Aktuelles zu Geldwäsche und Compliance

Übersicht

• Finanzsanktionen und Compliance Verstärkte Anforderungen von Regulierung und Aufsicht
  Interview mit Oliver Hecker, Senior Manager Risk Advisory / Regulatory Risk, BearingPoint GmbH

• EU-Geldwäsche-Reform: Konsequenzen für Geldwäsche-Compliance in Deutschland
  Interview mit Prof. Dr. Kilian Wegner Juniorprofessor für Strafrecht, Strafprozessrecht und Wirtschaftsrecht an der Stiftung Europa-Universität Viadrina

• Die Identifizierung des wirtschaftlich Berechtigten
  Gastbeitrag von Florian Pühl Regulatory Expert, KYCnow

• Das EU-AML-Package - Was können wir erwarten und wie können wir uns darauf vorbereiten?
  Interview mit Gernot Roessler, Leiter Recht & Regulierung, Verband Deutscher Bürgschaftsbanken e. V.

• Product-Governance -  Aktuelle Herausforderungen und Tipps
  Interview mit Hartmut Renz, Director, Rechtsanwalt, Partner STRATECO GmbH, Bad Homburg; Co-CEO, TRECCERT GmbH, Hannover

• Sanktionsrecht aktuell – Herausforderungen der Sanktions-Compliance und weiterer Druck auf die Unternehmen
  Interview mit Oliver Hecker, Director, BearingPoint GmbH, Frankfurt am Main

• Beschwerdeverfahren für Kredit- und Finanzdienstleistungsinstitute nach dem Lieferkettensorgfaltspflichtengesetz (LkSG)
  Gastbeitrag von Anika Feger, Certified Compliance Professional (CCP), Rechtsanwältin, Compliance Law Office, FEGER RECHTSANWÄLTE

• Die Geldwäsche-Risikoanalyse in der Praxis
  Interview mit Knut C. Reiser, Anti-Geldwäsche-Experte, Diplom-Ökonom, Bankkaufmann, Unternehmensberater, Compliance Consulting GmbH

• Whistleblowing: Das Hinweisgeberschutzgesetz ist da!
  Ein Gastbeitrag von Dr. Alexander Insam M. A.

• KYC-Verfahren in der Geldwäschepekämpfung
  Interview mit Justus Schrecker, Geschäftsführer der Clarilab GmbH

• Wünsche an die neu gebildete 'Gemeinsame Glücksspielaufsichtsbehörde der Länder (GGL)'
  Ein Gastbeitrag von Rüdiger Quedenfeld, Rechtsanwalt, Geschäftsführer, Eunomia Compliance Consult, Wang

• Geldwäscherecht in der EU
  Interview mit Ilka Brian,  Rechtsanwältin und Syndikusrechtsanwältin

• SDG II: 'Ein Versuch zur Geldwäschebekämpfung ohne echte Befugnisse'
  Interview mit Frank Buckenhofer, Vorsitzender der Gewerkschaft der Polizei im Zoll

Geldwäscheprävention und -bekämpfung – Paradigmenwechsel in Regulierung und Aufsicht?

Stichtag 31. Dezember 2024: Was bringt die neue EU (Krypto-)Wertetransferverordnung für Kryptowerte-Dienstleister?

 

Einordnung

Die noch geltende EU-Geldtransferverordnung (EU) 2015/847 (Transfer Rule, “TFR”) zielt darauf ab, Geldwäsche und Terrorismusfinanzierung zu verhindern indem sichergestellt wird, dass Informationen über Geldtransfers innerhalb und aus der Europäischen Union heraus übermittelt werden. Zahlungsdienstleister in der EU, einschließlich E-Geld-Institute, sind Adressaten der noch geltenden TFR. Die TFR steht im Einklang mit den internationalen Standards der Financial Action Task Force („FATF“).

Die Verordnung (EU) 2023/1113 über den Transfer von Geldern und bestimmten Kryptowerten ändert die TFR (Transfer Rule 2, “TFR2”) und diese Verordnung gilt ab dem 30. Dezember 2024 nun auch für Kryptowerte-Dienstleister (Crypto Asset Services Provider, “CASP”) im Sinne der MiCA (EU) 2024/1114. Damit ersetzt die TFR2 die bereits seit 2021 auf deutsche Kryptowerte-Dienstleister anwendbare Kryptowerte-Transferverordnung („KryptoWTransferV“)[1].  Die finalen EBA-Leitlinien zur TFR2[2] sind entsprechend auszulegen.
 
Pflichten für CASP
Unter der TFR2 müssen CASP sicherstellen und überprüfen, dass Informationen über den Berechtigten und Begünstigten einer Transaktion von Kryptowerten in die EU und aus der EU heraus mitübertragen und bei dem Sender und Empfänger des Kryptowertes für mindestens fünf Jahre gespeichert werden.[3]
 
Übertragungen von einem vom Berechtigten selbst geführten Wallet, auch Self-Hosted-Wallet, stellen für CASP eine Herausforderung dar, da außer dem Berechtigten keine zentrale Partei Benutzerdaten vorhält. CASPs erheben zunächst Informationen über den Berechtigten oder den Empfänger der Übertragung von einem Self-Hosted-Wallet. Ein CASP muss diese Infromationen aber nicht anhand von weiteren Daten Dritter verifizieren. Ein CASP muss bei einer Übertragung über EUR 1000 jedoch durch den Abgleich von Daten feststellen, ob dieses Wallet seinem Kunden gehört oder von ihm kontrolliert wird.[4] In den finalen EBA-Leitlinien zur TFR2 wurde nun klargestellt, dass ein CASP diese Verifizierung für Transaktionen unter EUR 1000 nicht durchführen muss.
 
Ausnahmen
Die TFR2 sieht Ausnahmen von dieser Datenerhebungs- und Datenverifizierungspflicht vor, nämlich (i) für Übertragungen zwischen Self-Hosted-Wallets von natürlichen Personen welche als Verbraucher handeln und (ii) zwischen CASP im eigenen Namen.
 
Fehlende Informationen
CASP müssen sicherstellen, dass ihre Transaktionsdaten und damit ihre eigenen Know-Your-Customer (“KYC”)-Prozesse zum Beginn und während der Geschäftsbeziehung aktuell sind und die unter der TFR2 erforderlichen Informationen beinhalten. Fehlende Informationen können dazu führen, dass CASP Maßnahmen ergreifen und/oder Auffälligkeiten den zuständigen Behörden melden müssen.
 
Fazit
Bisher in Deutschland operierende Kryptowerte-Dienstleister sollten ihre bereits auf die KryptoWTransferV eingestellten Systeme überprüfen und an die neuen Anforderungen der FTR2 anpassen. Dies beinhaltet eine nahtlose Integration ihrer Melde- und Informationssysteme sowie hohe Erreichbarkeitsraten. Informationen müssen den vorgesehenen Empfänger erreichen oder vom Auftraggeber korrekt empfangen werden. Die Anwendbarkeit der FTR2 auf Kreditinstitute sollte aufgrund des geringen Transaktionsvolumens von Kryptowerten keine Herausforderung darstellen.
 
 
Alexander Wüst
Senior Legal Counsel
Binance DACH I Nordics I Baltics, Frankfurt am Main
 

 

Und mittlerweile sind wir doch auf einem Niveau angelangt, wo wir sehen, die Behörden legen mehr Wert auf die Durchsetzung der Sanktionsvorschriften, auf die Verhinderung der Umgehung der Sanktionsvorschriften und insgesamt - sie erwarten einfach eine gute Governance in den Banken, in den Instituten.

Dr. Jacob Wende
Das klingt ja ganz spannend. Wo ist denn das zu erkennen?
 
Oliver Hecker
Wir sehen schon seit einigen Jahren seitens der Bundesbank, dass diese Prüfungen nach Paragraph 23 Außenwirtschaftsgesetz, das sie in ihrer Intensität, in dem Umfang, in der gesamten Tiefe die dort gezeigt wird, dass das deutlich zugenommen hat. Wir sehen auch von der Bundesbank in den letzten Jahren eben die Aktualisierung der Merkblätter Finanzsanktionen. Jetzt in diesem Sommer ist noch mal eine neue Version herausgekommen.

Wir sehen in Deutschland oder wir haben gesehen in Deutschland, den Erlass oder die Einführung des Sanktionsdurchsetzungsgesetzes und die Gründung der Zentralstelle für Sanktionsdurchsetzung beim Zoll. Was eben auch schon zeigt, da wird jetzt sehr viel mehr Wert darauf gelegt, nicht nur die EU Verordnung als solche in diesem Sinne in Kraft zu setzen, sondern was passiert danach? Was ist eigentlich notwendig und wer achtet darauf, dass die Sanktionen tatsächlich dann auch effektiv eingehalten werden?

