KYC und Kundenprüfung – Pflichten von Unternehmern im Lichte der AML-Vorschriften

KYC, also Know Your Customer, ist ein Prozess zur Identifizierung und Bewertung von Kunden, der dazu dient, das Risiko von Geldwäsche und Terrorismusfinanzierung zu begrenzen. In der Praxis bedeutet dies die Pflicht festzustellen, mit wem ein Unternehmer eine Geschäftsbeziehung eingeht, wer im Namen des Kunden handelt, welchem Zweck die Zusammenarbeit dient und ob die Transaktion oder die Eigentümerstruktur ein erhöhtes Risiko begründet [1].

Die Frage was ist KYC wird am häufigsten im Zusammenhang mit Branchen gestellt, die dem AML-Gesetz unterliegen. Die Bedeutung dieses Prozesses geht jedoch über eine bloße formale Regulierungspflicht hinaus. Eine ordnungsgemäße Kundenprüfung reduziert das Risiko von Verwaltungssanktionen, strafrechtlicher Haftung und Reputationsschäden. Für Vorstände, Compliance-Abteilungen und Unternehmenseigentümer ist KYC ein Element des tatsächlichen Risikomanagements und nicht nur eine Dokumentationspflicht.

Was KYC nach den polnischen AML-Vorschriften bedeutet

Die rechtliche Grundlage bildet das Gesetz vom 1. März 2018 zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Dieses Gesetz verpflichtet sogenannte Verpflichtete zur Anwendung von Sorgfaltspflichten gegenüber Kunden, zu deren wesentlichen Bestandteilen gerade auch KYC gehört [1].

Zu den Verpflichteten gehören unter anderem:

• Banken und Zahlungsinstitute,
• Buchhaltungsbüros in einem bestimmten Umfang,
• Steuerberater, Notare sowie Rechtsanwälte oder Rechtsberater in den gesetzlich vorgesehenen Fällen,
• Unternehmen, die im Bereich virtueller Währungen tätig sind,
• Unternehmer, die Barzahlungen in Höhe von mindestens 10.000 Euro annehmen oder leisten, unabhängig davon, ob die Transaktion als einzelner Vorgang oder als mehrere miteinander verbundene Vorgänge durchgeführt wird [1].

Nicht jeder Unternehmer unterliegt AML im gleichen Umfang. Der Umfang der Pflichten hängt vom Status des jeweiligen Unternehmens, vom Geschäftsmodell und vom Risikoniveau ab. In der Praxis sollte diese Bewertung dokumentiert und mit dem internen AML-Verfahren verknüpft werden.

Kundenprüfung - wann sie verpflichtend ist

Die AML-Pflichten greifen insbesondere bei der Begründung von Geschäftsbeziehungen, bei der Durchführung einer gelegentlichen Transaktion ab einem gesetzlich festgelegten Wert, beim Verdacht auf Geldwäsche oder Terrorismusfinanzierung sowie bei Zweifeln an der Richtigkeit zuvor erhobener Identifikationsdaten [1].

Die Prüfung endet nicht mit einer einmaligen Kontrolle eines Dokuments. Das Gesetz verlangt auch die laufende Überwachung der Geschäftsbeziehung. Das bedeutet, dass Transaktionen analysiert, Daten aktualisiert und geprüft werden müssen, ob das Tätigkeitsprofil des Kunden mit dem tatsächlichen Verlauf der Zusammenarbeit übereinstimmt.

Grundelemente des KYC-Prozesses

1. Identifizierung des Kunden.
2. Überprüfung der Identität des Kunden und der in seinem Namen handelnden Personen.
3. Feststellung des wirtschaftlich Berechtigten und Ergreifung angemessener Maßnahmen zur Bestätigung seiner Identität.
4. Bewertung von Zweck und Art der Geschäftsbeziehung.
5. Risikobewertung sowie Auswahl geeigneter Sorgfaltspflichten gegenüber Kunden.
6. Transaktionsmonitoring und Aktualisierung der Daten [1].

