Geldwäscheprävention und Datenschutz lassen sich nicht mit dem Satz abstimmen, eine Pflicht gehe der anderen immer vor. Eine gesetzlich erforderliche Identifizierung kann personenbezogene Angaben und Nachweise verlangen. Daraus folgt jedoch keine Erlaubnis, alle verfügbaren Informationen unbegrenzt zu sammeln, im Vertrieb wiederzuverwenden oder an beliebige Empfänger zu übermitteln.
Für eine brauchbare Abstimmung müssen Geldwäschefunktion, Datenschutz und IT denselben tatsächlichen Datenfluss prüfen. Dieser Leitfaden zeigt, wie Sie KYC-Daten, Aufbewahrung, Betroffenenanfragen und Dienstleister in einem gemeinsamen Entscheidungsvermerk zusammenführen. Maßgeblich ist dabei das aktuell anwendbare deutsche Geldwäschegesetz; spätere EU-Anwendungstermine werden gesondert ausgewiesen.
1. Zuerst Verpflichteteneigenschaft und konkreten Vorgang prüfen
Nicht jedes Unternehmen muss für jeden Vertrag eine geldwäscherechtliche Kundenprüfung durchführen. Der Kreis der Verpflichteten ergibt sich aus § 2 GwG. Die tatsächliche Tätigkeit und die jeweilige gesetzliche Kategorie sind zu bestimmen. Danach ist zu prüfen, welche Sorgfaltspflichten bei der konkreten Geschäftsbeziehung oder Transaktion ausgelöst werden.
Dokumentieren Sie diese Einordnung, bevor Sie ein Identifizierungsformular für sämtliche Kunden ausrollen. Eine Softwarefunktion mit der Bezeichnung „KYC“ begründet selbst keine gesetzliche Pflicht. Ebenso ist eine Sanktionslistenprüfung nicht automatisch in jeder Ausgestaltung dasselbe wie die Erfüllung der Pflichten aus dem GwG. Die einschlägige Rechtsgrundlage und der Zweck sind jeweils festzuhalten.
Bei tatsächlich gesetzlich gebotenen Verarbeitungen kommt insbesondere Artikel 6 Absatz 1 Buchstabe c der DSGVO in Verbindung mit der konkreten Pflicht in Betracht. Eine Einwilligung ist dann nicht der passende Mechanismus, um eine zwingende Identifizierung als freiwillig darzustellen. Gleichzeitig muss erkennbar bleiben, welche zusätzliche Nutzung nicht von dieser Pflicht getragen wird.
2. Datenfelder anhand der Pflicht begründen
§ 11 GwG unterscheidet unter anderem Vertragspartner, gegebenenfalls auftretende Personen und wirtschaftlich Berechtigte. Bei natürlichen Vertragspartnern nennt die Norm bestimmte Identifizierungsangaben, darunter Name, Geburtsort, Geburtsdatum, Staatsangehörigkeit und grundsätzlich Wohnanschrift. Für wirtschaftlich Berechtigte gelten gesonderte Vorgaben. Eine einzige undifferenzierte Pflichtfeldliste kann diese Unterschiede verfehlen.
Für jedes Feld sollte der Vermerk deshalb beantworten: Welche Personengruppe betrifft es? Welche Pflicht beziehungsweise zulässige Erhebung wird damit erfüllt? Wie wird die Information geprüft? Wo wird der Nachweis gespeichert? Unterscheiden Sie benötigte Daten von Informationen, die der Anbieter eines Formulars lediglich standardmäßig mitliefert.
§ 11a Absatz 1 GwG begrenzt die Verarbeitung auf das nach dem Gesetz für die Verhinderung von Geldwäsche und Terrorismusfinanzierung Erforderliche. Die Vorschrift ist kein Auftrag zur maximalen Datensammlung. Die Datenminimierung auf Feldebene bleibt deshalb eine konkrete Arbeitsaufgabe auch innerhalb eines gesetzlich verpflichtenden Prozesses.
Wenn das Formular Freitext zulässt, prüfen Sie, ob dort Gesundheitsangaben oder andere besonders schutzbedürftige Inhalte ohne Not entstehen. Ein Dokumentenbild ist nicht allein wegen eines sichtbaren Gesichts automatisch biometrische Verarbeitung zur eindeutigen Identifizierung. Wird dagegen eine entsprechende technische Identifizierung eingesetzt, ist Artikel 9 gesondert zu prüfen. Weder ein allgemeiner Verweis auf AML noch pauschal auf § 22 BDSG ersetzt die Prüfung der tatsächlich einschlägigen Ausnahme und ihrer Schutzmaßnahmen.
