Das Bundesministerium für Finanzen (BMF) hat am 18.04.2024 den Entwurf einer Verordnung zur geldwäscherechtlichen Identifizierung durch Videoidentifizierung (Geldwäschevideoidentifizierungsverordnung – GwVideoIdentV) veröffentlicht („GwVideoIdentV-E“).
Table of Contents
Hintergrund
Schaffung einer Rechtsgrundlage für den Einsatz des Videoidentifizierungsverfahrens
Mit dem vom BMF vorgestellten Entwurf soll das bisher allein aufgrund der Verwaltungspraxis von der BaFin akzeptierte und geregelte Videoidentifizierungsverfahren auf eine gesetzliche Grundlage gestellt werden. Grundlage ist die Verordnungsermächtigung in § 13 Abs. 2 GwG, die erst mit Änderung des GwG vom 23.06.2017 in das GwG eingefügt worden war und bis dato ungenutzt blieb. Das BMF stellt dabei fest, dass das Videoidentifizierungsverfahren ein etabliertes Verfahren darstellt, das als „Brückentechnologie“ bis zur flächendeckenden Einführung von (teil-)automatisierten Verfahren eine flächendeckende Fernidentifizierung ermögliche.
Definition technischer Anforderungen
Die Anforderungen, die Anbieter von Videoidentifizierungsverfahren zu beachten haben, ergeben sich bislang insbesondere auf dem Rundschreiben RS 3/2017 (GW) („Rundschreiben Videoidentifizierung“), das die BaFin am 10. April 2017 veröffentlicht hatte. Seitdem war das Videoidentverfahren – insbesondere aufgrund einer medienwirksamen Aktion des Chaos Computer Clubs – in die Kritik geraten. Die gematik hatte für den Gesundheitssektor daher die Nutzung des Videoidentifizierungsverfahrens zunächst untersagt.
Inhalt des Entwurfs
Konkretisierung der Anforderungen an Videoidentifizierungsverfahren
Der Entwurf definiert nun auf gesetzlicher Ebene Standards für Videoidentifizierungsverfahren, die zu erfüllen sind, wenn das Videoidentifizierungsverfahren zur Erfüllung der geldwäscherechtlichen Sorgfaltspflichten nach den §§ 11-13 GwG genutzt werden soll. Dabei gilt für das betreffende Verfahren eine gesetzliche Vermutung der Eignung zur Identifizierung, wenn die Anforderungen erfüllt sind (§ 13 Abs. 2 Nr. 2 GwG).
Der Entwurf zielt dabei darauf ab, die bisherigen Regelungen des bisherigen Rundschreibens Videoidentifizierung in eine für alle Verpflichteten „unter Berücksichtigung aktueller sicherheitsspezifischer Erkenntnisse“ geltende Verordnung zu überführen. Als Orientierung zum Hintergrund der „aktuellen sicherheitsspezifischen Erkenntnisse“ bietet sich dabei das vom BSI in Kooperation mit der französischen Agence nationale de la sécurité des systèmes d’information Secrétariat général de la défense et de la sécurité nationale (ANSSI) veröffentlichte „Joint Release“ Remote Identity Proofing an, das die wesentlichen Angriffsfelder sowie die technischen Schutzmaßnahmen beschreibt.
Im Gegensatz zum bisherigen Rundschreiben Videoidentifizierung der BaFin unterteilt der Verordnungsentwurf Videoidentifizierungsverfahren nun in ein „einfaches“ Videoidentifizierungsverfahren und ein teilautomatisiertes Videoidentifizierungsverfahren. Teilautomatisiert sind dabei Videoidentifizierungsverfahren, bei denen Teilschritte IT-basiert erfolgen (§ 2 Abs. 2 GwVideoIdentV-E). Neu vorgesehen ist auch, dass Verpflichtete, die eine Fernidentifizierung per Videoidentifizierungsverfahren ermöglichen möchten, für jeden Identifizierungsvorgang auch „ein Verfahren zur Überprüfung eines elektronischen Identitätsnachweises nach § 18 des Personalausweisgesetzes, nach § 12 des eID-Karte-Gesetzes oder nach § 78 Absatz 5 des Aufenthaltsgesetzes” anbieten (§ 5 Abs. 2 GwVideoIdentV-E).
