Zentrale Datenbank zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung: Delegierte Verordnung (EU) 2024/595
Mit der Delegierten Verordnung (EU) 2024/595 der Kommission hat die Europäische Union den operativen und rechtlichen Rahmen für eine der wichtigsten aufsichtlichen Entwicklungen in der europäischen Geldwäschebekämpfung geschaffen: die EU-weite zentrale Datenbank zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, allgemein bekannt als EuReCA.
Die Verordnung ergänzt die Verordnung (EU) Nr. 1093/2010 und legt detaillierte Regeln fest für:
• wesentliche GW/TF-Schwachstellen,
• aufsichtliche Meldepflichten,
• Informationsaustausch,
• aufsichtliche Koordination,
• Vertraulichkeit,
• und Datenschutz.
Auch wenn die Verordnung auf den ersten Blick hoch technisch erscheint, sind ihre Auswirkungen strategisch und transformativ.
Erstmals schafft die EU eine zentralisierte aufsichtliche Informationsinfrastruktur, die in der Lage ist, GW/TF-Schwachstellen im gesamten europäischen Finanzsystem zu identifizieren, zu aggregieren und weiterzugeben.
Was ist der Zweck der Verordnung (EU) 2024/595?
Die Verordnung operationalisiert Artikel 9a der Verordnung (EU) Nr. 1093/2010, indem sie konkretisiert:
• was eine wesentliche GW/TF-Schwachstelle darstellt,
• welche Informationen an die EBA zu melden sind,
• wie diese Informationen zu analysieren sind,
• und wie sie zwischen Aufsichtsbehörden ausgetauscht werden dürfen.
Das Ziel ist klar:
Fragmentierte nationale GW/TF-Aufsicht soll in ein koordiniertes europäisches aufsichtliches Informationssystem überführt werden.
Die Verordnung bildet damit faktisch das rechtliche Rückgrat von EuReCA.
Warum die EU die zentrale GW/TF-Datenbank geschaffen hat
Die EU hat ein strukturelles Problem in der Geldwäscheaufsicht erkannt:
• nationale Aufsichtsbehörden arbeiteten in Silos,
• aufsichtliche Feststellungen wurden nicht systematisch geteilt,
• wesentliche Schwachstellen blieben häufig lokal begrenzt,
• und grenzüberschreitende Risiken konnten nur schwer frühzeitig erkannt werden.
Mehrere europäische Geldwäscheskandale haben diese Schwächen offengelegt.
Die Lösung war EuReCA:
eine zentrale aufsichtliche Datenbank, die es der EBA und den zuständigen Behörden ermöglicht,
• wesentliche GW/TF-Schwachstellen europaweit zu überwachen,
• wiederkehrende Mängel zu identifizieren,
• systemische Risikomuster zu erkennen,
• und die aufsichtliche Konvergenz zu verbessern.
Was ist eine „Schwachstelle“ im Sinne der Verordnung?
Einer der wichtigsten Aspekte der Verordnung ist die bewusst weit gefasste Definition einer Schwachstelle.
Artikel 2 Delegierte Verordnung (EU) 2024/595 definiert drei Kategorien:
1. Tatsächliche Verstöße
Ein direkter Verstoß gegen GW/TF-Anforderungen, der von einer meldenden Behörde festgestellt wurde.
2. Mögliche Verstöße
Sachverhalte, bei denen Aufsichtsbehörden hinreichende Gründe für den Verdacht haben, dass
• ein Verstoß,
• oder ein versuchter Verstoß
gegen GW/TF-Pflichten vorliegt.
Das ist entscheidend, weil die Meldepflicht nicht von einer endgültigen Enforcement-Entscheidung abhängt.
3. Unwirksame oder unangemessene Anwendung
Dies umfasst:
• unzureichende Umsetzung,
• schwache interne Kontrollen,
• unwirksame GW/TF-Rahmenwerke,
• oder Strategien, Verfahren und Kontrollen, die voraussichtlich nicht geeignet sind, GW/TF-Ziele zu erreichen.
Dadurch wird der aufsichtliche Anwendungsbereich erheblich erweitert.
Die Datenbank ist daher nicht lediglich ein Enforcement-Register. Sie ist zugleich ein Informationssystem zur Wirksamkeit von Kontrollen.
Wann ist eine Schwachstelle „wesentlich“?
Artikel 3 führt den Wesentlichkeitsrahmen ein.
Eine Schwachstelle ist wesentlich, wenn sie
• erhebliche Mängel bei der GW/TF-Compliance offenlegt,
• oder zu solchen erheblichen Mängeln führen könnte.
