Die AMLA hat am 30. September 2026 den finalen Bericht zu den technischen Regulierungsstandards (RTS) nach Art. 28 Abs. 1 AMLR vorgelegt, die festlegen, welche Informationen Verpflichtete im Rahmen der Kundensorgfalt erheben und verifizieren müssen. Gegenüber dem Konsultationsentwurf vom Februar ist der Text von 33 auf 29 Artikel gekürzt und deutlich flexibler gefasst worden. Die Kommission muss die RTS noch annehmen, danach sollen sie sechs Monate nach Inkrafttreten gelten.
Inhaltsverzeichnis
Konsultationsentwurf als Ausgangspunkt
Zum Entwurf gingen 325 Stellungnahmen ein, in denen unter anderem zu starre Informationslisten, die Bevorzugung automatisierter Screening-Tools und Regelungen kritisiert wurden, die lediglich die AMLR wiederholen. Die AMLA hat viele dieser Punkte aufgegriffen, konnte aber keine Ausnahmen von der AMLR schaffen. Deshalb bleiben die Update-Fristen nach Art. 26 AMLR mit einem Jahr für Kunden mit höherem Risiko und fünf Jahren für alle übrigen Kunden unverändert, gerechnet ab Inkrafttreten der RTS. Ebenso lehnte die AMLA eine automatische vereinfachte Sorgfalt für bestimmte Sektoren ab und erteilte auch einem generell risikobasierten Ansatz beim Sanktionsscreening eine Absage.
Die wichtigsten Änderungen der RTS
Risikobasierter Grundton: Aus den Pflichtlisten des Entwurfs, die jeweils die Erhebung von mindestens einer der genannten Informationen verlangten, sind Kann-Listen geworden, etwa beim Zweck der Geschäftsbeziehung und bei den verstärkten Sorgfaltspflichten. Laut dem Factsheet der AMLA sollen die Angaben zu Zweck und Art der Geschäftsbeziehung ausdrücklich nicht als Checkliste abgearbeitet werden, sondern nur so weit, wie es das konkrete Risiko erfordert. Art. 1 nennt vereinfachte Sorgfaltspflichten bei niedrigem Risiko zudem jetzt ausdrücklich, und Informationen, die dem Institut oder der Gruppe bereits vorliegen, sind bei der Bewertung zu berücksichtigen.
Vereinfachte Sorgfaltspflichten: Bei niedrigem Risiko dürfen Zweck und Art der Geschäftsbeziehung nun aus Kundenprofil, Produkt oder bisherigen Transaktionen abgeleitet werden, und die Mindestangaben dazu umfassen Verwendungszweck, erwarteten Transaktionswert und Geschäftstätigkeit des Kunden, während die Mittelherkunft nicht mehr zum Minimum gehört. Auch bei der Identifizierung des wirtschaftlichen Berechtigten ist aus der Pflicht, eine der genannten Quellen heranzuziehen, eine Möglichkeit geworden, und für die Verifizierung kann nun auch das Unternehmensregister genutzt werden, sofern es nicht schon zur Identifizierung gedient hat.
Remote-Onboarding und Identifikation: Beim Remote-Onboarding bleiben eID und qualifizierte Vertrauensdienste der Regelweg, was der Entwurf im Kern schon vorsah und nun klarer gefasst ist. Alternative Verfahren sind nur zulässig, wenn der Kunde weder persönlich vorsprechen noch eID oder qualifizierte Vertrauensdienste nutzen kann, und müssen gegenüber der Aufsicht begründet werden. Bestehende Remote-Onboarding-Tools dürfen weiterlaufen, sofern sie die Mindestanforderungen aus Art. 7 erfüllen. Bei Geburtsort, Staatsangehörigkeiten und Handelsnamen räumt der finale Text zudem mehr Flexibilität ein, sodass bei mehreren Staatsangehörigkeiten die Verifizierung einer genügt.
Eigentümerstrukturen: Die starre Definition der „komplexen Struktur“, die ab drei Ebenen und weiteren Kriterien automatisch zusätzliche Maßnahmen auslöste, ist gestrichen. Art. 11 und 12 wurden zusammengeführt, und Komplexität dient nun lediglich als Indikator, der sich etwa an der Zahl der Ebenen, an Rechtsgestaltungen wie Trusts, Hochrisikojurisdiktionen und Nominees festmacht. Der separate Artikel zu Senior Managing Officials entfällt, wobei die Erhebung der Sitzadresse statt der Wohnadresse weiterhin möglich bleibt.
PEP- und Sanktionsscreening: Manuelle Prüfungen stehen nun gleichberechtigt neben automatisierten Tools, solange das gewählte Vorgehen wirksam ist und zu Größe, Geschäftsmodell und Risiken des Instituts passt. Die früheren Art. 29 und 30 wurden in Art. 25 zusammengeführt, und die Anlässe für ein Re-Screening, etwa bei Datenänderungen oder neuen Listungen, wurden präzisiert.
Fonds und Poolkonten: Die Pflicht des Intermediärs, Fondsgesellschaften Endanlegerdaten ohne Verzug zu liefern, entfällt, sodass ein Look-through nicht verlangt wird. Voraussetzung bleibt ein nicht hohes Risiko in der Beziehung zum Intermediär. Die Sonderregel für Poolkonten wurde gestrichen, weil die AMLA sie besser über Guidelines regeln will.
Folgen für den Finanzsektor
Weniger Detailtiefe bedeutet nicht weniger Aufwand, denn die Remediation der Bestandskunden bleibt bestehen, und in der Kostenumfrage erwarteten 40,7 % der Finanzinstitute mit begründeter Einschätzung disruptive Einmalkosten, während 37,0 % sie für beherrschbar hielten. Gleichzeitig verlagert die Flexibilität Verantwortung auf die Institute, die Umfang der Datenerhebung, Screening-Methode und Bewertung von Eigentümerstrukturen künftig selbst begründen und gegenüber der Aufsicht belegen müssen.
Was sollten Institute jetzt prüfen?
- Sind die bestehenden Remote-Onboarding-Verfahren so dokumentiert, dass ihr Einsatz neben eID begründet werden kann?
- Ist das Screening-Setup an Größe, Geschäftsmodell und Risiko ausgerichtet, und sind die Re-Screening-Trigger definiert?
- Wie wird die Komplexität von Eigentümerstrukturen bewertet und festgehalten?
- Werden vorhandene Konzerninformationen genutzt, um Doppelabfragen beim Kunden zu vermeiden?
- Ist die Bestandskundenremediation auf die Fristen aus Art. 26 AMLR ausgerichtet?
Fazit und Ausblick
Die finalen RTS sind pragmatischer als der Konsultationsentwurf, lassen die konkreten Vorgaben der AMLR aber unberührt, sodass der Spielraum vor allem bei der Ausgestaltung liegt. Offen ist, wie die Aufsicht diese Spielräume in der Praxis auslegt, wobei die AMLA weitere Guidance bereits in Aussicht gestellt hat. Institute sollten ihre Gap-Analyse deshalb schon jetzt am finalen Text ausrichten, damit nach der Annahme durch die Kommission nur noch die Feinjustierung bleibt.
