Im ersten Teil unserer Blogserie haben wir einen Überblick über das neue EU-Geldwäschepaket gegeben, im zweiten Teil ging es um die Frage, wer künftig überhaupt Verpflichteter sein wird. In diesem dritten Teil widmen wir uns nun einem Herzstück der praktischen Compliance-Arbeit: den neuen Anforderungen an Customer Due Diligence (CDD) und Know Your Customer (KYC).

Mit der unmittelbar anwendbaren EU-Geldwäscheverordnung (Verordnung (EU) 2024/1624 bzw. kurz AMLR) werden die Sorgfaltspflichten gegenüber Vertragspartnern erstmals unionsweit einheitlich festgelegt, ohne dass diese in nationales Recht implementiert werden müssen. Allerdings regelt die AMLR die CDD-Anforderungen auch deutlich detaillierter, als das bisher der Fall ist. Die AMLR gilt ab 10. Juli 2027 als ein so genanntes „Single Rulebook“, das bisherige nationale Spielräume – etwa im österreichischen Finanzmarkt-Geldwäschegesetz oder in der Gewerbeordnung – weitgehend beseitigen wird. Wer heute noch glaubt, sein bestehendes KYC-Verfahren nur behutsam anpassen zu müssen, sollte die folgenden Neuerungen besonders genau lesen.

Wann greifen überhaupt kundenbezogene Sorgfaltspflichten?

Art 19 AMLR legt fest, in welchen Konstellationen Verpflichtete CDD-Maßnahmen anwenden müssen. Der Grundtatbestand bleibt vertraut: angemessene Sorgfaltspflichten sind bei Begründung einer Geschäftsbeziehung, bei gelegentlichen Transaktionen ab EUR 10.000,- (auch bei verbundenen Transaktionen) sowie immer bei Geldwäscheverdacht zu erfüllen, letzteres unabhängig von jeder Ausnahme oder Schwelle.

Neu ist vor allem die sektorspezifische Ausdifferenzierung dieser Schwellenwerte:

• Kredit- und Finanzinstitute (außer Kryptowerte-Dienstleister) müssen CDD zusätzlich bereits ab EUR 1.000,- bei Geldtransfers anwenden;
• Krypto-Dienstleister (CASPs) unterliegen einer eigenen Schwelle von EUR 1.000,- für die volle Sorgfaltspflicht samt einer gewissen Mindestidentifikationspflicht darunter;
• Glücksspielanbieter müssen ein KYC bei Gewinnauszahlung oder Einsatz ab EUR 2.000,- durchführen;
• Bei Bartransaktionen gilt bereits ab EUR 3.000,- eine zumindest eingeschränkte Identifikationspflicht, sofern der Mitgliedstaat keine niedrigere Bargeldobergrenze festgelegt hat.

Bemerkenswert ist zudem, dass die AMLR den Begriff des „Kunden“ für bestimmte Berufsgruppen erweitert. Bei Notaren, Rechtsanwälten und anderen unabhängigen Rechtsberufen, die eine Transaktion vermitteln, gelten – sofern sie die einzige zwischengeschaltete Person sind – beide Transaktionsparteien als Kunden. Bei Immobilienmaklern gelten ebenso beide Seiten des Geschäfts als Kunden. Wer bislang nur die eigene Mandantschaft geprüft hat, muss sein Verständnis der Sorgfaltspflicht entsprechend erweitern.

Zu den genauen Schwellenwerten und Abgrenzungskriterien hat die AMLA am 1. Oktober 2026 den finalen RTS-Entwurf hinsichtlich Kriterien für Geschäftsbeziehungen, gelegentliche Transaktionen und verbundene Transaktionen nach Art 19 Abs 9 AMLR veröffentlicht und der Europäischen Kommission übermittelt (Final Report – Draft RTS under Article 19(9) AMLR, siehe zu den RTS auch unten). Neue, niedrigere Schwellenwerte als die Grundschwelle von EUR 10.000,- hat die AMLA darin nicht eingeführt. Die bestehenden sektorspezifischen AMLR-Schwellen bleiben also unverändert. Der Entwurf ist zwar auf AMLA-Ebene final, bedarf aber noch der Annahme durch die Europäische Kommission und der Veröffentlichung im Amtsblatt der EU, bevor er anwendbar wird.

