Firmenkunden prüfen: Existenz, Eigentümer, Vertretung

Das Geldwäschegesetz behandelt eine juristische Person als Vertragspartner, dessen Identität vor Beginn der Beziehung festzustellen ist, dieselbe Pflicht wie bei einer natürlichen Person, nur mit anderen Daten. Für ein Unternehmen heißt das: Firma, Rechtsform, Registernummer, Anschrift des Sitzes und die Namen der gesetzlichen Vertreter, geprüft anhand einer Quelle, die das Gesetz zulässt, üblicherweise ein Auszug aus dem Handelsregister oder einem vergleichbaren Register oder ein verlässliches Verzeichnis.

Danach geht die Pflicht weiter als bei einer Person: Der Verpflichtete hat festzustellen, ob der Vertragspartner einen wirtschaftlich Berechtigten hat, und ihn gegebenenfalls zu identifizieren. Mit diesem zweiten Schritt endet die Dokumentenprüfung. KYC in Deutschland behandelt die Seite der natürlichen Person, Geldwäscheprävention in Deutschland den Rahmen, und die BaFin ist für beides die deutsche Aufsicht.

§ 3 GwG legt fest, wer gemeint ist. Bei einer nicht börsennotierten Gesellschaft ist wirtschaftlich Berechtigter jede natürliche Person, die unmittelbar oder mittelbar mehr als 25 Prozent der Kapitalanteile hält oder mehr als 25 Prozent der Stimmrechte kontrolliert. Das ist der rechnerische Teil, und den erledigt Software.

Dieselbe Vorschrift ergänzt einen dritten Weg, den Software nicht erledigt: Kontrolle auf vergleichbare Weise, die eine natürliche Person erfasst, die unmittelbar oder mittelbar beherrschenden Einfluss auf die Gesellschaft ausüben kann, mit dem Maßstab aus der handelsrechtlichen Definition des beherrschenden Einflusses. Bei Trusts und Stiftungen reicht die Definition bis zu einer Person mit beherrschendem Einfluss auf die Vermögensverwaltung oder die Ertragsverteilung. Wichtig ist dies: Eine Person ohne jeden Anteil kann wirtschaftlich Berechtigter sein, über eine Stimmbindung, ein Vetorecht oder eine Finanzierungsabrede, und keine Prozentrechnung bringt sie zum Vorschein. Darum gibt es den zweigliedrigen Test, und darum braucht die Kontrollvariante einen Menschen, der die Unterlagen liest.

Deutschland führt ein zentrales Register der wirtschaftlich Berechtigten, das Transparenzregister. Nach § 20 GwG haben juristische Personen des Privatrechts und eingetragene Personengesellschaften die Angaben zu ihren wirtschaftlich Berechtigten einzuholen, aufzubewahren und der registerführenden Stelle unverzüglich elektronisch zu melden, und die wirtschaftlich Berechtigten selbst müssen ihrer Vereinigung die nötigen Angaben mitteilen und Änderungen unverzüglich anzeigen.

Die Stelle, an der Banken stolpern, ist § 23a GwG. Ein Verpflichteter, der das Register einsieht, hat der registerführenden Stelle eine Unstimmigkeit zu melden, wenn Eintragungen fehlen, wenn einzelne Angaben zu den wirtschaftlich Berechtigten von seinem eigenen Befund abweichen oder wenn er abweichende wirtschaftlich Berechtigte ermittelt hat. Aufsichtsbehörden und die Financial Intelligence Unit melden ebenso. Die registerführende Stelle muss auf der Website deutlich sichtbar eine Vorkehrung für solche Meldungen bereitstellen, muss sie unverzüglich prüfen und darf beim Meldenden oder bei der betroffenen Vereinigung nachfragen. Eine Unstimmigkeit ist also kein interner Vermerk, sondern eine Meldung nach außen, und ein KYB-Prozess braucht dafür einen Weg.

Ist die Gesellschafterin Ihres Kunden selbst eine Gesellschaft, ist noch nichts geklärt, denn ein wirtschaftlich Berechtigter ist definitionsgemäß eine natürliche Person. Die Kette muss nach oben abgeschritten werden, bis natürliche Personen auftauchen, und die Prozente multiplizieren sich dabei. Eine Beteiligung von 40 Prozent an einer Gesellschaft, die 50 Prozent Ihres Kunden hält, ergibt 20 Prozent und fällt unter die Schwelle des Anteilswegs, und genau dann hängt alles an der Kontrollfrage.

Die Schrittfolge in der Darstellung von Binderr zu KYB für Banken lautet rechtliche Existenz, Registerauszug, Beteiligungskette, Kontrollstruktur, Screening, und das Abschreiten der Kette verbraucht die Zeit. Strukturen über mehrere Rechtsordnungen, Treuhandverhältnisse und Register unterschiedlicher Güte sind der Normalfall, nicht die Ausnahme, und das EU-Geldwäschepaket behandelt komplexe Strukturen ausdrücklich. Das Screening der gefundenen Namen ist eine eigene Kontrolle und steht auf Sanktions-Compliance in Deutschland.