Was dieses Jahr, genauer im Dezember 2023; aber das dauerte dann die Konsultation der „EBA zu den Guidelines on“ wie dort so in dem Titel etwas sperrig heißt „Guidelines on internal policies, procedures and controls to ensure the implementation of Union and national restrictive measures“, also im Grunde die Guidelines zur Einhaltung und Umsetzung der EU und nationaler restriktiver Maßnahmen, speziell Finanzsanktionen. Diese Konsultation hat die EBA im Dezember gestartet, die lief dann bis Februar dieses Jahres. Und daraus erwarten wir eben auch noch mal ganz andere Vorgaben in Hinblick auf Aufsichtspflichten der Geschäftsführung des Aufsichtsrates in Hinblick auf Strategie, Gruppenmanagement. By the way, so ein kleines Kuriosum an der Stelle: Man spricht dort nicht von einer Risikoanalyse Finanzsanktionen, sondern von einer Betroffenheitsanalyse, weil Sie sagen, ein risikobasierter Ansatz hat da eigentlich gar keinen Platz.
Und ganz wesentlich ist dort auch noch mal explizit in den Guidelines, dass ein Senior Staff Member als Zuständiger/als Zuständige für die Umsetzung der Finanzsanktionen im Institut gefordert wird.

Und zu guter Letzt im Sommer kann die EU-AML-Verordnung noch mit raus, wo dann Finanzsanktionen, Compliance an vielen Stellen noch mal explizit als weiteres Modul der Geldwäscheprävention imRahmen der AML Verordnung selber auch gefordert wurde.
 

Hier werden Stellungnahmen, die Beratungsanforderungen, die müssen in sehr, sehr kurzer Zeit erfolgen, weil die EU Verordnungen sofort nach Veröffentlichung in Kraft treten. Sie werden nicht vorher zur Kenntnisnahme veröffentlicht, sondern sie werden veröffentlicht und dann muss man damit umgehen. Es wird also mehr Praxisfragen geben „Wie geht man mit bestimmten Geschäftsbeziehungen/Finanzierungen um?“ Es gibt die die zusätzlichen Erwartungen der Fachbereiche und des Vorstandes an die entsprechenden Geldwäschebeauftragen, Leiter Zentrale Stelle dazu, sich jetzt auch zu äußern. Und das heißt natürlich, dass der Druck auf die Personen, die diese Rolle ausüben, in Bezug auf umfassende, detaillierte Kompetenz weiter wächst. Die zeitnahe Analyse der entsprechenden Sachverhalte hatte ich schon genannt. Die Aufbereitung der Anforderungen wie das im Institut umzusetzen ist und dann natürlich insbesondere die Aufgabe, eine wirksame und praxistaugliche Umsetzung der Rechtsanforderungen zu Finanzsanktionen im eigenen Haus sicherzustellen.
Das sind so die wesentlichen Punkte, die auf die Funktionsträger, auf die Beauftragten, dann zukommen werden.
Vielen Dank, Oliver, für diese spannende Insights.
 
Oliver Hecker
Jacob, immer gerne. Ich danke dir.
 
Link zu EBA Guideline: Guidelines on internal policies, procedures and controls to ensure the implementation of Union and national restrictive measures | European Banking Authority (europa.eu)

Der Unterschied ist: die Richtlinie musste immer noch umgesetzt werden in den einzelnen Staaten. Die Verordnung gilt direkt wie ein Gesetz in Deutschland. Und das heißt für die Verpflichteten hierzulande Abschied nehmen von großen Teilen des Geldwäschegesetzes. Alle Regeln, die bisher die Sorgfaltspflichten der Verpflichteten betreffen, werden ersetzt durch das neue Recht - durch die neue Verordnung. Das ist die gute Nachricht.

Die neue Verordnung bricht jetzt nicht mit allen Strukturen des Geldwäscherechts, die wir kennen - sondern die Strukturen bleiben im Wesentlichen bestehen. Es sind eher Änderungen im Detail, die jetzt wichtig werden. Details allerdings, die für die Verpflichteten auch sehr viel Arbeit bedeuten können.  Um die neue Verordnung umzusetzen, haben die Verpflichteten 3 Jahre Zeit. Dann wird die Verordnung wirksames Recht werden.

Das ist nicht viel Zeit, 3 Jahre. Deswegen wäre meine Empfehlung, jetzt schon mal in die Verordnung reinzuschauen; zu schauen, welche Änderungen könnten mein Unternehmen betreffen. Da werden noch viele Fragezeichen offen bleiben nach der Lektüre. Denn es gibt noch viele Dutzende von Präzisionsrechtsakten, die die europäische Geldwäschebehörde AMLA erst noch erlassen muss in den nächsten Jahren. Aber manche Dinge kann man auch jetzt schon entdecken bei der Lektüre der Verordnung.
 
Zum Beispiel, dass der Katalog der Sorgfaltspflichten zukünftig erweitert wird; auch um Compliance-Anforderungen im Bereich außenpolitischer Sanktionen. Und diese Dinge kann man jetzt schon prüfen.
 
Dr. Jacob Wende
Vielen Dank für die erste Einschätzung. Zur zweiten Frage: Wenn es um die Anpassung der Geldwäsche-Compliance an neue Regeln geht, machte das bisher immer vor allem der Geldwäschebeauftragte. Wie wird sich durch das neue EU-Recht der Beruf für den Geldwäschebeauftragten ändern?

Professor Dr. Kilian Wegner
Es gibt mittlerweile eine vorläufige Übersetzung der EU-Geldwäscheverordnung. Und dort finden wir auch unseren altvertrauten Begriff des Geldwäschebeauftragten wieder. Und der heißt nicht nur den Namen nach Geldwäschebeauftragter, sondern dieser nimmt auch eine ganz ähnliche Rolle ein, wie das bisher der Fall war. Das heißt, der oder die Geldwäschebeauftragte sind laut Verordnungstext für die operative Umsetzung der AML-Policy im Unternehmen verantwortlich, im Geschäftsalltag verantwortlich.

Und ihn oder sie trifft dann auch die Pflicht, zum Beispiel die Geldwäsche-Verdachtsmeldungen abzugeben. Dem Geldwäschebeauftragten übergeordnet ist, nach der Logik der Verordnung, der sogenannte Compliance-Manager. Das ist ähnlich wie bisher in § 7 GwG vorgesehen. Ein Mitglied der Geschäftsleitung, die die Letztverantwortung dann für die AML-Policy im Unternehmen haben.

Es gibt auch Unterschiede zwischen dem jetzigen Regelungszustand und der Verordnung. Zum Beispiel finden wir in der Verordnung kein Wort darüber, ob der Geldwäschebeauftragte einen Kündigungsschutz genießt, wie das bisher im Geldwäschegesetz geregelt ist. Und es steht auch nichts dazu, wie es mit der Ausnahme aus dem Direktionsrecht ist, wenn der Geldwäschebeauftragte eine Geldwäsche-Verdachtsmeldung abgibt. Das müsste jetzt nächsten Monat noch geklärt werden, ob entsprechende flankierende Regelungen nach dem dt. Recht dann bestehen bleiben oder ob das durch die Verordnung abschließend geregelt wird.

Es gibt auch noch einige Vorschriften der Verordnung, auf die ich mir noch nicht so richtig einen Reim machen kann. Zum Beispiel findet man in der Definition der Führungsebene des Unternehmens einen Satz dazu, der sagt, dass auch der Geldwäschebeauftragte zur Führungsebene des Unternehmens gehört. Und wenn man dann in die Regeln über die Identifikation des wirtschaftlichen Berechtigten schaut, dann steht dort, dass dann die gesamte Führungsebene identifiziert werden muss, wenn es nur einen fiktiven wirtschaftlichen Berechtigten gibt.
 
Das heißt, dass der Geldwäschebeauftragte jetzt auch als fiktiver wirtschaftlicher Berechtigter auftreten kann, wenn man den Wortlaut der Verordnung ernst nimmt. Das ist nur einer der Punkte in der Verordnung, über die man sicherlich noch mal diskutieren wird in der nächsten Zeit, weil es nicht besonders sinnvoll erscheint.
 
Dr. Jacob Wende
Vielen Dank, Herr Professor Kilian Wegner für diese spannende Einschätzung.

Professor Dr. Kilian Wegner
Ja, vielen Dank für die Einladung.
 
 

Der Prozess ist im Grunde klar: Wird nach §10 Abs. 1 Nr.2 GwG festgestellt, dass der VP für einen wB handelt, sind entsprechend §11 Abs. 5 GwG Identifizierungsangaben beim VP zu erheben. Diese sind sodann gem. §12 Abs. 3 GwG zu überprüfen. Der Verpflichtete hat mit risikoangemessenen Maßnahmen sicherzustellen, dass die Daten korrekt sind. Für Neukunden ist zudem entweder der Nachweis ihrer Registrierung im Transparenzregister oder ein Auszug aus dem Transparenzregister einzuholen.
Dieser Prozess kostet viel Zeit. Ursache sind häufig unvollständige oder fehlerhafte Informationen des VP und lange Bearbeitungszeiten. Komplexe Compliance Strukturen seitens des Verpflichteten verstärken die Konsequenzen daraus oft erheblich und hinterlassen frustrierte (Beinahe-)Neukunden. Letztendlich könnte die Ablehnungspflicht nach §10 Abs. 9 GwG zu beachten sein.
 
