Compliance as a Service

Ein Compliance-Dienstleister übernimmt festgelegte Schritte der Arbeit, die Geldwäsche- und Aufsichtsrecht einem beaufsichtigten Unternehmen zuweisen. Typisch sind die Identitätsprüfung beim Onboarding, oft per VideoIdent-Verfahren oder per Foto des Ausweises, und der Abgleich von Kunden und Zahlungen mit Sanktions- und PEP-Listen. Viele Anbieter sichten auch die Treffer, die ein Transaktionsmonitoring meldet, und schließen offensichtliche Fehlalarme.

Manche Anbieter stellen für kleine Unternehmen den externen Geldwäschebeauftragten oder bereiten Meldungen an die Aufsicht vor. Identifizierungsanbieter verkaufen einzelne Prüfungen per API, während Gruppen wie Ephelia neben Lizenzen und Kernbankensystem eine Compliance-Einheit für Onboarding, Monitoring und Meldewesen betreiben. Wer Software lizenziert und mit eigenen Mitarbeitern betreibt, kauft RegTech ein, und das ist etwas anderes als die Abgabe der Arbeit selbst.

Nach § 6 Abs. 7 Geldwäschegesetz (GwG) darf ein Verpflichteter seine internen Sicherungsmaßnahmen vertraglich durch einen Dritten durchführen lassen, wenn er dies vorher der Aufsichtsbehörde angezeigt hat. Zu den Sicherungsmaßnahmen nach § 6 Abs. 2 GwG gehören die internen Grundsätze und Kontrollen, die Bestellung des Geldwäschebeauftragten und die Schulung der Mitarbeiter. Die Aufsicht kann die Übertragung untersagen, wenn der Dritte keine Gewähr für eine ordnungsgemäße Durchführung bietet oder die Steuerung durch Unternehmen oder Aufsicht leidet, und die Verantwortung bleibt beim Verpflichteten.

Kredit- und Finanzdienstleistungsinstitute folgen demselben Muster nach § 25h Abs. 4 Kreditwesengesetz (KWG), und die BaFin kann die Rückübertragung einer ausgelagerten Maßnahme verlangen. Für die Sorgfaltspflichten erlaubt § 17 GwG, auf bestimmte Dritte zurückzugreifen oder die Prüfungen vertraglich zu übertragen, und auch dann bleibt die Verantwortung beim Unternehmen. Ein externer Geldwäschebeauftragter muss seine Tätigkeit im Inland ausüben, und das Unternehmen zeigt die Bestellung der Aufsicht vorab an, wie § 7 GwG es verlangt.

Deutsche Banken haben zwei Compliance-Rollen, die leicht verwechselt werden: den Geldwäschebeauftragten nach GwG und die Compliance-Funktion nach MaRisk, die über die übrigen rechtlichen Pflichten der Bank wacht. Das BaFin-Rundschreiben zu den Mindestanforderungen an das Risikomanagement zählt die Compliance-Funktion zu den besonderen Funktionen, und sein Modul AT 9 setzt für deren Auslagerung strengere Maßstäbe.

Vollständig auslagern dürfen die Compliance-Funktion nur Tochterinstitute einer Gruppe, die weder für den nationalen Finanzsektor noch in der Gruppe wesentlich sind, und kleine Institute, zu deren Größe und Geschäft eine eigene Funktion nicht passt. Andere Banken dürfen Teile auslagern, solange sie das Wissen zur Überwachung des Dienstleisters behalten und die Arbeit bei Vertragsende fortführen können. Die Leitungsaufgaben der Geschäftsleitung sind nicht auslagerbar, und die Auslagerungsregeln für Banken verlangen eine Risikoanalyse, die über die Wesentlichkeit entscheidet.

Ab dem 10. Juli 2027 setzt Artikel 18 der EU-Geldwäscheverordnung (AMLR) eine einheitliche Auslagerungsregel für alle Verpflichteten in der EU. Ein Unternehmen darf Aufgaben nach Anzeige bei der Aufsicht an einen Dienstleister auslagern, haftet aber voll für jedes Tun oder Unterlassen des Dienstleisters und muss erklären können, wie jede ausgelagerte Aufgabe seine Risiken mindert. Sechs Aufgaben dürfen nie ausgelagert werden: die unternehmensweite Risikobewertung, die Genehmigung interner Strategien und Kontrollen, das Risikoprofil eines Kunden, die Entscheidung über seine Annahme, Verdachtsmeldungen an die FIU und die Genehmigung der Kriterien für verdächtige Transaktionen.