Bei Gesellschaften und komplexeren Eigentümerstrukturen ist die Feststellung des wirtschaftlich Berechtigten von zentraler Bedeutung. Eine fehlerhafte Identifizierung in diesem Stadium kann dazu führen, dass Pflichten nur scheinbar erfüllt werden, und die Exponierung gegenüber regulatorischen Risiken erheblich erhöhen.

Know Your Customer und der risikobasierte Ansatz

Die polnischen und europäischen AML-Vorschriften beruhen auf dem Grundsatz des risikobasierten Ansatzes. Nicht jede Beziehung erfordert dasselbe Maß an Analyse. Der Unternehmer sollte das Risiko unter Berücksichtigung der Art des Kunden, des Herkunftsstaats, des Produkts, des Vertriebskanals und der Art der Transaktion bewerten [1][2].

In der Praxis bedeutet dies drei Handlungsebenen:

• vereinfachte Sorgfaltspflichten, wenn das Risiko geringer ist,
• standardmäßige Sorgfaltspflichten,
• verstärkte Sorgfaltspflichten, wenn das Risiko höher ist, zum Beispiel bei grenzüberschreitenden Beziehungen, ungewöhnlichen Eigentümerstrukturen oder Verbindungen zu Hochrisikostaaten [1][2].

Ein gut vorbereitetes Compliance-System sollte AML-Verfahren mit der operativen Praxis, Schulungen und Eskalationsmechanismen verbinden. Ein bloßes Kunden-Onboarding-Formular reicht in der Regel nicht aus.

Welche Fehler bei KYC am häufigsten auftreten

Die häufigsten Verstöße ergeben sich nicht aus dem Fehlen eines formalen Verfahrens, sondern aus dessen ineffektiver Anwendung. Dies betrifft insbesondere Organisationen, die Dokumente eingeführt haben, aber keine Verantwortung bestimmten Personen zugewiesen und keinen Kontrollprozess aufgebaut haben.

In der Praxis sind vor allem folgende Punkte problematisch:

• mechanisches Kopieren von Daten ohne tatsächliche Überprüfung,
• fehlende Analyse des wirtschaftlich Berechtigten,
• keine Aktualisierung der Daten bei langjährigen Kundenbeziehungen,
• Nichtberücksichtigung von Warnsignalen bei Transaktionen,
• fehlende Anpassung des Prüfungsniveaus an das Risiko,
• fehlende Dokumentation der Gründe für die Anwendung vereinfachter oder verstärkter Maßnahmen.

In manchen Sachverhalten kann eine fehlerhaft durchgeführte Kundenprüfung auch mit Risiken im Bereich der Wirtschaftskriminalität verbunden sein. Dies gilt insbesondere für Situationen, in denen ein Unternehmer Signale ignoriert, die auf möglichen Missbrauch, fiktive Unternehmen oder Scheingeschäfte hindeuten. In solchen Fällen ist nicht nur die regulatorische Konformität relevant, sondern auch die Verantwortung im Bereich White Collar Crime.

Sanktionen bei Verstößen gegen AML-Pflichten

Ein Verstoß gegen AML-Pflichten kann zu Verwaltungssanktionen führen, die vom Generalinspektor für Finanzinformation verhängt werden. Das Gesetz sieht unter anderem die Veröffentlichung von Informationen über den Verstoß, die Anordnung zur Einstellung bestimmter Handlungen, den Entzug von Konzessionen oder Genehmigungen sowie Geldbußen vor. Die Höhe der Sanktion hängt von der Art des Verstoßes und vom Status des betroffenen Unternehmens ab [1].

Unabhängig von der verwaltungsrechtlichen Verantwortung können auch zivilrechtliche, gesellschaftsrechtliche und reputationsbezogene Folgen eintreten. Für Vorstandsmitglieder ist zudem die Einhaltung der gebotenen Sorgfalt bei der Organisation des Compliance-Systems von wesentlicher Bedeutung. Die Bewertung hängt stets vom konkreten Sachverhalt, vom Ausmaß des Verstoßes und davon ab, ob der Unternehmer ein tatsächliches Handeln und nicht nur das formale Vorhandensein von Verfahren nachweisen kann.