Datenqualität
 
Eine effizientere Herangehensweise erscheint daher sinnvoll. Um eine Mindest-Datenqualität von vorneherein sicherzustellen, könnte der Verpflichtete den wB auf eigenem Weg ermitteln, sei es mit Hilfe öffentlich zugänglicher Quellen oder Wirtschaftsauskunfteien. Das Ergebnis wäre dann dem VP zur weiteren Prüfung vorzulegen.[1] Dieser Vorgang schränkt zwar den „Erkenntniskorridor“[2] hinsichtlich des Verhaltens des VPs ein, den VP jedoch nicht gänzlich aus der Erhebung aus.
 
Geschwindigkeit erhöhen
 
Ein weiterer wesentlicher Vorteil bestünde zudem darin, die für den VP oftmals aufwändige Ermittlung zu beschleunigen. Der Aufwand ergibt sich etwa aus komplexen Strukturen oder unklaren Vorgaben darüber, wie der wB zu ermitteln ist. Ein Beispiel ist der Umgang mit börsennotierten Unternehmen: Sofern diese an einem organisierten Markt mit ausreichender Transparenz gehandelt werden, sind börsennotierte Unternehmen vom Wortlaut des § 3 Abs. 2 GwG ausgenommen.[3] Es muss zur Ermittlung des wBs daher wohl auf § 3 Abs. 1 GwG zurückgegriffen werden, folglich die Frage beantwortet, ob und in wessen Eigentum oder unter wessen Kontrolle das börsennotierte Unternehmen steht.[4]
Zwar gibt es Klarstellungen der BaFin und des BVA, jedoch weiterhin einige Unklarheiten.
Die Rechtssicherheit und die Verpflichteten haben das Nachsehen.
 
Kurios erscheint außerdem, dass die beim VP zu erhebenden Angaben wiederum auf Übereinstimmung mit dem Transparenzregister zu überprüfen sind und mangels Unstimmigkeiten oder Zweifeln, der wB damit vollends identifiziert wäre.
Es ist ein Logikfehler zweimal dieselbe Quelle zur Bestätigung ihrer selbst heranzuziehen. Denn Sinn und Zweck den wB zu ermitteln ist längst nichtmehr nur um die Voraussetzung für das Aufspüren von Straftätern[5] zu schaffen. Mit dem Transparenzregister sollen auch die Aktualität und Präzision der Angaben erhöht werden und so eine abschreckende Wirkung entfalten.[6] Diese Effekte bleiben aus, legt man den Logikfehler zugrunde. Auch angedrohte Bußgelder werden keine Abhilfe schaffen.
 
Wer die skizzierte Herangehensweise nicht für gangbar hält, kann auf die kommende EU-Verordnung hoffen, da auf europäischer Ebene das Problem scheinbar erkannt wurde. Art. 18 Nr.2 VO-E lässt wohl richtigerweise offen, auf welchem Weg die Identifikationsangaben des wB erhoben werden. Auch die Überprüfung der Angaben nach Art. 18 Nr. 5 VO-E scheint richtigerweise die eigenständige Überprüfung der Angaben und den Abgleich mit dem Transparenzregister nebeneinander zu stellen. Der mehrgleisige Ansatz[7] ist zu begrüßen.
 
 

Dr. Jacob Wende
Das aktuelle, in der Bearbeitung befindliche EU-AML-Package, liegt in den letzten Zügen. Was können die Geldwäsche- und Compliance-Einheiten erwarten?

Dr. Gernot Rößler
Ja, das Spannendste aus dem Geldwäsche-Paket ist glaube ich auch, dass, was das größte Geheimnis ist. Das ist nämlich, wo und wie die neue EU-Geldwäsche-Aufsichtsbehörde, die dann auch gleich die neuen Regularien dort als Guidelines vorgeben wird, aufgestellt sein wird. Das ist eine eigene Verordnung und auch diese insofern unmittelbar dann gültig. Diese neue Behörde, Frankfurt*, hat sich bekanntlich sehr stark gemacht. In anderen europäischen Metropolen wird dann die verbindliche Interpretation der EU-Geldwäsche-Verordnung, die dann die bisherigen Geldwäsche-Richtlinien und damit auch das GWG ablöst, hier an der Stelle interpretieren. Aber jetzt schon ist absehbar aus der Verordnung heraus, dass sich entsprechend strengere Vorgaben dort andeuten. Insbesondere der KYC-Prozess wird nochmal eine deutliche Verschärfung erhalten. Das heißt, wir müssen mehr Angaben erheben, diese überprüfen. Insbesondere beim wirtschaftlichen Berechtigten steckt der Teufel dann künftig noch mehr im Detail. Denn auch wenn die jetzt durchgesickerten Trilog-Ergebnisse eine 25 % Schwelle auf der Gesellschafterebene dort beim Kunden beibehalten werden, ist doch deutlich die Frage: Wie wird diese berechnet? Wie sieht das in den Registern dann aus? Und vor allem auch spannend die Frage, welche zusätzlichen Angaben sind bei den Gesellschaftern künftig zu erheben und wie werden diese überprüft werden müssen?
Für viele Banken und andere Verpflichtete, die die langjährige Geschäftsbeziehung mit den Kunden haben, ist besonders spannend oder besonders herausfordernd die Frage der Aktualisierung dieser Kundendaten. Wir hatten bis jetzt im Bankenbereich von der BaFin hier Vorgaben von 5 bis 15 Jahre Regelfällen nur beim Hochrisiko, darunter wird es jetzt für den generellen Fall eine 1-jährige bis maximal 5-jährige Aktualisierungsfrist geben. Das ist, glaube ich, eine große Herausforderung, auf die sich alle Verpflichteten vorbereiten sollten.
Zweiter Schwerpunkt werden sicherlich die politisch exponierten Personen sein, die ja auch bei den Gesellschaftern zu prüfen sind. Man wird hier aber deutlich mehr Personen in den Fokus nehmen müssen, weil die Ergebnisse, soweit sie aus dem Parlament durchgedrungen sind, zeigen, dass man jetzt auch auf mittelgroße Städte ab 50.000 Einwohnern, das heißt Bürgermeister, vielleicht auch deren Vertreter, jedenfalls aber Abgeordnete aus Landesparlamenten beispielsweise in den Bundesländern künftig auch als politisch exponierte Personen abstellen wird. Offen ist noch die Frage, ob oder inwieweit man hier risikobasiert, insbesondere bei nationalen PEPs damit umgehen können wird.
Dritter Punkt, den ich hier noch ansprechen wollen würde, ist, dass man auf die Register gucken muss, weil da sind auch Änderungen vorgesehen, insbesondere bei internationalen Verflechtungen bei Unternehmenskunden aus den Drittstaaten wird es hier dann auch Angaben geben, was erst mal schön ist, wo aber natürlich auch deutlich mehr Arbeit drinsteckt. Und auch hier wird man noch mal das Thema Immobilie neu denken müssen, weil auch diese Angaben werden künftig in den EU- Unternehmens-/Transparenzregistern zu finden sein.

Dr. Jacob Wende
Kommen wir schon dann zur letzten Frage. Wie kann sich ein Geldwäschebeauftragter oder ein Verpflichteter am besten auf die Umsetzung der zu erwartenden Änderungen vorbereiten?

Dr. Gernot Rößler
Ja, ganz wichtig an der Stelle ist die Vorbereitung und insofern suchen sie alle Austauschformate mit anderen Geldwäschebeauftragten, mit Vertretern von Verpflichteten, mit Experten bei ihnen auf ihrer Verbandsebene. Wenn sie dort in Gremien mitarbeiten und natürlich nutzen sie die Gelegenheiten von Veranstaltungen, wie hier beim Forum Institut Ende Juni. Die Geldwäsche-Tagung passt natürlich zur Verabschiedung ideal und zudem gibt es auch natürlich Spezial-Seminare, insbesondere Update AML und auch Geldwäsche aktuell werden natürlich im Herbst in Präsenz und online genau diese Punkte noch mal mit ihnen und den Kollegen dort vertiefen, sodass sie dann bestens vorbereitet ins nächste Jahr mit den neuen Vorgaben entsprechend starten können. Sie sollten aber parallel schon, bevor sie sich selbst zum Experten machen, hier mit ihrer Geschäftsleitung, mit dem Vorstand und insbesondere der IT-Abteilung für die Umsetzung , die sehr digital auch bei den Kundenstammdaten ablaufen wird, schon jetzt möglichst kurzschließen, um entsprechend vor allem bei dem Bereich Kundendatenaktualisierung entsprechende Ressourcen jetzt schon einplanen zu können. Was man darüberhinaus tun kann, ist, weil der Trend zur Digitalisierung geht, ist eben sich auf solchen Seminaren darüber zu informieren. Auch hier entsprechend mit Anbietern von Datenbanken, insbesondere sich über Update-Lösungen und Aktualisierungsformate, Angebote zu machen und über Lösungsmöglichkeiten auszutauschen.

Dr. Jacob Wende
Vielen Dank für Deine Zeit und für die spannenden Ausführungen.

Dr. Gernot Rößler
Sehr gerne! Ich freue mich auf den weiteren Austausch.
 
*Das Interview wurde kurz vor dem finalen Entscheid für den Sitz der AMLA am 22.2.24 aufgezeichnet
 
 

Dr. Jacob Wende
Welche Entwicklungen und Probleme sind dabei aktuell zu verzeichnen?

