# waldvorlauternormen > waldvorlauternormen ist ein Blog zu Regulatorik, AML und Aufsichtsthemen, Real Estate, Gesellschaftsrecht und IT Public Ghost content for AI and LLM tooling. This file includes a bounded export of public pages first, then recent public posts. Append `.md` to any post or page URL to get the content in Markdown (for example, `/example-post.md`). ## Pages ### Über den Blog URL: https://www.waldvorlauternormen.com/about/ Last updated: 2026-02-06T13:39:37.000Z waldvorlauternormen ist ein Blog zu Finanzregulatorik und verbundenen Themen. Mehrmals im Monat finden sich hier Veröffentlichungen zu neuen Gesetzen, Verordnungen, Gerichtsentscheidungen und Mitteilungen der Aufsichtsbehörden. ### Newsletter Sie möchten die Beiträge einmal im Monat zusammengefasst in ihrem Postfach? Hier gehts zur Newsletter Anmeldung. ### Autoren Wir sind: Rechtsanwälte und Rechtsanwältinnen, wissenschaftliche Mitarbeiter, Referendarinnen und Referendare. ### Feedback Wir freuen uns über Hinweise und Anregungen. ### Impressum URL: https://www.waldvorlauternormen.com/impressum/ Last updated: 2026-05-11T13:35:20.000Z Dieser Blog ist Teil des Internetauftritts von: Waldeck Rechtsanwälte PartmbB **Anschrift:** Eschersheimer Landstraße 14 | TurmCenter 60322 Frankfurt am Main **Partnerschaftsregister:** AG Frankfurt am Main, PR 1456 **Umsatzsteueridentifikationsnummer:** DE 814 001875 Die ausführlichen Pflichtangaben und berufsrechtlichen Regelungen nach dem Digitale-Dienste-Gesetz (DDG) und der Verordnung über Informationspflichten für Dienstleistungserbringer (DL-InfoV) [sind hier abrufbar](https://www.waldeck.eu/impressum?ref=waldvorlauternormen.com). Die Redaktion ist unter folgender Anschrift zu erreichen: Waldeck Rechtsanwälte PartmbB **Redaktion** [waldvorlauternormen.com](http://waldvorlauternormen.com/?ref=waldvorlauternormen.com): RA Till Otto Eschersheimer Landstraße 14 | TurmCenter 60322 Frankfurt am Main Tel. +49 69 90747–0 info@waldeck.eu **Verantwortlich i.S.d. § 18 Abs. 2 MStV:** Till Otto (Herausgeber) Till Otto (Inhaltlich Verantwortlicher i.S.d. § 18 Abs. 2 MStV) ### AML-Verordnung (AMLR) URL: https://www.waldvorlauternormen.com/reihe-aml-verordnung/ Last updated: 2026-06-30T06:55:28.000Z Die Rechtsakte des AML-Pakets, insbesondere der [AMLR](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L%5F202401624&ref=waldvorlauternormen.com), regeln die Vorkehrungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung grundsätzlich neu. Begleitet werden die AMLR und die 6\. Geldwäscherichtlinie durch diverse Level 2- und Level 3-Maßnahmen. In der Beitragsreihe stellen wir die neuen Gesetze, Verordnungen und Leitlinien vor und ordnen ihre Auswirkungen auf Verpflichtete ein. ## 01 [AML-Verordnung: Customer Due DiligenceDie AMLR ordnet die “Sorgfaltsprüfung gegenüber Kunden” umfassend neu. Der Beitrag beschreibt die Änderungen und die Vorschläge eines delegierten Rechtsakts zur Konkretisierung der Anforderungen.![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/icon/wvln-logo-w-semibold-f5d75045-c159-4950-ab10-7559d9494f26.png)waldvorlauternormenTill Otto![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/thumbnail/tco_0815_Create_a_photography_of_a_passport_laying_on_a_table_f655b99f-ef3f-4fc6-aeb5-8c05728cba4a_2-7e9593e8-1cd4-427f-b44a-0d24f617544c.png)](https://www.waldvorlauternormen.com/die-aml-verordnung-customer-due-diligence/) ## 02 [Kontinuierliche Überwachung der Geschäftsbeziehung unter der AMLR: Neue Standards, erkennbare Offenheit für Technologie und der jüngste AMLA-Leitlinien-EntwurfDie kontinuierliche Überwachung der Geschäftsbeziehung bleibt auch unter der AMLR der Dreh- und Angelpunkt der laufenden geldwäscherechtlichen Kundenbewertung. Mit den am 3\. Juni 2026 zur Konsultation gestellten Entwurfs-Leitlinien konkretisiert die AMLA nun diese zentrale Überwachungspflicht.![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/icon/wvln-logo-w-semibold-e7676177-4853-473b-a77d-91436e3c4a93.png)waldvorlauternormenPaul Schultess![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/thumbnail/0_1-bd99bb88-e457-443d-931e-0a3e9383da90.png)](https://www.waldvorlauternormen.com/kontinuierliche-uberwachung-der-geschaftsbeziehung-unter-der-amlr-neue-standards-erkennbare-offenheit-fur-technologie-und-der-jungste-amla-leitlinien-entwurf/) ## 03 [Identifizierung unter der AMLR: Vom Videoident zur eIDNeue Anforderungen an die Kundenidentifizierung beim Onboarding unter der AMLR – und die praktisch hochrelevante Frage nach der Zukunft des verbreiteten Videoident-Verfahrens.![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/icon/wvln-logo-w-semibold-3ce15589-4a4e-4b92-96f8-76ea25fd6bcc.png)waldvorlauternormenSwantje Columbu![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/thumbnail/tco_0815_A_man_making_a_photography_of_an_id_card_with_his_sm_519fa562-fcb2-4c52-b4f3-b4fa39758c7c_1-4f40ea0d-5dff-41d0-ba30-242aff284a82.png)](https://www.waldvorlauternormen.com/identifizierung-unter-der-amlr-vom-videoident-zur-eid/) ### AMLR für Versicherer URL: https://www.waldvorlauternormen.com/amlr-fur-versicherer/ Last updated: 2026-07-17T11:58:20.000Z Die Rechtsakte des AML-Pakets, insbesondere der [AMLR](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L%5F202401624&ref=waldvorlauternormen.com), regeln die Vorkehrungen zur Verhinderung von Geldwäsche und Terrorismusfinanzierung grundsätzlich neu. Begleitet werden die AMLR und die 6\. Geldwäscherichtlinie durch diverse Level 2- und Level 3-Maßnahmen. Die Beitragsreihe stellt die Auswirkungen der Rechtsakte für Versicherer dar. ## 01 [Impact der AMLR im Versicherungssektor: TransaktionsmonitoringAMLR für Versicherer 01: Die Leitlinienentwürfe der AMLA zur kontinuierlichen Überwachung der Geschäftsbeziehung und ihre Auswirkungen auf Versicherungsunternehmen.![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/icon/wvln-logo-w-semibold-10ff1aee-3ed8-426c-b3c7-0265b5430d56.png)waldvorlauternormenPaul Schultess![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/thumbnail/tco_0815_Create_a_photography_of_a_person_seen_from_behind_lo_aeb85e88-91f3-496e-a9cd-8f0ee7ef328e_0-87b6e71b-5598-4d16-9441-a891b41d66c4.png)](https://www.waldvorlauternormen.com/impact-der-amlr-im-versicherungssektor-transaktionsmonitoring/) ## 02 [Impact der AMLR im Versicherungssektor: Ongoing Monitoring als gruppenweite Pflicht?Art. 26 Abs. 1 UAbs. 3 AMLR verpflichtet zur Berücksichtigung von Informationen aus der gesamten Gruppe – einschließlich nicht geldwäscherechtlich verpflichteter Gruppenunternehmen. Für Versicherungskonzerne mit spartengetrennten Bestandssystemen bedeutet das erheblichen Anpassungsbedarf.![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/icon/wvln-logo-w-semibold-2995a46d-e7e0-471d-8185-60f7c62f5a08.png)waldvorlauternormenDr. Paul Schultess![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/thumbnail/tco_0815_Create_a_photography_of_people_in_a_compliance_depar_392f6634-2c71-4da2-b6e1-489f5b42bf65_1-2a753618-9084-4558-bd6e-276c8d553b37.png)](https://www.waldvorlauternormen.com/impact-der-amlr-im-versicherungssektor-ongoing-monitoring-als-gruppenweite-pflicht/) ### Umsetzungsleitfaden MaRisk 06/2026 (BA): Änderungen und Handlungsbedarf URL: https://www.waldvorlauternormen.com/umsetzungsleitfaden-marisk-06-2026-ba-anderungen-und-handlungsbedarf/ Last updated: 2026-08-14T07:51:15.000Z Der vorliegende Umsetzungsleitfaden analysiert die Änderungen der MaRisk 06/2026 (BA) und leitet daraus konkrete Handlungsempfehlungen („Action Points“) ab. Ziel des Leitfadens ist es, eine strukturierte und risikoorientierte Gap-Analyse zu unterstützen und den institutsspezifischen Handlungsbedarf sichtbar zu machen. Er soll die Zuordnung von Verantwortlichkeiten erleichtern, die Priorisierung der Maßnahmen ermöglichen und eine nachvollziehbare Umsetzungsdokumentation vorbereiten. ## Teil 1: Allgemeiner Teil (AT 1 – AT 9) ### AT 1 – Ziel des Rundschreibens AT 1 trägt nun die Überschrift „Ziel des Rundschreibens“ statt „Vorbemerkung“. [§ 25a Abs. 1](https://www.gesetze-im-internet.de/kredwg/%5F%5F25a.html?ref=waldvorlauternormen.com) und [§ 25b KWG](https://www.gesetze-im-internet.de/kredwg/%5F%5F25b.html?ref=waldvorlauternormen.com) bleiben die zentralen Grundlagen; hinzu tritt der ausdrückliche Verweis auf [§ 26c KWG](https://www.gesetze-im-internet.de/kredwg/%5F%5F25b.html?ref=waldvorlauternormen.com) zu ESG-Risiken. Die Anforderungen an das Gruppenrisikomanagement stehen nicht mehr in AT 4.5, sondern vor allem in AT 2.1 Tz. 3 und AT 3.1\. Interne Regelwerke und Verweise sind an die neue Gliederung anzupassen. Operative Einzelpflichten enthält AT 1 nur in begrenztem Umfang. Neu sind vor allem die Größenklassen und die Regelung zum Umgang mit EBA-Leitlinien. Erleichterungen dürfen nur genutzt werden, wenn die Voraussetzungen des jeweiligen Moduls erfüllt und dokumentiert sind. Eine zentrale Übersicht sollte Größenklasse, genutzte Erleichterungen, ESG-Relevanz, einschlägige EBA-Verweise sowie Zuständigkeiten und Abstimmungswege enthalten. Sie bündelt die für Prüfung und Aufsicht erforderlichen Nachweise. **Action Points:** - MaRisk-Umsetzungsmatrix auf Struktur und Begrifflichkeit von AT 1 umstellen. - Organisationsrichtlinien, Risikohandbuch, Compliance-Dokumentation und Revisionsplanung auf geänderte Verweise prüfen. #### ESG-Risiken in Strategie und Risikodokumentation Der Verweis auf [§ 26c KWG](https://www.gesetze-im-internet.de/kredwg/%5F%5F26c.html?ref=waldvorlauternormen.com) unterstreicht die Bedeutung von ESG-Risiken für das Risikomanagement. Sie sind nach ihrer institutsindividuellen Relevanz in Risikoinventur, Risikostrategie, Risikotragfähigkeit, Stresstests, Kreditprozessen, Sicherheitenbewertung und Risikoberichterstattung zu berücksichtigen. Sollte die Relevanz von ESG-Risiken im Institut gering sein, ist dies zu begründen und regelmäßig zu überprüfen. **Action Points:** - ESG-Relevanzanalyse durchführen oder aktualisieren und Ergebnis in Risikoinventur und Risikostrategie übernehmen. - Datenquellen, qualitative Beurteilungskriterien und Verantwortlichkeiten für ESG-Risikotreiber festlegen. #### Einbeziehung der Unternehmenszentrale bei Drittstaatenzweigstellen CRD-Drittstaatenzweigstellen verfügen auf Ebene der deutschen Zweigstelle nach gesellschaftsrechtlichen Maßstäben über kein eigenes Aufsichtsorgan. Um dennoch eine wirksame Überwachungsfunktion über die Leitungs- und Kontrollstrukturen zu gewährleisten, verlangt AT 1 zwingend eine angemessene Einbindung der Unternehmenszentrale. Hierfür muss die Zweigstelle einen strukturierten Prozess zur Einbindung eines entsprechenden Gremiums aufsetzen. Die Zweigstelle bestimmt dabei das zuständige Gremium oder die zuständige Funktion in der Unternehmenszentrale (etwa den Risiko- oder Prüfungsausschuss), welches die Aufsichtspflichten stellvertretend für die lokale Einheit wahrnimmt. **Action Points:** - Zuständiges Gremium (z. B. Risk Committee) oder zuständige Funktion in der Unternehmenszentrale formell festlegen und in das lokale Organisationshandbuch aufnehmen. - Klare Kriterien und Eskalationswege definieren, bei welchen Ereignissen (z. B. Schwellenwertüberschreitungen) die Zentrale zwingend und in welchen Fristen einzubinden ist. - Lückenlose Aufbewahrung und Archivierung von Berichtspaketen, Sitzungsunterlagen, formellen Protokollen der Gremien und einer nachvollziehbaren Maßnahmenverfolgung (Action Tracking) als Nachweis für die Aufsicht und die Interne Revision. #### Umgang mit Verweisen auf EBA-Leitlinien AT 1 Tz. 2 ordnet die MaRisk in den europäischen Aufsichtsrahmen ein. Der Verweis auf die durch CRD VI geänderte CRD IV beschreibt sie als qualitativen Rahmen für Leitungs-, Steuerungs- und Kontrollprozesse, Risikomanagement und ICAAP und damit als Maßstab der aufsichtlichen Beurteilung im SREP. Der Umgang mit den EBA-Leitlinien zu [Stresstests](https://www.eba.europa.eu/documents/10180/2537426/23bc3fd6-8e20-4745-8978-ef84927b9394/Guidelines%20on%20institutions%20stress%20testing%20%28EBA-GL-2018-04%29%5FCOR%5FDE.pdf?ref=waldvorlauternormen.com), [NPE](https://www.eba.europa.eu/activities/single-rulebook/regulatory-activities/credit-risk/guidelines-management-non-performing?ref=waldvorlauternormen.com), [Auslagerungen](https://www.eba.europa.eu/documents/10180/2761380/5546a705-bff2-43eb-b382-e5c7bed3a2bc/EBA%20revised%20Guidelines%20on%20outsourcing%5FDE.pdf?ref=waldvorlauternormen.com), [Kreditvergabe](https://www.eba.europa.eu/sites/default/files/document%5Flibrary/Publications/Guidelines/2020/Guidelines%20on%20loan%20origination%20and%20monitoring/Translations/886677/Final%20Report%20on%20GL%20on%20loan%20origination%20and%20monitoring%5FCOR%5FDE.pdf?ref=waldvorlauternormen.com) und [interne Governance](https://www.eba.europa.eu/sites/default/files/document%5Flibrary/Publications/Guidelines/2021/EBA-GL-2021-05%20Guidelines%20on%20internal%20governance/translations/1021314/GL%20on%20internal%20governance%20under%20CRD%5FDE%20-%20updated.pdf?ref=waldvorlauternormen.com), [Zinsänderungs- und Kreditspreadrisiken im Anlagebuch (IRRBB/CSRBB)](https://www.eba.europa.eu/sites/default/files/document%5Flibrary/Publications/Guidelines/2022/EBA-GL-2022-14%20GL%20on%20IRRBB%20and%20CSRBB/Translations/1052172/GL%20on%20IRRBB%20and%20CSRBB%20%28EBA%20GL%202022%2014%29%5FDE%5FCOR.pdf?ref=waldvorlauternormen.com), [ESG-Risiken und Umwelt-Szenarioanalysen](https://www.eba.europa.eu/sites/default/files/2025-04/fb22982a-d69d-42cc-9d62-1023497ad58a/Guidelines%20on%20the%20management%20of%20ESG%20risks%20%28EBA%20GL%202025%2001%29%5FDE%5FCOR.pdf?ref=waldvorlauternormen.com) wird präzisiert. Darin enthaltene zusätzliche Anforderungen sind nur umzusetzen, wenn die MaRisk auf einen bestimmten Abschnitt innerhalb dieser Leitlinien verweisen. Weiterverweise innerhalb dieses jeweiligen Abschnitts und Verweise auf Anhänge können grundsätzlich unberücksichtigt bleiben. Damit entfällt eine vollständige Parallelprüfung aller genannten EBA-Leitlinien. Die ausdrücklichen Verweise sind jedoch den betroffenen MaRisk-Modulen, internen Regelwerken und verantwortlichen Stellen zuzuordnen. **Action Points:** - Für jede einschlägige EBA-Leitlinie dokumentieren, an welcher Stelle die MaRisk auf einen Abschnitt verweisen, welches interne Regelwerk betroffen ist und wer die Umsetzung verantwortet. - Direkte MaRisk-Verweise auf EBA-Leitlinien kennzeichnen und nur für die bezeichneten Abschnitte eine zusätzliche EBA-Prüfung vorsehen; die Änderungen des MaRisk-Textes unabhängig davon vollständig prüfen. #### Proportionalität und Größenklassen Die MaRisk konkretisieren das Proportionalitätsprinzip durch feste Größenklassen und modulbezogene Erleichterungen. EBA-Verweise dürfen nach den dort genannten Verhältnismäßigkeitskriterien umgesetzt werden. Unabhängig davon sind weitergehende Vorkehrungen zu treffen, wenn dies für ein angemessenes und wirksames Risikomanagement erforderlich ist. Kleine Institute sind kleine und nicht komplexe Institute (SNCI) nach [Art. 4 Abs. 1 Nr. 145 CRR](https://judict.eu/de/hla/32013R0575-X/article-4?ref=waldvorlauternormen.com) sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2\. Als sehr klein gelten Institute und CRD-Drittstaatenzweigstellen mit einer Bilanzsumme von höchstens 1 Mrd. Euro im Vierjahresdurchschnitt; für Factoringinstitute gilt zusätzlich ein Forderungsankaufsvolumen von höchstens 5 Mrd. Euro im Vierjahresdurchschnitt. Die Einstufung eröffnet nur die in den jeweiligen Modulen ausdrücklich vorgesehenen Erleichterungen. Deren Voraussetzungen sind gesondert zu prüfen. Sehr kleine Institute können die Erleichterungen für kleine Institute auch ohne SNCI-Einstufung nutzen. Die gewählte Ausgestaltung muss weiterhin ein angemessenes und wirksames Risikomanagement gewährleisten. **Action Points:** - Größenklasse jährlich feststellen und die maßgeblichen Kennzahlen dokumentieren. - Genutzte Erleichterungen mit Modulbezug, Voraussetzungen, Begründung und Befassung der Geschäftsleitung dokumentieren. #### Schnittstellen zu MiFID II und Geldwäscheprävention AT 1 stellt klar, dass die MaRisk über [§ 80 Abs. 1 WpHG](https://www.gesetze-im-internet.de/wphg/%5F%5F80.html?ref=waldvorlauternormen.com) in Verbindung mit [§ 25a Abs. 1 KWG](https://www.gesetze-im-internet.de/kredwg/%5F%5F25a.html?ref=waldvorlauternormen.com) weiterhin organisatorische Anforderungen aus MiFID II konkretisieren, soweit diese auf Kredit- und Finanzdienstleistungsinstitute gleichermaßen Anwendung finden. Erfasst sind insbesondere organisatorische Anforderungen, Risikomanagement, Interne Revision, Geschäftsleiterverantwortung und Auslagerungen. Spezialgesetzliche Vorgaben zur Prävention von Geldwäsche und Terrorismusfinanzierung ([§ 25h KWG](https://www.gesetze-im-internet.de/kredwg/%5F%5F25h.html?ref=waldvorlauternormen.com)) bleiben parallel bestehen. Entscheidend ist, die Zuständigkeiten der Überwachungs- und Kontrollfunktionen (MaRisk-Compliance-Funktion, WpHG-Compliance-Funktion, Geldwäschebeauftragter, Auslagerungsmanagement) trennscharf voneinander abzugrenzen. **Action Points:** - Zuständigkeiten, Abgrenzungen und Berichtslinien der betroffenen Kontrollfunktionen (MaRisk-Compliance, WpHG-Compliance, GwG, Informationssicherheit, Revision) in einer Matrix dokumentieren. - Schnittstellengremium (oder Jour fixe) zwischen den Kontrollfunktionen einrichten, um hybride Sachverhalte zu besprechen und "Silo-Denken" aufzubrechen. - Compliance-Handbücher und Jahresprüfpläne auf inhaltliche Lücken, Überschneidungen und einheitliche Eskalationskriterien (z. B. ab wann ein Vorfall als "wesentlich" für die Geschäftsleitung gilt) überprüfen. - Verträge und SLAs von Auslagerungen mit Bezug zu Wertpapierdienstleistungen oder Geldwäscheprävention gesondert auf die konkrete Zuweisung von Kontroll- und Weisungsrechten der jeweiligen Fachfunktionen prüfen. #### Risikoorientierte Prüfung und interne Umsetzung Die Bafin hält an der flexiblen Grundausrichtung und am risikoorientierten Prüfungsansatz fest. Der allgemeine Teil enthält die Grundprinzipien; der besondere Teil regelt insbesondere Kredit-, Handels- und Immobiliengeschäft sowie Risikosteuerung und Risikoberichterstattung. Strukturell neu ist die Auflösung des bisherigen BT 2: Die zentralen Anforderungen an die Interne Revision werden in AT 4.4.3 gebündelt. Ergänzende Vorgaben zu ausgelagerten Revisionstätigkeiten stehen weiterhin in AT 9\. Die Risikoberichterstattung rückt dadurch von BT 3 auf BT 2 vor. Neben Richtlinien sind auch Prozesse, Zuständigkeiten, Nachweise und offene Maßnahmen anzupassen. Wesentliche Umsetzungsentscheidungen und Befassungen der Geschäftsleitung sollten zentral dokumentiert werden. **Action Points:** - Umsetzungsbedarf für die geänderten Module nach Risikorelevanz priorisieren. - Interne Organisationshandbücher, Kontrollpläne und interne Verweise, die sich auf den alten BT 2 stützen, zwingend auf den erweiterten AT 4.4.3 umstellen. - Prüfungsplanung der Internen Revision auf wesentliche Änderungen und genutzte Öffnungsklauseln ausrichten. ### AT 2.1 – Anwenderkreis #### Anwenderkreis und Auslandsbezug AT 2.1 grenzt den Anwenderkreis neu ab. Die MaRisk gelten für Institute nach § 1 Abs. 1b und § 53 Abs. 1 KWG, soweit sie nicht als bedeutende Institute unmittelbar der EZB-Aufsicht unterliegen. Erfasst sind außerdem CRD-Drittstaatenzweigstellen nach § 53c Abs. 1 KWG sowie Zweigniederlassungen deutscher Institute im Ausland. Zweigniederlassungen von Unternehmen aus anderen EWR-Staaten nach § 53b KWG bleiben ausgenommen. Die Anwendbarkeit ist für jeden Rechtsträger und jede Zweigstelle gesondert zu prüfen. Statuswechsel, Neugründungen oder Änderungen der Zweigstellenstruktur können Anpassungen bei Organisationsrichtlinien, Berichtslinien, Kontrollfunktionen und Prüfungsplanung auslösen. **Action Points:** - Für jeden Rechtsträger und jede Zweigstelle feststellen und dokumentieren, ob und in welchem Umfang die MaRisk anwendbar sind. - MaRisk-Anwendbarkeit je Einheit dokumentieren; Statuswechsel, Neugründungen und Änderungen von Zweigstellen als Anlässe für eine erneute Prüfung festlegen. #### NPL-bezogene Anforderungen und Wegfall der Berechnungserläuterungen Die MaRisk 2026 behält die Schwelle von 5 % für notleidende Kredite unverändert bei, ab der die besonders gekennzeichneten NPL-Anforderungen gelten. Nicht fortgeführt werden die bisherigen Erläuterungen zur Berechnung der NPL-Quote, zur NPE-Definition und zur Möglichkeit, einzelne Anforderungen auch unterhalb der Schwelle anzuordnen. Daraus folgt keine allgemeine Pflicht zur vollständigen Direktanwendung der NPE-Leitlinien: Nach AT 1 gelten die von der Bafin benannten EBA-Leitlinien grundsätzlich als in den MaRisk umgesetzt; zusätzlich zu prüfen sind nur ausdrücklich bezeichnete Abschnitte. Die für die Quote verwendete Methodik und NPE-Definition sind aus den jeweils einschlägigen aufsichtsrechtlichen Vorgaben abzuleiten und nachvollziehbar zu dokumentieren. Für die Umsetzung sollte die NPL-Quote laufend überwacht und in die Risikoberichterstattung eingebunden werden. Interne Vorwarnstufen und Eskalationswege sollten sicherstellen, dass die bei Erreichen der 5-%-Schwelle anwendbaren Anforderungen an Strategie, Risikocontrolling, Kreditprozesse und Berichtswesen rechtzeitig aktiviert werden. **Action Points:** - Berechnung und Überwachung der NPL-Quote in das regelmäßige Risikoberichterstattung aufnehmen. - Bei Erreichen oder Annäherung an 5 % die zusätzlich einschlägigen MaRisk-Anforderungen bestimmen. - Zuständigkeit für die Überwachung der NPL-Quote, Folgemaßnahmen und die Information der Geschäftsleitung festlegen. #### Finanzdienstleistungsinstitute und große Wertpapierfirmen Die MaRisk 2026 erweitert den regulatorischen Fokus für Finanzdienstleistungsinstitute und große Wertpapierfirmen im Sinne des § 2 Abs. 18 WpIG um einen wesentlichen Aspekt. Während das Grundprinzip der proportionalen Anwendung unverändert fortbesteht, verpflichtet die Neufassung diese Institute nun explizit dazu, neben den bereits bekannten §§ 25a und 25b KWG auch die Vorgaben des § 26c KWG zu erfüllen. Durch diesen neu verankerten rechtlichen Bezug auf § 26c KWG wird aufsichtsrechtlich klargestellt, dass eine pauschale Ausblendung von ESG-Risiken künftig ausgeschlossen ist. Die Institute müssen die MaRisk-Anforderungen weiterhin nur insoweit umsetzen, wie dies aufgrund ihrer spezifischen Institutsgröße, Art, Komplexität und dem Risikogehalt der Geschäftsaktivitäten geboten ist. Dies betrifft insbesondere die Module AT 3, AT 5, AT 7 und AT 9. Für die interne Umsetzung bedeutet diese inhaltliche Änderung eine zwingende methodische Anpassung der bisherigen Dokumentations- und Prüfprozesse. Die betroffenen Institute müssen eine modulbezogene Anwendbarkeitsprüfung durchführen, die sich gezielt auf die genannten Bereiche AT 3, AT 5, AT 7 und AT 9 erstreckt. Dabei ist jede getroffene Entscheidung für eine proportionale Anwendung oder auch eine vollständige Nichtanwendung einzelner Vorgaben kurz zu begründen und revisionssicher zu dokumentieren. Um den neuen gesetzlichen Pflichten vollumfänglich gerecht zu werden, muss der ESG-Bezug nach § 26c KWG künftig integrativer Bestandteil dieser Anwendbarkeitsprüfung sein und als fester Prüfparameter nachweisbar berücksichtigt werden. **Action Points:** - Modulbezogene Anwendbarkeitsprüfung für AT 3, AT 5, AT 7 und AT 9 durchführen. - Proportionale Anwendung oder Nichtanwendung kurz begründen und dokumentieren. - ESG-Bezug aus § 26c KWG in die Anwendbarkeitsprüfung einbeziehen. #### Risikomanagement auf Gruppenebene: Verlagerung nach AT 2.1 Die Anforderungen an das gruppenweite Risikomanagement werden aus AT 4.5 in AT 2.1 Tz. 3 verlagert und deutlich gestrafft. Die Kernpflichten zu gruppenweiten Strategien, Risikotragfähigkeit, Organisation, Risikosteuerung, Konzernrevision und Berichtswesen bleiben bestehen. Einzelne bisherige Detailvorgaben und Erläuterungen werden jedoch nicht wörtlich fortgeführt. Für die Umsetzung sind Verweise auf das bisherige AT 4.5 in Organisationsrichtlinien, Risikohandbuch und Revisionsplanung auf AT 2.1 Tz. 3 umzustellen. Zugleich ist zu prüfen und zu dokumentieren, welche Gruppeneinheiten in das gruppenweite Risikomanagement einbezogen werden und ob bestehende Gruppenprozesse die gestrafften Kernanforderungen weiterhin vollständig erfüllen. **Action Points:** - Festlegen, welche Gruppeneinheiten in das gruppenweite Risikomanagement einbezogen werden und wo eine begründete Begrenzung möglich ist. - Gruppenweite Strategie, Risikotragfähigkeit, Risikoberichterstattung und Konzernrevision auf MaRisk-Bezug prüfen. - Verweise auf die bisherige Gruppenregelung in Richtlinien, Risikohandbuch und Revisionsplanung aktualisieren. ### AT 2.2 – Risiken #### Wesentliche Risikoarten, 5-Prozent-Schwelle und IKT-Risiken Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken gelten unverändert als grundsätzlich wesentlich. Neu ist die ausdrückliche Erleichterung, dass für diese vier Kernrisikoarten künftig keine gesondert dokumentierte Wesentlichkeitsanalyse mehr erforderlich ist. Damit verbundene Risikokonzentrationen sind jedoch weiterhin zwingend zu berücksichtigen. Zudem werden Informations- und Kommunikationstechnologierisiken (IKT-Risiken) nun ausdrücklich als Bestandteil der operationellen Risiken klassifiziert und müssen explizit in die regelmäßige Risikoinventur einbezogen werden. Für alle weiteren Risiken erkennt die Bafin in der ökonomischen Perspektive nun formal eine Wesentlichkeitsschwelle von 5 Prozent des Risikodeckungspotenzials an. Dies entbindet die Institute jedoch nicht von der Pflicht, Kumulationseffekte zu überwachen: Mehrere einzeln unwesentliche Risiken können in der Gesamtbetrachtung wesentlich werden und sind in der Risikotragfähigkeit angemessen zu berücksichtigen. Für alle unter der Schwelle liegenden, nicht wesentlichen Risiken sind weiterhin angemessene Vorkehrungen zu treffen. Für die praktische Umsetzung bedeutet dies, dass die Risikoinventur und das Risikohandbuch anzupassen sind. Die vier Kernrisikoarten sind fortan ohne zusätzlichen Nachweis einer Wesentlichkeitsanalyse zu erfassen. IKT-Risiken müssen nachweisbar in den Steuerungs- und Berichtsprozessen der operationellen Risiken verankert werden. Darüber hinaus ist methodisch zu dokumentieren, wie die neue 5-Prozent-Schwelle in der ökonomischen Perspektive angewendet wird und durch welche Verfahren mögliche Kumulationseffekte unwesentlicher Risiken aggregiert werden. Für alle als unwesentlich eingestuften Risiken sind die getroffenen Vorkehrungen im internen Regelwerk zu dokumentieren. **Action Points:** - Die vier grundsätzlich wesentlichen Risikoarten ohne zusätzliche dokumentierte Wesentlichkeitsanalyse als wesentlich erfassen. - Festlegen und dokumentieren, ob und wie die 5-Prozent-Schwelle in der ökonomischen Wesentlichkeitsmethodik angewendet wird; mögliche Kumulationseffekte berücksichtigen. - IKT-Risiken als Bestandteil der operationellen Risiken in der Risikoinventur und den zugehörigen Steuerungs- und Berichtsprozessen abbilden. - Für weitere als nicht wesentlich eingestufte Risiken angemessene Vorkehrungen festlegen und dokumentieren. #### Ganzheitliche Risikoinventur und außerbilanzielle Strukturen Der Grundsatz einer wirtschaftlichen Risikobetrachtung bleibt bestehen: Die Risikoinventur darf sich nicht allein an Rechnungslegung oder formalrechtlichen Strukturen orientieren. Neu ist vor allem die Verlagerung der bereits 2024 in den Erläuterungen enthaltenen Pflicht, Risiken aus außerbilanziellen Gesellschaftskonstruktionen – etwa nicht konsolidierungspflichtigen Zweckgesellschaften – zu betrachten, in den Anforderungstext. Institute müssen prüfen, ob solche Strukturen die Vermögenslage einschließlich Kapitalausstattung, die Ertragslage oder die Liquiditätslage wesentlich beeinträchtigen können. Informationswege zwischen Risikocontrolling, Rechnungswesen, Meldewesen, Recht und Beteiligungsmanagement sind insoweit auf Vollständigkeit und Aktualität zu prüfen. **Action Points:** - Prüfen, ob Risiken aus nicht konsolidierungspflichtigen Zweckgesellschaften und sonstigen außerbilanziellen Strukturen vollständig in der Risikoinventur erfasst sind. - Informationswege zwischen Risikocontrolling, Rechnungswesen, Meldewesen, Recht und Beteiligungsmanagement auf Vollständigkeit und Aktualität überprüfen. #### ESG-Risiken als Risikotreiber ESG-Risiken bleiben Risikotreiber und keine eigenständige Risikoart. Neu ist vor allem die zentrale, unmittelbar im Anforderungstext verankerte Vorgabe, ihre Auswirkungen bei der Wesentlichkeitsbeurteilung, in der Risikoinventur, bei der Ausgestaltung des internen Kontrollsystems, in der Risikostrategie und in der Berichterstattung zu berücksichtigen. Die Beurteilung muss plausible, mit wissenschaftlichen Erkenntnissen vereinbare Szenarien sowie kurz-, mittel- und langfristige Zeithorizonte einbeziehen; ein ausschließlicher Rückgriff auf historische Daten genügt nicht. Die ESG-Risikotreiber sind den betroffenen Risikoarten, Portfolios und Steuerungsprozessen nachvollziehbar zuzuordnen. **Action Points:** - ESG-Risikotreiber den betroffenen Risikoarten, Portfolios und Steuerungsprozessen zuordnen. - Szenarien, Datenquellen sowie kurz-, mittel- und langfristige Betrachtungszeiträume festlegen. - Eine geringe ESG-Relevanz nachvollziehbar dokumentieren und regelmäßig überprüfen. ### AT 2.3 – Geschäfte: Straffung und traditionelle Warengeschäfte Die Geschäftsdefinitionen werden gestrafft und neu nummeriert. Beim Kreditgeschäft entfällt der ausdrückliche Verweis auf [§ 19 Abs. 1 KWG](https://www.gesetze-im-internet.de/kredwg/%5F%5F19.html?ref=waldvorlauternormen.com); inhaltlich bleibt es bei bilanziellen und außerbilanziellen Geschäften mit Adressenausfallrisiken. Die bereits 2024 erläuterte Pflicht, eine Handelsabsicht bei handelbaren Forderungen anhand geeigneter Kriterien festzustellen, steht nun im Anforderungstext. Nicht fortgeführt werden die Beispiele für Warengeschäfte und die ausdrückliche Ausnahme für während der gesamten Geschäftsdauer geschlossene Positionen. Für das traditionelle Warengeschäft gemischtwirtschaftlicher Kreditgenossenschaften wird die Erläuterung verbindlicher gefasst: Statt einer möglichen sinngemäßen Umsetzung heißt es nun, dass die Anforderungen an das Handelsgeschäft sinngemäß anzuwenden sind. **Action Points:** - Interne Begriffsbestimmungen und Verweise an die neue Nummerierung und die gestrafften Definitionen anpassen. - Kriterien für die Handelsabsicht bei handelbaren Forderungen im Produkt- oder Handelskatalog nachvollziehbar festlegen. - Bestehende Einordnungen von Warengeschäften nach Wegfall der bisherigen Beispiele und Ausnahmebeschreibung überprüfen. - Bei gemischtwirtschaftlichen Kreditgenossenschaften sicherstellen, dass die einschlägigen Anforderungen an das Handelsgeschäft auf das traditionelle Warengeschäft sinngemäß angewendet werden. ### AT 3 – Verantwortung der Geschäftsleitung und des Aufsichtsorgans ### AT 3.1 – Gesamtverantwortung der Geschäftsleitung Hinsichtlich der Gesamtverantwortung der Geschäftsleitung ergeben sich inhaltlich kaum Änderungen. Alle Geschäftsleiter tragen unabhängig von internen Zuständigkeiten weiterhin die Verantwortung für die ordnungsgemäße Geschäftsorganisation, deren Weiterentwicklung sowie für ein wirksames Risikomanagement auf Gruppenebene. Eine spürbare redaktionelle Neuerung ist jedoch die Kürzung bei der Risikokultur: Während die Pflicht zu einer angemessenen Risikokultur als solche erhalten bleibt, entfallen die bisherigen Detailvorgaben zur konkreten Überwachung und zur Behebung festgestellter Mängel aus den Erläuterungen. ### AT 3.2 – Aufsichtsorgan: Berichts- und Eskalationspflichten AT 3.2 bündelt bereits bestehende Berichts- und Eskalationspflichten gegenüber dem Aufsichtsorgan, die 2024 auf mehrere Module verteilt waren. Die Geschäftsleitung muss weiterhin mindestens vierteljährlich in Textform über Geschäftslage und Risikosituation informieren; die Informationen müssen eine Beurteilung, besondere Risiken und geplante Maßnahmen enthalten. Wichtige Risikoinformationen sind unverzüglich weiterzuleiten, Strategien und Strategieänderungen sind zur Kenntnis zu geben und zu erörtern. Auch die Weiterleitung des Compliance-Berichts und der regelmäßigen Revisionsberichte bleibt bestehen. Neu ist damit vor allem die zentrale Verortung und gestraffte Zusammenführung der Pflichten. Die Eskalationspflicht bei schwerwiegenden Revisionsfeststellungen gegen Geschäftsleiter ist inhaltlich nicht neu, sondern wird neu verortet und aufgeteilt. Die Geschäftsleitung muss den Vorsitzenden des Aufsichtsorgans weiterhin unverzüglich informieren. Unterbleibt dies oder werden keine sachgerechten Maßnahmen beschlossen, muss die Interne Revision den Vorsitzenden selbst unterrichten. Die Meldung an die Bafin und Deutsche Bundesbank steht nun in AT 4.4.3\. Interne Berichtsvorgaben müssen deshalb vor allem an die neue Verteilung der Regelungen angepasst werden. **Action Points:** - Interne Verweise und Berichtsvorgaben auf AT 3.2 umstellen und die unterschiedlichen Turnusse abbilden: mindestens vierteljährliche Berichterstattung über Geschäftslage und Risikosituation sowie durch die Interne Revision, mindestens jährliche und anlassbezogene Compliance-Berichterstattung. - Verfahren für die unverzügliche Weiterleitung wichtiger Risikoinformationen sowie für schwerwiegende Revisionsfeststellungen abstimmen; die Information des Aufsichtsorganvorsitzenden und die Aufsichtsmeldung getrennt abbilden. - Ausschussbeschlüsse, Informationspflichten des Ausschussvorsitzenden, Einsichtsrechte der übrigen Organmitglieder und die Dokumentation der Befassung überprüfen. ### AT 4.1 – Risikotragfähigkeit: Puffer, Validierung und Kapitalplanung Die wesentlichen Risiken müssen auch nach der MaRisk 2026 laufend durch das Risikodeckungspotenzial abgedeckt sein. Neu ist, dass die bisher lediglich in den Erläuterungen enthaltene Pflicht, Kumulationseffekte mehrerer einzeln unwesentlicher, aber in Summe wesentlicher Risiken angemessen zu berücksichtigen, nun unmittelbar als bindender Anforderungstext festgeschrieben wurde. Für schwer quantifizierbare Risiken dürfen Institute statt pauschalisierter Schätzungen und ihrer Berücksichtigung auf der Risikoseite künftig angemessene Puffer im Risikodeckungspotenzial vorhalten. Voraussetzung ist die genaue Dokumentation, welche spezifischen Risiken dieser Puffer abdecken soll. Eine zentrale Neuerung betrifft die Validierung: Es gelten nun ausdrückliche Fristen. Methoden, Verfahren und Parameter sind zwingend vor ihrem ersten Einsatz (Initialvalidierung) zu validieren. Folgevalidierungen müssen mindestens alle drei Jahre sowie anlassbezogen erfolgen. Bei komplexen Methoden ist die Validierung strikt von der Modellentwicklung zu trennen, wovon nur kleine Institute ausgenommen sind. Selbst bei der Nutzung zentral validierter Verfahren externer Dienstleister (z. B. Rechenzentren) bleibt eine institutsindividuelle Angemessenheitsprüfung der Parameter zwingend erforderlich. Die Kapitalplanung ist weiterhin jährlich durchzuführen, muss nun aber bei wesentlichen Änderungen der Annahmen anlassbezogen aktualisiert werden, wobei mögliche adverse Entwicklungen stets einzubeziehen sind. Für die Umsetzung ist der Validierungsplan auf die neuen Drei-Jahres-Fristen und Anlassvorgaben umzustellen. Die Methode zur Behandlung schwer quantifizierbarer Risiken (Puffer vs. Expertenschätzung) ist verbindlich zu dokumentieren. Der Kapitalplanungsprozess muss um definierte Auslöser für unterjährige Aktualisierungen ergänzt werden. Die Kapitalplanung ist jährlich durchzuführen und bei wesentlichen Änderungen der Annahmen zu aktualisieren. Adverse Entwicklungen sind in der Planung zu berücksichtigen. **Action Points:** - Prüfen, ob mehrere einzeln als unwesentlich eingestufte Risiken in ihrer Gesamtheit die Wesentlichkeitsschwelle überschreiten. - Für schwer quantifizierbare Risiken festlegen, ob ein plausibilisierter Risikobetrag – etwa auf Grundlage einer qualifizierten Expertenschätzung – oder ein angemessener und dokumentierter Puffer im Risikodeckungspotenzial verwendet wird. - Validierungsplan anpassen: Initialvalidierung, mindestens dreijährliche Folgevalidierung, Anlassvalidierung und Umgang mit extern validierten Verfahren. - Kapitalplanungsprozess um Auslöser für anlassbezogene Aktualisierungen bei wesentlichen Annahmeänderungen ergänzen. ### AT 4.2 – Strategien – Strukturelle Neuausrichtung und inhaltliche Neuerungen Das Modul AT 4.2 wurde vollständig neu gegliedert und konzentriert sich nun explizit auf die Geschäftsstrategie, die Risikostrategie einschließlich Risikoappetit, die IKT- und DOR-Strategie sowie bei Bedarf auf die NPL-Strategie. Diese Straffung reduziert die materiellen Pflichten nicht; alle strategischen Vorgaben müssen sich weiterhin konsistent in der Kapital- und Ressourcenplanung, der operativen Steuerung und dem Berichtswesen widerspiegeln. Operativ müssen alle bestehenden Strategiedokumente und Verweise mit der neuen Struktur von AT 4.2 abgeglichen und aktualisiert werden. **Action Points:** - Bestehende Geschäfts-, Risiko- und IKT-Strategie auf die neue Struktur von AT 4.2 abgleichen. - Alte Detailverweise in Strategiedokumenten, Richtlinien und Vorlagen auf Aktualität prüfen. - Strategieprozess so dokumentieren, dass Planung, Umsetzung, Zielüberprüfung und Anpassung nachvollziehbar sind. #### Geschäftsstrategie und Geschäftsmodellanalyse Die Geschäftsleitung muss eine tragfähige Geschäftsstrategie mit Zielen für die wesentlichen Geschäftsaktivitäten und Maßnahmen zu deren Erreichung festlegen. Grundlage ist eine zukunftsgerichtete Geschäftsmodellanalyse, deren Tiefe sich nach Komplexität und Risikogehalt richtet. Wesentliche interne und externe Einflussfaktoren sind anhand plausibler Annahmen einzubeziehen und regelmäßig zu überprüfen. Die Geschäftsstrategie ist aus der Geschäftsmodellanalyse abzuleiten. Zu berücksichtigen sind insbesondere Markt und Wettbewerb, regulatorische Anforderungen, Umweltveränderungen, Risikotragfähigkeit, Liquidität, Ertragslage, Personal und technische Ressourcen. Die Ziele müssen in die operative Planung übertragbar sein. **Action Points:** - Geschäftsmodellanalyse als Grundlage der Geschäftsstrategie aktualisieren. - Wesentliche externe und interne Einflussfaktoren mit plausiblen Annahmen dokumentieren. - Strategische Ziele und Maßnahmen so formulieren, dass sie in Geschäfts- und Kapitalplanung überleitbar sind. #### Risikostrategie und Risikoappetit Die Risikostrategie muss mit der Geschäftsstrategie und dem Risikoprofil übereinstimmen. Sie kann in Teilstrategien gegliedert werden und muss Ziele und Maßnahmen für alle wesentlichen Risiken enthalten. Für diese Risiken ist der Risikoappetit festzulegen; Risikokonzentrationen sind auch mit Blick auf die Ertragslage zu berücksichtigen. Der Risikoappetit verbindet Strategie, Risikotragfähigkeit und operative Steuerung. Er kann quantitativ durch Limite, Kennzahlen oder Puffer und qualitativ etwa durch Besicherungsanforderungen oder den Ausschluss bestimmter Geschäfte festgelegt werden. **Action Points:** - Risikoappetit für alle wesentlichen Risiken überprüfen und dokumentieren. - Risikokonzentrationen einschließlich Ertragskonzentrationen in der Risikostrategie abbilden. - Strategie, Risikoappetit, Limite und Risikoberichte auf Konsistenz prüfen. #### IKT- und DOR-Strategie: Zusammenführung zulässig Neu ist die explizite Pflicht zur Festlegung einer mit der Geschäftsstrategie konsistenten IKT-Strategie. Unterliegt ein Institut zusätzlich dem DORA-Rahmenwerk, ist zwingend eine DOR-Strategie erforderlich. Zur operativen Entlastung gewährt die MaRisk 2026 jedoch eine prozessuale Erleichterung: Abhängig von Größe und Gesamtrisikoprofil dürfen die IKT- und DOR-Strategie in einem gemeinsamen Dokument zusammengeführt oder vollständig in die übergeordnete Geschäftsstrategie integriert werden. Dabei müssen Ziele, Maßnahmen und Verantwortlichkeiten jedoch weiterhin eindeutig zuordenbar bleiben. **Action Points:** - Prüfen, welche Strategiepflichten nach MaRisk und DORA bestehen und ob eine Zusammenführung zweckmäßig ist. - Bei einer Zusammenführung die jeweiligen MaRisk- und DORA-Anforderungen eindeutig zuordnen sowie Verantwortlichkeiten und Genehmigungswege festlegen. - Geschäftsstrategie, IKT-Strategie und DOR-Strategie auf inhaltliche Konsistenz mit Geschäftsmodell, Risikoappetit, IKT-Risikotoleranz und Ressourcenplanung überprüfen. #### NPL und gehebelte Transaktionen Institute mit hohem NPL-Bestand müssen eine Strategie für notleidende Risikopositionen mit Ursachenanalyse, kurz-, mittel- und langfristigen Abbauzielen und Implementierungsplan festlegen. Der Fortschritt ist vierteljährlich anhand NPE-bezogener KPI zu überwachen. Wesentliche Abweichungen und Abhilfemaßnahmen sind der Geschäftsleitung und der Bafin zu berichten. Institute mit einem Portfolio gehebelter Transaktionen müssen Definition, Rahmenbedingungen und Risikoappetit für diese Geschäfte in der Strategie festlegen. **Action Points:** - Bei hohem NPL-Bestand NPL-Strategie, Abbauziele, KPI und Implementierungsplan aktualisieren. - Gehebelte Transaktionen im Produkt- und Portfoliokatalog identifizieren. - Risikoappetit und Rahmenbedingungen für gehebelte Transaktionen in der Strategie festlegen. #### Strategieprozess und Überwachung (Öffnungsklausel) Strategische Ziele sind so konkret zu formulieren, dass ihre Erreichung objektiv überprüfbar ist. Für kleine Institute wurde eine neue, an harte Eigenkapitalkriterien geknüpfte Erleichterung eingeführt: Sie dürfen ihre Strategie und Kapitalplanung in einem lediglich jährlichen Turnus überwachen, sofern sie zusätzlich zur vorgeschriebenen Kapitalausstattung einen Puffer von mindestens zwei Prozentpunkten an hartem Kernkapital vorhalten. In allen Instituten sind Inhaltsänderungen der Strategien adressatengerecht zu kommunizieren und zu dokumentieren. **Action Points:** - Strategische Ziele mit messbaren oder prüfbaren Zielgrößen hinterlegen. - Überwachungsturnus und Eskalation bei Zielabweichungen festlegen. - Änderungen der Strategie adressatengerecht im Institut kommunizieren und dokumentieren. ### AT 4.3 – Internes Kontrollsystem – Verlagerung der Datenanforderungen Der zentrale Rahmen für das interne Kontrollsystem (IKS) bleibt im Grundsatz bestehen: Institute müssen weiterhin angemessene Regelungen zur Aufbau- und Ablauforganisation sowie zu Risikosteuerungs- und -controllingprozessen treffen und sowohl eine Risikocontrolling- als auch eine Compliance-Funktion implementieren. Das bisherige Modul zu Datenmanagement, Datenqualität und Aggregation von Risikodaten entfällt als eigener Unterabschnitt. Einzelne Grundanforderungen an Datenvorhaltung, technische Kapazitäten, Datenqualität und Risikoberichterstattung werden in AT 4.3.2, AT 7.2 und BT 2 fortgeführt. Der ausführliche Detailkatalog des bisherigen AT 4.3.4 wird jedoch nicht vollständig übernommen. Der neue AT 4.3.4 regelt die Verwendung von Modellen. **Action Points:** - IKS-Dokumentation auf die neue Struktur von AT 4.3 umstellen und frühere Verweise auf das alte Datenmanagement-Modul sachgerecht neu zuordnen. - Die nun dezentralisierten Verantwortlichkeiten für Risikodaten, Modelle, Berechtigungen und Kontrollen in einer IKS-Matrix zusammenführen. ### AT 4.3.1 – Aufbau- und Ablauforganisation: Funktionstrennung und Ersatzkontrollen Die strikte Trennung unvereinbarer Tätigkeiten sowie die klare Festlegung von Prozessen, Kompetenzen und Kommunikationswegen bleiben die zentralen Leitprinzipien der Ablauforganisation. Beim Personalwechsel aus Markt- oder Handelsbereichen in nachgelagerte Kontrollbereiche sind weiterhin angemessene Übergangsfristen vorzusehen, um Interessenkonflikte zu vermeiden. Die maßgebliche Neuerung ist der Wegfall einschränkender Detailvorgaben: Kleine Institute dürfen nun alternative Kontrollmechanismen einsetzen, ohne dass wie bisher die ausdrückliche Voraussetzung erfüllt sein muss, dass reguläre Übergangsfristen den Betriebsablauf "unverhältnismäßig verzögern". Eingesetzte Ersatzkontrollen (etwa Vier-Augen-Kontrollen oder Stichproben) müssen Selbstprüfungen und Interessenkonflikte jedoch weiterhin wirksam ausschließen. Zudem wurden die bisherigen Detailvorgaben zum Sparsamkeitsgrundsatz (Need-to-know-Prinzip), zu spezifischen IT- und Zeichnungsberechtigungen sowie zu deren regelmäßigen Prüfzyklen in diesem Unterabschnitt vollständig gestrichen. **Action Points:** - Funktionstrennungsmatrix für Markt, Handel, Marktfolge, Risikocontrolling, Compliance, Abwicklung und Kontrolle aktualisieren. - Wechselprozesse in Kontrollbereiche einschließlich der definierten Übergangsfristen oder – bei kleinen Instituten – der alternativen Ersatzkontrollen rechtssicher dokumentieren. - Sicherstellen, dass alternative Kontrollmechanismen bei kleinen Instituten nachvollziehbar begründet werden und Interessenkonflikte wirksam vermeiden. ### AT 4.3.2 Risikosteuerungs- und -controllingprozesse – Datenvorhaltung und Informationswege Die Grundanforderungen an die Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation wesentlicher Risiken bleiben inhaltlich bestehen. Eine zentrale Neuerung ist jedoch die Überführung bisheriger Erläuterungen in den verbindlichen Anforderungstext: Institute werden nun explizit verpflichtet, relevante Daten zu Forderungen, deren Sicherheiten sowie der spezifischen Beziehung zwischen Sicherheit und zugrunde liegender Transaktion vorzuhalten. Das Modul wird außerdem gestrafft: Die vierteljährliche Information des Aufsichtsorgans wird nach AT 3.2 verlagert. Die besonderen Auslöser für eine Information der Internen Revision – risikorelevante Mängel, bedeutende Schadensfälle oder ein konkreter Verdacht auf Unregelmäßigkeiten – werden in den Erläuterungen nun verbindlicher formuliert; sie stehen nicht im eigentlichen Anforderungstext. **Action Points:** - Limitsysteme, Ampelsysteme und qualitative Risikoanalysen mit dem definierten Risikoappetit und der Risikotragfähigkeit abgleichen. - Eskalationswege für Limitüberschreitungen und Risikokonzentrationen auf Aktualität überprüfen. - Die Erfassung relevanter Daten zu Forderungen, Sicherheiten und deren direkter Beziehung zur Transaktion in den Kredit- und Risikodatenprozessen verbindlich verankern. - Klare Meldewege an die Interne Revision für risikorelevante Mängel, bedeutende Schadensfälle und Verdachtsfälle festlegen. ### AT 4.3.3 Stresstests – Regulatorische Erleichterungen und Resilienzanalysen Während die generelle Pflicht zu regelmäßigen und anlassbezogenen Stresstests bestehen bleibt, führt die MaRisk 2026 weitreichende Erleichterungen für kleinere Institute ein. Sehr kleine Institute dürfen künftig auf gesonderte Stresstests für einzelne Risikoarten verzichten, sofern der Stresstest für das Gesamtrisikoprofil diese durch adverse Annahmen negativ beeinflusst. Zudem entfällt für diese Institute ein separater Stresstest für das operationelle Risiko, wenn entsprechende adverse Szenarien bereits im Notfallmanagement abgedeckt sind. Für kleine Institute gilt künftig, dass ein schwerer konjunktureller Abschwung (oder ein Stagflationsszenario) als Szenario für die Gesamtbankebene ausreicht; zudem sind sie vollständig von der Durchführung inverser Stresstests befreit. Die Berücksichtigung von Umwelt- und ESG-Risiken in Stresstests war bereits 2024 vorgesehen. Neu ist die ausdrückliche Konzentration auf wesentliche Umweltrisiken und vor allem die Pflicht zu langfristigen Resilienzanalysen, welche die kurzfristigen Stresstests ergänzen. Die Ergebnisse sind in der Geschäftsmodellanalyse und bei der Festlegung der Strategie zu berücksichtigen. Institute dürfen vereinfachte Sensitivitätsanalysen verwenden; kleine Institute können qualitative Ansätze nutzen. **Action Points:** - Stresstestprogramm auf zulässige Erleichterungen für kleine und sehr kleine Institute (z. B. Verzicht auf inverse Stresstests oder Einzelrisiko-Stresstests) prüfen und die Inanspruchnahme dokumentieren. - Szenario für das Gesamtrisikoprofil so justieren, dass alle wesentlichen Risiken negativ ausgelenkt werden. - Wesentliche Umweltrisiken und langfristige Resilienzanalysen in die Stresstestmethodik, die Geschäftsmodellanalyse und den Strategieprozess integrieren. ### AT 4.3.4 – Verwendung von Modellen: reine Umnummerierung Das Modul zur Verwendung von Modellen wird nicht materiell geändert, sondern lediglich vom bisherigen AT 4.3.5 in den neuen AT 4.3.4 verschoben. Anwendungsbereich und Vorgaben bleiben identisch: Dies betrifft die Anforderungen an automatisierte und KI-gestützte Verfahren, von Dritten entwickelte Modelle, Datenqualität, Überschreibungen (Übersteuerungen), Validierungszyklen sowie die Erklärbarkeit von Modellen. Modelle, die in den Anwendungsbereich der CRR fallen, bleiben weiterhin ausgenommen. Der Anpassungsbedarf ist hier rein redaktioneller Natur. **Action Points:** - Verweise in Modellrichtlinie, Risikohandbuch, Kontrollvorgaben und Revisionsplanung von AT 4.3.5 auf AT 4.3.4 umstellen. ### AT 4.4 – Besondere Funktionen ### AT 4.4.1 Risikocontrolling-Funktion – Funktionstrennung und NPL-Überwachung Die neue Fassung fasst die Anforderungen an Leitung und Funktionstrennung der Risikocontrolling-Funktion neu und knüpft einzelne Erleichterungen an die neuen Größenklassen. Die erleichterte Trennung beim nicht-risikorelevanten Kreditgeschäft war bereits 2024 vorgesehen; sie gilt nun ausdrücklich für kleine Institute mit höchstens drei Geschäftsleitern und setzt den Ausschluss wesentlicher Interessenkonflikte und einer Bündelung von Verantwortlichkeiten voraus. Auch die NPE-bezogene Überwachung durch die Risikocontrolling-Funktion bestand bereits 2024 in den Erläuterungen. Neu ist ihre verkürzte Aufnahme in den Anforderungstext. **Action Points:** - Funktionstrennung zwischen Risikocontrolling, Markt, Handel und Marktfolge im Organigramm und in der Geschäftsverteilung validieren. - Bei Inanspruchnahme von Erleichterungen für kleine Institute den Ausschluss von Interessenkonflikten und Verantwortungsbündelungen rechtssicher dokumentieren. - Bei hohem NPL-Bestand die NPE-KPI, Datenquellen und die Berichtslinie der Risikocontrolling-Funktion verbindlich festlegen. ### AT 4.4.2 Compliance-Funktion – Struktureller Rahmen und Funktionskombinationen Die Compliance-Funktion wird regulatorisch stärker als rahmensetzende und koordinierende Instanz positioniert. Sie muss in einem strukturierten Prozess sicherstellen, dass die jeweils betroffenen Fachbereiche die Einhaltung wesentlicher rechtlicher Vorgaben operativ überwachen. Spezialgesetzliche Vorgaben (etwa aus WpHG, GwG, DORA oder DSGVO) bleiben unberührt und werden durch die MaRisk-Compliance nicht ersetzt. Die Compliance-Funktion muss weiterhin von Markt und Handel unabhängig sein und grundsätzlich unmittelbar an die Geschäftsleitung berichten. Die bereits 2024 mögliche Anbindung an andere Kontrolleinheiten wird neu gefasst und um weitere Beispiele ergänzt. Neu in den Erläuterungen ist insbesondere die Klarstellung, dass Geldwäsche- und Datenschutzbeauftragter grundsätzlich nicht in Personalunion tätig sein dürfen. Sehr kleine Institute dürfen die Funktion des Compliance-Beauftragten unter den genannten Voraussetzungen einem Geschäftsleiter übertragen. Die mindestens jährliche und anlassbezogene Berichterstattung sowie die Weitergabe an Interne Revision und Aufsichtsorgan bestanden bereits 2024; geändert ist vor allem ihre neue Verortung. **Action Points:** - Strukturierten Prozess implementieren, in dem Fachbereiche