A. Überblick
Bei der Erfüllung der geldwäscherechtlichen Sorgfaltspflichten stellt sich häufig die Frage nach zulässigen Verfahren zur Überprüfung der Identität abwesender natürlicher Personen.
Zu unterscheiden sind drei Kategorien von Sorgfaltspflichten: Bei normalem Risiko der Geldwäsche bzw. Terrorismusfinanzierung sind die allgemeinen Sorgfaltspflichten zu erfüllen (§ 10 GwG),1 im Falle eines geringeren Risikos genügen die vereinfachten Sorgfaltspflichten (§ 14 GwG),2 und bei einem höheren Risiko sind die verstärkten Sorgfaltspflichten zusätzlich zu den allgemeinen Sorgfaltspflichten zu erfüllen (§ 15 GwG).3 Diese Kategorien werden in der neuen EU-AML-Verordnung (VO (EU) 2024/1624; „AML-VO“) beibehalten (allgemeine Sorgfaltspflichten: Art. 19 ff. AML-VO, vereinfachte Sorgfaltspflichten: Art. 33 AML-VO, verstärkte Sorgfaltspflichten: Art. 34 ff. AML-VO). Dieser Beitrag beschränkt sich auf die allgemeinen Sorgfaltspflichten als gesetzgeberischer Normalfall. Die allgemeinen Sorgfaltspflichten umfassen insbesondere (aber nicht ausschließlich)4 die Identifizierung des Vertragspartners/Kunden5 und ggf. einer für diesen auftretenden natürlichen Person.
Ausgangspunkt des geldwäscherechtlichen Identifizierungsprozesses sind die Kunden. Das sind diejenigen (natürlichen oder juristischen) Personen bzw. Personengesellschaften, die die Leistung des geldwäscherechtlich Verpflichteten in Anspruch nehmen, also z.B. bei Kreditinstituten (§ 1 Abs. 1 Satz 1 KWG) der Kreditnehmer oder im Falle einer Kapitalverwaltungsgesellschaft (§ 17 Abs. 1 Satz 1 KAGB) die Anleger der verwalteten Fonds.6 Die Kunden sind zu identifizieren, d.h. es müssen bestimmte Angaben erhoben und überprüft werden (§ 11 Abs. 1 Satz 1 GwG;7 künftig: Art. 20 Abs. 1 Buchst. a AML-VO).
Zusätzlich ist die für den Kunden auftretende natürliche8 Person zu identifizieren (§ 10 Abs. 1 Nr. 1 GwG;9 künftig: Art. 20 Abs. 1 Buchst. i AML-VO). Dies umfasst (rechtsgeschäftliche oder gesetzliche) Vertreter und Boten.10 Ist der Kunde eine natürliche Person, so gibt es nur dann eine zusätzlich zu identifizierende, für den Kunden auftretende natürliche Person, wenn sich der Kunde vertreten lässt (z.B. Kinder durch ihre Eltern oder ein rechtsgeschäftlich bestellter Vertreter), oder wenn der Kunde einen Boten beauftragt. Ist der Kunde dagegen eine juristische Person oder eine Personengesellschaft, so wird stets eine natürliche Person für den Kunden auftreten.
B. Verfahren zur Fernidentifizierung
Bei der Identifizierung einer natürlichen Person (als Kunde oder für diesen auftretende natürliche Person) stellt sich in der Praxis häufig die Frage, wie die erhobenen Daten (Vor- und Nachname, Geburtsort, Geburtsdatum, Staatsangehörigkeit und Anschrift, § 11 Abs. 4 Nr. 1 GwG;11 künftig: Art. 22 Abs. 1 Buchst. a AML-VO)12 überprüft werden sollen, wenn ein persönliches Treffen entweder gar nicht oder nicht rechtzeitig zustande kommt (die Identifizierung muss grundsätzlich13 vor Begründung der Geschäftsbeziehung abgeschlossen sein, § 11 Abs. 1 Satz 1 GwG;14 künftig: Art. 23 Abs. 1 Unterabs. 1 Satz 1 AML-VO) und daher kein (Original-)Ausweis eingesehen werden kann.