Hartmut Renz
Die aktuellen Diskussionen gehen sozusagen basierend von dem gerade dargestellten MiFID-Ansatz aus. Wir haben aktuell durch die BaFin mit dem Rundschreiben 8 / 2023 neue Anforderungen bekommen, die nicht auf Finanzinstrumente gehen, aber eben auf Bankinstrumente und Zahlungsverkehrsinstrumente. Und ich habe mir das mal mit einem Kollegen von uns näher angeschaut und die Struktur dessen, was die BaFin von der Finanzindustrie erwartet, ist vergleichbar mit dem, was wir schon kennen.
Das heißt, man spricht über Zielmarkt, man spricht über Überwachung, man spricht über Vertriebs- und Herstellerprozesse. Und das ist etwas, was jetzt Ende 2023 umzusetzen war und, zum Verbraucherschutz,  aus Sicht der BaFin, auch umgesetzt sein muss.
 
Dr. Jacob Wende
Und damit kommen wir schon zur letzten Frage, Hartmut. Welche Tipps und Lösungsansätze für die Praxis gibt es?

Hartmut Renz
Wenn man sich die Entwicklung der Regulatorik mal vor Augen führt, Jacob, dann sieht man, dass viele Themen vergleichbar sind. Und das ist auch der Ansatz, den wir insbesondere auch bei Strateco wo ich Partner bin, auch im Kopf haben, einen holistischen Ansatz zu bilden. Das heißt, wenn man sich die Beauftragtenfunktion anschaut, dann werden die mittlerweile gedoppelt/getrippelt und so sieht es auch bei verschiedenen Prozessen aus. Das macht aus Sicht eines Instituts keinen Sinn. Dort braucht man einen pragmatischen, effektiven und effizienten Ansatz als einen holistischen Compliance Ansatz, der dann dazu führt, dass man neue regulatorische Themen auch sehr einfach, sehr schnell, pragmatisch, effektiv und effizient umsetzen kann. Warum sage ich das? Das nächste Thema ist schon in der Pipeline. Wir haben über Product Governance für Finanzinstrumente gesprochen, wir haben über Product Governance für Banken und Zahlungsverkehrsinstrumente gesprochen. Das ist schon live und demnächst live geben wir die MiCa, also die Markets in Crypto Assets Regulation, wobei wir über neue Asset Klassen sprechen, Crypto Assets oder auch zukünftig Non-Financial Tokens oder andere Themen, die sich vielleicht noch entwickeln werden. Und das wird genau der gleichen Art und Weise wieder in dieses Thema reinlaufen. Das heisst, wenn heute darauf vorbereitet bin, mit dem holistischen Ansatz, habe ich morgen in Zukunft es viel einfacher Themen umzusetzen, den Kunden zu schützen, mein Haus zu schützen und Haftungsrisiken von den Vorständen fernzuhalten.
 
Dr. Jacob Wende
Vielen Dank für Deine Zeit und für das Interview.

Hartmut Renz
Sehr gerne, Jacob. Vielen Dank.

Dr. Jacob Wende
Ja, Herr Hecker, vielen Dank. Sie sagten schon, dass es viele Regeln gibt. Wie wirken sich denn diese umfassenden Sanktionsregeln im tagtäglichen Bankgeschäft aus?
 
Oliver Hecker
Das beginnt schon genau an der Stelle. Diese umfassenden Sanktionsregeln - die muss ich ja überhaupt erst mal erkennen. Ich muss ein ständiges Auge darauf haben, was passiert im Verordnungsumfeld sowohl auf deutscher, auf EU Ebene, je nachdem aber auch noch den Blick in die gesamte Welt hinein richten, in die USA insbesondere, aber gegebenenfalls auch in andere Länder.
Das heißt das Rechtsmonitoring ist insgesamt aufwendiger und schneller geworden. Ich muss wirklich mit dem Finger ganz eng am Puls der Zeit agieren. Was ergibt sich daraus? Ja, das offenkundige sind natürlich die Sanktionslisten. Die gelisteten Personen haben sich vervielfacht, insbesondere in Bezug auf die Russlandsanktionen, wo wir jetzt so ungefähr 1600 natürliche Personen, 250 juristische Personen und Organisationen haben, die allein für Russland auf der Sanktionsliste stehen.
Was resultiert daraus? Wenn ich das Sanktionslisten-Screening mache, habe ich einen enormen Personalbedarf um die Treffer-Abklärung durchzuführen. Ich muss dafür Sorge tragen, dass die Mitarbeiterinnen und Mitarbeiter geschult sind, dass sie überhaupt zur Verfügung stehen, dass die richtigen Daten ankommen, dass ich auch Prozesse habe, die damit umgehen können und dass zusätzlich zu dem, was ich sonst zu tun habe, muss ich diesen Mehraufwand und gegebenenfalls auch Optimierungen mitvornehmen.
Und zu guter Letzt dass, was wahrscheinlich das meiste Kopfzerbrechen inhaltlicher, sachlicher Art bereitet, sind natürlich die komplexen restriktiven Maßnahmen insbesondere der EU. Das führt dazu, dass ich viel mehr Expertise mit einbringen muss. Ich muss mehr kommunizieren in meinem Unternehmen, ich muss mit Fachabteilungen sprechen, ich muss erklären, ich muss trainieren, ich muss das eigene Personal immer wieder auf den aktuellen Stand bringen und mich dabei mich als Compliance Abteilung dort auch in die Geschäftsanbahnung, in Geschäftsbewertungen involvieren und gegebenenfalls natürlich auch die Überwachungshandlungen intensivieren, weil einfach die Risiken gestiegen sind.
Und das hat Auswirkungen auch wieder - wenn bei uns das Bankgeschäft ansehen - in der gesamten Erbringung von Finanzierungsdienstleistungen, aber genauso auch in Bezug auf Kapitalmarkt und Wertpapiersanktionen, weil ich dort auf einmal mit toxischen Emittenten umgehen muss und diese identifizieren muss. Und ganz neu, ganz neu nicht ganz, aber immerhin seit April/Mai diesen Jahres: Die wesentlich verstärkten Meldepflichten, die auf die Institute insbesondere zugekommen sind.

Dr. Jacob Wende
Ja, das war ja ein spannender Überblick. Herr Hacker, noch vielleicht eine letzte Frage: Wie schätzen Sie die Zukunft für den Bereich des Sanktionsrechts ein?

Oliver Hecker
Vielen Dank für diese Frage. Das ist ein Blick in die Kristallkugel, natürlich.  Aber auch da - es wird in den nächsten Jahren wirklich nicht besser werden. Da gibt es wenig Anlass zur Hoffnung. Wenn wir uns die EU-Perspektive ansehen, da bleiben natürlich jetzt erst einmal Russland/Belarus ganz weit oben auf der Prioritätenliste. Aber wir sehen ja auch, dass sich in anderen Länder wie Iran wie im Nahen Osten durchaus wieder Entwicklungen abzeichnen, die dazu führen, dass dort auch die Sanktionsprogramme noch mal deutlicher ausgeweitet werden oder sogar ganz neue aufgesetzt werden.
Sudan ist jetzt dieser Tage von der EU veröffentlicht worden. Und darüber hinaus begegnen uns aber unter Umständen auch wieder alte Bekannte. Afghanistan ist natürlich auch immer noch ein Thema, auch wenn es gerade überlagert wird. Wir haben das Thema Terrorismus. Die Terrorismus-Listen werden auch nicht abnehmen. Und wenn wir jetzt einen Blick auch in Richtung USA werfen oder den USA- Blick mit einbauen, haben wir natürlich auch China.
Und was bedeutet das von der inhaltlichen Seite? Vermutlich liegt in Zukunft der Fokus neben diesen regionalen Aspekten, das gesamte Thema Sanktionsdurchsetzung. Man hat jetzt viele Instrumente, die erlassen wurden, die in Kraft sind. Man sieht aber gleichzeitig, dass es immer wieder Schlupflöcher gibt oder dass immer wieder versucht wird, Sanktionen zu umgehen. Und da haben sich natürlich sowohl EU als auch die deutsche Regierung sehr stark darauf verständigt, diese Sanktionsdurchsetzung zu verbessern.
In Deutschland ist es natürlich insbesondere diese neu gegründete Zentralstelle für Sanktionsdurchsetzung, die als neuer Player dazu kommen wird, wo man noch nicht wirklich einschätzen kann, wo sie wie sie dann arbeitet und wie das Zusammenspiel auch mit sein wird. Generell sind es natürlich die klassischen Themen, die man dort immer hat: Verschleierung von bestimmten Transaktionen, Strohmann-Konstrukte um wahre Eigentums- und Kontroll-Verhältnisse dort zu verbergen bzw. die über solche Strohmann-Konstrukte Geschäfte abwickeln zu können, obwohl naheliegt, dass dahinter tatsächlich sanktionierte Personen liegen.
 
Und natürlich diese letzten anderthalb Jahre haben gezeigt, die Gesetzgeber sind durchaus sehr kreativ, wenn es darum geht, neue Instrumente zu entwickeln und die zur Anwendung zu bringen. Auch da bin ich durchaus gespannt, was der EU-, was der US- und was der UK-Regierung an der Stelle noch alles einfallen.