die operative Einhaltung von Vorgaben überwachen und Compliance dies nachvollzieht. - Funktionskombinationen auf Interessenkonflikte, ausreichende Ressourcen und das explizite Verbot der Kombination von Geldwäsche und Datenschutz prüfen. - Compliance-Bericht um Defizite und Gegenmaßnahmen ergänzen und die Weitergabe an Geschäftsleitung, Revision und Aufsichtsorgan prozessual fixieren. ### AT 4.4.3 Interne Revision – Neuzuordnung, Prüfungszyklen und Berichterstattung Die bislang auf AT 4.4.3 und BT 2 verteilten Anforderungen an die Interne Revision werden nun in AT 4.4.3 gebündelt. Das uneingeschränkte Informations- und Zugriffsrecht bleibt bestehen und gilt ausdrücklich auch bei der Begleitung wesentlicher Projekte. Die Möglichkeit, Revisionsaufgaben bei unverhältnismäßiger eigener Revisionseinheit durch einen Geschäftsleiter wahrnehmen zu lassen, bestand bereits 2024; sie wird nun auf sehr kleine Institute beschränkt. Eine signifikante Neuerung betrifft die Prüfungszyklen: Während für sämtliche Aktivitäten (inklusive Auslagerungen) grundsätzlich ein dreijähriger Turnus gilt, wird für unter Risikogesichtspunkten nicht wesentliche Prüfungsfelder erstmals eine verbindliche Höchstfrist von fünf Jahren normiert. Darüber hinaus wird die Berichterstattung reformiert: Der bisher erforderliche, gesonderte Jahresbericht entfällt vollständig. Im Gegenzug muss der quartalsweise zu erstellende Revisionsbericht künftig zwingend noch nicht behobene wesentliche Mängel aus früheren Quartalen sowie eine fundierte Beurteilung der voraussichtlichen Einhaltung des Prüfungsplans enthalten. Besonders schwerwiegende Mängel sind weiterhin unverzüglich zu berichten; für verzögerte Mängelbeseitigungen gilt eine gestufte Eskalation an die fachlich zuständigen Geschäftsleiter und nachfolgend an die Gesamtgeschäftsleitung. **Action Points:** - Revisionsordnung auf die neue Verortung im AT 4.4.3 sowie auf die verankerten Informationsrechte bei risikoorientierter Projektbegleitung anpassen. - Prüfungsuniversum strikt auf den 3-Jahres-Turnus und den neuen maximalen 5-Jahres-Turnus für unwesentliche Aktivitäten abgleichen. - Den vierteljährlichen Revisionsbericht um offene Mängel aus Vorquartalen und die Prognose zum Prüfungsplan erweitern; den Prozess für den gesonderten Jahresbericht streichen. ### AT 4.5 Risikomanagement auf Gruppenebene (Verlagerung nach AT 2.1) AT 4.5 entfällt; die Kernanforderungen an das Gruppenrisikomanagement stehen nun kompakt in AT 2.1 Tz. 3\. Die Pflichten zu gruppenweiten Strategien, Risikotragfähigkeit, Organisation, Risikosteuerung, Konzernrevision und Berichtswesen bleiben bestehen. Die Neufassung ist jedoch deutlich gestrafft, sodass nicht sämtliche bisherigen Detailvorgaben und Erläuterungen wörtlich fortgeführt werden. **Action Points:** - Interne Verweise in Organisationsrichtlinien, Risikohandbuch und Revisionsplanung von AT 4.5 auf AT 2.1 Tz. 3 umstellen. - Bestehende Gruppenprozesse auf formale Übereinstimmung mit der kompakteren Darstellung des AT 2.1 Tz. 3 validieren. - Revisionssicher dokumentieren, welche Gruppengesellschaften einbezogen werden und wo Einschränkungen unter dem Kriterium „sinnvoll und notwendig“ rechtlich begründet sind. ### AT 5 Organisationsrichtlinien – Dokumentation individueller Verantwortlichkeiten Die MaRisk 2026 strafft das Modul AT 5 und konkretisiert die Anforderungen an die Dokumentation von Verantwortlichkeiten. Organisationsrichtlinien müssen weiterhin in Textform vorliegen, den Mitarbeitern bekannt sein, zeitnah angepasst werden und sich als Prüfungsgrundlage für die Interne Revision eignen. Eine wesentliche Neuerung ist die Pflicht zur Erstellung personenspezifischer Erklärungen zu Aufgaben und individuellen Verantwortlichkeiten gemäß § 25c Abs. 4a Nr. 8 KWG. Diese sind zwingend für alle Mitglieder der Geschäftsleitung sowie für die unmittelbar nachgelagerte Führungsebene – inklusive aller Inhaber von Schlüsselfunktionen – zu erstellen. Aus diesen Erklärungen müssen die Aufgaben, Entscheidungsbefugnisse, Kontroll- und Berichtspflichten sowie die Zuständigkeitsbereiche explizit hervorgehen. Ergänzend ist eine Gesamtübersicht aufzubauen, die konsistent zu den individuellen Erklärungen auch die Zuständigkeiten des Aufsichtsorgans, Berichtslinien und Governance-Strukturen darstellt. Neu ist zudem die Pflicht, regelmäßig zu prüfen, ob die Mitarbeiter die übertragenen Aufgaben tatsächlich wahrnehmen, und bei Defiziten korrigierende Maßnahmen einzuleiten. Der Verhaltenskodex bleibt als proportionaler Mindestinhalt erhalten, während Risikodatenaggregation und ESG-Risiken nicht mehr als explizite Mindestinhalte des AT 5 geführt werden, da sie nun in den jeweils fachspezifischen Modulen abgebildet sind. **Action Points:** - Individuelle Verantwortlichkeitserklärungen für die Geschäftsleitung, die unmittelbar nachgelagerte Führungsebene und Schlüsselfunktionen erstellen oder auf Aktualität prüfen. - Die geforderte Gesamtübersicht zur Aufgaben- und Verantwortlichkeitsverteilung konsistent zu den individuellen Erklärungen aufbauen und die Berichtslinien integrieren. - Einen verbindlichen Regelprozess zur Aktualitätsprüfung der Unterlagen sowie zur Kontrolle der tatsächlichen Aufgabenerfüllung etablieren. - Auslagerungsrichtlinie um Lebenszyklusphasen, Grundsätze und Zuständigkeiten ergänzen. ### AT 6 – Dokumentation: punktuelle Anpassungen AT 6 bleibt in seinen Grundzügen erhalten, wurde jedoch punktuell geschärft. Die Aufbewahrungsfrist von fünf Jahren wird nun verbindlich ohne die bisherige Einschränkung „grundsätzlich“ formuliert. Eine wichtige inhaltliche Neuerung ist die explizite Dokumentationspflicht für Fälle, in denen eine Einbindung oder Entscheidung durch die Geschäftsleitung zwingend erforderlich ist. Der bisherige Bezug auf wesentliche Öffnungsklauseln entfällt. **Action Points:** - Dokumentationsrichtlinie auf die verbindliche Fünfjahresfrist prüfen. - In der Kompetenzordnung oder einer entsprechenden Umsetzungsmatrix klar dokumentieren, bei welchen regulatorischen Festlegungen oder Prozessen eine explizite Befassung der Geschäftsleitung zwingend vorgeschrieben ist. ### AT 7 Ressourcen ### AT 7.1 Personal – Gestraffte Vorgaben und störungsfreier Betrieb Die Vorgaben zur Personalausstattung werden gestrafft. Die bereits 2024 enthaltene Anforderung, nachhaltige Störungen der Betriebsabläufe durch Abwesenheit oder Ausscheiden von Mitarbeitern zu vermeiden, wird nun als allgemeine Muss-Vorgabe formuliert: Art und Umfang der Personalausstattung müssen einen störungsfreien Betriebsablauf ermöglichen. Die bisherigen Detailhinweise zu Leiharbeitnehmern, besonderen Qualifikationsanforderungen und Abwesenheiten entfallen aus AT 7.1\. Die Pflicht, dass Mitarbeiter und ihre Vertreter über die erforderlichen Kenntnisse und Erfahrungen verfügen, bleibt bestehen. **Action Points:** - Personalbemessung mit internen Erfordernissen, Geschäftsaktivitäten und Risikosituation abgleichen. - Kenntnisse und Erfahrungen von Mitarbeitern und Vertretern in Qualifikationsprofilen oder Stellenbeschreibungen nachvollziehbar abbilden. - Vertretungs- und Schlüsselpersonenregelungen daraufhin prüfen, ob die Betriebsabläufe auch bei ungeplanten Abwesenheiten störungsfrei aufrechterhalten werden können. ### AT 7.2 Technisch-organisatorische Ausstattung – Wegfall der IT-Detailvorgaben AT 7.2 wird stark gestrafft. Die bisherigen Detailvorgaben zu Informationsverbund, Berechtigungen, Test- und Freigabeprozessen, IT-Risikosteuerung und individueller Datenverarbeitung stehen nicht mehr in diesem Modul. Daraus folgt nicht automatisch, dass sämtliche zugrunde liegenden Pflichten entfallen: Je nach Sachverhalt sind insbesondere DORA, andere aufsichtsrechtliche Vorgaben und das allgemeine interne Kontrollsystem gesondert zu prüfen. In AT 7.2 verbleiben die Ausrichtung der technisch-organisatorischen Ausstattung am Geschäfts- und Risikoprofil sowie Anforderungen an technische Kapazitäten und Datenqualität für wesentliche Risikoarten. **Action Points:** - Interne Verweise auf gestrichene AT 7.2-Detailvorgaben in IT-, IDV- und Berechtigungsrichtlinien bereinigen. - Datenqualitätsanforderungen für wesentliche Risikoarten in Risikodaten- und Berichtsprozessen verankern. - Schnittstellen zur DORA- und IKT-Dokumentation prüfen und sicherstellen, dass durch den Wegfall der bisherigen AT-7.2-Detailvorgaben keine Kontrolllücken entstehen. ### AT 7.3 Notfallmanagement – Fokus auf kritische oder wichtige Funktionen Ein fundamentaler terminologischer und prozessualer Wechsel erfolgt im Notfallmanagement: Der bisherige Begriff der „zeitkritischen Aktivitäten und Prozesse“ wird durch „kritische oder wichtige Funktionen“ abgelöst. Dies erfordert weit mehr als eine bloße Umbenennung. Als Basis der obligatorischen Auswirkungsanalyse muss künftig eine Übersicht über sämtliche Funktionen des Instituts dienen. Die Analyse hat Risiken schwerwiegender Störungen zu erfassen und zwingend notwendige Unterstützungsprozesse, IKT-Systeme sowie sonstige Ressourcen und potenzielle Gefährdungen über abgestufte Zeiträume hinweg einzubeziehen. Das Notfallkonzept muss Geschäftsfortführungs- und Wiederherstellungspläne umfassen, die auf plausiblen Szenarien und vernünftigen Annahmen beruhen. Die Abstimmung der Notfallkonzepte von Institut und Auslagerungsunternehmen war bereits 2024 vorgeschrieben; sie wird nun auf Auslagerungen bezogen, die kritische oder wichtige Funktionen unterstützen. Auch die mindestens jährliche Überprüfung bestand bereits für zeitkritische Aktivitäten und Prozesse. Neu sind daher vor allem der geänderte Bezugsrahmen und die Einordnung in die Systematik der kritischen oder wichtigen Funktionen. **Action Points:** - Business-Impact-Analyse (BIA) inhaltlich von „zeitkritischen Aktivitäten“ auf „kritische oder wichtige Funktionen“ umstellen. - Die Übersicht über alle Funktionen, Unterstützungsprozesse, IKT-Systeme und Ressourcen als neue Ausgangsbasis der Auswirkungsanalyse aktualisieren. - Eigene Notfallkonzepte zwingend mit jenen der relevanten Auslagerungsunternehmen abstimmen. - Regelprozess etablieren, um die Wirksamkeit und Angemessenheit der Notfallkonzepte für kritische oder wichtige Funktionen mindestens jährlich zu validieren und zu dokumentieren. ### AT 8 Anpassungsprozesse ### AT 8.1 Neu-Produkt-Prozess – Katalogpflege und Wiederaufnahme Die Kernanforderungen an den Neu-Produkt-Prozess (NPP) bleiben bestehen, erfahren jedoch prozessuale Verschiebungen. Die BaFin verlangt nun ausdrücklich, dass der Katalog jener Produkte und Märkte, die Gegenstand der Geschäftsaktivitäten sind, auf dem jeweils aktuellen Stand zu halten ist. Wird die Geschäftstätigkeit in bestimmten Produkten oder Märkten nach einem längeren Zeitraum wieder aufgenommen, hat das Institut eigenverantwortlich zu prüfen, ob der NPP erneut durchlaufen werden muss. Die bisherige Pflicht zur expliziten Kennzeichnung ungenutzter Produkte sowie zur vorherigen Einholung einer formellen Bestätigung durch die beteiligten Organisationseinheiten entfällt im aktuellen Anforderungstext. Häufen sich Fälle, in denen im Rahmen des Konzeptes oder der Testphase unzutreffende Annahmen oder Risikoanalysen getroffen wurden, ist der NPP zwingend anlassbezogen zu überprüfen und bei Mängeln unverzüglich anzupassen. Der Wegfall der starren Kennzeichnungs- und Bestätigungspflichten reduziert den formalen Aufwand bei länger nicht genutzten Produkten. Zugleich muss das Institut anhand klarer eigener Kriterien entscheiden, ob bei einer Wiederaufnahme der Neu-Produkt-Prozess erneut zu durchlaufen ist. Diese Kriterien und die jeweilige Entscheidung sollten nachvollziehbar dokumentiert werden. **Action Points:** - Den bestehenden Produkt- und Marktkatalog auf Aktualität überprüfen und kontinuierliche Pflegeprozesse etablieren. - In der NPP-Richtlinie gerichtsfest definieren, unter welchen exakten Parametern bei einer Wiederaufnahme länger nicht genutzter Produkte eine erneute NPP-Prüfung ausgelöst wird. - Klare Eskalationskriterien für eine anlassbezogene Überprüfung des gesamten NPP (bei wiederholt unzutreffenden Annahmen) festlegen. ### AT 8.2 Änderungen betrieblicher Prozesse oder Strukturen; Übernahmen und Fusionen Der bisher separat geführte Modulbaustein zu Übernahmen und Fusionen (ehemals AT 8.3) wurde strukturell vollständig in den neuen AT 8.2 integriert. Bei wesentlichen Veränderungen der Aufbau- und Ablauforganisation sowie der IKT-Systeme müssen die Auswirkungen auf Kontrollverfahren weiterhin zwingend analysiert werden, wobei die Risikocontrolling-Funktion, die Compliance-Funktion und die Interne Revision einzubeziehen sind. Bei Übernahmen und Fusionen muss das vorab zu erarbeitende Konzept weiterhin die wesentlichen strategischen Ziele, die voraussichtlichen Folgen für das Risikomanagement und die Auswirkungen auf das Gesamtrisikoprofil darstellen. Der bisherige ausführliche Mindestkatalog, etwa zur Entwicklung der Vermögens-, Finanz- und Ertragslage, zu Risikopositionen und rechtlichen Folgen, wird nicht fortgeführt. Diese Punkte können weiterhin als interne Prüffelder verwendet werden, soweit sie für das Vorhaben wesentlich sind. **Action Points:** - Vorlagen für Organisations-, Prozess- und IKT-Änderungen an die neue Systematik und Terminologie anpassen. - M&A-Konzeptvorlagen auf die drei verbleibenden MaRisk-Kernanforderungen fokussieren; bisherige Detailfelder (z. B. zu bilanziellen und steuerrechtlichen Konsequenzen) zur eigenen Absicherung als interne Prüfpunkte fortführen. ### AT 9 Auslagerung – DORA-Abgrenzung und IKT-Fremdbezug AT 9 grenzt IKT-Dienstleistungen künftig ausdrücklich vom MaRisk-Auslagerungsregime ab: Ausgelagerte oder fremdbezogene IKT-Dienstleistungen nach [Art. 3 Nr. 21 DORA](https://www.digital-operational-resilience-act.com/Article%5F3.html?ref=waldvorlauternormen.com), die dem IKT-Drittparteienrisikomanagement nach [Art. 28](https://www.digital-operational-resilience-act.com/Article%5F28.html?ref=waldvorlauternormen.com) bis [30 DORA](https://www.digital-operational-resilience-act.com/Article%5F30.html?ref=waldvorlauternormen.com) unterliegen, fallen nicht in den Anwendungsbereich des AT 9\. Die jeweiligen Pflichten entfallen nicht, sondern richten sich nach DORA; geldwäscherechtliche Anforderungen bleiben unberührt. Institute müssen ihre Fremdbezüge deshalb konsistent als MaRisk-Auslagerung, sonstigen Fremdbezug oder IKT-Drittdienstleistung nach DORA einordnen. **Action Points:** - Fremdbezugskatalog zwingend auf Auslagerungen nach AT 9, sonstigen Fremdbezug und IKT-Drittdienstleistungen nach DORA umstellen. - Schnittstellen zwischen dem MaRisk-Auslagerungsmanagement, dem IKT-Drittparteienrisikomanagement und der Geldwäscheprävention verbindlich festlegen. #### Risikoanalyse: Prüfturnus und Szenarioanalyse Die Risikoanalyse bleibt Grundlage der Wesentlichkeitseinstufung. Neu ist die ausdrückliche Mindestfrist von drei Jahren für ihre regelmäßige Überprüfung bei kleinen Instituten; bei wesentlichen Änderungen ist sie weiterhin anzupassen. Die Ergänzung um eine Szenarioanalyse, soweit sinnvoll und verhältnismäßig, war bereits 2024 vorgesehen. Kleine Institute dürfen weiterhin qualitative Ansätze nutzen. Interne und externe Verlustdaten sind nur zu verwenden, sofern sie verfügbar sind. **Action Points:** - Den Prüfturnus (bei kleinen Instituten maximal drei Jahre) sowie die Auslöser für anlassbezogene Aktualisierungen in der Auslagerungsrichtlinie verankern. - Methodische Vorgaben zur Szenarioanalyse ergänzen und die Nutzung qualitativer Ansätze bei kleinen Instituten rechtssicher dokumentieren. #### Vollauslagerung besonderer Funktionen und Revisionsprüfung Die Möglichkeit der vollständigen Auslagerung besonderer Kontrollfunktionen wird enger gefasst. Die bisherige proportionale Öffnung für „kleinere Institute“ wird für Compliance-Funktion und Interne Revision auf „sehr kleine Institute“ begrenzt. Für die Risikocontrolling-Funktion besteht diese größenbezogene Ausnahme nicht mehr. Gruppenbezogene Ausnahmen für nicht wesentliche Tochterinstitute bleiben bestehen. Die Interne Revision darf weiterhin auf eigene Prüfungshandlungen verzichten, wenn eine anderweitige Revisionstätigkeit den aufsichtlichen Anforderungen genügt und die relevanten Ergebnisse weitergeleitet werden. Nachweise und Zertifikate nach gängigen Standards dürfen ergänzend genutzt werden, reichen bei wesentlichen Auslagerungen aber nicht allein aus. Bestehende Vollauslagerungen sind deshalb anhand der neuen Größenklassen und der fortbestehenden Überwachungsanforderungen zu überprüfen. **Action Points:** - Bestehende Vollauslagerungen von Risikocontrolling, Compliance und Interner Revision anhand der neuen Größenkriterien (Fokus auf "sehr kleine Institute") prüfen und den Ausnahmestatus dokumentieren. - Bei Aufrechterhaltung einer Vollauslagerung zwingend einen unabhängigen und sachkundigen internen Beauftragten benennen. - Den Verzicht auf eigene Revisionshandlungen, die alternative Revisionstätigkeit sowie die flankierende Bewertung von Zertifikaten (als Ergänzung, nicht als Ersatz) prozessual festhalten #### Ausstiegsstrategien, Vertragsinhalte und Weiterverlagerungen Bei der Beendigung wesentlicher Auslagerungen bleiben Vorkehrungen für Kontinuität und Qualität sowie die Prüfung von Handlungsoptionen erforderlich. Der Begriff „Ausstiegsstrategien“ ersetzt die bisherige Bezeichnung „Ausstiegsprozesse“; die zugrunde liegende Pflicht ist im Kern nicht neu. Auch die Möglichkeit, auf gesonderte vertragliche Weisungsrechte bei hinreichend klarer Leistungsspezifikation zu verzichten, und die Festlegung interner Akzeptanzgrenzen für Schlechtleistungen bestanden bereits 2024\. Neu ist vor allem der unmittelbare Verweis auf [§ 25b Abs. 3 Satz 3 KWG](https://www.gesetze-im-internet.de/kredwg/%5F%5F25b.html?ref=waldvorlauternormen.com), der Inhalte des Auslagerungsvertrags vorschreibt, und die gestraffte Darstellung. Bei Weiterverlagerungen knüpften die erweiterten Anforderungen bereits 2024 an die Wesentlichkeit der Weiterverlagerung an. Verbindlicher wird dagegen die Kontrolle langer und komplexer Auslagerungsketten: Das Institut muss nun ausdrücklich sicherstellen, dass seine Überwachungsfähigkeit durch solche Ketten nicht beeinträchtigt wird. **Action Points:** - Ausstiegsstrategien und Handlungsoptionen formulieren; bei fehlenden Alternativen das Notfallkonzept zwingend aktualisieren. - Vertragsmuster mit den Vorgaben des § 25b Abs. 3 Satz 3 KWG abgleichen und sicherstellen, dass Informations- und Prüfungsrechte auch Zutritts-, Zugangs- und Zugriffsrechte umfassen. - Akzeptanzgrenzen für Schlechtleistungen bereits in der Anbahnungsphase definieren und im Überwachungsprozess verankern. - Auslagerungsketten auf ihre Überwachbarkeit prüfen und die Wesentlichkeit von Weiterverlagerungen isoliert bewerten. #### Zentrales Auslagerungsmanagement und Berichterstattung Die bisherige starre Pflicht zur Benennung eines isolierten "zentralen Auslagerungsbeauftragten" entfällt. Stattdessen ist, abhängig von Art, Umfang und Komplexität der Aktivitäten, ein "zentrales Auslagerungsmanagement" einzurichten. Dieses greift steuernd ein, unterstützt Fachbereiche, koordiniert Risikoanalysen und führt das Auslagerungsregister. Bei der Berichterstattung über wesentliche Auslagerungen wird der bisherige jährliche Mindestturnus durch eine regelmäßige und anlassbezogene Berichterstattung ersetzt. Der Bericht muss Vertragserfüllung, Steuerbarkeit und den Bedarf an risikomindernden Maßnahmen beurteilen. Die Möglichkeit einer mündlichen Behandlung in einer Vorstandssitzung bestand bereits 2024 für kleinere, weniger komplexe Institute; sie wird nun ausdrücklich auf sehr kleine Institute begrenzt. Der gewählte Berichtsturnus und die Inanspruchnahme der Erleichterung sind nachvollziehbar zu dokumentieren. **Action Points:** - Rollen und Aufgaben auf das "zentrale Auslagerungsmanagement" überführen; bisherige Stabsstellen nur beibehalten, wenn dies organisatorisch sinnvoll bleibt. - Den Berichtsturnus für wesentliche Auslagerungen risikoorientiert festlegen und die internen Richtlinien entsprechend anpassen. - Bei sehr kleinen Instituten den Beschluss zur Berichterstattung im Rahmen der Vorstandssitzung protokollieren. ## Teil 2: Besonderer Teil (BT, BTO und BTR) ### BT 1 – Besondere Anforderungen an das interne Kontrollsystem #### Straffung und Einbeziehung der Kreditspreadrisiken BT 1 wird redaktionell und systematisch gestrafft. Kreditspreadrisiken im Anlagebuch waren bereits 2024 in BTR 5 geregelt; neu ist ihre ausdrückliche Aufnahme in die einleitende Aufzählung der BTR-Risikoarten. Die besonderen ESG-Hinweise im Eingangstext entfallen, ohne dass die Berücksichtigung von ESG-Risiken nach AT 2.2 aufgehoben wird. **Action Points:** - Sämtliche internen BT-1-Verweise in der IKS-, BTO- und BTR-Dokumentation an die gestraffte Terminologie anpassen. - Kreditspreadrisiken im Anlagebuch in der Risikosteuerung und Berichterstattung zwingend dem Modul BTR 5 zuordnen. ### BTO Anforderungen an die Aufbau- und Ablauforganisation Die allgemeinen BTO-Vorgaben werden gestrafft. Die Unterscheidung zwischen „Bereich“ und „Stelle“ bestand bereits 2024 in den Erläuterungen: Eine unabhängige Stelle kann innerhalb der Geschäftsleiterlinie Markt oder Handel liegen, während ein Bereich außerhalb von Markt und Handel bis einschließlich der Geschäftsleiterebene getrennt sein muss. Neu ist daher vor allem die kompaktere Darstellung, nicht der Inhalt dieser Abgrenzung. Auch die Möglichkeit, die Bereiche Markt für Kredit- und Immobiliengeschäft beziehungsweise die entsprechenden Marktfolge-Bereiche personenidentisch zu besetzen, bestand bereits 2024\. Gleiches gilt im Kern für abweichende Linienstrukturen rechtlich unselbständiger Auslandszweigstellen, sofern die fachliche Funktionstrennung gewahrt bleibt. Die Neufassung übernimmt und strafft diese Regelungen. Nicht fortgeführt werden einzelne Detailvorgaben zur organisatorischen Ansiedlung des Rechnungswesens und des Marktpreisrisikocontrollings. **Action Points:** - Die BTO-Begrifflichkeiten (Bereich vs. Stelle) im Organigramm und in der Funktionstrennungsmatrix aktualisieren. - Bei Doppelfunktionen dokumentieren, dass eine identische Besetzung ausschließlich innerhalb des Marktes oder der Marktfolge erfolgt. - CRD-Drittstaatenzweigstellen müssen abweichende Linienorganisationen begründen und die fachliche Trennung nachweisen. ### BTO 1 Kreditgeschäft – Beteiligungen und organisatorische Vorgaben Für Beteiligungen werden die bereits 2024 in den Erläuterungen enthaltenen Maßstäbe gestrafft fortgeführt. Im Regelfall sind eine Beteiligungsstrategie und ein Beteiligungscontrolling erforderlich; für kreditnahe oder kreditersetzende Beteiligungen gelten zusätzlich die aufbau- und ablauforganisatorischen Anforderungen des BTO 1\. Die materielle Erleichterung betrifft Verbund- und Pflichtbeteiligungen: Bei ihnen darf künftig sowohl auf eine Beteiligungsstrategie als auch auf ein gesondertes Beteiligungscontrolling verzichtet werden. **Action Points:** - Das Beteiligungsportfolio nach Regelfall, kreditnaher/kreditersetzender Beteiligung sowie Verbund-/Pflichtbeteiligung klassifizieren. - Je nach Klassifizierung festlegen, ob eine Beteiligungsstrategie, BTO-1- oder BTO-3-Anforderungen (für Immobilientochterunternehmen) einschlägig sind. ### BTO 1.1 Funktionstrennung und Votierung Die Trennung von Markt und Marktfolge bis zur Geschäftsleiterebene bleibt das Kernelement im Kreditgeschäft. Materiell enger gefasst wird die vollständige Ausnahme vom Zwei-Voten-Prinzip: Die bisherige proportionale Öffnung steht künftig nur noch sehr kleinen Instituten offen und setzt voraus, dass die Geschäftsleitung risikorelevante Kredite selbst bearbeitet und beschließt. Bei Krediten an Mitarbeiter und Geschäftsleiter bleibt die bereits 2024 erläuterte Pflicht bestehen, eine geeignete, nicht an der Kreditbearbeitung beteiligte Stelle – etwa die Personalabteilung – einzubeziehen. Die Regelung wird gestrafft fortgeführt; die eigentliche Kreditbearbeitung darf weiterhin im Kreditbereich verbleiben. Die bislang in den Erläuterungen enthaltene materielle Plausibilitätsprüfung wird in den Anforderungstext übernommen. Die Marktfolge muss die Bearbeitung des Marktes nicht wiederholen, aber die Nachvollziehbarkeit der zugrunde gelegten Annahmen und Bewertungen sowie die Vertretbarkeit der vorgeschlagenen Kreditentscheidung prüfen. Hierfür benötigt sie Zugang zu allen wesentlichen Kreditunterlagen. Der Verzicht auf ein zweites Votum bleibt für nicht-risikorelevante Kreditgeschäfte möglich. Drittinitiierte Geschäfte, stark standardisierte Entscheidungsabläufe und Bagatellgrenzen waren bereits 2024 in den Erläuterungen genannt; die Neufassung führt diese Fallgruppen gestrafft fort. Auch die Bindung der Krediteinzelkompetenz an das Amt des Geschäftsleiters und der Ausschluss einer Ausübung durch Personen unterhalb der Geschäftsleitung bestanden bereits 2024\. Die Kompetenz geht auch im Vertretungsfall nicht auf nachgelagerte Vertreter über. Anpassungsbedarf entsteht daher vor allem durch die neue Gliederung und gegebenenfalls durch abweichende interne Verweise. Die Vorgaben zu unvoreingenommenen und interessenkonfliktfreien Entscheidungen, zu delegierten Befugnissen und zum Einsatz automatisierter Modelle waren bereits 2024 in den Erläuterungen angelegt und werden nun verbindlicher im Anforderungstext abgebildet. Die Kontrolle des rechtlichen Bestands von Sicherheiten darf weiterhin einer von Markt und Handel unabhängigen Stelle, etwa der Rechtsabteilung, zugewiesen werden. **Action Points:** - Den Verzicht auf zwei Voten strikt auf "sehr kleine Institute" (bei GL-Einbindung) sowie auf Abgrenzungskriterien für das nicht-risikorelevante Kreditgeschäft (inkl. drittinitiierte Geschäfte, Bagatellgrenzen) prüfen. - Bei Krediten an Mitarbeiter und Geschäftsleiter die zwingende Mitwirkung einer unabhängigen Stelle (z. B. Personalabteilung) prozessual verankern. - Die Krediteinzelkompetenzvorgaben aktualisieren und sicherstellen, dass die Vertretungsregelung für diese Befugnis ausschließlich auf Ebene der Geschäftsleitung stattfindet. - Die materielle Plausibilitätsprüfung der Marktfolge sowie den uneingeschränkten Systemzugriff auf alle relevanten Kreditakten sicherstellen. - Die Kompetenzordnung um Vorgaben zur Unvoreingenommenheit, Delegation und zum Einsatz automatisierter Modelle ergänzen. - Die Zuständigkeit für die rechtliche Prüfung von Sicherheiten (z. B. an die Rechtsabteilung) klar zuordnen und in den Arbeitsanweisungen abbilden ### BTO 1.2 Prozesse im Kreditgeschäft – Automatisierung, Sicherheiten und Erleichterungen BTO 1.2 wird umfassend aktualisiert. Neben der terminologischen Anpassung von „Kreditgewährung“ zu „Kreditvergabe“ rücken insbesondere die Themen Automatisierung, Betrugsprävention und der Einsatz statistischer Bewertungsmodelle in den Fokus. Die bisherigen isolierten Verweise auf ESG-Risiken entfallen hier, da diese ganzheitlich im AT 2.2 sowie in den betroffenen Fachprozessen zu verankern sind. #### Kreditvergabeprozess, Automatisierung und Betrugsprävention Mehrere bislang vor allem in den Erläuterungen oder über EBA-Verweise enthaltene Vorgaben werden in den Anforderungstext übernommen. Dies betrifft Genehmigungsstufen, Kreditvergabekriterien, Risikominderungsmaßnahmen und den Umgang mit Abweichungen. Auch die Anforderungen an automatisierte Entscheidungsmodelle sowie an die Begrenzung interner und externer Betrugsrisiken werden nun unmittelbar und verbindlicher geregelt. Der Anpassungsbedarf liegt damit vor allem in der Überführung bestehender Vorgaben in klare Prozess-, Modell- und Kontrollregelungen sowie in der Abstimmung mit den allgemeinen Modellanforderungen nach AT 4.3.4. #### Erleichterungen im drittinitiierten Geschäft Die Erleichterungen bei drittinitiierten Geschäften bestanden bereits 2024 in den Erläuterungen und werden gestrafft fortgeführt. Bei objektiv eingeschränktem Datenzugang kann unter den genannten Voraussetzungen auf einzelne Sensitivitätsanalysen, die Überwachung von Covenants sowie auf Intensiv- und Problemkreditbetreuung verzichtet werden. Voraussetzung bleibt, dass der eingeschränkte Datenzugang nachvollziehbar ist und vertragliche Informationspflichten sicherstellen, dass das Institut über wesentliche Vorkommnisse beim Kreditnehmer informiert wird. Die Nutzung der Erleichterung und ihre Voraussetzungen sind zu dokumentieren. #### Sicherheitenbewertung und Sachverständige Die Verfahren zur Sicherheitenbewertung sind künftig regelmäßig, bei kleinen Instituten mindestens alle zwei Jahre, zu überprüfen. Der bisherige Genehmigungsvorbehalt der Geschäftsleitung vor Erstverwendung oder wesentlicher Änderung entfällt in diesem Modul. Anforderungen an fortgeschrittene statistische Bewertungsmodelle, die 2024 vor allem über EBA-Verweise einbezogen waren, werden nun unmittelbar ausformuliert. Sachverständige müssen weiterhin vom Markt unabhängig sein und dürfen nicht erfolgsabhängig vergütet werden. Neu ist außerdem, dass sehr kleine Institute auf eine Rotation bei der Bewertung von Immobiliensicherheiten verzichten dürfen. Die Neufassung reduziert damit einzelne formale Vorgaben, verlangt aber eine belastbare Dokumentation der Bewertungsmethoden, Daten und Modellkenntnisse. Bestehende Rotations- und Genehmigungsprozesse sollten gezielt daraufhin geprüft werden, welche Anforderungen entfallen und welche aus Gründen der Unabhängigkeit oder Modellqualität beibehalten werden. #### Konditionsgestaltung und Standardtexte Die Konditionsgestaltung muss sich zwingend aus dem Risikoappetit, der Geschäftsstrategie und den vollumfänglichen Kosten ableiten. Die bisherige Vorgabe zu standardisierten Kreditvorlagen wurde gestrichen, jedoch müssen Verträge auf rechtlich geprüften Standardtexten beruhen, die anlassbezogen zu aktualisieren sind. Weicht der Markt vor Vertragsabschluss von diesen Standards ab, ist eine Freigabe durch eine marktunabhängige Stelle zwingend erforderlich. Im nicht-risikorelevanten Geschäft genügt die Prüfung durch einen sachkundigen, marktunabhängigen Mitarbeiter. **Action Points:** - Kreditprozessrichtlinien auf die neuen Vorgaben zu Genehmigungsstufen, Kreditlimiten und Betrugsprävention aktualisieren. Den Einsatz automatisierter Entscheidungsverfahren (inklusive der zulässigen Segmente und Limite) trennscharf dokumentieren. - Prüfen, ob bei Kooperationen der Datenzugang objektiv eingeschränkt ist, um Erleichterungen zu nutzen. Informationspflichten zu Vorkommnissen vertraglich sicherstellen. - Den Überprüfungsturnus für Bewertungsverfahren verankern; bei kleinen Instituten beträgt er mindestens zwei Jahre. Bei Nutzung statistischer Bewertungsmodelle Datenqualität und Modelldokumentation an die nun unmittelbar ausformulierten Anforderungen anpassen. - Unabhängigkeit und Vergütungsstrukturen prüfen; sehr kleine Institute sollten den Verzicht auf Rotation bei Immobilienbewertungen formell beschließen und dokumentieren. - Sicherstellen, dass die Konditionsgestaltung alle Kosten und den Risikoappetit reflektiert. Einen klaren Freigabeprozess für Abweichungen von rechtlich geprüften Standardtexten etablieren. ### BTO 1.2.1 Kreditvergabe – EBA-Leitlinien und Sicherheitenbewertung Die für Unternehmenskredite relevanten Verweise auf die Abschnitte 5.2.5 bis 5.2.11 der EBA-Leitlinien stehen nun im Anforderungstext; die bisherigen Verweise auf die Unterabschnitte für Verbraucherkredite werden nicht fortgeführt. Vor der Kreditvergabe sind Sicherheiten zu bewerten und ihr rechtlicher Bestand zu prüfen. Für große und komplexe bewegliche Sicherheiten sieht die MaRisk in der Regel eine Bewertung durch interne oder externe sachverständige Personen vor. Andere bewegliche Sicherheiten dürfen weiterhin auf Grundlage statistischer Modelle oder geeigneter standardisierter Verfahren bewertet werden. Die Neufassung macht die Anforderungen an die Sicherheitenbewertung unmittelbarer, lässt aber weiterhin risikogerechte Differenzierungen zu. Institute müssen insbesondere festlegen, wann eine bewegliche Sicherheit als groß oder komplex gilt und welche Voraussetzungen statistische oder standardisierte Bewertungsverfahren erfüllen müssen. **Action Points:** - Erleichterungen im nicht-risikorelevanten Kreditgeschäft (z. B. bei Sensitivitätsanalysen) prozessual verankern und nachvollziehbar begründen. - Prozesse zur Sicherheitenbewertung anpassen: Kriterien für große und komplexe bewegliche Sicherheiten festlegen, die in der Regel durch sachverständige Personen zu bewerten sind, und die methodischen Voraussetzungen für statistische oder standardisierte Verfahren dokumentieren. ### BTO 1.2.2 Kreditweiterbearbeitung – Endfällige Kredite und Marktdaten Bei endfälligen Krediten wird eine bereits 2024 in den Erläuterungen enthaltene Anforderung in den Anforderungstext übernommen. Die Rückzahlungsfähigkeit darf nicht allein aus der laufenden Zinsdienstfähigkeit abgeleitet werden; vielmehr ist die Fähigkeit zur Rückzahlung des Gesamtbetrags am Laufzeitende unter Berücksichtigung der Finanzlage, der Gesamtverschuldung und des Objekt- oder Projektwerts zu beurteilen. Eine neue Erleichterung gilt für kleine Institute mit regional konzentriertem Kreditbuch: Sie dürfen auf den Einkauf fremder Daten und den Einsatz eines Marktschwankungskonzepts verzichten, wenn ihre eigenen Transaktionen einen hinreichenden Einblick in die Entwicklung der Immobilienmärkte im Geschäftsgebiet vermitteln. Die Erleichterung für kleine Institute bei regionalen Marktinformationen kann den Beschaffungsaufwand reduzieren, setzt aber eine ausreichende eigene Transaktionsbasis und nachvollziehbare Dokumentation voraus. Bei endfälligen Krediten sind Prozesse und Vorlagen vor allem an die nun unmittelbar formulierte Prüfung der Rückzahlungsfähigkeit anzupassen. Die Detailerläuterungen zu Covenants und der isolierte EBA-Verweis entfallen. **Action Points:** - Die laufende Überprüfung endfälliger Kredite zwingend um die ganzheitliche Tilgungsfähigkeit am Laufzeitende (nicht nur Zinsdienst) ergänzen. - Bei kleinen Instituten: Den Verzicht auf externe Marktdaten methodisch sauber auf den eigenen, belastbaren regionalen Markteinblick stützen und dies dokumentieren. - Veraltete Verweise auf EBA-Abschnitt 8.3 und gestrichene Covenant-Detailvorgaben aus den Arbeitsrichtlinien entfernen. ### BTO 1.2.3 & BTO 1.2.4: Kreditbearbeitungskontrolle und Intensivbetreuung Beide Module bleiben materiell unverändert. In BTO 1.2.4 wurden lediglich beispielhafte Aufzählungen für Maßnahmen der Intensivbetreuung (wie die Aufnahme in Beobachtungslisten) aus dem Text gestrichen. Die Pflicht, prozessabhängige Kontrollen (etwa vor Valutierung) durchzuführen und geeignete Maßnahmen zur Rückführung von Krediten in die Normalbetreuung zu ergreifen, bleibt uneingeschränkt bestehen.. ### BTO 1.2.5 Behandlung von Problemkrediten – NPE-Einheiten und Rettungserwerbe Im Problemkreditmanagement werden vor allem bereits bestehende Vorgaben verbindlicher gefasst und aus den Erläuterungen in den Anforderungstext übernommen. Für Institute mit hohem NPL-Bestand wird die bisherige Soll-Vorgabe zu spezialisierten NPE-Abwicklungseinheiten zu einer verbindlichen Muss-Vorgabe. Die Einheiten müssen dem Geschäfts- und Risikoprofil entsprechen, grundsätzlich vom Kreditvergabeprozess getrennt und außerhalb des Bereichs Markt angesiedelt sein; eine Zuordnung zur Problemkreditbearbeitung bleibt möglich. Lassen sich personelle Überschneidungen nicht vermeiden, sind Interessenkonflikte zu vermeiden. Inhaltlich entsprechen diese Organisationsmerkmale weitgehend bereits der Erläuterung von 2024; neu ist vor allem ihre Verbindlichkeit und Aufnahme in den Anforderungstext. Bei Immobilien aus Rettungserwerben liegt dagegen keine materielle Neuerung vor. Die bereits 2024 in den Erläuterungen enthaltene Regelung steht nun im Anforderungstext: Im Rahmen eines Rettungserwerbs erworbene Immobilien gelten als Immobiliengeschäfte. Werden bei Immobilien aus Rettungserwerben die Schwellen nach BTO 3 überschritten, sind weiterhin die Anforderungen des BTO 3.2.2 zur Weiterbearbeitung und Überwachung zu beachten. Für die Umsetzung sind daher vor allem die verbindlichere Ausgestaltung der NPE-Abwicklungseinheiten und die Aktualisierung interner Verweise relevant. **Action Points:** - Bei hohem NPL-Bestand die zwingende Ansiedlung der NPE-Abwicklungseinheit außerhalb des Marktes und die strikte Trennung vom Kreditvergabeprozess im Organigramm sicherstellen. - Bei unvermeidbaren personellen Überschneidungen in der NPE-Abwicklung verbindliche, wirksame Kontrollvorkehrungen (z. B. Vier-Augen-Prinzip, Eskalationswege) implementieren. - Erworbene Immobilien formell als Immobiliengeschäfte klassifizieren und bei Überschreiten der BTO-3-Schwellen die Weiterbearbeitung nach BTO 3.2.2 anstoßen. ### BTO 1.2.6 – Risikovorsorge BTO 1.2.6 wird nur sprachlich bereinigt. Die Anforderungen an Kriterien für Wertberichtigungen, Abschreibungen und Rückstellungen, die zeitnahe Ermittlung und Fortschreibung der Risikovorsorge sowie die regelmäßigen Rückvergleiche der Methoden und Verfahren bleiben unverändert. ### BTO 1.3.1 Früherkennung von Risiken Die wesentliche formelle Änderung besteht in der unmittelbaren Aufnahme bislang über EBA-Verweise einbezogener Vorgaben in BTO 1.3.1\. Ausgelöste Frühwarnindikatoren müssen zu einer Prüfung des Engagements und bei Bedarf zur Aufnahme in eine Beobachtungsliste führen. Die Geschäftsleitung ist regelmäßig über deren Stand und die ergriffenen Maßnahmen zu informieren. Die besonderen ESG- und EBA-Verweise entfallen. Die Erleichterung für drittinitiierte Geschäfte bei objektiv eingeschränktem Datenzugang bestand bereits 2024 in den Erläuterungen und wird fortgeführt. Ebenfalls klargestellt bleibt, dass ein bloßes Rating- oder Scoringergebnis kein ausreichendes Früherkennungsverfahren darstellt. Wird das Risikoklassifizierungsverfahren zugleich zur Früherkennung eingesetzt, muss es Risiken über einen Zeitraum beobachten und einen geregelten Prozess für Folgemaßnahmen auslösen. Die Kodifizierung der EBA-Leitlinien im Haupttext schafft Rechtssicherheit, erhöht jedoch die formellen Anforderungen an die prozessuale Dokumentation. Die Ausnahmeregelung bei drittinitiierten Geschäften reduziert den operativen Aufwand merklich, verlangt zur Absicherung der Risikoposition jedoch rechtlich belastbare und engmaschige vertragliche Informationspflichten gegenüber dem Dritten. **Action Points:** - Frühwarnindikatoren, Auslöseereignisse und die Systematik der Beobachtungsliste (inklusive Eskalationsstufen) im Früherkennungsprozess formalisieren. - Die regelmäßige Berichterstattung an die Geschäftsleitung über den Bestand der Beobachtungsliste in den fixen Berichtsturnus aufnehmen. - Bei drittinitiierten Geschäften den Verzicht auf eigene Verfahren dokumentieren und die entsprechenden Informationspflichten vertraglich absichern. - Bestehende Risikoklassifizierungsverfahren auf indikatoren-, zeitraum- und prozessbezogene Komponenten prüfen, sofern sie als Früherkennungssystem fungieren. ### BTO 1.3.2 – Forbearance Das Modul wird gestrafft und unmittelbar an das aufsichtliche Meldewesen angebunden. Die Definition von Forbearance richtete sich bereits 2024 nach der Definition für das aufsichtliche Meldewesen. Die Neufassung führt diesen Ansatz fort und verweist ausdrücklich auf die einschlägigen aufsichtsrechtlichen Vorgaben. Kreditprozesse, Risikocontrolling und Meldewesen müssen deshalb dieselben Begriffe und Einstufungskriterien verwenden. Die bisherige eigenständige Richtlinienvorgabe und mehrere Detailanforderungen werden nicht fortgeführt. Die Institute müssen weiterhin Prozesse, Zuständigkeiten, Entscheidungswege, verfügbare Maßnahmen und Verfahren zur Wirksamkeitsmessung festlegen. Standardisierte Lösungen für homogene Portfolios mit geringer Komplexität waren bereits 2024 zulässig und bleiben möglich. Neu ausdrücklich genannt wird neben der Zahlungsfähigkeit auch die Zahlungswilligkeit des Kreditnehmers. Die Eignung einer Forbearance-Maßnahme ist anhand beider Kriterien zu beurteilen; Sicherheiten oder Garantien ersetzen diese Prüfung nicht. Vertragsänderungen mit Auswirkungen auf das Zahlungsverhalten erfordern eine erneute Beurteilung der finanziellen Lage. Nachverhandlungen ohne finanzielle Schwierigkeiten sind weiterhin von Forbearance-Maßnahmen abzugrenzen. Der Wegfall einzelner Detailvorgaben eröffnet mehr Spielraum für eine institutsindividuelle Ausgestaltung, erhöht aber die Bedeutung klarer eigener Kriterien und einer einheitlichen Anwendung in Kreditprozess, Risikocontrolling und Meldewesen. Insbesondere die Beurteilung, ob die Zahlungsfähigkeit in einem angemessenen Zeitraum wiederhergestellt werden kann, ist nachvollziehbar zu dokumentieren. **Action Points:** - Forbearance-Definitionen in den internen Richtlinien zwingend mit den Kriterien des aufsichtlichen Meldewesens synchronisieren, um divergierende Einstufungen zu vermeiden. - Interne Regelwerke anpassen: Den Wegfall der Pflicht-Richtlinie nutzen, um Prozesse, Zuständigkeiten und Maßnahmen effizienter in bestehenden Arbeitsanweisungen abzubilden; fachlich sinnvolle Detailvorgaben sollten zur eigenen Absicherung bewusst fortgeführt werden. - Prüfungsprozesse so ausgestalten, dass Zahlungsfähigkeit und Zahlungswilligkeit des Kreditnehmers angemessen beurteilt werden; Sicherheiten und Garantien dürfen diese Beurteilung nicht ersetzen. Standardisierte Lösungen für homogene, wenig komplexe Portfolios risikogerecht einsetzen. - Prozessuale Auslöser festlegen, um bei Vertragsänderungen mit Auswirkung auf das Zahlungsverhalten eine Neubeurteilung anzustoßen und rein wirtschaftliche Nachverhandlungen rechtssicher abzugrenzen. - Bestehende Arbeitsanweisungen auf veraltete MaRisk- und EBA-Verweise sowie unbeabsichtigte Selbstbindungen (z. B. starre Zweijahresfristen) überprüfen und bereinigen. ### BTO 1.4 Risikoklassifizierungsverfahren Das Modul bleibt materiell vollständig unverändert. Die Anforderungen an aussagekräftige Risikoklassifizierungsverfahren, die strikte Verortung der organisatorischen Verantwortung für diese Verfahren außerhalb des Bereiches Markt sowie die Berücksichtigung qualitativer und quantitativer Kriterien gelten in der bisherigen Form fort. ### BTO 2.1 Funktionstrennung Die Anforderungen an die Funktionstrennung sowie die Befugnisse von Kundenberatern wurden direkt in den Anforderungstext überführt. Kundenberater dürfen weiterhin Aufträge zur Preisgestaltung an den Handel weiterleiten, sofern sie innerhalb festgelegter Limits bleiben; eine eigene Kursstellung sowie der Aufbau von Eigenpositionen bleiben für diesen Personenkreis strikt untersagt. Die Befreiung von der Funktionstrennung (zwischen Handel und Abwicklung/Kontrolle) erfolgt nicht mehr anhand des starren Kriterienkatalogs nach Art. 94 Abs. 1 CRR. An dessen Stelle tritt die qualitative Anforderung, dass das Handelsvolumen im Verhältnis zum Gesamtgeschäft gering und die Struktur der Geschäfte nicht komplex sein muss. Bei kleinsten Strukturen ist die Aufgabentrennung durch direkte Einbindung der Geschäftsleitung oder die temporäre Zuweisung fachfremder Mitarbeiter sicherzustellen. Die Abkehr von starren CRR-Referenzen erhöht die organisatorische Flexibilität. Gleichzeitig verlagert die Nutzung unbestimmter Rechtsbegriffe („geringes Volumen“, „nicht komplex“) das regulatorische Interpretationsrisiko auf das Institut. Eine belastbare, intern definierte Abgrenzung dieser Kriterien ist daher zwingend erforderlich, um die Inanspruchnahme von Trennungserleichterungen bei Aufsichtsprüfungen revisionssicher zu begründen. **Action Points:** - Kundenberater-Richtlinien hinsichtlich Limitrahmen und Tätigkeitsverboten prüfen. - Interne Schwellenwerte für "geringes Volumen" und "nicht komplexe Strukturen" als Basis für Trennungserleichterungen definieren und dokumentieren. - Bei Kleinststrukturen den Prozess zur Geschäftsleitungseinbindung oder zur temporären Mitarbeiterzuordnung in den Arbeitsanweisungen explizit verankern. ### BTO 2.2.1 Handel BTO 2.2.1 bleibt im Wesentlichen unverändert. Die jährliche Übertragung der Positionsverantwortung für mindestens zehn Handelstage ist weiterhin sicherzustellen; die Ausgestaltung ist an Art, Umfang und Komplexität der Handelsaktivitäten auszurichten. Bei der Vertragsprüfung entfällt der ausdrückliche Klammerhinweis auf Rahmenvereinbarungen, Nettingabreden und Sicherheitenbestellungen; die Pflicht zur unabhängigen Prüfung der rechtlichen Durchsetzbarkeit bleibt bestehen. **Action Points:** - Die jährliche Übertragung der Positionsverantwortung auf Art, Umfang und Komplexität der Handelsaktivitäten abstimmen und die Ausgestaltung nachvollziehbar dokumentieren. ### BTO 2.2.2 Abwicklung und Kontrolle Die wichtigsten Änderungen betreffen den Bestätigungsprozess und die Nachvollziehbarkeit von Positionen und Zahlungsströmen. Mehrere Vorgaben, die 2024 nur in den Erläuterungen standen, sind nun unmittelbar in den Anforderungstext aufgenommen. Unverändert bleibt der Grundsatz, Handelsgeschäfte abhängig von Art, Umfang, Komplexität und Risiko grundsätzlich elektronisch abzuwickeln und vorhandene Abwicklungssysteme möglichst zu nutzen. Fehlende oder unvollständige Gegenbestätigungen sind weiterhin unverzüglich zu reklamieren. Können Gegenbestätigungen nicht eingeholt werden, muss das Institut Existenz und Inhalt des Geschäfts auf andere geeignete Weise prüfen. Diese Vorgabe stand 2024 noch in den Erläuterungen. Neu ist die verbindlichere inhaltliche Vorgabe für Ad-hoc-Bestätigungen bei komplexen Produkten: Sieht der Rahmenvertrag vor, dass nur ein Vertragspartner die ausführliche Vertragsfassung erstellt, muss die beiderseitige Ad-hoc-Bestätigung die wesentlichen Angaben zum vereinbarten Handelsgeschäft enthalten. 