Der neue Pflichtenkatalog nach Art 20 AMLR

Art 20 AMLR bündelt nun sämtliche Sorgfaltsmaßnahmen in einem einzigen, detaillierten Katalog. Verpflichtete müssen demnach künftig kumulativ Folgendes tun:

• den Kunden identifizieren und seine Identität verifizieren;
• die wirtschaftlichen Eigentümer identifizieren und angemessene Maßnahmen zur Überprüfung setzen, sodass Eigentums- und Kontrollstruktur tatsächlich verstanden werden (dazu planen wir in Kürze einen eigenen Blog-Artikel zu veröffentlichen);
• Zweck und angestrebte Art der Geschäftsbeziehung oder Transaktion bewerten und dokumentieren;
• prüfen, ob der Kunde oder der wirtschaftliche Eigentümer gezielten finanziellen Sanktionen unterliegen – bei juristischen Personen auch, ob sanktionierte Personen mehr als 50 % der Eigentumsrechte oder der Mehrheitsbeteiligung halten;
• die Art der Geschäftstätigkeit, Beschäftigung oder des Berufs des Kunden bewerten;
• die Geschäftsbeziehung laufend überwachen und Transaktionen auf Plausibilität mit dem bekannten Risikoprofil und – soweit erforderlich – der Herkunft der Mittel prüfen;
• feststellen, ob der Kunde, sein wirtschaftlicher Eigentümer oder eine begünstigte Person politisch exponiert ist, Familienmitglied oder bekanntermaßen nahestehende Person einer solchen ist;
• bei Transaktionen zugunsten Dritter diese Personen identifizieren und verifizieren; sowie
• die Vertretungsbefugnis von im Namen des Kunden auftretenden Personen prüfen und deren Identität verifizieren.

Entscheidend ist, dass Art 20 Abs 2 AMLR den Umfang dieser Maßnahmen ausdrücklich an eine individuelle Risikoanalyse koppelt – unter Berücksichtigung der unternehmensweiten Risikoanalyse nach Art 10 AMLR sowie der in Anhang I genannten Risikovariablen und der in Anhängen II und III aufgeführten Risikofaktoren. Verpflichtete müssen ihren Aufsichtsbehörden jederzeit nachweisen können, dass die getroffenen Maßnahmen angesichts der festgestellten Risiken angemessen sind.

Der risikobasierte Ansatz: keine völlig freie Ermessensausübung

Der risikobasierte Ansatz bleibt zwar das Leitprinzip der AMLR. Die individuelle Risikoanalyse nach Art 20 Abs 2 AMLR operiert aber nicht autonom, sondern ist in eine strikte Prüfreihenfolge eingebettet, die Verpflichteten in bestimmten Fällen keinen Ermessensspielraum lässt.

In der Praxis empfiehlt sich dementsprechend in Zukunft folgende Prüfabfolge:

1. Zunächst sollte geklärt werden, ob die Geschäftsbeziehung überhaupt rechtlich zulässig ist – etwa weil UN-Finanzsanktionen greifen (Art 27 AMLR) oder ein striktes Verbot von Korrespondenzbeziehungen mit Scheininstituten besteht (Art 39 AMLR).
2. Danach ist zu prüfen, ob eine der gesetzlich vordefinierten Hochrisikokonstellationen vorliegt, in denen der Gesetzgeber die Risikoeinschätzung bereits selbst vorweggenommen hat.
3. Erst danach kommt die eigentliche individuelle Risikoanalyse zur Anwendung, wo der verbleibende, unternehmensspezifische Beurteilungsspielraum Platz hat.

Für die zweite Stufe verweist Art 34 Abs 1 AMLR ausdrücklich auf eine Reihe von Konstellationen, in denen verstärkte Sorgfaltspflichten (Enhanced Due Diligence, EDD) zwingend anzuwenden sind, ohne dass eine Abwägung gegen risikomindernde Faktoren nach Anhang II zulässig wäre. Dazu zählen insbesondere Bezüge zu Drittstaaten mit hohem Risiko (Art 29 bis 31 AMLR), grenzüberschreitende Korrespondenzbankbeziehungen (Art 36 bis 38 AMLR), Transaktionen mit sogenannten Self-Hosted-Adressen im Kryptobereich (Art 40 AMLR), Antragsteller im Rahmen von Aufenthaltsrecht-gegen-Investition-Programmen (Art 41 AMLR) sowie politisch exponierte Personen, deren Familienmitglieder und nahestehende Personen (Art 42 bis 46 AMLR).