3. Identitätsnachweise rechtmäßig und begrenzt aufbewahren
Bei Ausweiskopien sind die geldwäscherechtlichen Sondervorgaben wichtig. § 8 Absatz 2 GwG sieht in den dort genannten Dokumentenfällen ein Recht und eine Pflicht zur Kopie oder optisch digitalen Erfassung vor. Die pauschale Aussage „Ausweiskopien sind aus Datenschutzgründen immer verboten“ wäre daher falsch. Ebenso falsch wäre es, diese besondere Regel auf jede gewöhnliche Kundenbeziehung auszudehnen.
Ordnen Sie den Nachweis dem richtigen Verfahren zu. Die Norm unterscheidet Dokumentenprüfung, bestimmte elektronische Verfahren und weitere Nachweisformen. Legen Sie fest, welche Daten tatsächlich zurückgegeben werden und welche Aufzeichnungen das Unternehmen selbst beziehungsweise sein Dienstleister hält. Dazu können auch erforderliche Video- und Tonaufzeichnungen eines geldwäscherechtlichen Identifizierungsverfahrens gehören.
Die technische Ablage braucht Zugriffsbeschränkung und verlässliche Verfügbarkeit während der einschlägigen Frist. Ein allgemeines CRM-Dokumentenfach mit Zugriff für den gesamten Vertrieb ist dafür nicht automatisch geeignet. Eine organisatorische Trennung kann innerhalb eines Systems umgesetzt werden, wenn die Berechtigungen, Zwecke und Aufbewahrungsregeln tatsächlich getrennt funktionieren. Das Gesetz verlangt nicht für jede denkbare Konstellation zwei physisch getrennte Datenbanken.
4. Die deutsche Aufbewahrungsregel präzise konfigurieren
§ 8 Absatz 4 GwG verlangt für die erfassten Aufzeichnungen und Belege grundsätzlich fünf Jahre Aufbewahrung, soweit andere gesetzliche Aufzeichnungs- oder Aufbewahrungspflichten keine längere Frist vorsehen. Die Vorschrift nennt zugleich eine Vernichtung spätestens nach Ablauf von zehn Jahren. Daraus darf keine pauschale Standardaufbewahrung von zehn Jahren für sämtliche KYC-Daten werden.
Der Fristbeginn ist entscheidend. Im Fall einer Geschäftsbeziehung nach § 10 Absatz 3 Satz 1 Nummer 1 beginnt die Frist mit dem Schluss des Kalenderjahres, in dem die Geschäftsbeziehung endet. In den übrigen Fällen beginnt sie mit dem Schluss des Kalenderjahres, in dem die jeweilige Angabe festgestellt wurde. Das ist präziser als „fünf Jahre ab Upload“ oder „fünf Jahre ab letzter Änderung“.
Ein fiktives Beispiel: Eine erfasste Geschäftsbeziehung endet am 18. März 2026. Für die zugehörigen Unterlagen wird der Fristbeginn auf den Schluss des Kalenderjahres 2026 gesetzt. Die fünfjährige Aufbewahrungszeit läuft damit bis zum Ende des Jahres 2031. Der anschließende Vernichtungsprozess muss vorbereitet sein; eine gegebenenfalls einschlägige längere gesetzliche Pflicht ist zuvor konkret festzustellen und zu dokumentieren.
| Konfigurationsfrage | Ausgefüllte Antwort im Beispiel |
|---|---|
| Betroffener Bestand | Identifizierungsnachweise zur beendeten Geschäftsbeziehung |
| Maßgebliches Ereignis | Ende der Geschäftsbeziehung am 18. März 2026 |
| Fristbeginn | Schluss des Kalenderjahres 2026 |
| Standardregel | Fünf Jahre nach § 8 Absatz 4 GwG |
| Abweichung | Nur nach dokumentierter Prüfung einer einschlägigen längeren gesetzlichen Pflicht |
| Technische Umsetzung | Aufbewahrungsdatum in Hauptablage und zugehörigen Kopien; protokollierte Vernichtung nach Freigabe |
Prüfen Sie Mehrfachzwecke auf Dokumentenebene. Handels- oder steuerrechtliche Fristen unterscheiden verschiedene Belegarten; sie rechtfertigen nicht ungeprüft die längere Aufbewahrung jedes Identifizierungsdetails. Bei besonderen Verfahrenslagen oder kollidierenden Pflichten benötigt die Entscheidung eine konkrete rechtliche Prüfung, keinen unbefristeten Sammelstatus „möglicherweise noch relevant“.