2024 war diese Vorgabe mit „sollte“ noch weniger verbindlich formuliert. Ebenfalls in den Anforderungstext übernommen werden die Möglichkeit, innerhalb von Rahmenverträgen Schweigen nach Ablauf einer vorher vereinbarten Frist als Gegenbestätigung festzulegen, und die Pflicht, auf Häufungen von Stornierungen und Korrekturen bei einzelnen Mitarbeitern oder bestimmten Geschäften zu achten. Die bisherige ausdrückliche Formulierung, Gegenbestätigungen dürften nicht an den Handel adressiert sein, ist entfallen. Weiterhin ist jedoch ihr unverzüglicher und direkter Eingang in die Abwicklung zu überwachen. Die Sonderregel zu OTC-Derivaten ist inhaltlich nicht neu, steht nun aber im Anforderungstext. Eine Bestätigung nach Art. 11 Abs. 1 Buchstabe a EMIR genügt, wenn sie unabhängig vom Handel erfolgt, die Meldepflicht gegenüber einem Transaktionsregister erfüllt wird, beide Vertragspartner die Abschlussdaten jederzeit abrufen können und das Institut den Abruf tatsächlich vornimmt und dokumentiert. Zugleich wurde der Verweis auf die durch EMIR 3 geänderte Fassung der Verordnung aktualisiert. Auch die Erleichterung bei einer automatischen Datenweiterleitung wird aus den Erläuterungen in den Anforderungstext übernommen. Auf die Kontrollen, ob Geschäftsunterlagen vollständig und zeitnah vorliegen und ob Händlerangaben richtig, vollständig und mit vorhandenen Vergleichsunterlagen übereinstimmen, kann verzichtet werden, wenn die eingegebenen Abschlussdaten automatisch und ohne weitere Eingriffsmöglichkeit des Händlers an die Abwicklung weitergeleitet werden. Änderungen und Stornierungen der Abschlussdaten oder Buchungen sind weiterhin außerhalb des Handels zu kontrollieren. Bei der Marktgerechtigkeitskontrolle ändert sich in der Sache wenig. Die bisher erläuterten Stichproben- und Ausnahmefälle stehen nun im Anforderungstext. Das betrifft insbesondere Stichproben bei liquiden Kassa- und Termingeschäften, den möglichen Verzicht bei Geschäften an Börsen oder anderen organisierten Märkten, den weiterhin erforderlichen Kontrollumfang bei organisierten Handelssystemen (OTF), Erleichterungen beim Ersterwerb aus einer Emission sowie die Einbeziehung interner Handelsgeschäfte. Eine klare Verschärfung betrifft die Nachvollziehbarkeit von Positionen und Zahlungsströmen. Bisher wurde lediglich erläutert, dass entsprechende Prozesse notwendig sein können. Nach der neuen Fassung müssen geeignete Prozesse vorhanden sein, mit denen sich der Bestand und die Veränderungen von Positionen sowie die Zahlungsströme nachvollziehen lassen. Zu prüfen ist deshalb nicht nur, ob Abstimmungsprozesse bestehen, sondern ob sie diese Nachvollziehbarkeit tatsächlich gewährleisten und belegen. **Action Points:** - Bestätigungsprozesse auf Ersatzverifikation, Muss-Angaben in Ad-hoc-Bestätigungen sowie den Abruf der Abschlussdaten aus dem Transaktionsregister und dessen Dokumentation bei OTC-Derivaten prüfen. - Kontrollkonzept auf automatische Datenweiterleitung sowie Auffälligkeiten bei Stornierungen und Korrekturen prüfen. - Marktgerechtigkeitskontrolle und Nachvollziehbarkeit von Positionen und Zahlungsströmen auf veraltete Verweise und tatsächliche Dokumentationslücken prüfen. ### BTO 3 Immobiliengeschäft Die zentrale Änderung in diesem Modul ist die deutliche Anhebung der Anwendungsschwellen. Auf die besonderen Anforderungen des BTO 3 kann künftig verzichtet werden, solange die Buchwerte aller Immobiliengeschäfte weder 40 Mio. Euro noch 4 % der Bilanzsumme überschreiten. Bisher lagen die Schwellen bei 30 Mio. Euro und 2 %. Wird auch nur eine der beiden neuen Schwellen überschritten, ist BTO 3 anzuwenden. Zugleich wird die bislang nur in den Erläuterungen enthaltene Schwellenregelung in den Anforderungstext übernommen. Neu ist außerdem die ausdrückliche Möglichkeit, Immobilienbuchwerte anteilig anzurechnen. Sie gilt für Immobiliengeschäfte gemeinschaftlich beherrschter Unternehmen und auch für Immobiliengeschäfte von Tochterunternehmen nach § 290 HGB. Voraussetzung ist, dass keine Anhaltspunkte für Umgehungsgeschäfte bestehen. Der Kreis der in die Schwellenberechnung einzubeziehenden Geschäfte bleibt dagegen unverändert. Zu erfassen sind neben den unmittelbar vom Institut betriebenen Immobiliengeschäften auch die Immobiliengeschäfte von Tochterunternehmen und gemeinschaftlich beherrschten Unternehmen, sofern deren Vermögensgegenstände ausschließlich oder überwiegend aus Immobiliengeschäften oder Beteiligungen daran bestehen. Neu ist nicht ihre Einbeziehung, sondern die Möglichkeit, die betreffenden Immobilienbuchwerte anteilig anzusetzen. BTO 3 enthält keine gesonderte Vorgabe zur Dokumentation der Schwellenprüfung. Nach den allgemeinen Dokumentationsanforderungen ist die Entscheidung, BTO 3 nicht anzuwenden, jedoch nachvollziehbar festzuhalten. Wird von der anteiligen Anrechnung Gebrauch gemacht, sollten auch die Berechnungsgrundlage und die Prüfung auf Anhaltspunkte für Umgehungsgeschäfte dokumentiert werden. **Action Points:** - BTO-3-Anwendbarkeit anhand der neuen Schwellen von 40 Mio. EUR und 4 % der Bilanzsumme prüfen. - Vollständigkeit der einbezogenen Immobiliengeschäfte prüfen, insbesondere bei Tochterunternehmen und gemeinschaftlich beherrschten Unternehmen, und die Berechnungslogik für eine anteilige Anrechnung festlegen. - Entscheidung über die Nichtanwendung von BTO 3 sowie gegebenenfalls Berechnungsgrundlage, Beteiligungsquote und Prüfung auf Anhaltspunkte für Umgehungsgeschäfte dokumentieren. ### BTO 3.1 Aufbauorganisation Neu im Anforderungstext ist die materielle Plausibilitätsprüfung des marktunabhängigen Votums. Inhaltlich war sie bereits 2024 in den Erläuterungen enthalten. Die Marktfolge muss die Bearbeitung des Marktes nicht wiederholen. Sie muss jedoch prüfen, ob die Investitionsentscheidung nachvollziehbar und vertretbar ist, ob das Markt-Votum eine tragfähige Entscheidungsgrundlage bildet und ob das Immobiliengeschäft nach Höhe und Ausgestaltung vertretbar ist. Hierfür benötigt sie Zugang zu allen wesentlichen Unterlagen. Funktionstrennung, Zwei-Voten-Prinzip und die Vorgabe, dass die Marktfolge in einem Ausschuss nicht überstimmt werden darf, bleiben unverändert. Auch bei einem von Dritten initiierten Immobiliengeschäft genügt weiterhin ein Votum der Marktfolge. Als Drittinitiierung kann unverändert auch der Fall behandelt werden, dass ein Tochterunternehmen den Erwerb anstößt und ein erstes Votum abgibt. Die Voten dürfen weiterhin in einem Dokument zusammengefasst werden. Nicht mehr ausdrücklich enthalten sind die Hinweise zur Dokumentation des positiven Votums durch Unterschrift oder elektronische Freigabe, zum Verbot eines Gefälligkeitsvotums und zur Abstufung der Prüfungsintensität nach der Komplexität des Geschäfts. Ein rein formales Mitzeichnen genügt dennoch nicht, da dem marktunabhängigen Votum weiterhin eine materielle Plausibilitätsprüfung zugrunde liegen muss. Ebenfalls entfallen ist die bisherige Vorgabe, bei abweichenden Voten das Geschäft entweder abzulehnen oder einer höheren Kompetenzstufe vorzulegen. Eine klare Kompetenzordnung mit Entscheidungsregeln und Eskalationsverfahren bleibt jedoch erforderlich. **Action Points:** - Vorlagen und Arbeitsanweisungen für das Votum der Marktfolge um die Prüfung der Aussagekraft des Markt-Votums sowie der Vertretbarkeit von Höhe und Ausgestaltung des Geschäfts ergänzen. - Sicherstellen, dass die materielle Plausibilitätsprüfung aus den Entscheidungsunterlagen hervorgeht und der Marktfolge alle wesentlichen Unterlagen zugänglich sind. - Kompetenzordnung und Eskalationsverfahren für abweichende Voten überprüfen und Verweise auf die bisher ausdrücklich vorgegebenen Entscheidungsalternativen aktualisieren. ### BTO 3.2 – Prozesse im Immobiliengeschäft Neu im Anforderungstext stehen zwei Regelungen, die 2024 noch in den Erläuterungen enthalten waren. Erstens darf die Entwicklung der Prozesse weiterhin im Bereich Markt erfolgen, wenn ein marktunabhängiger Bereich deren Qualität auf Grundlage einer materiellen Plausibilitätsprüfung sichert. Zweitens dürfen Tochterunternehmen die nach BTO 3.2 erforderlichen Tätigkeiten selbst ausführen, wenn sich das Institut angemessen von deren Qualität überzeugt. Inhaltlich sind diese Regelungen damit nicht neu, werden nun aber unmittelbar im Anforderungstext verankert. Der bisherige ausdrückliche Hinweis, dass das Tochterunternehmen nach klaren Vorgaben des Instituts handeln muss, entfällt. Die allgemeinen Organisationsanforderungen verlangen jedoch weiterhin, Aufgaben, Kompetenzen, Verantwortlichkeiten und Kommunikationswege klar festzulegen. Zudem muss das Institut nachvollziehbar darlegen können, wie es die Qualität der durch das Tochterunternehmen ausgeführten Tätigkeiten geprüft hat. Die Anforderungen an Bewertungsverfahren, Wertansatz, Objektbesichtigung, Qualifikation der sachverständigen Personen, Vermeidung von Interessenkonflikten und Plausibilisierung externer Bewertungen bleiben im Wesentlichen unverändert. Weiterhin ist eine angemessene Rotation der für die Bewertung zuständigen Personen sicherzustellen. Nicht übernommen wurde dagegen die bisherige feste Vorgabe, nach zwei aufeinanderfolgenden Einzelbewertungen derselben Immobilie die sachverständige Person zu wechseln. **Action Points:** - Prozessentwicklung im Bereich Markt nur vorsehen, wenn die marktunabhängige Qualitätssicherung und die zugrunde liegende materielle Plausibilitätsprüfung klar geregelt und dokumentiert sind. - Für Tätigkeiten von Tochterunternehmen Zuständigkeiten, Informationswege, Unterlagenzugang und Art der Qualitätsprüfung festlegen. - Bewertungsrichtlinien auf Qualifikation, Interessenkonflikte, angemessene Rotation und Plausibilisierung externer Bewertungen prüfen; starre Verweise auf einen Wechsel nach zwei Einzelbewertungen entfernen. ### BTO 3.2.1 – Immobilienerwerb oder -errichtung Der Abschnitt bleibt inhaltlich weitgehend unverändert. Vor einem Immobilienerwerb oder einer Immobilienerrichtung sind die risikobedeutsamen Aspekte weiterhin abhängig vom Risikogehalt des Geschäfts zu analysieren und zu beurteilen. Kritische Punkte sind hervorzuheben. Einzubeziehen sind insbesondere die wirtschaftlichen Aspekte, bei Immobilienprojekten außerdem die technische Machbarkeit, die weitere Entwicklung und die rechtlichen Risiken. Werden externe Personen hinzugezogen, ist deren Eignung vorab zu prüfen. Auch die Marktwertermittlung vor dem Erwerb bleibt unverändert vorgeschrieben. Entfallen ist lediglich die ausdrückliche Vorgabe, kritische Punkte gegebenenfalls unter verschiedenen Szenarien darzustellen. BTO 3.2.1 enthält damit keine eigenständige allgemeine Pflicht mehr, Szenarioanalysen durchzuführen. Sie bleiben jedoch ein geeignetes Mittel, wenn sich Risiken aufgrund der Projektstruktur oder erheblicher wirtschaftlicher Unsicherheiten anders nicht angemessen beurteilen lassen. **Action Points:** - Erwerbs- und Errichtungsprozesse weiterhin auf eine risikobasierte Analyse ausrichten und Kriterien festlegen, bei welchen Geschäften Szenarioanalysen zur sachgerechten Risikobeurteilung eingesetzt werden. ### BTO 3.2.2 – Weiterbearbeitung und Überwachung Die wesentlichen Überwachungspflichten bleiben bestehen. Während der Entwicklungsphase von Immobilienprojekten sind weiterhin Besichtigungen und Bautenstandskontrollen durchzuführen; deren Abstände sind nach dem Risiko des Projekts festzulegen. Hinzu kommt unverändert die laufende Kostenkontrolle. Auch der Immobilienwert ist weiterhin jährlich zu überprüfen. Ergibt die Prüfung, dass sich der Wert um mehr als 10 % verringert haben könnte, ist eine Neubewertung erforderlich. Außerordentliche Überprüfungen bleiben vorgeschrieben, wenn Informationen auf eine wesentliche negative Wertänderung der Immobilie oder des Immobilienprojekts hindeuten. Der jährliche Bericht an die Geschäftsleitung über Wertänderungen und Risiken bleibt ebenfalls erhalten und ist nun in Tz. 3 geregelt. Entfallen sind die ausdrückliche Klarstellung, dass bei der jährlichen Überprüfung unter bestimmten Voraussetzungen auf vorhandene Immobilienwerte zurückgegriffen werden darf, sowie der Verweis auf BTO 3.2 Tz. 2 bis 4\. Eine erforderliche Neubewertung richtet sich dennoch nach den allgemeinen Bewertungsvorgaben des BTO 3.2\. Nicht mehr ausdrücklich genannt werden außerdem die unverzügliche Durchführung der außerordentlichen Überprüfung, die Unterscheidung zwischen internen und externen Informationsquellen sowie die unverzügliche Weiterleitung an alle beteiligten Organisationseinheiten. Für wesentliche Risikoinformationen gilt jedoch weiterhin die allgemeine Pflicht zur unverzüglichen Weitergabe an die Geschäftsleitung und die zuständigen Verantwortlichen. **Action Points:** - Verfahren für die jährliche Wertüberprüfung auf einen nachvollziehbaren Prüfungsnachweis und einen eindeutigen Auslöser für Neubewertungen bei möglichen Wertverlusten von mehr als 10 % prüfen. - Regelungen zu außerordentlichen Überprüfungen und zur Weitergabe wesentlicher Informationen an die gestraffte Fassung anpassen, ohne notwendige kurze Reaktions- und Informationswege aufzugeben. - Verweise auf die bisherige Nummerierung aktualisieren und sicherstellen, dass erforderliche Neubewertungen weiterhin nach BTO 3.2 durchgeführt werden. ### BTO 3.2.3 Bearbeitungskontrollen BTO 3.2.3 entfällt vollständig. Damit wird die bisherige besondere Vorgabe gestrichen, für Immobiliengeschäfte prozessabhängige Kontrollen einzurichten, die Einhaltung der Organisationsrichtlinien sicherzustellen und insbesondere die Entscheidung nach der Kompetenzordnung zu kontrollieren. Auch der ausdrückliche Hinweis auf das Vier-Augen-Prinzip wird nicht übernommen. Aus dem Wegfall folgt jedoch nicht, dass sämtliche Kontrollen entbehrlich werden. Die allgemeinen Anforderungen an das interne Kontrollsystem, die klare Festlegung von Aufgaben und Kompetenzen sowie die Funktionstrennung gelten fort. Die bisherigen Bearbeitungskontrollen sind daher daraufhin zu prüfen, welche Kontrollen weiterhin erforderlich sind, und in die allgemeinen Kontroll- und Kompetenzregelungen einzuordnen. Eine unveränderte Fortführung sämtlicher bisheriger Kontrollen ist ebenso wenig zwingend wie deren ersatzlose Streichung. **Action Points:** - Verweise auf BTO 3.2.3 aus Organisationsrichtlinien, Kontrollbeschreibungen und Prüfprogrammen entfernen. - Bestehende Bearbeitungskontrollen einzeln daraufhin prüfen, ob sie zur Einhaltung der allgemeinen Organisations-, Funktionstrennungs- und Kompetenzvorgaben weiterhin erforderlich sind. - Verbleibende Kontrollen mit klaren Zuständigkeiten in die allgemeinen Kontrollprozesse für das Immobiliengeschäft übernehmen. ### BTR Risikosteuerungs- und -controllingprozesse Die ausdrücklichen Hinweise auf ESG-Risiken im Eingang des BTR und in BTR 1 Tz. 1 entfallen. Daraus folgt jedoch keine Freistellung von der Berücksichtigung dieser Risiken. Die Anforderungen stehen nun gebündelt in AT 2.2: Auswirkungen von ESG-Risiken sind bei der Risikoinventur, bei der Ausgestaltung des internen Kontrollsystems einschließlich des Risikotragfähigkeitskonzepts, in der Strategie und in der Berichterstattung angemessen zu berücksichtigen. Für wesentliche Umweltrisiken gelten ergänzend besondere Anforderungen an Stresstests. Neu ausdrücklich vorgesehen sind langfristige Resilienzanalysen, bei denen ein wahrscheinlicher Verlauf der Umweltbedingungen mindestens einem nachteiligen Szenario gegenüberzustellen ist. Diese besondere Vorgabe betrifft Umweltrisiken und damit nicht sämtliche ESG-Risiken. ### BTR 1 – Adressenausfallrisiken #### Aktualisierte Limitbegriffe und fortlaufende Überwachung Bei den kreditnehmerbezogenen Limiten wird die bisherige Bezeichnung „Kreditnehmereinheitenlimit“ durch „Limit je Gruppe verbundener Kunden“ ersetzt. Auch wenn dies zunächst nur eine terminologische Änderung ist, sollte geprüft werden, ob Abgrenzungen, Zuordnungen und Auswertungen in den Systemen der neuen Bezeichnung entsprechen. Die Ausnahmen für Börsengeschäfte und bestimmte Kassageschäfte stehen künftig unmittelbar im Anforderungstext. Inhaltlich bleiben sie unverändert: Eine Anrechnung auf das Kontrahentenlimit ist nicht erforderlich, wenn der Gegenwert bereits angeschafft wurde, Zug um Zug angeschafft wird oder eine entsprechende Deckung besteht. Nicht mehr ausdrücklich genannt werden Wiedereindeckungs- und Erfüllungsrisiken bei der Ermittlung der Auslastung von Kontrahentenlimiten. Diese Streichung sollte nicht ohne weitere Prüfung als Erlaubnis verstanden werden, wirtschaftlich bestehende Risiken aus der Limitermittlung auszunehmen. BTR 1 verlangt weiterhin eine angemessene Begrenzung der Adressenausfallrisiken. Konkreter gefasst wird die laufende Limitüberwachung. Während bisher nur die Einhaltung der Limite zu überwachen war, muss künftig die Limitauslastung fortlaufend überwacht werden. Die Dokumentation von Überschreitungen und Maßnahmen sowie die tägliche Meldung wesentlicher Überschreitungen an den zuständigen Geschäftsleiter bleiben bestehen. #### Emittentenlimite: bisherige Erleichterung entfällt teilweise Der Grundsatz bleibt bestehen: Für Handelsgeschäfte sind Emittentenlimite festzulegen. Kurzfristige Limite können weiterhin auf Grundlage risikobasierter Vorgaben eingeräumt werden. Der reguläre Bearbeitungsprozess muss nach der neuen Fassung innerhalb von drei Monaten vollständig durchgeführt werden. Ebenso kann weiterhin auf eine gesonderte Emittentenlimitierung verzichtet werden, wenn das spezifische Adressenausfallrisiko durch Marktpreisrisikolimite auf Grundlage angemessener Verfahren erfasst wird und Risikokonzentrationen berücksichtigt werden. Nicht übernommen wird die bisherige ausdrückliche Erleichterung, bei Handelsbuchbeständen mit einer Haltedauer von höchstens drei Monaten vollständig auf den Bearbeitungsprozess zu verzichten. Auch die besonderen Regelungen für eine vorläufige Anrechnung von Geschäften des Anlagebuchs auf Vorratslimite entfallen. Nach dem neuen Wortlaut ist daher bei kurzfristig eingeräumten Emittentenlimiten grundsätzlich von einem innerhalb von drei Monaten abzuschließenden Bearbeitungsprozess auszugehen. Handelsgeschäfte dürfen weiterhin auf pauschale, kurzfristig eingeräumte Emittentenlimite – sogenannte Vorratslimite – angerechnet werden. Voraussetzung ist, dass diese Limite aus dem Risikotragfähigkeitskonzept und dem Limitsystem abgeleitet sind und ausreichendes Risikodeckungspotenzial vorhanden ist. Der Hinweis zu liquiden Kreditprodukten wie Loan Trading wird verkürzt. Vor Aufnahme der Handelstätigkeit müssen weiterhin Kontrahenten- oder Emittentenlimite festgelegt werden. Der bisherige ausdrückliche Hinweis, hierbei die Erleichterungen für kurzfristige Emittentenlimite nutzen zu können, entfällt. #### Risikokonzentrationen: weniger Beispiele, unveränderte Kernpflicht Die ausführlichen Beispiele für Adressen-, Sektor-, regionale und sonstige Konzentrationen werden nicht fortgeführt. Ebenfalls entfällt die ausdrückliche Vorgabe, für ihre Beurteilung qualitative und möglichst auch quantitative Verfahren einzusetzen. Die Kernanforderung bleibt bestehen. Risikokonzentrationen sind zu identifizieren, unter Berücksichtigung bestehender Abhängigkeiten zu bewerten und mit geeigneten Instrumenten zu steuern und zu überwachen. Wirtschaftliche Verflechtungen und rechtliche Abhängigkeiten werden weiterhin ausdrücklich als mögliche Abhängigkeiten genannt. Der Wegfall einzelner Beispiele rechtfertigt daher keine pauschale Verengung der betrachteten Konzentrationsarten. #### Erlösquotensammlung Die Pflicht zur Erfassung der Erlöse aus der Abwicklung von Kreditengagements und der historischen Werte der zugehörigen Sicherheiten bleibt unverändert. Weiterhin einzubeziehen sind Erlösquoten aus Rettungserwerben. Nicht mehr ausdrücklich vorgeschrieben ist dagegen, die gewonnenen Erkenntnisse bei der Steuerung der Adressenausfallrisiken zu berücksichtigen. **Action Points:** - Limitrichtlinien, Systeme und Berichte auf die Bezeichnung „Gruppe verbundener Kunden“ sowie auf die fortlaufende Überwachung der Limitauslastung umstellen. Wiedereindeckungs- und Erfüllungsrisiken nicht allein wegen ihrer gestrichenen Nennung aus der Limitermittlung entfernen. - Den Emittentenlimitprozess an die neue Fassung anpassen. Insbesondere ist sicherzustellen, dass der reguläre Bearbeitungsprozess bei kurzfristig eingeräumten Emittentenlimiten innerhalb von drei Monaten abgeschlossen wird. Die Voraussetzungen für Vorratslimite und ihre Anrechnung sind eindeutig festzulegen. - Risikokonzentrationskonzept nicht verengen; entfallene Beispiele fortführen, soweit sie für das institutsindividuelle Geschäfts- und Risikoprofil relevant sind. ### BTR 2 – Marktpreisrisiken #### Gestraffte Regelungen und ausformulierte Anforderungen an Zinsänderungsrisiken Der bisher nur in den Erläuterungen beschriebene Aufbau des BTR 2 wird als neue Tz. 1 in den Anforderungstext aufgenommen. Danach gelten die allgemeinen Anforderungen des BTR 2.1 für sämtliche Marktpreisrisiken einschließlich der Zinsänderungsrisiken des Anlagebuchs. BTR 2.2 ergänzt sie für das Handelsbuch, BTR 2.3 enthält die besonderen Regelungen für das Anlagebuch. Nicht fortgeführt werden die ausdrückliche ESG-Nennung beim Limitsystem und der bisherige Katalog der Marktpreisrisiken. Auch der besondere Hinweis auf bonitäts- und marktliquiditätsbedingte Risiken entfällt. Der Umfang der zu erfassenden Risiken wird dadurch nicht eingeschränkt. ESG-Risiken sind weiterhin nach AT 2.2 bei der Risikoinventur, im internen Kontrollsystem, in der Strategie und in der Berichterstattung zu berücksichtigen. Die übrigen allgemeinen Anforderungen bleiben unverändert. Marktpreisrisiken sind durch ein auf der Risikotragfähigkeit beruhendes Limitsystem zu begrenzen. Geschäfte dürfen nur innerhalb eines Marktpreisrisikolimits abgeschlossen werden. Die Verfahren zur Risikobeurteilung sind regelmäßig und auch auf ihre Eignung bei schweren Marktstörungen zu prüfen; für länger fehlende, veraltete oder verzerrte Marktpreise sind alternative Bewertungsverfahren vorzusehen. Die Ergebnisse aus Rechnungswesen und Risikocontrolling sind regelmäßig miteinander abzugleichen. ### BTR 2.2 Marktpreisrisiken des Handelsbuches #### Redaktionelle Zusammenführung ohne inhaltliche Änderung BTR 2.2 wird gestrafft und neu nummeriert. Die bisher getrennten Vorgaben zur täglichen Bewertung sowie zur täglichen Ergebnisermittlung und Zusammenfassung der Risikopositionen werden in einer Tz. zusammengeführt. Inhaltlich bleiben sämtliche Anforderungen bestehen: - unverzügliche Anrechnung der Geschäfte auf die einschlägigen Limite, - zeitnahe Information der Positionsverantwortlichen über Limite und Auslastung, - Maßnahmen und gegebenenfalls Eskalation bei Limitüberschreitungen, - tägliche Bewertung und Ergebnisermittlung, - tägliche Zusammenfassung der Risikopositionen sowie - fortlaufender Vergleich der modellierten Risikowerte mit der tatsächlichen Entwicklung. Es besteht daher vor allem Anpassungsbedarf bei Nummerierungen und Verweisen, nicht bei den zugrunde liegenden Prozessen. ### BTR 2.3 Marktpreisrisiken des Anlagebucheseinschließlich Zinsänderungsrisiken #### Bewertung und Ergebnisermittlung werden zusammengeführt Die mindestens vierteljährliche Bewertung der Positionen und die mindestens vierteljährliche Ergebnisermittlung werden in einer Tz. zusammengefasst. Die bisher im Anforderungstext enthaltene Vorgabe, abhängig von Art, Umfang, Komplexität und Risiko eine tägliche, wöchentliche oder monatliche Bewertung, Ergebnisermittlung und Risikokommunikation vorzunehmen, steht künftig in den Erläuterungen. Inhaltlich bleibt eine risikogerechte höhere Frequenz damit weiterhin erforderlich. #### Bisherige EBA-Verweise werden im MaRisk-Text ausformuliert Neu ist vor allem, dass wesentliche Vorgaben, die bislang nur über Verweise auf die EBA-Leitlinien einbezogen waren, nun im MaRisk-Text selbst stehen. Der Anforderungstext verlangt ausdrücklich, sämtliche zinssensitiven bilanziellen und außerbilanziellen Positionen des Anlagebuchs zu erfassen. Dies umfasst auch notleidende Risikopositionen nach Abzug der Wertberichtigungen und unter Berücksichtigung ihrer erwarteten Zahlungsströme. Die Erläuterungen stellen zudem klar, dass unmittelbare Pensionsverpflichtungen einzubeziehen sind, soweit die damit verbundenen Risiken nicht bereits anderweitig erfasst werden. Ebenfalls neu ausformuliert sind die methodischen Anforderungen. Die Institute müssen festlegen, welche Betrachtungsperspektiven und Zinskurven sie verwenden, welche Zinsänderungen sie unterstellen und wie sie Margen in den Zahlungsströmen behandeln. Werden Margen bei der barwertigen Betrachtung herausgerechnet, ist der risikofreie Zinssatz für jedes Instrument zu Laufzeitbeginn nachvollziehbar zu bestimmen. Die gewählte Methode muss für alle einbezogenen Positionen und Geschäftsbereiche einheitlich angewandt werden. Als wesentliche Ausprägungen der Zinsänderungsrisiken nennt die MaRisk nun ausdrücklich Zinslücken-, Basis- und Optionsrisiken. #### Separate Bewertung wird verbindlich Aus der bisherigen Soll-Vorgabe wird eine Muss-Vorgabe: Zinsänderungsrisiken sind künftig ausdrücklich separat zu bewerten. Weiterhin sind sowohl die Auswirkungen auf das handelsrechtliche Ergebnis einschließlich zinsbedingter Marktwertveränderungen als auch die Auswirkungen auf Markt- und Barwerte zu betrachten. Beide Perspektiven müssen in den Risikosteuerungs- und -controllingprozessen abgebildet werden. Der bisherige ausdrückliche Zusatz, beide Perspektiven auch bei der Beurteilung der Risikotragfähigkeit heranzuziehen, wird in BTR 2.3 nicht fortgeführt. Daraus folgt jedoch keine allgemeine Ausnahme von der Risikotragfähigkeitsbetrachtung: Wesentliche Risiken müssen weiterhin durch das Risikodeckungspotenzial abgedeckt sein. Die bisher in den Erläuterungen enthaltene Ausnahme für zeitlich unbegrenzt verfügbare Eigenkapitalbestandteile wird in den Anforderungstext übernommen und präzisiert. Nicht in die barwertige Ermittlung einzubeziehen sind Instrumente des harten Kernkapitals sowie sonstige unbefristete Eigenmittelinstrumente, die ohne vertraglich bestimmte Kündigungs- oder Rückzahlungstermine zeitlich unbegrenzt zur Verfügung stehen. #### Genauere Vorgaben für Positionen ohne feste Kapital- oder Zinsbindung Die Anforderungen an die Modellierung von Positionen ohne feste Kapital- oder Zinsbindung werden deutlich konkreter. Die Annahmen müssen mögliche Veränderungen ihrer Stabilität berücksichtigen, insbesondere bei unterschiedlichen Zinsszenarien, Veränderungen des wirtschaftlichen Umfelds und Wechseln zwischen Produktklassen. Außerdem ist zwischen Kerneinlagen und sonstigen Einlagen sowie nach Kunden- und Kontenarten zu unterscheiden. Die bestehende Vorgabe, im Modell der gleitenden Durchschnitte keine Stützstellen von mehr als zehn Jahren zu verwenden, bleibt erhalten. Eine wesentliche Änderung betrifft Einlagen von Finanzkunden. Nach der Fassung von 2024 durften sie nicht modelliert werden und waren als täglich fällig anzusetzen. Künftig dürfen operative Einlagen von Finanzkunden im Sinne von [Art. 27 der Delegierten Verordnung (EU)](https://judict.eu/de/sla/32013R0575/32015R0061-X/article-27?ref=waldvorlauternormen.com) 2015/61 modelliert werden. Andere Einlagen von Finanzkunden bleiben von der Modellierung ausgeschlossen. Für Positionen ohne feste Kapital- oder Zinsbindung aus Einlagen von Nicht-Finanzkunden und aus operativen Einlagen von Finanzkunden darf die angenommene gewichtete durchschnittliche Zinsbindung fünf Jahre nicht überschreiten. Die Grenze gilt auf Ebene des gesamten Portfolios dieser Einlagen und ist für jede Währung gesondert einzuhalten. Sie bezieht sich damit nicht auf jedes einzelne Konto oder Produkt. #### Mehrwährungsrisiken und interne Risikotransfers Bei wesentlichen Zinsänderungsrisiken in mehreren Währungen sind die Risiken für jede wesentliche Währung gesondert zu ermitteln. Für die jeweiligen Zinsszenarien sind währungsspezifische Annahmen festzulegen. Abhängigkeiten zwischen den Zinsentwicklungen verschiedener Währungen dürfen nur berücksichtigt werden, wenn sie hinreichend begründet sind. Für die anschließende Zusammenfassung der Risikowerte sind konservative Annahmen zu verwenden. Diese Anforderungen waren 2024 lediglich über einen Verweis auf die EBA-Leitlinien einbezogen und stehen nun unmittelbar im Anforderungstext. Interne Risikotransfers zwischen Anlage- und Handelsbuch müssen weiterhin dokumentiert werden. Neu ausdrücklich geregelt ist, dass sie zudem mit den risikopolitischen Vorgaben des Instituts übereinstimmen müssen. #### Action Points - Risikoinventur, Organisationsrichtlinien und Verweise an die neue Gliederung des BTR 2 anpassen. Den Umfang der Marktpreisrisiken trotz des entfallenen Risikokatalogs und der gestrichenen ESG-Nennung nicht verengen. - Verfahren für Zinsänderungsrisiken auf den vollständigen Positionsumfang einschließlich notleidender Positionen und unmittelbarer Pensionsverpflichtungen prüfen. Betrachtungsperspektiven, Zinskurven, Zinsszenarien, Margenbehandlung sowie Zinslücken-, Basis- und Optionsrisiken eindeutig festlegen. - Die verbindliche separate Bewertung der Zinsänderungsrisiken und die präzisierte Behandlung von Instrumenten des harten Kernkapitals und sonstigen unbefristeten Eigenmittelinstrumenten in Methoden und Richtlinien abbilden. - Modelle für Positionen ohne feste Kapital- oder Zinsbindung auf Stabilitätsannahmen, Wechsel zwischen Produktklassen, Segmentierung nach Einlagen-, Kunden- und Kontenart sowie die Zulässigkeit operativer Finanzkundeneinlagen prüfen. Die Fünfjahresgrenze auf Ebene des gesamten Portfolios und getrennt nach Währung überwachen. - Mehrwährungsmodelle auf währungsspezifische Annahmen, belastbare Abhängigkeitsannahmen und eine konservative Zusammenfassung der Risikowerte prüfen. Interne Risikotransfers dokumentieren und mit den risikopolitischen Vorgaben abstimmen. ### BTR 3 Liquiditätsrisiken #### Einheitliche Anforderungen für alle Institute Die bisherigen Abschnitte BTR 3.1 und BTR 3.2 werden in einem einheitlichen BTR 3 zusammengeführt. Die besonderen Anforderungen an kapitalmarktorientierte Institute entfallen als eigener Abschnitt. Vor allem der einmonatige Mindesthorizont für Liquiditätspuffer und die Anforderungen an deren Nutzbarkeit gelten künftig für alle Institute. Gleichzeitig wird der Regelungstext deutlich gestrafft und auf zentrale Vorgaben beschränkt. Der Wegfall einzelner Detailregelungen erlaubt Vereinfachungen jedoch nur, soweit Geschäftsmodell, Risikoprofil und Aussagekraft der Verfahren dies zulassen. #### Grundanforderungen, Diversifikation und Früherkennung Neu ist die vorbehaltlose Pflicht, das untertägige Liquiditätsrisiko zu steuern. Der bisherige Zusatz „soweit erforderlich“ entfällt. Unverändert müssen die Refinanzierungsquellen und die Liquiditätspuffer ausreichend diversifiziert sein. Dies kann weiterhin über Verbund- oder Konzernstrukturen erreicht werden. Als mögliche Kriterien nennt die MaRisk Geschäftspartner oder Emittenten, Produkte, Laufzeiten und Regionen. Die besonderen Hinweise auf ESG-Risiken und Konzentrationen werden aus BTR 3 gestrichen. Inhaltlich bleiben beide Themen relevant: ESG-Risiken sind nach AT 2.2 bei der Risikoinventur, im internen Kontrollsystem, in der Strategie und in der Berichterstattung zu berücksichtigen. Risiken und Risikokonzentrationen sind nach AT 4.3.2 weiterhin wirksam zu begrenzen und zu überwachen. Unverändert bleiben die frühzeitige Erkennung drohender Liquiditätsengpässe, die mindestens jährliche Überprüfung der hierfür eingerichteten Verfahren und die Berücksichtigung anderer Risiken, etwa von Reputationsrisiken. #### Liquiditätsübersichten Liquiditätsübersichten für den kurz-, mittel- und langfristigen Bereich bleiben vorgeschrieben. Nicht mehr ausdrücklich verlangt wird, dass sich die Annahmen zu den Mittelzu- und -abflüssen sowie deren Einteilung in Zeitbänder in den Übersichten angemessen widerspiegeln. Auch der besondere Hinweis auf mögliche Inanspruchnahmen aus Liquiditäts- und Kreditlinien, die das Institut Dritten eingeräumt hat, entfällt. Diese Faktoren sind gleichwohl weiterhin einzubeziehen, soweit sie für eine vollständige und aussagekräftige Darstellung der Liquiditätslage erforderlich sind. #### Liquiditätspuffer Die wichtigste materielle Änderung ist der künftig für alle Institute geltende Mindestzeitraum. Die Liquiditätspuffer müssen den im Stresstest ermittelten Liquiditätsbedarf über einen am Risikoappetit ausgerichteten Zeitraum von mindestens einem Monat abdecken. Bisher galt dieser Mindestzeitraum ausdrücklich nur für kapitalmarktorientierte Institute. Als Bestandteile der Puffer nennt die neue Fassung neben Zentralbankgeld hochliquide, unbelastete und zentralbankfähige Vermögensgegenstände, die jederzeit ohne erhebliche Wertverluste auf privaten Märkten zu Liquidität gemacht werden können. Der Nutzung der Puffer dürfen keine rechtlichen, regulatorischen, technischen oder operationellen Hindernisse entgegenstehen. Die ausdrückliche Einbeziehung technischer Hindernisse ist neu. Nicht mehr ausdrücklich geregelt sind dagegen: - die vollständige Deckung des Liquiditätsbedarfs auch in normalen Marktphasen, - die laufende Prüfung der Deckungsfähigkeit in einem angespannten Marktumfeld, - die gesonderte Prüfung des Liquiditätsgrads der Vermögenswerte und des dauerhaften Zugangs zu Refinanzierungsquellen, - die bisherige Aufteilung des Puffers in einen besonders liquiden Teil für mindestens eine Woche und weitere Vermögensgegenstände für den restlichen Zeitraum bis zu einem Monat sowie - die Detailvorgaben zu Bonität, Bewertbarkeit, Markttiefe, Wertabschlägen, besicherter Refinanzierung und zur bereits bestehenden Eignung für den vorgesehenen Liquidierungsweg. Auch die besondere Vorgabe zur Verteilung der Liquiditätspuffer auf verschiedene Staaten oder Rechtsräume wird nicht fortgeführt. Für belastete Vermögensgegenstände verbleibt eine allgemeine Pflicht: Höhe, Art, Umfang und Entwicklung der Belastung müssen bei der Steuerung und Beurteilung der Liquiditätsrisiken berücksichtigt werden. Nicht übernommen werden die bisherigen Vorgaben zur zeitnahen Ermittlung, zur Berichterstattung an die Geschäftsleitung sowie zur ausdrücklichen Einbeziehung in Stressszenarien und den Liquiditätsnotfallplan. #### Verrechnungssystem Das verursachungsgerechte interne Verrechnungssystem für Liquiditätskosten, Liquiditätsnutzen und Liquiditätsrisiken bleibt erforderlich. Neu ist, dass alle Institute die Kosten der vorzuhaltenden Liquiditätspuffer in der Ertrags- und Risikosteuerung berücksichtigen müssen. Bisher war die ausdrückliche Verrechnung dieser Kosten Teil der besonderen Vorgaben für große Institute mit komplexen Geschäftsaktivitäten. Die Erleichterung für Institute mit überwiegend kleinteiligem Kundengeschäft und stabiler Refinanzierung bleibt bestehen. Nicht fortgeführt werden die ausdrückliche Ausrichtung des Verrechnungssystems an Geschäftsaktivitäten und Refinanzierungsstruktur sowie dessen Genehmigung durch die Geschäftsleitung. Ebenfalls entfällt die Pflicht großer Institute mit komplexen Geschäftsaktivitäten, ein besonderes Liquiditätstransferpreissystem einzurichten. Damit entfallen auch die zugehörigen Detailvorgaben zur Verrechnung auf Geschäftsebene, zur Einbeziehung außerbilanzieller Geschäfte, zu Haltedauer und Marktliquidität, zu unsicheren Zahlungsströmen, zur unabhängigen Methodenverantwortung, zur Transparenz der Transferpreise und zur einheitlichen Anwendung innerhalb der Gruppe. #### Stresstests Die Kernanforderungen bleiben bestehen. Die Stresstests müssen weiterhin institutseigene und marktweite Ursachen sowie deren Kombination erfassen. Außerdem ist der voraussichtliche Zeitraum zu ermitteln, über den das Institut unter den jeweiligen Stressannahmen zahlungsfähig bleibt. Nicht mehr ausdrücklich vorgeschrieben sind eine individuelle Definition der Liquiditätsstresstests und unterschiedlich lange Zeithorizonte. Auch die bisherigen detaillierten Stressannahmen für kapitalmarktorientierte Institute werden nicht übernommen. Neu ist dagegen eine Erleichterung für kleine Institute: Sie müssen nur das Szenario untersuchen, das regelmäßig die größten Auswirkungen hat. In der Regel ist dies die Kombination aus institutseigenen und marktweiten Ursachen. Die Auswahl des maßgeblichen Szenarios sollte nachvollziehbar begründet werden. #### Liquiditätsnotfallplan und gruppeninterne Übertragbarkeit Der Liquiditätsnotfallplan bleibt im Wesentlichen unverändert. Er muss die im Engpassfall vorgesehenen Maßnahmen, die verfügbaren Liquiditätsquellen unter Berücksichtigung möglicher Mindererlöse und die Kommunikationswege festlegen. Die Maßnahmen sind regelmäßig auf ihre Durchführbarkeit zu prüfen und bei Bedarf anzupassen. Die Ergebnisse der Stresstests sind weiterhin einzubeziehen. Der bisherige gesonderte Prüfauftrag zu rechtlichen, regulatorischen und operationellen Beschränkungen bei der Übertragung liquider Mittel und unbelasteter Vermögensgegenstände innerhalb einer Gruppe entfällt. Die allgemeine Vorgabe zur uneingeschränkten Nutzbarkeit der Liquiditätspuffer ersetzt diese Regelung nicht vollständig, da sie sich unmittelbar nur auf die Nutzung der Puffer bezieht. Gruppeninterne Übertragungsbeschränkungen bleiben daher zu berücksichtigen, soweit sie die tatsächliche Verfügbarkeit der Puffer oder das Liquiditätsrisiko des Instituts beeinflussen. #### Fremdwährungsliquidität Bei wesentlichen Liquiditätsrisiken in Fremdwährungen bleiben angemessene Verfahren zur Steuerung der Liquidität in den betroffenen Währungen erforderlich. Nicht mehr ausdrücklich vorgeschrieben sind gesonderte Liquiditätsübersichten, eigene Fremdwährungsstresstests und die ausdrückliche Einbeziehung in den Liquiditätsnotfallplan. Die Definition wesentlicher Fremdwährungsliquiditätsrisiken anhand bedeutender Fremdwährungspositionen sowie gleichzeitiger Währungs- oder Laufzeitinkongruenzen bleibt unverändert. Der Wegfall der Mindestmaßnahmen erlaubt eine Vereinfachung nur, wenn die verbleibenden Verfahren eine angemessene Steuerung der wesentlichen Fremdwährungsrisiken gewährleisten. Je nach Risikoprofil können gesonderte Übersichten, Stresstests oder Notfallmaßnahmen daher weiterhin erforderlich sein. #### Interner Refinanzierungsplan Der Refinanzierungsplan muss künftig zwingend einen mehrjährigen Zeitraum abdecken. Bisher war ein mehrjähriger Planungshorizont nur „in der Regel“ vorgesehen. Neu im Anforderungstext ist außerdem, dass seine Ausgestaltung ausdrücklich von Art und Umfang der Liquiditätsrisiken abhängt. Strategien, Risikoappetit, Geschäftsmodell und mögliche nachteilige Entwicklungen bleiben zu berücksichtigen. Nicht mehr einzeln genannt werden Veränderungen der Geschäftstätigkeit, der strategischen Ziele und des wirtschaftlichen Umfelds. Auch die Erläuterung zur Abgrenzung gegenüber den Refinanzierungsplänen nach den EBA-Leitlinien entfällt. Solche Veränderungen bleiben jedoch relevant, soweit sie sich auf das Geschäftsmodell, den Risikoappetit oder Art und Umfang der Liquiditätsrisiken auswirken. **Action Points:** - Liquiditätspuffer auf einen am Risikoappetit ausgerichteten Zeitraum von mindestens einem Monat, ihre Zusammensetzung und ihre tatsächliche Nutzbarkeit prüfen. - Liquiditätsübersichten, Prozesse zur Erfassung und Überwachung belasteter Vermögensgegenstände und Fremdwährungssteuerung trotz entfallener Detailvorgaben nur insoweit vereinfachen, wie Aussagekraft und Risikoprofil dies zulassen. - Das interne Verrechnungssystem um die Berücksichtigung der Kosten der Liquiditätspuffer ergänzen und überholte Verweise auf das besondere Liquiditätstransferpreissystem prüfen. - Das Stresstestkonzept an die gestrafften Vorgaben anpassen. Bei Nutzung der Erleichterung für kleine Institute ist nachvollziehbar festzuhalten, weshalb das ausgewählte Szenario regelmäßig die größten Auswirkungen hat. - Den internen Refinanzierungsplan auf einen zwingend mehrjährigen Horizont umstellen und seine Ausgestaltung ausdrücklich an Art und Umfang der Liquiditätsrisiken ausrichten. ### BTR 4 Operationelle Risiken #### Verbindlichere Vorgaben für Schadensfälle und ihre Zusammenfassung BTR 4 behält seine bisherige Grundstruktur. Die Änderungen betreffen vor allem verbindlichere Formulierungen und die Übernahme bisheriger Erläuterungen in den Anforderungstext. Zugleich entfallen einzelne Definitionen und Detailvorgaben. Die Pflicht, operationelle Risiken institutsweit einheitlich zu definieren und von anderen Risiken abzugrenzen, bleibt bestehen. Bereits 2024 musste diese Festlegung den Mitarbeitern mitgeteilt werden. Neu ist die ausdrückliche Vorgabe, sie verständlich zu kommunizieren. Der bisherige erläuternde Hinweis auf eine möglichst klare Abgrenzung gegenüber anderen Risikoarten wird nicht fortgeführt. Verbindlicher wird der Umgang mit Schadensfällen, die zugleich einen Markt- oder Kreditrisikobezug aufweisen, mit Beinaheverlusten und mit zusammenhängenden Ereignissen. Die Prozesse „müssen“ diese Fälle künftig erfassen; 2024 hieß es noch, sie „sollten“ dies tun. Nicht übernommen werden dagegen die bisherigen Definitionen von Boundary Events und Beinaheverlusten sowie das Beispiel einer zunächst fehlerhaften, später zurückgezahlten Überweisung. Die Begriffe sollten daher intern weiterhin eindeutig festgelegt werden. Die mindestens jährliche Identifizierung und Bewertung wesentlicher operationeller Risiken bleibt unverändert. Der besondere ESG-Hinweis in BTR 4 entfällt. ESG-Risiken sind jedoch weiterhin nach AT 2.2 bei der Risikoinventur, im internen Kontrollsystem, in der Strategie und in der Berichterstattung zu berücksichtigen. IKT-Risiken werden nun ausdrücklich als Bestandteil der operationellen Risiken eingeordnet und sind in die Risikoinventur einzubeziehen. Schadensfälle sind weiterhin angemessen zu erfassen; bedeutende Schadensfälle müssen unverzüglich analysiert werden. Der Zusatz, dass sich die Analyse ausdrücklich auf die Ursachen beziehen muss, entfällt. Eine Ursachenbetrachtung bleibt gleichwohl erforderlich, soweit über Maßnahmen zur Beseitigung der Ursachen zu entscheiden ist. Nicht fortgeführt wird die besondere Vorgabe für größere Institute, eine Ereignisdatenbank für Schadensfälle oberhalb festgelegter Schwellenwerte einzurichten. Neu im Anforderungstext steht dagegen die Pflicht, einzeln erfasste Schadensfälle, die auf dasselbe Ereignis zurückgehen, zusammengefasst weiterzuverarbeiten. Auch die Anforderungen an die Risikobeurteilung werden teilweise aus den Erläuterungen in den Anforderungstext übernommen. Historische Erkenntnisse, insbesondere eingetretene Schadensfälle, und mögliche künftige Ereignisse sind nun ausdrücklich einzubeziehen. Der bisherige Katalog möglicher Informationsquellen entfällt. Nicht mehr einzeln genannt werden Erkenntnisse aus der Internen Revision, dem Informationssicherheitsmanagement, der Compliance-Funktion, den Anpassungsprozessen sowie dem Notfall- und Auslagerungsmanagement. Soweit diese Erkenntnisse für die Beurteilung operationeller Risiken erheblich sind, sollten sie weiterhin berücksichtigt werden. Unverändert ist auf Grundlage der identifizierten Risiken zu entscheiden, ob Ursachen beseitigt oder andere Steuerungsmaßnahmen ergriffen werden müssen. Als Beispiele nennt die MaRisk weiterhin Versicherungen, Ersatzverfahren, die Neuausrichtung von Geschäftsaktivitäten und Maßnahmen des Notfallmanagements. Die bisherige ausdrückliche Pflicht, die Umsetzung beschlossener Maßnahmen zu überwachen, entfällt. Ein ersatzloser Verzicht auf die Maßnahmenverfolgung wäre jedoch mit den allgemeinen Anforderungen an die Steuerung und Überwachung wesentlicher Risiken schwer vereinbar. **Action Points:** - Definition und Abgrenzung operationeller Risiken auf eine verständliche Kommunikation sowie auf eine eindeutige interne Behandlung von Schadensfällen mit Markt- oder Kreditrisikobezug, Beinaheverlusten und zusammenhängenden Ereignissen prüfen. - Im Schadensfallprozess die Zusammenfassung von Einzelfällen mit gemeinsamer Ursache sicherstellen. Ursachenanalysen und eine vorhandene Ereignisdatenbank nicht allein wegen des Wegfalls der besonderen Vorgaben aufgeben, sondern risikoorientiert überprüfen. - Bei der Risikobeurteilung weiterhin Erkenntnisse der Kontroll- und Managementfunktionen einbeziehen, beschlossene Maßnahmen nachhalten und ESG- sowie IKT-Risiken nach AT 2.2 erfassen. ### BTR 5 Kreditspreadrisiken im Anlagebuch #### Konkreter Positionsumfang statt Verweisen auf die EBA-Leitlinien Die wichtigste Änderung in BTR 5 liegt darin, dass bisher über Verweise auf die EBA-Leitlinien einbezogene Vorgaben nun weitgehend im MaRisk-Text selbst stehen. Dadurch wird vor allem der Kreis der einzubeziehenden Positionen ausdrücklich geregelt. Auch die Vorgaben für kleine Handelsbücher und interne Risikotransfers werden unmittelbar oder in den Erläuterungen ausformuliert; inhaltlich waren wesentliche Teile bereits über die EBA-Verweise zu beachten. Neu ist, dass BTR 5 Tz. 1 ausdrücklich auf die wesentlichen Kreditspreadrisiken im Anlagebuch abstellt. Unverändert bleibt die Pflicht, Kreditspreadänderungen aus zwei Perspektiven zu beurteilen: nach ihren Auswirkungen auf das handelsrechtliche Ergebnis einschließlich kreditspreadbedingter Marktwertänderungen sowie nach ihren Auswirkungen auf die Markt- beziehungsweise Barwerte der betroffenen Positionen. Beide Perspektiven sind weiterhin in den Risikosteuerungs- und -controllingprozessen zu berücksichtigen. Nicht fortgeführt wird die besondere Formulierung, wonach beiden Sichtweisen auch bei der Beurteilung der Risikotragfähigkeit Rechnung zu tragen ist. Dies nimmt wesentliche Kreditspreadrisiken jedoch nicht aus der Risikotragfähigkeit heraus. Nach AT 4.1 müssen sämtliche wesentlichen Risiken grundsätzlich durch das Risikodeckungspotenzial abgedeckt sein. Die bisher in AT 2.2 enthaltene Möglichkeit, Kreditspreadrisiken gemeinsam mit anderen Risikoarten oder als eigene Risikoart zu ermitteln, steht nun in den Erläuterungen zu BTR 5\. Unabhängig von der gewählten Zuordnung sind Kreditspreadrisiken weiterhin gesondert auszuweisen. Neu ausdrücklich geregelt ist der Positionsumfang: - Zum beizulegenden Zeitwert bewertete Positionen der Aktivseite sind einzubeziehen. - Notleidende Risikopositionen sind nicht einzubeziehen. - Positionen dürfen nicht allein wegen ihrer Handelbarkeit oder einer kurzen Haltedauer generell ausgeschlossen werden. - Für einzelne Produktgruppen sind pauschalere Entscheidungen über eine Nichtberücksichtigung möglich. Genannt werden Kredite ohne Kreditspreadrisikosensitivität, die nicht zur Veräußerung bestimmt sind, Einlagen und bestimmte Derivate, deren Basiswert konstruktionsbedingt keine Kreditspreadrisikosensitivität aufweist. Die Nichtberücksichtigung einer Position bleibt zu begründen und zu dokumentieren. Pauschale Ausschlüsse setzen damit voraus, dass die betreffende Produktgruppe tatsächlich keine relevante Kreditspreadrisikosensitivität aufweist. Bei der Ermittlung der Kreditspreadänderungen darf künftig ausdrücklich nach Währungen unterschieden werden. Kleine Handelsbücher nach Art. 94 CRR sind gemeinsam mit dem Anlagebuch zu behandeln, wenn ihr Kreditspreadrisiko nicht bereits durch eine andere Risikoermittlung erfasst wird. Beide Vorgaben stehen in den Erläuterungen und ersetzen insoweit den bisherigen allgemeinen Verweis auf einzelne Randnummern der EBA-Leitlinien. Schuldner- oder instrumentspezifische Risikokomponenten dürfen weiterhin berücksichtigt werden. Die neue Fassung verlangt, dass dies konservativ erfolgt und nachvollziehbar begründet wird. Eine eindeutige materielle Lockerung oder Verschärfung gegenüber 2024 ist damit nicht verbunden. Interne Risikotransfers zwischen Anlage- und Handelsbuch müssen weiterhin dokumentiert werden. Neu ist die ausdrückliche Vorgabe, dass sie mit den risikopolitischen Vorgaben des Instituts übereinstimmen müssen. Der ergänzende Verweis auf die EBA-Leitlinien entfällt. Die Zuordnung der Kreditspreadrisiken zur Risikoberichterstattung bleibt frei wählbar: Sie können im Bericht über Adressenausfallrisiken, im Marktpreisrisikobericht oder in einem gesonderten Bericht dargestellt werden. Nicht fortgeführt wird der Verweis auf die besonderen Berichtsvorgaben der EBA-Leitlinien. **Action Points:** - Prüfen, ob zum beizulegenden Zeitwert bewertete Positionen der Aktivseite vollständig einbezogen werden, notleidende Risikopositionen unberücksichtigt bleiben und die Nichtberücksichtigung weiterer Positionen angemessen begründet und dokumentiert wird. - Pauschale Ausschlusskriterien auf Basis von Handelbarkeit oder Haltedauer beseitigen; Kreditspreadrisikosensitivität von Krediten, Einlagen und Derivaten produktbezogen beurteilen. - Prüfen, ob die Methodik Kreditspreadänderungen nach Währungen differenziert und kleine Handelsbücher erforderlichenfalls integriert erfasst. - Interne Risikotransfers mit den risikopolitischen Vorgaben abstimmen; den Wegfall der besonderen Formulierung zur Risikotragfähigkeit nicht als Herausnahme wesentlicher Kreditspreadrisiken behandeln. ### BT 2 Anforderungen an die Risikoberichterstattung #### Neue Nummerierung und weniger Detailvorgaben Das bisherige BT 3.1 wird als BT 2.1 fortgeführt. Die Grundanforderungen an die Risikoberichte bleiben bestehen: Sie müssen die Geschäftslage und Risikosituation nachvollziehbar und aussagekräftig darstellen, auf vollständigen, genauen und aktuellen Daten beruhen und eine Bewertung sowie eine vorausschauende Einschätzung enthalten. Soweit erforderlich, sind auch Handlungsvorschläge aufzunehmen. Neu ist vor allem die Straffung einzelner Detailvorgaben. Daten sind weiterhin grundsätzlich zum Berichtsstichtag zu erheben. Die ausdrückliche Pflicht, vorläufige Daten oder Daten aus früheren Berichtszeiträumen zu kennzeichnen und zu begründen, entfällt. Abweichende Datenstände sollten gleichwohl transparent bleiben, wenn sie die Aussagekraft des Berichts beeinflussen. Auch die besonderen ESG-Erläuterungen werden nicht fortgeführt. Ein gesonderter aktueller, möglichst quantitativer ESG-Überblick und besondere langfristige Angaben im Gesamtrisikobericht sind damit nicht mehr ausdrücklich vorgeschrieben. ESG-Risiken bleiben jedoch nach AT 2.2 Teil der allgemeinen Risikoberichterstattung. Unverändert sind Stresstestergebnisse und ihre wesentlichen Annahmen zu berichten sowie die Auswirkungen auf Risikosituation und Risikodeckungspotenzial darzustellen. Risikokonzentrationen sind weiterhin gesondert auszuweisen. Auch Anlassberichte und eine rechtzeitige Berichtserstellung bleiben erforderlich. Die Vorgaben zur Berichterstattung an das Aufsichtsorgan werden aus BT 3.1 nach AT 3.2 verlagert. Inhaltlich bleiben die mindestens vierteljährliche Information über Geschäftslage und Risikosituation sowie die unverzügliche Weitergabe wichtiger Risikoinformationen erhalten. Anpassungsbedarf besteht daher vor allem bei internen Verweisen und Berichtslinien. **Action Points:** - Risikoberichtsrichtlinie, Vorlagen und interne Verweise auf die neue Gliederung umstellen. Die Berichterstattung an das Aufsichtsorgan ist künftig AT 3.2 zuzuordnen; Zuständigkeiten, Berichtslinien und Eskalationswege sind entsprechend anzupassen. - Abweichungen vom Berichtsstichtag weiterhin kenntlich machen und begründen, wenn vorläufige Daten oder Daten aus früheren Zeiträumen die Aussagekraft oder Vergleichbarkeit des Berichts beeinflussen. - ESG-Risiken in die allgemeine Risikoberichterstattung nach AT 2.2 einbinden. Bestehende ESG-Inhalte nicht allein deshalb streichen, weil die besonderen Erläuterungen in BT 2.1 entfallen. - Berichtsvorlagen darauf prüfen, dass Stresstestergebnisse und ihre wesentlichen Annahmen, die Auswirkungen auf Risikosituation und Risikodeckungspotenzial sowie Risikokonzentrationen weiterhin vollständig dargestellt werden. Verfahren für Anlassberichte und eine rechtzeitige Berichtserstellung beibehalten. ### BT 2.2 Berichte der Risikocontrolling-Funktion #### Gestraffte Berichtsinhalte und Erleichterungen für kleine Institute Der mindestens vierteljährliche Gesamtrisikobericht bleibt die zentrale Berichtspflicht der Risikocontrolling-Funktion. Abhängig von Risikoart, Marktentwicklung und Stresslage kann weiterhin ein kürzerer Turnus erforderlich sein. Neu sind vor allem konkrete Erleichterungen für kleine Institute und deutlich gestraffte Mindestinhalte für die einzelnen Risikoberichte. #### Erleichterungen für kleine Institute Kleine Institute dürfen bei unveränderter Risikolage auf frühere Berichte verweisen. Bei Risiken mit hoher Stabilität kann die unterjährige Berichterstattung entfallen. Hat das Institut für eine grundsätzlich wesentliche Risikoart einen niedrigen Risikoappetit festgelegt und kurzfristige Schwankungen ausgeschlossen, genügt unterjährig ein entsprechender Hinweis. Zudem können die Stresstests rollierend aktualisiert werden, indem in jedem Quartal nur einzelne Stresstests fortgeschrieben werden. Die zuvor allen Instituten offenstehende Möglichkeit, bei unveränderten Sachverhalten auf frühere Berichte zu verweisen, wird damit nur noch für kleine Institute ausdrücklich fortgeführt. #### Gesamtrisikobericht Der Mindestinhalt des Gesamtrisikoberichts wird gestrafft. Er muss weiterhin die wesentlichen Risikoarten, Stresstests, Risikokonzentrationen, Kapitalausstattung und Refinanzierung abdecken. Hinzu kommen Prognosen zur Entwicklung der Kapital- und Liquiditätskennzahlen sowie der Refinanzierungspositionen. Das aufsichtsrechtliche und ökonomische Kapital sowie die aktuellen Kapital- und Liquiditätskennzahlen werden nicht mehr gesondert genannt. Sie bleiben aufzunehmen, soweit sie für die Beurteilung der Kapitalausstattung und der Risikolage erforderlich sind. #### Adressenausfallrisiken Auch der vierteljährliche Bericht über Adressenausfallrisiken wird auf zentrale Inhalte konzentriert. Zu berichten ist insbesondere über die Portfolioentwicklung, Limite und deren Auslastung, Limitüberschreitungen, Großkredite, Risikovorsorge, wesentliche Kreditentscheidungen und notleidende Risikopositionen. Der bisherige ausführliche Einzelkatalog entfällt. Weitere Angaben sind deshalb nur noch aufzunehmen, soweit sie für das Kreditrisikoprofil und dessen Beurteilung wesentlich sind. #### Marktpreis- und Zinsänderungsrisiken Über Marktpreisrisiken einschließlich Zinsänderungsrisiken ist weiterhin mindestens vierteljährlich zu berichten. Die tägliche Meldung wird dagegen enger gefasst: Dem zuständigen Geschäftsleiter sind am nächsten Werktag die Risikowerte und Limitauslastungen mitzuteilen. Die bisher ausdrücklich verlangte tägliche Mitteilung des Ergebnisses und die Abstimmung der Meldung mit dem Handel entfallen. Geändert werden auch die Voraussetzungen für einen Verzicht auf die tägliche Berichterstattung. Maßgeblich ist künftig, ob die Handelsaktivitäten im Handels- und Anlagebuch nicht komplex und gemessen am Geschäftsvolumen gering sind. Der bisherige Bezug auf die Erleichterung für kleine Handelsbücher nach Art. 94 CRR entfällt. Für Zinsänderungsrisiken im Anlagebuch nennt die MaRisk die Berichtsinhalte nun unmittelbar. Der Bericht soll, soweit für die Risikoeinschätzung wesentlich, insbesondere die Risikofaktoren, Zinslücken-, Basis- und Optionsrisiken, die wesentlichen Modellierungsannahmen und deren Stabilität, den Einfluss von Derivaten sowie die Ergebnisse der aufsichtlichen Schockszenarien darstellen. Der bisherige Verweis auf die EBA-Leitlinien entfällt. #### Liquiditätsrisiken Die wichtigste Änderung betrifft den Berichtsturnus: Der Liquiditätsrisikobericht ist künftig für alle Institute mindestens vierteljährlich zu erstellen. Damit entfällt die bislang für bedeutende oder kapitalmarktorientierte Institute geltende monatliche Berichtspflicht. Bei erhöhtem Steuerungsbedarf kann nach den allgemeinen Vorgaben weiterhin ein kürzerer Turnus erforderlich sein. Zugleich wird der Mindestinhalt gestrafft. Weiterhin zu berichten ist über Liquiditätspuffer, Stresstests, Refinanzierungsrisiken, weitere wesentliche Liquiditätsrisiken – insbesondere untertägige Liquiditäts- und Fremdwährungsrisiken – sowie gegebenenfalls über wesentliche Änderungen des Liquiditätsnotfallplans. Höhe, Qualität und Zusammensetzung der Liquiditätspuffer sowie Risiken aus außerbilanziellen Gesellschaftskonstruktionen werden dagegen nicht mehr ausdrücklich als Pflichtangaben genannt. #### Operationelle und weitere wesentliche Risiken Über bedeutende operationelle Risiken und Schadensfälle ist weiterhin mindestens jährlich zu berichten. Der Mindestinhalt wird jedoch reduziert: Ausdrücklich verlangt werden nur noch die Ursachen und bereits ergriffene Gegenmaßnahmen. Wesentliche Schwächen, mögliche künftige Ereignisse, das Schadensausmaß und lediglich eingeleitete Maßnahmen werden nicht mehr gesondert genannt. Sie bleiben aufzunehmen, wenn sie für die Beurteilung des Risikos wesentlich sind. Für weitere wesentliche Risiken entfällt der bisherige vierteljährliche Mindestturnus. Künftig ist regelmäßig über Ursachen, Auswirkungen und bereits ergriffene Gegenmaßnahmen zu berichten. Die Berichtsfrequenz kann damit stärker an Bedeutung, Veränderlichkeit und Steuerungsbedarf des jeweiligen Risikos ausgerichtet werden. **Action Points:** - Berichtskalender an die Erleichterungen für kleine Institute, den Wegfall des monatlichen Liquiditätsrisikoberichts und den flexibleren Turnus für weitere wesentliche Risiken anpassen. Kürzere Intervalle bei volatilen Risiken oder in Stressphasen weiterhin sicherstellen. - Berichtsvorlagen anhand der gestrafften Mindestinhalte überprüfen. Bisherige Angaben nur streichen, wenn sie für das Risikoprofil und die Risikosteuerung tatsächlich nicht wesentlich sind. - Die tägliche Marktpreisrisikoberichterstattung auf Risikowerte und Limitauslastungen ausrichten. Verweise auf Art. 94 CRR aktualisieren und die neue Erleichterung anhand von Komplexität und Geschäftsvolumen prüfen. - Die Berichterstattung über Zinsänderungsrisiken um die für die Risikoeinschätzung wesentlichen Angaben zu Risikofaktoren, Zinslücken-, Basis- und Optionsrisiken, Modellannahmen, Derivaten und aufsichtlichen Schockszenarien ergänzen. ### Events URL: https://www.waldvorlauternormen.com/events/ Last updated: 2026-08-18T08:31:32.000Z Anstehende Events unserer Autoren: ## Posts ### EUDI, EUBW, d-you: What Does This Mean for Obliged Entities, and Do I Have to Accept Wallets? URL: https://www.waldvorlauternormen.com/en/eudi-wallet-d-you-acceptance-obligation-businesses/ Last updated: 2026-09-30T08:21:10.000Z According to the European legislator, digital identities are to play a central role, for instance in customer identification under the AMLR. At the heart of this, for natural persons, is the European Digital Identity (EUDI), which will launch in Germany on 2 January 2027 as "d-you". What does this mean for obliged entities that wish to use the EUDI wallet in future? ## The (Reformed) eIDAS Regulation The legal framework for digital identities is the [eIDAS Regulation](https://eur-lex.europa.eu/eli/reg/2014/910/oj?locale=en&ref=waldvorlauternormen.com). The 2024 reform of eIDAS ("eIDAS 2.0") gave digital identification in the European Union a new legal framework. A key innovation of the reform was to create the legal conditions for identity wallets, in particular the EUDI wallet. In Germany, the Digital Identities Act (Digitale-Identitäten-Gesetz, DIdG), which as of September 2026 is still in the legislative process, is intended to adapt national law on the acceptance of the EUDI wallet. ## What Is the EUDI Wallet? The European Digital Identity Wallet (EUDI wallet) is a digital means of identification with which users can securely store identity data and electronic attestations and present them to businesses. It is intended to be usable online and offline. The German EUDI wallet is scheduled to be available under the name "d-you" from January 2027. The EUDI wallet contains person identification data (PID) for establishing identity and enables the presentation of electronic attestations of attributes (EAA), for example for driving licences, educational qualifications or other attributes. In addition, users can sign documents digitally with legal effect by means of a qualified electronic signature (QES). For citizens, use of the EUDI wallet is voluntary and free of charge. Businesses can use the wallet in particular for digital identification and for verifying required evidence. The German EUDI wallet is being developed under the name "d-you" and under the lead of the Federal Ministry for Digital Affairs and State Modernisation (BMDS). It is intended to make identification and verification processes more secure and efficient and, in particular, to allow businesses to simplify KYC processes, with the associated cost and security advantages. ## Cross-Border Acceptance of Foreign EUDI Wallets The EUDI wallet is designed to work across borders. Businesses subject to the acceptance obligation must therefore, in principle, accept not only the German "d-you" but EUDI wallets from all EU Member States. This makes cross-border KYC procedures possible in particular: customers from other Member States can identify themselves digitally and present evidence, which can reduce manual document checks and previous special procedures. The interoperability required for this is ensured by common European standards and the [Architecture and Reference Framework (ARF)](https://eudi.dev/3.0.0/main/?ref=waldvorlauternormen.com). Standardised data formats such as SD-JWT VC and ISO/IEC 18013-5 mdoc enable businesses to integrate different national wallets into their systems through uniform procedures. Member States are taking different approaches to national implementation. While Germany with "d-you" and the Netherlands with the "Public NL Wallet" are developing new state wallets, Poland with "mObywatel" and France with "France Identité" build on existing digital identity solutions. Irrespective of the approach, the wallets must meet the European requirements and be interoperable across borders. ## eIDAS, the EUDI Wallet and the AMLR A central use case of the EUDI wallet is the storage of *Person Identification Data* (PID). PID means, quite generally, the identification of a person in various contexts – but in particular also identification for anti-money laundering purposes, as today under Section 10(1) GwG and in future under Art. 20 et seq. of the [AMLR](https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX:32024R1624&ref=waldvorlauternormen.com). The PID process follows a standardised procedure for exchanging the data required for identification and for the wallet provider's confirmation of identity, which is specified in detail in the [PID-based identification for online services Manual](https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/930451131/PID+Identification+Manual?ref=waldvorlauternormen.com). ## Do I Have to Accept the EUDI Wallet? To date, the GwG leaves obliged entities free to choose the means of identification they use. eIDAS 2.0, by contrast, contains the following wording in [Art. 5f(2) eIDAS 2.0](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1183&ref=waldvorlauternormen.com): > Where private relying parties providing services, with the exception of microenterprises and small enterprises as defined in Article 2 of the Annex to Commission Recommendation 2003/361/EC ([ 5 ](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02014R0910-20241018&ref=waldvorlauternormen.com#E0005)), are required by Union or national law to use strong user authentication for online identification, or where strong user authentication for online identification is required by contractual obligation, including in the areas of transport, energy, banking and financial services, social security, health, drinking water, postal services, digital infrastructure, education or telecommunications, those private relying parties shall, no later than 36 months after the date of entry into force of the implementing acts referred to in Article 5a(23) and Article 5c(6) and solely upon the voluntary request of the user, also accept European Digital Identity Wallets provided in accordance with this Regulation. There is no longer any mention of voluntary acceptance here. eIDAS sets out a firm acceptance obligation, subject to the conditions stated. ### Which Businesses Are Obliged? Private businesses must therefore accept the EUDI wallet if, on the basis of Union, national or contractual requirements, they require strong user authentication for online identification. Art. 5f names in particular the sectors of transport, energy, banking and financial services, social security, health, drinking water, postal services, digital infrastructure, education and telecommunications. However, belonging to one of these sectors does not in itself give rise to an acceptance obligation. What matters is that the further conditions of Art. 5f(2) eIDAS are met. 