Die Verordnung verlangt ausdrücklich, dass Behörden Folgendes bewerten:
• Wiederholung,
• Dauer,
• Schwere,
• Fahrlässigkeit des Managements,
• vorsätzliches Fehlverhalten,
• Geldwäsche- und Terrorismusfinanzierungsexponierung,
• Auswirkungen auf die Integrität des Finanzsystems,
• Auswirkungen auf die Finanzstabilität,
• und Auswirkungen auf das Funktionieren der Märkte.
Dies ist ein stark risikoorientierter und zukunftsgerichteter Ansatz.
Wichtig ist:
Die Schwachstelle muss noch keinen Schaden verursacht haben.
Bereits die bloße Fähigkeit, erhebliche GW/TF-Defizite zu verursachen, kann Meldepflichten auslösen.
Die Verordnung betrifft weit mehr als nur GW/TF-Behörden
Einer der am meisten unterschätzten Aspekte der Verordnung ist ihr außerordentlich breiter aufsichtlicher Anwendungsbereich.
Der Melderahmen gilt nicht nur für GW/TF-Aufsichtsbehörden, sondern auch für:
• Aufsichtsbehörden der prudentiellen Aufsicht,
• Verhaltensaufsichtsbehörden,
• Behörden für Zahlungsinstitute,
• Abwicklungsbehörden,
• benannte Behörden,
• und sogar das Single Resolution Board.
Das bedeutet: GW/TF-Schwachstellen können sich ergeben aus:
• Zulassungsverfahren,
• SREP-Prüfungen,
• Auslagerungsprüfungen,
• Governance-Bewertungen,
• IKT-Risikoaufsicht,
• Fit-and-Proper-Prüfungen,
• Liquiditätsprüfungen,
• Aufsicht über Zahlungsinstitute,
• und Verbraucherschutzaktivitäten.
Das Ergebnis ist ein wirklich integriertes aufsichtliches Informationsmodell.
Welche Informationen müssen gemeldet werden?
Die Verordnung sieht umfangreiche Meldepflichten vor.
Allgemeine Informationen
Behörden müssen melden:
• Identifikation des Instituts,
• Gruppenstruktur,
• Zweigstellen,
• Agenten und Vertriebspartner,
• grenzüberschreitende Tätigkeiten,
• Teilnahme an Aufsichtskollegien,
• Geschäftsgröße,
• Kundenbasis,
• verwaltete Vermögenswerte,
• Größe des Vertriebsnetzes,
• und AML/CFT-Risikoprofile.
Informationen zu wesentlichen Schwachstellen
Behörden müssen bereitstellen:
• Art der Schwachstelle,
• Gründe für die Wesentlichkeit,
• Beschreibungen,
• betroffene Produkte und Dienstleistungen,
• zeitlicher Ablauf,
• Ursprung der Informationen,
• grenzüberschreitende Auswirkungen,
• Kontext der Abhilfemaßnahmen,
• und Verbindungen zu natürlichen Personen, soweit relevant.
Informationen zu ergriffenen Maßnahmen
Behörden müssen außerdem melden:
• aufsichtliche Maßnahmen,
• Sanktionen,
• Geldbußen,
• Abhilfemaßnahmen,
• Veröffentlichungsstatus,
• Rechtsbehelfe,
• und Zeitpläne für die Mängelbeseitigung.
Dies schafft eine bislang nicht gekannte aufsichtliche Transparenz in Europa.
Grenzüberschreitende Aufsicht steht im Zentrum
Die Verordnung legt einen starken Schwerpunkt auf:
• grenzüberschreitende Finanzgruppen,
• Zweigstellen,
• Passporting-Strukturen,
• Agenten,
• und Vertriebspartner.
Sowohl Herkunfts- als auch Aufnahmemitgliedstaatbehörden sind verpflichtet, wesentliche Schwachstellen unabhängig voneinander zu melden.
Damit adressiert die Verordnung unmittelbar historische GW/TF-Versäumnisse im Zusammenhang mit:
• Zahlungsinstituten,
• E-Geld-Instituten,
• Fintechs,
• und grenzüberschreitenden Vertriebsmodellen.
Die Botschaft ist klar:
Die EU will vollständige Transparenz über den gesamten europäischen Aufsichtsperimeter.
EuReCA ist ein Frühwarnsystem
Die Verordnung zeigt wiederholt, dass EuReCA keine passive Datenbank ist.