Der Vertrag muss schriftlich sein, Dienstleister und Unterauftragnehmer wenden die Vorgaben des Unternehmens an, und das Unternehmen kontrolliert ihre Arbeit in Abständen, die zur Bedeutung der Aufgabe passen. Ein Dienstleister in einem Drittland mit hohem Risiko kommt nur innerhalb derselben Gruppe in Frage, und FIU-Meldungen dürfen an eine Gruppengesellschaft im selben Mitgliedstaat gehen. Die EU-Behörde AMLA in Frankfurt muss bis zum 10. Juli 2027 Leitlinien zu Auslagerungen und zu den Erwartungen der Aufsicht an kritische Funktionen herausgeben. Das EU-Geldwäschepaket verlangt zudem einen Compliance-Manager in der Geschäftsleitung und einen Compliance-Beauftragten für das Tagesgeschäft, und eine kleine Gruppengesellschaft mit geringem Risiko darf den Beauftragten einer anderen Gruppengesellschaft mitnutzen.

Die Sanktionsprüfung braucht aktuelle Listen und muss mit Zahlungen Schritt halten, die in Sekunden abgewickelt werden. Seit dem 9. Januar 2025 verlangt die Verordnung (EU) 2024/886 von Zahlungsdienstleistern mit Echtzeitüberweisungen, ihren gesamten Kundenbestand mindestens einmal pro Kalendertag und sofort nach jeder neuen Listung gegen gezielte EU-Finanzsanktionen zu prüfen. Ein Dienstleister kann diesen Abgleich übernehmen, die Pflicht trifft aber den Zahlungsdienstleister, und die Sanktionsregeln in Deutschland binden die kontoführende Bank, gleich wer prüft.

Beim Transaktionsmeldewesen verschiebt das Gesetz einen Teil der Haftung auf den Dienstleister. Nach Artikel 26 Abs. 7 MiFIR haftet eine Wertpapierfirma, die über einen genehmigten Meldemechanismus meldet, nicht für Fehler dieses Mechanismus, muss die Meldungen aber mit angemessenen Schritten prüfen. Die Schweizer Aufsicht schrieb im FINMA-Risikomonitor 2024, dass sich die Verantwortung für eine einwandfreie Geschäftsführung nicht delegieren lässt, und sah Verbesserungsbedarf bei der Erfassung der gesamten Kette von Dienstleistern. Läuft der Dienst als Software oder in der Cloud, steuert das Unternehmen den Anbieter zusätzlich als IKT-Drittdienstleister nach DORA.

Compliance as a Service ist der Einkauf von Compliance-Aufgaben wie Identitätsprüfungen, Sanktionsscreening, Trefferbearbeitung oder Meldungen an die Aufsicht bei einem externen Dienstleister. Das beaufsichtigte Unternehmen behält seine Lizenz und seine rechtliche Verantwortung, während der Dienstleister Software, Analysten oder beides auf Basis eines schriftlichen Vertrags liefert. Außerhalb der Finanzbranche bezeichnet der Begriff auch IT-Dienstleister, die Sicherheitszertifizierungen und Audits für ihre Kunden betreuen.

Ja, das deutsche Recht zählt die Bestellung des Geldwäschebeauftragten zu den internen Sicherungsmaßnahmen, die ein Unternehmen nach Anzeige gemäß § 6 Abs. 7 GwG durch einen Dritten durchführen lassen darf. Der externe Geldwäschebeauftragte muss im Inland tätig sein, und die Verantwortung bleibt beim Unternehmen. Ab Juli 2027 meldet nach der AMLR der Compliance-Beauftragte Verdachtsfälle an die FIU, und diese Meldung bleibt im Unternehmen oder in der Gruppe, daher entscheiden die AMLA-Leitlinien über die Rolle externer Beauftragter.

Ja, ein Dienstleister kann die Schritte von KYC in Deutschland übernehmen, etwa die Identifizierung des Kunden, die Ermittlung des wirtschaftlich Berechtigten und das Einholen von Unterlagen. Nach der AMLR bleiben das Risikoprofil und die Entscheidung über die Annahme des Kunden beim Unternehmen, das voll für die Prüfungen seines Dienstleisters haftet.

RegTech ist Software wie eine Screening-Engine oder ein Meldewesen-Tool, die ein Unternehmen lizenziert und mit seinem eigenen Compliance-Team betreibt. Bei Compliance as a Service führt der Dienstleister auch den Prozess durch, und das Unternehmen kauft ein Ergebnis wie eine fertige Identitätsprüfung oder einen bearbeiteten Treffer. Für beide Modelle gelten dieselben EU-Regeln von der AMLR bis DORA, die auch RegTech in Europa prägen.

Gegenüber der Aufsicht haftet das beaufsichtigte Unternehmen, weil GwG, KWG und Artikel 18 AMLR die Verantwortung auch dann beim Unternehmen lassen, wenn der Dienstleister den Fehler gemacht hat. Ein Rückgriff auf den Dienstleister hängt vom Vertrag ab, während sich Bußgelder und Maßnahmen der Aufsicht an das Unternehmen richten. Die wichtigste Ausnahme sind Transaktionsmeldungen nach MiFIR, denn für Fehler eines genehmigten Meldemechanismus ist dieser Mechanismus selbst verantwortlich.