💡 Art. 5f(2) speaks of strong **user** authentication, whereas the Payment Services Directive and the ZAG speak of strong **customer** authentication. The Commission clarifies that the different wording is due solely to the fact that, unlike the Payment Services Directive, eIDAS does not presuppose a customer relationship but is meant to apply to all usage relationships. According to the Commission, however, the terms are to be understood as synonymous (see the [Commission's FAQ](https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/713526976/FAQ?ref=waldvorlauternormen.com)). Microenterprises and small enterprises within the meaning of Recommendation 2003/361/EC are exempt from this obligation. The exemption does not, however, apply to medium-sized enterprises. In the area of financial services, the obligation to use the wallet therefore already arises where there is a legal obligation to apply strong customer authentication, and thus for all credit institutions that maintain payment accounts and for payment service providers that must apply strong customer authentication. The Commission also [expressly clarifies this in its FAQ](https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/713526976/FAQ?ref=waldvorlauternormen.com). ### Special Case: Very Large Online Platforms A separate rule applies to very large online platforms (VLOPs) within the meaning of [Art. 33 of the Digital Services Act](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02022R2065-20221027&ref=waldvorlauternormen.com). If they require user authentication, they must also accept the EUDI wallet at the user's request. Only the data required for the respective service may be requested. **Quick check:** The following decision matrix shows, in simplified form, the conditions under which businesses must accept the EUDI wallet. Quick check · Art. 5f eIDAS START**What type of entity is concerned?** **Private business**Art. 5f(2) eIDAS 01 Is the business a microenterprise or small enterprise? Recommendation 2003/361/EC YES →**Exemption applies.** No obligation under Art. 5f(2). NO 02 Must strong user authentication be used for online identification? NO →**No obligation.** Without mandatory strong user authentication, Art. 5f(2) does not apply. YES 03 Is this requirement based on EU law, national law or a contractual obligation? NO →**No obligation.** The statutory or contractual basis is missing. YES 04 Does the user wish to use the EUDI wallet voluntarily for this identification? NO →**No compulsory wallet use.** The user is not required to use the wallet. YES **EUDI wallet must be accepted** The business must accept the EUDI wallet for this identification process. No later than 24.12.2027 **Very large online platform (VLOP)**Art. 5f(3) eIDAS in conjunction with Art. 33 DSA 01 Does the platform require user authentication for access to the online service? NO →**No obligation.** Without an authentication requirement, Art. 5f(3) does not apply. YES 02 Does the user wish to use the EUDI wallet voluntarily? NO →**No compulsory wallet use.** The obligation applies only at the user's voluntary request. YES **EUDI wallet must be made possible** The VLOP must accept and facilitate the use of the EUDI wallet. Only the minimum data required for the service may be requested. ### Voluntary Integration Businesses that are not subject to the acceptance obligation remain free to accept the EUDI wallet voluntarily, given the associated advantages (integrity of the data, high level of identification assurance, evidence in case the customer disputes the conclusion of a contract, costs, etc.). ### From When Does the Acceptance Obligation Apply? A transitional period of 36 months after the entry into force of the relevant implementing acts applies to obliged private businesses. These entered into force on 24 December 2024\. Businesses subject to the acceptance obligation are therefore obliged to accept the EUDI wallet for identification no later than 24 December 2027.[1](#fn1) ## How Can Businesses Integrate the EUDI Wallet? ### Registration as a Relying Party Businesses that wish to use the EUDI wallet for identification or to retrieve digital attestations must register as relying parties (*Relying Party*). Implementing Regulation (EU) 2025/848 provides for national registers for this purpose. On registration, businesses must state in particular their identity and contact details, the intended purpose of use and the data or attributes to be requested via the wallet. On this basis, the business receives the permissions required to interact with the EUDI wallet. The detailed design of the registration procedure in Germany, in particular the competent contact point and the operational process, is still being implemented. ### Technical Connection and Architecture The technical integration of the EUDI wallet follows the European *Architecture and Reference Framework* (ARF) and the relevant national requirements. Businesses can integrate the wallet into their existing systems and specialist applications through standardised interfaces. ### Use of Service Providers and Intermediaries Businesses do not have to implement the technical connection entirely themselves but can use specialised service providers or intermediaries for this. These support the integration of the wallet infrastructure into existing systems and processes. Further information on possible integration partners is provided in the [FAQ of the German EUDI wallet](https://eudi-wallet.gov.de/faq?ref=waldvorlauternormen.com). ### Testing in the State Sandbox For technical testing, BMDS and SPRIND provide a national sandbox as a test environment. There, businesses can use test data to try out concrete use cases, in particular the handling of person identification data (PID) and electronic attestations of attributes (EAA), and prepare their integration. Source code and technical documentation are made available via the open-source platform OpenCoDE. ## What Data May Businesses Process via the EUDI Wallet? ### Origin and Reliability of Digital Attestations The authenticity and reliability of the data provided via the EUDI wallet is ensured by trusted sources and issuers. Digital attestations are issued by authorised public or private issuers, digitally signed and made available via the wallet. ### Which Data May a Business Request? Businesses may not request data via the EUDI wallet at will. Already when registering as a relying party, they must state for what purpose they use the wallet and which data or attributes they need for it. In addition, the data protection principles of purpose limitation and data minimisation apply in particular. For each use case, it must therefore be determined which information is actually required. ### Status and Validity Checks When a digital attestation is presented, the business can check its authenticity and validity automatically. To this end, the technical specifications of the EUDI wallet provide in particular for mechanisms with which it can be determined whether an attestation has been revoked. The procedures used for this must at the same time safeguard privacy. In particular, status and revocation checks are to be designed so that they cannot be used to track or link individual uses. ### Data Minimisation and Selective Disclosure The EUDI wallet enables selective disclosure (*Selective Disclosure*). Users can thereby release only the information required for the respective transaction. For example, it can be proven merely that a person is over 18 years old without disclosing the full date of birth. The identity data is, in principle, exchanged directly between the wallet and the business. ## What Does the EUDI Wallet Cost? The EUDI wallet may give rise to implementation and ongoing operating costs for businesses. Their amount depends in particular on the existing IT infrastructure, the number of use cases and the chosen integration model. The European legal framework provides that registration and verification procedures and technical requirements for relying parties are to be designed proportionately and cost-efficiently.[2](#fn2) Against this stand possible savings in identification, registration and KYC processes. Through the automated processing of verified identity data, manual checks can be reduced and processes accelerated. This can lead to lower process costs, in particular where identification and transaction volumes are high. At the same time, standardised digital attestations can reduce the review effort and the risks from incorrect or manipulated identity data. Model calculations assume that, depending on company size and extent of use, considerable savings potential can result from this. However, the respective implementation and operating costs must be set against the possible savings. Whether integration pays off economically therefore depends in particular on the previous effort for identification and KYC, the transaction volume and the chosen technical implementation. The Commission's model calculations can be found in [Chapter 6 of the Impact Assessment SWD(2021) 124 final](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52021SC0124&ref=waldvorlauternormen.com). For citizens, the provision and use of the EUDI wallet is, in principle, free of charge. Qualified electronic signatures (QES) are also, in principle, to be made available to natural persons free of charge for non-commercial purposes. ## How Does the Wallet Affect Existing eID Procedures? ### Impact on KYC and Remote Identification The AMLR changes the requirements for identifying and verifying customer identity. Under Art. 22(6) AMLR, identity can be verified in particular on the basis of identity documents or by electronic identification means with the eIDAS assurance level "substantial" or "high" as well as relevant qualified trust services. As a result, eIDAS-compliant electronic identification means and in particular the EUDI wallet gain importance for digital KYC processes. Assurance level Assurance levels under Art. 8 eIDAS **Low** There is limited confidence in the claimed identity. The security measures are intended to reduce the risk of identity misuse or alteration. **Substantial**Suitable for KYC under Art. 22(6) AMLR There is substantial confidence in the claimed identity. The security measures must substantially reduce the risk of identity misuse or alteration. **High**Suitable for KYC under Art. 22(6) AMLR There is a higher degree of confidence than at the "substantial" level. The security measures are aimed at preventing identity misuse or alteration. ### Impact on VideoIdent For businesses, the question arises in particular what role established VideoIdent procedures will play in future. These have become established under German anti-money laundering law as a widespread form of remote identification, but cannot simply be equated with eIDAS-compliant electronic identification means. The future requirements for such remote identification procedures will be specified further by regulatory technical standards (RTS). According to the current state of play, other remote identification procedures can be used alongside electronic identification solutions, provided they meet the requirements set for security, reliability and quality of the identity verification. These include in particular requirements for the authenticity and quality of the identity data used and for the secure performance and documentation of the identification process. It is thus still not conclusively clarified what role the VideoIdent procedures established in Germany will play in future in their existing form. The financial sector in particular points out that alternative procedures may continue to be needed, for example where customers do not have a suitable electronic identification means. ### Consequences for Businesses Businesses that are obliged entities under anti-money laundering law are therefore advised to review their existing remote identification and KYC processes at an early stage. eIDAS-compliant identification means and the EUDI wallet are likely to gain considerable importance for digital identification processes. At the same time, businesses should monitor the conditions under which existing procedures such as VideoIdent can continue to be used under the final regulatory requirements. ## Outlook: The European Business Wallet In addition to the EUDI wallet, the European Commission presented a proposal for a regulation introducing the European Business Wallet (EUBW) on 19 November 2025\. It is intended in particular to give businesses and public bodies a digital identity usable across the Union and to simplify the secure exchange of verified company data and attestations. The EUBW is not intended to replace the EUDI wallet but to complement it and be interoperable with it. While the EUDI wallet is primarily geared towards the digital identity of natural persons, the EUBW addresses business use cases in particular. In addition to identification and the exchange of attestations, these include the digital management of powers of representation and authorisations. As of September 2026, the proposal is still in the European legislative process. ## Conclusion and Recommendations for Action With the planned launch of "d-you" on 2 January 2027, the practical roll-out of the state EUDI wallet in Germany begins. It will then become apparent what importance wallets gain in identification. Businesses subject to the acceptance obligation must create the conditions by December 2027 to accept wallets in their onboarding processes and data landscape – with the associated advantages in prospect. --- 1 Cf. Art. 5f(2) eIDAS in conjunction with the implementing acts under Art. 5a(23) and Art. 5c(6) eIDAS, in particular Implementing Regulations (EU) 2024/2977, 2024/2979, 2024/2980, 2024/2981 and 2024/2982\. [↩](#fnref1) 2 Cf. Art. 5b eIDAS (Regulation (EU) No 910/2014 as amended by Regulation (EU) 2024/1183). [↩](#fnref2) ### EUDI, EUBW, d-you: Was heißt das für Verpflichtete und muss ich Wallets akzeptieren? URL: https://www.waldvorlauternormen.com/eudi-wallet-d-you-akzeptanzpflicht-unternehmen/ Last updated: 2026-09-30T08:18:43.000Z Digitale Identitäten sollen nach dem Willen des europäischen Gesetzgebers eine zentrale Rolle, etwa bei der geldwäscherechtlichen Identifizierung unter der AMLR , spielen. Herzstück ist für natürliche Personen dabei die European Digital Identity (EUDI), die in Deutschland am 2.1.2027 mit der "d-you"startet. Was heißt das für Verpflichtete, die die EUDI-Wallet künftig einsetzen wollen? ## Die (reformierte) eIDAS-Verordnung Den Rechtsrahmen für digitale Identitäten bildet die [eIDAS-Verordnung](https://eur-lex.europa.eu/eli/reg/2014/910/oj?locale=de&ref=waldvorlauternormen.com). Mit der Reform der eIDAS im Jahr 2024 (eIDAS "2.0") erhielt die digitale Identifizierung in der Europäischen Union einen neuen Rechtsrahmen. Eine zentrale Neuerung der Reform war dabei die Schaffung der rechtlichen Voraussetzungen für Identitäts-Wallets, insbesondere der EUDI-Wallet. In Deutschland soll das Digitale-Identitäten-Gesetz (DIdG), das sich mit Stand September 2026 noch im Gesetzgebungsverfahren befindet, nationales Recht zur Akzeptanz der EUDI-Wallet anpassen. ## Was ist die EUDI-Wallet? Die European Digital Identity Wallet (EUDI-Wallet) ist ein digitales Identifizierungsmittel, mit dem Nutzer Identitätsdaten und elektronische Nachweise sicher speichern und gegenüber Unternehmen vorlegen können. Sie soll online und offline einsetzbar sein. Die deutsche EUDI-Wallet soll unter dem Namen „d-you“ ab Januar 2027 zur Verfügung stehen. Die EUDI-Wallet enthält Personenidentifizierungsdaten (PID) zur Identitätsfeststellung und ermöglicht die Vorlage elektronischer Attributsbescheinigungen (EAA), etwa zu Führerscheinen, Bildungsabschlüssen oder anderen Eigenschaften. Zudem können Nutzer mit einer qualifizierten elektronischen Signatur (QES) Dokumente rechtswirksam digital unterzeichnen. Für Bürgerinnen und Bürger ist die Nutzung der EUDI-Wallet freiwillig und kostenlos. Unternehmen können die Wallet insbesondere zur digitalen Identifizierung und zur Überprüfung erforderlicher Nachweise einsetzen. Die deutsche EUDI-Wallet wird unter dem Namen „d-you“ und unter Federführung des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) entwickelt. Sie soll Identifizierungs- und Verifizierungsprozesse sicherer und effizienter gestalten und Unternehmen insbesondere eine Vereinfachung von KYC-Prozessen sowie damit verbundene Kosten- und Sicherheitsvorteile ermöglichen. ## Grenzüberschreitende Akzeptanz ausländischer EUDI-Wallets Die EUDI-Wallet ist grenzüberschreitend angelegt. Akzeptanzpflichtige Unternehmen müssen daher grundsätzlich nicht nur die deutsche „d-you“, sondern EUDI-Wallets aus allen EU-Mitgliedstaaten akzeptieren. Dies ermöglicht insbesondere grenzüberschreitende KYC-Verfahren: Kunden aus anderen Mitgliedstaaten können sich digital identifizieren und Nachweise vorlegen, wodurch manuelle Dokumentenprüfungen und bisherige Sonderverfahren reduziert werden können. Die hierfür erforderliche Interoperabilität wird durch gemeinsame europäische Standards und das [Architecture and Reference Framework (ARF)](https://eudi.dev/3.0.0/main/?ref=waldvorlauternormen.com) sichergestellt. Standardisierte Datenformate wie SD-JWT VC und ISO/IEC 18013-5 mdoc ermöglichen es Unternehmen, unterschiedliche nationale Wallets über einheitliche Verfahren in ihre Systeme zu integrieren. Bei der nationalen Umsetzung verfolgen die Mitgliedstaaten unterschiedliche Ansätze. Während Deutschland mit „d-you“ und die Niederlande mit der „Public NL Wallet“ neue staatliche Wallets entwickeln, bauen Polen mit „mObywatel“ und Frankreich mit „France Identité“ auf bestehenden digitalen Identitätslösungen auf. Unabhängig vom jeweiligen Ansatz müssen die Wallets die europäischen Anforderungen erfüllen und grenzüberschreitend interoperabel sein. ## eIDAS, EUDI-Wallet und die AMLR Ein zentraler Use-Case der EUDI-Wallet ist die Speicherung von *Person Identification Data* (PID). PID meint dabei ganz allgemein Identifizierung einer Person in diversen Kontexten - insbesondere aber eben auch die geldwäscherechtliche Identifizierung wie heute nach § 10 Abs. 1 GwG bzw. künftig nach den Art. 20 ff. der [AMLR](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32024R1624&ref=waldvorlauternormen.com). Der PID-Prozess erfolgt dabei nach einem standardisiertem Prozess zum Austausch der zur Identifizierung notwendigen Daten und der Bestätigung der Identität durch den Wallet-Betreiber, der durch das [PID-based identification for online services Manual](https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/930451131/PID+Identification+Manual?ref=waldvorlauternormen.com) detailliert vorgegeben wird. ## Muss ich die EUDI-Wallet akzeptieren? Bislang lässt das GwG Verpflichteten die Wahl, welches Mittel zur Identifizierung sie einsetzen. Die eIDAS2.0 enthält dagegen in [Art. 5f Abs. 2 eIDAS 2.0](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1183&ref=waldvorlauternormen.com) folgende Formulierung: > Sind private vertrauende Beteiligte, die Dienste erbringen — mit Ausnahme von Kleinst- und kleinen Unternehmen im Sinne von Artikel 2 des Anhangs der Empfehlung 2003/361/EG der Kommission ([ 5 ](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02014R0910-20241018&ref=waldvorlauternormen.com#E0005)) –, nach Unionsrecht oder nationalem Recht verpflichtet, eine Online-Identifizierung mit starker Nutzerauthentifizierung vorzunehmen, oder ist eine Online-Identifizierung mit starker Nutzerauthentifizierung vertraglich vorgeschrieben, auch in den Bereichen Verkehr, Energie, Bankenwesen, Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastrukturen, Bildung oder Telekommunikation, so akzeptieren diese privaten vertrauenden Beteiligten hierfür spätestens 36 Monate nach dem Tag des Inkrafttretens der Durchführungsrechtsakte gemäß Artikel 5a Absatz 23 und Artikel 5c Absatz 6 und nur auf das freiwilliges Verlangen des Nutzers auch europäische Brieftaschen für die Digitale Identität, die gemäß dieser Verordnung bereitgestellt werden. Von einer freiwilligen Akzeptanz ist hier keine Rede mehr. Die eIDAS-VO formuliert hier eine harte Akzeptanzpflicht, unter den genannten Voraussetzungen. ### Welche Unternehmen sind verpflichtet? Private Unternehmen müssen die EUDI-Wallet also akzeptieren, wenn sie aufgrund unionsrechtlicher, nationaler oder vertraglicher Vorgaben eine starke Nutzerauthentifizierung für die Online-Identifizierung verlangen. Art. 5f nennt insbesondere die Bereiche Verkehr, Energie, Bank- und Finanzdienstleistungen, soziale Sicherheit, Gesundheit, Trinkwasser, Postdienste, digitale Infrastruktur, Bildung und Telekommunikation. Die Zugehörigkeit zu einem dieser Bereiche begründet jedoch für sich genommen noch keine Akzeptanzpflicht. Entscheidend ist, dass die weiteren Voraussetzungen des Art. 5f Abs. 2 eIDAS erfüllt sind. 💡 Art. 5f Abs. 2 spricht von "starker **Nutzer**authentifizierung", die Zahlungsdiensterichtlinie bzw. das ZAG von "starker **Kunden**authentifizierung". Die Kommission stellt klar, dass der unterschiedliche Wortlaut allein darin begründet ist, dass die eIDAS anders als die Zahlungsdiensterichtlinie kein Kundenverhältnis voraussetzt, sondern für sämtliche Nutzungsverhältnisse gelten soll. Die Begriffe seien laut Kommission aber synonym zu verstehen sein (s. die [FAQ der Kommission](https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/713526976/FAQ?ref=waldvorlauternormen.com)) Kleinst- und kleine Unternehmen im Sinne der Empfehlung 2003/361/EG sind von dieser Verpflichtung ausgenommen. Die Ausnahme gilt jedoch nicht für mittlere Unternehmen. Im Bereich Finanzdienstleistungen entsteht die Nutzungspflicht daher bereits dann, wenn eine gesetzliche Pflicht zur Anwendung starker Kundenauthentifizierung besteht und damit für sämtliche Kreditinstitute, die Zahlungskonten führen und für Zahlungsdienstleister, die eine starke Kundenauthentifizierung anwenden müssen. Auch dies stellt die Kommission [ausdrücklich in ihren FAQ klar](https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/713526976/FAQ?ref=waldvorlauternormen.com). ### Sonderfall: Sehr große Online-Plattformen Eine gesonderte Regelung gilt für sehr große Online-Plattformen (VLOPs) im Sinne des [Art. 33 des Digital Services Act](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02022R2065-20221027&ref=waldvorlauternormen.com). Verlangen sie eine Nutzerauthentifizierung, müssen sie auf Wunsch der Nutzer auch die EUDI-Wallet akzeptieren. Dabei dürfen nur die für den jeweiligen Dienst erforderlichen Daten verlangt werden. **Schnellcheck:** Die folgende Prüfungsmatrix zeigt vereinfacht, unter welchen Voraussetzungen Unternehmen die EUDI-Wallet akzeptieren müssen. Schnellcheck · Art. 5f eIDAS START**Um welche Art von Stelle handelt es sich?** **Privates Unternehmen**Art. 5f Abs. 2 eIDAS 01 Ist das Unternehmen ein Kleinst- oder kleines Unternehmen? Empfehlung 2003/361/EG JA →**Ausnahme greift.** Keine Pflicht nach Art. 5f Abs. 2. NEIN 02 Muss für die Online-Identifizierung eine starke Nutzerauthentifizierung vorgenommen werden? NEIN →**Keine Pflicht.** Ohne vorgeschriebene starke Nutzerauthentifizierung greift Art. 5f Abs. 2 nicht. JA 03 Beruht diese Anforderung auf EU-Recht, nationalem Recht oder einer vertraglichen Verpflichtung? NEIN →**Keine Pflicht.** Es fehlt die gesetzliche oder vertragliche Grundlage. JA 04 Möchte der Nutzer die EUDI-Wallet freiwillig für diese Identifizierung einsetzen? NEIN →**Keine erzwungene Wallet-Nutzung.** Der Nutzer muss die Wallet nicht verwenden. JA **EUDI-Wallet muss akzeptiert werden** Das Unternehmen muss die EUDI-Wallet für diesen Identifizierungsvorgang akzeptieren. Spätestens ab 24.12.2027 **Sehr große Online-Plattform (VLOP)**Art. 5f Abs. 3 eIDAS i. V. m. Art. 33 DSA 01 Verlangt die Plattform für den Zugang zum Online-Dienst eine Nutzerauthentifizierung? NEIN →**Keine Pflicht.** Ohne Authentifizierungserfordernis greift Art. 5f Abs. 3 nicht. JA 02 Möchte der Nutzer die EUDI-Wallet freiwillig verwenden? NEIN →**Keine erzwungene Wallet-Nutzung.** Die Pflicht gilt nur auf freiwilliges Verlangen des Nutzers. JA **EUDI-Wallet muss ermöglicht werden** Die VLOP muss die Nutzung der EUDI-Wallet akzeptieren und erleichtern. Verlangt werden dürfen nur die für den Dienst erforderlichen Mindestdaten. ### Freiwillige Integration Unbenommen bleibt Unternehmen, die nicht unter die Akzeptanzpflicht fallen, die freiwillige Akzeptanz der EUDI-Wallet aufgrund der damit verbundenen Vorteile (Integrität der Daten, hohes Schutzniveau der Identifizierung, Nachweis bei Bestreitens des Vertragsschlusses durch den Kunden, Kosten, etc.). ### Ab wann gilt die Akzeptanzpflicht? Für verpflichtete private Unternehmen gilt eine Übergangsfrist von 36 Monaten nach Inkrafttreten der maßgeblichen Durchführungsrechtsakte. Diese traten am 24\. Dezember 2024 in Kraft. Die zur Akzeptanz verpflichteten Unternehmen sind daher spätestens ab dem 24\. Dezember 2027 verpflichtet, die EUDI-Wallet zur Identifizierung zu akzeptieren.[1](#fn1) ## Wie können Unternehmen die EUDI-Wallet integrieren? ### Registrierung als vertrauender Beteiligter (*Relying Party*) Unternehmen, die die EUDI-Wallet zur Identifizierung oder zum Abruf digitaler Nachweise einsetzen möchten, müssen sich als vertrauende Beteiligte (*Relying Parties*) registrieren. Die Durchführungsverordnung (EU) 2025/848 sieht hierfür nationale Register vor. Bei der Registrierung sind insbesondere Identität und Kontaktdaten des Unternehmens, der vorgesehene Verwendungszweck sowie die über die Wallet anzufordernden Daten bzw. Attribute anzugeben. Auf dieser Grundlage erhält das Unternehmen die erforderlichen Berechtigungen zur Interaktion mit der EUDI-Wallet. Die konkrete Ausgestaltung des Registrierungsverfahrens in Deutschland, insbesondere die zuständige Anlaufstelle und der operative Ablauf, befindet sich derzeit noch in der Umsetzung. ### Technische Anbindung und Architektur Die technische Einbindung der EUDI-Wallet richtet sich nach dem europäischen *Architecture and Reference Framework* (ARF) sowie den einschlägigen nationalen Vorgaben. Unternehmen können die Wallet über standardisierte Schnittstellen in ihre bestehenden Systeme und Fachverfahren integrieren. ### Nutzung von Service Providern und Intermediären Unternehmen müssen die technische Anbindung nicht vollständig selbst umsetzen, sondern können hierfür spezialisierte Service Provider bzw. Intermediäre einsetzen. Diese unterstützen bei der Integration der Wallet-Infrastruktur in bestehende Systeme und Prozesse. Weitere Informationen zu möglichen Integrationspartnern bietet die [FAQ der deutschen EUDI-Wallet](https://eudi-wallet.gov.de/faq?ref=waldvorlauternormen.com). ### Erprobung in der staatlichen Sandbox Für die technische Erprobung stellen BMDS und SPRIND eine nationale Sandbox als Testumgebung bereit. Unternehmen können dort mit Testdaten konkrete Anwendungsfälle, insbesondere den Umgang mit Personenidentifizierungsdaten (PID) und elektronischen Attributsbescheinigungen (EAA), erproben und ihre Integration vorbereiten. Quellcode und technische Dokumentation werden über die Open-Source-Plattform OpenCoDE bereitgestellt. ## Welche Daten dürfen Unternehmen über die EUDI-Wallet verarbeiten? ### Herkunft und Verlässlichkeit digitaler Nachweise Die Authentizität und Verlässlichkeit der über die EUDI-Wallet bereitgestellten Daten wird durch vertrauenswürdige Quellen und Aussteller sichergestellt. Digitale Nachweise werden von berechtigten öffentlichen oder privaten Ausstellern (Issuern) ausgestellt, digital signiert und über die Wallet bereitgestellt. ### Welche Daten darf ein Unternehmen anfordern? Unternehmen dürfen über die EUDI-Wallet nicht beliebig Daten anfordern. Bereits bei der Registrierung als *Relying Party* müssen sie angeben, zu welchem Zweck sie die Wallet einsetzen und welche Daten bzw. Attribute hierfür benötigt werden. Daneben gelten insbesondere die datenschutzrechtlichen Grundsätze der Zweckbindung und Datenminimierung. Für jeden Anwendungsfall ist daher zu bestimmen, welche Informationen tatsächlich erforderlich sind. ### Status- und Gültigkeitsprüfung Bei der Vorlage eines digitalen Nachweises kann das Unternehmen dessen Echtheit und Gültigkeit automatisiert überprüfen. Hierzu sehen die technischen Vorgaben der EUDI-Wallet insbesondere Mechanismen vor, mit denen festgestellt werden kann, ob ein Nachweis widerrufen wurde. Die hierfür eingesetzten Verfahren müssen zugleich den Schutz der Privatsphäre gewährleisten. Insbesondere sollen Status- und Widerrufsprüfungen so ausgestaltet sein, dass sie nicht zur Nachverfolgung oder Verknüpfung einzelner Nutzungsvorgänge verwendet werden können. ### Datensparsamkeit und Selective Disclosure Die EUDI-Wallet ermöglicht eine selektive Offenlegung (*Selective Disclosure*). Nutzer können dadurch nur diejenigen Informationen freigeben, die für den jeweiligen Vorgang erforderlich sind. So kann beispielsweise lediglich nachgewiesen werden, dass eine Person über 18 Jahre alt ist, ohne das vollständige Geburtsdatum offenzulegen. Die Identitätsdaten werden dabei grundsätzlich direkt zwischen der Wallet und dem Unternehmen ausgetauscht. ## Was kostet die EUDI-Wallet? Für Unternehmen können durch die EUDI-Wallet Implementierungs- und laufende Betriebskosten entstehen. Deren Höhe hängt insbesondere von der bestehenden IT-Infrastruktur, der Anzahl der Anwendungsfälle und dem gewählten Integrationsmodell ab. **Der europäische Rechtsrahmen sieht dabei vor, dass Registrierungs- und Prüfverfahren sowie technische Anforderungen für vertrauende Beteiligte verhältnismäßig und kosteneffizient ausgestaltet werden.**[2](#fn2) Dem stehen mögliche Einsparungen bei Identifizierungs-, Registrierungs- und KYC-Prozessen gegenüber. Durch die automatisierte Verarbeitung verifizierter Identitätsdaten können manuelle Prüfungen reduziert und Prozesse beschleunigt werden. Dies kann insbesondere bei einem hohen Identifizierungs- und Transaktionsvolumen zu geringeren Prozesskosten führen. Zugleich können standardisierte digitale Nachweise den Prüfaufwand und Risiken durch fehlerhafte oder manipulierte Identitätsdaten reduzieren. Modellrechnungen gehen davon aus, dass sich hieraus je nach Unternehmensgröße und Nutzungsumfang erhebliche Einsparpotenziale ergeben können. Den möglichen Einsparungen sind jedoch die jeweiligen Implementierungs- und Betriebskosten gegenüberzustellen. Ob sich die Integration wirtschaftlich rechnet, hängt daher insbesondere vom bisherigen Aufwand für Identifizierung und KYC, dem Transaktionsvolumen und der gewählten technischen Umsetzung ab. Die Modellrechnungen der Kommission finden sich in [Kapitel 6 der Folgenabschätzung SWD(2021) 124 final](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52021SC0124&ref=waldvorlauternormen.com). Für Bürgerinnen und Bürger ist die Bereitstellung und Nutzung der EUDI-Wallet grundsätzlich kostenfrei. Auch qualifizierte elektronische Signaturen (QES) sollen natürlichen Personen für nicht-gewerbliche Zwecke grundsätzlich kostenlos zur Verfügung stehen. ## Wie beeinflusst die Wallet bestehende eID-Verfahren? ### Auswirkungen auf KYC und Fernidentifizierung Die AMLR verändert die Anforderungen an die Identifizierung und Überprüfung der Kundenidentität. Nach Art. 22 Abs. 6 AMLR kann die Identität insbesondere anhand von Ausweisdokumenten oder durch elektronische Identifizierungsmittel mit dem eIDAS-Sicherheitsniveau „substanziell“ oder „hoch“ sowie einschlägige qualifizierte Vertrauensdienste überprüft werden. Damit gewinnen eIDAS-konforme elektronische Identifizierungsmittel und insbesondere die EUDI-Wallet für digitale KYC-Prozesse an Bedeutung. Vertrauensniveau Sicherheitsniveaus nach Art. 8 eIDAS **Niedrig** Es besteht ein begrenztes Vertrauen in die behauptete Identität. Die Sicherheitsmaßnahmen sollen das Risiko eines Identitätsmissbrauchs oder einer Identitätsveränderung mindern. **Substanziell**KYC-tauglich nach Art. 22 Abs. 6 AMLR Es besteht ein substanzielles Vertrauen in die behauptete Identität. Die Sicherheitsmaßnahmen müssen das Risiko eines Identitätsmissbrauchs oder einer Identitätsveränderung erheblich mindern. **Hoch**KYC-tauglich nach Art. 22 Abs. 6 AMLR Es besteht ein höheres Vertrauen als beim Niveau „substanziell“. Die Sicherheitsmaßnahmen sind darauf ausgerichtet, einen Identitätsmissbrauch oder eine Identitätsveränderung zu verhindern. ### Auswirkungen auf VideoIdent Für Unternehmen stellt sich insbesondere die Frage, welche Rolle etablierte VideoIdent-Verfahren künftig spielen werden. Diese haben sich unter dem deutschen Geldwäscherecht als verbreitete Form der Fernidentifizierung etabliert, sind jedoch nicht ohne Weiteres mit eIDAS-konformen elektronischen Identifizierungsmitteln gleichzusetzen. Die künftigen Anforderungen an solche Fernidentifizierungsverfahren werden durch technische Regulierungsstandards (RTS) weiter konkretisiert. Nach dem derzeitigen Stand können neben elektronischen Identifizierungslösungen auch andere Fernidentifizierungsverfahren eingesetzt werden, sofern sie die hierfür vorgesehenen Anforderungen an Sicherheit, Zuverlässigkeit und Qualität der Identitätsprüfung erfüllen. Dazu gehören insbesondere Anforderungen an die Echtheit und Qualität der verwendeten Identitätsdaten sowie an die sichere Durchführung und Dokumentation des Identifizierungsprozesses. Damit ist derzeit noch nicht abschließend geklärt, welche Rolle die in Deutschland etablierten VideoIdent-Verfahren künftig in ihrer bestehenden Form spielen werden. In der Finanzwirtschaft wird insbesondere darauf hingewiesen, dass alternative Verfahren weiterhin benötigt werden können, etwa wenn Kunden über kein geeignetes elektronisches Identifizierungsmittel verfügen. ### Konsequenzen für Unternehmen Für geldwäscherechtlich verpflichtete Unternehmen empfiehlt es sich daher, bestehende Fernidentifizierungs- und KYC-Prozesse frühzeitig zu überprüfen. eIDAS-konforme Identifizierungsmittel und die EUDI-Wallet dürften für digitale Identifizierungsprozesse erheblich an Bedeutung gewinnen. Zugleich sollten Unternehmen beobachten, unter welchen Voraussetzungen bestehende Verfahren wie VideoIdent nach den endgültigen regulatorischen Vorgaben weiterhin eingesetzt werden können. ## Ausblick auf die European Business Wallet Ergänzend zur EUDI-Wallet hat die Europäische Kommission am 19\. November 2025 einen Verordnungsvorschlag zur Einführung der European Business Wallet (EUBW) vorgelegt. Sie soll insbesondere Unternehmen und öffentlichen Stellen eine unionsweit nutzbare digitale Identität ermöglichen und den sicheren Austausch verifizierter Unternehmensdaten und Nachweise vereinfachen. Die EUBW soll die EUDI-Wallet nicht ersetzen, sondern ergänzen und mit ihr interoperabel sein. Während die EUDI-Wallet primär auf die digitale Identität natürlicher Personen ausgerichtet ist, adressiert die EUBW insbesondere geschäftliche Anwendungsfälle. Dazu gehören neben der Identifizierung und dem Austausch von Nachweisen auch die digitale Verwaltung von Vertretungsrechten und Vollmachten. Der Vorschlag befindet sich mit Stand September 2026 noch im europäischen Gesetzgebungsverfahren. ## Fazit und Handlungsempfehlungen Mit dem geplanten Start von „d-you“ am 2\. Januar 2027 beginnt die praktische Einführung der staatlichen EUDI-Wallet in Deutschland. Dann wird sich zeigen, welche Bedeutung Wallets bei der Identifizierung gewinnen. Zur Akzeptanz verpflichtete Unternehmen müssen bis Dezember 2027 die Voraussetzungen schaffen, um Wallets in ihre Onboarding-Abläufe und Datenlandschaft zu akzeptieren - mit Aussicht auf die damit verbundenen Vorteile. --- 1 Vgl. Art. 5f Abs. 2 eIDAS i. V. m. den Durchführungsrechtsakten nach Art. 5a Abs. 23 und Art. 5c Abs. 6 eIDAS, insbesondere den Durchführungsverordnungen (EU) 2024/2977, 2024/2979, 2024/2980, 2024/2981 und 2024/2982\. [↩](#fnref1) 2 Vgl. Art. 5b eIDAS (Verordnung (EU) Nr. 910/2014 i. d. F. der Verordnung (EU) 2024/1183). [↩](#fnref2) ### New EBA Guidelines on Third-Party Risk Management for Non-ICT Services URL: https://www.waldvorlauternormen.com/en/eba-guidelines-third-party-risk-management/ Last updated: 2026-09-29T08:44:18.000Z On 18 September 2026, the EBA published its Final Report on the Guidelines on Third-Party Risk Management (EBA/GL/2026/09). The eagerly awaited new [EBA Guidelines on third-party risk management for non-ICT services](https://www.eba.europa.eu/sites/default/files/2026-09/dc9ccbb3-79b9-493d-b693-c21adeffbcc9/Final%20report%20on%20GL%20on%20third-party%20risk%20management.pdf?ref=waldvorlauternormen.com) will replace the existing [EBA Guidelines on Outsourcing (EBA/GL/2019/02)](https://www.eba.europa.eu/documents/10180/2761380/5546a705-bff2-43eb-b382-e5c7bed3a2bc/EBA%20revised%20Guidelines%20on%20outsourcing%5FDE.pdf?ref=waldvorlauternormen.com) as of their date of application, which has not yet been fixed. [DORA](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32022R2554&ref=waldvorlauternormen.com) harmonised third-party risk management for ICT services but left the management of contractual relationships with third parties outside the ICT area to the older EBA Guidelines on Outsourcing, which led to inconsistent requirements in the details. ## Addressees The new EBA Guidelines on third-party risk management apply to a considerably wider group of addressees than the existing EBA Guidelines on Outsourcing. The addressees now include: Financial institutions within the meaning of the CRD and their third-country branches, investment firms – with the exception of small and non-interconnected firms within the meaning of the IFR –, payment institutions (with the exception of registered account information service providers), electronic money institutions, issuers of asset-referenced tokens within the meaning of MiCAR, and creditors within the meaning of the *MCD* that qualify as financial institutions, as well as financial holding companies or mixed financial holding companies authorised under the CRD. ## Scope of Application The scope of application of the new EBA Guidelines on third-party risk management no longer covers only outsourcing agreements but arrangements with third-party providers (*third-party arrangements*), with outsourcing arrangements expressly forming merely a subset of these. The aim is for institutions to manage the risks arising from arrangements with third parties in a holistic manner. In para. 33, the EBA Guidelines on third-party risk management continue to contain a list of services that are excluded from the scope of the Guidelines. Compared with the EBA Guidelines on Outsourcing, the list has been clarified and expanded. 💡 For the procurement of ICT services, the requirements follow from DORA; for the procurement of non-ICT services, they follow from the EBA Guidelines on third-party risk management. As some arrangements combine ICT and non-ICT elements, the Guidelines place responsibility for the classification on the institution itself: where a non-ICT arrangement also involves the use of ICT services, it is for the institution to decide whether the ICT element is “material enough” to trigger the application of DORA (para. 32). See the [DORA Q&A](https://www.eiopa.europa.eu/qa-regulation/questions-and-answers-database/dora030-2999%5Fen?ref=waldvorlauternormen.com) for guidance on the delimitation. According to it, the definition of ICT services under DORA is to be interpreted broadly. It is nevertheless to be expected that the delimitation and its documentation may remain a practical challenge in individual cases. ## Register of All Third-Party Arrangements The previous outsourcing register under the EBA Guidelines on Outsourcing becomes a register of all third-party arrangements (para. 58 et seq.). The register is to be aligned as far as possible with the register of information under DORA. Any discrepancies between the two registers are to be avoided. It is also possible to combine both in a single register (para. 61). One point to note: where third-party providers of non-ICT services in turn use ICT subcontractors that effectively underpin such non-ICT services supporting critical or important functions within the meaning of DORA (*effectively underpinning*), these ICT subcontractors are to be documented in the register (para. 58). ## Alignment with Contractual DORA Requirements The minimum contractual content has been visibly aligned with the requirements known from DORA (para. 83 et seq.). A distinction continues to be made between minimum content that is to be included in all third-party arrangements and further content for third-party arrangements that support critical or important functions. ## No “Empty Shells” For all the extensive possibilities of outsourcing and procuring services from third parties, it must not be forgotten that institutions must not become letterbox companies / empty shells. The EBA Guidelines on third-party risk management stress this, as the EBA Guidelines on Outsourcing did before them (para. 45 et seq.). ## Implementation and Transitional Period The EBA Guidelines on third-party risk management apply to all arrangements with third-party providers that are entered into, reviewed or amended on or after the date of application (para. 18). Existing arrangements with third-party providers must be reviewed and brought into line with the requirements, unless they fall under the exclusions in para. 33. The consultation draft still contained, in Annex I, a non-exhaustive catalogue of examples of services that may be provided by a third-party provider and would generally fall within the scope of the EBA Guidelines. Although this Annex I has now been dropped from the final Guidelines, it still illustrates well the service-based scope of application of the EBA Guidelines on third-party risk management. The review and documentation of arrangements that **support critical or important functions** must be completed within two years of the date of application. Otherwise, the institution must inform its competent supervisory authority and communicate the planned measures for completion or the possible exit strategy (para. 20). For arrangements that **support neither critical nor important functions**, the review and documentation may be postponed until the next contract renewal (para. 21). The starting point is therefore the update of the risk assessment already carried out under the previous Outsourcing Guidelines or, for non-outsourcing arrangements, its first-time performance. The risk assessment must determine whether or not the service supports critical or important functions. Where a non-ICT outsourcing of critical or important functions existed under the previous EBA Guidelines on Outsourcing, it will in all likelihood continue to be regarded as supporting critical or important functions. Further service arrangements previously treated as “other external procurement” (non-outsourcing) may be added, to the extent that they support critical or important functions. ### Neue EBA-Leitlinien zum Drittparteirisikomanagement bei Nicht-IKT-Dienstleistungen URL: https://www.waldvorlauternormen.com/eba-leitlinien-drittparteirisikomanagement/ Last updated: 2026-09-29T08:45:49.000Z Die EBA hat am 18\. September 2026 ihren Final Report on the Guidelines on Third-Party Risk Management (EBA/GL/2026/09) veröffentlicht. Die seit Inkrafttreten der DORA sehnlich erwarteten neuen [EBA-Leitlinien zum Drittparteirisikomanagement bei Nicht-IKT-Dienstleistungen](https://www.eba.europa.eu/sites/default/files/2026-09/dc9ccbb3-79b9-493d-b693-c21adeffbcc9/Final%20report%20on%20GL%20on%20third-party%20risk%20management.pdf?ref=waldvorlauternormen.com) werden mit dem (noch nicht feststehenden) Anwendungsdatum die bisherigen [EBA Guidelines on Outsourcing (EBA/GL/2019/02)](https://www.eba.europa.eu/documents/10180/2761380/5546a705-bff2-43eb-b382-e5c7bed3a2bc/EBA%20revised%20Guidelines%20on%20outsourcing%5FDE.pdf?ref=waldvorlauternormen.com) ersetzen. [DORA](https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022R2554&ref=waldvorlauternormen.com) harmonisierte das Risikomanagement bei Dritten für IKT-Dienstleistungen, überließ jedoch die Steuerung von Vertragsbeziehungen zu Dritten außerhalb des IKT-Bereichs den älteren EBA Guidelines on Outsourcing was im Detail zu ungleichen Anforderungen führte. ## Adressatenkreis Die neuen EBA-Leitlinien zum Drittparteirisikomanagement gelten für einen wesentlich größeren Adressatenkreis als die bisherigen EBA-Leitlinien zum Outsourcing. Zu den Adressaten gehören nun: Finanzinstitute im Sinne der CRD und deren Zweigniederlassungen aus Drittländern (third country branches), Wertpapierfirmen – mit Ausnahme kleiner und nicht vernetzter Firmen im Sinne der IFR –, Zahlungsinstitute (mit Ausnahme registrierter Kontoinformationsdienstleister), E-Geld-Institute, Emittenten von vermögensbezogenen Token im Sinne der MiCAR sowie Kreditgeber im Sinne der *MCD*, die als Finanzinstitute gelten, sowie gemäß der CRD zugelassene Finanz- oder gemischte Finanzholdinggesellschaften. ## Anwendungsbereich Der Anwendungsbereich der neuen EBA-Leitlinien zum Drittparteirisikomanagement umfasst nun nicht mehr nur Auslagerungsverträge, sondern Vereinbarungen mit Drittanbietern (*Third-party arrangements*), wobei Auslagerungsvereinbarungen (Outsourcing arrangements) ausdrücklich nur noch eine Untergruppe davon darstellen. Das Ziel ist es, dass Institute die Risiken durch Vereinbarungen mit Dritten ganzheitlich steuern. Die EBA-Leitlinien zum Drittparteirisikomanagement enthalten in Tz. 33 weiterhin eine Auflistung von Dienstleistungen die aus dem Anwendungsbereich der Leitlinien ausgeschlossen sind. Im Vergleich zu den EBA-Leitlinien zum Outsourcing wurde die Aufzählung präzisiert und erweitert. 