EuReCA ist konzipiert als:
• EU-weites Frühwarnsystem,
• zentrale Risikoinformationsplattform,
• und Motor der aufsichtlichen Koordination.
Die EBA darf:
• Informationen risikobasiert analysieren,
• Daten aus anderen aufsichtlichen Quellen kombinieren,
• systemische Muster identifizieren,
• Untersuchungen unterstützen,
• und Informationen proaktiv an Behörden weitergeben.
Dies ist eines der deutlichsten Zeichen für den Übergang der EU zu einer stärker zentralisierten GW/TF-Aufsicht.
Die Verbindung zu AMLA
Die Verordnung (EU) 2024/595 ist strategisch ausgerichtet auf:
• AMLA,
• AMLR,
• und das umfassendere EU-GW/TF-Reformpaket.
EuReCA stellt die operative Informationsinfrastruktur bereit, die erforderlich ist für:
• harmonisierte GW/TF-Aufsicht,
• aufsichtliche Konvergenz,
• zentrale Risikoanalyse,
• und koordinierte EU-weite Interventionen.
Praktisch bedeutet das:
• EuReCA wird zum aufsichtlichen Informationsrückgrat,
• während AMLA zur zentralen Aufsichtsbehörde wird.
Datenschutz und Vertraulichkeit
Da die Datenbank hochsensible aufsichtliche und personenbezogene Daten enthält, legt die Verordnung strenge Vertraulichkeitsregeln fest.
Der Rahmen integriert:
• Grundsätze der DSGVO,
• Verhältnismäßigkeit,
• Zweckbindung,
• Datenminimierung,
• Vertraulichkeit,
• Berufsgeheimnis,
• und Speicherbegrenzungen.
Die EBA darf personenbezogene Daten bis zu 10 Jahre speichern.
Die Verordnung legt außerdem fest, welche Kategorien personenbezogener Daten verarbeitet werden dürfen, darunter:
• Mitglieder des Leitungsorgans,
• wirtschaftlich Berechtigte,
• Kunden,
• Inhaber von Schlüsselfunktionen,
• und Personen, die mit wesentlichen Schwachstellen in Verbindung stehen.
Dies zeigt, wie ernst die EU aufsichtliche Data Governance nimmt.
Warum Finanzinstitute das beachten sollten
Viele Institute gehen weiterhin fälschlicherweise davon aus, dass EuReCA nur Regulatoren betrifft.
Das ist ein gefährliches Missverständnis.
Die Verordnung verändert das aufsichtliche Umfeld grundlegend.
Institute werden konfrontiert mit:
• größerer aufsichtlicher Transparenz,
• zentraler Sichtbarkeit von Schwachstellen,
• konsistenteren Erwartungen an Abhilfemaßnahmen,
• stärkerer grenzüberschreitender Koordination,
• und erhöhter Prüfung der Wirksamkeit von Governance-Strukturen.
Schwache GW/TF-Kontrollen werden künftig nicht mehr als isolierte lokale Probleme bestehen bleiben.
Die strategische Botschaft der Verordnung (EU) 2024/595
Die Verordnung steht für einen strukturellen Wandel in der europäischen Geldwäscheaufsicht.
Die EU bewegt sich:
• weg von fragmentierter Aufsicht,
• hin zu zentralisierter aufsichtlicher Informationsverarbeitung,
• harmonisierter Risikobewertung,
• integrierter aufsichtlicher Koordination,
• und datengetriebener GW/TF-Überwachung.
EuReCA ist eine der ersten konkreten operativen Ausprägungen dieser neuen aufsichtlichen Philosophie.
Abschließende Gedanken
Die Delegierte Verordnung (EU) 2024/595 der Kommission ist weit mehr als ein technischer Meldestandard.
Sie schafft:
• die operative Architektur von EuReCA,
• harmonisierte Definitionen wesentlicher GW/TF-Schwachstellen,
• zentralisierte aufsichtliche Erkenntnisse,
• und die Grundlage für die künftige AMLA-geführte Aufsicht.
Für Finanzinstitute sind die Auswirkungen erheblich:
Die Ära isolierter nationaler GW/TF-Aufsicht geht zu Ende.
Die Zukunft gehört:
• zentralisierten aufsichtlichen Erkenntnissen,
• harmonisierter Berichterstattung,
• grenzüberschreitender Transparenz,
• und kontinuierlich bewertbarer Wirksamkeit von GW/TF-Kontrollen.
EuReCA ist nicht einfach eine Datenbank.
Es ist der Beginn eines neuen europäischen GW/TF-Aufsichtsmodells.