Dr. Jacob Wende
Herr Hecker,  vielen Dank für Ihre Zeit und für das spannende Interview.

Oliver Hecker
Sehr gerne doch. Vielen Dank.

Beschwerdeverfahren für Kredit- und Finanzdienstleistungsinstitute nach dem Lieferkettensorgfaltspflichtengesetz (LkSG)

Unter welchen Voraussetzungen sind die Institute zur Einrichtung eines Beschwerdeverfahrens nach dem LkSG verpflichtet?
Das LkSG betrifft Ihr Institut, wenn die Hauptverwaltung, die Hauptniederlassung, der Verwaltungssitz, der satzungsmäßige Sitz oder eine Zweigniederlassung gem. § 13d HGB in Deutschland liegt und die Anzahl der Arbeitnehmer einen der nachfolgend dargestellten gesetzlichen Schwellenwerte erreicht oder übersteigt. Wenn Ihr Institut 3.000 oder mehr Arbeitnehmer im Inland hat, besteht seit dem 1. Januar 2023 die Pflicht zur Einrichtung eines Beschwerdeverfahrens gem. §§ 8 und 9 LkSG. Ab dem 1. Januar 2024 wird dieser Schwellenwert bei 1.000 oder mehr Arbeitnehmern im Inland liegen.

Welche Ziele verfolgt das Beschwerdeverfahren?
Ziel des Beschwerdeverfahrens ist, dass interne und externe Personen auf mögliche oder tatsächliche Verletzungen menschenrechtsbezogener oder umweltbezogener Pflichten hinweisen können, die durch das wirtschaftliche Handeln eines Instituts im eigenen Geschäftsbereich oder eines unmittelbaren Zulieferers entstanden sind. Mit dem Beschwerdeverfahren sollen wie bei einem „Frühwarnsystem“ Probleme erkannt und im besten Fall gelöst werden, bevor es zu einem Schaden kommt und bei Bedarf Zugang zu angemessener Abhilfe ermöglicht werden.

Wie müssen Sie den Zugang zum Beschwerdeverfahren für Ihr Institut ausgestalten?
Das Beschwerdeverfahren muss im Sinne eines risikobasierten Ansatzes allen Personen, die im eigenen Geschäftsbereich und in der Lieferkette des Instituts potenziell von Menschenrechts- oder Umweltverletzungen betroffen sein können, offenstehen. Informationen zum Beschwerdeverfahren sollten Sie in den für Ihre Zielgruppen relevanten Sprachen aufbereiten und an einem leicht auffindbaren Ort veröffentlichen, zum Beispiel auf der Internetseite Ihres Instituts.
Wenn Sie bereits ein Hinweisgebersystem für Compliance-Verstöße etabliert haben, besteht die Möglichkeit, dieses für das Beschwerdeverfahren nach dem LkSG zu erweitern. Es steht Ihrem Institut zudem frei, mehrere Verfahren einzurichten (von denen eines beispielsweise nur internen Personen zugänglich ist) beziehungsweise sich an verschiedenen externen Verfahren zu beteiligen oder eine Kombination aus beidem zu nutzen.

Wie richten Sie ein Beschwerdeverfahren nach dem LkSG für Ihr Institut ein?
Ihr Institut muss zunächst zuständige Personen für das Beschwerdeverfahren benennen. Diese müssen unparteiisch, unabhängig, angemessen geschult und zur Verschwiegenheit verpflichtet sein.
Zudem müssen Sie eine Verfahrensordnung in Textform festlegen und veröffentlichen. Die Verfahrensordnung muss Angaben zum Anwendungsbereich, den Beschwerdekanälen, dem Ablauf, der Möglichkeit der einvernehmlichen Beilegung oder den Verweis auf ein anderes geeignetes externes Beschwerdeverfahren, den Ansprechpartnern und den Schutzmaßnahmen vor Benachteiligung oder Bestrafung aufgrund einer Beschwerde enthalten.

Wie muss das Beschwerdeverfahren Ihres Instituts ablaufen?
Die hinweisende Person erhält zunächst nach Eingang der Beschwerde in Ihrem Institut eine Eingangsbestätigung und wird über die nächsten Schritte, den zeitlichen Verlauf des Verfahrens, das Recht auf Schutz vor Benachteiligung oder Bestrafung aufgrund des Verfahrens und die Möglichkeit der Nutzung weiterer formeller Beschwerdeverfahren informiert. Hierbei kann es sich um ein Verfahren der einvernehmlichen Beilegung oder ein anderes geeignetes externes Beschwerdeverfahren handeln.
Nach einer Erörterung des Sachverhalts mit der hinweisenden Person sollte geprüft werden, ob die Beschwerde in den Anwendungsbereich für ein Beschwerdeverfahren gem. LkSG fällt. Bei einer Ablehnung erhält die hinweisende Person eine kurze Begründung. Fällt die Beschwerde in den Anwendungsbereich und handelt es sich hierbei um unmittelbar bevorstehende oder tatsächliche Pflichtverletzungen, muss diesen Missständen mit Abhilfemaßnahmen begegnet werden. Ggf. werden hierbei auch Vereinbarungen zur Wiedergutmachung getroffen.
Um den Schutz vor Repressalien aufgrund einer Beschwerde sicherzustellen, kann es im Einzelfall sinnvoll sein, auch nach Abschluss des Verfahrens mit der hinweisenden Person in Kontakt zu bleiben. Ihr Institut muss während des gesamten Beschwerdeverfahrens die Vertraulichkeit der Identität der hinweisenden Person sowie den Schutz von deren personenbezogenen Daten gewährleisten.
Die Wirksamkeit des Beschwerdeverfahrens muss mindestens einmal im Jahr sowie anlassbezogen überprüft werden.

Welche Dokumentations- und Berichtspflichten bestehen für Ihr Institut?
Ihr Institut ist verpflichtet, eingegangene Beschwerden gem. LkSG und die in der Folge ergriffenen Maßnahmen fortlaufend zu dokumentieren und darüber öffentlich zu berichten. Die Berichterstattung erfolgt jährlich jeweils für das vergangene Geschäftsjahr auf der Internetseite Ihres Instituts und mit diesem Bericht auch gegenüber dem Bundesamt für Wirtschaft und Ausfuhrkontrolle.

Welche Entwicklungen gibt es zu diesem Thema auf europäischer Ebene?
Auf europäischer Ebene wird derzeit eine EU-Richtlinie („Corporate Sustainability Due Diligence Directive (CSDDD)“) ausgearbeitet, durch die Institute im Ergebnis, wie mit dem LkSG vergleichbar, zur Einhaltung von Sorgfaltspflichten entlang ihrer Wertschöpfungskette verpflichtet werden sollen. Die Richtlinie soll ebenfalls die Pflicht zur Einrichtung eines Beschwerdeverfahrens beinhalten.

Wo finde ich weitere Informationen zur Einrichtung eines Beschwerdeverfahrens?
Weitere Informationen zum Anwendungsbereich des LkSG für Kredit- und Finanzdienstleistungsinstitute finden Sie in der „Handreichung zur Anwendung des Lieferkettensorgfaltspflichtengesetz (LkSG) auf die Kredit- und Versicherungswirtschaft“ und zur Einrichtung eines Beschwerdeverfahrens in der Handreichung „Beschwerdeverfahren nach dem Lieferkettensorgfaltspflichtengesetz“, die vom Bundesamt für Wirtschaft und Ausfuhrkontrolle veröffentlicht wurden.

Daneben ist die Risikoanalyse der zentrale Bestandteil zur Steuerung der Risiken in Ihrem Institut. Mit den Erkenntnissen aus der Risikoanalyse steuert der Geldwäschebeauftragte die Risikosituation. In welchen Werken oder Geschäftsbereichen ist das Unternehmen tätig? Gibt es besondere hohe Risiken oder gibt es Risiken, die noch nicht hinreichend durch adäquate Sicherungsmaßnahmen abgedeckt sind? Daraus können sich Handlungsbedarfe ergeben. Im Sinne der kontinuierlichen Verbesserung ist die Risikoanalyse laufend zu aktualisieren.
 
Dr. Jacob Wende
Kommen wir zur zweiten Frage: Wie ist die Risikoanalyse aufgebaut und was muss sie beinhalten?

Knut Reiser
Ja, wie würde ich als Geldwäschebeauftragter rangehen, um die Risikoanalyse zu erstellen? Hierzu bieten die Auslegungs- und Anwendungshinweise zum Geldwäschegesetz einen wertvollen Ratgeber. Dort ist beschrieben, dass man typischerweise in fünf Stufen vorgeht.
Zunächst einmal geht es darum, die Bestandsaufnahme der unternehmensspezifischen Situation vollständig zu erfassen. Hier bietet es sich an, auch interne Informationen zu sammeln und heranzuziehen. Nämlich, wie hoch ist die Bilanzsumme? Wie viele Mitarbeiter haben Sie? Wie viele Kunden haben Sie? Welche Produkte bieten Sie an? Haben Sie Verdachtsmeldungen gestellt und wenn ja, wie viele? Gibt es Erkenntnisse aus der Jahresabschlussprüfung oder aus der letzten Revisionsprüfung? Und externe Veröffentlichungen gibt es ja sehr viele am Markt. Hier ist, glaube ich, in meinen Augen wichtiger herauszufinden, welche dieser Papiere sind für Sie von wesentlicher Bedeutung und welche können Sie eher weglassen. Besonders wichtig sind natürlich die Leitlinien zu Risikofaktoren, zur Geldwäsche und Terrorismusfinanzierung, die nationale Risikoanalyse und die subnationale Risikoanalyse sowie Lagebilder, Veröffentlichungen der BaFin und der AFCA.

