Neue Auslagerungsanforderungen nach Art. 18 GWVO
Die Auslagerung von Aufgaben ist seit langem eine praktische Notwendigkeit in der Prävention von Geldwäsche und Terrorismusfinanzierung (GW/TF). Screening-Systeme, Onboarding-Dienstleister, externe KYC-Utilities und Shared-Service-Center sind im EU-Finanzsektor gängige Praxis.
Mit dem Inkrafttreten der Verordnung (EU) 2024/1624 (GWVO) wird Auslagerung jedoch nicht länger als neutrale operative Entscheidung behandelt. Artikel 18 GWVO schafft einen verbindlichen, unmittelbar anwendbaren Rechtsrahmen, der grundlegend neu festlegt, wie Verpflichtete GW/TF-Aufgaben auslagern dürfen – und wie Aufsichtsbehörden diese Auslagerungen bewerten.
Die Botschaft der GWVO ist eindeutig:
Auslagerung ist zulässig – Verantwortung, Risikohoheit und Entscheidungsbefugnis sind es nicht.
Vom operativen Hilfsmittel zum regulierten Risikofaktor
Artikel 18 GWVO ist die erste EU-weit einheitliche Vorschrift, die die Auslagerung von GW/TF-Aufgaben umfassend für alle Verpflichteten regelt. Er konkretisiert die in den Erwägungsgründen (47)–(50) angelegte Auslagerungslogik und ist zwingend im Zusammenhang mit Artikel 9 Abs. 2 Buchst. a Ziff. v GWVO zu lesen, der explizite interne Regelungen zur Auslagerung verlangt.
Unter der GWVO ist Auslagerung kein reines Beschaffungs- oder Dienstleisterthema mehr. Sie ist nun:
- eine zentrale Governance-Frage,
- ein aufsichtsrechtlich relevantes Risikokriterium, und
- ein design-kritisches Element des GW/TF-Kontrollsystems.
Vorherige Anzeige ist verpflichtend – nicht optional
Artikel 18 Abs. 1 GWVO erlaubt die Auslagerung von Aufgaben aus der Verordnung nur unter einer klaren Voraussetzung:
Die Aufsichtsbehörde ist vor Aufnahme der Tätigkeit durch den Dienstleister zu informieren.
Diese Anzeigepflicht ist keine Formalität. Eine Auslagerung ohne vorherige Anzeige stellt einen unmittelbaren Verstoß gegen die GWVO dar – unabhängig von der Qualität des Dienstleisters oder der Wirksamkeit der ausgelagerten Tätigkeit.
Gleichzeitig stellt die GWVO klar:
- Eine Anzeige bedeutet keine Genehmigung, und
- die Aufsicht kann Auslagerungen jederzeit im Rahmen von Prüfungen oder Risikoprofilierungen neu bewerten.
Dienstleister gelten rechtlich als Teil des Verpflichteten
Eine der weitreichendsten Neuerungen findet sich in Artikel 18 Abs. 2 GWVO.
Bei der Durchführung ausgelagerter GW/TF-Aufgaben gelten Dienstleister rechtlich als Teil des Verpflichteten. Dies gilt auch dann, wenn der Dienstleister:
- Sorgfaltspflichten gegenüber Kunden im Auftrag des Instituts wahrnimmt oder
- zentrale Register der wirtschaftlich Berechtigten konsultiert.
Die rechtliche Konsequenz ist eindeutig:
- sämtliche Handlungen und Unterlassungen des Dienstleisters werden dem Verpflichteten zugerechnet, und
- die volle Haftung verbleibt jederzeit beim Verpflichteten.
Ein Konzept geteilter oder übertragener Verantwortung kennt die GWVO nicht.
Verständnis der ausgelagerten Tätigkeit ist Rechtspflicht
Die GWVO geht über formale Verantwortungszuweisung hinaus.
Für jede ausgelagerte Aufgabe muss der Verpflichtete der Aufsicht nachweisen können, dass er:
- die fachliche Logik der Tätigkeiten des Dienstleisters versteht,
- den Umsetzungsansatz nachvollziehen kann und
- belegen kann, dass die ausgelagerten Tätigkeiten die konkret bestehenden Geldwäsche- und Terrorismusfinanzierungsrisiken wirksam mindern.
Damit wird Auslagerungs-Governance von Vertragsverwaltung zu substantiellem Prozessverständnis. Black-Box-Auslagerungsmodelle sind strukturell unvereinbar mit Artikel 18 GWVO.
Welche Aufgaben dürfen niemals ausgelagert werden?