Für Verpflichtete bedeutet das: Die unternehmensweite Risikoanalyse und die kundenindividuelle Risikoeinstufung bleiben wichtig, entfalten ihre Wirkung aber nur in dem Restbereich, der nicht bereits durch gesetzlich fixierte Risikoeinstufungen vorbestimmt ist – etwa bei produkt-, dienstleistungs- und vertriebskanalbezogenen Risikofaktoren, die von der jeweiligen Geschäftstätigkeit des Verpflichteten selbst abhängen.

Auf der anderen Seite des Spektrums erlaubt Art 33 AMLR bei nachweislich geringem Risiko – unter Berücksichtigung der Risikofaktoren in Anhängen II und III – weiterhin vereinfachte Sorgfaltspflichten (Simplified Due Diligence, SDD), etwa eine Verifikation der Kunden- und Eigentümeridentität erst nach Begründung der Geschäftsbeziehung oder eine reduzierte Prüftiefe bei der laufenden Überwachung. Die zulässige Anwendung einer vereinfachten Sorgfalt bedeutet aber keine Befreiung von der Sorgfaltspflicht als solcher, sondern lediglich eine reduzierte Prüftiefe.

Politisch exponierte Personen: engerer, aber auch klarer gefasster Kreis

Die Art 42 bis 46 AMLR regeln die Behandlung politisch exponierter Personen (PEP), ihrer Familienmitglieder und nahestehenden Personen im Detail. Der Grundsatz – erhöhtes Risiko bei Ausübung eines bedeutenden öffentlichen Amtes auf nationaler oder regionaler Ebene – bleibt erhalten, wird aber durch neue, objektivere Kriterien präzisiert, etwa durch Einwohnerschwellen für regionale und lokale Funktionsträger oder durch klarere Kriterien für Führungspersonen staatlich kontrollierter Unternehmen.

Für Verpflichtete bedeutet die Neuregelung, dass PEP-Screenings künftig nach einheitlicheren, unionsweit geltenden Kriterien erfolgen müssen – die Liste der als PEP erfassten Funktionen wird von den Mitgliedstaaten nach Art 43 AMLR veröffentlicht und der Kommission übermittelt. Bestehende Screening-Prozesse und die verwendeten PEP-Datenbanken sollten daher rechtzeitig auf ihre Kompatibilität mit den neuen unionsrechtlichen Kategorien überprüft werden.

Aktualisierungspflichten: aus einer vagen Vorgabe wird ein strikter Fristenkatalog

Eine der praktisch bedeutendsten gesetzlichen Neuerungen betrifft die Pflicht zur Aktualisierung von Kundendaten im Rahmen der laufenden Überwachung nach Art 26 Abs 2 AMLR. Anders als bisher schreibt die AMLR zwingende Höchstfristen vor, die nicht überschritten werden dürfen:

• ein Jahr für Kunden mit erhöhtem Risiko, für die verstärkte Sorgfaltspflichten gelten; und
• fünf Jahre für alle übrigen Kunden.

Die finalen technischen Regulierungsstandards zur Customer Due Diligence (RTS-CDD, siehe zu diesen und weiteren AMLA-Arbeiten unten) stellen zudem klar, dass die Fünfjahresfrist auch bei Anwendung vereinfachter Sorgfaltspflichten in Niedrigrisikofällen zwingend einzuhalten ist – vereinfachte Sorgfalt führt also nicht zu einer bloß anlassbezogenen Aktualisierungspflicht, wie das in Österreich derzeit noch von der FMA akzeptiert wird. Nach den Erläuterungen zur AMLR bezieht sich die Aktualisierungspflicht überdies nicht isoliert auf einzelne Produkte oder Dienstleistungen, sondern auf die Geschäftsbeziehung in ihrer Gesamtheit.