In dieser Situation ist jedenfalls die Nutzung bestimmter elektronischer Identifizierungsverfahren nach der Verordnung (EU) Nr. 910/2014 zulässig (§ 12 Abs. 1 Satz 1 Nr. 3 f. GwG;15 künftig: Art. 22 Abs. 6 Buchst. b AML-VO), die jedoch in der Praxis häufig nicht zur Verfügung stehen. Insoweit kommen dann insbesondere folgende Lösungen in Betracht:
I. Ausweiskopie
Die Praxis versucht häufig, sich mit einer – ggf. notariell beglaubigten – Ausweiskopie zu behelfen. Gemäß § 13 Abs. 1 Nr. 1 GwG ist jedoch die angemessene Prüfung des vor Ort vorgelegten Ausweises (§ 12 Abs. 1 Satz 1 Nr. 1 GwG) erforderlich; das setzt die Vorlage des Originaldokuments voraus.16 Eine (beglaubigte) Ausweiskopie ist auch kein sonstiges Verfahren i.S.v. § 13 Abs. 1 Nr. 2 GwG, das zur geldwäscherechtlichen Überprüfung der Identität geeignet ist und ein der Vorlage des Originaldokuments gleichwertiges Sicherheitsniveau aufweist;17 darunter fallen nur die in § 12 Abs. 1 Satz 1 Nr. 2 bis Nr. 4 GwG genannten Verfahren sowie ggf. weitere durch Rechtsverordnung nach § 13 Abs. 2 Satz 1 Nr. 2 GwG zugelassene Verfahren.18
Nach dem GwG bzw. dessen Auslegung durch den BGH und die BaFin ist also die Verwendung einer – auch notariell beglaubigten – Ausweiskopie zur Überprüfung der erhobenen Daten gemäß § 12 Abs. 1 Satz 1 GwG nicht zulässig.19 Diese strengen Anforderungen sind jedenfalls nicht europarechtlich vorgegeben: Art. 13 Abs. 1 Unterabs. 1 Buchst. a RL (EU) 2015/849 verlangt nur die „Überprüfung der Kundenidentität auf der Grundlage von Dokumenten, Daten oder Informationen, die von einer glaubwürdigen und unabhängigen Quelle stammen …“; insbesondere eine notariell beglaubigte Ausweiskopie würde diese Voraussetzungen erfüllen.
Gemäß Art. 22 Abs. 6 Buchst. a AML-VO erfolgt die Überprüfung der zur Identifizierung erhobenen Daten durch „Vorlage eines Personalausweises, Passes oder eines gleichwertigen Ausweisdokuments und erforderlichenfalls Einholung von Informationen aus verlässlichen und unabhängigen Quellen, unabhängig davon, ob darauf unmittelbar zugegriffen wird oder diese vom Kunden geliefert werden; …“. Das ist enger als die Anforderungen nach Art. 13 Abs. 1 Unterabs. 1 Buchst. a RL (EU) 2015/849, weil die Vorlage eines Personalausweises, Passes oder eines gleichwertigen Ausweisdokuments verlangt wird; anders als § 13 Abs. 1 Nr. 1 GwG setzt die Neuregelung aber nicht die Vorlage des Ausweises „vor Ort“ voraus, so dass nach dem Wortlaut von Art. 22 Abs. 6 Buchst. a AML-VO eine Ausweiskopie durchaus genügen könnte.