Artikel 18 Abs. 3 GWVO enthält einen abschließenden Katalog von Tätigkeiten, die unter keinen Umständen ausgelagert werden dürfen.
Dazu gehören insbesondere:
- Erstellung und Genehmigung der unternehmensweiten Risikoanalyse,
- Genehmigung der internen GW/TF-Strategien, -Verfahren und -Kontrollen,
- Entscheidungen über das Kundenrisikoprofil,
- Entscheidungen über die Begründung oder Fortführung einer Geschäftsbeziehung,
- Verdachtsmeldungen an die FIU (mit enger Ausnahme für konzerninterne Auslagerung im selben Mitgliedstaat),
- Genehmigung der Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Transaktionen.
Diese Verbote kodifizieren ein klares aufsichtsrechtliches Prinzip:
Die Entscheidungs- und Steuerungshoheit im GW/TF-System muss beim Verpflichteten verbleiben.
Qualifikation, Verträge und laufende Kontrollen sind zwingend
Vor jeder Auslagerung muss der Verpflichtete sicherstellen, dass der Dienstleister fachlich geeignet ist. Diese Ex-ante-Prüfung ist eine ausdrückliche Pflicht nach Artikel 18 Abs. 4 GWVO.
Zusätzlich gilt:
- Dienstleister und Sub-Dienstleister müssen die internen GW/TF-Richtlinien und Verfahren des Verpflichteten anwenden,
- die Auslagerung ist schriftlich zu regeln, und
- der Verpflichtete muss regelmäßige Kontrollen durchführen.
Häufigkeit und Tiefe dieser Kontrollen richten sich nach der Kritikalität der ausgelagerten Tätigkeit und stärken den risikobasierten Ansatz.
Auslagerung darf die aufsichtsrechtliche Nachvollziehbarkeit nicht beeinträchtigen
Nach Artikel 18 Abs. 5 GWVO dürfen Auslagerungen die Fähigkeit der Aufsichtsbehörden nicht wesentlich beeinträchtigen,
- die Einhaltung der Vorschriften zu überwachen oder
- GW/TF-Entscheidungen und Prozesse nachzuvollziehen.
Führt Auslagerung zu fragmentierten Audit-Trails, eingeschränktem Datenzugang oder mangelnder Transparenz, ist sie unzulässig – selbst wenn sie operativ effizient erscheint.
Strenge Beschränkungen bei Hochrisiko-Drittländern
Grundsätzlich untersagt die GWVO die Auslagerung an Dienstleister in Hochrisiko-Drittländern.
Eine enge Ausnahme besteht nur, wenn alle folgenden Voraussetzungen kumulativ erfüllt sind:
- der Dienstleister gehört demselben Konzern an,
- der Konzern wendet GW/TF-Regeln an, die vollständig GWVO-konform oder gleichwertig sind, und
- die wirksame Umsetzung wird auf Konzernebene durch die zuständige Aufsicht des Herkunftsmitgliedstaats überwacht.
Diese Ausnahme ist eng auszulegen.
AMLA-Leitlinien kommen – Artikel 18 GWVO gilt bereits
Bis zum 10. Juli 2027 wird die AMLA Leitlinien veröffentlichen zu:
- Governance von Auslagerungen,
- kritischen Funktionen,
- Rollen und Verantwortlichkeiten sowie
- aufsichtsrechtlichen Erwartungen.
Bis dahin gilt: Artikel 18 GWVO ist unmittelbar anwendbares Recht.
Ein Abwarten auf AMLA-Guidance ist keine zulässige Compliance-Strategie.
Was das in der Praxis bedeutet
Unter der GWVO ist Auslagerung:
- als Ausführungsmodell zulässig,
- als Risikoverstärker aufsichtsrechtlich relevant,
- als Ersatz für Governance unzulässig.
Institute mit hoher Auslagerungsquote müssen mit erhöhter aufsichtsrechtlicher Aufmerksamkeit rechnen – insbesondere bei kritischen GW/TF-Funktionen.
Artikel 18 GWVO definiert die Auslagerung von GW/TF-Aufgaben in der EU neu
Informelle Praxis wird durch einen strikten, durchsetzbaren Rechtsrahmen ersetzt, der auf folgenden Prinzipien beruht:
- nicht delegierbare Verantwortung,
- interne Entscheidungshoheit,
- nachweisbares Risikoverständnis und
- vollständige aufsichtsrechtliche Transparenz.
Auslagerung kann GW/TF-Compliance unterstützen – ersetzen kann sie diese unter der GWVO nicht.