💡 Für den Bezug von IKT-Dienstleistungen richten sich die Vorgaben nach DORA, für den Bezug von Nicht-IKT-Dienstleistungen nach den EBA-Leitlinien zum Drittparteirisikomanagement. Da manche Vereinbarungen sowohl IKT- als auch Nicht-IKT-Elemente kombinieren, legen die Leitlinien die Verantwortung für die Einstufung bei der Institution selbst: Wenn eine Nicht-IKT-Vereinbarung auch die Nutzung von IKT-Diensten beinhaltet, obliegt es dem Institut zu entscheiden, ob das IKT-Element „wesentlich genug“ ist, um die Anwendung der DORA auszulösen (Tz. 32). Siehe hierzu als Auslegungshilfe für die Abgrenzung in den [DORA Q&A](https://www.eiopa.europa.eu/qa-regulation/questions-and-answers-database/dora030-2999%5Fen?ref=waldvorlauternormen.com). Danach ist die Definition von IKT-Dienstleistungen nach DORA weit auszulegen. Es ist davon auszugehen, dass die Abgrenzung und deren Dokumentation in Einzelfällen dennoch eine praktische Herausforderung darstellen kann. ## Register aller Drittparteivereinbarungen Das bisherige Auslagerungsregister nach den EBA-Leitlinien zum Outsourcing wird zu einem Register aller Drittparteivereinbarungen (Tz. 58 ff.). Das Register soll so weit wie möglich mit dem Informationsregister nach DORA übereinstimmen. Jegliche Abweichungen zwischen den beiden Registern sind zu vermeiden. Es besteht zudem die Möglichkeit beide in einem Register zusammenzufassen (Tz. 61). Ein Beachtungspunkt hierbei: Wenn Drittanbieter von Nicht-IKT-Dienstleistungen ihrerseits IKT-Subunternehmer einsetzen, die solche Nicht-IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen im Sinne von DORA effektiv untermauern (*effectively underpinning*), sollen diese IKT-Subunternehmer im Register dokumentiert werden (Tz. 58). ## Angleich an vertragliche DORA-Anforderungen Die vertraglichen Mindestinhalte wurden erkennbar an die aus DORA bekannten Anforderungen angepasst (Tz. 83 ff.). Es wird weiterhin zwischen Mindestinhalten unterschieden, die in allen Drittparteivereinbarungen enthalten sein sollen und weitergehenden Inhalten für Drittparteivereinbarungen, die kritische oder wichtige Funktionen unterstützen. ## Keine „empty shells“ Bei all den umfangreichen Möglichkeiten der Auslagerung und des Leistungsbezugs von Drittparteien darf nicht vergessen werden, dass die Institute zu keinen Briefkastenfirmen / empty shells werden dürfen. Dies betonen die EBA-Leitlinien zum Drittparteirisikomanagement, wie schon bislang die EBA-Leitlinien zum Outsourcing (Tz. 45 f.). ## Umsetzung und Übergangszeitraum Die EBA-Leitlinien zum Drittparteirisikomanagement gelten für alle Vereinbarungen mit Drittanbietern, die am oder nach dem Anwendungsdatum geschlossen, überprüft oder geändert werden (Tz. 18). Bestehende Vereinbarungen mit Drittanbietern müssen überprüft und in Einklang mit den Vorschriften gebracht werden, soweit sie nicht unter die Ausnahmen nach Tz. 33 fallen. Der Konsultationsentwurf enthielt in Annex I noch einen nicht abschließenden Katalog an Beispielen von Dienstleistungen, die durch einen Drittanbieter erbracht werden können und in der Regel in den Anwendungsbereich der EBA-Leitlinien fallen. Dieser Annex I ist in den finalen Leitlinien zwar nun entfallen, veranschaulicht aber gut den leistungsbezogenen Umfang des Anwendungsbereichs der EBA-Leitlinien zum Drittparteirisikomanagement. Die Überprüfung und Dokumentation von Vereinbarungen, die **kritische oder wichtige Funktionen unterstützen**, muss innerhalb von zwei Jahren nach dem Anwendungsdatum abgeschlossen sein. Andernfalls muss das Institut ihre zuständige Aufsichtsbehörde informieren und dabei die geplanten Maßnahmen zur Vervollständigung oder die mögliche Ausstiegsstrategie mitteilen (Tz. 20). Bei Vereinbarungen, die **weder kritische noch wichtige Funktionen unterstützen**, kann die Überprüfung und Dokumentation bis zur nächsten Vertragsverlängerung aufgeschoben werden (Tz. 21). Ausgangspunkt ist somit die Aktualisierung der im Rahmen der bisherigen Outsourcing-Leitlinien bereits durchgeführten Risikoanalyse bzw. deren erstmalige Durchführung bei Nicht-Auslagerungsverträgen. Im Rahmen der Risikoanalyse ist zu ermitteln, ob die Leistung kritische oder wichtige Funktionen unterstützt oder nicht. Soweit nach den bisherigen EBA-Leitlinien zum Outsourcing eine Nicht-IKT-Auslagerung von kritischen oder wichtigen Funktionen vorlag, werden diese mit hoher Wahrscheinlichkeit auch weiterhin als Unterstützung kritischer oder wichtiger Funktionen zu werten sein. Es kommen gegebenenfalls weitere, bislang als „sonstiger Fremdbezug“ (Nicht-Auslagerung) gewertete Leistungsvereinbarungen hinzu, soweit sie kritische oder wichtige Funktionen unterstützen. ### Compliance Manager & Compliance Officer under the AMLR URL: https://www.waldvorlauternormen.com/en/compliance-manager-compliance-officer-unter-der-amlr-en/ Last updated: 2026-09-15T09:28:46.000Z The (numerous) changes made by the AMLR include new governance requirements for obliged entities, set out chiefly in Chapter II AMLR (Art. 9-18 AMLR). ## The basics Art. 11 AMLR governs the structure and tasks of the compliance function. The compliance function to be established under Art. 11 AMLR consists of - the Compliance Manager (Art. 11(1) UAbs. 1 AMLR) and - the AML/CFT compliance officer ("Compliance Officer") who together make up the compliance function. 💡 The German translation of the AMLR is, at the very least, confusing for German practice. The term "Compliance Manager" has so far mostly been used for compliance function staff below management level. The "Compliance Officer" of the English-language version is rendered in the German translation of the AMLR as "Geldwäschebeauftragter" (AML/CFT compliance officer) - except in Art. 11(7) AMLR, which refers to the "Compliance-Beauftragte", but presumably means the AML/CFT compliance officer. This structure is nothing fundamentally new. The 5th AMLD already provided in Art. 46(4) that a responsible member of management had to be appointed for combating money laundering and terrorist financing, and Art. 8(4)(a) provided for the appointment of an AML/CFT compliance officer. What is new is the contour of the respective responsibilities and their effect on the liability of the Compliance Manager and the compliance officer (see below). ## The Compliance Manager under the AMLR ### Term and functional allocation The Compliance Manager is a member of the management body in its management function, "*responsible for ensuring compliance with this Regulation, Regulation (EU) 2023/1113 and any administrative acts issued by supervisors"* (Art. 11(1) UAbs. 1 AMLR). The term is newly introduced by the AMLR. The Compliance Manager must accordingly be a member of the management body (Art. 2(1) No. 5 AMLR) - and thus of senior management ("management body in its management function", Art. 2(1) No. 6 AMLR). The management level must be distinguished from the senior management level defined in Art. 2(1) No. 8\. Allocating the Compliance Manager function at that lower level is not sufficient. ### Responsibilities of the Compliance Manager The Compliance Manager's duties include in particular the following: Binding intensity **Ensure**Art. 11(1) UAbs. 2 AMLR Policies, procedures and controls **consistent with the risk profile** — and actually implemented Adequate **human and material resources** Recipient of information on **significant or material deficiencies** **Report**Art. 11(6) AMLR Regular reporting to the **management body** **Annually — or more often**: report on the implementation of the AML/CFT compliance officer's rulebook Ongoing briefing on **audit findings** **Approve**Art. 9(2) UAbs. 3 sentence 3 AMLR Internal procedures and controls: approval **at least at the level of the Compliance Manager** This approval **cannot be outsourced** (Art. 18(3) UAbs. 2 lit. b) **Act**Art. 11(6) sentence 4 AMLR "Takes the necessary measures to promptly remedy any deficiencies identified." Not a duty to recommend — a duty to achieve results **Duty to ensure, Art. 11(1) UAbs. 2 AMLR** - The Compliance Manager must ensure that the obliged entity's internal policies, procedures and controls are **consistent with the entity's risk profile** and **implemented** (Art. 11(1) UAbs. 2 sentence 1 AMLR). The Compliance Manager therefore has to check, on the one hand, whether the rulebook developed matches the risk profile as it emerges from the business-wide risk assessment (adequacy of design). The second part of the exercise consists in checking the **implementation** of the rulebook, i.e. its effectiveness. - The Compliance Manager must likewise ensure that adequate human and material **resources** are provided (Art. 11(1) UAbs. 2 sentence 2 AMLR). Responsibility that in principle rests with the obliged entity (Art. 11(3) AMLR) is thereby allocated to the Compliance Manager. 💡 The obligation on the Compliance Manager to ensure adequate resourcing is one of the central innovations under the AMLR. Previously, it was the AML/CFT compliance officer's task to flag insufficient resources (cf. EBA/GL/2022/05 para. 48(d)). Under the AMLR, this "pull" duty of the AML/CFT compliance officer becomes a "push" duty of the Compliance Manager. - Finally, the Compliance Manager is obliged to receive information about deficiencies. If the Compliance Manager obtains information about such deficiencies, they must take the necessary measures to remedy the deficiencies identified in a timely manner (Art. 11(6) sentence 4 AMLR). **Reporting duty, Art. 11(6) sentences 1-3 AMLR** The reporting duties set out in Art. 11(6) sentences 1-3 AMLR consist of three elements: - Sentence 1 requires the Compliance Manager to report "regularly" on the implementation of the internal policies, procedures and controls in place. The AMLR does not further define what "regularly" means. The Compliance Manager therefore has to choose - and be able to justify - an appropriate frequency. - As a rule annually, and where appropriate more frequently, the Compliance Manager reports on the implementation of the AML/CFT compliance officer's rulebook (Art. 11(6) sentence 2, 1st half-sentence AMLR). A shorter interval is likely to be called for in particular where material objections have previously been identified. - At the same cadence, the Compliance Manager reports (formally) on the results of (internal and external) audits, for example by internal audit, the statutory auditor or the supervisor. Here too, considerably more frequent reporting is required where significant findings arise. 💡 The recipient of the reports is the "management body", which can cover both the management body in its management function and in its supervisory function. This is likely to mean both bodies - senior management and the supervisory board - which is why the reports should be made available to both. **Duty to act**, **Art. 11(6) sentence 4 AMLR** The obligation under Art. 11(6) sentence 4 AMLR is likely one of the most severe for the responsible member of management, since they ultimately have to answer for an outcome - the taking of adequate measures. The EBA guidelines previously in force still provided here for a recommendation by the responsible member of the management body. The (indeterminate legal term) of "promptly" remedying deficiencies also opens the door wide to disputes with auditors and supervisors. Finally, the provision creates a dilemma for the Compliance Manager: they must ensure the relevant outcome (the remedying of the shortcomings) but do not have sole decision-making authority over the measures needed to remedy them. To relieve the Compliance Manager, a clarification in the rules of procedure of senior management is advisable here. **Approval of policies, procedures and controls, Art. 9(2) UAbs. 3** The procedure for approving the written rulebook, as it is to be developed by the AML/CFT compliance officer, is likewise staggered: - Internal **policies** must be approved by the management body in its management function; - Internal **procedures and controls** are **approved at least at the level of the Compliance Manager**. The Compliance Manager can therefore decide alone on the sign-off of such procedures and controls - but can also require sign-off by senior management as a whole. ### Relationship to senior management as a whole Allocating responsibilities to the Compliance Manager does not relieve senior management as a whole of its overall responsibility. Recital 38, sentence 2 expressly clarifies that appointing a responsible member as Compliance Manager does not change the fact that overall responsibility "*ultimately rests with the entity's management body*" . In collegially organised bodies, the Compliance Manager's role is to "*support and advise the body and to prepare its decisions"*. Allocating a specific portfolio in this way changes nothing about the continuing supervisory duty of the other members of senior management - meaning that regular reports at senior management meetings on the risk situation and the adequacy of the controls implemented (including their effectiveness) should be a mandatory agenda item. Correspondingly, Art. 11(5) AMLR provides that the AML/CFT compliance officer reports to the (entire) management and supervisory function, and specifically not exclusively to the Compliance Manager. **The approval cascade shows the Compliance Manager as an intermediate layer, not a substitute for the body:** | | | | ------------------------------------ | ---------------------------------------------------------------------------------------------- | | Subject matter | Who approves | | Internal **policies** | Management body in its management function (Art. 9(2) UAbs. 3 sentence 2) | | Internal **procedures and controls** | at least the Compliance Manager (Art. 9(2) UAbs. 3 sentence 3) | | **Business-wide risk assessment** | Management body in its management function — *not* the Compliance Manager (Art. 10(2) UAbs. 2) | ## Compliance Officer ### Duties of the Compliance Officer Unlike the Compliance Manager, the AMLR does not define the term Compliance Officer, i.e. AML/CFT compliance officer. Art. 11(2) UAbs. 1 AMLR provides the central definition: > Obliged entities must have an AML/CFT compliance officer, to be appointed by the management body in its management function, who has a **sufficiently senior position in the hierarchy** and is responsible for the policies, procedures and controls in the **day-to-day implementation** of the requirements for combating money laundering and terrorist financing applicable to the obliged entity, including with regard to the **implementation of targeted financial sanctions**, and who serves as the **point of contact** for the competent authorities. The AML/CFT compliance officer is also responsible for reporting **suspicious transactions** to the central Financial Intelligence Unit under Article 69(6). The AML/CFT compliance officer is thus responsible for: - ongoing ("day-to-day") implementation of the requirements to combat money laundering and terrorist financing, - compliance with targeted restrictive measures, - acting as point of contact for authorities, and - filing suspicious transaction reports. ### Changes compared to the current legal position **From the exception to the rule** For the non-financial sector, the key change is the abolition of the exceptions and relief currently available. Whereas under Section 7 GwG an AML/CFT compliance officer only had to be appointed in the cases specified in Section 7(1) sentence 1 GwG, and the competent supervisory authorities could otherwise only order the appointment of an AML/CFT compliance officer in all other cases (Section 7(3) GwG), Art. 11(2) AMLR provides for the appointment of an AML/CFT compliance officer for **all obliged entities** . **Protecting independence** The independence of the AML/CFT compliance officer is significantly strengthened under the AMLR (see Art. 11(2) UAbs. 4 AMLR): - On the one hand, dismissal requires a **prior notification** of the entire senior management; - before dismissal, the (planned) dismissal must be **notified to the supervisor**, including information on whether the dismissal is connected with the performance of the officer's duties; - the AML/CFT compliance officer is given an independent right to information vis-à-vis the supervisor. The AML/CFT compliance officer's decision-making authority is also significantly strengthened (Art. 11(4) AMLR): - Art. 11(4) AMLR protects the AML/CFT compliance officer against retaliation, discrimination and any other unfair treatment; - a particular protection lies in the fact that decisions of the AML/CFT compliance officer must "***not be impaired or improperly influenced by the obliged entity's commercial interests***" . The final requirement carries real force: obliged entities must ensure that commercial interests do not jeopardise the performance of these duties. Senior management therefore bears the burden of demonstrating that decisions taken against the advice of the AML/CFT compliance officer were not taken for commercial reasons. Under Art. 11(5) AMLR, the AML/CFT compliance officer is entitled to report directly to the management body in its supervisory function, including the right to raise concerns and warnings. The exceptional case previously provided for in Section 7(5) sentence 5 GwG thus becomes the rule. ### Further changes ![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/2026/09/AMLR-comparison-en.svg) ## Conclusion The AMLR's requirements place considerably greater emphasis than before on the responsibility of the Compliance Manager as the responsible member of the management body. This relieves the AML/CFT compliance officer to a certain extent. Given the case law on the AML/CFT compliance officer's personal liability (see, by way of example, the judgment of the Frankfurt Higher Regional Court of 10 April 2018 - 2 Ss-Owi 1059/17, and by contrast the CJEU judgment of 29 January 2026 - Case C-291/24, see also the [article by Preni Giragosian](https://www.waldvorlauternormen.com/sanktionen-im-geldwascherecht-was-das-neue-eugh-urteil-zu-bussgeldern-fur-unternehmen-bedeutet/)) this is a welcome development. For companies, this means adjustments to their governance, in particular at the level of senior management. ### Compliance Manager & Compliance Officer unter der AMLR URL: https://www.waldvorlauternormen.com/compliance-manager-compliance-officer-unter-der-amlr/ Last updated: 2026-09-15T09:27:17.000Z Zu den (zahlreichen) Änderungen der AMLR gehören neue Vorgaben an die Governance von Verpflichteten, die maßgeblich in Kapitel 2 AMLR (Art. 9-18 AMLR) geregelt sind. ## Grundlegendes Art. 11 AMLR regelt Struktur und Aufgaben der Compliance-Funktion. Die nach Art. 11 AMLR einzurichtende Compliance-Funktion besteht aus - dem Compliance Manager (Art. 11 Abs. 1 UAbs. 1 AMLR) und - dem Geldwäschebeauftragten ("Compliance-Officer") die gemeinsam die Compliance-Funktion bilden. 💡 Die deutsche Übersetzung der AMLR ist für die deutsche Praxis mindestens verwirrend. Der Begriff des Compliance-Managers wurde bislang überwiegend für Mitarbeiter der Compliance-Funktion unterhalb der Führungsebene genutzt. Der "Compliance-Officer" aus der englischen Sprachfassung wird in der deutschen Übersetzung der AMLR mit "Geldwäschebeauftragter" übersetzt - mit Ausnahme von Art. 11 Abs. 7 AMLR, der vom "Compliance-Beauftragten" spricht, aber wohl den Geldwäschebeauftragten meint. Die Struktur ist dabei nichts grundsätzlich neues. Die 5\. AMLD sah bereits in Art. 46 Abs. 4 vor, dass ein zuständiges Mitglied der Geschäftsleitung für die Bekämpfung von Geldwäsche und Terrorismusfinanzierung zu bestellen sei, Art. 8 Abs. 4 lit. a) sah die Bestellung eines Geldwäschebeauftragten vor. Neu ist die Kontur der Zuständigkeiten und ihre Auswirkung auf die Verantwortlichkeit von Compliance-Manager und Geldwäschebeauftragten (s. dazu im Folgenden). ## Der Compliance-Manager unter der AMLR ### Begriff und funktionale Allokation Der Compliance-Manager ist ein des Leitungsorgans in seiner Leitungsfunktion, „*das dafür verantwortlich ist, sicherzustellen, dass die vorliegende Verordnung, die Verordnung (EU) 2023/1113 und von Aufsehern erlassene Verwaltungsakte eingehalten werden"* (Art. 11 Abs. 1 UAbs. 1 AMLR). Der Begriff wird mit der AMLR neu eingeführt. Der Compliance-Manager muss danach Mitglied des Leitungsorgans (Art. 2 Abs. 1 Nr. 5 AMLR) - und damit der Geschäftsleitung ("Leitungsorgan in seiner Leitungsfunktion", Art. 2 Abs. 1 Nr. 6 AMLR) - sein. Zu unterscheiden ist die Leitungsebene von der in Art. 2 Abs. 1 Nr. 8 definierten Führungsebene. Die Allokation der Funktion des Compliance-Managers auf dieser Ebene ist nicht ausreichend. ### Verantwortlichkeiten des Compliance-Managers Zu den Pflichtenkreisen des Compliance-Managers gehören insbesondere die Folgenden: Bindungsintensität **Sicherstellung**Art. 11 Abs. 1 UAbs. 2 AMLR Strategien, Verfahren und Kontrollen **kongruent zur Risikolage** — und tatsächlich umgesetzt Ausreichende **personelle und materielle Ressourcen** Adressat für Informationen über **signifikante oder wesentliche Schwachstellen** **Berichten**Art. 11 Abs. 6 AMLR Regelmäßige Berichterstattung an das **Leitungsorgan** **Jährlich — oder häufiger**: Bericht über die Umsetzung der Regelwerke des Geldwäschebeauftragten Laufende Unterrichtung über **Prüfungsergebnisse** **Billigen**Art. 9 Abs. 2 UAbs. 3 S. 3 AMLR Interne Verfahren und Kontrollen: Billigung **mindestens auf Ebene des Compliance-Managers** Diese Billigung ist **nicht auslagerbar** (Art. 18 Abs. 3 UAbs. 2 lit. b) **Handeln**Art. 11 Abs. 6 S. 4 AMLR „Trifft die notwendigen Maßnahmen, um alle festgestellten Mängel zeitnah zu beheben." Keine Empfehlungs-, sondern Erfolgspflicht **Sicherstellungspflichten, Art. 11 Abs. 1 UAbs. 2 AMLR** - Der Compliance-Manager hat sicherzustellen, dass die internen Strategien, Verfahren und Kontrollen des Verpflichteten mit der Risikolage des Verpflichteten **in Einklang stehen** und **umgesetzt** werden (Art. 11 Abs. 1 UAbs. 2 S. 1 AMLR). Der Compliance-Manager hat damit einerseits zu prüfen, ob das entwickelte Regelwerk zur Risikolage, wie sie die unternehmensweite Risikobewertung ergeben hat, passen (Angemessenheit des Designs). Der zweite Teilakt besteht in der Prüfung der **Umsetzung** des Regelwerks, also der Wirksamkeit. - Ebenfalls sicherzustellen hat der Compliance-Manager die Ausstattung mit ausreichenden personellen und materiellen **Ressourcen** (Art. 11 Abs. 1 UAbs. 2 S. 2 AMLR). Die Verantwortung, die grundsätzlich den Verpflichteten trifft (Art. 11 Abs. 3 AMLR), wird damit dem Compliance-Manager zugeordnet. 💡 Die Verpflichtung für den Compliance-Manager, eine angemessene Ressourcenausstattung sicherzustellen, ist eine der zentralen Neuerungen unter der AMLR. Bislang war es Aufgabe des Geldwäschebeauftragten, nicht ausreichende Ressourcen zu melden (vgl. EBA/GL/2022/05 Rn. 48 lit. d). Unter AMLR wird aus dieser Holdschuld des Geldwäschebeauftragten eine Bringschuld des Compliance-Managers. - Zuletzt ist der Compliance-Manager verpflichtet, Informationen über Schwachstellen entgegenzunehmen. Erlangt der Compliance-Manager Informationen über solche Schwachstellen, hat er die notwendigen Maßnahmen zu treffen, um die festgestellten Mängel zeitnah zu beheben (Art. 11 Abs. 6 S. 4 AMLR). **Berichtspflicht, Art. 11 Abs. 6 S. 1–3 AMLR** Die in Art. 11 Abs. 6 S. 1-3 AMLR enthaltene Berichtspflichten bestehen aus drei Elementen: - S. 1 verpflichtet den Compliance-Manager, "regelmäßig" über die Umsetzung der implementierten internen Strategien, Verfahren und Kontrollen zu berichten. Was unter "regelmäßig" zu verstehen ist, definiert die AMLR nicht näher. Damit hat der Compliance-Manager eine angemessene Frequenz zu wählen - und zu vertreten. - In der Regel jährlich, gegebenenfalls auch in kürzerer Frequenz, berichtet der Compliance-Manager über die Umsetzung der Regelwerke des Geldwäschebeauftragten (Art. 11 Abs. 6 S. 2., 1\. Hs. AMLR). Eine kürzere Frequenz dürfte insbesondere in Betracht kommen, wenn im Vorhinein wesentliche Beanstandungen festgestellt wurden. - Im selben Rhythmus berichtet der Compliance-Manager (förmlich) über Ergebnisse von (internen und externen) Prüfungen, etwa durch die interne Revision, den Jahresabschlussprüfer oder die Aufsicht. Auch hier gilt, dass bei erheblichen Feststellungen in wesentlich höherer Frequenz zu berichten ist. 💡 Adressat der Berichte ist das "Leitungsorgan", was sowohl das Leitungsorgan in seiner Leitungsfunktion als auch in seiner Überwachungsfunktion umfassen kann. Gemeint sein dürften damit beide Gremien - Geschäftsleitung und Aufsichtsrat, weswegen die Berichte beiden Organen zur Verfügung gestellt werden sollten. **Handlungspflicht**, **Art. 11 Abs. 6 S. 4 AMLR** Die Verpflichtung aus Art. 11 Abs. 6 S. 4 AMLR dürfte eine der gravierendsten für zuständige Geschäftsleiter sein, da sie letztlich für einen Erfolg - das Treffen angemessener Maßnahmen - einzustehen haben. Die bislang geltenden Leitlinien der EBA sahen hier noch eine Empfehlung des zuständigen Mitglieds des Leitungsorgans vor. Der (unbestimmte Rechtsbegriff) der "zeitnahen" Behebung von Mängeln öffnet Diskussionen mit Prüfer und Aufsicht daneben Tür und Tor. Zuletzt enthält die Regelung ein Dilemma für den Compliance-Manager: Er hat den entsprechenden Erfolg (Abstellung der Missstände) sicherzustellen, ist aber nicht allein entscheidungsbefugt über die zur Abstellung notwendigen Maßnahmen. Zur Entlastung des Compliance-Managers empfiehlt sich hier eine Klarstellung in der Geschäftsordnung der Geschäftsleitung. **Billigung von Strategien, Verfahren und Kontrollen, Art. 9 Abs. 2 UAbs. 3** Gestuft ist auch das Verfahren zur Billigung der schriftlich fixierten Ordnung, wie sie vom Geldwäschebeauftragten zu entwickeln ist: - Interne **Strategien** sind vom Leitungsorgan in seiner Leitungsfunktion zu billigen; - Interne **Verfahren und Kontrollen** werden **mindestens auf Ebene des Compliance-Managers** gebilligt. Der Compliance-Manager kann damit allein über die Abnahme solcher Verfahren und Kontrollen entscheiden - kann aber auch die Abnahme durch die Geschäftsleitung als Ganzes verlangen. ### Verhältnis zur Geschäftsleitung als Ganzes Die Allokation der Verantwortlichkeiten zum Compliance-Manager entlasten die Geschäftsleitung als Ganzes nicht von ihrer Verantwortlichkeit als Ganzes. Erwägungsgrund 38 S. 2 stellt ausdrücklich klar, dass die Benennung eines zuständigen Mitglieds als Compliance-Manager nichts daran ändert, dass die Gesamtverantwortung "*letztlich beim Leitungsorgan des Unternehmens*" liegt. Die Rolle des Compliance-Managers besteht in kollegial organisierten Organen darin, das Organ zu "*unterstützen, zu beraten und die Entscheidungen vorzubereiten"*. Die Ressortaufteilung ändert damit nichts an der fortbestehenden Überwachungspflicht der übrigen Mitglieder der Geschäftsleitung - womit regelmäßige Berichte in Sitzungen der Geschäftsleitung zu Risikosituation und Angemessenheit der implementierten Kontrollmaßnahmen (inklusive ihrer Wirksamkeit) zu den Pflichttagesordnungspunkten gehören sollten. Entsprechend ordnet Art. 11 Abs. 5 AMLR an, dass der Geldwäschebeauftragte an die (gesamte) Leitungs- und Aufsichtsfunktion berichtet und gerade nicht ausschließlich an den Compliance-Manager. **Die Billigungskaskade zeigt ihn als Zwischenebene, nicht als Ersatz des Organs:** | | | | ------------------------------------- | -------------------------------------------------------------------------------------------------- | | Gegenstand | Wer billigt | | Interne **Strategien** | Leitungsorgan in seiner Leitungsfunktion (Art. 9 Abs. 2 UAbs. 3 S. 2) | | Interne **Verfahren und Kontrollen** | mindestens Compliance-Manager (Art. 9 Abs. 2 UAbs. 3 S. 3) | | **Unternehmensweite Risikobewertung** | Leitungsorgan in seiner Leitungsfunktion — *nicht* der Compliance-Manager (Art. 10 Abs. 2 UAbs. 2) | ## Compliance-Officer ### Aufgaben des Compliance-Officers Im Gegensatz zum Compliance-Manager definiert die AMLR den Begriff des Compliance-Officers bzw. Geldwäschebeauftragten nicht. Zentral definiert Art. 11 Abs. 2 UAbs. 1 AMLR: > Verpflichtete haben über einen Geldwäschebeauftragten zu verfügen, der vom Leitungsorgan in seiner Leitungsfunktion zu ernennen ist, über eine **ausreichend hohe hierarchische Stellung** verfügt und für die Strategien, Verfahren und Kontrollen bei der **täglichen Umsetzung** der Anforderungen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung an den Verpflichteten, auch in Bezug auf die **Umsetzung gezielter finanzieller Sanktionen**, zuständig ist und als **Kontaktstelle** für die zuständigen Behörden dient. Der Geldwäschebeauftragte ist ebenfalls dafür zuständig, der zentralen Meldestelle gemäß Artikel 69 Absatz 6 **verdächtige Transaktionen zu melden**. Der Geldwäschebeauftragte ist damit verantwortlich für: - laufende ("tägliche") Umsetzung der Anforderung von Geldwäsche und Terrorismusfinanzierung, - Einhaltung gezielter restriktiver Maßnahmen, - Kontaktstelle für Behörden, und - Abgabe von Verdachtsmeldungen. ### Änderungen zur gegenwärtigen Rechtslage **Von der Ausnahme zur Regel** Für den Nichtfinanzsektor wesentlich ist die Abschaffung gegenwärtiger Ausnahmen und Erleichterungen. Während nach § 7 GwG nur in den in § 7 Abs. 1 S. 1 GwG bestimmten Fällen zwingend ein Geldwäschebeauftragter zu bestellen war und die zuständigen Aufsichtsbehörden in allen anderen Fällen die Bestellung eines Geldwäschebeauftragten nur anordnen konnte (§ 7 Abs. 3 GwG), sieht Art. 11 Abs. 2 AMLR die Bestellung eines Geldwäschebeauftragten für **alle Verpflichteten** vor. **Schutz der Unabhängigkeit** Die Unabhängigkeit des Geldwäschebeauftragten wird unter der AMLR wesentlich gestärkt (vgl. Art. 11 Abs. 2 UAbs. 4 AMLR): - Eine Abberufung setzt zum einen eine **vorherige Unterrichtung** der gesamten Geschäftsleitung voraus; - vor Abberufung ist die (geplante) Abberufung der **Aufsicht anzuzeigen**, inklusive der Information, ob die Abberufung im Zusammenhang mit der Aufgabenerfüllung steht; - der Geldwäschebeauftragte erhält ein eigenes Informationsrecht gegenüber der Aufsicht. Eine wesentliche Stärkung erfährt die Entscheidungskompetenz des Geldwäschebeauftragten (Art. 11 Abs. 4 AMLR): - Art. 11 Abs. 4 AMLR schützt den Geldwäschebeauftragten vor Repressalien, Diskriminierung und jeder anderen unfairen Behandlung; - ein besonderer Schutz besteht darin, dass Entscheidungen des Geldwäschebeauftragten „***nicht durch die wirtschaftlichen Interessen des Verpflichteten beeinträchtigt oder in unzulässiger Weise beeinflusst werden***" dürfen. Letzte Anforderung birgt Sprengkraft: Verpflichtete haben sicherzustellen, dass wirtschaftliche Interessen nicht die Aufgabenerfüllung gefährden. Damit obliegt es der Geschäftsleitung nachzuweisen, dass Entscheidungen entgegen des Rats des Geldwäschebeauftragten nicht aufgrund wirtschaftlicher Interessen getroffen wurden. Nach Art. 11 Abs. 5 AMLR ist der Geldwäschebeauftragte berechtigt, direkt an das Leitungsorgan in seiner Aufsichtsorgan zu berichten, inklusive des Rechts, Bedenken und Warnungen zu äußern. Der in § 7 Abs. 5 S. 5 GwG bislang vorgesehene Ausnahmefall wird damit zur Regel. ### Weitere Änderungen ![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/2026/09/AMLR-Vergleich.svg) ## Fazit Die Vorgaben der AMLR betonen wesentlich stärker als bislang die Verantwortlichkeit des Compliance-Managers als zuständiges Mitglied des Leitungsorgans. Damit wird der Geldwäschebeauftragte zu einem gewissen Grad entlastet. Im Hinblick auf die Entscheidungen zur persönlichen Haftung des Geldwäschebeauftragten (s. exemplarisch das Urteil des OLG Frankfurt vom 10.04.2018 - 2 Ss-Owi 1059/17 und demgegenüber EuGH, Urteil v. 29\. Januar 2026 - Rs. C-291/24, s. auch den [Beitrag von Preni Giragosian](https://www.waldvorlauternormen.com/sanktionen-im-geldwascherecht-was-das-neue-eugh-urteil-zu-bussgeldern-fur-unternehmen-bedeutet/)) ist das eine erfreuliche Entwicklung. Für Unternehmen bedeutet das Anpassungen an ihrer Governance, insbesondere auf Ebene der Geschäftsleitung. ### Impact der AMLR im Versicherungssektor: Auslagerung der GwB-Funktion? URL: https://www.waldvorlauternormen.com/impact-der-amlr-im-versicherungssektor-auslagerung-der-gwb-funktion/ Last updated: 2026-09-11T14:27:10.000Z *Der Beitrag ist Teil der Reihe AMLR für Versicherungsunternehmen. Weitere Beiträge der Reihe finden Sie* [*hier*](https://www.waldvorlauternormen.com/tag/amlr-versicherer-2/)*.* Lässt sich die GwB-Funktion unter der AMLR noch in Gänze auslagern? Die überwiegenden Argumente sprechen dafür. ## I. Hintergrund und praktische Relevanz Viele geldwäscherechtlich verpflichtete Versicherer machen bislang von der Möglichkeit Gebrauch, die Funktion des GwB und/oder seines Stellvertreters (die „*GwB-Funktion*“) auszulagern (bzw. in der versicherungsaufsichtsrechtlichen Terminologie: auszugliedern), bei einem anderen Unternehmen anzusiedeln und durch eine dort konkret zu benennende Person zu besetzen. Besonders relevant ist die gruppeninterne Auslagerung, bei der die GwB-Funktion, die grundsätzlich jeder verpflichtete Versicherer selbst bestellen muss, im Wege der Auslagerung bei einem Gruppenunternehmen (z.B. der gruppeneigenen Servicegesellschaft oder der übergeordneten Holding) konzentriert wird. Dieses Vorgehen ist üblich und zulässig, wird von der BaFin als Aufsichtsbehörde akzeptiert (BaFin-AuA AT, Ziff. 3.2.6: „*Soweit die Funktion des/der GWB \[…\] ausgelagert ist*“) und entspricht dem allgemeinen versicherungsaufsichtsrechtlichen Grundsatz, fast alle Unternehmensfunktionen, inklusive der Schlüsselfunktionen und selbst definierter Schlüsselaufgaben, bis zur Grenze der originären Leitungsaufgaben und -verantwortung auslagern zu können ([Art. 274 Abs. 1 Solvency-II-Verordnung](https://publications.europa.eu/resource/cellar/d4117d51-ac28-11ef-acb1-01aa75ed71a1.0002.03/DOC%5F1?ref=waldvorlauternormen.com); [BaFin-MaGo, Ziff. 205, 206](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Rundschreiben/2025/rs%5Frundschreiben%5F09%5F25%5Fva.html?ref=waldvorlauternormen.com)). ## II. Faktisches Auslagerungsverbot durch die Hintertür? Droht unter der AMLR ein faktisches Auslagerungsverbot der GwB-Funktion durch die Hintertür? Art. 18 Abs. 3 S. 2 AMLR enthält konkrete Auslagerungsverbote, die auch Kernkompetenzen der GwB-Funktion berühren. ****Art. 18 Abs. 3 S. 2 AMLR** Danach dürfen a) der Vorschlag und die Billigung der unternehmensweiten Risikobewertung, b) die Billigung der internen Strategien, Verfahren und Kontrollen des Versicherers, c) die Entscheidung über das dem Kunden zuzuordnende Risikoprofil, d) die Entscheidung, eine Geschäftsbeziehung aufzunehmen oder eine gelegentliche Transaktion mit einem Kunden durchzuführen, e) die Meldung verdächtiger Tätigkeiten, es sei denn, diese Tätigkeiten werden an einen anderen Verpflichteten ausgelagert, der derselben Gruppe angehört und in demselben Mitgliedstaat niedergelassen ist, und f) die Billigung der Kriterien für die Aufdeckung verdächtiger oder ungewöhnlicher Transaktionen und Tätigkeiten unter keinen Umständen ausgelagert werden. Angesichts dieser Auslagerungsverbote könnte man meinen, dass hierdurch auch eine Auslagerung der GwB-Funktion in ihrer Gesamtheit ausgeschlossen ist. Schließlich gehören gerade der „Vorschlag der unternehmensweiten Risikobewertung“ (lit. a), die „Meldung verdächtiger Tätigkeiten“ (lit. e) und die „Billigung der Kriterien“ des Transaktionsmonitorings (lit. f) zu den Kernkompetenzen des GwB. Art. 18 Abs. 3 S. 2 AMLR und die dort normierten Auslagerungsverbote lassen drei Lesarten zu: ### 1\. Erste Lesart: Verbot isolierter Auslagerung Die dort genannten Aufgaben dürfen für sich genommen, isoliert nicht ausgelagert werden. So dürfte z.B. die Verdachtsmeldungsabgabe nicht durch einen externen, gruppenfremden Dienstleister durchgeführt werden (lit. e). Eine gesamthafte Auslagerung der GwB-Funktion, die dann auch die dazugehörigen Aufgaben – wie die Abgabe von Verdachtsmeldungen – erfüllt, wäre aber möglich. ### 2\. Zweite Lesart: GwB-Funktion insgesamt nicht mehr auslagerungsfähig Die Auslagerungsverbote umfassen Aufgaben, die in den originären Zuständigkeitsbereich des GwB fallen und mit seiner Funktion untrennbar verbunden sind. Wenn die Erfüllung dieser einzelnen Aufgaben nicht ausgelagert werden darf, kann auch die GwB-Funktion als solche nicht mehr ausgelagert werden. ### 3\. Dritte Lesart: Partielle Auslagerung der GwB-Funktion Die GwB-Funktion kann weiterhin ausgelagert werden, darf aber als externe GwB-Funktion die von den Auslagerungsverboten umfassten Aufgaben nicht mehr erfüllen. Der externe GwB könnte also z.B. PeP-Treffer und Alerts aus dem Transaktionsmonitoring bearbeiten, dürfte aber grundsätzlich keine Verdachtsmeldungen abgeben (lit. e) und auch die Indizien der Monitoringsysteme nicht festlegen (lit. f). Mit Blick auf die Auslagerungsverbote wird bereits gefolgert, dass eine [vollständige Auslagerung der Funktion des Geldwäschebeauftragten künftig faktisch ausgeschlossen](https://klardenker.kpmg.de/financialservices-hub/eu-vorgaben-zu-aml-so-veraendert-sich-die-rolle-des-geldwaeschebeauftragten/?ref=waldvorlauternormen.com) sei (= Zweite Lesart). Die rechtswissenschaftliche Literatur hält dagegen und zeigt auf, weshalb der Verordnungsgeber im Ergebnis kaum das Ziel verfolgt haben dürfte, der GwB-Funktion die Auslagerungsfähigkeit abzusprechen (z.B. *Schultess*, [VersR 2025, 521, 529](https://juris.de/r3/document/jzs-VersR-2025-9-001-521?ref=waldvorlauternormen.com); *Wegner/Haffke*, [BKR 2026, 393](https://beck-online.beck.de/Dokument?vpath=bibdata%2Fzeits%2Fbkr%2F2026%2Fcont%2Fbkr.2026.393.1.htm&anchor=Y-300-Z-BKR-B-2026-S-393&jumpType=Jump&jumpWords=BKR%2B2026%252c%2B393&readable=Suche%2Bnach%2BFundstelle%253a%2BBKR%2B2026%2B%2B393%2Bnur%2Bin%2Bmeinen%2BModulen&ref=waldvorlauternormen.com); jeweils hinter der Paywall). Eine abschließende Klärung dieser Frage kann nur durch die AMLA herbeigeführt werden. Sie ist aufgefordert, bis zum 10\. Juli 2027 Leitlinien zu den zentralen Vorgaben und der aufsichtsbehördlichen Erwartungshaltung an Auslagerungsverhältnisse herauszugeben (Art. 18 Abs. 8 AMLR). Diese Leitlinien werden hoffentlich auch eine Klarstellung zur Auslagerung der GwB-Funktion enthalten. Bis dahin ist es an den einzelnen verpflichteten Unternehmen, sich auf die Auslagerungsverbote unter der AMLR einzustellen. Die besseren Argumente sprechen dafür, die GwB-Funktion auch in Zukunft auslagern zu können. ## III. Argumente für eine auch in Zukunft mögliche Auslagerung der GwB-Funktion Die Bedenken, die gegen eine gesamthafte Auslagerung (Zweite Lesart) bzw. für eine nur partielle Auslagerung der GwB-Funktion (Dritte Lesart) geäußert werden, fußen allesamt auf der (falschen) Annahme, dass die Auslagerungsverbote nach Art. 18 Abs. 3 S. 2 AMLR neu seien und bislang nicht gegolten hätten. Tatsächlich bringen die Auslagerungsverbote nach Art. 18 Abs. 3 S. 2 AMLR gegenüber dem Status quo kaum Neues. Zeit für eine unaufgeregte Einordnung: ### 1\. Kein wirkliches Novum gegenüber dem Status quo Die Auslagerungsverbote des Art. 18 Abs. 3 S. 2 AMLR finden sich heute bereits in ganz ähnlicher Form in den EBA-Leitlinien zu Strategien und Verfahren in Bezug auf das Compliance-Management und die Rolle und Zuständigkeiten des Geldwäschebeauftragten ([EBA/GL/2022/05 v. 14.6.2022](https://www.eba.europa.eu/sites/default/files/document%5Flibrary/Publications/Guidelines/2022/EBA-GL-2022-05%20GLs%20on%20AML%20compliance%20officers/Translations/1039059/GL%20on%20AMLCFT%20compliance%20officers%20%28EBA%20GL%202022%2005%29%5FDE%5FCOR.pdf?ref=waldvorlauternormen.com), die „*EBA-Leitlinien*“). Dort heißt es unter der Überschrift „*Auslagerung von operationellen Aufgaben des Geldwäschebeauftragten*“ in Ziff. 68 lit. e: ****EBA-Leitlinien, Ziff. 68 lit. e** „**Die Auslagerung von Funktionen darf nicht zur Delegation der Verantwortlichkeiten des Leitungsorgans führen. Strategische Entscheidungen bezüglich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung sollten nicht ausgelagert werden. Zu diesen Entscheidungen zählen insbesondere:* **i. die Genehmigung der unternehmensweiten Risikobewertung bezüglich Geldwäsche und Terrorismusfinanzierung;* **ii. die Entscheidung über die interne Organisation des Rahmenwerks zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung des Kredit- oder Finanzinstituts;* **iii. die Annahme interner Strategien und Verfahren zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung;* **iv. die Genehmigung der Methode für die Bestimmung des Risikos in Zusammenhang mit Geldwäsche und Terrorismusfinanzierung aufgrund einer bestimmten Geschäftsbeziehung und die Zuweisung des Risikoprofils;* **v. die Genehmigung der vom Kredit- oder Finanzinstitut zu verwendenden Kriterien zur Aufdeckung verdächtiger und ungewöhnlicher Transaktionen für die Zwecke der laufenden Überwachung und/oder Meldung.* **Die letztendliche Verantwortung für die Entscheidung über die Meldung verdächtiger Transaktionen an die FIU verbleibt bei den Kredit- und Finanzinstituten, dies gilt auch, wenn die Ermittlung und Meldung verdächtiger Transaktionen ausgelagert sind.*“ Ein Vergleich mit den (vermeintlich neuen) Auslagerungsverboten gemäß Art. 18 Abs. 3 S. 2 AMLR zeigt, dass diese mit den (auch heute schon geltenden) Vorgaben der EBA-Leitlinien weitgehend deckungsgleich sind: | Nr. | AMLRUnter keinen Umständen ausgelagert werden dürfen … | EBA-LeitlinienStrategische Entscheidungen \[…\] sollten nicht ausgelagert werden. Zu diesen Entscheidungen zählen insbesondere … | Bewertung | | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------- | | 1. | Unternehmensweite Risikobewertung | | | | *… der Vorschlag und die Billigung der unternehmensweiten Risikobewertung des Verpflichteten* | *… die Genehmigung der unternehmensweiten Risikobewertung bezüglich Geldwäsche und Terrorismusfinanzierung* | Partielle Neuerung gegenüber den EBA-Leitlinien durch das zusätzliche Verbot des „Vorschlags“ der RisikobewertungGgf. soll hiermit auf die verbreitete Praxis reagiert werden, dass die Risikobewertung vollständig durch externe Dienstleister erstellt wirdDie isolierte Auslagerung der Erstellung der Risikoanalyse – ohne gleichzeitige Auslagerung der GwB-Funktion – ist z.B. im Nichtfinanzsektor (relevant u.a. für Versicherungsvermittler) auch heute schon ausdrücklich unzulässig: „*Die Erstellung einer Risikoanalyse als klassische Aufgabe des Geldwäschebeauftragten kann daher lediglich im Fall der Bestellung eines externen Geldwäschebeauftragten im Rahmen einer Auslagerung extern vorgenommen werden*“ ([Gemeinsame AuA der Länder, Stand: 18.06.2025, Ziff. 3.3.9](https://rp.baden-wuerttemberg.de/fileadmin/RP-Internet/Themenportal/Sicherheit/%5FDocumentLibraries/Documents/Geldwaesche/Allgemeingueltige%5FInformationen%5Fund%5FFormulare/Geldwaesche%5FAuA%5FLaender.pdf?ref=waldvorlauternormen.com))Hier gilt bereits heute: Eine isolierte Auslagerung der Erstellung der Risikoanalyse ist unzulässig (Erste Lesart), während eine Erstellung durch die gesamthaft ausgelagerte GwB-Funktion möglich ist | | | Keine Neuerung bzgl. der Genehmigung der unternehmensweiten RisikobewertungDie Genehmigung (bzw. „Billigung“) der Risikoanalyse liegt in der originären Verantwortung des zuständigen Vorstandsmitglieds (§ 4 Abs. 3 S. 2 GwG) und konnte auch bislang nicht ausgelagert werdenKein inhaltlicher Unterschied zwischen „Billigung“ (AMLR) und „Genehmigung“ (EBA-Leitlinien); in der englischen Fassung wird beides jeweils mit „approval“ wiedergegeben | | | | | 2. | Interne Strategien, Verfahren und Kontrollen | | | | *… die Billigung der internen Strategien, Verfahren und Kontrollen des Verpflichteten* | *… die Entscheidung über die interne Organisation des Rahmenwerks zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung des Kredit- oder Finanzinstituts* | Das Auslagerungsverbot bzgl. der „Billigung der internen Strategien, Verfahren und Kontrollen“ bringt keine NeuerungenDie „internen Strategien, Verfahren und Kontrollen“ (Art. 9 AMLR) entsprechen inhaltlich und systematisch weitgehend den „Internen Sicherungsmaßnahmen“ (§ 6 GwG)Die Genehmigung der internen Sicherungsmaßnahmen lag auch bislang in der originären Verantwortung des zuständigen Vorstandsmitglieds (§ 4 Abs. 3 S. 2 GwG)Dementsprechend konnte dies auch bislang nicht ausgelagert werden (vgl. [BaFin-Rundschreiben 09/2025 (VA) – MaGo v. 14.7.2025, Ziff. 13.2 Rz. 206](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Rundschreiben/2025/rs%5Frundschreiben%5F09%5F25%5Fva.html?ref=waldvorlauternormen.com): „*Originäre Leitungsaufgaben einschließlich der Verantwortung für die Einrichtung und die Weiterentwicklung des Risikomanagementsystems und des internen Kontrollsystems können nicht ausgegliedert werden*“) | | | *… die Annahme interner Strategien und Verfahren zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung* | | | | | 3. | Kundenrisikoprofil | | | | *… die Entscheidung über das dem Kunden zuzuordnende Risikoprofil* | *… die Genehmigung der Methode für die Bestimmung des Risikos in Zusammenhang mit Geldwäsche und Terrorismusfinanzierung aufgrund einer bestimmten Geschäftsbeziehung und die Zuweisung des Risikoprofils* | Keine Neuerung bzgl. der Entscheidung über das dem Kunden zuzuordnende RisikoprofilAuf Ebene der AMLR wurden die Vorgaben gegenüber der bisherigen EBA-Position sogar nochmals reduziertDie Entscheidung über das einzelne Kundenrisikoprofil wird als Teil des Kundenonboardings und damit typischerweise im Bereich der 1st LoD getroffen, z.B. im Bereich des Customer Service bzw. der Kundenverwaltung, nicht aber durch die GwB-FunktionDie GwB-Funktion ist an der Definition der Methodik zur Kundenrisikoklassifizierung beteiligt – dies ist aber vom Auslagerungsverbot der AMLR wiederum nicht umfasst | | | 4. | Kundenannahmeentscheidung | | | | *… die Entscheidung, eine Geschäftsbeziehung aufzunehmen oder eine gelegentliche Transaktion mit einem Kunden durchzuführen* | / | Dieses Auslagerungsverbot gibt es nach den EBA-Leitlinien bislang nichtDieses Auslagerungsverbot betrifft auch keine originären Aufgaben des GwBDie „Entscheidung, eine Geschäftsbeziehung aufzunehmen oder eine gelegentliche Transaktion mit einem Kunden durchzuführen“ ist ganz grundsätzlich keine Frage der Geldwäscheprävention und keine Teilzuständigkeit des GwB, sondern Ergebnis einer privatrechtlichen Vereinbarung zwischen Kunde und verpflichtetem UnternehmenDie Entscheidung wird im Rahmen des Onboardings, typischerweise durch die 1st LoD getroffenSofern hierunter auch die Einholung des Einverständnisses der Führungsebene zur Begründung oder Fortführung der Geschäftsbeziehung als Teil der verstärkten Sorgfaltspflichten fallen soll (Art. 34 Abs. 4 lit. e AMLR), muss dies wiederum nicht durch die GwB-Funktion erfolgen; zur Führungsebene gehören auch das verantwortliche Vorstandsmitglied und sonstige Funktionsträger und Beschäftigte mit ausreichendem Fachwissen und hierarchischer Stellung (Art. 2 Abs. 1 Nr. 40 AMLR) | | | 5. | Abgabe von Verdachtsmeldungen | | | | *… die Meldung verdächtiger Tätigkeiten an die zentrale Meldestelle gemäß Artikel 69 oder schwellenwertbasierte Meldungen gemäß den Artikeln 74 und 80, es sei denn, diese Tätigkeiten werden an einen anderen Verpflichteten ausgelagert, der derselben Gruppe angehört und in demselben Mitgliedstaat niedergelassen ist* | *Die letztendliche Verantwortung für die Entscheidung über die Meldung verdächtiger Transaktionen an die FIU verbleibt bei den Kredit- und Finanzinstituten, dies gilt auch, wenn die Ermittlung und Meldung verdächtiger Transaktionen ausgelagert sind.* | Das Auslagerungsverbot bzgl. der Verdachtsmeldungsabgabe ist gegenüber den bisherigen Vorgaben der EBA-Leitlinien neu; diese haben eine Auslagerung der Verdachtsmeldungsabgabe im Grundsatz zugelassenDie Verwaltungspraxis der BaFin war an diesem Punkt aber ohnehin strenger als die EBA-Leitlinien und hat eine externe Verdachtsmeldungsabgabe seit jeher kritisch beurteiltDie ausdrückliche Vorgabe der AMLR, die „Meldung verdächtiger Tätigkeiten“ nur an gruppenangehörige Einheiten im Inland auslagern zu dürfen, stellt daher für deutsche Unternehmen im Ergebnis weniger ein Verbot als vielmehr eine partielle Erweiterung gegenüber dem bisherigen Status quo dar | | | 6. | Kriterien zum Monitoring | | | | *… die Billigung der Kriterien für die Aufdeckung verdächtiger oder ungewöhnlicher Transaktionen und Tätigkeiten* | *… die Genehmigung der vom Kredit- oder Finanzinstitut zu verwendenden Kriterien zur Aufdeckung verdächtiger und ungewöhnlicher Transaktionen für die Zwecke der laufenden Überwachung und/oder Meldung* | Keine Neuerung bzgl. der Billigung der Kriterien für die Aufdeckung verdächtiger oder ungewöhnlicher Transaktionen und TätigkeitenAuf Ebene der AMLR wurden die Vorgaben gegenüber der bisherigen EBA-Position sogar nochmals reduziertKein inhaltlicher Unterschied zwischen „Billigung“ (AMLR) und „Genehmigung“ (EBA-Leitlinien); in der englischen Fassung wird beides jeweils mit „approval“ wiedergegeben | | Der Vergleich der Auslagerungsverbote des Art. 18 Abs. 3 S. 2 AMLR und der Vorgaben der EBA-Leitlinien zeigt: So neu sind diese Auslagerungsverbote nicht! Inhaltliche Neuerungen ergeben sich nur mit Blick auf den in Zukunft nicht mehr auslagerungsfähigen „Vorschlag“ der Risikobewertung und die Abgabe von Verdachtsmeldungen. In diesen Bereichen war speziell die deutsche Verwaltungspraxis aber ohnehin schon immer strenger bzw. präziser als die EBA-Leitlinien, sodass auch bislang die isolierte Erstellung der Risikoanalyse durch einen Externen inklusive der Unterbreitung an die Geschäftsleitung nicht zulässig war (ausdrücklich festgehalten für den Nichtfinanzsektor) bzw. Verdachtsmeldungen extern nur vorbereitet, ihre Abgabe in der Letztsequenz aber nicht isoliert ausgelagert werden durfte (BaFin-Verwaltungspraxis). 