5. Information und Auskunft unterscheiden
Das Verbot des sogenannten Tipping-off verhindert bestimmte Hinweise auf Meldungen und Ermittlungen. § 47 Absatz 1 GwG nennt insbesondere beabsichtigte oder erstattete Verdachtsmeldungen, darauf beruhende Ermittlungsverfahren und das dort bezeichnete Auskunftsverlangen. Das bedeutet nicht, dass ein Unternehmen seine allgemeinen Identifizierungszwecke geheim halten darf.
Werden personenbezogene Angaben aus Registern oder von anderen Dritten beschafft, ist auch die Informationsprüfung nach Artikel 14 gesondert vorzusehen. Prüfen Sie den konkreten Informationsgegenstand und einschlägige Ausnahmen, statt eine AML-Zuordnung als pauschale Geheimhaltung zu behandeln.
§ 11a Absatz 2 GwG enthält außerdem eine gezielte Regel für die dort beschriebenen Übermittlungen an zuständige Aufsichtsbehörden beziehungsweise deren Hilfspersonen und an die Zentralstelle für Finanztransaktionsuntersuchungen. Insoweit bestehen die Information nach Artikel 13 Absatz 3 und das Auskunftsrecht nach Artikel 15 nicht. Der Anwendungsbereich ist am konkreten Gegenstand der Anfrage zu prüfen; die Regel beseitigt nicht pauschal sämtliche Rechte an allen Kundendaten.
Artikel 23 DSGVO ist seinerseits kein frei ausfüllbarer Ablehnungsgrund für ein Unternehmen. Eine Einschränkung muss auf der tatsächlich einschlägigen gesetzlichen Regel beruhen. Dokumentieren Sie intern, welche Informationen geschützt sind, welche Teile einer Anfrage beantwortet werden können und wie eine Antwort gestaltet wird, ohne verbotene Informationen offenzulegen.
Verbinden Sie den Prozess mit dem Auskunftsrecht nach der DSGVO. Ein Supportteam sollte AML-bezogene Fragen an benannte Fachpersonen eskalieren können, ohne die vertraulichen Falldetails in ein allgemein zugängliches Ticket zu kopieren. Eine notwendige interne Prüfung darf nicht dazu führen, dass die gesamte Anfrage unbearbeitet liegen bleibt.
6. Dienstleister und gruppeninterne Weitergabe separat prüfen
Die Beteiligung eines Dienstleisters verändert die Verantwortung nicht automatisch. Prüfen Sie anhand seiner tatsächlichen Aufgaben, ob er Auftragsverarbeiter, eigenständig Verantwortlicher oder in einer anderen rechtlich relevanten Funktion tätig ist. Die Rollenabgrenzung erfolgt je Tätigkeit; ein gemeinsamer AML-Zweck begründet nicht zwangsläufig gemeinsame Verantwortlichkeit nach Artikel 26.
§ 47 enthält bestimmte Ausnahmen vom Verbot der Informationsweitergabe, unter anderem für genau eingegrenzte Gruppen- und Berufskonstellationen. Diese Ausnahmen sind keine allgemeine Konzernfreigabe. Prüfen Sie die beteiligten Verpflichtetenkategorien, gesetzlichen Voraussetzungen und Zweckbegrenzungen. Eine Ausnahme vom Tipping-off-Verbot ersetzt zudem nicht sämtliche weiteren Anforderungen an die Verarbeitung.
Bei einem Empfänger oder Zugriff in einem Drittland ist Kapitel V DSGVO gesondert zu prüfen. Die Erfüllung einer deutschen gesetzlichen Pflicht liefert nicht automatisch einen vollständigen Transfermechanismus. Soweit Standardvertragsklauseln und eine zusätzliche Bewertung erforderlich sind, gehört das Transfer Impact Assessment zum konkreten Datenfluss. Eine Ausnahme für ein wichtiges öffentliches Interesse darf nicht allein aus einem geschäftlichen Wunsch nach weltweiter Vereinheitlichung abgeleitet werden.
