Neue Minimale korrespondierende Attribute gemäß dem neuen Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden
Mit dem Inkrafttreten der GWVO sind die Sorgfaltsmaßnahmen gegenüber Kunden in der EU nicht länger eine primär prozedurale Verpflichtung. Sie wird in einen datengetriebenen, prüfbaren und technisch durchsetzbaren Rahmen überführt.
Der Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden legt fest:
- welche Daten vorhanden sein müssen,
- wann sie zu erheben sind,
- wie sie zu verifizieren sind und
- wie digitale Identifizierung genutzt werden darf, ohne den AML-Umfang zu reduzieren.
Der Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden verfeinert damit nicht lediglich bestehende AML-Praxis, sondern rekonstruiert Sorgfaltsmaßnahmen gegenüber Kunden als strukturierten Datensatz, der von Aufsichtsbehörden geprüft, reproduziert und validiert werden kann.
Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden
Eine vollständig strukturierte Architektur
Über die Abschnitte 1–9 hinweg etabliert der Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden ein vollständiges Betriebsmodell:
- Identifizierung und Verifizierung von Kunden, wirtschaftlich Berechtigten, Vertretern und Begünstigten (Abschnitte 2–3).
- Explizite Behandlung besonderer Konstellationen, einschließlich Trusts, diskretionärer Trusts, komplexer Eigentumsstrukturen und Organismen für gemeinsame Anlagen.
- Risikokalibrierte Regime für vereinfachte und verstärkte Sorgfaltspflichten (Abschnitte 5 und 6).
- Fortlaufende Pflichten zur Identifizierung politisch exponierter Personen (PEP) und zur gezielten Prüfung finanzieller Sanktionen (Abschnitte 4 und 7).
- Strenge Regeln für digitales Onboarding, elektronische Identifizierung und qualifizierte Vertrauensdienste (Abschnitt 9).
Sorgfaltsmaßnahmen gegenüber Kunden sind unter dem Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden kein statischer Onboarding-Moment mehr, sondern ein zeitgestempeltes, versioniertes und triggerbasiertes Kontrollsystem.
Elektronische Identifizierung
Die folgenreichste Regelung für das digitale Onboarding ist Artikel 32 des Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden.
Er stellt klar:
- Elektronische Identifizierungsmittel und qualifizierte Vertrauensdienste sind nach Artikel 22 Abs. 6 Buchst. b GWVO zulässig.
- Sie sind jedoch nur dann akzeptabel, wenn sie die Attribute offenlegen, die erforderlich sind, um folgende Anforderungen zu erfüllen:
- Artikel 20 Abs. 1 Buchst. a–b GWVO (Identifizierung und Verifizierung des Kunden und des wirtschaftlich Berechtigten) sowie
- Artikel 22 Abs. 1 GWVO (verpflichtende Identitätsdatenpunkte).
Zur Operationalisierung führt Artikel 32 Abs. 1 des Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden Anhang I – die Liste der „mindestens entsprechenden Attribute“ ein.
Dies markiert den entscheidenden Paradigmenwechsel:
eID wird nicht mehr allein anhand des Vertrauensniveaus beurteilt, sondern anhand der Vollständigkeit der Attribute.
Was sind „mindestens entsprechende Attribute“?
Eine Brücke – kein neues Identitätssystem
Anhang I des Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden erfindet keine neuen Identitätsdaten. Stattdessen:
- übernimmt er die verpflichtenden Identifizierungsanforderungen aus Artikel 22 Abs. 1 GWVO und
- ordnet ihnen die technischen Attribute zu, die elektronische Identifizierungslösungen bereitstellen müssen.
Für natürliche Personen umfasst dies unter anderem:
- alle Vor- und Nachnamen,
- Geburtsort und Geburtsdatum,
- Staatsangehörigkeit,
- Anschrift (soweit anwendbar),
- nationale Identifikationsnummer und Steuer-ID (soweit verfügbar).
Für juristische Personen und andere Einheiten werden abgedeckt:
- rechtlicher Name und Rechtsform,
- Sitz und Gründungsstaat,
- Identifikatoren (Registernummer, Steuer-ID, LEI),
- Vertreter- und Treuhand-/Nominee-Konstellationen.
Entscheidend ist: Anhang I des Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden ist normativ.
Fehlt ein nach AMLR erforderliches Attribut in der elektronischen Identität, gilt die CDD definitionsgemäß als unvollständig.
Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden vs. Durchführungsverordnung (EU) 2024/2977 der Kommission
Was regelt die Durchführungsverordnung (EU) 2024/2977?
Die Durchführungsverordnung (EU) 2024/2977 der Kommission vom 28. November 2024 legt die technischen Spezifikationen für Personenidentifizierungsdaten (PID) und elektronische Attributsbescheinigungen fest, die in europäischen digitalen Identitäts-Brieftaschen (EUDI Wallets) verwendet werden.
Sie definiert:
- den Attribut-Datenraum der digitalen Identität,
- welche Attribute verpflichtend und welche optional sind, sowie
- wie Identitätsdaten zu kodieren, auszustellen und zu validieren sind.
„PID-verpflichtend“ ist nicht gleich „AMLR-ausreichend“
Nach der Durchführungsverordnung (EU) 2024/2977 gilt:
Verpflichtende PID-Attribute für natürliche Personen beschränken sich auf:
- Familienname,
- Vorname,
- Geburtsdatum,
- Geburtsort,
- Staatsangehörigkeit.
Verpflichtende PID-Attribute für juristische Personen sind noch enger gefasst:
- aktueller rechtlicher Name,
- ein Mitgliedstaaten-Identifikator.
Adressdaten, nationale Ausweisnummern, Steuer-IDs, LEI und viele GW/TF-relevante Elemente sind optional.
Daraus ergibt sich eine unvermeidbare Spannung:
Was unter eIDAS technisch optional ist, kann unter der AMLR rechtlich zwingend erforderlich sein.
Auflösung der Spannung durch Anhang I des Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden
Anhang I des Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden fungiert als Selektions- und Hochstufungsebene:
- Er wählt die relevanten Attribute aus dem PID-Datenraum aus.
- Er behandelt sie für GW/TF-Zwecke als verpflichtend – unabhängig von ihrem optionalen Status im eIDAS-Rahmen.
Warum dies GW/TF grundlegend verändert
Die kombinierte Wirkung von:
- Artikel 22 GWVO,
- Artikel 32 und Anhang I des Entwurf RTS zu den Sorgfaltsmaßnahmen gegenüber Kunden sowie
- der Durchführungsverordnung (EU) 2024/2977
ist erheblich:
- Das Vertrauensniveau („substanziell“ oder „hoch“) ist notwendig, aber nicht ausreichend.
- Aufsichtsbehörden werden die Vollständigkeit auf Attributebene prüfen, nicht den Onboarding-Komfort.
- Verpflichtete müssen nachweisen können:
- welche GWVO-Attribute über eID erhoben wurden,
- welche fehlten und
- wie bestehende Lücken geschlossen wurden.
Digitales Onboarding ist damit keine IT-Frage mehr, sondern eine Frage der regulatorischen Datenarchitektur.
Downloads
Quellen:
https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32024R2977