Neben der periodischen Aktualisierung sieht Art 26 Abs 3 AMLR eine anlassbezogene Überprüfungspflicht vor: immer dann, wenn sich maßgebliche Umstände des Kunden ändern, eine gesetzliche Kontaktaufnahmepflicht im betreffenden Kalenderjahr besteht oder ein für die Risikobeurteilung relevanter Sachverhalt bekannt wird. Für Bestandskunden gilt nach den RTS-CDD zudem eine risikosensitive Angleichungspflicht an die neuen Anforderungen, die spätestens innerhalb der genannten Höchstfristen abzuschließen ist.

Für die Praxis bedeutet das: das Daten- und Fristenmanagement wird vermutlich überarbeitet werden müssen. Ohne ein System, das Aktualisierungsfristen pro Kunde und Risikokategorie automatisch überwacht, wird die Einhaltung dieser Fristen im Massenkundengeschäft nicht darstellbar sein.

Sorgfaltspflichten gegenüber Vertragspartnern: Verlässlichkeit statt Formalismus

Die AMLR verschiebt den Fokus der Sorgfaltspflichten gegenüber Vertragspartnern von der reinen Dokumentation zur nachweisbaren Wirksamkeit. Das zeigt sich besonders deutlich bei der Verlässlichkeit auf durch andere Verpflichtete durchgeführte Sorgfaltsprüfungen (Reliance) nach Art 48 und 49 AMLR: Ein Verpflichteter, der sich auf die CDD-Maßnahmen eines anderen Verpflichteten stützt, muss jederzeit auf die zugrunde liegenden Informationen und Dokumente zugreifen können. CDD-relevante Informationen sind unverzüglich, Dokumentenkopien spätestens innerhalb von fünf Arbeitstagen bereitzustellen, und die Reliance-Beziehung ist schriftlich zu vereinbaren. Reliance darf mit anderen Worten nicht zu einem Informationsdefizit führen – Aufsicht, interne Revision und externe Prüfer müssen jederzeit nachvollziehen können, welche Maßnahmen tatsächlich durchgeführt wurden.

Ähnliches gilt für die Auslagerung von AML/CFT-Aufgaben nach Art 18 AMLR: Auslagerung an Dienstleister ist grundsätzlich zulässig, darf aber niemals dazu führen, dass Verantwortung, Risikoeigentümerschaft oder Entscheidungshoheit tatsächlich ausgelagert werden. Für Dienstleister in Drittstaaten mit hohem Risiko gilt grundsätzlich ein Auslagerungsverbot, das nur unter engen, kumulativ zu erfüllenden Voraussetzungen innerhalb eines Konzerns durchbrochen werden kann.

Für Unternehmen, die KYC-Prozesse an spezialisierte Dienstleister oder gruppeninterne Servicecenter ausgelagert haben, ergibt sich daraus ein klarer Prüfauftrag: Bestehende Auslagerungs- und Reliance-Vereinbarungen sollten daraufhin überprüft werden, ob sie den neuen Nachweis-, Dokumentations- und Zugriffsanforderungen entsprechen.

Der Stand der technischen Regulierungsstandards

Ein wesentlicher Teil der praktischen Ausgestaltung der neuen CDD-Anforderungen hat sich seit der Konsultationsphase der von der AMLA auszuarbeitenden technischen Regulierungsstandards (RTS) konkretisiert. Nach der am 9. Februar 2026 eingeleiteten öffentlichen Konsultation und der öffentlichen Anhörung vom 24. März 2026 hat die AMLA kürzlich, konkret am 1. Oktober 2026, folgende drei zentrale RTS-Entwürfe finalisiert und der Europäischen Kommission übermittelt (siehe die Pressemitteilung der AMLA vom 1. Oktober 2026):

• Draft Regulatory Technical Standards on Customer Due Diligence, AMLR 28(1)

• Draft Regulatory Technical Standards on criteria for identifying business relationships, occasional and linked transactions and lower thresholds, AMLR 19(9)

• Draft Regulatory Technical Standards on group-wide minimum requirements and additional measures for subsidiaries and branches in third countries, AMLR 16(4) and 17(3)

Diese drei finalen RTS-Entwürfe konsolidieren die bisher getrennt entwickelten Regelwerke der Europäischen Bankenaufsichtsbehörde (EBA) für den Finanzsektor und einer Expertengruppe der Europäischen Kommission für Nicht-Finanzunternehmen zu einem einheitlichen Standard. Ziel ist eine konsistente Basis für Sorgfaltspflichten, die regulatorische Unterschiede zwischen Banken, Krypto-Dienstleistern, Immobilienmaklern, Rechtsanwälten, Wirtschaftsprüfern und anderen Nicht-Finanzakteuren beseitigt.

