KYC und Customer Due Diligence

KYC steht für „Know Your Customer“ und bezeichnet die Prozesse, mit denen Kund*innen vor und während einer Geschäftsbeziehung angemessen identifiziert und geprüft werden. Ziel ist es, Risiken für Geldwäsche, Terrorismusfinanzierung und sonstige strafbare Handlungen frühzeitig zu erkennen und geeignete Sicherungsmaßnahmen abzuleiten.

In der Geldwäscheprävention ist KYC kein einmaliger Formularschritt. Verpflichtete müssen relevante Informationen erheben, überprüfen, dokumentieren und bei Bedarf aktualisieren. Dazu gehören unter anderem Angaben zur Identität, zum wirtschaftlich Berechtigten, zum Zweck der Geschäftsbeziehung, zur Herkunft von Mitteln und zum Risikoprofil.

Kurz gesagt: KYC schafft die Grundlage dafür, Kund*innen risikobasiert einzuordnen und Geschäftsbeziehungen wirksam zu überwachen.

Customer Due Diligence bezeichnet die Kundensorgfalt im Rahmen der Geldwäscheprävention. Sie beschreibt die Maßnahmen, mit denen Verpflichtete Kund*innen und gegebenenfalls für sie auftretende Personen identifizieren, wirtschaftlich Berechtigte ermitteln und identifizieren, den Zweck einer Geschäftsbeziehung klären, Risiken bewerten und die Ergebnisse nachvollziehbar dokumentieren.

Customer Due Diligence endet nicht mit der erstmaligen Identifizierung zu Beginn einer Geschäftsbeziehung. Je nach Risiko müssen Kundendaten aktuell gehalten, Transaktionen eingeordnet und Geschäftsbeziehungen laufend überwacht werden. Ändern sich Risikofaktoren, Transaktionsmuster oder geschäftliche Umstände, kann eine erneute Prüfung erforderlich sein.

Je nach Risikoprofil kommen vereinfachte, reguläre oder verstärkte Sorgfaltspflichten in Betracht. Entscheidend ist, dass Verpflichtete ihre Prüfmaßnahmen risikobasiert ausgestalten und dokumentieren können, warum das gewählte Vorgehen angemessen ist.

Kurz gesagt: Customer Due Diligence ist der strukturierte Prüfprozess hinter KYC – von der Identifizierung über die Risikobewertung bis zur laufenden Überwachung der Geschäftsbeziehung.

Für einen wirksamen KYC-Prozess benötigen Verpflichtete verlässliche, aktuelle und nachvollziehbar dokumentierte Informationen zu Kund*innen, wirtschaftlich Berechtigten und Geschäftsbeziehungen. Welche Daten erforderlich sind, hängt vom jeweiligen Risiko, der Art der Geschäftsbeziehung und den angebotenen Produkten oder Dienstleistungen ab.

Zu den zentralen KYC-Daten gehören insbesondere Identitätsdaten, Angaben zu wirtschaftlich Berechtigten, Informationen zu Zweck und Art der Geschäftsbeziehung sowie Hinweise zur Herkunft von Mitteln oder Vermögenswerten. Ergänzend können PEP-Status, Länder- und Branchenrisiken, komplexe Beteiligungsstrukturen, Sanktionsbezüge oder auffällige Transaktionsmuster für die Risikobewertung relevant sein.

Entscheidend ist nicht nur, dass Daten erhoben werden. Verpflichtete müssen sicherstellen, dass KYC-Daten plausibel, vollständig, aktuell und in den relevanten Systemen nutzbar sind. Nur dann können Risikoanalyse, Transaktionsmonitoring, Sanktionsscreening, interne Kontrollen und Verdachtsbearbeitung sinnvoll ineinandergreifen.

Fehlende oder veraltete KYC-Daten können dazu führen, dass Risiken nicht erkannt, Transaktionen falsch bewertet oder Verdachtsfälle zu spät eskaliert werden.

Kurz gesagt: KYC-Daten sind die Grundlage dafür, Kund*innen und Geschäftsbeziehungen risikobasiert einzuordnen, laufend zu überwachen und fundiert zu entscheiden, ob eine Geschäftsbeziehung aufgenommen oder fortgeführt werden kann.

Verstärkte Sorgfaltspflichten sind erforderlich, wenn ein erhöhtes Risiko für Geldwäsche oder Terrorismusfinanzierung besteht. Verpflichtete müssen dann über die regulären KYC-Prüfungen hinaus zusätzliche Informationen einholen, Sachverhalte vertiefter prüfen und Entscheidungen besonders nachvollziehbar dokumentieren.

Ein erhöhtes Risiko kann sich aus unterschiedlichen Faktoren ergeben. Dazu gehören zum Beispiel komplexe Beteiligungsstrukturen, politisch exponierte Personen, auffällige Transaktionsmuster, Länder mit erhöhtem Risiko, ungewöhnliche Geschäftsmodelle oder fehlende Plausibilität zwischen Kundendaten, Risikoprofil und erwartbarem Transaktionsverhalten.

Welche zusätzlichen Maßnahmen erforderlich sind, hängt vom konkreten Risiko ab. Möglich sind etwa vertiefte Prüfungen wirtschaftlich Berechtigter, zusätzliche Informationen zur Herkunft von Mitteln oder Vermögenswerten, eine engere Überwachung der Geschäftsbeziehung, häufigere Aktualisierungen von KYC-Daten oder zusätzliche Freigaben durch definierte Verantwortliche.

Entscheidend ist, dass Verpflichtete nicht schematisch prüfen, sondern ihre Maßnahmen risikobasiert begründen können.

Kurz gesagt: Verstärkte Sorgfaltspflichten greifen, wenn das Risiko einer Geschäftsbeziehung oder Transaktion erhöht ist und deshalb eine vertiefte Prüfung, engere Überwachung oder zusätzliche Freigabe notwendig wird.

KYC-Daten sind eine wichtige Grundlage für Risikoanalyse und Monitoring. Verpflichtete müssen wissen, wer ihre Kund*innen sind, welche wirtschaftlich Berechtigten hinter einer Geschäftsbeziehung stehen und welche Risiken mit Kund*in, Produkt, Dienstleistung, Land oder Transaktionsverhalten verbunden sein können.

Die Risikoanalyse hilft dabei, diese Informationen systematisch zu bewerten. Sie zeigt, welche Geschäftsbeziehungen, Produkte, Dienstleistungen, Vertriebskanäle oder Länderbezüge ein erhöhtes Risiko aufweisen können. Daraus leiten Verpflichtete ab, welche Prüfmaßnahmen erforderlich sind, wie intensiv Geschäftsbeziehungen überwacht werden und wann eine Eskalation notwendig ist.

Das Monitoring prüft anschließend, ob Transaktionen und Geschäftsverhalten zu den bekannten Informationen passen. Ungewöhnliche Muster, Abweichungen vom erwarteten Verhalten, neue Risikofaktoren oder Treffer im Sanktionsscreening können Anlass für eine erneute KYC-Prüfung, vertiefte Analyse oder Verdachtsbearbeitung sein.

Entscheidend ist, dass KYC, Risikoanalyse, Monitoring und Sanktionsscreening nicht getrennt voneinander betrachtet werden. Nur wenn Daten, Risikoeinstufungen, Kontrollsysteme und Eskalationswege zusammenwirken, kann Geldwäscheprävention wirksam umgesetzt werden.

Kurz gesagt: KYC liefert die Datengrundlage, die Risikoanalyse bewertet diese Informationen und das Monitoring prüft laufend, ob Geschäftsbeziehungen und Transaktionen plausibel bleiben.