Die Identifizierungsvorschriften werden gemäß Art. 28 Abs. 1 Satz 2, Abs. 4 AML-VO durch einen Delegierten Rechtsakt der EU-Kommission konkretisiert werden, der nach Art. 28 Abs. 1 Satz 1 AML-VO von der neuen europäischen Geldwäscheaufsichtsbehörde („AMLA“) bis zum 10.07.2026 entworfen werden soll. Auf Anfrage der EU-Kommission20 hat die Europäische Bankenaufsichtsbehörde („EBA“) am 06.03.2025 einen ersten Entwurf einer Delegierten Verordnung („Del. VO-E“) vorgelegt.21
In Art. 5 Abs. 5 Del. VO-E wird auch die beglaubigte Ausweiskopie als Verifizierungsinstrument genannt, allerdings in missverständlicher Weise; in Art. 5 Abs. 5 Del. VO-E heißt es:
„For the purposes of verifying the identity …, these persons shall provide the obliged entity, with the original identity document, passport or equivalent, or a certified copy thereof, or in accordance with Article 6.“
Art. 6 Del. VO-E regelt die Fernidentifizierung („Verification of the customer in a non face-to-face context“); in Art. 6 Del. VO-E wird die beglaubigte Ausweiskopie aber nicht erwähnt.22 Durch diese missglückte Formulierung könnte der Eindruck entstehen, dass die beglaubigte Ausweiskopie nur unter Anwesenden als Ersatz für die Vorlage des Originaldokuments dienen kann, während die Übersendung einer beglaubigten Ausweiskopie im Fall der Fernidentifizierung nicht genügen würde.
Eine diesbezügliche Klarstellung im weiteren Gesetzgebungsverfahren wäre sehr zu begrüßen. Dazu besteht noch reichlich Gelegenheit: Nach Abschluss der Konsultation wird die EBA der EU-Kommission ihre Empfehlung (technical advice) vorlegen. Die EU-Kommission hat schon klargestellt, dass durch die Empfehlung der EBA keine Vorentscheidung über den von der AMLA zu erstellenden Entwurf der Del. VO-E getroffen werden soll;23 letztlich entscheidet dann die EU-Kommission auf der Basis des AMLA-Entwurfes über die endgültige Fassung. Das Verfahren steht also noch ganz am Anfang.
II. Videoidentifizierung
Die Videoidentifizierung wird ebenfalls oft zur Identifizierung abwesender natürlicher Personen eingesetzt. Bei diesem Verfahren wird der Kunde (oder eine für den Kunden auftretende natürliche Person) vom Institut oder einem Dienstleister im Rahmen eines Video-Chats identifiziert.
Das Videoidentifizierungsverfahren war zunächst ein Fall der „Fernidentifizierung“ gemäß § 6 Abs. 2 Nr. 2 GwG a.F. (GwG 2008)24 und unterlag lag daher den nach § 6 Abs. 2 Nr. 2 Satz 2 GwG a.F. erforderlichen verstärkten Sorgfaltspflichten. Ende 2014 wurde das Verfahren dann bei Einhaltung bestimmter Anforderungen als Identifizierung einer (virtuell) persönlich anwesenden natürlichen Person anerkannt,25 so dass die verstärkten Sorgfaltspflichten nach § 6 Abs. 2 Nr. 2 Satz 2 GwG a.F. nicht mehr für die Videoidentifizierung galten. Die Anforderungen wurden mit Wirkung ab 15.06.2017 detaillierter ausgestaltet und verschärft;26 die Einordnung des Videoidentifizierungsverfahrens als Identifizierung Anwesender blieb aber unverändert.27
Mit Umsetzung der RL (EU) 2015/84928 entfiel die Regelung der Fernidentifizierung als Anwendungsfall verstärkter Sorgfaltspflichten in § 6 Abs. 2 Nr. 2 GwG a.F. Die Möglichkeit zur Videoidentifizierung besteht unverändert fort,29 da die Videoidentifizierung – wie soeben ausgeführt – gar nicht als Fall der Fernidentifizierung galt. Im Rahmen einer Evaluierung des Verfahrens unter Beteiligung des Bundesfinanzministeriums, des Bundesministeriums des Innern, der BaFin und des Bundesamts für Sicherheit in der Informationstechnik wurde im Jahr 2022 entschieden, das Videoidentifizierungsverfahren als Brückentechnologie fortzuführen.30 Inzwischen liegt der Entwurf einer Geldwäschevideoidentifizierungsverordnung (GwVideoIdentV-E) des Bundesfinanzministeriums vor.31
Das Videoidentifizierungsverfahren wird auch nach Inkrafttreten der AML-VO grundsätzlich zulässig bleiben, da nach Art. 22 Abs. 6 Buchst. a AML-VO die „Vorlage eines Personalausweises, Passes oder eines gleichwertigen Ausweisdokuments“ grundsätzlich genügt,32 aber (anders als nach § 13 Abs. 1 Nr. 1 GwG) keine Vorlage des Dokuments „vor Ort“ erforderlich ist; dementsprechend sieht § 21 Abs. 2 GwVideoIdentV-E vor, dass die (künftige) Geldwäschevideoidentifizierungsverordnung ab dem Zeitpunkt außer Kraft tritt, ab dem die AML-VO einschließlich Einzelheiten zu Fernidentifizierungsverfahren anwendbar ist.