💡 Wenn die Auslagerungsverbote als solche aber bereits ganz überwiegend bestanden und gleichzeitig eine Auslagerung der GwB-Funktion möglich war, dann dürfte sich dies unter Art. 18 Abs. 3 S. 2 AMLR nicht wesentlich ändern. Dabei dürfte sich auch nicht auswirken, dass es sich bei der AMLR nun um einen Level-1-Rechtsakt handelt und die EBA-Leitlinien „nur“ ein Level-3-Rechtsakt sind. Die Vorgaben der EBA-Leitlinien hat die BaFin auch bislang mittels ihrer Comply-Erklärung in ihre nationale Verwaltungspraxis inkorporiert und entsprechend angewandt. Es ist nicht bekannt, dass hieraus jemals ein Auslagerungsverbot der gesamten GwB-Funktion gefolgt wäre. Dieser Vergleich mit dem Status quo unter den EBA-Leitlinien spricht für die **Erste Lesart**: Art. 18 Abs. 3 S. 2 AMLR soll die isolierte Auslagerung bestimmter strategisch wichtiger Aufgaben untersagen, nicht aber die Auslagerung der GwB-Funktion in ihrer Gesamtheit. Dies haben die weitgehend deckungsgleichen EBA-Leitlinien als Prämisse zu ihren Auslagerungsverboten auch bislang genauso festgehalten („*Strategische Entscheidungen bezüglich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung sollten nicht ausgelagert werden. Zu diesen Entscheidungen zählen insbesondere …*“). ### 2\. Ausdrückliche Möglichkeit der gruppeninternen Funktionskonzentration Art. 11 Abs. 2 UAbs. 3 AMLR stellt ausdrücklich klar, dass ein Versicherungsunternehmen, das einer Gruppe angehört, eine Person zum Geldwäschebeauftragten ernennen kann, die diese Funktion schon in einem anderen Unternehmen der Gruppe wahrnimmt. Voraussetzung für die gruppeninterne Funktionskonzentration ist, dass die Größe des verpflichteten Versicherungsunternehmens und das geringe Risiko seiner Geschäftstätigkeit dies rechtfertigen können. Damit ist die Frage der Auslagerbarkeit der GwB-Funktion innerhalb der Gruppe bereits implizit beantwortet, schließlich stellt auch die gruppeninterne Funktionsbündelung stets eine „echte“ Auslagerung dar. Ähnlich halten das auch bislang die BaFin (AuA AT, Stand: Juli 2025, Ziff. 3.10: „*Eine Auslagerung stellt auch die Wahrnehmung von Aufgaben durch eine ausländische Muttergesellschaft oder Hauptniederlassung oder Zweigniederlassung dar*“) bzw. die EBA fest (EBA-Leitlinien, Ziff. 68 lit. d: „*Intra-group outsourcing should be subject to the same regulatory framework as outsourcing to service providers outside the group*“). Art. 11 Abs. 2 UAbs. 3 AMLR verhält sich gar nicht zu den Auslagerungsverboten unter Art. 18 Abs. 3 S. 2 AMLR, sondern stellt in Art. 11 AMLR – also dort, wo die GwB-Funktion als solche geregelt ist – klar, dass GwB-Funktionen gruppenintern konzentriert werden können. Auch das spricht für die **Erste Lesart**, wonach Art. 18 Abs. 3 S. 2 AMLR die isolierte Weggabe bestimmter strategisch wichtiger Aufgaben untersagen soll, nicht aber die Auslagerung der GwB-Funktion als solche. Andernfalls würde die Regelung des Art. 11 Abs. 2 UAbs. 3 AMLR mit den Verboten des Art. 18 Abs. 3 S. 2 AMLR in Konflikt geraten. ### 3\. Was dürfte gemeint sein? Keine isolierte Auslagerung von „strategischen Entscheidungen“! Den schon bislang geltenden Auslagerungsverboten nach den EBA-Leitlinien ging es ausdrücklich darum, die Auslagerung von „*strategischen Entscheidungen bezüglich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung*“ zu untersagen. Dieses Motiv dürfte auch Art. 18 Abs. 3 S. 2 AMLR zugrunde liegen. Dafür sprechen neben der weitgehenden Deckungsgleichheit der Auslagerungsverbote nach den EBA-Leitlinien und nach Art. 18 Abs. 3 S. 2 AMLR auch die Erwägungen der AMLR: Danach muss jedes einzelne Unternehmen „seine“ Sicherungsmaßnahmen kennen und verstehen und hierzu wiederum die Hintergründe für die vom Auslagerungsunternehmen durchgeführten Tätigkeiten und den bei ihrer Durchführung verfolgten Ansatz verstehen (Art. 18 Abs. 2 UAbs. 3 AMLR; Erw.-Gr. 48 AMLR). Hierfür sprechen schließlich auch die Gesetzgebungsmaterialien aus den Trilog-Verhandlungen zwischen der Europäischen Kommission, dem Rat der Europäischen Union und dem Europäischen Parlament. Die Auslagerungsmöglichkeiten und ihre Grenzen wurden dabei besonders intensiv diskutiert und im Verlauf der Trilog-Verhandlungen stetig erweitert (siehe insbesondere das [Vier-Spalten-Dokument ST 9356/2023 v. 15.5.2023](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CONSIL:ST%5F9356%5F2023%5FINIT&ref=waldvorlauternormen.com)). In einem frühen Stadium der Trilog-Verhandlungen findet sich auch die bemerkenswerte Stellungnahme des Rates, dass die seinerseits vorgeschlagenen Änderungen an den Auslagerungsregeln unter der Prämisse stehen, dass unter der AMLR nur „Aufgaben“, aber keine „Funktionen“ ausgelagert werden dürfen („*The amendments are based on the premise that only tasks, not functions, can be outsourced and that responsibility itself cannot be delegated under Article 40(1) AMLR*“, [WK 11703/2022 INIT v. 8.9.2022](https://data.consilium.europa.eu/doc/document/WK-11703-2022-INIT/en/pdf?ref=waldvorlauternormen.com)). Dies würde unmittelbar gegen eine Auslagerung der GwB-Funktion sprechen. Diese restriktive Position des Rates hat sich aber erkennbar nicht durchgesetzt, im Gegenteil: Die AMLR geht ausdrücklich davon aus, dass kritische Funktionen ausgelagert werden können bzw. der Verpflichtete Funktionen systematisch auslagern darf (Erw.-Gr. 49: „*where critical functions are outsourced or where the obliged entity systematically outsources its functions*“). Auch die nach Art. 18 Abs. 8 AMLR auszugebenden AMLA-Leitlinien sollen sich insbesondere mit den „*als kritisch anzusehenden Funktionen*“ („*those functions that are to be regarded as critical*“) auseinandersetzen. Auch das spricht für die **Erste Lesart**: Es geht nicht darum, einzelnen Funktionen in ihrer Gesamtheit die Auslagerungsfähigkeit abzusprechen, sondern vielmehr darum, bestimmte Kernaufgaben nicht isoliert durch externe Dritte durchführen zu lassen. ## IV. Fazit Der Reflex, von den vermeintlich „neuen“ Auslagerungsverboten nach Art. 18 Abs. 3 S. 2 AMLR auf die Nichtauslagerbarkeit der GwB-Funktion zu schließen, greift erkennbar zu kurz. Diese Auslagerungsverbote sind keineswegs neu und insbesondere den deutschen Unternehmen in ganz ähnlichen Nuancen bestens bekannt. Eine abschließende Klärung wird sich nur durch die AMLA-Leitlinien herbeiführen lassen. Bis dahin gilt: Es sprechen schon mit Blick auf den Wortlaut, die Gesetzgebungshistorie und die heute schon geltende, weitgehend deckungsgleiche EBA-Position sehr gute Argumente dafür, dass die GwB-Funktion auch unter der AMLR in Gänze ausgelagert werden kann. ### Impact of the AMLR on the Insurance Sector: Outsourcing the AML/CFT Compliance Officer Function? URL: https://www.waldvorlauternormen.com/en/amlr-insurance-sector-outsourcing-compliance-officer-function/ Last updated: 2026-09-11T14:26:58.000Z *This article is part of our series on the AMLR for insurance undertakings. Further articles in the series (in German) can be found* [*here*](https://www.waldvorlauternormen.com/tag/amlr-versicherer-2/)*.* Can the function of the AML/CFT compliance officer still be outsourced in its entirety under the AMLR? The weight of the arguments says yes. ## I. Background and practical relevance Many insurers subject to German anti-money laundering law have so far made use of the option to outsource the function of the AML/CFT compliance officer (*Geldwäschebeauftragter*, “GwB”) and/or their deputy (the “*compliance officer function*”) – in the terminology of insurance supervisory law: to “*ausgliedern*” – to locate it within another undertaking and to staff it with a person to be specifically designated there. Intra-group outsourcing is particularly relevant: the compliance officer function, which as a rule every obliged insurer must appoint itself, is concentrated within a group undertaking (e.g. the group’s own service company or the parent holding company) by way of outsourcing. This approach is common and permissible, is accepted by BaFin as the supervisory authority (BaFin AuA, General Part, section 3.2.6: “*Insofar as the function of the AML/CFT compliance officer \[…\] has been outsourced*”; own translation) and reflects the general principle of insurance supervisory law that almost all corporate functions – including key functions and self-defined key tasks – may be outsourced up to the limit of original management tasks and responsibility ([Art. 274(1) Solvency II Delegated Regulation](https://publications.europa.eu/resource/cellar/d4117d51-ac28-11ef-acb1-01aa75ed71a1.0002.03/DOC%5F1?ref=waldvorlauternormen.com); [BaFin MaGo, paras. 205, 206](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Rundschreiben/2025/rs%5Frundschreiben%5F09%5F25%5Fva.html?ref=waldvorlauternormen.com)). ## II. A de facto outsourcing ban through the back door? Does the AMLR threaten a de facto ban on outsourcing the compliance officer function through the back door? The second sentence of Art. 18(3) AMLR contains specific outsourcing prohibitions that also affect core competences of the compliance officer function. ****Art. 18(3) AMLR** “**The following tasks shall not be outsourced under any circumstances:* **(a) the proposal and approval of the obliged entity’s business-wide risk assessment pursuant to Article 10(2);* **(b) the approval of the obliged entity’s internal policies, procedures and controls pursuant to Article 9;* **(c) decision on the risk profile to be attributed to the customer;* **(d) the decision to enter into a business relationship or carry out an occasional transaction with a client;* **(e) the reporting to FIU of suspicious activities pursuant to Article 69 or threshold-based reports pursuant to Article 74 and 80, except where such activities are outsourced to another obliged entity belonging to the same group and established in the same Member State;* **(f) the approval of the criteria for the detection of suspicious or unusual transactions and activities.*” In view of these prohibitions, one might think that they also rule out outsourcing the compliance officer function as a whole. After all, the “proposal” of the business-wide risk assessment (point (a)), the “reporting of suspicious activities” (point (e)) and the “approval of the criteria” for transaction monitoring (point (f)) are among the core competences of the AML/CFT compliance officer. Art. 18(3) sentence 2 AMLR and the outsourcing prohibitions it lays down allow for three readings: ### 1\. First reading: prohibition of isolated outsourcing The tasks listed there may not be outsourced on their own, in isolation. For example, the filing of suspicious activity reports could not be carried out by an external service provider outside the group (point (e)). Outsourcing the compliance officer function as a whole, which then also performs the associated tasks – such as filing suspicious activity reports – would, however, remain possible. ### 2\. Second reading: the compliance officer function can no longer be outsourced at all The outsourcing prohibitions cover tasks that fall within the original remit of the AML/CFT compliance officer and are inseparably linked to that function. If these individual tasks may not be outsourced, then the compliance officer function as such can no longer be outsourced either. ### 3\. Third reading: partial outsourcing of the compliance officer function The compliance officer function may still be outsourced, but as an external function it may no longer perform the tasks covered by the outsourcing prohibitions. The external compliance officer could thus, for example, handle PEP hits and transaction monitoring alerts, but would in principle not be permitted to file suspicious activity reports (point (e)) or to set the indicators used by the monitoring systems (point (f)). Some have already concluded from the outsourcing prohibitions that a [complete outsourcing of the AML/CFT compliance officer function will in future be de facto excluded](https://klardenker.kpmg.de/financialservices-hub/eu-vorgaben-zu-aml-so-veraendert-sich-die-rolle-des-geldwaeschebeauftragten/?ref=waldvorlauternormen.com) (= second reading; in German). Legal scholarship takes the opposite view and shows why the EU legislator can hardly have intended to deny the compliance officer function its capacity to be outsourced (e.g. *Schultess*, [VersR 2025, 521, 529](https://juris.de/r3/document/jzs-VersR-2025-9-001-521?ref=waldvorlauternormen.com); *Wegner/Haffke*, [BKR 2026, 393](https://beck-online.beck.de/Dokument?vpath=bibdata%2Fzeits%2Fbkr%2F2026%2Fcont%2Fbkr.2026.393.1.htm&anchor=Y-300-Z-BKR-B-2026-S-393&jumpType=Jump&jumpWords=BKR%2B2026%252c%2B393&readable=Suche%2Bnach%2BFundstelle%253a%2BBKR%2B2026%2B%2B393%2Bnur%2Bin%2Bmeinen%2BModulen&ref=waldvorlauternormen.com); both in German and behind a paywall). A definitive answer to this question can only come from AMLA. By 10 July 2027, it is required to issue guidelines on the key requirements and supervisory expectations regarding outsourcing arrangements (Art. 18(8) AMLR). These guidelines will hopefully also clarify the outsourcing of the compliance officer function. Until then, it is up to each obliged entity to prepare for the outsourcing prohibitions under the AMLR. The better arguments support the view that the compliance officer function can continue to be outsourced in the future. ## III. Arguments in favour of outsourcing the compliance officer function remaining possible The concerns raised against outsourcing as a whole (second reading) or in favour of only partial outsourcing of the compliance officer function (third reading) all rest on the (mistaken) assumption that the outsourcing prohibitions under Art. 18(3) sentence 2 AMLR are new and did not apply previously. In fact, compared with the status quo, they bring little that is new. Time for a calm assessment: ### 1\. No real novelty compared with the status quo The outsourcing prohibitions of Art. 18(3) sentence 2 AMLR can already be found today in very similar form in the EBA Guidelines on policies and procedures in relation to compliance management and the role and responsibilities of the AML/CFT compliance officer ([EBA/GL/2022/05 of 14 June 2022](https://www.eba.europa.eu/sites/default/files/document%5Flibrary/Publications/Guidelines/2022/EBA-GL-2022-05%20GLs%20on%20AML%20compliance%20officers/1035126/Guidelines%20on%20AMLCFT%20compliance%20officers.pdf?ref=waldvorlauternormen.com), the “*EBA Guidelines*”). Under the heading “*Outsourcing of operational functions of the AML/CFT compliance officer*”, paragraph 68(e) states: ****EBA Guidelines, paragraph 68(e)** “**The outsourcing of functions cannot result in the delegation of the management body’s responsibilities. Strategic decisions in relation to AML/CFT should not be outsourced. These decisions include, in particular:* **i. the approval of the business-wide ML/TF risk assessment;* **ii. the decision on the internal organisation of the AML/CFT framework of the credit and financial institution;* **iii. the adoption of internal AML/CFT policies and procedures;* **iv. the approval of the methodology used to determine the ML/TF risk presented by a given business relationship and the assignment of the risk profile;* **v. the approval of the criteria to be used by the credit or financial institution to detect suspicious or unusual transactions for its ongoing monitoring and/or reporting purposes.* **Credit and financial institutions remain ultimately responsible for the decision to report suspicious transactions to the FIU, including in situations where the identification and reporting of suspicious transactions is outsourced.*” A comparison with the (supposedly new) outsourcing prohibitions under Art. 18(3) sentence 2 AMLR shows that they are largely congruent with the requirements of the EBA Guidelines, which already apply today: | No. | AMLRThe following tasks shall not be outsourced under any circumstances: … | EBA GuidelinesStrategic decisions in relation to AML/CFT should not be outsourced. These decisions include, in particular: … | Assessment | | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------- | | 1. | Business-wide risk assessment | | | | *… the proposal and approval of the obliged entity’s business-wide risk assessment pursuant to Article 10(2)* | *… the approval of the business-wide ML/TF risk assessment* | Partial novelty compared with the EBA Guidelines, owing to the additional prohibition on outsourcing the “proposal” of the risk assessmentThis may be a response to the widespread practice of having the risk assessment prepared entirely by external service providersIn the non-financial sector (relevant, among others, for insurance intermediaries), outsourcing the preparation of the risk assessment in isolation – i.e. without also outsourcing the compliance officer function – is already expressly prohibited today: “*The preparation of a risk assessment, as a classic task of the AML/CFT compliance officer, may therefore only be carried out externally where an external AML/CFT compliance officer is appointed by way of outsourcing*” ([Joint AuA of the German federal states, as of 18 June 2025, section 3.3.9](https://rp.baden-wuerttemberg.de/fileadmin/RP-Internet/Themenportal/Sicherheit/%5FDocumentLibraries/Documents/Geldwaesche/Allgemeingueltige%5FInformationen%5Fund%5FFormulare/Geldwaesche%5FAuA%5FLaender.pdf?ref=waldvorlauternormen.com); own translation)The position is therefore already the same today: outsourcing the preparation of the risk assessment in isolation is not permitted (first reading), whereas preparation by a compliance officer function that has been outsourced as a whole is possible | | | No novelty regarding the approval of the business-wide risk assessmentApproving the risk assessment is the original responsibility of the competent member of the management board (Section 4(3) sentence 2 GwG) and could not be outsourced in the past eitherNo substantive difference between “Billigung” (German version of the AMLR) and “Genehmigung” (German version of the EBA Guidelines); the English versions use “approval” in both cases | | | | | 2. | Internal policies, procedures and controls | | | | *… the approval of the obliged entity’s internal policies, procedures and controls pursuant to Article 9* | *… the decision on the internal organisation of the AML/CFT framework of the credit and financial institution* | The prohibition on outsourcing the “approval of the internal policies, procedures and controls” brings nothing newIn substance and structure, the “internal policies, procedures and controls” (Art. 9 AMLR) largely correspond to the “internal safeguards” (Interne Sicherungsmaßnahmen, Section 6 GwG)Approving the internal safeguards has always been the original responsibility of the competent member of the management board (Section 4(3) sentence 2 GwG)Accordingly, this could not be outsourced in the past either (cf. [BaFin Circular 09/2025 (VA) – MaGo of 14 July 2025, section 13.2 para. 206](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Rundschreiben/2025/rs%5Frundschreiben%5F09%5F25%5Fva.html?ref=waldvorlauternormen.com): “*Original management tasks, including responsibility for establishing and further developing the risk management system and the internal control system, cannot be outsourced*”; own translation) | | | *… the adoption of internal AML/CFT policies and procedures* | | | | | 3. | Customer risk profile | | | | *… decision on the risk profile to be attributed to the customer* | *… the approval of the methodology used to determine the ML/TF risk presented by a given business relationship and the assignment of the risk profile* | No novelty regarding the decision on the risk profile to be attributed to the customerAt the level of the AMLR, the requirements have in fact been narrowed compared with the previous EBA positionThe decision on the individual customer risk profile is taken as part of customer onboarding and thus typically within the first line of defence, e.g. in customer service or customer administration, but not by the compliance officer functionThe compliance officer function is involved in defining the customer risk classification methodology – but this, in turn, is not covered by the AMLR outsourcing prohibition | | | 4. | Customer acceptance decision | | | | *… the decision to enter into a business relationship or carry out an occasional transaction with a client* | / | The EBA Guidelines have so far contained no such outsourcing prohibitionNor does this prohibition concern any original tasks of the AML/CFT compliance officerThe “decision to enter into a business relationship or carry out an occasional transaction with a client” is fundamentally not a question of money laundering prevention and not part of the compliance officer’s remit, but the result of a private-law agreement between the customer and the obliged entityThe decision is taken in the course of onboarding, typically by the first line of defenceIf this is also meant to cover obtaining senior management approval for establishing or continuing the business relationship as part of enhanced due diligence (Art. 34(4)(e) AMLR), this again need not be done by the compliance officer function; senior management also includes the responsible member of the management board and other officers and employees with sufficient knowledge and hierarchical standing (Art. 2(1), point (40) AMLR) | | | 5. | Filing suspicious activity reports | | | | *… the reporting to FIU of suspicious activities pursuant to Article 69 or threshold-based reports pursuant to Article 74 and 80, except where such activities are outsourced to another obliged entity belonging to the same group and established in the same Member State* | *Credit and financial institutions remain ultimately responsible for the decision to report suspicious transactions to the FIU, including in situations where the identification and reporting of suspicious transactions is outsourced.* | The prohibition on outsourcing the filing of suspicious activity reports is new compared with the EBA Guidelines, which in principle permitted itOn this point, however, BaFin’s administrative practice has always been stricter than the EBA Guidelines and has long taken a critical view of external filing of suspicious activity reportsFor German undertakings, the express AMLR rule that the “reporting of suspicious activities” may only be outsourced to group entities in the same Member State is therefore, in effect, less a prohibition than a partial extension of the previous status quo | | | 6. | Monitoring criteria | | | | *… the approval of the criteria for the detection of suspicious or unusual transactions and activities* | *… the approval of the criteria to be used by the credit or financial institution to detect suspicious or unusual transactions for its ongoing monitoring and/or reporting purposes* | No novelty regarding the approval of the criteria for the detection of suspicious or unusual transactions and activitiesAt the level of the AMLR, the requirements have in fact been narrowed compared with the previous EBA positionNo substantive difference between “Billigung” (German version of the AMLR) and “Genehmigung” (German version of the EBA Guidelines); the English versions use “approval” in both cases | | Comparing the outsourcing prohibitions of Art. 18(3) sentence 2 AMLR with the requirements of the EBA Guidelines shows: these prohibitions are not that new! Substantive changes arise only with regard to the “proposal” of the risk assessment, which can no longer be outsourced in future, and the filing of suspicious activity reports. In these areas, however, German administrative practice in particular has always been stricter or more precise than the EBA Guidelines: preparing the risk assessment in isolation by an external party, including submitting it to senior management, was not permitted in the past either (expressly stated for the non-financial sector), and suspicious activity reports could only be prepared externally, while the final act of filing them could not be outsourced in isolation (BaFin administrative practice). 💡 If, however, the outsourcing prohibitions as such already existed to a very large extent while outsourcing the compliance officer function was at the same time possible, this should not change significantly under Art. 18(3) sentence 2 AMLR. Nor should it make a difference that the AMLR is now a Level 1 act, whereas the EBA Guidelines are “only” a Level 3 measure. BaFin has incorporated the requirements of the EBA Guidelines into its national administrative practice by way of its comply notification and applied them accordingly. There is no indication that this has ever resulted in a ban on outsourcing the compliance officer function as a whole. This comparison with the status quo under the EBA Guidelines supports the **first reading**: Art. 18(3) sentence 2 AMLR is intended to prohibit the isolated outsourcing of certain strategically important tasks, but not the outsourcing of the compliance officer function in its entirety. The largely congruent EBA Guidelines have always stated exactly this as the premise of their outsourcing prohibitions (“*Strategic decisions in relation to AML/CFT should not be outsourced. These decisions include, in particular …*”). ### 2\. Express possibility of concentrating the function within the group Art. 11(2), third subparagraph, AMLR expressly clarifies that an insurance undertaking belonging to a group may appoint as its compliance officer an individual who already performs that function in another entity within the group. The prerequisite for such intra-group concentration is that it is justified by the size of the obliged insurance undertaking and the low risk of its activities. This already implicitly answers the question of whether the compliance officer function can be outsourced within the group – after all, intra-group pooling of the function always constitutes “genuine” outsourcing. BaFin (AuA, General Part, as of July 2025, section 3.10: “*The performance of tasks by a foreign parent company, head office or branch also constitutes outsourcing*”; own translation) and the EBA (EBA Guidelines, paragraph 68(d): “*Intra-group outsourcing should be subject to the same regulatory framework as outsourcing to service providers outside the group*”) have taken a similar view to date. Art. 11(2), third subparagraph, AMLR does not address the outsourcing prohibitions under Art. 18(3) sentence 2 AMLR at all. Instead, it clarifies in Art. 11 AMLR – i.e. precisely where the compliance officer function as such is regulated – that compliance officer functions may be concentrated within a group. This, too, supports the **first reading**, according to which Art. 18(3) sentence 2 AMLR is intended to prohibit handing over certain strategically important tasks in isolation, but not outsourcing the compliance officer function as such. Otherwise, Art. 11(2), third subparagraph, AMLR would conflict with the prohibitions in Art. 18(3) sentence 2 AMLR. ### 3\. What is likely meant? No isolated outsourcing of “strategic decisions”! The outsourcing prohibitions already in force under the EBA Guidelines were expressly aimed at prohibiting the outsourcing of “*strategic decisions in relation to AML/CFT*”. The same rationale is likely to underlie Art. 18(3) sentence 2 AMLR. Besides the extensive congruence between the outsourcing prohibitions under the EBA Guidelines and under Art. 18(3) sentence 2 AMLR, this is supported by the considerations underlying the AMLR: each individual undertaking must know and understand “its” safeguards and, to that end, understand the rationale behind the activities carried out by the service provider and the approach taken in carrying them out (Art. 18(2), third subparagraph, AMLR; Recital 48 AMLR). Finally, this view is also supported by the legislative materials from the trilogue negotiations between the European Commission, the Council of the European Union and the European Parliament. The options for outsourcing and their limits were discussed particularly intensively and were steadily expanded in the course of the trilogue negotiations (see in particular the [four-column document ST 9356/2023 of 15 May 2023](https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CONSIL:ST%5F9356%5F2023%5FINIT&ref=waldvorlauternormen.com)). At an early stage of the trilogue negotiations, the Council made a remarkable statement: the amendments it proposed to the outsourcing rules were based on the premise that only “tasks”, but not “functions”, may be outsourced under the AMLR (“*The amendments are based on the premise that only tasks, not functions, can be outsourced and that responsibility itself cannot be delegated under Article 40(1) AMLR*”, [WK 11703/2022 INIT of 8 September 2022](https://data.consilium.europa.eu/doc/document/WK-11703-2022-INIT/en/pdf?ref=waldvorlauternormen.com)). This would speak directly against outsourcing the compliance officer function. Clearly, however, this restrictive position of the Council did not prevail – on the contrary: the AMLR expressly assumes that critical functions may be outsourced and that the obliged entity may systematically outsource functions (Recital 49: “*where critical functions are outsourced or where the obliged entity systematically outsources its functions*”). The AMLA guidelines to be issued under Art. 18(8) AMLR are also to address, in particular, “*those functions that are to be regarded as critical*”. This, too, supports the **first reading**: the point is not to deny individual functions, in their entirety, the capacity to be outsourced, but rather to prevent certain core tasks from being performed in isolation by external third parties. ## IV. Conclusion The reflex of inferring from the supposedly “new” outsourcing prohibitions under Art. 18(3) sentence 2 AMLR that the compliance officer function can no longer be outsourced clearly falls short. These prohibitions are by no means new and, in very similar form, are well known to German undertakings in particular. Only the AMLA guidelines will provide a definitive answer. Until then, the following applies: in view of the wording, the legislative history and the largely congruent EBA position that already applies today, there are very good arguments that the compliance officer function can continue to be outsourced in its entirety under the AMLR. ### Das neue Altersvorsorgedepot: private Altersvorsorge am Kapitalmarkt – Teil 2 URL: https://www.waldvorlauternormen.com/das-neue-altersvorsorgedepot-private-altersvorsorge-am-kapitalmarkt-teil-2/ Last updated: 2026-09-09T13:17:24.000Z Seit unserem ersten Blogbeitrag ([Teil 1](https://www.waldvorlauternormen.com/das-neue-altersvorsorgedepot-private-altersvorsorge-am-kapitalmarkt-teil-1/)) hat sich der Rechtsstand geklärt: Das Gesetz zur Reform der steuerlich geförderten privaten Altersvorsorge ([Altersvorsorgereformgesetz](https://www.recht.bund.de/bgbl/1/2026/156/VO.html?ref=waldvorlauternormen.com)) wurde am 29\. Mai 2026 als Änderungsgesetz im BGBl. 2026 I Nr. 156 verkündet; die zentralen neuen Produktregeln sollen ab dem 1\. Januar 2027 gelten. Gegenüber den ursprünglichen Entwurfsunterlagen relevant: Die Kostenobergrenze für das Standarddepot wurde auf 1,0 Prozent Effektivkosten abgesenkt. Politisch offen ist weiterhin die konkrete Umsetzung eines öffentlich organisierten Standarddepots. ## Altersvorsorgedepot als eigener Vertragstyp Das Altersvorsorgedepot wird im Altersvorsorgeverträge-Zertifizierungsgesetz ([AltZertG](https://www.gesetze-im-internet.de/altzertg/?ref=waldvorlauternormen.com)) als Altersvorsorgedepot-Vertrag ausgestaltet. Es ist ein eigener Typ des zertifizierten Altersvorsorgevertrags und muss neben den besonderen Depotvorgaben auch bestimmte allgemeine Anforderungen an Altersvorsorgeverträge erfüllen. Dazu gehören insbesondere Vorgaben zum Beginn der Auszahlungsphase, zur Auszahlungsform, zur jährlichen Einzahlungshöchstgrenze, zur Kostenverteilung sowie zum Recht des Vertragspartners, den Vertrag ruhen zu lassen oder das gebildete Kapital auf einen anderen Altersvorsorgevertrag zu übertragen. Der zentrale Unterschied zu einem Garantieprodukt liegt darin, dass beim Altersvorsorgedepot keine Beitragserhaltung zugesagt wird. Der Anbieter garantiert also weder, dass zu Beginn der Auszahlungsphase ein bestimmtes Mindestkapital vorhanden ist, noch dass das Depot während der Ansparphase eine bestimmte Mindestwertentwicklung erreicht. Die Wertentwicklung hängt vielmehr von den zulässigen Kapitalmarktanlagen ab. Dadurch können höhere Renditechancen entstehen; zugleich tragen Altersvorsorgende aber auch das Risiko von Wertschwankungen und Verlusten. ## Wer kann ein Altersvorsorgedepot nutzen? Zu unterscheiden ist zwischen dem Abschluss eines Altersvorsorgevertrags und der steuerlichen Förderung. Ein Altersvorsorgevertrag wird nach dem AltZertG zwischen einem Anbieter und einer natürlichen Person als Vertragspartner geschlossen. Ein gemeinschaftliches „Familiendepot“ als eigener gesetzlicher Produkttyp ist für das Altersvorsorgedepot nicht vorgesehen. Förderberechtigt sind insbesondere die in § 10a Einkommensteuergesetz (EStG) genannten Personen, also vor allem in der gesetzlichen Rentenversicherung Pflichtversicherte sowie bestimmte gleichgestellte Personengruppen. Daneben kann auch der Ehegatte mittelbar zulageberechtigt sein, wenn die gesetzlichen Voraussetzungen erfüllt sind und ein auf seinen Namen lautender Altersvorsorgevertrag besteht. Ein „Kinderdepot“ im Sinne eines regulären Altersvorsorgedepots für die Riester-Förderung sieht das AltZertG nicht als eigenen Produkttyp vor. Kinder werden im System der privaten Altersvorsorge vor allem über die Kinderzulage berücksichtigt, die dem zulageberechtigten Elternteil zugeordnet wird. Davon zu unterscheiden ist die politisch vorgesehene Frühstart-Rente: Nach den veröffentlichten Eckpunkten soll sie für Kinder und Jugendliche zwischen sechs und 18 Jahren an ein individuelles Altersvorsorgedepot anknüpfen und einen staatlichen Zuschuss von 10 Euro monatlich vorsehen. Dieses Modell ist jedoch vom allgemeinen Altersvorsorgedepot für förderberechtigte Altersvorsorgende zu trennen. ## Welche Produkte können Altersvorsorgende wählen? Die Reform führt nicht nur „das“ Altersvorsorgedepot ein, sondern ordnet die geförderte private Altersvorsorge produktseitig neu. Die neuen Produktformen werden im Ausgangspunkt nach derselben Zulagenlogik gefördert. Die Altersvorsorgezulage setzt sich weiterhin aus Grundzulage und ggf. Kinderzulage zusammen; die Berechnung wird jedoch beitragsproportional ausgestaltet. Für die Grundzulage gilt: Für jeden eingezahlten Euro gibt es 50 Cent Zulage bis zu einem Eigenbeitrag von 360 Euro; für weitere Beiträge bis 1.800 Euro gibt es 25 Cent pro Euro. Die Grundzulage kann damit bis zu 540 Euro jährlich betragen. Für Kinder sieht § 85 EStG ab 2027 eine Kinderzulage von 100 % der im Beitragsjahr geleisteten Altersvorsorgebeiträge vor, begrenzt auf höchstens 300 Euro pro Kind. Die volle Kinderzulage wird damit bereits bei 300 Euro Eigenbeitrag jährlich erreicht. Voraussetzung für Grund- und Kinderzulage ist ab dem Beitragsjahr 2027 ein Mindesteigenbeitrag von 120 Euro. Für die Produktwahl bedeutet das: Nicht das Produkt selbst löst eine besondere Zulage aus, sondern der förderberechtigte Vertragspartner mit seinen Beiträgen. Garantieprodukt, Altersvorsorgedepot und Standarddepot folgen daher derselben Zulagenlogik; sie unterscheiden sich vor allem in Garantie, Anlagevorgaben, Standardisierung und Kostenstruktur. Für Altersvorsorgende kommen im Wesentlichen folgende Produktformen in Betracht: - **Garantieprodukt (§ 1 Abs. 1 Satz 1 Nr. 3 AltZertG n.F.):** Ein klassischer sicherheitsorientierter Altersvorsorgevertrag, bei dem der Anbieter zu Beginn der Auszahlungsphase ein Mindestkapital zusagt. Dieses Mindestkapital kann 80 % oder 100 % der eingezahlten Altersvorsorgebeiträge einschließlich Zulagen betragen. Der wesentliche Vorteil liegt in der Kapitalabsicherung; der Nachteil kann in geringeren Renditechancen liegen. - **Altersvorsorgedepot-Vertrag (§ 1 Abs. 1b Satz 1 und Satz 2 AltZertG n.F.):** Das neue kapitalmarktorientierte Produkt ohne Kapitalgarantie. Beiträge, Zulagen und Erträge werden in gesetzlich zugelassene Anlageformen investiert. Der Anbieter wählt grundsätzlich die Anlagen aus; der Vertrag kann dem Altersvorsorgenden aber eine vertragliche Option zur eigenen Anlageauswahl innerhalb der vereinbarten Anlagemöglichkeiten einräumen. - **Standarddepot-Vertrag Altersvorsorge (§ 1 Abs. 1c AltZertG n.F.):** Ein Unterfall des Altersvorsorgedepots. Das Standarddepot ist einfacher strukturiert, elektronisch abschließbar und an einen gesetzlich festgelegten Rahmen gebunden. Der Anbieter muss zwei OGAW festlegen: einen risikoärmeren Fonds der Risikoklasse 1 oder 2 und einen risikoreicheren Fonds der Risikoklassen 3 bis 5\. Trifft der Vertragspartner keine eigene Aufteilungsentscheidung, gilt die vertraglich vorgesehene Aufteilung. - **Auszahlungsprodukt (§ 1 Abs. 1d AltZertG n.F.):** Dieses Produkt betrifft nicht den Vermögensaufbau, sondern die Auszahlungsphase. Es dient dazu, übertragenes Altersvorsorgevermögen oder zur Minderung des Wohnförderkontos eingezahltes Altersvorsorgevermögen auszuzahlen. - **Öffentlicher Standarddepot-Vertrag (§ 1 Abs. 1e AltZertG n.F.):** Die Vorschrift ermächtigt die Bundesregierung, durch Rechtsverordnung einen von einem öffentlichen Träger angebotenen Standarddepot-Vertrag umzusetzen. Dafür gelten die Vorgaben des Altersvorsorgedepots nach Abs. 1b und ergänzend die Vorgaben des Standarddepots nach Abs. 1c. Daneben bleiben besondere Vertragsgestaltungen für die wohnungswirtschaftliche Verwendung, insbesondere im Zusammenhang mit Darlehen, gesetzlich vorgesehen: - **Wohnförder-/Darlehensprodukte (§ 1 Abs. 1a AltZertG n.F., § 92a EStG):** § 1 Abs. 1a AltZertG erfasst Altersvorsorgeverträge mit Darlehenskomponente, insbesondere Verträge mit Rechtsanspruch auf Gewährung eines Darlehens bzw. mit Tilgung durch Altersvorsorgevermögen. Das Darlehen muss für eine wohnungswirtschaftliche Verwendung im Sinne des § 92a EStG eingesetzt werden. ## Zulässige Anlagen: Kapitalmarktbezug mit Positivliste Die Anlagefreiheit ist nicht unbegrenzt. Das Gesetz arbeitet mit einer Positivliste (gesetzlich abschließend vorgegebenen Katalog zulässiger Erwerbsgegenstände) zulässiger Vermögensgegenstände (vgl. § 1 Abs. 1b Satz 2 Nr. 2 AltZertG n.F.). Eingezahlte Altersvorsorgebeiträge, Zulagen und Erträge dürfen insbesondere für den Erwerb von Anteilen an OGAW, bestimmten offenen Publikums-AIF, europäischen langfristigen Investmentfonds sowie bestimmten Schuldverschreibungen öffentlicher Emittenten verwendet werden. Bei Fondsanlagen ist zudem maßgeblich, dass sie vom Anwendungsbereich der PRIIPs-Verordnung erfasst sind und im Basisinformationsblatt höchstens in Risikoklasse 5 eingestuft werden. Im Einzelnen: - **Anteile an Organismen für gemeinsame Anlagen in Wertpapieren (OGAW)** nach § 1 Abs. 2 KAGB, die im Inland vertrieben werden dürfen und - vom Anwendungsbereich der Verordnung (EU) Nr. 1286/2014 erfasst sind und - im Basisinformationsblatt nach der Verordnung (EU) Nr. 1286/2014 höchstens in die Risikoklasse 5 eingestuft sind. - **Anteile an offenen Publikums-AIF** nach §§ 218 und 219 KAGB, die - vom Anwendungsbereich der Verordnung (EU) Nr. 1286/2014 erfasst sind und - im Basisinformationsblatt nach der Verordnung (EU) Nr. 1286/2014 höchstens in die Risikoklasse 5 eingestuft sind. - **Anteile an offenen europäischen langfristigen Investmentfonds** im Sinne der Verordnung (EU) 2015/760, die - vom Anwendungsbereich der Verordnung (EU) Nr. 1286/2014 erfasst sind und - im Basisinformationsblatt nach der Verordnung (EU) Nr. 1286/2014 höchstens in die Risikoklasse 5 eingestuft sind. - **Schuldverschreibungen, die in Euro ausgegeben werden**, vom Bund, von den Ländern, von den Gemeinden oder von anderen Körperschaften des öffentlichen Rechts oder von einer Anstalt des öffentlichen Rechts, wenn eine solche Körperschaft des öffentlichen Rechts für die Schuldverschreibung haftet. - **Schuldverschreibungen, die in Euro ausgegeben werden** von einem Mitgliedstaat des Euro-Währungsgebiets, der Europäischen Union, der Europäischen Atomgemeinschaft, der Europäischen Investitionsbank oder der Europäischen Finanzstabilitätsfazilität. Damit wird das Altersvorsorgedepot zwar kapitalmarktnäher als klassische Riester-Produkte, bleibt aber produktrechtlich eingehegt. Nicht jede am Kapitalmarkt verfügbare Anlage ist zulässig; maßgeblich ist, ob sie in die gesetzliche Positivliste fällt. Grundsätzlich wählt der Anbieter die Anlagen aus. Der Vertrag kann dem Altersvorsorgenden aber eine Option einräumen, aus den vereinbarten Anlagemöglichkeiten selbst zu wählen. In diesem Fall muss die Produktgestaltung auch die Selbstwahl des Vertragspartners abbilden. ## Das Standarddepot: gesetzliche Rahmenbedingungen Neben dem allgemeinen Altersvorsorgedepot sieht das Gesetz den Standarddepot-Vertrag Altersvorsorge vor. Das Standarddepot ist ein besonders einfach strukturiertes Altersvorsorgedepot und soll einen niedrigschwelligen Zugang zur geförderten kapitalmarktorientierten Altersvorsorge ermöglichen. Für das Standarddepot muss der Anbieter zwei OGAW festlegen: einen Fonds mit niedriger Risikoklasse und einen Fonds mit höherer Risikoklasse. Der Vertragspartner kann entscheiden, wie Beiträge und Zulagen auf diese beiden Fonds verteilt werden. Trifft er keine Entscheidung, greift die vertraglich vorgesehene Standardaufteilung. Zusätzlich muss das Standarddepot ein Verfahren zur Risikoreduzierung vor Beginn der Auszahlungsphase enthalten. Fünf Jahre vor der Auszahlungsphase dürfen höchstens 50 Prozent des gebildeten Kapitals im risikoreicheren Fonds investiert sein. Zwei Jahre vor der Auszahlungsphase und zu deren Beginn sinkt diese Grenze auf höchstens 30 Prozent. Der Vertragspartner kann allerdings abweichende Prozentsätze verlangen. Für das Standarddepot gilt außerdem eine Kostenobergrenze. Die Effektivkosten dürfen höchstens 1,0 Prozent betragen. Anbieter müssen die Effektivkosten ermitteln; maßgeblich sind die im individuellen Produktinformationsblatt angegebenen Effektivkosten. Zudem ist mindestens alle drei Jahre eine Bestätigung durch einen Wirtschaftsprüfer, vereidigten Buchprüfer oder Aktuar DAV einzuholen (vgl. § 2a Abs. 3 Satz 1 AltZertG n.F.). ## Öffentlicher Standarddepot-Vertrag Neu hinzugekommen ist auch die Möglichkeit eines Standarddepot-Vertrags durch einen öffentlichen Träger. Das Gesetz ermächtigt die Bundesregierung, durch Rechtsverordnung ein solches öffentlich angebotenes Standarddepot umzusetzen. Für dieses Produkt gelten grundsätzlich die Anforderungen an das Altersvorsorgedepot und ergänzend die Vorgaben zum Standarddepot. ## Vorgaben für die Auszahlungsphase Auch beim Altersvorsorgedepot bleibt der Altersvorsorgezweck prägend. Leistungen dürfen grundsätzlich nicht vor Vollendung des 65\. Lebensjahres und nicht erstmals nach Vollendung des 70\. Lebensjahres beginnen. Das zu Beginn der Auszahlungsphase vorhandene Kapital muss für monatliche Leistungen eingesetzt werden. Zulässig sind insbesondere lebenslange Leistungen oder ein Auszahlungsplan, der frühestens mit Vollendung des 85\. Lebensjahres endet. Bis zu 30 Prozent des zu Beginn der Auszahlungsphase vorhandenen Kapitals können außerhalb der monatlichen Leistungen ausgezahlt werden. Außerdem können bis zu zwölf Monatsleistungen zusammengefasst werden. Damit wird die Auszahlungsphase flexibler als bei klassischen Riester-Produkten, ohne den Altersvorsorgecharakter vollständig aufzugeben. Beim Altersvorsorgedepot kommt eine weitere Flexibilisierung hinzu: Der Vertragspartner muss den Beginn der Auszahlungsphase innerhalb eines Zeitkorridors von mindestens fünf Jahren frei wählen können. Den gewünschten Beginn muss er dem Anbieter spätestens drei Monate im Voraus anzeigen. ## Wechsel, Ruhenlassen und Kostenverteilung Ein zertifizierter Altersvorsorgevertrag muss dem Vertragspartner das Recht einräumen, den Vertrag bis zum Beginn der Auszahlungsphase ruhen zu lassen. Außerdem muss ein Wechsel möglich sein: Der Vertragspartner kann den Vertrag mit einer Frist von drei Monaten zum Ende eines Kalendervierteljahres oder zum Beginn der Auszahlungsphase kündigen, um das gebildete Kapital auf einen anderen Altersvorsorgevertrag zu übertragen. Bei einem Anbieterwechsel werden die Kosten gesetzlich begrenzt. Erfolgt die Übertragung innerhalb von fünf Jahren nach Vertragsschluss auf einen Altersvorsorgevertrag eines anderen Anbieters, darf der bisherige Anbieter höchstens 150 Euro berechnen. Nach Ablauf dieser Frist, bei einer Kostenänderung oder bei Übertragung innerhalb desselben Anbieters ist die Übertragung kostenfrei zu gewähren. Der neue Anbieter darf das übertragene geförderte Kapital nicht bei der Berechnung von Abschluss- und Vertriebskosten berücksichtigen; zulässig ist lediglich eine einmalige Verwaltungspauschale von höchstens 150 Euro. ## Informationspflichten als Produktanforderung Die Produktanforderungen enden nicht bei Anlagevorgaben und Auszahlungssystematik. Anbieter müssen vor Vertragsschluss ein individuelles Produktinformationsblatt bereitstellen. Dieses muss unter anderem die Produktkategorie, die wesentlichen Vertragsbestandteile, die Zertifizierungsnummer, die Effektivkosten, die Kosten in Anspar- und Auszahlungsphase, den Gesamtrisikoindikator, Performanceszenarien sowie Informationen zu den Möglichkeiten und Folgen eines Vertragswechsels enthalten. Vor dem erstmaligen Vertrieb müssen Anbieter außerdem Muster-Produktinformationen erstellen und der Zertifizierungsstelle elektronisch übermitteln. Diese Muster-Produktinformationen sind öffentlich bereitzustellen. Damit soll die Vergleichbarkeit der Produkte erhöht und die Transparenz gegenüber Altersvorsorgenden gestärkt werden. ## Fazit Die Produktanforderungen zeigen, dass das Altersvorsorgedepot rechtlich deutlich mehr ist als ein gefördertes Wertpapierdepot. Es ist ein zertifizierungspflichtiger Altersvorsorgevertrag mit begrenztem Anlageuniversum, gesetzlich strukturierter Anspar- und Auszahlungsphase, Wechselrechten, Informationspflichten und besonderen Kostenvorgaben. Für die Praxis wird entscheidend sein, wie Anbieter diese Anforderungen technisch und organisatorisch umsetzen. Besonders anspruchsvoll sind die Auswahl und Überwachung zulässiger Anlagen, die Abbildung der Risikoklassen, die Default-Mechanik des Standarddepots, die Berechnung der Effektivkosten und die Integration der Produktinformationen in digitale Abschlussstrecken. In Teil 3 unserer Reihe werden wir uns mit den Anforderungen an Anbieter, Zertifizierung, Vertrieb und Aufsicht befassen. ### Germany's New Altersvorsorgedepot: Private Retirement Saving via the Capital Market – Part 2 URL: https://www.waldvorlauternormen.com/en/altersvorsorgedepot-retirement-saving-capital-market-part-2/ Last updated: 2026-09-09T13:18:20.000Z Since our first article ([Part 1](https://www.waldvorlauternormen.com/en/altersvorsorgedepot-retirement-saving-capital-market-part-1/)) the legal position has been settled: the Act to Reform Tax-Privileged Private Retirement Provision ([Altersvorsorgereformgesetz](https://www.recht.bund.de/bgbl/1/2026/156/VO.html?ref=waldvorlauternormen.com)) was promulgated as an amending act on 29 May 2026 in BGBl. 2026 I No. 156; the central new product rules are to apply from 1 January 2027\. One change against the original draft materials is significant: the cost ceiling for the Standarddepot has been lowered to reduction in yield (Effektivkosten) of 1.0 per cent. How a publicly organised Standarddepot will actually be implemented remains politically open. ## The Altersvorsorgedepot as a distinct contract type The Altersvorsorgedepot is structured in the Retirement Savings Contracts Certification Act ([AltZertG](https://www.gesetze-im-internet.de/altzertg/?ref=waldvorlauternormen.com)) as an Altersvorsorgedepot contract. It is a distinct type of certified retirement savings contract and, alongside the specific account requirements, must also meet certain general requirements applicable to retirement savings contracts. These include in particular requirements as to the start of the decumulation phase, the form of payment, the annual contribution ceiling, the allocation of costs, and the contracting party's right to suspend the contract or to transfer the accumulated capital to another retirement savings contract. The central difference from a guarantee product is that the Altersvorsorgedepot carries no promise that contributions will be preserved. The provider therefore guarantees neither that a particular minimum amount of capital will be available at the start of the decumulation phase nor that the account will achieve a particular minimum performance during the accumulation phase. Performance depends instead on the permissible capital market investments. This can generate higher return potential; at the same time savers bear the risk of fluctuations in value and of losses. ## Who can use an Altersvorsorgedepot? A distinction must be drawn between concluding a retirement savings contract and qualifying for tax support. Under the AltZertG a retirement savings contract is concluded between a provider and a natural person as contracting party. A joint "family account" as a distinct statutory product type is not provided for. Those eligible for support are in particular the persons named in section 10a of the German Income Tax Act (Einkommensteuergesetz, EStG), that is, above all persons subject to compulsory insurance in the statutory pension scheme and certain groups treated as equivalent. In addition, a spouse may be indirectly entitled to an allowance where the statutory conditions are met and a retirement savings contract exists in that spouse's name. A "child account" in the sense of a regular Altersvorsorgedepot for Riester support is not provided for as a distinct product type in the AltZertG. Within the private retirement provision system, children are taken into account primarily through the child allowance, which is attributed to the parent entitled to the allowance. This is to be distinguished from the politically envisaged Frühstart-Rente (early-start pension): according to the published key points, it is to attach to an individual Altersvorsorgedepot for children and young people between six and 18 years of age and to provide a state contribution of EUR 10 per month. That model is, however, to be kept separate from the general Altersvorsorgedepot for savers eligible for support. ## Which products can savers choose? The reform does not merely introduce "the" Altersvorsorgedepot; it reorganises subsidised private retirement provision on the product side. As a starting point, the new product forms are supported under the same allowance logic. The retirement allowance continues to consist of a basic allowance and, where applicable, a child allowance; the calculation, however, is put on a contribution-proportional footing. For the basic allowance: each euro paid in attracts 50 cents of allowance up