Im zweiten Schritt geht es darum, ihre Risiken zu identifizieren und zu erfassen. Man betrachtet typischerweise die Kundenebene, die Produktebene, transaktionsbezogene Risiken sowie geografische Risiken.

Anschließend, im dritten Schritt werden die Risiken kategorisiert, das heißt, je nach ihrem Risikomodell ordnen Sie die identifizierten Risiken entweder drei oder vier Risikokategorien zu.
 Im vierten Schritt geht es darum, angemessene Sicherungsmaßnahmen abzuleiten. Das heißt, mit welchen Maßnahmen kann ich die identifizierten Brutto-Risiken zu Netto-Risiken reduzieren.
Im fünften Schritt müssen Sie sich fragen: Funktionieren meine Sicherungsmaßnahmen? Sind diese vollständig? Und gibt es Erkenntnisse aus den Kontrollhandlungen? Sollten sich dort Erkenntnisse ergeben, dass Sie entweder zu wenige Sicherungsmaßnahmen für einzelne Risiken implementiert haben oder dass diese nicht vollständig funktionieren, ergeben sich Handlungsbedarfe.
 
Dr. Jacob Wende
Kommen wir zu der letzten Frage: Was sind die typischen Fehler bei der praktischen Umsetzung der Geldwäsche-Risikoanalyse?

Knut Reiser
Typische Fehler bei der praktischen Umsetzung der Risikoanalyse sind, wenn die Risikoanalyse die tatsächliche Situation des Instituts nicht wiedergibt. Hier geht es darum, dass ein externer Dritter erkennen kann, wie ist die tatsächliche Risikosituation des Instituts und wenn sie dort unvollständig sind, dann kann dieser die Risikosituation nicht erkennen.
Ein weiterer Stolperstein kann sein, dass Risiken der Terrorismusfinanzierung nicht separat betrachtet werden. Hier ist die klare Erwartung der Aufsicht, dass sie sich sowohl mit den konkreten Risiken der Geldwäsche als auch mit den Risiken von Terrorismusfinanzierung befassen.

Ein weiterer Fehler kann sein, dass Sicherungsmaßnahmen siloartig neben den Risiken gegenübergestellt sind und nicht erkennbar wird, wie diese Sicherungsmaßnahmen die identifizierten Brutto-Risiken liquidieren. Ein weiterer Erfahrungswert kann sein, dass das zugrunde liegende Risikomodell für einen Dritten nicht transparent nachvollziehbar ist - oder dass wichtige Veränderungen des Unternehmens in der Risikoanalyse unberücksichtigt bleiben. So kann man sich vorstellen, dass das Institut entweder Geschäftsteile abgespalten hat oder Unternehmensteile dazugekauft hat. All das waren für mich Momente, die Risikoanalyse auch unterjährig zu aktualisieren.

Und abschließend fällt mir noch ein. Der Wirtschaftsprüfer prüft das Risikomanagement typischerweise darauf, ob es angemessen und wirksam ist. Wenn Sie dort Schwächen haben, dass Maßnahmen entweder nicht angemessen sind, die Risikosituation zu reduzieren, oder wenn die Sicherungsmaßnahmen nicht funktionieren, weil Sie diese vielleicht nicht rechtzeitig oder nicht vollständig kontrollieren, dann sind das weitere Einfallstore für Prüfungsfeststellungen.
 
Dr. Jacob Wende
Herzlichen Dank, lieber Knut Reiser, für die Zeit, die Sie sich heute genommen haben.
 
Knut Reiser
Lieber Herr Dr. Wende, ich danke Ihnen ebenfalls für das angenehme Gespräch.
 

 

Whistleblowing: Das Hinweisgeberschutzgesetz ist da!

 

Nach langem hin-und-her wurde das Hinweisgeberschutzgesetz (HinSchG) von Bundestag und Bundesrat verabschiedet und am 2. Juni 2023 im Bundesgesetzblatt veröffentlicht. Wann müssen Unternehmen tätig werden?
Im Grunde müssen sie sofort tätig werden, da das HinSchG bereits einen Monat später, d. h. ab dem 2. Juli 2023 gelten wird. Betroffen sind alle Unternehmen, die regelmäßig mehr als 250 Mitarbeiter beschäftigen sowie Unternehmen bestimmter Branchen, wie Finanzdienstleister. Werden 50–249 Mitarbeiter beschäftigt, dann greifen die Regelungen erst ab 17. Dezember 2023. Am wichtigsten und umfangreichsten dürfte für Unternehmen die Einrichtung und der Betrieb einer sogenannten „internen Meldestelle“ sein. Dieser Arbeitsumfang ist nicht zu unterschätzen, da kommen schnell auch bei kleineren Unternehmen 40–50 Stunden zusammen und zusätzlich sind die umfangreichen Mitbestimmungsrechte des Betriebsrats zu beachten. Bei größeren Unternehmen ist somit oft von einer Bearbeitungszeit von mehr als 100 Stunden inkl. Abschluss einer Betriebsvereinbarung auszugehen.

Was heißt das, „interne Meldestelle“?
Das bedeutet, das jedes Unternehmen eine Stelle benennen muss, an die sich ein potenzieller Hinweisgeber für seine Meldung wenden kann. Sie kann mit einer oder mehreren Personen im Unternehmen selbst besetzt werden, beispielsweise im Bereich Compliance, Risikomanagement oder Personal, solange unabhängig Hinweise entgegengenommen und bearbeitet werden können. So intern wie sie vielleicht klingt, ist die „interne Meldestelle“ aber gar nicht. „Interne Meldestelle“ kann nämlich auch ein Dritter, z.B. in Person eines sog. Ombudsmanns, sein, der vom Unternehmen beauftragt wird, also zum Beispiel der Anbieter eines digitalen Hinweisgebersystems oder ein entsprechend qualifizierter Rechtsanwalt.

Wichtig ist hierbei, dass ein Dritter die Meldungen, deren Einreichung in Textform oder mündlich möglich sein muss, zwar entgegennimmt und bearbeitet – die potentielle Abstellung des Missstands bleibt aber weiterhin in der Verantwortlichkeit des Unternehmens. Das ist wichtig, damit die Verantwortung nicht „abgeschoben wird“. Ein wirksamer Hinweisgeberschutz wird heutzutage als wichtiger Teil einer guten Unternehmenskultur verstanden, gerade auch als Teil des „G“ in „ESG“. Das steht bereits in der Gesetzesbegründung.

Welche Vorteile haben die jeweiligen Varianten?
Die Verankerung im Unternehmen kann dafür sorgen, dass der Weg „kürzer“ ist und die Komponente des „unbekannten“ Dritte wegfällt. Auf der anderen Seite wird ein Dritter von außen unbefangener auf den Sachverhalt schauen und sorgt darüber hinaus auch für mehr Vertraulichkeit, die im Unternehmen teilweise nur schwierig sichergestellt werden können dürfte. Dazu kommt, dass die Expertise eine rechtlich zutreffende Einschätzung abzugeben außer in den Bereichen Recht, Compliance, Risikomanagement und Personal kaum vorhanden sein dürfte. Wenn gleichzeitig noch Interessenkonflikte verhindert werden sollen, dann sollte der Arbeitgeber mit einer Menge Fingerspitzengefühl vorgehen. Mein persönlicher Favorit ist beide Möglichkeiten parallel anzubieten, d. h. zweigleisig bei der internen Meldestelle zu fahren mit Compliance oder Risikomanagement einerseits und dem Ombudsmann andererseits.
 
 
Wie sieht es mit der Identität des Hinweisgebers aus?
Der Kompromiss aus dem Vermittlungsausschuss sieht im HinSchG vor, dass anonyme Hinweise zwar bearbeitet werden sollen, aber nicht müssen. Das war ein großer Streitpunkt, weil der deutsche Entwurf zunächst strenger war als die europäische Richtlinie. Für Hinweisgeber heißt das, dass ihre Identität der Meldestelle bekannt ist. Es gilt aber ein strenges Vertraulichkeitsgebot: Diese Daten sind besonders vertraulich zu behandeln und dürfen nur einem stark begrenzten Personenkreis zugänglich gemacht werden, der die Meldung auch tatsächlich bearbeitet und dem Hinweis nachgeht.

