Die neue EU-Geldwäscheverordnung: Was Unternehmen bis Juli 2027 vorbereiten sollten

Die Verordnung (EU) 2024/1624 bildet den Kern des neuen Regelwerks. Sie gilt ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten; bis dahin bleibt das deutsche Geldwäschegesetz (GwG) maßgeblich. Für Fußballvermittler und Profifußballvereine (Art. 3 Nr. 3 Buchst. n und o AMLR) gilt die Verordnung erst ab dem 10. Juli 2029. [1]

„Sie gilt ab dem 10. Juli 2027 mit Ausnahme für in Artikel 3 Ziffer 3 Buchstaben n und o genannten Verpflichteten, für die sie ab dem 10. Juli 2029 gilt.“

Quelle: Verordnung (EU) 2024/1624, Artikel 90 (amtliche deutsche Fassung)

Parallel schafft die Richtlinie (EU) 2024/1640, kurz AMLD6, den nationalen Rahmen für Aufsicht, Zusammenarbeit der Meldestellen und weitere institutionelle Strukturen. Die Mitgliedstaaten müssen sie im Wesentlichen bis zum 10. Juli 2027 umsetzen; für einzelne Vorschriften gelten abweichende Fristen (Art. 78 AMLD6). Die bisherige Richtlinie (EU) 2015/849 wird mit Wirkung vom 10. Juli 2027 aufgehoben (Art. 77 AMLD6). [2]

Mit der Behörde zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung (AMLA) erhält das System eine europäische Aufsichtsinstanz mit Sitz in Frankfurt am Main. Die AMLA entwickelt unter anderem eine gemeinsame Methodik zur Bewertung von Geldwäsche- und Terrorismusfinanzierungsrisiken. Das erste Auswahlverfahren für die direkte Beaufsichtigung ausgewählter Kredit- und Finanzinstitute leitet sie bis zum 1. Juli 2027 ein; in dieser ersten Runde werden höchstens 40 Verpflichtete bzw. Gruppen ausgewählt (Art. 13 Verordnung (EU) 2024/1620). Die direkte Aufsicht soll 2028 beginnen. [3]

Die AMLR verlangt eine geschäftsweite Risikoanalyse. Unternehmen erfassen, bewerten und steuern Risiken aus Geldwäsche, Terrorismusfinanzierung und der Umgehung gezielter Finanzsanktionen.

Die Analyse betrachtet Kunden und Kundengruppen, Produkte und Dienstleistungen, Transaktionen, Länder, geografische Faktoren und Vertriebswege. Daraus entsteht eine konkrete Prüflinie: Die Risikoanalyse liefert die Grundlage für Policies, Verfahren und Kontrollen.

Entscheidend ist die Verbindung zwischen Risikobewertung und Steuerung. Verändert sich das Geschäftsmodell, muss die Organisation diese Veränderung in ihrer Risikobewertung und ihren Kontrollen abbilden.

Die AMLR konkretisiert die Sorgfaltspflichten gegenüber Kunden (Customer Due Diligence, CDD). Verpflichtete Unternehmen identifizieren und verifizieren Kunden und wirtschaftliche Eigentümer – im GwG bisher „wirtschaftlich Berechtigte“ –, klären Zweck und Art der Geschäftsbeziehung und überwachen sie fortlaufend. Bei gelegentlichen Transaktionen ab 10.000 Euro greifen die allgemeinen Sorgfaltspflichten, auch wenn der Betrag über mehrere verbundene Transaktionen erreicht wird (Art. 19 Abs. 1 Buchst. b AMLR); für einzelne Sektoren gelten niedrigere Werte, etwa 1.000 Euro bei Kryptowerte-Dienstleistungen.

Bei Gesellschaften ist eine direkte oder indirekte Beteiligung von 25 Prozent oder mehr der Anteile, Stimmrechte oder sonstigen Eigentumsbeteiligungen der zentrale Anknüpfungspunkt für wirtschaftliches Eigentum (Art. 52 Abs. 1 AMLR); für Kategorien mit erhöhtem Risiko kann die Kommission den Schwellenwert auf höchstens 15 Prozent absenken. Daneben berücksichtigt die AMLR Kontrolle auf andere Weise (Art. 53 AMLR). Bei mehrstufigen Beteiligungsstrukturen muss die Organisation die Eigentums- und Kontrollkette nachvollziehen. [1]

Ein Registereintrag ist dabei eine Informationsquelle, kein Ersatz für eigene Prüfung. Die Organisation muss die gewonnenen Daten in ihren eigenen KYC-Prozess einordnen, verifizieren und aktuell halten.