to an own contribution of EUR 360; for further contributions up to EUR 1,800 the rate is 25 cents per euro. The basic allowance can therefore amount to up to EUR 540 per year. For children, section 85 EStG provides from 2027 for a child allowance of 100 per cent of the retirement contributions made in the contribution year, capped at EUR 300 per child. The full child allowance is therefore reached at an own contribution of EUR 300 per year. From contribution year 2027 onwards, both the basic and the child allowance require a minimum own contribution of EUR 120. For product selection this means: it is not the product itself that triggers a particular allowance but the eligible contracting party through their contributions. Guarantee product, Altersvorsorgedepot and Standarddepot therefore follow the same allowance logic; they differ above all in guarantee, investment requirements, standardisation and cost structure. The following product forms are essentially available to savers: - **Guarantee product (section 1(1) sentence 1 no. 3 AltZertG as recast):** A classic security-oriented retirement savings contract in which the provider promises a minimum amount of capital at the start of the decumulation phase. That minimum capital may amount to 80 per cent or 100 per cent of the retirement contributions paid in, including allowances. The principal advantage lies in capital protection; the disadvantage may lie in lower return potential. - **Altersvorsorgedepot contract (section 1(1b) sentences 1 and 2 AltZertG as recast):** The new capital-market-oriented product without a capital guarantee. Contributions, allowances and investment income are invested in statutorily admitted asset classes. The provider selects the investments in principle; the contract may, however, grant the saver a contractual option to select investments themselves from within the agreed investment universe. - **Standarddepot contract (section 1(1c) AltZertG as recast):** A sub-category of the Altersvorsorgedepot. The Standarddepot is more simply structured, can be concluded electronically and is tied to a statutorily defined framework. The provider must designate two UCITS funds: a lower-risk fund in risk class 1 or 2 and a higher-risk fund in risk classes 3 to 5\. If the contracting party makes no allocation decision of their own, the allocation provided for in the contract applies. - **Decumulation product (section 1(1d) AltZertG as recast):** This product concerns not the build-up of assets but the decumulation phase. It serves to pay out transferred retirement assets or retirement assets paid in to reduce a housing subsidy account (Wohnförderkonto). - **Public Standarddepot contract (section 1(1e) AltZertG as recast):** The provision empowers the Federal Government to implement, by statutory instrument, a Standarddepot contract offered by a public-sector body. The requirements for the Altersvorsorgedepot under subsection 1b apply, supplemented by the Standarddepot requirements under subsection 1c. Alongside these, special contractual arrangements for housing-related use, in particular in connection with loans, remain statutorily provided for: - **Housing subsidy and loan products (section 1(1a) AltZertG as recast, section 92a EStG):** Section 1(1a) AltZertG covers retirement savings contracts with a loan component, in particular contracts conferring a right to the grant of a loan or providing for repayment out of retirement assets. The loan must be used for a housing-related purpose within the meaning of section 92a EStG. ## Permissible investments: capital market exposure with a positive list Investment freedom is not unlimited. The act works with a positive list (an exhaustive statutory catalogue of permissible acquisitions) of admissible assets (see section 1(1b) sentence 2 no. 2 AltZertG as recast). Retirement contributions paid in, allowances and investment income may in particular be used to acquire units in UCITS, certain open-ended retail AIFs, European long-term investment funds and certain debt securities issued by public-sector issuers. For fund investments it is additionally decisive that they fall within the scope of the PRIIPs Regulation and are classified in the key information document as risk class 5 at most. In detail: - **Units in undertakings for collective investment in transferable securities (UCITS)** within the meaning of section 1(2) of the German Investment Code (KAGB) that may be distributed in Germany and that - fall within the scope of Regulation (EU) No 1286/2014 and - are classified in the key information document under Regulation (EU) No 1286/2014 as risk class 5 at most. - **Units in open-ended retail AIFs** under sections 218 and 219 KAGB that - fall within the scope of Regulation (EU) No 1286/2014 and - are classified in the key information document under Regulation (EU) No 1286/2014 as risk class 5 at most. - **Units in open-ended European long-term investment funds** within the meaning of Regulation (EU) 2015/760 that - fall within the scope of Regulation (EU) No 1286/2014 and - are classified in the key information document under Regulation (EU) No 1286/2014 as risk class 5 at most. - **Debt securities issued in euro** by the Federation, the Länder, municipalities or other public-law corporations, or by a public-law institution where such a public-law corporation is liable for the debt security. - **Debt securities issued in euro** by a member state of the euro area, the European Union, the European Atomic Energy Community, the European Investment Bank or the European Financial Stability Facility. The Altersvorsorgedepot is thus closer to the capital market than classic Riester products but remains fenced in as a matter of product law. Not every investment available on the capital market is permissible; what matters is whether it falls within the statutory positive list. In principle the provider selects the investments. The contract may, however, grant the saver an option to choose from among the agreed investment options themselves. In that case the product design must also accommodate the contracting party's own selection. ## The Standarddepot: the statutory framework Alongside the general Altersvorsorgedepot, the act provides for the Standarddepot contract. The Standarddepot is a particularly simply structured Altersvorsorgedepot and is intended to provide low-threshold access to subsidised capital-market-oriented retirement provision. For the Standarddepot the provider must designate two UCITS funds: one in a low risk class and one in a higher risk class. The contracting party may decide how contributions and allowances are allocated between these two funds. If they make no decision, the default allocation provided for in the contract applies. The Standarddepot must additionally contain a procedure for reducing risk ahead of the start of the decumulation phase. Five years before the decumulation phase, no more than 50 per cent of the accumulated capital may be invested in the higher-risk fund. Two years before the decumulation phase, and at its start, that limit falls to no more than 30 per cent. The contracting party may, however, request different percentages. A cost ceiling also applies to the Standarddepot. Reduction in yield (Effektivkosten) may not exceed 1.0 per cent. Providers must determine the reduction in yield; the figures stated in the individual product information sheet are decisive. In addition, confirmation must be obtained at least every three years from an auditor, a sworn accountant or an actuary (Aktuar DAV) (see section 2a(3) sentence 1 AltZertG as recast). ## Public Standarddepot contract Newly added is the possibility of a Standarddepot contract offered by a public-sector body. The act empowers the Federal Government to implement such a publicly offered Standarddepot by statutory instrument. In principle the requirements for the Altersvorsorgedepot apply to this product, supplemented by the requirements for the Standarddepot. ## Requirements for the decumulation phase The retirement provision purpose remains defining for the Altersvorsorgedepot as well. Benefits may as a rule not begin before the saver reaches the age of 65 and may not be paid for the first time after the age of 70\. The capital available at the start of the decumulation phase must be used for monthly benefits. Permissible in particular are lifelong benefits or a drawdown plan ending no earlier than when the saver reaches the age of 85. Up to 30 per cent of the capital available at the start of the decumulation phase may be paid out separately from the monthly benefits. In addition, up to twelve monthly benefits may be combined. The decumulation phase is therefore more flexible than with classic Riester products, without abandoning the retirement provision character entirely. For the Altersvorsorgedepot there is a further element of flexibility: the contracting party must be able to choose freely, within a window of at least five years, when the decumulation phase begins. They must notify the provider of the desired start at least three months in advance. ## Switching, suspension and the allocation of costs A certified retirement savings contract must grant the contracting party the right to suspend the contract until the start of the decumulation phase. Switching must also be possible: the contracting party may terminate the contract on three months' notice with effect from the end of a calendar quarter or from the start of the decumulation phase in order to transfer the accumulated capital to another retirement savings contract. Where a provider is changed, costs are capped by statute. If the transfer to another provider's retirement savings contract takes place within five years of the contract being concluded, the previous provider may charge no more than EUR 150\. After that period, in the event of a change in costs, or on a transfer within the same provider, the transfer must be granted free of charge. The new provider may not take the transferred subsidised capital into account when calculating acquisition and distribution costs; only a one-off administrative flat fee of no more than EUR 150 is permissible. ## Information duties as a product requirement The product requirements do not stop at investment rules and the mechanics of payment. Providers must make an individual product information sheet available before the contract is concluded. It must contain, among other things, the product category, the essential contract components, the certification number, the reduction in yield, the costs in the accumulation and decumulation phases, the summary risk indicator, performance scenarios and information on the options for, and consequences of, switching contracts. Before distribution begins for the first time, providers must additionally prepare model product information and transmit it electronically to the certification authority. That model product information is to be made publicly available. The aim is to improve product comparability and strengthen transparency towards savers. ## Conclusion The product requirements show that the Altersvorsorgedepot is, in legal terms, considerably more than a subsidised securities account. It is a certification-required retirement savings contract with a limited investment universe, statutorily structured accumulation and decumulation phases, switching rights, information duties and specific cost requirements. What will matter in practice is how providers implement these requirements technically and organisationally. Particularly demanding are the selection and monitoring of permissible investments, mapping the risk classes, the default mechanics of the Standarddepot, the calculation of the reduction in yield, and integrating the product information into digital onboarding journeys. In Part 3 of our series we turn to the requirements for providers, certification, distribution and supervision. ### Germany's New Altersvorsorgedepot: Private Retirement Saving via the Capital Market – Part 1 URL: https://www.waldvorlauternormen.com/en/altersvorsorgedepot-retirement-saving-capital-market-part-1/ Last updated: 2026-09-09T13:23:44.000Z *Update of 9 September 2026: This article originally reflected the status of the government bill. The Altersvorsorgereformgesetz was promulgated on 29 May 2026 in the Federal Law Gazette (BGBl. 2026 I No. 156). The figures on state allowances and on the cost ceiling for the Standarddepot have been brought into line with the enacted version.* The relevant legislation is the **Act to Reform Tax-Privileged Private Retirement Provision (Altersvorsorgereformgesetz)**. The [government bill](https://dserver.bundestag.de/btd/21/040/2104088.pdf?ref=waldvorlauternormen.com) was published as Bundestag printed paper 21/4088; the Bundesrat gave its consent on 8 May 2026\. The act was promulgated on 29 May 2026 in [BGBl. 2026 I No. 156](https://www.recht.bund.de/bgbl/1/2026/156/VO.html?ref=waldvorlauternormen.com). The principal new rules take effect predominantly on 1 January 2027. ## Background to the reform The Federal Government justifies the reform by pointing to structural problems in private retirement provision as it stands. The number of private retirement savings contracts has been declining for some years; the bill cites high costs, weak returns, a complex allowance system, limited flexibility and a lack of transparency in product selection among the causes. The reform aims to make private retirement provision cheaper, more return-oriented, simpler, more flexible and more transparent. Alongside security-oriented guarantee products, a return-oriented Altersvorsorgedepot without any capital guarantee will now also be admitted. ## What is the Altersvorsorgedepot? The Altersvorsorgedepot is a retirement savings contract within the meaning of the Retirement Savings Contracts Certification Act (Altersvorsorgeverträge-Zertifizierungsgesetz, AltZertG). The AltZertG is being recast by the Altersvorsorgereformgesetz to accommodate the new retirement products. The Altersvorsorgedepot is therefore not a freely structured securities account but a certification-required retirement product subject to statutory structural requirements. The essence of the new product is that contributions paid in and state allowances may be invested with capital market exposure. Unlike classic guarantee products, no capital guarantee is agreed for the Altersvorsorgedepot. Neither a minimum capital amount at the end of the accumulation phase nor a minimum performance during the accumulation phase is provided for. Not every investment is permissible, however. The candidates are primarily certain UCITS funds — ETFs in particular — alongside open-ended retail AIFs, European long-term investment funds (ELTIFs) and certain debt securities issued by public-sector issuers. Investment freedom is therefore capital-market oriented but statutorily circumscribed. ## Key parameters The Altersvorsorgedepot's key parameters can be grouped by the product's three phases. **Accumulation phase** | Parameter | Value | | ------------------------------- | ----------------------------------------------------------- | | Annual contribution ceiling | EUR 6,840 | | Tax-privileged contributions | as a rule up to EUR 1,800 per year plus allowance | | Not counted towards the ceiling | allowances, investment income, certain tax-exempt transfers | **State allowances (from contribution year 2027)** | Parameter | Value | | ------------------------------------------------------------ | --------------------------------------------------------------- | | Minimum own contribution | EUR 120 per year | | Basic allowance on own contributions up to EUR 360 | 50 cents per euro paid in | | Basic allowance on further own contributions up to EUR 1,800 | 25 cents per euro paid in | | Basic allowance, maximum in total | EUR 540 per year | | One-off increase for savers under 25 | EUR 200 | | Child allowance | 100 per cent of contributions made, capped at EUR 300 per child | | Cost ceiling for the Standarddepot | maximum 1.0 per cent | The number of contracts eligible for allowances is also limited: contributions to the third and any further retirement savings contract concluded after 31 December 2026 will generally no longer be treated as subsidised retirement contributions. **Decumulation phase** | Parameter | Value | | -------------------------------------------------- | -------------------------------- | | Earliest start of benefits | on reaching the age of 65 | | Latest first payment of benefits | on reaching the age of 70 | | Freely selectable window for the start of payments | at least five years | | Latest end of a drawdown plan | on reaching the age of 85 | | Separately payable lump sum at the start | up to 30 per cent of the capital | The retirement provision character is preserved in the decumulation phase. Alongside lifelong benefits, drawdown plans are also possible. ## The Standarddepot Alongside the general Altersvorsorgedepot, the act provides for a **Standarddepot contract** (standardised retirement investment account). It is designed as a simply structured entry-level product that can be concluded online and operates with statutory default settings. For the Standarddepot the provider must in particular designate two UCITS funds: one in a lower and one in a higher risk class. The contracting party may decide how contributions are allocated between them; if it does not, the allocation provided for in the contract applies. The act additionally provides for a de-risking mechanism ahead of the decumulation phase. Five years before the decumulation phase, only a limited share of the capital may be invested in the higher-risk fund; two years before, that share falls further. The Standarddepot thus combines return-oriented saving with a statutory safety mechanism. ## Who stands to benefit? The Altersvorsorgedepot may be worthwhile above all for savers who provide for the long term, want to use state support and wish to participate more strongly in capital market returns. Forgoing a capital guarantee opens up higher return potential but equally means bearing fluctuations in value during the accumulation phase. The product is therefore most obviously suited to people with a long investment horizon. For very security-oriented investors who require a contribution guarantee, a guarantee product remains the better fit. The Altersvorsorgedepot may also be attractive for savers on low and middle incomes and for families, because the allowance system is simpler and more closely tied to contributions. On the provider side, the Altersvorsorgedepot is of interest above all to institutions that already operate capital market, custody, fund or securities infrastructure. These include investment firms, credit institutions, management companies and insurers in particular. For investment firms the product may be especially relevant because it opens access to the market for certified private retirement provision without the product having to be structured as a classic insurance product. The accompanying working paper accordingly frames the Altersvorsorgedepot as a possible entry point into B2B retail retirement business with standardised long-term investment products, a limited product range and a focus on savings plans. At the same time the product remains demanding in regulatory terms. Providers need not only the appropriate supervisory licence but additionally certification under the recast AltZertG. On top of that come requirements as to product design, cost control, information duties, allowance processes and ongoing compliance. ## Legal classification and transparency duties The Altersvorsorgedepot cannot be assigned to a single supervisory category. It is first of all a product of tax-privileged private retirement provision. At the same time it has a clear capital market dimension, because investment is made in statutorily admitted financial instruments. Ongoing supervision does not follow any new special supervisory statute for the Altersvorsorgedepot; it depends on the type of provider. Insurers are subject to insurance supervisory law, credit institutions to the German Banking Act, management companies to the German Investment Code and investment firms to the German Investment Firm Act. The recast AltZertG sets out the product-related requirements and the certification regime alongside these. A central objective of the reform is greater transparency. Providers must supply a product information sheet before the contract is concluded. Model product information is also to be made publicly available. During the accumulation phase, annual information duties apply, covering among other things contributions, allowances, costs, investment income and expected retirement benefits. Changes in costs must be notified separately. ## Outlook The Altersvorsorgedepot is intended to align subsidised private retirement provision more closely with long-term capital market saving. It opens up new return potential but remains a regulated, certification-required retirement product with statutorily limited investment options and cost and information duties. For savers, the product may be of interest above all where they are saving for the long term and consciously wish to forgo a capital guarantee. For providers it opens up new business opportunities but at the same time brings additional requirements as to product design, certification, cost control, information and compliance. In [Part 2](https://www.waldvorlauternormen.com/en/altersvorsorgedepot-retirement-saving-capital-market-part-2/) of our series we examine the specific product requirements of the Altersvorsorgedepot in more detail. Part 3 then turns to the requirements for providers, certification, distribution and supervision. ### Bundesgerichtshof kippt rechtliche Einordnung von entschuldigten Überbauten URL: https://www.waldvorlauternormen.com/bundesgerichtshof-kippt-rechtliche-einordnung-von-entschuldigten-uberbauten/ Last updated: 2026-09-02T10:29:56.000Z Mit seiner [Entscheidung vom 26\. Juni 2026 (V ZR 78/25)](https://www.bundesgerichtshof.de/SharedDocs/Entscheidungen/DE/Zivilsenate/V%5FZS/2025/V%5FZR%5F%5F78-25.pdf?%5F%5Fblob=publicationFile&v=1&ref=waldvorlauternormen.com) urteilt der BGH, dass entschuldigte Überbauten einen Sachmangel (§ 434 BGB) begründen können und nimmt damit Einfluss auf die kaufvertragliche Risikoverteilung bei Grundstückstransaktionen. Die bisherige obergerichtliche Rechtsprechungslinie nahm demgegenüber einhellig an, dass ein entschuldigter Überbau einen Rechtsmangel (§ 435 BGB) für den Käufer des Stammgrundstücks darstelle. Die Entscheidung unterstreicht, wie wichtig es ist die tatsächlichen Gegebenheiten bei Immobilienkaufverträgen präzise vertraglich zu regeln. Der Beitrag ordnet die Folgen ein. ## Entschuldigter Überbau Ein entschuldigter Überbau liegt gemäß § 912 Abs. 1 BGB dann vor, wenn der Eigentümer eines Grundstücks („Stammgrundstück“) bei der Errichtung eines Gebäudes über die Grenze zum Nachbargrundstück baut, ohne dass dies vorsätzlich oder grob fahrlässig geschieht. In diesem Fall muss der betroffene Nachbar den Überbau dulden, es sei denn, er hat vor oder sofort nach Grenzüberschreitung Widerspruch erhoben. Im Gegenzug dafür, dass der Eigentümer des Nachbargrundstücks dazu verpflichtet ist den entschuldigten Überbau zu dulden, steht ihm eine Entschädigung gegen den Eigentümer des Stammgrundstücks aus §§ 913, 912 Abs. 2 BGB zu (Überbaurente). Entschuldigte Überbauten sind häufig nicht offenkundig. Die Feststellung erfordert eine präzise Überprüfung des tatsächlichen Grundstücks- und Gebäudeverlaufs. Darüber hinaus verbleiben häufig Unsicherheiten, da nicht rechtssicher festgestellt werden kann, ob ein Überbau auch entschuldigt im Sinne des § 912 Abs. 1 BGB war und ist. Dies ist nur dann der Fall, wenn die Grenze ohne Vorsatz oder grobe Fahrlässigkeit überschritten wurde und der „überbaute“ Eigentümer, Erbbauberechtigte oder Inhaber einer Grunddienstbarkeit nicht sofort Widerspruch gegen die Grenzüberschreitung erhoben hat. Diese Voraussetzungen sind im Nachhinein nur noch selten aufzuklären. ## Urteil und Sachverhalt Gegenstand des Rechtsstreits war der Verkauf eines Grundstücks. Auf dem Grundstück hatte sich ursprünglich u.a. ein Schuppen befunden, den der beklagte Verkäufer durch ein Wohngebäude ersetzt hatte. Dieses Wohngebäude überschritt teilweise die Grenze zum Nachbargrundstück und stellte für dieses einen entschuldigten Überbau im Sinne des § 912 BGB dar. Im Jahr 2021 veräußerte der Beklagte das Grundstück unter Ausschluss der Sachmängelhaftung an die Kläger. Zugleich garantierte er, dass das Grundstück frei von Rechtsmängeln sei. Die Käufer klagten auf Rückabwicklung des Kaufvertrages, u.a. wegen des entschuldigten Überbaus. Während das Oberlandesgericht Rostock der Klage noch stattgab, hat der BGH das Urteil auf die Revision des Beklagten hin aufgehoben und die Sache an das OLG zurückverwiesen. Das OLG gab der Klage aufgrund eines erfolgreichen Rücktritts gemäß §§ 346 ff. BGB statt. Den Rücktrittsgrund sah das OLG in dem entschuldigten Überbau begründet. Dabei vertrat das OLG die Auffassung, dass die Pflicht des Inhabers des Stammgrundstücks zur Zahlung einer Überbaurente einen Rechtsmangel (§ 435 BGB) am Stammgrundstück darstelle. Das OLG ging auf dieser Grundlage von dem Bestehen eines Rücktrittsgrundes zugunsten des klagenden Käufers aus, da die Rechtsmängelhaftung im Kaufvertrag nicht ausgeschlossen worden war. Der BGH hat demgegenüber den Überbau und die sich hieraus ergebende Pflicht zur Zahlung einer Überbaurente als Sachmangel (§ 434 BGB) eingeordnet. Wegen des kaufvertraglich vereinbarten Sachmängelausschlusses scheiterte der Rücktritt der Käufer daher soweit sie sich auf die Überbaurente beriefen. ## Rechtliche Bewertung Die Entscheidung ist aus Sicht des BGH konsequent. Denn der BGH knüpft an seine bestehende Rechtsprechung im umgekehrten Fall an, wonach ein entschuldigter Überbau für den Käufer des zur Duldung verpflichteten Nachbargrundstücks einen Sachmangel darstellt. Der wesentliche Unterschied zwischen den beiden Konstellationen ist, dass der Käufer des Nachbargrundstücks einen Teil eines fremden Gebäudes auf seinem Grundstück gemäß § 912 Abs. 1 BGB zu dulden hat, während den Käufer des Stammgrundstücks die Pflicht zur Zahlung einer Überbaurente zugunsten des Nachbargrundstücks trifft. Diese Rentenlast ergibt sich unmittelbar aus § 913, 912 Abs. 2 Satz 1 BGB und stellt daher eine allgemeine nachbarrechtliche Beschränkung der Eigentumsrechte an Grundstücken dar. Zwar gewährt die Überbaurente dem Eigentümer des Nachbargrundstücks damit auch ein Recht gegenüber dem Eigentümer des Stammgrundstücks, dieses liegt aber in der tatsächlichen Beschaffenheit des Grundstücks begründet. Die Überbaurente ist daher mit einem Notwegerecht zu vergleichen. Dieses kann ebenfalls einen Sachmangel darstellen und entsteht gemäß § 917 BGB unmittelbar aus dem Gesetz, sofern die tatsächliche Lage des Grundstücks es erfordert. ## Wirtschaftliche Bedeutung und Folgen Das Urteil unterstreicht die generelle Notwendigkeit bei Immobilientransaktionen präzise Regelungen über das Kaufobjekt zu treffen. Ferner sollten weder Käufer noch Verkäufer vor dem Vertragsschluss auf eine genaue Prüfung der Grenz- und Gebäudeverläufe verzichten. Die Einsichtnahme in Grundbuch, Baulastenverzeichnis, Liegenschaftskarte und öffentlich-rechtliche Genehmigungsunterlagen allein bildet die tatsächlichen Verhältnisse eines Grundstücks nicht vollständig ab. Gerade bei älteren oder dicht bebauten Objekten sollte deshalb auch geprüft werden, ob vorhandene Gebäude tatsächlich innerhalb der Grundstücksgrenzen liegen, ob Flurstücksgrenzen etwa im Rahmen von Umlegungen verändert wurden, ob Nutzungen oder bauliche Anlagen Nachbargrundstücke einbeziehen und ob die vorhandene Bebauung mit den verfügbaren Plänen und Genehmigungen übereinstimmt. Wo Grenzverläufe oder Gebäudepositionen für die Nutzung oder Bewertung des Objekts relevant sind, können ergänzend Vermessungsunterlagen oder eine technische Prüfung erforderlich sein. Da das Urteil des BGH der bislang einhelligen obergerichtlichen Rechtsprechung widerspricht, verschiebt sich die Risikoverteilung bestehender Immobilienkaufverträge potenziell. In Fällen, in denen die Sachmängelhaftung weitgehend ausgeschlossen wurde, kann die rechtliche Einordnung eines entschuldigten Überbaus als Sachmangel dazu führen, dass Käufer entgegen der bisherigen Erwartung keine Gewährleistungsrechte geltend machen können. Umgekehrt können Verkäufer dort einem erhöhten Haftungsrisiko ausgesetzt sein, wo vertragliche Regelungen erkennbar auf der bislang vorherrschenden Qualifikation als Rechtsmangel aufbauen. Bestehende Verträge können daher Anlass für eine erneute Prüfung der vereinbarten Risikozuweisung geben. ## Fazit Für künftige Transaktionen bestätigt die Entscheidung vor allem einen bekannten Befund: Die rechtliche Bewertung tatsächlicher Grundstücksverhältnisse lässt sich nicht immer zuverlässig in die klassischen Kategorien von Sach- und Rechtsmangel einordnen. Für die Vertragsgestaltung zeigt sich hieran, dass der Zustand und etwaige Besonderheiten des Kaufobjekts vorab exakt erfasst werden sollte. Die tatsächlichen Gegebenheiten der Immobilie sind für die wirtschaftliche Bewertung der Transaktion entscheidend. Daher ist es unerlässlich, detaillierte vertragliche Regelungen zu treffen. ### WpI MaRisk: Bafin veröffentlicht MaRisk für Kleine und Mittlere Wertpapierinstitute URL: https://www.waldvorlauternormen.com/wpi-marisk-bafin-veroffentlicht-marisk-fur-kleine-und-mittlere-wertpapierinstitute/ Last updated: 2026-08-26T09:27:16.000Z Die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) hat am 24\. August 2026 die finalen **Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk)** als [Rundschreiben 09/2026 (WA)](https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl%5Frs%5F0926%5Fwpi%5Fmarisk.html?nn=150446&ref=waldvorlauternormen.com) veröffentlicht. Damit erhalten Kleine und Mittlere Wertpapierinstitute einen eigenständigen, auf das Gesetz zur Beaufsichtigung von Wertpapierinstituten (WpIG) zugeschnittenen Rahmen für die Geschäftsorganisation und das Risikomanagement. Große Wertpapierinstitute bleiben dagegen im Anwendungsbereich der allgemeinen MaRisk. Die finale Fassung knüpft eng an die [Konsultationsfassung vom 6\. Mai 2026](https://www.bafin.de/SharedDocs/Downloads/DE/Konsultation/2026/dl%5Fkon%5F05%5F2026%5Frs%5Fwpi%5Fmarisk.pdf?%5F%5Fblob=publicationFile&v=8&ref=waldvorlauternormen.com) an. Ein grundlegender Umbau ist ausgeblieben. An einigen für die Praxis wichtigen Stellen hat die Bafin jedoch nachgeschärft oder Anforderungen präzisiert – insbesondere bei Compliance, Auslagerungen und vertraglich gebundenen Vermittlern. ## **Was hat sich gegenüber der Konsultationsfassung geändert?** ### **Compliance: klarere Aufgaben und erweiterte Eskalation** Die Anforderungen an die Compliance-Funktion wurden sprachlich und inhaltlich klarer gefasst. Während die Konsultationsfassung noch eher allgemein auf die Überwachung wesentlicher rechtlicher Risiken abhob, verlangt die finale Fassung ausdrücklich, dass die Compliance-Funktion > "auf wirksame Verfahren und Kontrollen zur Einhaltung der wesentlichen rechtlichen Vorgaben hinwirkt." Zugleich muss sie im Rahmen eines strukturierten Prozesses sicherstellen, dass die jeweils betroffenen Bereiche deren Einhaltung überwachen. Neu ist zudem die Eskalation gegenüber dem Aufsichtsorgan: Über schwerwiegende Feststellungen gegen Geschäftsleiter ist dessen Vorsitzender künftig nicht nur bei Feststellungen der Internen Revision, sondern ausdrücklich auch bei solchen der **Compliance-Funktion** unverzüglich zu informieren. In der Mai-Fassung war an dieser Stelle ausschließlich die Interne Revision genannt. > Die Geschäftsleiter informieren den Vorsitzenden des Aufsichtsorgans unverzüglich über schwerwiegende Feststellungen der Internen Revision **und Compliance-Funktion** gegen Geschäftsleiter In der Konsultationsfassung vom Mai lautete AT 3.2 Tz. 2 dagegen noch: > Die Geschäftsleiter informieren den Vorsitzenden des Aufsichtsorgans unverzüglich über schwerwiegende Feststellungen der **Internen Revision** gegen Geschäftsleiter. ### **Auslagerungen: weniger Formalismus, mehr Blick auf Auslagerungsketten** Bei den Auslagerungsanforderungen (AT 9) enthält die finale Fassung Änderungen in beide Richtungen: - Einerseits wird die Vertragsform präzisiert: Für wesentliche Auslagerungen verlangt die Bafin nun einen **„in Textform dokumentierten“ Auslagerungsvertrag**; die Konsultationsfassung sprach noch von einem „schriftlich dokumentierten“ Vertrag. - Zudem entfällt die zusätzliche Erläuterung aus dem Mai-Entwurf, wonach der konkrete Ort der Leistungserbringung – etwa Stadt oder gegebenenfalls genaue Anschrift – dem Institut jederzeit bekannt sein musste. Die Pflicht zur Angabe der relevanten Regionen oder Länder bleibt bestehen. - Andererseits verschärft die Bafin den Blick auf **Weiterverlagerungen**: Bei einer Weiterverlagerung muss sichergestellt sein, dass der Auslagerungsdienstleister gegenüber dem Institut berichtspflichtig bleibt. Außerdem ist in der Risikoanalyse künftig ausdrücklich das Risiko zu berücksichtigen, dass lange und komplexe Auslagerungsketten die wirksame Überwachung durch das Institut beeinträchtigen. Auch die Anforderungen an die Interne Revision werden präzisiert (AT 9 Tz. 4): - In der **finalen Fassung** heißt es in **AT 9 Tz. 4**: > Die Interne Revision des auslagernden Wertpapierinstituts kann auf eigene Prüfungshandlungen verzichten, sofern anderweitig eine Revisionstätigkeit durchgeführt wird, die den aufsichtsrechtlichen Anforderungen genügt **und die relevanten Prüfungsergebnisse weitergegeben werden**. Die Interne Revision des auslagernden Instituts muss sich **regelmäßig von der Einhaltung dieser Voraussetzungen überzeugen.** In der **Konsultationsfassung vom Mai** dagegen noch: > Die Interne Revision des auslagernden Wertpapierinstituts kann auf eigene > Prüfungshandlungen verzichten, sofern anderweitig eine Revisionstätigkeit > durchgeführt wird, die den aufsichtsrechtlichen Anforderungen genügt. Die > Interne Revision des auslagernden Wertpapierinstituts muss **sicherstellen, dass die Voraussetzungen eingehalten und die relevanten Prüfungsergebnisse an die Interne Revision des auslagernden Wertpapierinstituts weitergegeben werden.** ### **Vertraglich gebundene Vermittler: jeder Vermittler als eigene Auslagerung** BTV Tz. 1 stellt nun ausdrücklich klar, dass die Tätigkeit jedes einzelnen vertraglich gebundenen Vermittlers als eigenständige Auslagerung gilt. Die Konsultationsfassung hatte lediglich allgemein von der Tätigkeit *der vertraglich gebundenen Vermittler* als Auslagerung gesprochen. Die finale Fassung lautet: > Die Tätigkeit **jedes einzelnen vertraglich gebundenen Vermittlers** gemäß § 3 Absatz 2 WpIG gilt als **eigenständige Auslagerung.** In der Konsultationsfassung vom Mai hieß es dagegen lediglich: > Die Tätigkeit **der vertraglich gebundenen Vermittler** gemäß § 3 Absatz 2 WpIG gilt als Auslagerung. Für Institute mit einer größeren Vermittlerorganisation dürfte dies insbesondere Auswirkungen auf Risikoanalyse, Auslagerungsdokumentation und laufende Überwachung haben. ### **Notfallmanagement: engerer Bezug zu kritischen Funktionen** Auch AT 7.3 wurde punktuell angepasst: - Der Mai-Entwurf verlangte ein Notfallkonzept für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen **unterstützen.** - Die finale Fassung stellt darauf ab, dass die Aktivitäten und Prozesse selbst kritische oder wichtige Funktionen **darstellen** Der Wortlaut ist damit enger gefasst. Für die Praxis dürfte dies insbesondere die Abgrenzung des notfallrelevanten Prozessumfangs erleichtern: Nicht jeder lediglich unterstützende Prozess fällt bereits als solcher unmittelbar unter AT 7.3\. Abhängigkeiten, die für die Aufrechterhaltung einer kritischen oder wichtigen Funktion erforderlich sind, bleiben bei der Ausgestaltung eines wirksamen Notfallmanagements jedoch zu berücksichtigen. ## **Die wichtigsten Punkte der finalen WpI MaRisk** - **Adressaten:** Die WpI MaRisk gelten für Kleine und Mittlere Wertpapierinstitute. Große Wertpapierinstitute bleiben weiterhin den KWG-MaRisk unterworfen. - **Proportionalität bleibt Leitprinzip:** Umfang und Intensität der Anforderungen richten sich nach Größe, Geschäftsmodell und Risikoprofil. Für Kleine Wertpapierinstitute bestehen zahlreiche ausdrückliche Erleichterungen; beispielsweise kann die Wesentlichkeitsbeurteilung von Risiken regelmäßig qualitativ erfolgen. - **Governance und Risikomanagement werden systematisiert:** Geschäfts- und Risikostrategie, Risikoinventur, Kapitalplanung, Kontrollfunktionen, Organisationsrichtlinien und Auslagerungsmanagement werden in einem einheitlichen aufsichtsrechtlichen Rahmen zusammengeführt. - **DORA und WpI-MaRisk werden abgegrenzt:** IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht zusätzlich unter AT 9 WpI MaRisk. - **Auslagerungen bleiben ein Schwerpunkt:** Neben Risikoanalyse und Auslagerungsregister stehen insbesondere Steuerbarkeit, Kontrollrechte, Weiterverlagerungen und der Erhalt ausreichender eigener Kenntnisse im Institut im Fokus. ## **Ausblick: Umsetzung bis zum 1\. Januar 2027** - Die WpI MaRisk gelten **ab dem 1\. Januar 2027**. An diesem Zeitplan hat sich gegenüber der Konsultationsfassung nichts geändert. Damit verbleiben den betroffenen Instituten gut vier Monate für die finale Umsetzung. - Wer seine Geschäftsorganisation bereits an der Mai-Fassung ausgerichtet hat, muss dabei nicht von vorne beginnen. Im Vordergrund sollte vielmehr eine gezielte Delta- bzw. Gap-Analyse stehen: Compliance-Prozesse und Eskalationswege, Auslagerungsverträge und -risikoanalysen, Weiterverlagerungsketten sowie die Behandlung vertraglich gebundener Vermittler sollten nochmals an der finalen Fassung gespiegelt werden. - Die Veröffentlichung der finalen WpI MaRisk markiert damit weniger einen regulatorischen Neustart als den Übergang von der Konzeptions- in die konkrete Umsetzungsphase. ### Weiterbildungspflicht für Immobilienmakler entfällt: Folgen für die Praxis URL: https://www.waldvorlauternormen.com/weiterbildungspflicht-immobilienmakler-entfaellt/ Last updated: 2026-08-26T09:27:44.000Z ## Inhalt der Rechtsänderung 2018 führte der Gesetzgeber für Immobilienmakler und Wohnimmobilienverwalter eine Weiterbildungspflicht ein: Nach § 34c Abs. 2a GewO i. V. m. der Makler- und Bauträgerverordnung (MaBV) mussten Immobilienmakler und Wohnimmobilienverwalter innerhalb von drei Kalenderjahren 20 Stunden Weiterbildung nachweisen. Inhaltlich musste sich die Weiterbildung auf allgemeine immobilienwirtschaftliche, rechtliche oder kaufmännische Grundlagen, die Verwaltung von Wohnungseigentums- oder Mietobjekten, technische Grundlagen das Wettbewerbsrecht oder den Verbraucherschutz beziehen (Anlage 1 zur MaBV). Die Weiterbildungspflicht diente laut Gesetzesbegründung dem Verbraucherschutz: Sie sollte eine sachgerechte Ausübung des Berufs des Immobilienmaklers gewährleisten, für dessen Zugang keine bestimmte Ausbildung vorgeschrieben ist. Mit dem Gesetz zum Bürokratierückbau in der Gewerbeordnung ist die Weiterbildungspflicht für Immobilienmakler (§ 34c Abs. 1 S. 1 Nr. 1 GewO) seit dem 24\. Juli 2026 vollständig weggefallen, einschließlich der hiermit zusammenhängenden Dokumentations- und Aufbewahrungspflichten. Für Wohnimmobilienverwalter bleibt die Weiterbildungsverpflichtung mit reduzierten Dokumentationspflichten allerdings bestehen. Weiterbildungs- und Compliance-Prozesse dürfen deshalb nicht pauschal eingestellt werden. Vielmehr muss unterschieden werden, welche Mitarbeitenden ausschließlich Maklertätigkeiten und welche Verwaltungstätigkeiten ausüben. ## Folgen der Rechtsänderung für Makler Nach Abschaffung der Weiterbildungsverpflichtung für Makler drängt sich die Frage auf: Ändert sich nun das Berufsbild des Maklers, wird die Qualität von Maklerleistungen leiden, ist der Verbraucherschutz in Gefahr und setzen sich Makler mangels regelmäßiger Schulung gar einem gesteigerten Haftungsrisiko aus? Diese Fragen sind differenziert zu bewerten. Nach dem gesetzlichen Leitbild des § 652 BGB schuldet der Immobilienmakler in erster Linie den Nachweis der Gelegenheit zum Abschluss bzw. die Vermittlung eines Vertrags. Für diese Tätigkeit wird der Makler erfolgsabhängig vergütet. Diese Ausrichtung der Maklertätigkeit bleibt unverändert. Eine wirtschaftliche, technische oder gar rechtliche Beratung stellt keinen vorrangigen Schwerpunkt der Maklertätigkeit dar. Die ehemalige Weiterbildungsverpflichtung sollte Makler auch nicht in die Lage versetzen, umfangreiche Beratungsleistungen zu übernehmen. Für eine umfassende Beratung hätte der gesetzlich vorgegebene Weiterbildungsumfang weder zeitlich (20 Stunden in drei Jahren) noch inhaltlich ausgereicht, zumal Makler ihre Weiterbildungskurse im Rahmen des § 15b Abs. 1 MaBV frei wählen durften und keine Pflicht bestand, eine Weiterbildung in allen in Anlage 1 der MaBV genannten Themen nachzuweisen. Mit Blick auf die Ausrichtung der Maklertätigkeit dürfte der Entfall der Weiterbildungsverpflichtung nicht merklich zu erhöhten Haftungsrisiken der Makler im Rahmen ihrer Berufsausübung führen: In der Rechtsprechung zur Haftung von Immobilienmaklern stehen weniger klassische Beratungsfehler als vielmehr Verletzungen von Aufklärungs-, Informations- und Sorgfaltspflichten im Vordergrund. Ein Makler haftet nach der Rechtsprechung des BGH auch nicht, weil er ungeprüft Informationen des Verkäufers weitergibt; dies ist grundsätzlich zulässig (Urt. v. 18.1.2007 – III ZR 146/06). Haftungsrisiken entstehen allerdings dann, wenn der Makler erkennbar unrichtige oder unplausible Angaben weitergibt, ungesicherte Angaben als eigene oder geprüfte Informationen erscheinen lässt oder trotz konkreter Anhaltspunkte gebotene Hinweise bzw. Nachforschungen unterlässt. An dieser Stelle könnte der Wegfall der Weiterbildungsverpflichtung ins Gewicht fallen: Auch wenn der Makler in erster Linie nicht beratend tätig ist, so dürfte doch eine regelmäßige Weiterbildung dabei helfen, das Problembewusstsein in verschiedenen Disziplinen zu schärfen und somit den Sorgfaltsanforderungen im gebotenen Maß nachzukommen. Ungeachtet dieser Gesichtspunkte dürfte eine berufliche Fortbildung für Makler weiterhin unerlässlich bleiben oder gar an Bedeutung hinzugewinnen. Dies gilt offensichtlich zunächst für Makler, die im Bereich von B2B-Geschäften mit oft großen Transaktionsvolumina tätig sind. Derartige Immobilienmakler dürften ein erhebliches Eigeninteresse an einem gezielten Qualitäts- und Risikomanagement haben, um den wachsenden Herausforderungen im Immobiliensegment gerecht zu werden und um die Rolle eines respektierten Players in Immobilientransaktionen nicht zu verspielen. Die Prüfung, Bewertung und Vermarktung von Immobilien wird angesichts steigender regulatorischer, technischer und nachhaltigkeitsbezogener Anforderungen, u.a. in den Bereichen ESG und Dekarbonisierung, immer anspruchsvoller. Zugleich werden Immobilientransaktionen durch wachsende regulatorische Anforderungen, etwa im Bereich des Datenschutzes, komplexere Finanzierungsbedingungen und einen insgesamt gestiegenen Due-Diligence- und Dokumentationsaufwand immer vielschichtiger. Die in der aktuellen Marktlage eng kalkulierten Immobilientransaktionen zwingen Transaktionsparteien zudem in komplexere Ankaufsstrukturen wie Share Deals, Joint Ventures, Forward Deals oder Sale-and-Lease-back Strukturen. Diese wachsenden Anforderungen zwingen Makler schon aus eigenem Interesse zur Weiterbildung, um am Markt bestehen und sich in dem hohen Konkurrenzdruck mit anderen Maklern stellen zu können, und zwar ganz unabhängig davon, ob dafür eine gesetzliche Pflicht besteht. Im B2C-Bereich und insbesondere in ländlichen Lagen mögen Immobilienmärkte einem geringeren Druck unterliegen, und Immobilientransaktionen sind zuweilen weniger professionalisiert als im schnelllebigen Investmentmarkt. Offenbar hatte der damalige Gesetzgeber gerade diesen Bereich im Blick, als er die Weiterbildungsverpflichtung letztlich im Namen des Verbraucherschutzes implementierte. Auch wenn die Marktlage sich hier anders darstellen mag, kommen Makler auch hier nicht an den Entwicklungen des Immobilienmarkts und regulatorische Neuerungen vorbei: Unerfahrene Transaktionsparteien verlangen erst recht einen An- bzw. Verkauf zum bestmöglichen bzw. marktgerechten Preis, die zutreffende Einwertung der Immobilie, die professionelle Führung durch den Transaktionsprozess und Hinweise auf etwaige Problemstellungen. Kann der Makler hier nicht punkten, wird er sich auf Dauer am Markt schwerlich behaupten können. Vor diesem Hintergrund besteht auch hier der Bedarf an Weiterbildungen, um der Gefahr eines Leistungs- und Qualitätsabfalls entgegenzuwirken. ## Fazit Im Ergebnis lässt sich festhalten: Die Bedeutung der Weiterbildung von Immobilienmaklern wird ungeachtet der Abschaffung der Weiterbildungsverpflichtung nicht abnehmen. Auch wenn die Ausrichtung der Maklertätigkeit bzw. Haftungsrisiken regelmäßige Schulungen nicht in allen Fällen zwingend erfordern mögen, verlangen stetig wachsende Anforderungen doch eine stetige Weiterbildung. Makler dürften sich deshalb schon aus Eigeninteresse im erforderlichen Maße weiterbilden, so dass es zu keinem Abfall der Qualität von Maklerleistungen oder gar zu einer Gefahr für den Verbraucherschutz kommen wird. ### MaRisk 06/2026 – Die wesentlichen Änderungen und der konkrete Umsetzungsbedarf URL: https://www.waldvorlauternormen.com/marisk-06-2026-die-wesentlichen-anderungen-und-der-konkrete-umsetzungsbedarf/ Last updated: 2026-08-19T08:21:07.000Z Die MaRisk 06/2026 verbinden eine umfassende systematische Neuordnung mit gezielten materiellen Änderungen. Wesentlicher Handlungsbedarf entsteht insbesondere bei den individuellen Verantwortlichkeitserklärungen, der Ausrichtung des Notfallmanagements auf kritische oder wichtige Funktionen, der Abgrenzung von Auslagerungen zu DORA, den Liquiditätspuffern sowie den neuen Erleichterungen für kleine und sehr kleine Institute. Dieser Beitrag stellt die für die Umsetzung besonders relevanten Aspekte auf Grundlage der [Änderungsfassung der Bafin](https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl%5Frs%5F0626%5F9%5Fmarisk%5Fvergleichsfassung%5F8%5Fmarisk.pdf?