Arbeitnehmer befürchten bei der Aufdeckung von Missständen, dass der Arbeitgeber arbeitsrechtliche Maßnahmen gegen sie richten könnte. Gibt es nun einen besseren Schutz?
Der wirksame Schutz des Hinweisgebers vor Repressalien durch dessen Arbeitgeber ist der grundlegende Zweck des HinSchG. Repressalien in Form von arbeitsrechtlichen Maßnahmen oder sozialer Ausgrenzung sind selbstverständlich verboten. Das Gesetz sieht als Hauptwerkzeug für den Repressalienschutz eine sogenannte Beweislastumkehr vor. Das heißt, dass im Falle einer gerichtlichen Auseinandersetzung der Arbeitgeber beweisen müsste, dass seine gegen einen Hinweisgeber gerichtete Maßnahme nicht aufgrund des Hinweises erfolgte. Man muss aber auch erwähnen, dass dieser Schutz nur dann greift, wenn eine Meldung tatsächlich bereits erstattet wurde. Es kann also nicht nach einer unliebsamen Maßnahme einfach ein beliebiger Hinweis gegeben werden, um sich nachträglich hinter den „HinSchG-Schutzschild“ zu stellen. Zudem ist durch den Vermittlungsausschuss eine weitere Voraussetzung für den Arbeitnehmer hinzugetreten, welche die Beweislastumkehr etwas abschwächt.

Könnte es nicht auch passieren, dass die Meldestelle missbraucht wird, um Kollegen anzuschwärzen oder sich einen Vorteil zu verschaffen?
Das erwarte ich eher nicht, da solche Fälle schnell nach hinten losgehen können, wenn sich die Meldung als falsch herausstellt. Es gibt natürlich trotzdem ein gewisses Missbrauchspotential: Insbesondere, wenn im Arbeitsverhältnis nicht alles rund läuft oder gar eine Kündigung im Raum steht, könnten Arbeitnehmer auf die Idee kommen, Meldungen zu einzureichen, um dem Arbeitgeber zuvorzukommen und den Repressalienschutz zweckzuentfremden.

Ein weiterer Diskussionspunkt waren die Bußgelder, wie sieht es hier nun aus?
Der Bußgeldtatbestand wurde auf 50.000 € (anstelle von ursprünglich 100.000 €) für Unternehmensverantwortliche und 500.000 € für das Unternehmen selbst gedeckelt. Ich halte das für ausreichend abschreckend, um eine Bearbeitung zu forcieren.

Kann ich mich als Hinweisgeber auch an die Presse wenden? Das erhöht sicherlich den Druck auf den Arbeitgeber.
Eine sogenannte Offenlegung ist in den wenigsten Fällen vom Gesetz geschützt. Das ist nur der Fall, wenn ein Rechtsverstoß im Raum steht, der eine unmittelbare oder offenkundige Gefährdung des öffentlichen Interesses darstellt. Das HinSchG hat als Ziel, dass zunächst intern untersucht, aufgeklärt und abgestellt wird. Hierfür sollen aktiv Anreize geschaffen werden. Der Gang zur externen Meldestelle, z. B. beim Bundesamt für Justiz, bleibt aber auch in der finalen Version jederzeit erlaubt.
 

Dann gibt es den Bereich Bestandskunden-Aktualisierung. Da muss sich je nach Risiko (dazu kommen wir gleich noch) meine Kunden überprüfen, ob die Informationen, die ich habe, weiterhin aktuell gehalten sind. Und dann gibt es noch die sogenannte anlassbezogene Überprüfung, sprich, wenn der Kunde mich proaktiv informiert, dass er umgezogen ist, dass er neuen Geschäftsführer hat, dass er einen neuen Eigentümer hat, dann muss ich auch aktiv werden und das Risiko gegebenenfalls neu bewerten.
Was bedeutet „Risiko“ hier? Es gibt die vereinfachten Prüfungen, es gibt die allgemeinen Prüfungen, die verstärkten Prüfungen.  Einfache Prüfungen heißt, ich habe gegebenenfalls eine öffentliche Institution als Kunden oder jemand nutzenden Produkt, eine Lebensversicherung – dann kann es auch schon sein, dass ich gegebenenfalls nicht so streng hinschauen muss. Bei den allgemeinen Sorgfaltspflichten – das ist so der Standard und da fallen eigentlich 90 % der deutschen Unternehmen oder auch Privatpersonen darunter – dass man da gewisse Punkte durcharbeitet und überprüft und auch bewertet.

Und dann natürlich bei den verstärkten Sorgfaltspflichten muss ich ja noch mal deutlich genauer hinschauen und auch mal zusätzliche Prüfungsschritte vornehmen. Und darunter fallen dann natürlich auch Kunden, die einen Bezug zu einer politisch exponierten Person haben oder dann auch im Hochrisiko-Drittstaat ansässig sind. Das sind, kurz gesagt, drei unterschiedliche Prozesse „Know Your Customer“ – Neukunden, Bestandskunden und anlassbezogen Überprüfung und unterschiedliche Risiken, mit sehr, sehr geringem Risiko, mit normalem Risiko und mit hohem Risiko.


Dr. Jacob Wende:
Vielen Dank für die erste Einordnung. Meine zweite Frage: Was sind die aktuellen Problemfelder im Bereich KYC-Verfahren?


Justus Schrecker:
Genau da gibt es einige, auch in unterschiedlichen Kategorien. Und zwar nach der Geschwindigkeit werden wir häufig gefragt „Wie schnell könnt ihr oder können wir einen Kunden onboarden? Wie schnell kann der Kunde Geschäft mit uns machen?“ Das hängt natürlich auch von der Komplexität des Kunden ab. Welche Strukturen hat der Kunde, welche Risiken hat der Kunden?
Und da sehen wir eine große Herausforderung, dass man der User-Experience auch gerecht wird. Sprich, wenn es Firmenkunden gibt oder Privatpersonen, die innerhalb von drei, vier Minuten ein Konto haben wollen, dass man die Sorgfaltspflichten immer noch richtig und genau durchführen kann. Aber in der gewissen Geschwindigkeit, die es dann verlangt.
Zweite Herausforderung ist die Komplexität der Kunden. Wir werden immer internationaler, auch wenn sich gerade die letzten anderthalb Jahre das Bild so ein bisschen gewandelt hat. Dennoch stellen wir fest, dass die Unternehmen ja relativ schnell Verflechtungen ins Ausland haben, Eigentümerstruktur im Ausland haben und da gibt es nicht immer die gleiche Datenbank und Datenbasis, sodass man hier auch eine intensivere Recherche vornehmen muss, um rauszufinden und nachvollziehen zu können, ob die Information, die der Kunde übermittelt hat, wirklich auch genau passend sind.
Das sind die beiden Themen, Geschwindigkeit und Komplexität.


Dr. Jacob Wende
Meine letzte Frage: Welche Herausforderungen siehst du der Zukunft, insbesondere mit dem neuen EU AML-Paket?


Justus Schrecker
Ja, da blicke ich eigentlich sehr positiv in die Zukunft, weil das natürlich klasse wäre, wenn wir einheitliche Standards in Europa haben. Das erleichtert dann natürlich auch das Handeln im europäischen Binnenmarkt und wir hätten dann die gleichen Anforderungen an einen Neukunden in Italien wie in Deutschland wie in Holland und könnten dann auch die Informationen verwenden und müssten nicht immer unterschiedliche Anfragen an den Kunden stellen und es würde den Prozess vereinheitlichen.
Der Weg dorthin wird aber, glaube ich, für einige schmerzhaft werden, weil es ja doch Veränderungen gibt, die ja gut sind bzw. gut sind für die Harmonisierung. Ob sie dann letztendlich effektiv sind, bleibt dahingestellt. Aber zumindest die Anpassung der Einheitlichen oder die Anpassung der Berechnung der wirtschaftlich Berechtigten zählt, glaube ich zu einer guten Entwicklung. Dass wir über Europa hinweg einen einheitlichen Standard haben, wie jetzt der wirtschaftlich Berechtigte zu ermitteln ist.
 
Auch die Harmonisierung der oder die Vorgabe der Anforderungen, wann welche Kunden wieder aktualisiert werden oder die Kundendaten zu aktualisieren sind, hilft, glaube ich auch für die Prozesse. Aber klar – einige Banken und Verpflichtete müssen dann ihre Prozesse anpassen, und das ist natürlich wieder sehr aufwendig und gegebenenfalls auch mit Kosten verbunden.
 

Dr. Jacob Wende
Herzlichen Dank für Deine Zeit und für die spannenden Insights.
 

Justus Schrecker
Sehr gerne! Hat mich gefreut und bis bald.
 

'Wünsche an die neu gebildete Gemeinsame Glücksspielaufsichtsbehörde der Länder (GGL)'

Ein Ergebnis der letzten FATF Deutschlandprüfung 2021/2022 war die Feststellung, dass für das Thema Geldwäschebekämpfung im Nichtfinanzsektor bundesweit mehr als 300 Behörden zuständig sind. Diesem Sammelsurium an unkoordiniert vorgehenden Aufsichtsbehörden wird von der FATF fehlende Abstimmung untereinander, fehlendes Risikoverständnis und ein chronischer Ressourcenmangel testiert. Positiv wurde die Bildung der neu geschaffenen öffentlich-privaten Partnerschaft namens Anti Financial Crime Alliance (AFCA) bei der FIU bewertet. Dort arbeiten Aufsichten und Verpflichtete des GwG in 5 Arbeitsgruppen erfolgreich zusammen, erarbeiten gemeinsam Lagebilder und Typologiepapiere.