Diese Entwürfe sind zwar nunmehr auf AMLA-Ebene final, aber rechtlich gesehen noch nicht in Kraft: Die Europäische Kommission muss sie erst annehmen und im Amtsblatt der EU als delegierte Verordnungen veröffentlichen. Erst 20 Tage danach treten die Standards in Kraft, und sie gelten jeweils weitere sechs Monate später.

Die Arbeiten am vierten zentralen AMLA-Mandat zu Risikovariablen und -faktoren nach Art 20 Abs 3 AMLR sowie die Leitlinien zur laufenden Überwachung und zur unternehmensweiten Risikoanalyse waren Anfang Oktober 2026 noch nicht abgeschlossen.

Für die Praxis folgt daraus eine wichtige Erkenntnis: Die zentralen RTS zur Customer Due Diligence und zu Geschäftsbeziehungen liegen seit Anfang Oktober 2026 im finalen AMLA-Entwurf vor. Wenngleich sie erst anwendbar sind, sobald die Europäische Kommission sie angenommen und im Amtsblatt veröffentlicht hat, zuzüglich der sechsmonatigen Übergangsfrist, sollte mit der Umsetzung nicht zugewartet werden, bis dieser gesamte Prozess abgeschlossen ist, denn die verbleibende Zeit bis zum Geltungsbeginn der AMLR am 10. Juli 2027 ist kurz. Die Grundstruktur der Anforderungen aus der AMLR selbst sowie die weiteren inhaltlichen Vorgaben der finalen RTS-Entwürfe sind hinreichend konkret, um mit der Umsetzung zu beginnen. 

Was das für die Praxis bedeutet

Verpflichtete – ob bereits heute erfasst oder erstmals durch die AMLR betroffen – sollten die neuen KYC- und CDD-Anforderungen nicht als bloße Anpassung bestehender Formulare verstehen, sondern als Anlass für eine grundlegende Überarbeitung der kundenbezogenen Sorgfaltsmaßnahmen. Folgende Punkte verdienen dabei besondere Aufmerksamkeit:

• Schwellenwerte und Auslöser für CDD-Maßnahmen müssen sektorspezifisch neu kalibriert werden, insbesondere bei gelegentlichen Transaktionen und verbundenen Transaktionen.
• Die Risikoanalyse-Logik muss neu strukturiert werden: Zunächst rechtliche Zulässigkeit prüfen, dann gesetzlich fixierte Hochrisikofälle erkennen, und erst danach die individuelle Risikoanalyse für den verbleibenden Ermessensspielraum anwenden.
• PEP-Screening-Prozesse und die verwendeten Datenquellen müssen an die neuen, objektiveren unionsrechtlichen Kriterien angepasst werden.
• Die Aktualisierung von Kundendaten braucht ein System, das die Höchstfristen von einem Jahr (Hochrisiko) beziehungsweise fünf Jahren (übrige Kunden) pro Kunde automatisiert überwacht; es muss auch bei Bestandskunden risikosensitiv umgesetzt werden.
• Bestehende Auslagerungs- und Reliance-Vereinbarungen mit Drittdienstleistern oder anderen Verpflichteten müssen auf die neuen Nachweis-, Zugriffs- und Fristenanforderungen hin überprüft werden.
• Da zentrale technische Standards noch nicht final vorliegen, sollte die Umsetzung modular angelegt werden, um spätere Anpassungen an die endgültigen RTS-Texte ohne grundlegenden Neuaufbau zu ermöglichen.

Ausblick

Im nächsten Teil unserer Blogserie wenden wir uns den wirtschaftlichen Eigentümern zu: Was ändert sich für Unternehmen mit komplexen Beteiligungsstrukturen, und welche neuen Anforderungen bringt die AMLR für die Identifikation und Verifikation wirtschaftlicher Eigentümer mit sich?