Neue Kunden-Daten-Anforderungen gemäß GWVO
Struktureller Zweck
Kapitel III, Abschnitt 1 der GWVO legt die verbindliche Datenarchitektur der Kundensorgfaltspflichten fest.
Er schreibt in rechtlich bindender Form vor:
- welche Kunden-Daten vorhanden sein müssen,
- wann die Kunden-Daten zu erheben sind,
- wie lange die Kunden-Daten gültig bleiben,
- wann die Kunden-Daten zu aktualisieren sind und
- wie die Zuverlässigkeit und Richtigkeit der Kunden-Daten gegenüber Aufsichtsbehörden nachzuweisen ist.
Über die Artikel 19–28 GWVO hinweg wird Sorgfaltsmaßnahmen gegenüber Kunden von einer dokumentenbasierten Pflicht zu einem zeitgestempelten, versionierten und prüfbaren Kunden-Datensatz weiterentwickelt, der durch explizite Trigger-Logiken, Datenalterungsregeln und Mechanismen zur Behandlung von Nichterfüllung gesteuert wird.
Auslöse-, Umfangs- und Gültigkeitslogik
Artikel 19 GWVO definiert die Auslöse- und Ungültigkeitspunkte der Sorgfaltsmaßnahmen gegenüber Kunden.
Seine Kernfunktion besteht darin, Datenpunkte zu verlangen, anhand derer Aufsichtsbehörden feststellen können:
- wann Sorgfaltsmaßnahmen gegenüber Kunden anzuwenden ist und
- wann zuvor erhobene Sorgfaltsmaßnahmen gegenüber Kunden-Daten nicht mehr verlässlich sind.
Erforderliche Kunden-Daten
- Bestehen und Beginn der Geschäftsbeziehung
- Werte gelegentlicher Transaktionen und Aggregationslogik
- Indikatoren für verbundene Transaktionen
- sektorspezifische Schwellenwerte (z. B. Bargeldgeschäfte, Glücksspiel, CASPs)
- Verdachtsindikatoren
- Zweifel an Identifizierungsdaten
- Zweifel an der Befugnis oder Identität der handelnden Personen
Kunden-Daten Alterungslogik
Sobald Zweifel auftreten, gelten bestehende Kunden-Daten unabhängig von ihrem kalendarischen Alter als rechtlich überholt. Die Gültigkeit der Sorgfaltsmaßnahmen gegenüber Kunden ist daher ereignisgesteuert, nicht ausschließlich zeitgesteuert.
Kunden-Daten und Nachweisbarkeit
Artikel 20 GWVO definiert den inhaltlichen Kern der Kunden-Daten und begründet eine fortlaufende Pflicht, deren Angemessenheit jederzeit nachzuweisen.
Erforderliche Kunden-Daten
- Identitätsdaten des Kunden
- Daten zu wirtschaftlich Berechtigten und Kontrollstrukturen
- Angaben zu Zweck und angestrebter Art der Geschäftsbeziehung
- Ergebnisse von Sanktions- und 50-%-Kontrollprüfungen
- Angaben zur Geschäftstätigkeit oder zum Beruf
- Ergebnisse der Transaktionsüberwachung
- PEP-/RCA-Feststellungen
- Drittbegünstigte
- Bevollmächtigte Vertreter
Kunden-Daten Alterungslogik
Kunden-Daten müssen hinreichend aktuell bleiben, um die laufende Überwachung zu unterstützen.
Artikel 20 schreibt keine festen Aktualisierungszyklen vor, sondern knüpft die Datenvalidität an:
- Konsistenz der Transaktionen,
- Änderungen des Risikoprofils,
- Zweifel, Verdachtsmomente oder Anomalien.
Artikel 20 Abs. 4 GWVO führt eine dauerhafte Nachweispflicht ein, die eine vollständige Zeitstempelung, Versionierung und Beweisaufbewahrung erfordert.
Behandlung der Nichterfüllung von Sorgfaltsmaßnahmen gegenüber Kunden und Entwicklung der Aufzeichnungen
Artikel 21 GWVO regelt Situationen, in denen Sorgfaltsmaßnahmen gegenüber Kunden nicht abgeschlossen werden kann.
Erforderliche Kunden-Daten
- welche Sorgfaltsmaßnahme gegenüber Kunden fehlgeschlagen ist,
- Grund des Scheiterns,
- Zeitstempel der Feststellung,
- angewandte zwingende Folge (Ablehnung, Beendigung, Einschränkung),
- Prüfung einer FIU-Meldung,
- gesetzliche Ausnahmen (z. B. Alternativen in der Lebensversicherung),
- Ausnahmen aufgrund des Berufsgeheimnisses.
Kunden-Daten Alterungslogik
Alle Aufzeichnungen zur Nichterfüllung der Sorgfaltsmaßnahmen gegenüber Kunden sind bei jeder Überprüfung nach Artikel 26 GWVO zu aktualisieren. Dies schafft eine zwingende Verknüpfung zwischen Fehlermeldungen und laufenden Überwachungszyklen.
Identitätsdatenmodell und Verifikationsnachweise
Artikel 22 GWVO legt das Identitätsschema für alle relevanten Akteure fest.
Erforderliche Kunden-Daten
- natürliche Personen
- juristische Personen
- Treuhänder und vergleichbare Rechtsgestaltungen
- sonstige rechtliche Organisationen
- wirtschaftlich Berechtigte
- Mitglieder der obersten Führungsebene (Auffangmechanismus)
- Nutzer virtueller IBANs
- Begünstigte von Trusts (einschließlich Fälle aufgeschobener Identifizierung)
Kunden-Daten Alterungslogik
- Identitätsdaten zu virtuellen IBANs müssen innerhalb von 5 Arbeitstagen abrufbar sein.