Ab dem 10. Juli 2027 gilt eine EU-weite Obergrenze für Barzahlungen: Wer mit Gütern handelt oder Dienstleistungen erbringt, darf Barzahlungen dann nur noch bis maximal 10.000 Euro entgegennehmen oder leisten – auch wenn der Betrag auf mehrere Vorgänge verteilt wird, zwischen denen eine Verbindung zu bestehen scheint (Art. 80 Abs. 1 AMLR). Mitgliedstaaten dürfen niedrigere Grenzen festlegen; bereits bestehende niedrigere Grenzen bleiben gültig (Art. 80 Abs. 2 und 3). Ausgenommen sind unter anderem Zahlungen zwischen Privatpersonen, die nicht beruflich handeln, sowie Zahlungen und Einlagen in den Räumen von Kreditinstituten und Zahlungsdienstleistern (Art. 80 Abs. 4). Eine allgemeine Bargeldobergrenze kennt das deutsche Recht bisher nicht.

Unabhängig von dieser Obergrenze müssen Verpflichtete bei gelegentlichen Barzahlungen ab 3.000 Euro zumindest Kunden und wirtschaftliche Eigentümer identifizieren und verifizieren (Art. 19 Abs. 4 i. V. m. Art. 20 Abs. 1 Buchst. a AMLR). Die AMLR unterscheidet damit zwischen der allgemeinen Sorgfaltsschwelle von 10.000 Euro, der besonderen Schwelle für Bargeld von 3.000 Euro und der Obergrenze für Barzahlungen.

Auch Finanzsanktionen gehören in die risikobasierte Betrachtung. Unternehmen müssen Risiken der Umgehung gezielter Finanzsanktionen in ihren Kontrollrahmen einbeziehen. Für die operative Geldwäscheprävention verbindet sich damit ein Prüfungsfeld aus Kundenidentifikation, Eigentums- und Kontrollstrukturen, PEP-Prüfungen, Sanktionsscreening, Transaktionsüberwachung und Verdachtsmeldungen.

Die AMLR regelt die Compliance-Struktur ausdrücklich (Art. 11 AMLR). Ein Mitglied des Leitungsorgans in seiner Leitungsfunktion wird als Compliance-Manager benannt und ist dafür verantwortlich, dass die Verordnung eingehalten wird. Es stellt sicher, dass interne Strategien, Verfahren und Kontrollen zur Risikolage des Unternehmens passen, umgesetzt und mit ausreichenden personellen und materiellen Ressourcen ausgestattet werden. Das GwG kennt eine vergleichbare Rolle bereits heute: Nach § 4 Abs. 3 GwG ist ein Mitglied der Leitungsebene für Risikomanagement und Einhaltung der geldwäscherechtlichen Bestimmungen zu benennen. [1]

Für die tägliche Umsetzung sieht die AMLR einen Geldwäschebeauftragten vor, den das Leitungsorgan ernennt und der über eine ausreichend hohe hierarchische Stellung verfügt (Art. 11 Abs. 2 AMLR). Er ist für die Strategien, Verfahren und Kontrollen im Tagesgeschäft zuständig, einschließlich der Umsetzung gezielter finanzieller Sanktionen, dient als Kontaktstelle für die Behörden und meldet verdächtige Transaktionen an die zentrale Meldestelle. Er muss dem Leitungsorgan direkt und unabhängig berichten können (Art. 11 Abs. 5 AMLR). Wenn Art, Risiken und Größe des Unternehmens dies rechtfertigen, können beide Funktionen auch von derselben Person wahrgenommen werden (Art. 11 Abs. 7 AMLR).

