GwG: Wie Sie Sanktionslistenprüfungen korrekt auslegen

Die Pflichten aus dem Geldwäschegesetz (GwG) sind für viele Unternehmen außerhalb des Finanzsektors eine Herausforderung. Die zentrale Anforderung lautet: „Know Your Customer“ (KYC). Sie müssen wissen, mit wem Sie Geschäfte machen. Ein wesentlicher Teil dieser Sorgfaltspflicht ist die Prüfung von Geschäftspartnern gegen Sanktionslisten. Doch der Gesetzestext lässt Interpretationsspielraum. Der risikobasierte Ansatz verlangt von Unternehmen eine eigene Einschätzung, welche Maßnahmen im Einzelfall angemessen sind. Dieser Leitfaden erklärt die rechtlichen Grundlagen und zeigt, wie Sie die Anforderungen an die Sanktionslistenprüfung korrekt auslegen und praktisch umsetzen.

Die rechtlichen Grundlagen: Was das GwG von Ihnen verlangt

Das Gesetz über das Aufspüren von Gewinnen aus schweren Straftaten, kurz Geldwäschegesetz, bildet den rechtlichen Rahmen für die Prävention von Geldwäsche und Terrorismusfinanzierung in Deutschland ^[1]. Eine weitverbreitete Fehleinschätzung ist, dass diese Pflichten primär Banken und Finanzdienstleister betreffen. Tatsächlich gilt das GwG für eine Vielzahl von Branchen. Wie die Industrie- und Handelskammer Freiburg festhält: „Auch Gewerbetreibende außerhalb des Finanzbereichs können zur Geldwäsche oder Terrorismusfinanzierung missbraucht werden.“ ^[2]

Im Kern verlangt das Gesetz, den eigenen Geschäftspartner zu kennen. Die Financial Intelligence Unit (FIU) des Zolls fasst dies prägnant zusammen: „Es ist die zentrale Verpflichtung nach dem Geldwäschegesetz (GwG), dass Sie wissen, mit wem Sie Geschäfte machen.“ ^[3]

Dafür definiert das GwG fünf allgemeine Sorgfaltspflichten, die von den Verpflichteten zu erfüllen sind:

1. Identifizierung des Vertragspartners und gegebenenfalls der für ihn auftretenden Person.
2. Prüfung der Vertretungsberechtigung der handelnden Person.
3. Ermittlung und Identifizierung des wirtschaftlich Berechtigten, also der natürlichen Person, die letztlich hinter einem Unternehmen oder einer Transaktion steht.
4. Feststellung, ob der Vertragspartner oder der wirtschaftlich Berechtigte eine politisch exponierte Person (PEP), ein Familienangehöriger oder eine bekanntermaßen nahestehende Person ist.
5. Kontinuierliche Überwachung der Geschäftsbeziehung, einschließlich der Transaktionen, um deren Übereinstimmung mit den vorliegenden Informationen sicherzustellen.

Diese Prüfungen sind keine Formalität. Können die genannten Sorgfaltspflichten nicht erfüllt werden – was Sie mit Am I Compliant prüfen können – ist die Konsequenz klar: Die Geschäftsbeziehung darf nicht begründet oder fortgesetzt werden, und geplante Transaktionen dürfen nicht durchgeführt werden ^[3].

Der risikobasierte Ansatz: Kein Schema F für die Compliance

Das GwG schreibt keinen starren, für alle gültigen Prüfprozess vor. Stattdessen etabliert es einen risikobasierten Ansatz. Das bedeutet, der Umfang der zu ergreifenden Maßnahmen muss dem jeweiligen Risiko entsprechen. Laut FIU muss „der konkrete Umfang dieser Kundensorgfaltspflichten dem jeweiligen Geldwäscherisiko in Bezug auf den Vertragspartner, die Geschäftsbeziehung oder die Transaktion entsprechen.“ ^[3]

Dieser Ansatz gibt Unternehmen Flexibilität, schafft aber auch Unsicherheit. Was ist ein angemessener Umfang? Wann sind vereinfachte Sorgfaltspflichten ausreichend und wann sind verstärkte Maßnahmen notwendig? Diese Auslegungsfragen sind so relevant, dass Fachverbände wie die Bundesrechtsanwaltskammer umfangreiche „Auslegungs- und Anwendungshinweise“ veröffentlichen, um die praktische Umsetzung zu unterstützen ^[1].

Für Ihre Compliance bedeutet das:

• Risikoanalyse ist Pflicht: Sie müssen für Ihre Geschäftspartner eine individuelle Risikoanalyse durchführen und dokumentieren. Faktoren können das Herkunftsland, die Branche, die Produktart oder die Komplexität der Unternehmensstruktur sein.
• Dokumentation ist entscheidend: Ihre Entscheidung für einen bestimmten Prüfungsumfang muss nachvollziehbar und belegbar sein. Im Falle einer Prüfung durch eine Aufsichtsbehörde müssen Sie Ihre Risikoanalyse und die daraus abgeleiteten Maßnahmen vorlegen können.
• Kein „one size fits all“: Eine standardisierte Minimalprüfung für alle Geschäftspartner wird den gesetzlichen Anforderungen in der Regel nicht gerecht.