- Die Identifizierung von Begünstigten kann bis zur Auszahlung oder Rechtsausübung aufgeschoben werden.
- Die Verifizierung wirtschaftlich Berechtigter erfordert Zeitstempel der Registerabfrage.
- Die Ausschöpfung aller Mittel sowie Anti-Tipping-off-Logik sind zu dokumentieren.
Zeitpunkt der Verifizierung und Aktualitätsanforderungen
Artikel 23 GWVO regelt, wann die Identitätsverifizierung abzuschließen ist.
Erforderliche Kunden-Daten
- Zeitstempel des Abschlusses der Verifizierung
- Zeitstempel der Begründung der Geschäftsbeziehung oder der Transaktionsausführung
- Begründungen für zulässige Aufschübe
- Sicherungsmaßnahmen zur Verhinderung von Transaktionen bei unvollständiger Verifizierung
Kunden-Daten Alterungslogik
Die Verifizierung hat grundsätzlich vor Aufnahme der Geschäftsbeziehung oder Ausführung der Transaktion zu erfolgen.
Ein Aufschub ist nur unter kontrollierten und dokumentierten Bedingungen zulässig.
Die Kontoeröffnung ohne Verifizierung erfordert eine Transaktionssperre.
Die Nutzung von Registern setzt gültige oder kürzlich ausgestellte Auszüge voraus.
Governance bei Abweichungen in Registern zu wirtschaftlich Berechtigten
Artikel 24 GWVO etabliert einen formalen Lebenszyklus für Registerabweichungen.
Erforderliche Kunden-Daten
- Registerauszüge und Zeitstempel der Abfrage
- Zeitstempel der Feststellung der Abweichung
- Klassifizierung der Abweichung
- Entscheidung über Meldung oder Kundenkorrektur
- Fristen für Kundenaufforderungen
- Eskalations- und Meldezeitstempel
Kunden-Daten Alterungslogik
Abweichungen sind innerhalb von 14 Kalendertagen nach Feststellung zu melden.
Zweck und angestrebte Art der Geschäftsbeziehung (ex-ante-Daten)
Artikel 25 GWVO verlangt ein vorgelagertes Verständnis der Geschäftsbeziehung oder Transaktion.
Erforderliche Kunden-Daten
- wirtschaftliche Begründung
- erwartete Tätigkeitsvolumina
- Herkunft der Mittel
- Verwendung der Mittel
- Geschäftstätigkeit oder Beruf des Kunden
- beabsichtigte Nutzung hochpreisiger Güter (kommerziell vs. nicht-kommerziell)
Kunden-Daten Alterungslogik
Dieser Datensatz muss vor Aufnahme der Geschäftsbeziehung oder Ausführung vorliegen.
Er gilt als überholt, sobald das tatsächliche Verhalten abweicht und löst unmittelbar die Überwachungspflichten nach Artikel 26 GWVO aus.
Laufende Überwachung und formale Datenaktualisierungszyklen
Artikel 26 GWVO fungiert als zentrale Datenalterungs-Engine der GWVO.
Erforderliche Kunden-Daten
- kontinuierliche Ergebnisse der Transaktionsüberwachung
- vollständige Abdeckung aller Produkte und Dienstleistungen
- versionierte Kundenprofile
- gruppenweite Beziehungsinformationen
Periodische Aktualisierungspflichten
- Hochrisikokunden: Aktualisierung mindestens jährlich
- Alle übrigen Kunden: Aktualisierung mindestens alle 5 Jahre
Ereignisgesteuerte Aktualisierungen
Zwingende Aktualisierungen erfolgen bei:
- Änderungen der Kundenumstände,
- rechtlichen Mitteilungspflichten,
- Kenntnis relevanter Tatsachen.
Separater Sanktions-Verifizierungszyklus
Sanktionsbedingungen sind:
- regelmäßig zu prüfen und
- bei Kredit- und Finanzinstituten unverzüglich bei neuen Listungen zu verifizieren.
Temporäre UN-zu-EU-Sanktionsbrücken-Aufzeichnungen
Artikel 27 GWVO führt ein zeitlich begrenztes Aufzeichnungsregime ein.
Erforderliche Kunden-Daten
- Zeitpunktbezogene Bestandsaufnahme von Geldern und Vermögenswerten bei Veröffentlichung von UN-Sanktionen
- sämtliche versuchten und ausgeführten Transaktionen während des Übergangszeitraums
Zeitfenster
Die Aufzeichnungen sind strikt begrenzt durch:
- T₀: Veröffentlichung der UN-Sanktionen
- T₁: Anwendung der EU-Sanktionen
RTS-getriebene künftige Standardisierung der Kunden-Daten
Artikel 28 Abs. 1 GWVO verpflichtet die AMLA, technische Regulierungsstandards zu erlassen, die Folgendes festlegen:
- harmonisierte Kunden-Daten-Anforderungen,
- zulässige vereinfachte Sorgfaltspflichten,
- risikorelevante Merkmale von E-Geld,
- zuverlässige Verifikationsquellen,
- verpflichtende Attribute für eID- und Vertrauensdienste.
Implikation für die Daten-Governance
Sorgfaltsmaßnahmen gegenüber Kunden nach der GWVO ist darauf ausgelegt, vollständig standardisiert, maschinenlesbar und aufsichtsbasiert berechenbar zu werden.
Quellen: