister

Wer Einsicht in das Transparenzregister nimmt, hat eine Folgepflicht: Abweichungen zwischen den dort zugänglichen Angaben und den eigenen Erkenntnissen über den wirtschaftlich Berechtigten sind der registerführenden Stelle unverzüglich zu melden.

Eine Unstimmigkeit liegt vor, wenn Eintragungen ganz fehlen, wenn einzelne Angaben nach § 19 Absatz 1 abweichen oder wenn ein abweichender wirtschaftlich Berechtigter ermittelt wurde. Die zugrunde liegende Ermittlung muss den Vorgaben des § 3 folgen, was in der Praxis bedeutet: die eigene Feststellung muss belastbar sein, bevor die Meldung abgesetzt wird. Wie diese Feststellung aufgebaut wird, steht im Leitfaden zum wirtschaftlich Berechtigten.

Risikomanagement und Geldwäschebeauftragter

Verpflichtete müssen über ein wirksames Risikomanagement verfügen, eine dokumentierte und regelmäßig überprüfte Risikoanalyse erstellen, interne Sicherungsmaßnahmen schaffen und deren Funktionsfähigkeit überwachen, Datenverarbeitungssysteme betreiben und aktualisieren und die Mitarbeitenden schulen. Je nach Größe und Tätigkeit ist ein Geldwäschebeauftragter samt Stellvertreter zu bestellen, und ein Mitglied der Leitungsebene zu benennen.

Aufsicht: BaFin und FIU

Die BaFin konkretisiert die Anforderungen in ihren Auslegungs und Anwendungshinweisen und beaufsichtigt die ihr zugewiesenen Verpflichteten. Verdachtsmeldungen gehen an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU).

Sanktionen

Verstöße sind Ordnungswidrigkeiten, und das Gesetz staffelt die Rahmen.

Der wirtschaftliche Vorteil umfasst erzielte Gewinne und vermiedene Verluste und darf geschätzt werden. Hinzu kommt die Veröffentlichung: bestandskräftige Maßnahmen und unanfechtbare Bußgeldentscheidungen werden von der Aufsicht auf ihrer Internetseite bekannt gemacht, unter Angabe von Art und Charakter des Verstoßes und der verantwortlichen Personen. Der Reputationsschaden ist regelmäßig teurer als das Bußgeld.

Der europäische Rahmen

Das deutsche Recht ist eingebettet in den europäischen Rahmen, der sich zu einer unmittelbar geltenden Geldwäscheverordnung und einer europäischen Aufsichtsbehörde entwickelt. Das ändert die Arbeitsweise: Was heute über ein nationales Umsetzungsgesetz kommt, wird künftig aus einem einheitlichen Text gelten, mit weniger nationalem Spielraum bei Schwellen und Maßnahmen. Für Krypto-Dienstleistungen kommen die Anforderungen aus MiCA hinzu.

Häufige Fehler

• Die Vertretungsberechtigung der auftretenden Person nicht prüfen.
• Sachverhalte bewerten, ohne die Erwägungsgründe und die Begründung des Ergebnisses aufzuzeichnen.
• Die verweigerte Offenlegung zum wirtschaftlich Berechtigten nur als Ablehnungsgrund behandeln statt als Meldeanlass.
• Nach der Registereinsicht keine Unstimmigkeitsmeldung abgeben, obwohl die eigenen Erkenntnisse abweichen.
• Verstärkte Sorgfaltspflichten als Ersatz statt als Ergänzung der allgemeinen Pflichten behandeln.
• Die Risikoanalyse einmal erstellen und nicht regelmäßig überprüfen.

Wie Zyphe unterstützt

Die Agenten von Zyphe automatisieren Sorgfaltspflichten, Screening und Überwachung in den Systemen, die Verpflichtete bereits nutzen. Jede Entscheidung hinterlässt einen Audit Trail, ohne dass ein zentraler Bestand personenbezogener Daten entsteht.

Die Pflichten nach dem GwG lassen sich in wiederkehrende Prüfschritte übersetzen: die Geldwäsche-Software von Zyphe führt sie aus und dokumentiert jede Entscheidung nachvollziehbar.

Quellen

Geldwäschegesetz

BaFin

FIU