In der Praxis: Eine effiziente Risikoanalyse gelingt am besten durch digitale Werkzeuge, die Geschäftspartner teilautomatisiert gegen hunderte internationale Listen abgleichen.

Sanktionslistenprüfung als Kern der Sorgfaltspflicht

Die Prüfung gegen Sanktionslisten ist ein integraler Bestandteil der GwG-Sorgfaltspflichten, auch wenn sie aus außenwirtschaftsrechtlichen Verordnungen (wie der EU-VO 269/2014) stammt. Sie dient der Identifizierung von Personen, Unternehmen oder Organisationen, gegen die Finanzsanktionen verhängt wurden. Diese Prüfung ist notwendig, um das Verbot der Bereitstellung von Geldern oder wirtschaftlichen Ressourcen an gelistete Entitäten einzuhalten.

Die Prüfung muss sich erstrecken auf:

• Ihren direkten Vertragspartner.
• Den wirtschaftlich Berechtigten des Vertragspartners.
• Alle an der Transaktion beteiligten Parteien, soweit bekannt (z. B. empfangende Banken).

Eine besondere Herausforderung ist die Dynamik der Sanktionslisten. In einem volatilen geopolitischen Umfeld werden Listen oft kurzfristig aktualisiert. Die im GwG geforderte „kontinuierliche Überwachung“ bedeutet daher, dass eine einmalige Prüfung bei Aufnahme der Geschäftsbeziehung nicht ausreicht. Änderungen im Status eines Geschäftspartners müssen zeitnah erkannt werden.

Praktische Umsetzung: Ein Fahrplan für die GwG-konforme Prüfung

Wie können Unternehmen, insbesondere im Industrie- und Handelssektor, diese Anforderungen effizient erfüllen? Ein strukturierter Prozess ist unerlässlich.

1. Internen Prozess definieren und Verantwortlichkeiten festlegen Bestimmen Sie, wer im Unternehmen für die Durchführung und Dokumentation der Prüfungen zuständig ist. Legen Sie fest, zu welchem Zeitpunkt im Geschäftsablauf die Prüfung stattfinden muss – idealerweise vor dem Eingehen einer vertraglichen Verpflichtung.

2. Risikoanalyse durchführen und dokumentieren Entwickeln Sie eine Methodik zur Risikobewertung Ihrer Geschäftspartner. Klassifizieren Sie Partner beispielsweise in Risikokategorien (niedrig, mittel, hoch) und leiten Sie daraus den erforderlichen Prüfungsumfang ab. Dokumentieren Sie diese Analyse für jeden Geschäftspartner.

3. Technologische Unterstützung nutzen Die manuelle Prüfung hunderter Namen gegen diverse, sich ständig ändernde Listen ist zeitaufwendig und fehleranfällig. Spezialisierte Software kann diesen Prozess erheblich vereinfachen und absichern. Solche Compliance-Lösungen ermöglichen den automatisierten Abgleich von Geschäftspartnerdaten gegen eine Vielzahl von Sanktions-, PEP- und weiteren Risikolisten. Anbieter wie Am I Compliant sind speziell auf die Bedürfnisse von Industrie und Handel zugeschnitten und können Prüfergebnisse innerhalb von Sekunden als auditfesten Nachweis für die eigene Akte liefern.

4. Ergebnisse und Maßnahmen sorgfältig dokumentieren Jede durchgeführte Prüfung, jedes Ergebnis („Treffer“ oder „kein Treffer“) und jede daraus resultierende Entscheidung muss revisionssicher dokumentiert werden. Dies schließt auch die Analyse potenzieller Treffer (False Positives) und die Begründung ein, warum eine Geschäftsbeziehung fortgesetzt wurde.

5. Bei Verdacht oder Nichterfüllung konsequent handeln Stellt sich heraus, dass eine Sorgfaltspflicht nicht erfüllt werden kann – etwa weil der wirtschaftlich Berechtigte nicht identifizierbar ist – oder ergibt die Prüfung einen bestätigten Sanktionstreffer, ist das Vorgehen vom Gesetzgeber klar vorgegeben: Die Geschäftsbeziehung darf nicht aufgenommen oder muss beendet werden ^[3]. Abhängig von der Sachlage kann auch eine Meldepflicht an die FIU bestehen. Verpflichtete sollten sich daher grundsätzlich beim Meldeportal der FIU (goAML) registrieren ^[1].

Die korrekte Auslegung und Umsetzung der GwG-Sorgfaltspflichten erfordert einen systematischen und risikobasierten Ansatz. Ein dokumentierter Prozess, unterstützt durch geeignete Technologie, ist der Schlüssel, um rechtlichen Anforderungen gerecht zu werden und das eigene Unternehmen wirksam vor Missbrauch zu schützen.