AMLA-Final-Reports: Was Verpflichtete jetzt vorbereiten müssen
Die AMLA hat drei finale Entwürfe regulatorischer technischer Standards (RTS) für den privaten Sektor veröffentlicht. Erfahren Sie, welche Anforderungen auf Verpflichtete bei KYC, Transaktionen und gruppenweiter Governance zukommen und welche Vorbereitungen bereits heute sinnvoll sind.
Auf einen Blick
- Drei finale RTS-Entwürfe veröffentlicht: AMLA konkretisiert Anforderungen an KYC, Transaktionen und Gruppensteuerung.
- Noch nicht verbindlich: Die Entwürfe wurden der Europäischen Kommission zur Annahme vorgelegt.
- Umsetzung sollte bereits vorbereitet werden: Die AMLR gilt grundsätzlich ab dem 10. Juli 2027.
- Fokus auf Daten, Governance und Nachweisbarkeit: Aufsicht und Revision dürften insbesondere die Wirksamkeit bestehender Prozesse prüfen.
Anlass und Rechtsstatus
Die europäische Geldwäscheaufsichtsbehörde AMLA hat am 1. Oktober 2026 drei finale Entwürfe regulatorischer technischer Standards (RTS) für den privaten Sektor veröffentlicht. Sie betreffen die Kundensorgfaltspflichten nach Artikel 28 Absatz 1 der Verordnung (EU) 2024/1624 (AMLR), die Abgrenzung von Geschäftsbeziehungen sowie gelegentlichen und verbundenen Transaktionen nach Artikel 19 Absatz 9 AMLR und gruppenweite Mindestanforderungen nach Artikel 16 Absatz 4 und Artikel 17 Absatz 3 AMLR.
Die Entwürfe sind noch nicht verbindlich: AMLA hat sie der Europäischen Kommission zur Annahme vorgelegt. Nach Annahme und Veröffentlichung im Amtsblatt sollen sie grundsätzlich sechs Monate nach ihrem Inkrafttreten gelten; für Fußballvermittler und Profifußballvereine ist der 10. Juli 2029 vorgesehen. Die AMLR gilt grundsätzlich ab 10. Juli 2027. Unternehmen sollten deshalb jetzt die Umsetzung vorbereiten und den endgültigen Wortlaut weiter beobachten. (Vgl. Press Release: AMLA finalises key standards for the private sector.)
Die drei wichtigsten Handlungsfelder
1. KYC-Daten und Identitätsprüfung
Der CDD-Entwurf konkretisiert, welche Informationen Verpflichtete über Kundinnen und Kunden und wirtschaftlich Berechtigte erheben und verifizieren müssen. Er umfasst nach der AMLA-Meldung auch verhältnismäßige Maßnahmen bei geringerem Risiko, die Identitätsprüfung ohne persönliche Anwesenheit, elektronische Identifizierung sowie die Prüfung politisch exponierter Personen, ihrer Familienmitglieder und bekanntermaßen nahestehender Personen. Unternehmen sollten für jedes KYC-Datenfeld Quelle, Aktualität, Verifikationsweg und begründete Abweichungen nachvollziehbar hinterlegen. (Vgl. AMLA, Final Report zum RTS-Entwurf nach Artikel 28 Absatz 1 AMLR.)
2. Geschäftsbeziehungen und verbundene Transaktionen
Der Entwurf zu Artikel 19 Absatz 9 AMLR legt Kriterien fest, mit denen Geschäftsbeziehungen von gelegentlichen Transaktionen abgegrenzt und miteinander verbundene Vorgänge erkannt werden sollen. Damit sollen die Schwellenwerte für Kundensorgfaltspflichten unionsweit konsistent angewendet werden. Unternehmen sollten ihre Regeln zur Erkennung zusammengehörender Transaktionen prüfen und Parametrisierung, Tests, Freigaben sowie Änderungen für Aufsicht und Revision reproduzierbar dokumentieren. (Vgl. AMLA, Final Report zum RTS-Entwurf nach Artikel 19 Absatz 9 AMLR.)
3. Gruppenweite Governance
Der Gruppen-RTS-Entwurf konkretisiert Mindestanforderungen an Governance, Risikomanagement, interne Kontrollen und sicheren Informationsaustausch. Erfasst sind auch zusätzliche Maßnahmen für Tochterunternehmen und Zweigniederlassungen in Drittländern. Hindert das Recht eines Drittlands die gruppenweite Umsetzung, muss die Gruppe das Hindernis erfassen, bewerten, eskalieren und mit geeigneten Maßnahmen beantworten. Die Geschäftsleitung sollte dafür Verantwortlichkeiten, Entscheidungswege, Datenschutzgrundlagen und Zugriffsrechte festlegen. (Vgl. AMLA, Final Report zum RTS-Entwurf nach Artikel 16 Absatz 4 und Artikel 17 Absatz 3 AMLR.)
Was Aufsicht und Revision prüfen dürften
Entscheidend ist nicht allein, ob Richtlinien vorhanden sind, sondern ob Kontrollen wirksam und Entscheidungen nachvollziehbar sind. Typische Schwachstellen sind unklare Datenherkünfte, unbegründete risikobasierte Abweichungen, ungetestete Verknüpfungslogiken und nicht dokumentierte Drittlandhindernisse.
Unternehmen sollten insbesondere folgende Fragen beantworten können:
- Sind Herkunft, Aktualität und Verifikation der KYC-Daten nachvollziehbar?
- Sind Fernidentifizierungsverfahren und Transaktionslogiken freigegeben, getestet und regelmäßig kontrolliert?
- Besteht für gruppenweite Informationen ein abgestimmtes Rollen-, Zugriffs- und Datenschutzkonzept?
- Sind Drittlandhindernisse, Geschäftsleitungsentscheidungen und Mängelbeseitigung vollständig dokumentiert?
Drei Prioritäten für die Umsetzung
1. Betroffenheit und Lücken bestimmen
Verpflichteteneigenschaft, Gruppen- und Drittlandbezug klären und bestehende Verfahren mit den Final Reports abgleichen.
2. Verbindlichen Wortlaut umsetzen
Nach der Veröffentlichung die Richtlinien, Systeme, Verträge und Datenschutzdokumentation anpassen.
3. Wirksamkeit nachweisen
Verfahren testen, Kontrollnachweise erstellen, Mitarbeitende schulen und die Interne Revision risikoorientiert einbinden.
Fazit
Die AMLA-Final-Reports setzen eine klare Richtung: Entscheidend werden konsistente Daten, nachvollziehbare Systemlogiken und eine wirksame gruppenweite Steuerung. Wer jetzt eine fokussierte Gap-Analyse startet, kann offene Rechtsfragen kennzeichnen und nach Veröffentlichung der verbindlichen Anforderungen zügig nachsteuern.
Fragen zu den AMLA-Final-Reports?
Sie möchten prüfen, welche Auswirkungen die AMLA-Final-Reports auf Ihre KYC-Prozesse, Transaktionsüberwachung oder gruppenweite Governance haben? Gerne unterstützen wir Sie bei der Analyse von Handlungsbedarfen und der Vorbereitung auf die kommenden Anforderungen.
Dr. Jur. A. Dominik Brückel
Rechtsanwalt, Fachanwalt für Bank- und Kapitalmarktrecht
+49 69 69783295