Geldwäscherechtliche Hinweise für Institute, die das Kryptoverwahrgeschäft erbringen

Zum 1. Januar 2020 wurde das Kryptoverwahrgeschäft als neue erlaubnispflichtige Finanzdienstleistung in das Kreditwesengesetz (KWG) aufgenommen. Durch die Aufnahme in den Katalog der Finanzdienstleistungen werden Institute, die das Kryptoverwahrgeschäft erbringen, zu Verpflichteten des Geldwäschegesetzes (GwG). Die BaFin hat zwischenzeitlich geldwäscherechtliche Hinweise für diese Institute veröffentlicht. Was die Neu-Verpflichteten nach dem GwG zu beachten haben, stellen wir in der Folge dar.¹

Den Verpflichteten obliegen nach dem GwG drei Teilbereiche der Geldwäscheprävention, namentlich das Risikomanagement, Sorgfaltspflichten in Bezug auf Kunden und Pflichten im Zusammenhang mit Meldungen von Sachverhalten (Verdachtsmeldewesen). Verstöße gegen geldwäscherechtliche Pflichten sind bußgeldbewehrt und sind nach Bestandskraft bekannt zu machen. Der Gesetzgeber verfolgt mit dem GwG einen risikobasierten Ansatz. Je nach Risiko des Unternehmensgegenstands oder des Geschäftsumfeldes für Geldwäsche missbraucht zu werden, gelten also unterschiedlich strenge Vorgaben für den jeweiligen Verpflichteten.

I.    Risikomanagement

Nach § 4 GwG müssen die Verpflichteten über ein wirksames Risikomanagement hinsichtlich Geldwäsche und Terrorismusfinanzierung verfügen. Ein solches muss eine Risikoanalyse nach § 5 GwG und interne Sicherungsmaßnahmen nach § 6 GwG umfassen.

Institute, die das Kryptoverwahrgeschäft erbringen, müssen also eine Risikoanalyse erstellen, in der sie die Risiken der Geldwäsche und Terrorismusfinanzierung für ihr Unternehmen ermitteln und bewerten. Die Risikoanalyse ist zu dokumentieren und regelmäßig einer Prüfung auf Aktualität zu unterziehen. Besonderes Augenmerk sollte auf die Produktrisiken gelegt werden. Aufgrund der Komplexität der zugrundeliegenden Technologien sowie der mit Kryptowerten einhergehenden Anonymisierungspotenziale kommt den Produktrisiken nach Ansicht der BaFin eine besondere Bedeutung im Rahmen der Risikoanalyse zu.

Basierend auf der Risikoanalyse haben die Verpflichteten interne Sicherungsmaßnahmen zu etablieren. Zu nennen sind hier insbesondere die Ausarbeitung von internen Grundsätzen, Verfahren und Kontrollen in Bezug auf die Erfüllung geldwäscherechtlicher Verpflichtungen, die Bestellung eines Geldwäschebeauftragten und die Etablierung von Maßnahmen zur Verhinderung des Missbrauchs von neuen Technologien zur Begehung von Geldwäsche oder zur Begünstigung der Anonymität von Geschäftsbeziehungen.

II.    Sorgfaltspflichten in Bezug auf Kunden

Weiterhin sind von den Verpflichteten allgemeine Sorgfaltspflichten in Bezug auf ihre Kunden nach § 10 GwG zu erfüllen:

• Identifizierung des Vertragspartners und gegebenenfalls der für ihn auftretenden Person,
• Abklärung, ob Vertragspartner für einen wirtschaftlich Berechtigten handelt und falls ja, die Identifizierung des wirtschaftlich Berechtigten,
• Einholung und Bewertung von Informationen über den Zweck und über die angestrebte Art der Geschäftsbeziehung,
• Feststellung, ob es sich bei dem Vertragspartner oder dem wirtschaftlich Berechtigten um eine politisch exponierte Person handelt,
• kontinuierliche Überwachung der Geschäftsbeziehung einschließlich der Transaktionen, die in ihrem Verlauf durchgeführt werden.

Diese allgemeinen Sorgfaltspflichten sind immer zu erfüllen bei der Begründung einer Geschäftsbeziehung und bei Zweifeln, ob die erhobenen Angaben zu der Identität des Vertragspartners oder des wirtschaftlich Berechtigten zutreffend sind. Können die allgemeinen Sorgfaltspflichten nicht erfüllt werden, so darf die Geschäftsbeziehung nicht begründet oder fortgesetzt werden.

III.    Verdachtsmeldewesen

Die dritte zentrale Pflicht aus dem GwG ist die Meldung von verdächtigen Sachverhalten gemäß § 43 GwG. Unabhängig vom Wert des betroffenen Vermögensgegenstandes oder der Transaktionshöhe sind verdächtige Sachverhalte unverzüglich der Zentralstelle für Finanztransaktionsuntersuchungen (FIU) zu melden.

Verpflichtete haben sich unabhängig von der Abgabe einer Verdachtsmeldung bei der FIU elektronisch zu registrieren, sobald der neue Informationsverbund der FIU in Betrieb genommen wurde, spätestens jedoch ab dem 1. Januar 2024. Unabhängig davon ist eine frühzeitige Registrierung bei der FIU empfehlenswert.

Eine Transaktion, wegen der eine Verdachtsmeldung erfolgt ist, darf nur durchgeführt werden, wenn die Strafverfolgungsbehörden zustimmen oder drei Werktage nach Abgabe der Verdachtsmeldung verstreichen, ohne dass die Durchführung durch die Strafverfolgungsbehörden untersagt worden ist, § 46 GwG. Über die Verdachtsmeldung oder ein entsprechendes Ermittlungsverfahren darf der Verpflichtete den Betroffenen nicht informieren, § 47 GwG.

IV.    Sanktionen

Verstöße gegen das GwG sind bußgeldbewährt. Die Geldbuße kann bei schwerwiegenden, wiederholten oder systematischen Verstößen bis zu fünf Millionen Euro oder bis zu 10 Prozent des Vorjahresgesamtumsatzes des Verpflichteten betragen, § 56 Abs. 3 S. 4 GwG. Im Regelfall liegt die Geldbuße allerdings weit darunter.

Darüber hinaus sind bestandskräftige Maßnahmen durch die Aufsichtsbehörde für fünf Jahre zu veröffentlichen.

V.    Fazit

Die BaFin hat neben der generellen Erlaubnispflicht für das Kryptoverwahrgeschäft auch die geldwäscherechtlichen Verpflichtungen der „Neu“-Finanzdienstleistungsinstitute im Blick. Insofern weist die BaFin unterstützend allgemein auf die jeweiligen Pflichten hin. Genauso wird die BaFin bei Verstößen aber auch zügig einschreiten. Institute, die seit Jahresbeginn oder zukünftig Neu-Verpflichtete im Sinne des GwG sind, sollten dringend ihre Prozesse auf die Compliance mit den geldwäscherechtlichen Vorgaben prüfen. Das gilt umso mehr, als empfindliche Sanktionen drohen können.

¹ Diese Informationen stellen keine vollumfängliche Darstellung der geldwäscherechtlichen Pflichten von Verpflichteten im Sinne des GwG dar und können eine individuelle Rechtsberatung nicht ersetzen.