Rechtsgrundlage zur Erprobung vollautomatisierter Verfahren
Daneben enthält der Verordnungsentwurf in § 17 GwVideoIdentV-E die Grundlage zur Erprobung vollautomatisierter Verfahren. In dem Erprobungsverfahren soll ermittelt werden, ob das vollautomatisierte Verfahren „ein Sicherheitsniveau aufweist, das dem nicht-automatisierten Videoidentifizierungsverfahren gleichwertig ist“ (§ 17 Abs. 1 S. 2 GwVideoIdentV-E). Im Anwendungsbereich können alleine Kreditinstitute oder inländische Zweigstellen oder Zweigniederlassungen ausländischer Institute (§ 2 Abs. 1 Nr. 1 GwG) oder von solchen Verpflichteten beauftragte Dritte eine solche Erprobung durchführen (§ 17 Abs. 1 S. 3 GwVideoIdentV-E).
Eine Erprobung setzt zunächst voraus, dass das BSI in einer summarischen Prüfung bestätigt, dass ein vergleichbares Sicherheitsniveau nicht ausgeschlossen ist (§ 17 Abs. 2 S. 1 (§ 17 Abs. 1 S. 2 GwVideoIdentV-E). Daneben darf ein solches vollautomatisiertes Verfahren in Erprobung nicht zur Identifizierung von Hochrisikokunden (§ 15 Abs. 2 GwG) genutzt werden.
Kritik am Entwurf
Während der Konsultationsphase wurden von verschiedener Seite Kritik am Entwurf geäußert. Kritisiert wurde etwa, dass die zuständigen Aufsichtsbehörden als „opt-out“ die Anwendung für Verpflichtete unter ihrer Aufsicht das Videoidentifizierungsverfahren ausschließen können sollen (§ 5 Abs. 1 GwVideoIdentV-E). Kritisieren lässt sich etwa auch, dass eine Identifizierung mittels Videoidentifizierungsverfahren dann nicht mehr zulässig sein soll, wenn die Identifizierung abgebrochen werden musste (§ 13 Abs. 2 GwVideoIdentV-E). Ein solcher Abbruch soll etwa dann vorgenommen werden müssen, wenn eine visuelle Prüfung in Übereinstimmung mit den Vorgaben der GwVideoIdentV-E nicht möglich ist, etwa wegen unzureichender Lichtverhältnisse oder „unzureichender sprachlicher Kommunikation mit der zu identifizierenden Person“ (§ 13 Abs. 1 S. 2 Nr. 1, 4 GwVideoIdentV-E). Warum das Videoidentifizierungsverfahren dann nicht mehr zulässig sein soll, wenn die Hindernisse beseitigt sind (etwa: Wechsel in einen anderen Raum) erschließt sich nicht.
Weiteres Verfahren
Das BMF wertet nun die eingegangenen Stellungnahmen aus und wird gegebenenfalls den Verordnungsentwurf anpassen. Nach Verabschiedung und Veröffentlichung im Bundesgesetzblatt wird die Verordnung dann am ersten Tag des auf die Verkündung folgenden Quartals gelten.
Welche Auswirkungen hat der Entwurf für die Verpflichteten?
Während die technischen Anforderungen vor allem die technischen Dienstleister betreffen, die Videoidentifizierungsverfahren anbieten, wird für Verpflichtete insbesondere das obligatorische Angebot von alternativen Identifizierungsverfahren relevant. Obwohl gerade das Verfahren der Identifizierung mittels des elektronischen Personalausweises seit Jahren als hochsicher und theoretisch flächendeckend verfügbar gilt, wird das Verfahren in der Praxis nur sporadisch als Identifizierungsverfahren eingesetzt. Insofern könnte die „halbzwingende“ Einführung möglicherweise durchaus zu einer umfassenderen Verbreitung führen. Für Verpflichtete dürften dabei die vergleichsweise günstige Identifizierung bzw. die standartisierte Datenbasis interessant sein.