Allerdings wird die Videoidentifizierung in Art. 6 Del. VO-E als Fall der Identifizierung von Abwesenden geregelt. Nach Art. 22 Abs. 6 Buchst. b AML-VO ist bei der Identifizierung Abwesender an sich die Nutzung bestimmter elektronischer Identifizierungsverfahren nach der Verordnung (EU) Nr. 910/2014 vorgeschrieben, so dass das Videoidentifizierungsverfahren (das diese Anforderungen nicht erfüllt) eigentlich gar nicht zulässig wäre. Dadurch würden jedoch zahlreiche Kunden von der Online-Identifizierung ausgeschlossen, die keinen Zugang zu den zulässigen Verfahren nach der Verordnung (EU) Nr. 910/2014 haben. Deshalb sieht die EBA in Art. 6 Abs. 2 Del. VO-E vor, dass bei Erfüllung der weiteren Anforderungen nach Art. 6 Abs. 3 f., Abs. 6 Del. VO-E die Videoidentifizierung zulässig ist „in cases where the solution described in paragraph 1 [das sind die bestimmten Verfahren nach der Verordnung (EU) Nr. 910/2014] is not available, or cannot reasonably be expected to be provided“.33 Danach würde die Nutzung des Videoidentifizierungsverfahrens künftig nicht mehr allgemein zur Wahl stehen, sondern (generell oder sogar im Einzelfall) begründungsbedürftig sein. Das ließe sich vermeiden, wenn die Videoidentifizierung im weiteren Gesetzgebungsverfahren als Identifizierung eines (virtuell) anwesenden Kunden qualifiziert würde.
III. PostIdent-Verfahren
Das PostIdent-Verfahren ist in der Praxis zur Fernidentifizierung sehr gebräuchlich. Während das Videoidentifizierungsverfahren auch vom Institut selbst verwendet werden kann, führt beim PostIdent-Verfahren immer ein Dritter – die Deutsche Post AG – die Identifizierung für das Institut durch. Seit jeher hat die Deutsche Post AG dabei eine aufsichtsrechtliche Sonderstellung:
In § 2 GwG a.F. (GwG 1993) war die Einschaltung Dritter bei der Identifizierung noch nicht gesetzlich vorgesehen.34 Nach der Verwaltungspraxis des (damaligen) Bundesaufsichtsamts für das Kreditwesen („BaKred“)35 durften Institute aber zur Kundenidentifizierung auf Dritte zurückgreifen, wobei zwischen per se zuverlässigen Dritten und sonstigen zuverlässigen Dritten unterschieden wurde; im letzteren Fall musste sich das Institut bei Beginn der Zusammenarbeit von der Zuverlässigkeit des Dritten überzeugen.36 In diesem System galt die Deutsche Post AG als per se zuverlässiger Dritter,37 so dass keine Zuverlässigkeitsprüfung erforderlich war.