Wie sich eine Organisation auf ein ordnungsgemäßes KYC vorbereiten kann

Ein wirksames KYC-Modell erfordert die Verbindung von Recht, operativen Prozessen und Technologie. Die wichtigsten Elemente sind:

• die korrekte Feststellung, ob das Unternehmen zu den Verpflichteten gehört,
• die Risikobewertung und ihre regelmäßige Aktualisierung,
• ein an den Umfang der Tätigkeit angepasstes AML-Verfahren,
• eine klare Rollenverteilung zwischen Vertrieb, operativen Einheiten, Compliance und Geschäftsleitung,
• Schulungen für das Personal,
• die Archivierung von Daten und die Möglichkeit, den Entscheidungsprozess nachzuweisen,
• regelmäßige Tests der Verfahren und Monitoring von Gesetzesänderungen [1][2][3].

Dieses Material dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Wenn in einer Organisation Zweifel bestehen, ob das angewandte KYC-Modell die AML-Pflichten tatsächlich erfüllt, ist die Analyse der Verfahren und der operativen Praxis durch externe Experten eine sichere Lösung. Wenn Unterstützung bei der Gestaltung oder Überprüfung von AML-Lösungen erforderlich ist, kann die Situation mit dem Team von KKZ über das Kontaktformular besprochen werden.

FAQ

Betrifft KYC jeden Unternehmer?

Nein. KYC im Sinne des AML-Gesetzes betrifft in erster Linie die im Gesetz vom 1. März 2018 genannten Verpflichteten [1]. Ein Teil der Unternehmer wendet ähnliche Verfahren auch freiwillig als Element des Risikomanagements an.

Was bedeutet KYC in der operativen Praxis?

Es handelt sich um den Prozess der Erhebung und Prüfung von Kundendaten, der Feststellung des wirtschaftlich Berechtigten, der Bewertung des Zwecks der Beziehung und der Überwachung von Transaktionen. Der Umfang der Maßnahmen hängt vom Risikoniveau ab.

Erfüllt eine einmalige Dokumentenprüfung die AML-Pflichten?

Grundsätzlich nein. Das Gesetz verlangt auch die laufende Überwachung der Geschäftsbeziehung und die Aktualisierung der Daten, wenn sich die Umstände ändern oder Zweifel auftreten [1].

Wann muss eine verstärkte Kundenprüfung angewendet werden?

Dann, wenn die Beziehung oder Transaktion mit einem höheren Risiko verbunden ist. Beispiele sind komplexe Eigentümerstrukturen, grenzüberschreitende Beziehungen oder Verbindungen zu Hochrisikostaaten [1][2].

Welche Daten müssen bei einer Gesellschaft festgestellt werden?

Mindestens die Identifikationsdaten der Gesellschaft selbst, der sie vertretenden Personen sowie des wirtschaftlich Berechtigten. In der Praxis ist oft auch die Analyse von Gesellschaftsdokumenten und öffentlichen Registern erforderlich.

Welche Folgen drohen bei fehlender ordnungsgemäßer Kundenprüfung?

Möglich sind Verwaltungssanktionen einschließlich Geldbußen sowie Reputations- und Geschäftsrisiken. In bestimmten Fällen können Unregelmäßigkeiten auch im Kontext der Verantwortung für wirtschaftskriminelle Handlungen bewertet werden [1].

Literatur

[1] Gesetz vom 1. März 2018 zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, Gesetzblatt 2018 Pos. 723 in der jeweils geltenden Fassung.

[2] Richtlinie (EU) 2015/849 des Europäischen Parlaments und des Rates vom 20. Mai 2015 zur Verhinderung der Nutzung des Finanzsystems zum Zwecke der Geldwäsche und der Terrorismusfinanzierung.

[3] Generalinspektor für Finanzinformation, Informationen und Mitteilungen zur Anwendung des AML-Gesetzes, abrufbar auf den Seiten des Finanzministeriums und GOV.PL.

[4] Kopeć & Zaborowski, Informationen zu den Bereichen rechtlicher Unterstützung.

Author: adw. Maciej Zaborowski, Managing Partner

E-mail: m.zaborowski@kkz.com.pl

tel.: +48 22 501 56 10

LinkedIn