Das gehört zweimal gesagt, denn hier fallen Akten in der Prüfung durch. Die Beschreibung von Unit21 zu Know Your Business legt den zweigliedrigen Test dar, Anteilsquote und Kontrolle, samt den Daten, die je Eigentümer zu erheben sind. Die Kontrollvariante ist die, die ein Fragebogen verpasst, denn die Person, die sie erfasst, steht in keiner Gesellschafterliste.

Gefunden wird sie in den Unterlagen um die Struktur: Gesellschaftervereinbarung, Satzung, Finanzierungsverträge, Organbestellungen. Das ist Arbeit für jemanden, der liest, und dieser Teil lässt sich nicht wegautomatisieren, so gut die Registeranbindung auch ist. RegTech in Deutschland behandelt die Werkzeuge für die Teile, die sich automatisieren lassen.

Die Eigentümerschaft eines Unternehmens ändert sich, ohne dass eine Pflicht bestünde, die Bank zu informieren. Eine Anteilsübertragung, eine neue Holdingstruktur, ein Todesfall in einem Familienunternehmen: Die Akte, die Sie vor zwei Jahren geprüft haben, beschreibt ein Unternehmen, das in dieser Form nicht mehr besteht, und in Ihren Systemen hat sich nichts geändert. Der Glossareintrag von Fourthline zu KYB macht dieses Veralten zum Unterschied gegenüber KYC, wo die Identität einer Person wenigstens dieselbe Person bleibt.

Die Antwort ist die laufende Überwachung, und sie ist Pflicht und keine Höflichkeit: Der Verpflichtete hat die Angaben über die Dauer der Beziehung aktuell zu halten. Betrieblich heißt das ein risikoorientierter Prüfzyklus, dazu Auslöser, die eine erneute Prüfung erzwingen, wenn sich etwas Beobachtbares ändert, und eine Beobachtung der Registereinträge der Einheiten, von denen Sie abhängen. Das EU-Geldwäschepaket und die BaFin behandeln die Überwachung als laufende Pflicht und nicht als eine periodische.

Die Pflichten sind dieselben, und sie kommen aus dem Geldwäscherecht und nicht aus MiCA, die Zulassung und Verhalten regelt und kein eigenes Prüfverfahren mitbringt. Ein Kryptodienstleister, der einen Firmenkunden aufnimmt, stellt also rechtliche Existenz, wirtschaftlich Berechtigte und Vertretungsmacht genauso fest wie eine Bank.

Anders ist der typische Kunde. Strukturen sind jünger, häufiger grenzüberschreitend, halten Vermögen häufiger in Formen, die ein Registerauszug nicht erwähnt, und ein Firmenkunde, dessen Geschäft selbst Krypto ist, bringt eigene Pflichten auf der Transferseite mit. Die CASP-Zulassung behandelt die Erlaubnis, Krypto-AML die Transferregeln.

Jede Ebene einer Beteiligungskette ist eine Rechtseinheit, die einen stabilen Namen braucht, und ein 20-stelliger Code erledigt das besser als ein Firmenname in vier Schreibweisen. Die LEI-Nummer behandelt den Code, seine Vergabe und die Folgen eines abgelaufenen Datensatzes.

Die prüfbare Form der Kennung reicht in die dritte Frage dieser Seite. Rollennachweise binden eine namentliche Person an die Einheit, und das ist das Problem „wer darf handeln", das ein Registerauszug nur für den Tag seines Abrufs beantwortet.

Festzustellen, dass ein Firmenkunde eine echte Rechtseinheit ist, die natürlichen Personen zu identifizieren, die ihn letztlich besitzen oder kontrollieren, und zu bestätigen, dass die handelnde Person dazu befugt ist. In Deutschland folgt die Pflicht aus dem GwG, und die Belege sind ein Registerauszug oder eine vergleichbare Quelle, dazu die Unterlagen, die Beteiligungs- und Kontrollstruktur auflösen.

Der Kunde. KYC identifiziert eine natürliche Person gegen ein Dokument. KYB identifiziert eine Rechtseinheit und muss dann durch sie hindurch zu den natürlichen Personen dahinter und zur befugten Person greifen. Der zweite Unterschied ist die Zeit: Die Identität einer Person bleibt stabil, die Eigentümerschaft eines Unternehmens kann sich unangekündigt ändern, sodass eine KYB-Akte von allein veraltet.

Nach § 3 GwG ist eine natürliche Person, die mehr als 25 Prozent der Kapitalanteile hält oder mehr als 25 Prozent der Stimmrechte einer nicht börsennotierten Gesellschaft kontrolliert, wirtschaftlich Berechtigter. Das ist einer von zwei Wegen: Dieselbe Vorschrift erfasst auch eine Person, die auf vergleichbare Weise Kontrolle ausübt und möglicherweise keinen Anteil hält.

Wenn sie das Transparenzregister einsieht und feststellt, dass erforderliche Eintragungen fehlen, dass einzelne Angaben zu den wirtschaftlich Berechtigten von ihrem eigenen Befund abweichen oder dass sie abweichende wirtschaftlich Berechtigte ermittelt hat. § 23a GwG richtet die Meldung an die registerführende Stelle, die sie unverzüglich prüfen muss und nachfragen darf.