Die Kurzantwort
Jede PEP-Geschäftsbeziehung bringt vier Pflichten mit sich: den Status feststellen, das Risiko einstufen, verstärkte Sorgfaltspflichten erfüllen, wo die Vorschriften dies verlangen, und Unterlagen führen, die einer Prüfung standhalten. Grundlage ist FATF-Empfehlung 12, die die EU in ihrer Richtlinie als verbindliche Pflicht verankert hat. Diese Seite erläutert die Pflichten und die dahinterstehenden verstärkten Sorgfaltsmaßnahmen (EDD). Die Übersichtsseite zur PEP-Compliance bündelt die zugehörigen Leitfäden.
Die vier Anforderungen an jede PEP-Geschäftsbeziehung
Die Pflichten bauen aufeinander auf. Die Identifizierung klärt, ob eine an der Geschäftsbeziehung beteiligte Person in den PEP-Anwendungsbereich fällt. Die Einstufung bewertet das daraus entstehende zusätzliche Risiko. Wo erforderlich, kommen im Rahmen der verstärkten Sorgfaltspflichten strengere Maßnahmen hinzu. Überwachung und Aufzeichnungen halten die Akte über die Zeit aktuell und nachvollziehbar. Die Aufsichtsbehörde prüft das gesamte Zusammenspiel, nicht nur das erste Screening.
Die Identifizierung steht an erster Stelle. Sie müssen über Risikomanagementsysteme verfügen, mit denen sich feststellen lässt, ob ein Kunde oder der wirtschaftlich Berechtigte hinter einem Kunden eine politisch exponierte Person, ein Familienmitglied oder eine nahestehende Person ist. Die FATF-Leitlinien zu PEPs (Empfehlungen 12 und 22) formulieren diese Erwartung. Sie gilt sowohl zu Beginn der Geschäftsbeziehung als auch bei späteren Änderungen der Umstände. Das Wort „Systeme“ ist entscheidend: Eine gelegentliche Suche, wenn jemand daran denkt, ist kein System. Prüfende Personen untersuchen den Unterschied, indem sie fragen, wie diese Feststellung für jeden Kunden getroffen wird und nicht nur für diejenigen, die Aufmerksamkeit erregt haben.
An zweiter Stelle steht die Einstufung. Der Status fließt in eine dokumentierte Risikobewertung ein, die die erforderliche Intensität Ihrer Maßnahmen festlegt. Dabei werden der Einfluss des Amtes, die Rechtsordnung und die Art der Geschäftsbeziehung berücksichtigt.
An dritter Stelle stehen die verstärkten Sorgfaltspflichten. Die FATF verlangt zusätzliche Maßnahmen für Geschäftsbeziehungen mit ausländischen PEPs sowie für risikoreichere Geschäftsbeziehungen mit inländischen PEPs oder PEPs internationaler Organisationen. Das vor Ort geltende Recht kann weitergehende Anforderungen vorsehen. Erfüllen Sie zunächst die maßgeblichen gesetzlichen Mindestanforderungen und stimmen Sie dann die Tiefe der Prüfungen und der Überwachung auf das Risiko ab. Der nächste Abschnitt beschreibt die verstärkten Maßnahmen, soweit sie anzuwenden sind.
Überwachung und Aufzeichnungen stehen an vierter Stelle und werden während der gesamten Geschäftsbeziehung fortgeführt. Die Unterlagen sind für den jeweils geltenden Zeitraum aufzubewahren. Die Überwachung richtet sich nach den gesetzlichen Anforderungen und dem bewerteten Risiko, einschließlich einer verstärkten Überwachung, wo diese erforderlich ist. Die Beurteilungen werden dokumentiert. Ohne Aufzeichnungen geht bei der Überwachung das Wissen der analysierenden Person verloren; ohne Überwachung bewahren die Aufzeichnungen ein veraltetes Bild. Dem Prüfturnus widmet sich ein eigener Leitfaden zum PEP-Monitoring.
Wer dieses Zusammenspiel beaufsichtigt, hängt davon ab, wo Sie tätig sind. Nationale Aufsichtsbehörden verankern die FATF-Erwartungen im jeweiligen Recht. Die EU-Mitgliedstaaten setzen die Richtlinie in nationales Recht um, und ab dem 10. Juli 2027 gilt die Geldwäscheverordnung (EU) 2024/1624 unmittelbar. Kryptounternehmen unterliegen denselben Pflichten über die Zulassungsvorschriften für VASPs, die auf der Übersichtsseite zur VASP-Compliance erläutert werden. Zur Abgrenzung: Der Definitionsvergleich in unserem Blog zeigt, wie die FATF, die EU und andere Organisationen die Definition unterschiedlich formulieren. Diese Seite behandelt die Pflichten, die sich aus diesen Formulierungen ergeben.
Jede Pflicht wird in diesem Leitfaden gesondert behandelt. Die weiteren Beiträge der Reihe finden Sie auf der Übersichtsseite zur PEP-Compliance.
Verstärkte Sorgfaltspflichten bei PEPs: die Maßnahmen im Überblick
Die verstärkten Sorgfaltspflichten umfassen drei Maßnahmen: die Zustimmung der Führungsebene vor der Aufnahme oder Fortführung der Geschäftsbeziehung, die Klärung der Vermögens- und Mittelherkunft sowie eine verstärkte laufende Überwachung. Die Feststellung, ob ein Kunde eine PEP ist, gehört zu den Risikomanagementpflichten und ist keine vierte Maßnahme. Die Maßnahmen sind Handlungen des Instituts; Software dokumentiert sie lediglich.