Mit Beginn des Jahres 2023 nahm die Gemeinsame Glücksspielaufsichtsbehörde der Länder in Halle/Saale ihre Tätigkeit auf. Sie ist zuständig für die Aufsicht über und Genehmigung von Online-Glücks­spiel­an­ge­boten. Das sind im Internet angebotene virtuelle Automatenspiele, Online-Poker sowie Sport- und Pferdewetten. Damit übernimmt die GGL die bisher von den einzelnen Ländern wahrgenommenen Regulierungsaufgaben.

Man kann sagen, endlich. Endlich ist eine Behörde bundesweit als Glücksspielaufsichtsbehörde tätig. Die ersten Schritte der GGL waren sehr vielversprechend. Die GGL suchte den Kontakt und vor allem den Dialog mit den Verpflichteten des GwG, für die sie zuständig ist. Durch das persönliche Kennenlernen und durch den Dialog entsteht auch gegenseitiges Verständnis für die aktuellen Probleme bei der Geldwäscheprävention und Geldwäschebekämpfung. Die GGL erkennt, dass auch seriöse Anbieter von Glücksspielen im Internet auf dem Glücksspielmarkt tätig sind, die sauberes und vor allem kontrolliertes Glücksspiel anbieten. Es muss gemeinsam gelingen, die schwarzen Schafe vom Markt zu drängen. Die Einhaltung der gesetzlichen Vorschriften durch die Veranstalter von Glücksspielen ist selbstverständlich.

Die international geforderte risikobasierte Aufsichtstätigkeit ist das gemeinsame Ziel. Insbesondere die seit November 2020 geltenden Auslegungs- und Anwendungshinweise der Obersten Glücksspielaufsichtsbehörden der Länder sind dringend grundlegend zu überarbeiten. Darin sind zahlreiche sinnbefreite Forderungen enthalten, die nicht auf eine risikobasiert Aufsichtstätigkeit hindeuten. Forderungen aus dem GwG, die eindeutig ausschließlich von Banken anzuwenden sind, wurden in die Glücksspiel AuA's übernommen.Dennoch hielten bisher mehrere Aufsichtsbehörden an den unsinnigen Forderungen der Glücksspiel AuA's fest. Die Begründung dafür lautete, es steht so in den AuA's, also ist es umzusetzen. Es gab aber auch Aufsichtsbehörden, die ihre Tätigkeit mit gesundem Menschenverstand und fachlicher Expertise ausführten. Die GGL steht vor der Mammutaufgabe, einheitliche Vorgaben an alle weiterhin für die Umsetzung zuständigen Aufsichtsbehörden der 16 Bundesländer zu erarbeiten, einheitliche Prüfungsstandards und Prüfungsthemen festzulegen und ein miteinander abgestimmtes Verständnis bei den Landesbehörden zu entwickeln.   

Die GGL und die Mehrheit der ihr unterstellten Verpflichteten des GwG ziehen an einem Ende des Stranges der Geldwäschebekämpfung, nicht an verschiedenen Enden. Aus diesem Grund ist zu wünschen, dass die GGL ihren bisher eingeschlagenen Weg des Gedankenaustausches und der Zusammenarbeit mit den Verpflichteten des GwG so konstruktiv fortführt, wie in den letzten Wochen. Dafür wünsche ich den sehr engagierten Mitarbeiterinnen und Mitarbeitern viel Erfolg und vor allem starke Nerven.
 

 

Dr. Jacob Wende: Lieber Herr Frank Buckenhofer, herzlichen Dank, dass Sie sich Zeit genommen haben, und uns für ein kleines Interview zur Verfügung stehen. Sie sind seit Jahrzehnten ein Bekämpfer der Geldwäsche. Ich freue mich sehr, dass Sie mit uns Ihre Expertise teilen können. Wir haben das Jahr 2023, das Sanktionsdurchsetzungsgesetz II ist durchgesetzt worden. Ist es ein wirkungsvolles Instrument zur Durchsetzung von Sanktionen und Geldwäschebekämpfung für die Zukunft?
Sie ist auch nicht in der Fläche präsent und kann Sanktionen von beweglichen Vermögen durchsetzen, die plötzlich unerwartet bekannt werden, wie Stichwort irgendwelche hochwertigen Fahrzeuge von sanktionierten Personen, die in Tiefgaragen auftauchen. Sie muss also ständig auf andere Behörden von Zoll und Polizei zurückgreifen, um auch in der Fläche die Sanktionen umsetzen zu können. Und was die Geldwäschebekämpfung angeht - dort sammelt die Behörde ja nicht gezielt nach Informationen, die geldwäschebekämpfungsrelevant sind, sondern da bekommen wir dann, wahrscheinlich zufälligerweise, Informationen über Vermögen, die möglicherweise inkriminiert sind.

Aber spätestens dann, wenn es keine Sanktionen durchzusetzen gilt, haben wir eine Behörde, die keinen Auftrag mehr hat, aber auch keine Befugnisse für eine wirksame Geldwäschebekämpfung. Also insofern ist das kein intelligentes Konstrukt.
 

Dr. Jacob Wende: Welche Herausforderungen ergeben sich jetzt für die Compliance-Abteilung?

Frank Buckenhofer: Also im Bereich der Compliance-Abteilung? Ändert sich eigentlich bei der Sanktionsdurchsetzung nichts. Die hatten vorher schon die nötigen Sorgfaltspflichten aufgrund der EU Verordnungen, die ja die Sanktionen bestimmen. Und da hat sich nichts geändert. Was sich geändert hat im Rahmen, Sanktionsdurchsetzungsgesetz II ist, dass zum Beispiel die Notare jetzt viel stärker darauf achten müssen hinsichtlich der Bargeldflüsse bei Immobilienverkäufen.

Das wird sicherlich noch eine Herausforderung werden. Wir haben auch jetzt die neue Diskussion um die Frage des fiktiven Berechtigten, also wo früher große Aktiengesellschaften gesagt haben, „Wir wissen gar nicht, wem unser Unternehmen gehört.“ Jetzt müssen sie sozusagen fiktive Berechtigte nennen. Das sind Dinge, die für die Compliance-Abteilung sicherlich neu sind. Im Großen und Ganzen kann man das Sanktionsdurchsetzungsgesetz II im Hinblick auf die Compliance-Abteilung vielleicht noch mal als ein Reflex zur Mahnung, zur Ermahnung doch stärker sozusagen diese Compliance Dinge berücksichtigen.
 
Dr. Jacob Wende: Geldwäschebekämpfung in Deutschland aktuell: Was ist Ihr Eindruck über die jetzige Legislaturperiode und was sind die Herausforderungen für die Bundesregierung?
 
Frank Buckenhofer: Also fangen wir mal an mit dem Sanktionsdurchsetzungsgesetz II, weil wir ja eben schon darüber gesprochen haben. Da ist ja immer gesagt worden, das ist ein wirksames Instrument im Kampf gegen Geldwäsche. Das ist es nicht. Definitiv nicht. Bestenfalls können Informationen, die zutage treten beim Aufspüren von Vermögen, die sanktioniert sind, für Geldwäscheverfahren genutzt werden. Aber die Behörde selber hat natürlich keinen Auftrag zur wirksamen Geldwäschebekämpfung. Das ist ungefähr so, als wenn man sagen würde: „Ist das Finanzamt ein geeigneter Ort für die Geldwäschebekämpfung“, weil die ja auch mit Geld zu tun haben. Also erste Antwort Sanktionsdurchsetzungsgesetz II ist kein großer Wurf im Kampf gegen die Geldwäsche und das, was Finanzminister Lindner angekündigt hat im August letzten Jahres. Diese neue Behörde zur Bekämpfung von Finanzkriminalität, die dann aus drei, vielleicht sogar vier Säulen bestehen soll, ist auch nur ein bürokratisches Monster, was dort etabliert werden soll.

Unser Vorschlag war auch hier Geldwäsche zu mit bestehenden Strukturen zu bekämpfen. Der FATF-Bericht ist so ausgefallen, dass Deutschland mit einem blauen Auge davongekommen ist. Hier gibt es sicherlich Nachholbedarf. Deutschland ist seit Jahren ein Geldwäscheparadies. Das liegt nicht aber nur alleine an einer mäßig gut operierenden Financial Intelligent Unit. Das liegt auch daran, dass uns entscheidende Befugnisse fehlen im Bereich der präventiven Finanzermittlung.
Ich sage mal Suspicious Wealth Order ist etwas, was in Deutschland gut eingeführt werden könnte. Das haben wir nicht dieses Instrument der präventiven Finanzermittlungen.

Wir tun uns eben immer noch schwer, überhaupt Vermögen, was inkriminiert ist zu suchen und geschweige denn es da noch sicherzustellen, ohne nicht sofort im Strafverfahren zu landen. Also, hier ist noch viel Luft nach oben. Der Finanzminister will einen Schritt nach vorne gehen, aber der ist eigentlich kein Schritt nach vorne, sondern er tritt auf der Stelle.

Das ist das Grundproblem in Deutschland. Und wir sehen da wenig Hoffnung im Moment, dass sich das ändert.
 
Dr. Jacob Wende: Herr Buckenhofer, herzlichen Dank für Ihre Zeit.