§ 7 GwG a.F. (GwG 2008) regelte erstmals die Einschaltung Dritter zur Identifizierung: Gemäß § 7 Abs. 1 GwG a.F. (GwG 2008) waren – in Umsetzung der Art. 15 ff. RL 2005/60/EG – bestimmte nach § 2 Abs. 1 GwG a.F. (GwG 2008) Verpflichtete kraft Gesetzes als zuverlässige Dritte anerkannt;38 dazu gehörte die Deutsche Post AG allerdings nicht, weil sie kein Verpflichteter i.S.v. § 2 Abs. 1 GwG a.F. (GwG 2008) war. Zusätzlich konnte nach § 7 Abs. 2 GwG a.F. (GwG 2008) nach einer Zuverlässigkeitsprüfung auf sonstige Dritte zurückgegriffen werden.39 Diese Regelung führte der deutsche Gesetzgeber in Anlehnung an die oben dargestellte Praxis des BaKred zu § 2 GwG a.F. (GwG 1993) ein; Art. 19 RL 2005/60 EG ließ eine solche Regelung zwar zu, machte dafür aber keine inhaltlichen Vorgaben. Das PostIdent-Verfahren fiel unter § 7 Abs. 2 GwG a.F. (GwG 2008),40 wobei die Zuverlässigkeitsprüfung bei der Deutschen Post AG nach der Verwaltungspraxis der BaFin aber wiederum entbehrlich war.41
Die Systematik der aktuellen Regelung in § 17 GwG entspricht § 7 GwG a.F. (GwG 2008): In Umsetzung der Art. 25 ff. RL (EU) 2015/849 können gemäß § 17 Abs. 1 bis Abs. 4 GwG andere nach § 2 Abs. 1 GwG Verpflichtete42 als kraft Gesetzes zuverlässige Dritte mit der Identifizierung betraut werden. Ebenso wie schon Art. 19 RL 2005/60/EG nimmt Art. 29 RL (EU) 2015/849 ausdrücklich die vertragliche Auslagerung der Identifizierung auf sonstige Dritte vom Anwendungsbereich der Art. 25 ff. RL (EU) 2015/849 aus, ohne insoweit eine materielle Regelung vorzuschreiben, so dass diese weiterhin dem nationalen Gesetzgeber vorbehalten bleibt. Insoweit trifft § 17 Abs. 5 bis Abs. 9 GwG eine § 7 Abs. 2 GwG a.F. (GwG 2008) entsprechende Regelung zur Einschaltung sonstiger Dritter; insbesondere muss nach § 17 Abs. 7 Satz 1 GwG zuvor die Zuverlässigkeit des Dritten überprüft werden. Da die Deutsche Post AG nach wie vor kein Verpflichteter i.S.v. § 2 Abs. 1 GwG ist, fällt das PostIdent-Verfahren jetzt unter § 17 Abs. 5 ff. GwG, wobei die in § 17 Abs. 7 Satz 1 GwG vorgesehene Zuverlässigkeitsprüfung weiterhin entbehrlich ist.43
Auch nach der AML-VO wird das PostIdent-Verfahren nicht unter die Regelungen über die Einschaltung anderer Verpflichteter in die Erfüllung der Sorgfaltspflichten gemäß Art. 48 f. AML-VO fallen, weil die Deutsche Post AG kein Verpflichteter nach Art. 3 AML-VO ist. Das PostIdent-Verfahren wird dann den Auslagerungsvorschriften nach Art. 18 AML-VO44 und daher voraussichtlich verschärften Anforderungen unterliegen: Unter anderem muss das Institut regelmäßig kontrollieren, dass seine Strategien und Verfahren zur Geldwäscheprävention vom Auslagerungsunternehmen wirksam umgesetzt werden (Art. 18 Abs. 4 Unterabs. 2 Satz 3 AML-VO), und die Auslagerung ist der Aufsichtsbehörde vorab anzuzeigen (Art. 18 Abs. 1 Satz 2 AML-VO). Ob die Deutsche Post AG bei Anwendung dieser Vorschriften ihre privilegierte Stellung behalten wird, erscheint zumindest bei solchen Instituten, die der Aufsicht der AMLA unterliegen werden, fraglich.