Zustimmung der Führungsebene bedeutet, dass eine ausreichend hochrangige Person mit Verantwortung für Risikoentscheidungen ihre Zustimmung erteilt, bevor die Geschäftsbeziehung aufgenommen oder fortgeführt wird. Diese Vorschrift besteht, weil PEP-Entscheidungen Reputationsrisiken mit sich bringen, die oberhalb der Analyseebene verantwortet werden müssen. Außerdem trägt eine entscheidungsbefugte Person auch die Verantwortung für ihre Zustimmung. Was einer Prüfung standhält: eine namentlich benannte zustimmende Person, ein Datum und eine begründete Entscheidungsgrundlage. Was nicht genügt: eine erst nach Aufnahme der Geschäftsbeziehung dokumentierte Zustimmung, eine zustimmende Person ohne Einblick in das Risiko oder eine pauschale Dauergenehmigung, die mit einer Unterschrift die Geschäftsbeziehungen eines ganzen Quartals abdeckt.
Prüfungen der Vermögens- und Mittelherkunft klären in zweierlei Hinsicht, woher das Geld stammt. Die Vermögensherkunft beschreibt den Ursprung des gesamten Vermögens des Kunden: Gehälter, Unternehmensbeteiligungen, Erbschaften. Die Mittelherkunft beschreibt, woher die konkreten Gelder innerhalb dieser Geschäftsbeziehung stammen. Was einer Prüfung standhält: dokumentierte, dem Risiko angemessene Nachweise wie Erklärungen, geprüfte Jahresabschlüsse oder überprüfbare Geschäftsunterlagen. Was nicht genügt: einen einzelnen Satz des Kunden über sein Vermögen als alleinige Grundlage der Akte zu akzeptieren.
Die verstärkte laufende Überwachung erhöht sowohl die Häufigkeit als auch die Tiefe der Überprüfung der Geschäftsbeziehung, damit Abweichungen von üblichen Mustern schneller sichtbar werden als bei der Standardbehandlung. Die Möglichkeiten zur zeitlichen Planung behandelt der Monitoring-Leitfaden.
Die Prüfung vor der Aufnahme einer Geschäftsbeziehung mit einer ausländischen PEP gehört zur oben genannten Risikomanagementpflicht, nicht zur Maßnahmenliste. Die EU-Richtlinie hat diese Maßnahmen für alle Verpflichteten gesetzlich verankert, nicht nur für Kredit- und Finanzinstitute, und auf inländische PEPs ausgeweitet. Bei einer Prüfung in der EU wird daher die nationale Umsetzungsvorschrift herangezogen.
Risikobewertung: Wie viel Sorgfalt ist ausreichend?
Die Tiefe der Sorgfaltsprüfung richtet sich nach dem Risiko. Dieselbe politische Funktion kann ein sehr unterschiedliches Risiko mit sich bringen, je nach Einfluss des Amtes, Korruptionsprofil der Rechtsordnung und Komplexität der Geldstrukturen. Die Bewertung muss schriftlich festgehalten werden, denn ein bloßes Gedankengebäude hält keiner Prüfung stand.
Bei einer hochrangigen Person, die über Haushaltsbefugnisse in einer Rechtsordnung mit hoher Korruption verfügt und Gelder durch mehrstufige Strukturen bewegt, können eingehendere Nachweise und eine engmaschigere Überwachung gerechtfertigt sein. Eine risikoärmere inländische Geschäftsbeziehung kann weniger zusätzliche Prüfungen nur dort rechtfertigen, wo die Rechtsordnung diesen Ermessensspielraum zulässt, und erst nachdem alle vorgeschriebenen Maßnahmen erfüllt sind. Keine interne Risikostufe hebt gesetzliche Mindestanforderungen auf. Beide Bewertungen benötigen dokumentierte Begründungen.
Die schriftliche Bewertung umfasst vier Elemente: die berücksichtigten Faktoren, deren jeweilige Gewichtung, die daraus abgeleitete Risikostufe und das Datum. Überprüfen Sie die Bewertung erneut, wenn sich das Amt, die Rahmenbedingungen der Rechtsordnung oder die Geschäftsbeziehung ändern. Wie Risikostufen grundsätzlich gebildet werden, erläutert der Leitfaden zu PEP-Risikostufen.
Aufzeichnungen, die einer Aufsichtsbehörde Antworten liefern
Am Prüfungstag genügt die Aussage „Wir haben verstärkte Sorgfaltspflichten erfüllt“ nicht. Die Akte benötigt den zeitlichen Verlauf der Beurteilungen, die jeweilige Grundlage, die nachvollziehbare Dokumentation der Zustimmungen und die Überwachungshistorie. All das muss so aufbereitet sein, dass Sie es vorlegen können. Die Lücke zwischen der Durchführung und dem Nachweis der Arbeit ist der Ansatzpunkt für Prüfungsfeststellungen.
Diese Lücke schließen Sie in Ihrem eigenen Verantwortungsbereich: Zustimmungen, Nachweise zur Vermögensherkunft und Begründungen der Risikoeinstufung gehören in Ihre eigenen Systeme, denn dort liegt die Pflicht. Die adressbezogene Analyse liefert dazu ihre eigenen Nachweise. Phalcon Compliance prüft Adressen und Transaktionen. Die in kostenpflichtigen Tarifen verfügbaren PDF- und CSV-Exporte machen aus den adressbezogenen Aufzeichnungen einen vorlagefähigen Nachweis, der die personenbezogene Akte ergänzt. Beide Teile ergänzen sich: Die personenbezogene Sorgfaltsprüfung klärt, um wen es geht; das adressbezogene Screening zeigt, womit die Gelder in Berührung gekommen sind.
Alle Pflichten auf dieser Seite und sämtliche zugehörigen Leitfäden finden Sie auf der Übersichtsseite zur PEP-Compliance.