„Auch wenn ein Mitglied desjenigen Leitungsorgans benannt werden sollte, das für die Umsetzung der internen Strategien, Verfahren und Kontrollen des Verpflichteten zuständig ist, sollte die Verantwortung für die Einhaltung der Anforderungen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung letztlich beim Leitungsorgan des Unternehmens liegen. Diese Zuweisung der Verantwortung sollte unbeschadet nationaler Bestimmungen über die gemeinsame zivil- oder strafrechtliche Haftung von Leitungsorganen erfolgen.“

Quelle: Verordnung (EU) 2024/1624, Erwägungsgrund 38 (amtliche deutsche Fassung)

Diese Aufteilung macht Verantwortlichkeiten prüfbar. Unklare Zuständigkeiten erschweren die Zuordnung von Kontrollen; eine Risikoanalyse braucht anschließende Steuerungsmaßnahmen, ein Sanktionsscreening Verbindungen zu Eigentumsstrukturen und Transaktionsdaten.

Auch die Kenntnis der beteiligten Personen gehört in dieses System: Die AMLR verlangt Maßnahmen, damit Beschäftigte, deren Funktion es erfordert, einschließlich Vertretern und Vertriebspartnern, die Anforderungen kennen (Art. 12 AMLR).

Wer im Einzelfall wofür einzustehen hat, ergibt sich nicht pauschal aus der AMLR. Maßgeblich sind Funktion, übertragene Aufgaben, das einschlägige nationale Recht und das konkrete Verhalten. Die Verordnung selbst enthält keine Bußgeldtatbestände; diese regeln die Mitgliedstaaten auf Grundlage der AMLD6. Bis dahin gilt in Deutschland § 56 GwG. [2] [4]

Eine belastbare Vorbereitung beginnt mit einer Gap-Analyse. Unternehmen stellen ihr bestehendes GwG-Setup – Risikoanalyse (§ 5 GwG), Sorgfaltspflichten (§§ 10 ff. GwG), interne Sicherungsmaßnahmen und Zuständigkeiten (§§ 4, 6, 7 GwG) – den künftigen AMLR-Anforderungen gegenüber. [4]

Die Verantwortungsmatrix bildet einen weiteren Prüfpunkt. Geschäftsleitung, Geldwäschebeauftragter, Fachbereiche, IT und interne Revision brauchen klar definierte Aufgaben und Eskalationswege. Kontrollhandlungen und Entscheidungen brauchen nachvollziehbare Nachweise.

Bis zur Anwendung der AMLR gilt § 7 GwG: Bestimmte Verpflichtete – etwa Kredit- und Finanzinstitute – müssen einen Geldwäschebeauftragten auf Führungsebene und einen Stellvertreter bestellen. Der Geldwäschebeauftragte ist für die Einhaltung der geldwäscherechtlichen Vorschriften zuständig und der Geschäftsleitung unmittelbar nachgeordnet; die Verantwortung der Leitungsebene bleibt davon unberührt. Ab dem 10. Juli 2027 ergibt sich die Funktion zusätzlich unmittelbar aus Art. 11 AMLR. Welche nationalen Ergänzungen bleiben, hängt von der Umsetzung der AMLD6 in Deutschland ab. [1] [2] [4]

Die Aufgaben greifen ineinander: Risikoanalyse, Kundensorgfalt, Verdachtsmeldungen, Sanktionsmanagement und Schulungen. Fachliche Kompetenz trägt deshalb wesentlich zur Qualität der Kontrollprozesse bei. Mit Blick auf die neuen Anforderungen gewinnen regelmäßige fachliche Schulungen und dokumentierte Kompetenznachweise für die zuständigen Funktionen an Bedeutung. Für Geldwäschebeauftragte bietet sich eine gezielte Weiterbildung zum Geldwäschebeauftragten an, die geltendes GwG und künftige AMLR-Pflichten gemeinsam behandelt.

Der 10. Juli 2027 ist der Stichtag, ab dem die AMLR gilt. Für Unternehmen bildet der Zeitraum bis dahin eine Organisationsphase. Wer KYC, Risikoanalyse, Sanktionsprävention, Governance und Kompetenz strukturiert aufeinander abstimmt, schafft die Grundlage für die Anwendung des neuen europäischen Regelwerks.

Entscheidend ist die Qualität der Organisation am ersten Anwendungstag: Das Unternehmen kennt seine Risiken, beherrscht seine Kontrollen und kann seine Entscheidungen belegen.