7. Einen Anbieterwechsel gemeinsam abnehmen
Ein fiktives Unternehmen ersetzt seinen Identifizierungsdienst. Der Geldwäscheverantwortliche bestimmt, welches Verfahren und welche Nachweise benötigt werden. Datenschutz und rechtliche Beratung prüfen Datenverarbeitung, Empfänger, Informationen und Beschränkungen. Die IT dokumentiert tatsächlich übertragene Felder, gespeicherte Kopien und Zugriffsmöglichkeiten.
Die gemeinsame Abnahme verfolgt einen geeigneten Testfall von der Eingabe bis zur Archivierung. Das Team prüft, ob unnötige Zusatzfelder deaktiviert sind, Nachweise vollständig ankommen und der Fachbereich nur die erforderlichen Statusinformationen sieht. Anschließend wird ein Fehlerfall betrachtet: Welche Daten verbleiben beim Dienstleister, wenn der Vorgang abgebrochen wird? Wer kann eine falsche Zuordnung korrigieren?
Der ausgefüllte Entscheidungsvermerk lautet beispielsweise: „Freigegeben ist Verfahren K-02 für die benannte Verpflichtetenkategorie und den geprüften Kundenprozess. Der Vertrieb erhält nur den erforderlichen Bearbeitungsstatus. Identitätsdokumente sind auf berechtigte Fachrollen beschränkt. Der Aufbewahrungsauslöser wird aus dem Ende der Geschäftsbeziehung übernommen. Offene Frage vor Produktivstart ist die nachgewiesene Löschung zusätzlicher Arbeitskopien beim Dienstleister.“ Solange diese wesentliche Frage nicht geklärt ist, bleibt der Startstatus entsprechend offen.
Verknüpfen Sie den Vermerk mit den Nachweisen zur Rechenschaftspflicht. Speichern Sie dort Referenzen auf geschützte Unterlagen, statt komplette Ausweise oder Verdachtsmeldungen in allgemeine Projektakten zu duplizieren.
8. EU-Reform und AMLA zeitlich richtig einordnen
Die Verordnung (EU) 2024/1624 sieht grundsätzlich Anwendung ab dem 10. Juli 2027 und für die ausdrücklich ausgenommenen Fußballbereiche einen späteren Termin vor. Sie ist daher am Prüfstand dieses Beitrags nicht pauschal die bereits anwendbare Grundlage für jeden heutigen deutschen KYC-Prozess.
Auch die AMLA erläutert ihren Aufbau und die direkte Aufsicht in getrennten Schritten. Die erste Auswahl erfolgt 2027; die ausgewählten Unternehmen wechseln ab 2028 in die direkte Aufsicht. Die Behörde ersetzt nicht alle nationalen Aufsichten und ist nicht selbst die nationale Meldestelle für sämtliche Verdachtsmeldungen.
Für die Praxis bedeutet das: Führen Sie eine Anforderungsliste mit aktuell geltenden Pflichten, bereits veröffentlichten künftigen Regeln und noch offenen technischen Konkretisierungen. Planen Sie Umstellungen, aber ändern Sie einen heutigen Lösch- oder Informationsprozess nicht allein wegen einer ungenauen Zusammenfassung des EU-Pakets.
Häufige Fragen
Kann ein Kunde die gesetzlich notwendige KYC-Verarbeitung widerrufen? Ein Widerruf betrifft eine Einwilligung. Eine tatsächlich gesetzlich erforderliche Verarbeitung stützt sich auf die einschlägige Pflicht; ihr Umfang muss trotzdem erforderlich und rechtmäßig sein.
Sind in Deutschland immer zehn Jahre KYC-Aufbewahrung vorgeschrieben? Nein. § 8 Absatz 4 GwG nennt grundsätzlich fünf Jahre, mögliche längere gesetzliche Pflichten und eine Höchstgrenze. Der konkrete Fristbeginn und der betreffende Bestand sind zu bestimmen.
Darf jede Auskunft mit Hinweis auf Geldwäsche abgelehnt werden? Nein. Prüfen Sie die konkrete gesetzliche Einschränkung und den betroffenen Teil der Information. Allgemeine Transparenz und andere Datenbestände dürfen nicht pauschal aus der Prüfung verschwinden.