%5F%5Fblob=publicationFile&v=2&ref=waldvorlauternormen.com) dar. Ergänzend zu diesem Beitrag haben wir einen Umsetzungsleitfaden MaRisk 06/2026 erstellt, der die Module einzeln analysiert und daraus konkrete Umsetzungsempfehlungen in Form von „Action Points“ für Richtlinien, Prozesse, Systeme und Kontrollfunktionen ableitet. ## **Proportionalität: Neue Größenklassen, aber keine pauschale Befreiung** Um das Proportionalitätsprinzip zu stärken, werden Erleichterungen für kleine und sehr kleineInstitute geschaffen. Diese betreffen Stresstests, die Überwachung von Strategie und Kapitalplanung, die Risikoberichterstattung, die Funktionstrennung und Validierung, die Compliance-Funktion, die Internen Revision und die Auslagerungssteuerung. „**Kleine Institute**“ sind „Small and Non-Complex Institutions“ (SNCI) nach [Art. 4 Abs. 1 Nr. 145 CRR](https://judict.eu/de/hla/32013R0575-X/article-4?ref=waldvorlauternormen.com) sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2\. Als „**sehr klein**“ gelten Institute und CRD-Drittstaatenzweigstellen, deren Bilanzsumme im Vierjahresdurchschnitt eine Milliarde Euro nicht überschreitet. Sie können die für kleine Institute vorgesehenen Erleichterungen auch dann in Anspruch nehmen, wenn sie die SNCI-Kriterien nicht erfüllen. Für **Factoring-Institute** gilt zusätzlich, dass das jährliche Forderungsankaufsvolumen im Vierjahresdurchschnitt fünf Milliarden Euro nicht überschreiten darf. Auch wenn die Erleichterungen in Anspruch genommen werden, ist allerdings ein wirksames Risikomanagement zu gewährleisten, was im Einzelfall bedeuten kann, den Umfang der Erleichterung wieder zu begrenzen. ## **EBA-Leitlinien: Gezielte Prüfung statt Vollabgleich** Bislang war das Nebeneinander von MaRisk und EBA-Leitlinien oft Quelle von Unsicherheiten. AT 1 stellt das Verhältnis nun klarer dar: Zusätzliche Anforderungen aus den dort genannten EBA-Leitlinien sind nur zu prüfen, soweit die MaRisk ausdrücklich auf einen bestimmten Abschnitt verweisen. Weiterverweisungen innerhalb eines solchen Abschnitts und Verweise auf Anhänge können grundsätzlich unbeachtet bleiben. Im Übrigen gelten die von der Bafin benannten Leitlinien zu Stresstests, notleidenden und gestundeten Risikopositionen, Auslagerungen, Kreditvergabe und Überwachung, interner Governance, Zinsänderungs- und Kreditspreadrisiken sowie ESG-Risiken und Umwelt-Szenarioanalysen als durch die MaRisk umgesetzt. Damit entfällt eine vollständige Parallelprüfung; die verbleibenden ausdrücklichen Verweise müssen jedoch den betroffenen Regelwerken, Prozessen und Verantwortlichkeiten zugeordnet werden. ## **Risikoinventur: Prinzipielle Wesentlichkeit der Hauptrisiken** Eine formelle Erleichterung folgt aus der grundsätzlichen Einstufung von Adressenausfall-, Marktpreis-, Liquiditäts- und operationellen Risiken als wesentlich. Für diese vier Risikoarten kann künftig eine gesondert dokumentierte Wesentlichkeitsanalyse entfallen. Für die übrigen Risiken erkennt die Bafin im Rahmen der ökonomischen Perspektive eine Wesentlichkeitsschwelle von 5 % des Risikodeckungspotenzials als angemessen an. Ein Risiko kann danach grundsätzlich als nicht wesentlich eingestuft werden, wenn sein Risikobetrag diese Schwelle nicht überschreitet. Qualitative Gesichtspunkte und die mögliche Wesentlichkeit mehrerer zusammengefasster, jeweils für sich genommen unwesentlicher Risiken bleiben unberührt. ## **ESG als Risikotreiber** ESG-Risiken werden nicht als eigene Risikoart, sondern als Risikotreiber behandelt. Ihre Auswirkungen sind bei der Wesentlichkeitsbeurteilung, der Risikoinventur, dem internen Kontrollsystem, der Strategie und der Berichterstattung zu berücksichtigen. Die Beurteilung muss plausible Szenarien, wissenschaftliche Erkenntnisse und unterschiedliche Zeithorizonte einbeziehen. Entscheidend ist, dass eine **nachvollziehbare Verbindung** zwischen ESG-Risikotreiber, betroffenem Portfolio, Risikoart, Szenario, Bewertung, Steuerungsmaßnahme und Berichterstattung geschaffen wird. ## **Aufsichtsorgan und individuelle Verantwortlichkeiten** AT 3.2 bündelt die Anforderungen an die Einbindung des Aufsichtsorgans des Instituts, also des nach Gesetz oder Satzung mit der Überwachung der Geschäftsleitung betrauten Gremiums wie dem Aufsichts- oder Verwaltungsrat. Die Geschäftsleitung muss mindestens **vierteljährlich** in Textform über Geschäftslage und Risikosituation informieren. Die Informationen müssen eine Beurteilung enthalten und auf **besondere Risiken** sowie **geplante Maßnahmen** eingehen. Wichtige Risikoinformationen sind unverzüglich weiterzuleiten. Strategien und Strategieänderungen sind dem Aufsichtsorgan zur Kenntnis zu geben und mit ihm zu erörtern. Informationen können auch an einen **Ausschuss** geleitet werden, wenn ein wirksamer Errichtungsbeschluss besteht, der Ausschussvorsitzende das gesamte Aufsichtsorgan regelmäßig informiert und jedes Mitglied Einsicht in die Ausschussunterlagen nehmen kann. Geschäftsordnungen, Ausschusszuständigkeiten, Informationsrechte und Protokollierung sollten hierauf überprüft werden. Eine besonders weitreichende Änderung enthält AT 5\. Für sämtliche Mitglieder der Geschäftsleitung sowie für die unmittelbar nachgelagerte Führungsebene einschließlich der Inhaber von Schlüsselfunktionen sind **personenspezifische Erklärungen** über Aufgaben und individuelle Verantwortlichkeiten zu erstellen. Die Zuordnung darf sich nicht in abstrakten Funktions- oder Stellenbeschreibungen erschöpfen. Erkennbar sein müssen insbesondere Entscheidungsbefugnisse, Kontrollpflichten, Berichtspflichten und Zuständigkeitsbereiche. Daneben ist eine konsistente Gesamtübersicht erforderlich, die auch die Aufgaben und Verantwortlichkeiten der Mitglieder des Aufsichtsorgans sowie Berichtslinien und Zuständigkeitsbereiche erfasst. Das Institut muss regelmäßig prüfen, ob die übertragenen Aufgaben tatsächlich wahrgenommen werden, und bei Defiziten angemessene Maßnahmen ergreifen. Eine Zuständigkeitsmatrix genügt nur, wenn sie personenspezifisch sämtliche geforderten Aufgaben, Entscheidungsbefugnisse, Kontroll- und Berichtspflichten sowie Berichtslinien abbildet. Geschäftsverteilung, Organigramm, Stellenbeschreibungen, Kompetenzordnung, Berichtslinien und individuelle Verantwortlichkeitserklärungen sind daher als zusammenhängendes System zu behandeln. ## **Strategien und Stresstests: stärkere Verzahnung, gezielte Erleichterungen und neue Langfristanforderungen** ### **Geschäftsstrategie: von der Analyse zur Steuerung** Die Strategieanforderungen werden grundlegend neu geordnet und ihre tatsächliche Steuerungswirkung in den Vordergrund gerückt. Die Geschäftsstrategie muss weiterhin auf einer zukunftsgerichteten Analyse des Geschäftsmodells beruhen. Entscheidend ist jedoch, dass wesentliche interne und externe Einflussfaktoren in **nachvollziehbare Annahmen, konkrete Ziele und umsetzbare Maßnahmen** übersetzt werden. Die strategischen Ziele müssen so bestimmt sein, dass sie in die Geschäfts- und Kapitalplanung überführt und ihre Erreichung später überprüft werden kann. Maßgeblich ist damit nicht die formale Fortschreibung eines Strategiedokuments, sondern die erkennbare Verbindung zwischen Geschäftsmodell, Planung und laufender Steuerung. ### **Risikostrategie und Risikoappetit: Konsistenz mit der operativen Steuerung** Auch die Risikostrategie wird enger mit dem operativen Risikomanagement verzahnt. Sie muss mit der Geschäftsstrategie und dem Risikoprofil des Instituts übereinstimmen. Der definierte Risikoappetit muss konsistent in die tatsächliche Steuerung aller wesentlichen Risiken übertragen werden, etwa in Form von Limiten, Risikokennzahlen, Puffern, Besicherungsanforderungen oder Vorgaben zum Ausschluss bestimmter Geschäfte. Die Neufassung verlangt insoweit keine zusätzlichen Strategiepapiere, sondern eine konsistente Verbindung von Geschäftsmodell, Risikotragfähigkeit, Risikoappetit und operativen Entscheidungen. ### **IKT- und DOR-Strategie: Integration statt Doppelstrukturen** Die MaRisk verlangen eine mit der Geschäftsstrategie konsistente und nachhaltige IKT-Strategie. Eine zusätzliche Strategie für die digitale operationale Resilienz (DOR-Strategie) ist erforderlich, wenn das Institut dem regulären IKT-Risikomanagementrahmen der DORA unterliegt. Die Einstufung als kleines oder sehr kleines Institut nach den MaRisk führt für sich genommen nicht zu einer Befreiung. Treffen beide Pflichten zusammen, können IKT- und DOR-Strategie abhängig von Größe und Gesamtrisikoprofil des Instituts in **einem Dokument** zusammengeführt werden. Auch eine Einbindung in die Geschäftsstrategie ist zulässig. Die Zusammenführung darf jedoch nicht zu inhaltlichen Lücken führen. Insbesondere müssen die strategischen Ziele für die IKT, die Umsetzung des IKT-Risikomanagementrahmens, die IKT-Risikotoleranz, die Informationssicherheitsziele, die digitale operationale Resilienz sowie die hierfür geltenden Verantwortlichkeiten und Genehmigungswege eindeutig erkennbar bleiben. Gerade kleinere Institute können auf diese Weise parallele Strategiedokumente vermeiden. Voraussetzung ist eine klare Gliederung, aus der hervorgeht, welche Inhalte die MaRisk-Anforderungen an die IKT-Strategie und welche Inhalte die DORA-Anforderungen an die DOR-Strategie erfüllen. ### **Erleichterung bei der Strategieüberwachung** Kleine Institute können unter bestimmten Voraussetzungen die Überwachung von Strategie und Kapitalplanung auf einen **jährlichen Turnus** beschränken, wenn sie zusätzlich zur aufsichtlich vorgeschriebenen und empfohlenen Kapitalausstattung einen Puffer von mindestens zwei Prozentpunkten an hartem Kernkapital vorhalten. ### **Stresstests: Vereinfachungen für kleine und sehr kleine Institute** Bei den Stresstests eröffnet die Neufassung erstmals klar umrissene Vereinfachungen für kleine und sehr kleine Institute. Sehr kleine Institute können auf eigenständige **Stresstests für einzelne Risikoarten** verzichten, wenn diese Risiken im Stresstest für das Gesamtrisikoprofil hinreichend belastet werden. Kleine Institute müssen keine inversen Stresstests durchführen; unter den genannten Voraussetzungen kann ein schwerer konjunktureller Abschwung oder ein vergleichbares Stagflationsszenario als zentrales Gesamtbankszenario ausreichen. Damit lässt sich das Stresstestprogramm straffen. Wesentliche Risiken und Risikokonzentrationen dürfen jedoch nicht ausgeblendet werden. Werden Einzeltests zusammengeführt oder aufgegeben, muss nachvollziehbar sein, dass das verbleibende Szenario das institutsindividuelle Risikoprofil weiterhin vollständig und ausreichend schwer erfasst. ### **Umweltrisiken: langfristige Resilienz des Geschäftsmodells** Zusätzlicher Handlungsbedarf entsteht bei Umweltrisiken. Wesentliche Umweltrisiken sind ausdrücklich in die Stresstests einzubeziehen. Ergänzend zu den kurzfristig ausgerichteten Stresstests sind langfristige Resilienzanalysen durchzuführen, deren Ergebnisse in die Geschäftsmodellanalyse und die Strategie einfließen müssen. Die Bafin verbindet damit die kurzfristige Widerstandsfähigkeit des Instituts mit der langfristigen Tragfähigkeit seines Geschäftsmodells. Szenarien, Zeithorizonte, Auswirkungen und strategische Folgerungen sollten deshalb in einem durchgängigen Analyse- und Entscheidungsprozess zusammengeführt werden. ## **Compliance-Funktion: mehr Spielraum bei der organisatorischen Anbindung** Die organisatorischen Anbindungsmöglichkeiten der Compliance-Funktion werden neu gefasst und um weitere Beispiele ergänzt. Sie kann bei der Risikocontrolling-Funktion oder einer anderen geeigneten Funktion angesiedelt werden, sofern sie von Markt und Handel unabhängig bleibt und über eine unmittelbare Berichtslinie zur Geschäftsleitung verfügt. Zulässige Funktionskombinationen werden breiter und konkreter beschrieben. Genannt werden unter anderem der Geldwäschebeauftragte, die IKT-Risikokontrollfunktion und der Datenschutzbeauftragte. Voraussetzung bleiben ausreichende Ressourcen, die Vermeidung von Interessenkonflikten und die Beachtung spezialgesetzlicher Vorgaben. Insbesondere dürfen die Funktionen des Geldwäschebeauftragten und des Datenschutzbeauftragten grundsätzlich nicht miteinander verbunden werden. Die **Berichterstattung** ändert sich dagegen nur geringfügig. Der Compliance-Bericht ist weiterhin mindestens jährlich sowie anlassbezogen an die Geschäftsleitung zu richten, muss Defizite und Gegenmaßnahmen enthalten und an die Interne Revision weitergegeben werden. Das Aufsichtsorgan erhält den Bericht nun über die Regelung in AT 3.2. ## **Interne Revision: gebündelte Anforderungen und geänderte Berichtssystematik** Die bislang in einem eigenen BT-Modul geregelten Anforderungen an die Interne Revision werden in AT 4.4.3 zusammengeführt. Am dreijährigen Regelturnus für die Prüfung sämtlicher Aktivitäten und Prozesse einschließlich ausgelagerter Tätigkeiten wird festgehalten. Für nicht wesentliche Prüfungsfelder wird nun ausdrücklich eine **Höchstfrist von fünf Jahren** festgelegt; besondere Risiken erfordern einen entsprechend kürzeren Turnus. Nicht in gleicher Form fortgeführt wird die allgemeine Pflicht, wesentliche Projekte revisionsbegleitend zu prüfen. Die Neufassung stellt nur noch sicher, dass das uneingeschränkte Informations- und Zugriffsrecht der Internen Revision auch dann gilt, wenn sie ein wesentliches Projekt begleitet. Ob eine Begleitung erforderlich ist, ist damit risikoorientiert zu entscheiden; besondere Beteiligungspflichten, etwa bei wesentlichen Anpassungsprozessen, bleiben unberührt. Zudem entfällt der gesonderte Jahresbericht. Der mindestens **vierteljährliche Revisionsbericht** wird dafür erweitert: Er muss neben den im Berichtsquartal durchgeführten Prüfungen und festgestellten wesentlichen Mängeln auch sämtliche noch nicht behobenen wesentlichen Mängel aus früheren Quartalen sowie eine Beurteilung der voraussichtlichen Einhaltung des Prüfungsplans enthalten. ## **Notfallmanagement: Ausrichtung auf kritische oder wichtige Funktionen** AT 7.3 richtet das Notfallmanagement neu aus. Maßgeblich sind nicht mehr „zeitkritische Aktivitäten und Prozesse“, sondern Aktivitäten und Prozesse, die kritische oder wichtige Funktionen darstellen. Institute müssen ihre bisherige Einstufung daher inhaltlich überprüfen; eine bloße Umbenennung genügt nicht. Ausgangspunkt ist eine vollständige **Übersicht** der Funktionen des Instituts. Die Auswirkungsanalyse muss erfassen, welche Folgen schwerwiegende Störungen kritischer oder wichtiger Funktionen haben können und welche Unterstützungsprozesse, IKT-Systeme, sonstigen Ressourcen und potenziellen Gefährdungen dabei zu berücksichtigen sind. Die bisher gesondert vorgesehene Risikoanalyse wird nicht fortgeführt; die Identifikation potenzieller Gefährdungen ist nun in die Auswirkungsanalyse eingebunden. Das Notfallkonzept muss darauf abgestimmte Verantwortlichkeiten, Auslösekriterien und Maßnahmen zur Fortführung oder Wiederherstellung der betroffenen Funktionen und Unterstützungsprozesse festlegen. Geschäftsfortführungs- und Wiederherstellungspläne müssen auf plausiblen Szenarien und vernünftigen Annahmen beruhen. Für kritische oder wichtige Funktionen sind Angemessenheit und Wirksamkeit des Notfallkonzepts mindestens jährlich zu überprüfen. Bei Auslagerungen müssen die Notfallkonzepte des Instituts und des Dienstleisters aufeinander abgestimmt sein. Der Umsetzungsbedarf liegt damit vor allem im Abgleich von Funktionsübersicht, Prozesslandkarte, Auswirkungsanalyse, Wiederanlaufplanung, Testkonzept und Auslagerungssteuerung. ## **Auslagerungen und DORA: klare Abgrenzung und risikoorientierte Berichterstattung** AT 9 zieht erstmals eine ausdrückliche Grenze zum DORA-Regime. IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, sind nicht mehr nach AT 9 zu behandeln. Die aufsichtsrechtlichen Anforderungen entfallen damit nicht, sondern richten sich nach DORA. Institute müssen ihre Fremdbezüge deshalb eindeutig als MaRisk-Auslagerung, sonstigen Fremdbezug oder IKT-Drittdienstleistung nach DORA einordnen. Diese Einstufung muss in Risikoanalysen, Verträgen, laufender Überwachung und Berichterstattung ebenso konsistent abgebildet sein wie im Auslagerungsregister und im DORA-Informationsregister. Abweichende Zuordnungen zwischen Fachbereichen, Auslagerungsmanagement und IKT-Drittparteienrisikomanagement bergen die Gefahr von Doppelprüfungen oder Kontrolllücken. Auch die Berichterstattung des zentralen Auslagerungsmanagements an die Geschäftsleitung wird stärker risikoorientiert. Der bisherige jährliche Mindestturnus für wesentliche Auslagerungen entfällt; künftig ist regelmäßig und anlassbezogen zu berichten. Das Institut muss daher selbst einen angemessenen **Turnus festlegen**, der insbesondere Bedeutung und Veränderung des Auslagerungsportfolios, Leistungsstörungen, Konzentrationsrisiken und wesentliche Änderungen bei Dienstleistern berücksichtigt. Die organisatorischen Anforderungen werden flexibler gefasst. Die bisherige allgemeine Pflicht, einen zentralen Auslagerungsbeauftragten zu benennen, entfällt. Künftig ist abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten ein **zentrales Auslagerungsmanagement** einzurichten. Ihm werden nun unmittelbar die Pflege der Auslagerungsdokumentation einschließlich des Auslagerungsregisters, die Unterstützung der Fachbereiche, die Koordination und Überprüfung der Risikoanalysen sowie die Berichterstattung über wesentliche Auslagerungen zugewiesen. Bestehende Auslagerungsbeauftragtenrollen können organisatorisch fortgeführt werden, sind nach den MaRisk aber nicht mehr allgemein vorgeschrieben. Unberührt bleiben besondere Beauftragtenpflichten bei der vollständigen Auslagerung besonderer Funktionen. ## **Kreditgeschäft: präzisere Entscheidungsprozesse, automatisierte Modelle und Frühwarnung** ### **Kreditvergabe und automatisierte Entscheidungen** BTO 1 macht mehrere bislang vor allem in den Erläuterungen oder über EBA-Verweise enthaltene Vorgaben verbindlicher und nimmt sie in den Anforderungstext auf. Die Verfahren zur Bestimmung des Kreditrisikos müssen insbesondere Genehmigungsstufen, Kreditvergabekriterien, Maßnahmen zur Risikominderung, den Umgang mit Abweichungen sowie Dokumentations- und Aufzeichnungspflichten regeln. Genehmigungsstufen sind mit Kreditrisikoappetit und Kreditlimiten abzustimmen. Ebenfalls unmittelbar geregelt werden Kontrollen zur Begrenzung interner und externer Betrugsrisiken und zur Überwachung verdächtigen Verhaltens. Stärker in den Vordergrund rückt auch der Einsatz **automatisierter Modelle**. Institute müssen festlegen, bei welchen Produkten, Kundensegmenten und Limiten automatisierte Entscheidungen zulässig sind. Zugleich sind Entwicklung, Einsatz, Überwachung und die damit verbundenen Modellrisiken zu regeln. Die besonderen Vorgaben des Kreditprozesses sind dabei mit den allgemeinen Modellanforderungen nach AT 4.3.4 zu verzahnen. ### **Marktfolge und Sicherheitenbewertung** Beim Zwei-Voten-Prinzip wird die Rolle der Marktfolge präzisiert. Sie muss die vom Markt vorgenommene Kreditbearbeitung und Risikobeurteilung nicht vollständig wiederholen. Ihr eigenes, marktunabhängiges Votum muss jedoch auf einer **materiellen Plausibilitätsprüfung** beruhen: Die zugrunde gelegten Annahmen und Bewertungen sind auf Nachvollziehbarkeit und die vorgeschlagene Kreditentscheidung auf Vertretbarkeit zu prüfen. Hierfür muss die Marktfolge auf alle wesentlichen Kreditunterlagen zugreifen können. Auch die Vorgaben zur Sicherheitenbewertung werden teilweise neu kalibriert. Bewertungsverfahren sind regelmäßig, bei kleinen Instituten mindestens alle zwei Jahre, zu überprüfen. Anforderungen an fortgeschrittene statistische Bewertungsmodelle, die bislang vor allem über EBA-Verweise einzubeziehen waren, werden nun im MaRisk-Text ausformuliert. Sie betreffen insbesondere Standortbezug, Genauigkeit, Rückvergleiche, repräsentative Stichproben, aktuelle Daten, ausreichende Modellkenntnisse und eine aktuelle Dokumentation. ### **Frühwarnindikatoren und Beobachtungslisten** Die bislang vor allem über EBA-Verweise einzubeziehenden Anforderungen an Frühwarnindikatoren und Beobachtungslisten werden unmittelbar in BTO 1.3.1 geregelt. Wird ein Frühwarnindikator ausgelöst, ist das betroffene Engagement zu überprüfen und bei Bedarf in eine **Beobachtungsliste** aufzunehmen. Die Geschäftsleitung ist regelmäßig über deren Stand und die ergriffenen Maßnahmen zu informieren. Zudem müssen die Indikatoren regelmäßig überprüft und an Veränderungen des Risikoumfelds und der Marktbedingungen angepasst werden. Wird das Risikoklassifizierungsverfahren zugleich zur Früherkennung eingesetzt, muss es Risiken nicht nur punktuell bewerten, sondern auch über einen bestimmten Zeitraum beobachten und einen geregelten Prozess für Folgemaßnahmen auslösen. Ein Rating- oder Scoring-Ergebnis allein genügt hierfür nicht. ### **Problemkredite und Rettungserwerbe** Für Institute mit hohem NPL-Bestand wird die bisher in den Erläuterungen enthaltene Soll-Vorgabe zu spezialisierten NPE-Abwicklungseinheiten verbindlich und in den Anforderungstext übernommen. Die Einheiten müssen der Größe, Art, Komplexität und dem Risikoprofil des Instituts entsprechen, grundsätzlich vom Kreditvergabeprozess getrennt und außerhalb des Bereichs Markt angesiedelt sein; eine Zuordnung zur Problemkreditbearbeitung bleibt möglich. Lassen sich personelle Überschneidungen mit der Kreditvergabe nicht vermeiden, müssen Interessenkonflikte vermieden werden. Bei der Ausgestaltung sind die Besonderheiten der jeweiligen NPE-Portfolios zu berücksichtigen; für deren Analyse sind spezialisierte und hinreichend qualifizierte Mitarbeiter heranzuziehen. Auch bei Immobilien aus Rettungserwerben liegt keine materielle Neuerung vor. Die bereits 2024 in den Erläuterungen enthaltene Regelung steht nun im Anforderungstext: Immobilien, die im Rahmen eines Rettungserwerbs erworben werden, gelten als Immobiliengeschäfte. Werden die Schwellen nach BTO 3 überschritten, sind die Anforderungen des BTO 3.2.2 zur Weiterbearbeitung und Überwachung zu beachten. ### **Handels- und Immobiliengeschäft: verbindlicher Audit Trail und höhere Schwellenwerte** Im Handelsgeschäft bleiben die elektronische Abwicklung und die Nutzung vorhandener Abwicklungssysteme unverändert. Neu ist vor allem die stärkere Verankerung bestehender Vorgaben im Anforderungstext: Fehlende oder unvollständige Gegenbestätigungen sind weiterhin unverzüglich zu reklamieren. Kann eine Gegenbestätigung nicht eingeholt werden, sind Existenz und Inhalt des Geschäfts auf andere geeignete Weise zu verifizieren. Bei OTC-Derivaten kann unter den genannten Voraussetzungen eine Bestätigung nach EMIR genügen. Bei komplexen Produkten wird die bisherige Soll-Vorgabe verbindlich: Die Ad-hoc-Bestätigung muss die wesentlichen Abschlussdaten enthalten. Auch die Kontrollausnahme bei automatischer, vom Händler nicht mehr beeinflussbarer Weiterleitung der Abschlussdaten wird in den Anforderungstext übernommen. Materiell verschärft wird dagegen der Audit Trail: Bestand und Veränderungen von Positionen und Zahlungsströmen müssen künftig nachvollziehbar sein; bislang war dies nur als mögliche Ausgestaltung angemessener Abstimmungsprozesse beschrieben. Im Immobiliengeschäft steigen die Schwellenwerte für die Anwendung von BTO 3 von 30 Millionen Euro und 2 % auf 40 Millionen Euro und 4 % der Bilanzsumme. Neu ist zudem die Möglichkeit, Immobilienbuchwerte gemeinschaftlich beherrschter Unternehmen und von Tochterunternehmen nach § 290 HGB anteilig anzurechnen, sofern keine Anhaltspunkte für Umgehungsgeschäfte bestehen. ### **Zinsänderungsrisiken im Anlagebuch: unmittelbare Vorgaben statt pauschaler EBA-Verweise** Die Anforderungen an Zinsänderungsrisiken im Anlagebuch werden deutlich konkreter. Zentrale Vorgaben, die bislang vor allem über Verweise auf die EBA-Leitlinien einzubeziehen waren, stehen nun unmittelbar in BTR 2.3\. Dies betrifft insbesondere den einzubeziehenden Positionsumfang, die barwertige und ergebnisbezogene Perspektive, Zinskurven und Zinsänderungsszenarien, die Behandlung von Margen sowie die Erfassung von Gap-, Basis- und Optionsrisiken. Notleidende Risikopositionen sind nach Abzug der Wertberichtigungen und unter Berücksichtigung ihrer erwarteten Zahlungsströme einzubeziehen. Gleiches gilt für unmittelbare Pensionsverpflichtungen, soweit deren Risiken nicht bereits anderweitig erfasst werden. Besonders relevant sind die konkretisierten Modellierungsvorgaben für Positionen mit unbestimmter Kapital- oder Zinsbindung. Institute müssen Veränderungen der Stabilitätsannahmen, unterschiedliche Zinsszenarien, Änderungen des wirtschaftlichen Umfelds und mögliche Wechsel zwischen Produktklassen berücksichtigen. Einlagen von Finanzkunden dürfen nur modelliert werden, wenn sie als operative Einlagen im liquiditätsaufsichtlichen Sinne einzustufen sind. Für Einlagen ohne feste Kapital- oder Zinsbindung gelten konkretisierte Modellierungsvorgaben. Einlagen von Finanzkunden dürfen nur modelliert werden, wenn sie als operative Einlagen im Sinne von [Art. 27 der Delegierten Verordnung (EU) 2015/61](https://judict.eu/de/sla/32013R0575/32015R0061-X/article-27?ref=waldvorlauternormen.com) einzustufen sind. Nicht operative Anlage- oder Überschussliquidität ist ausgeschlossen. Für operative Einlagen von Finanzkunden und für Einlagen von Nicht-Finanzkunden darf die angenommene gewichtete durchschnittliche Zinsbindung höchstens fünf Jahre betragen. Die Grenze gilt für das aggregierte Portfolio und gesondert für jede Währung. Der Anpassungsbedarf betrifft damit vor allem die Abgrenzung des Positionsbestands, die Modellannahmen, die Produkt- und Währungssegmentierung sowie die zugehörige Methodik- und Modelldokumentation. ### **Kreditspreadrisiken im Anlagebuch: Positionsumfang und Methoden werden konkretisiert** BTR 5 ersetzt den bisherigen pauschalen Verweis auf die EBA-Leitlinien durch unmittelbar formulierte Vorgaben. Zum beizulegenden Zeitwert bewertete Positionen der Aktivseite sind einzubeziehen, notleidende Risikopositionen dagegen auszunehmen. Ein Ausschluss allein wegen Handelbarkeit oder Haltedauer ist nicht zulässig. Vereinfachte Entscheidungen über die Nichtberücksichtigung bleiben insbesondere bei Krediten ohne Kreditspreadrisikosensitivität, Einlagen und bestimmten Derivaten möglich, müssen sich aber aus der tatsächlichen Risikosensitivität ergeben und nachvollziehbar dokumentiert werden. Bei kleinen Handelsbüchern nach [Art. 94 CRR](https://judict.eu/de/hla/32013R0575-X/article-94?ref=waldvorlauternormen.com) sind Handels- und Anlagebuch integriert zu betrachten, sofern das Kreditspreadrisiko des Handelsbuchs nicht bereits anderweitig erfasst wird. Schuldner- oder instrumentspezifische Risikokomponenten dürfen nur konservativ und nachvollziehbar begründet einbezogen werden. Interne Risikotransfers müssen künftig nicht nur dokumentiert werden, sondern auch mit den risikopolitischen Vorgaben des Instituts im Einklang stehen. ### **Liquiditätsrisiken: Einmonats-Puffer gilt künftig für alle Institute** BTR 3 wird vollständig neu geordnet: Die bisherigen Sonderanforderungen für kapitalmarktorientierte Institute gehen in einem einheitlichen Regelungsrahmen auf. Die wichtigste Änderung betrifft die **Liquiditätspuffer**: Alle Institute müssen den im Stresstest ermittelten Liquiditätsbedarf über einen am Risikoappetit ausgerichteten Zeitraum von mindestens einem Monat abdecken. Der Puffer muss tatsächlich nutzbar sein; rechtliche, regulatorische, technische oder operationelle Hindernisse dürfen seiner Verwertung nicht entgegenstehen. Zahlreiche Detailvorgaben zur Zusammensetzung und Staffelung der Puffer entfallen. Dies erlaubt eine stärker institutsindividuelle Ausgestaltung, nicht aber einen ungeprüften Abbau bestehender Kontrollen. Die Kosten der Liquiditätspuffer sind im internen Verrechnungssystem zu berücksichtigen. Kleine Institute müssen nur das regelmäßig schwerwiegendste Liquiditätsstressszenario untersuchen. Der Refinanzierungsplan ist künftig zwingend für einen mehrjährigen Zeitraum aufzustellen. ### **Operationelle Risiken: Straffung und verbindliche Aggregation zusammengehöriger Schadensfälle** BTR 4 wird deutlich gestrafft. Entfallen sind vor allem die ausführlichen Definitionen von Boundary Events und Beinaheverlusten, die besondere Vorgabe einer Ereignisdatenbank für größere Institute, der Katalog der für potenzielle Ereignisse heranzuziehenden Erkenntnisquellen und die ausdrückliche Pflicht zur Überwachung beschlossener Maßnahmen. In der Erläuterung zum Umgang mit Schadensfällen mit Markt- oder Kreditrisikobezug, Beinaheverlusten und zusammenhängenden Ereignissen wird die bisherige Soll-Formulierung durch eine Muss-Formulierung ersetzt. Neu im Anforderungstext ist die Pflicht, einzeln erfasste Schadensfälle, die demselben Ereignis zugeordnet werden können, zusammengefasst weiterzuverarbeiten. Bestehende Ereignisdatenbanken und Ursachenanalysen sollten trotz des Wegfalls der besonderen Detailvorgaben beibehalten werden, soweit sie für eine vollständige Beurteilung und wirksame Steuerung der operationellen Risiken erforderlich sind. ### **Risikoberichterstattung: mehr Spielraum bei Turnus und Berichtsinhalten** Das bisherige BT 3 wird als BT 2 fortgeführt. Der mindestens vierteljährliche Gesamtrisikobericht bleibt bestehen. Für kleine Institute werden jedoch ausdrückliche Erleichterungen eingeführt: Bei unveränderten Sachverhalten kann auf frühere Berichte verwiesen werden, bei stabilen Risiken kann die unterjährige Berichterstattung entfallen und Stresstests dürfen rollierend aktualisiert werden. Zugleich werden die **Mindestinhalte der Berichte** über Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken gestrafft. Der monatliche Mindestturnus für die Liquiditätsrisikoberichte bedeutender oder kapitalmarktorientierter Institute entfällt. Über weitere wesentliche Risiken ist nicht mehr zwingend vierteljährlich, sondern regelmäßig zu berichten. Die Institute müssen Turnus und Detailtiefe daher stärker am jeweiligen Risiko ausrichten. Bisherige Inhalte sollten nur entfallen, wenn sie für die Beurteilung und Steuerung der Risikolage tatsächlich nicht wesentlich sind. ## **Fazit** Die MaRisk 06/2026 erfordern vor allem Anpassungen bei der Zuordnung individueller Verantwortlichkeiten, der Einstufung kritischer oder wichtiger Funktionen, der Abgrenzung von Auslagerungen zu DORA und der Steuerung von Liquiditätsrisiken. Hinzu kommen konkretere Vorgaben für automatisierte Kreditentscheidungen, Frühwarnverfahren, NPE-Abwicklungseinheiten, Zinsänderungs- und Kreditspreadrisiken sowie die Nachvollziehbarkeit von Positionen und Zahlungsströmen im Handelsgeschäft. Kleine und sehr kleine Institute können die ausdrücklich vorgesehenen Erleichterungen insbesondere bei Stresstests, Validierung, Risikoberichterstattung und Kontrollfunktionen nutzen, sofern die jeweiligen Voraussetzungen erfüllt sind. Berichtsturnusse und Berichtsinhalte sind an die Neufassung anzupassen; bestehende Informationen sollten nur entfallen, wenn sie für Risikoprofil und Steuerung nicht wesentlich sind. Bei bloßen Verlagerungen oder Straffungen genügen regelmäßig die Anpassung interner Verweise und die Prüfung, ob die bestehenden Verfahren weiterhin angemessen und wirksam sind. 👉 Hier gehts zum [Umsetzungsleitfaden](https://www.waldvorlauternormen.com/umsetzungsleitfaden-marisk-06-2026-ba-anderungen-und-handlungsbedarf/) ### Impact der AMLR im Versicherungssektor: Ongoing Monitoring als gruppenweite Pflicht? URL: https://www.waldvorlauternormen.com/impact-der-amlr-im-versicherungssektor-ongoing-monitoring-als-gruppenweite-pflicht/ Last updated: 2026-07-17T07:30:51.000Z Der Beitrag ist Teil der Reihe AMLR für Versicherungsunternehmen. Weitere Beiträge der Reihe finden Sie [hier](https://www.waldvorlauternormen.com/tag/amlr-versicherer-2/). --- *Der Beitrag gibt ausschließlich die persönliche Meinung der Autoren wieder.* --- Neue Pflichten zur kontinuierliche Überwachung der Geschäftsbeziehung? Versteckte gruppenweite Pflichten? Geldwäscherechtliche Pflichten auch für nicht geldwäscherechtlich verpflichtete Gruppenunternehmen? Art. 26 Abs. 1 UAbs. 3 AMLR stellt die etablierten Regeln der gruppenweiten Pflichten auf den Kopf. ## **Hintergrund und Relevanz in Versicherungskonzernstrukturen** Die Pflicht zur kontinuierlichen Überwachung von Geschäftsbeziehung, inklusive Transaktionsmonitoring und Kundendatenaktualisierung ist heute in § 10 Abs. 1 Nr. 5 GwG verankert und ergibt sich in Zukunft aus den Bestimmungen des Art. 26 AMLR. Im Zusammenspiel mit den (bislang im Entwurf konsultierten) [AMLA-Leitlinien zur kontinuierlichen Geschäftsbeziehungsüberwachung](https://www.amla.europa.eu/policy/public-consultations/consultation-draft-guidelines-ongoing-monitoring-business-relationship%5Fen?ref=waldvorlauternormen.com) bleibt auch in Zukunft viel Bekanntes erhalten. Einzelne Punkte ändern sich aber radikal (unsere detaillierte Analyse finden Sie [hier](https://www.waldvorlauternormen.com/kontinuierliche-uberwachung-der-geschaftsbeziehung-unter-der-amlr-neue-standards-erkennbare-offenheit-fur-technologie-und-der-jungste-amla-leitlinien-entwurf/)). Besonders eine Einzelregelung sticht heraus: Nach Art. 26 Abs. 1 UAbs. 3 AMLR müssen Verpflichtete innerhalb von Unternehmensgruppen, in denen ein Kunde mit mehreren gruppenangehörigen Unternehmen Geschäftsbeziehungen unterhält (sog. *Multiproduktkunde*), die Informationen über die verschiedenen Geschäftsbeziehungen ganzheitlich für die Zwecke der Überwachung der Geschäftsbeziehung berücksichtigen. Das gilt – und das ist die zentral – „*unabhängig davon ob es sich \[bei den anderen Unternehmen\] um Verpflichtete oder Unternehmen handelt, die nicht den Anforderungen zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung unterliegen*“. Durch die Regelung des Art. 26 Abs. 1 UAbs. 3 AMLR werden also auch nicht geldwäscherechtlich verpflichtete Unternehmen (sog. *Nicht-Verpflichtete*) in Gruppenstrukturen zu geldwäscherechtlich eingebundenen Daten- und Informationslieferanten. Für in Gruppenstrukturen organisierte Versicherungsunternehmen ist die Regelung des Art. 26 Abs. 1 UAbs. 3 AMLR unmittelbar relevant. Das Spartentrennungsgebot (§ 8 Abs. 4 S. 2 VAG) bringt es mit sich, dass innerhalb von Holding- bzw. Gruppenstrukturen die einzelnen Spartenunternehmen rechtlich selbstständig nebeneinanderstehen. Die produktbezogene Verpflichtetenstellung führt wiederum dazu, dass Lebensversicherer umfassend, Nichtlebensversicherer keinen oder nur partiellen geldwäscherechtlichen Pflichten unterliegen (quantitativ vor allem im Darlehensgeschäft). Blickt man aus dieser Perspektive auf die Regelung des Art. 26 Abs. 1 UAbs. 3 AMLR, kann das z.B. bedeuten, dass Lebensversicherungsunternehmen im Rahmen der kontinuierlichen Überwachung auch Informationen zu solchen Kunden berücksichtigen sollen, die bei anderen, nicht verpflichteten gruppenangehörigen Unternehmen (z.B. einem Kranken- oder Kompositversicherer) zu demselben Kunden vorliegen. Hinzu kommt eine Besonderheit, die den Versicherungssektor von Kredit- und Zahlungsinstituten fundamental unterscheidet: Versicherer denken und organisieren sich historisch vom Produkt her, nicht vom Kunden. Bestandsführungssysteme sind je Sparte gewachsen, derselbe Kunde existiert in einer Versicherungsgruppe regelmäßig mehrfach – als Datensatz des Lebensversicherers, des Krankenversicherers, des Kompositversicherers –, ohne dass diese Datensätze technisch oder fachlich miteinander verknüpft wären. Eine „ganzheitliche Berücksichtigung“ der Informationen über verschiedene Geschäftsbeziehungen, wie Art. 26 Abs. 1 UAbs. 3 AMLR sie verlangt, setzt eine gruppenweite Kundensicht voraus, die es in weiten Teilen der Branche schlicht nicht gibt. Während Banken ein bestehendes, kontenbasiertes Transaktionsmonitoring auf Gruppenebene erweitern, muss die Versicherungswirtschaft die zugrunde liegende Fähigkeit erst aufbauen. ## **Geldwäscherechtliche Einordnung und Verhältnis zum gruppenweiten Informationsaustausch** Eine entsprechende Vorgabe gibt es unter dem GwG bislang nicht. Art. 26 Abs. 1 UAbs. 3 AMLR ist eigentlich als Teilregelung der Vorgaben zur kontinuierlichen Geschäftsbeziehungsüberwachung konzipiert. In der Sache handelt es sich dabei aber um eine Spezifizierung der gruppenweiten Pflichten, die eigentlich in Art. 16 und Art. 17 AMLR geregelt sind. Zu diesen Regelungen setzt sich Art. 26 Abs. 1 UAbs. 3 AMLR mit seiner Bezugnahme auf Nicht-Verpflichtete in erkennbaren Widerspruch: Um die Anwendungsreichweite von gruppenweiten Pflichten zu bestimmten, wird typischerweise der sog. Geldwäsche-Konsolidierungskreis gebildet, dem alle gruppenangehörigen Unternehmen unterfallen, die einerseits aufgrund der aufsichts- und gesellschaftsrechtlichen Konsolidierung als Tochterunternehmen der übergeordnete Muttergesellschaft gelten UND andererseits gleichzeitig geldwäscherechtliche Verpflichtete sind. Das gilt bislang (vgl. § 9 Abs. 1 S. 1 GwG „*für alle \[…\] gruppenangehörigen Unternehmen \[…\], die geldwäscherechtlichen Pflichten unterliegen*“) und im Grundsatz auch künftig unter der AMLR (vgl. Art. 16 Abs. 1 S. 3 AMLR: „*Verpflichtete innerhalb der Gruppe setzen diese gruppenweiten Strategien, Verfahren und Kontrollen um*“). Das heißt im Umkehrschluss auch: Nicht-Verpflichtete haben die gruppenweiten Strategien, Verfahren und Kontrollen nicht umzusetzen. Das wäre auch kaum sinnvoll, schließlich sind sie deshalb Nicht-Verpflichtete, da für sie grundsätzlich keine Geldwäsche- und Terrorismusfinanzierungsrisiken bestehen – dementsprechend bedarf es auch keiner Umsetzung gruppenweit beschlossener Strategien, Verfahren und Kontrollen um diese Nicht-Risiken zu mitigieren. Etwas anderes ergibt sich künftig auch nicht aus Art. 16 AMLR. Der Informationsaustausch innerhalb der Gruppe wird ausdrücklich in Art. 16 Abs. 3 AML geregelt. Danach gilt: - Verpflichtete Einheiten sind zum Informationsaustausch innerhalb der Gruppe verpflichten, wenn dies für die Zwecke der Sorgfaltsprüfung gegenüber Kunden und das Management von Geldwäsche- und Terrorismusfinanzierungsrisiken relevant ist (Art. 16 Abs. 3 UAbs. 1 S. 1 AMLR). 💡 Nicht-Verpflichtete werden hier nicht adressiert - Nicht-Verpflichtete dürfen nicht daran gehindert werden, den Verpflichteten derselben Gruppe Informationen zur Verfügung zu stellen, wenn ein solcher Austausch für diese Verpflichteten relevant ist, um die in dieser Verordnung festgelegten Anforderungen zu erfüllen (Art. 16 Abs. 3 UAbs. 2 AMLR). 💡 Das klingt nach einem sinnvollen, aber offensichtlich freiwilligen Informationsfluss von den Nicht-Verpflichteten zu den verpflichteten Einheiten. Art. 26 Abs. 1 UAbs. 3 AMLR formuliert dagegen strenger und als ausdrückliche Pflicht der verpflichteten Einheiten („**so berücksichtigen sie Informationen \[…\]“ / „they shall take into account information \[…\]*“). Der gruppenweite Informationsaustausch nach Art. 16 Abs. 3 AMLR wird wiederum durch Art. 4 der einschlägigen AMLA-RTS konkretisiert ([Draft Regulatory Technical Standards on group-wide requirements under article 16(4) AMLR](https://www.amla.europa.eu/document/download/4ee33b25-2f03-4ed1-938b-a4ca36714d55%5Fen?filename=Consultation%20paper%20RTS%20under%20Articles%2016%284%29%20and%2017%20of%20Regulation%20EU%202024162.pdf&ref=waldvorlauternormen.com) – bislang im Entwurf zur Konsultation gestellt). Art. 4 der Draft-AMLA-RTS beschreibt zwar, welche Mindestinformationen gruppenintern geteilt werden sollen, adressiert Nicht-Verpflichtete aber mit keinem Wort. 💡 Erhellend ist vielmehr, dass es sich bei den allermeisten gruppenintern zu teilenden Mindestinformationen um Identifizierungsdaten und Angaben zu den Eigentums- und Kontrollstrukturen, den wirtschaftlich Berechtigte und der Sanktionsbetroffenheit des Kunden und des wirtschaftlich Berechtigten handelt – also um Informationen, die Nicht-Verpflichtete gerade nicht in dieser Tiefe erheben. Stellt man die Regelung des Art. 26 Abs. 1 UAbs. 3 AMLR den Vorgaben über den gruppenweiten Informationsaustausch nach Art. 16 Abs. 3 AMLR und Art. 4 der Draft-AMLA-RTS gegenüber, wird klar, dass der eigentlich eigenständige Regelungsgehalt des Art. 26 Abs. 1 UAbs. 3 AMLR darin liegt, auch die Nicht-Verpflichteten in den gruppenweiten Informationsfluss einzubinden. Das geschieht (bewusst?) versteckt innerhalb der Regelungen zur kontinuierlichen Überwachung, lässt sich nämlich mit den eigentlichen Grundsätzen an die gruppenweiten Pflichten nicht unter einen Hut bringen. ## **Mehraufwand garantiert, Mehrwert überschaubar** Die Regelung des Art. 26 Abs. 1 UAbs. 3 AMLR bedeutet organisatorischen Mehraufwand, der kaum im Verhältnis zu seinem überschaubaren Mehrwert stehen dürfte. ### **Umsetzung als Teil der gruppenweiten Pflichten** Aus der Vorgabe des Art. 26 Abs. 1 UAbs. 3 AMLR ergibt sich sowohl für Mutterunternehmen als auch für ihre gruppenangehörigen Tochtergesellschaften erheblicher Anpassungsbedarf. Im Ergebnis müssen Daten erhoben werden, wollen Datenflüsse organisiert und konzeptualisiert sein und müssen technische, rechtliche und gruppenorganisatorische Vorkehrungen zur Wahrung von Vertraulichkeit, Datenschutz und Datenverwendungsgrundsätzen geschaffen werden. Die bestehenden gruppenweiten Regelungen zum Informationsaustausch müssen für den spezifischen Zweck der kontinuierlichen Überwachung erweitert werden. Für die Perspektive der einzelnen verpflichteten Einheiten muss gewährleistet sein, dass die aus dem gruppenweiten Informationsaustausch gewonnenen Erkenntnisse in die jeweils eigenen Überwachungsprozesse einfließen. Die nicht verpflichteten Einheiten müssen wiederum dazu gebracht werden, relevante Informationen zu einzelnen Mehrproduktkunden zur Verfügung zu stellen. 💡 Im Ergebnis wird auch dieser spezifische Informationsfluss als Teil der gruppenweiten Verfahren gestaltet werden müssen. ### **Überschaubarer Mehrwert** Bei der Aktualisierung der Kundendaten sind die von Nicht-Verpflichteten zugelieferten Informationen wenig hilfreich. Die Regelung verfolgt eher das Ziel, ein detailliertes Kunden-Profiling zu ermöglichen. Aus der Perspektive von Transparenzgarantie und Anonymitätsvermeidung ist das ein nachvollziehbarer Ansatz. Die von Nicht-Verpflichteten zugelieferten Daten enthalten aber kaum jemals relevanten Risikobezug. Das sei am Beispiel eines Multiproduktkunden verbildlicht, der bei zwei Versicherern derselben Gruppe sowohl Versicherungsnehmer und Begünstigter eines Lebensversicherungsvertrages als auch Versicherungsnehmer einer Kfz-Haftpflicht- und/oder Kaskoversicherung ist. Während der Lebensversicherer die geldwäscherelevanten Identifikationsdaten erhoben und verifiziert hat, hat der Kompositversicherer u.a. die geschätzte Fahrstrecke pro Jahr, die regelmäßige nächtliche Parksituation, den Zeitpunkt des Führerscheinerwerbs, etwaige Vorversicherungen, Schadenfreiheitsrabatte, zurückliegende Schadenfälle und bestehende Punkte in Flensburg abgefragt. 💡 Solche Datenpunkte sind relevant für die auf die Deckung bezogene produktspezifische Kalkulation, lassen aber keinerlei Rückschluss auf die Risiken in Zusammenhang mit Geldwäsche und Terrorismusfinanzierung zu. Die Identifikationsdaten (insbesondere Name, Geburtsortdatum und Wohnanschrift) werden dem Kompositversicherer als reine „Vertragsdaten“ auch vorliegen. Im Gegensatz zum Lebensversicherer hat er diese Daten aber nicht nach geldwäscherechtlichem Maßstab identifiziert. 💡 Es fragt sich, welchen Mehrwert der Austausch solcher nicht verifizierter Identifikationsdaten bieten kann. Relevante Daten können nur solche sein, die Aussagekraft über Risiken in Zusammenhang mit Geldwäsche und Terrorismusfinanzierung haben. Das können (sofern durch den Nicht-Verpflichteten überhaupt erhoben) solche Informationen sein, die in Richtung „Finanzdaten“ gehen; im Beispiel des Kfz-Versicherers also z.B. die Frage, ob das betroffene Fahrzeug eigen- oder kreditfinanziert bzw. ein Leasingfahrzeug ist oder in welcher Höhe und in welchem Turnus (monatlich, quartalsweise, jährlich) entsprechende Prämien gezahlt werden. 💡 Mit solchen Daten lässt sich ein Kundenprofil zwar rudimentär schärfen, ihr konkreter Aussagegehalt für die Bestimmung von Geldwäsche- und Terrorismusfinanzierungsrisiken bleibt aber fraglich. Dass es nicht darum gehen kann, beliebige Kundeninformationen auszutauschen, sondern dass es dabei stets und allein um solche Daten gehen muss, die Auswirkungen auf die Risikobewertung des Kunden haben, zeigt erneut ein Blick auf die Bestimmungen zum gruppeninternen Informationsaustauch nach Art. 16 Abs. 3 AMLR und Art. 4 [Draft-AMLA-RTS](https://www.amla.europa.eu/document/download/4ee33b25-2f03-4ed1-938b-a4ca36714d55%5Fen?filename=Consultation%20paper%20RTS%20under%20Articles%2016%284%29%20and%2017%20of%20Regulation%20EU%202024162.pdf&ref=waldvorlauternormen.com): 💡 Die allermeisten gruppenintern zu teilenden Mindestinformationen sind geldwäscherechtliche KYC-Daten, Transaktionsdaten, geldwäscherechtliche Risikobewertungsdaten und Informationen zu Auffälligkeiten und Verdachtsmeldungen – also Informationen, die Nicht-Verpflichtete gerade nicht vorliegen bzw. nicht in dieser Tiefe erheben. ### **Strukturelle Umsetzungshürden in der Versicherungswirtschaft** Die kontinuierliche Kunden- und Transaktionsüberwachung der AMLR trifft in der Versicherungswirtschaft auf ein Geschäftsmodell, für das sie nicht entworfen wurde. Fünf Punkte, an denen die AMLA nachschärfen müsste — nach Schweregrad geordnet. Fünf strukturelle Umsetzungshürden der AMLR in der Versicherungswirtschaft Übersicht von fünf Hürden der laufenden Kunden- und Transaktionsüberwachung nach der AMLR, geordnet nach Schweregrad von geschäftsmodellbedingt bis Frist nicht haltbar, jeweils mit Rahmendaten und Forderung an die AMLA. AMLR · VERSICHERUNGSWIRTSCHAFT Fünf strukturelle Umsetzungshürden Laufende Überwachung nach der AMLR — geordnet nach Schweregrad 1 GESCHÄFTSMODELLBEDINGT Keine Erfahrung mit laufender Überwachung → Was soll im geschlossenen Zahlungskreislauf überwacht werden? Lastschrifteinzug · feste Referenzkonten · kein Bargeld, kein Durchleitungsverkehr 2 LÖSUNGSANSATZ Anlassbezogene Prüfung bei Fälligkeit → Als gleichwertige Erfüllung der laufenden Überwachung anerkennen. Ansatzpunkt: Auszahlung — dort, wo das Risiko real wird 3 AUSLEGUNGSBEDÜRFTIG „Weiche“ Legitimation blockiert Matching → Nur unter Vorbehalt des technisch Möglichen und Verhältnismäßigen. Art. 26 Abs. 1 UAbs. 3 AMLR · kein verifiziertes Geburtsdatum, kein eindeutiges Merkmal 4 KRITISCH Unterrichtung über „Auffälligkeiten“ ohne Maßstab → Ohne Kriterien bleibt die Pflicht ein Programmsatz ohne Inhalt. Nicht-Verpflichtete · keine Typologiepapiere, keine FATF-Analysen, keine Kasuistik 5 FRIST NICHT HALTBAR Umsetzungsfrist für den Neuaufbau zu kurz → Minimalmodell zum Stichtag; Übergangsregelungen erforderlich. Datenmodelle, Schnittstellen, Rechtsgrundlagen, Prozesse — parallel zu allen übrigen Pflichten GELTUNG AMLR Juli 2027 ZEIT NACH FINALISIERUNG ≈ 6 Monate STATUS LEITLINIEN / RTS in Konsultation **Hürde 1: Keine Erfahrung mit laufender Kunden- und Transaktionsüberwachung** In der Versicherungswirtschaft gibt es wenig bis keine Erfahrung im Aufbau und in der Strukturierung einer laufenden Überwachung von Kunden und den mit ihnen in Verbindung stehenden Transaktionsströmen. Das ist kein Versäumnis, sondern Folge des Geschäftsmodells: Der Zahlungsverkehr eines Versicherers ist – anders als der einer Bank – strukturell geschlossen. Prämien werden ganz überwiegend im Lastschriftverfahren vom Konto des Versicherungsnehmers eingezogen; Leistungen werden an zuvor benannte Referenzkonten des Kunden ausgezahlt. Es gibt keine frei disponierbaren Konten, keine Bareinzahlungen, keinen Durchleitungsverkehr an Dritte. Ein Transaktionsmonitoring nach bankfachlichem Vorbild liefe in diesem geschlossenen Kreislauf weitgehend ins Leere – was zugleich die Frage aufwirft, was die AMLA hier eigentlich überwacht sehen will. **Hürde 2: Die gelebte Praxis setzt anlassbezogen an – und zwar am richtigen Punkt** Die Branche hat den risikoorientierten Ansatzpunkt längst gefunden: Bei Fälligkeit der Versicherung – also im Moment des tatsächlichen Mittelabflusses – werden fehlende Kundendaten nachgeholt und der Versicherungsnehmer bzw. der Begünstigte erneut oder erstmals identifiziert. Genau dort, wo das Geldwäscherisiko im Versicherungsprodukt real wird (der Auszahlung), greift die Sorgfalt. Eine permanente, ereignisunabhängige Überwachung statischer Bestandsverhältnisse über Jahrzehnte laufender Verträge hinweg fügt dem keinen erkennbaren Erkenntnisgewinn hinzu. Es wäre wünschenswert, wenn die AMLA diese anlassbezogene Systematik als gleichwertige Erfüllung der kontinuierlichen Überwachung ausdrücklich anerkennt. **Hürde 3: „Weiche“ Legitimation verhindert die Datenzusammenführung bereits technisch** Die von Art. 26 Abs. 1 UAbs. 3 AMLR vorausgesetzte Zusammenführung von Kundeninformationen über Gruppenunternehmen hinweg scheitert in der Praxis bereits an der Datenqualität. Versicherungsnehmer im Komposit- und Krankenversicherungsgeschäft sind regelmäßig nur „weich“ legitimiert: Name und Anschrift als selbstauskunftsbasierte Vertragsdaten, ohne verifiziertes Geburtsdatum, ohne Ausweisdaten, ohne eindeutiges Identifizierungsmerkmal. Ein verlässlicher Abgleich oder gar eine Zusammenführung mit den geldwäscherechtlich verifizierten Daten des Lebensversicherers ist damit technisch nicht eindeutig möglich. Jedes Matching wäre probabilistisch – mit der doppelten Konsequenz massenhafter False Positives (Namensgleichheit) und übersehener echter Multiproduktkunden (abweichende Schreibweisen, Umzüge, Namensänderungen). Eine Pflicht, deren Erfüllung an fehlenden Match-Kriterien scheitert, kann sinnvoll nur so gelesen werden, dass sie unter dem Vorbehalt des technisch Möglichen und Verhältnismäßigen steht. **Hürde 4: Unterrichtung über „Auffälligkeiten“ ohne Maßstab – gerade global** Die zweite große Herausforderung – und in international aufgestellten Gruppen die größte – ist die gruppeninterne Unterrichtung über Auffälligkeiten. Bei Nicht-Verpflichteten fehlt jede fachliche Grundlage dafür: Was eine geldwäscherechtliche Auffälligkeit im Kranken- oder Kompositgeschäft überhaupt sein soll, ist schlicht unbekannt – und zwar nicht aus Nachlässigkeit, sondern weil es hierzu keinerlei Typologiepapiere, keine FATF-Analysen und keine aufsichtliche Kasuistik gibt, wie ein Geldwäscherisiko außerhalb der bislang regulierten Klaviatur von Überwachungspflichten überhaupt entstehen und erkannt werden sollte. Ohne Kriterien droht eines von zwei Fehlbildern: Entweder melden Nicht-Verpflichtete gar nichts (weil sie nichts als auffällig erkennen können) oder sie melden unspezifisch alles (und fluten die verpflichteten Einheiten mit risikolosem Rauschen). Beides diskreditiert den Regelungszweck. Solange die AMLA keine Prämissen formuliert, was außerhalb des Verpflichtetenkreises inhaltlich überwacht und berichtet werden soll, bleibt die Pflicht ein Programmsatz ohne operationalisierbaren Inhalt. **Hürde 5: Die Umsetzungsfrist ist nicht zu halten** Schließlich die Frist: Bis zur Geltung der AMLR verbleibt voraussichtlich nach der Finalisierung knapp ein halbes Jahr. In dieser Zeit müssten gruppenweite Datenmodelle und Match-Logiken konzipiert, spartenübergreifende Schnittstellen zwischen historisch getrennten Bestandsführungssystemen geschaffen, datenschutz- und gesellschaftsrechtliche Grundlagen für den Informationsfluss von Nicht-Verpflichteten gelegt sowie Prozesse, Formulare und Kundenkommunikation angepasst werden – und das parallel zur Umsetzung aller übrigen AMLR-Pflichten und bei laufender Konsultation der maßgeblichen Leitlinien und RTS, deren finaler Inhalt heute niemand kennt. Diese Frist ist für den hier beschriebenen Neuaufbau schlicht nicht zu schaffen. Realistisch ist allenfalls ein risikobasiert priorisiertes Minimalmodell zum Stichtag; für die gruppenweite Einbindung der Nicht-Verpflichteten bedarf es angemessener Übergangsregelungen. ## **Nicht-Verpflichtete werden nicht durch die Hintertür zu geldwäscherechtlich verpflichteten Unternehmen** So unglücklich die Regelung des Art. 26 Abs. 1 UAbs. 3 AMLR auch ist, sie bedeutet nicht, dass Nicht-Verpflichtete durch ihre Gruppenzugehörigkeit zu „Quasi-Verpflichteten“ werden. Es bleibt auch weiterhin bei der produktbezogenen Verpflichtetenstellung. Die geldwäscherechtlichen Identifizierungspflichten gelten nur, sofern Lebensversicherungstätigkeiten oder andere Versicherungstätigkeiten mit Anlagezweck ausgeübt, also z.B. Lebensversicherungsprodukte angeboten und abgeschlossen werden. 💡 Der Komposit- oder Krankenversicherer wird durch Art. 26 Abs. 1 UAbs. 3 AMLR nicht mittelbar dazu verpflichtet, selbst eigene geldwäscherechtliche Pflichten zu erfüllen. Wenn auch die beim Nicht-Verpflichteten vorhandenen Kundendaten wenig geldwäscherechtliche Aussagekraft besitzen, bedeutet dies nicht, dass hieraus eine Pflicht zur Erhebung aussagekräftigerer Daten oder gar die Pflicht zur geldwäscherechtlichen Datenverifizierung entsteht. Entsprechend sehen auch die Vorgaben zum gruppenweiten Informationsaustausch vor, dass Kundendaten nur an verpflichtete Unternehmen zu liefern sind, nicht aber andersherum an die Nicht-Verpflichteten (Art. 4 Abs. 2 [AMLA-Draft-RTS](https://www.amla.europa.eu/document/download/4ee33b25-2f03-4ed1-938b-a4ca36714d55%5Fen?filename=Consultation%20paper%20RTS%20under%20Articles%2016%284%29%20and%2017%20of%20Regulation%20EU%202024162.pdf&ref=waldvorlauternormen.com): „*Information shall be provided within the group to any obliged entity*“). Gerade weil Nicht-Verpflichtete keine Quasi-Verpflichteten werden, kann von ihnen auch keine eigene geldwäscherechtliche Bewertungsleistung verlangt werden. Wer keine Pflicht zur Risikoerkennung hat, dem fehlen Schulung, Typologien und Maßstab, um „relevante“ Informationen von irrelevanten zu unterscheiden. Die Verantwortung für die Selektion und Bewertung muss deshalb vollständig bei der verpflichteten Einheit bzw. der Gruppenfunktion liegen; von den Nicht-Verpflichteten kann strukturell nur die Bereitstellung weniger, vorab abschließend definierter Datenpunkte verlangt werden. ## **Fazit** Die Regelung des Art. 26 Abs. 1 UAbs. 3 AMLR bringt garantierten Aufwand und fragwürdigen Nutzen. Sie bricht mit dem Prinzip, gruppenweite Pflichten nur auf geldwäscherechtlich verpflichtete Unternehmen anzuwenden und setzt vielmehr voraus, dass auch Nicht-Verpflichtete gruppenintern zu Datenlieferanten werden. Dies fügt sich auch nicht ohne Weiteres in die sonstigen Vorschriften zu den gruppenweiten Verfahren ein, führt aber zu dem paradoxen Ergebnis, dass die Vorgaben des Art. 26 Abs. 1 UAbs. 3 AMLR als Teil der gruppenweiten Verfahren ausgestaltet werden müssen. Mögliche Effektivität kann dadurch geschaffen werden, dass die Lieferung von Kundendaten durch die Nicht-Verpflichteten von vorneherein auf ganz wenige, tatsächlich risikorelevante Datenpunkte beschränkt wird. Anders gesprochen: Es spielt unter den Gesichtspunkten der Geldwäsche- und Terrorismusfinanzierungsrisiken keine Rolle, ob der gruppenangehörige Kfz-Versicherer von einem Multiproduktkunden weiß, wie viele Punkte er in Flensburg hat, wie viele Kilometer er mit dem versicherten Fahrzeug fährt oder wo er nachts regelmäßig parkt. Den Austausch solcher daten kann auch Art. 26 Abs. 1 UAbs. 3 AMLR nicht verlangen. Für die laufende Konsultation ergeben sich daraus vier konkrete Forderungen an die AMLA: *Erstens* die Klarstellung, dass Art. 26 Abs. 1 UAbs. 3 AMLR ausschließlich risikorelevante Informationen erfasst und die Datenlieferung der Nicht-Verpflichteten auf einen abschließenden, eng gefassten Katalog von Datenpunkten beschränkt werden darf. *Zweitens* die Formulierung klarer Prämissen und Typologien, was außerhalb des Verpflichtetenkreises überhaupt als überwachungs- und mitteilungsrelevant gelten soll – ohne diesen Maßstab läuft die Pflicht leer. *Drittens* die ausdrückliche Anerkennung der versicherungstypischen, anlassbezogenen Überwachungssystematik (Identifizierung und Datenaktualisierung im Leistungsfall, geschlossene Zahlungskreisläufe über Lastschrift und Referenzkonten) als risikoadäquate Erfüllung der kontinuierlichen Überwachung. Und *viertens* angemessene Übergangsfristen für die gruppenweite Einbindung von Nicht-Verpflichteten, deren technische und rechtliche Voraussetzungen – gruppenweite Kundensicht, Match-Fähigkeit, Datenschutz-Governance – in einem Jahr nicht seriös geschaffen werden können. ### Bundesgerichtshof verschärft die Anforderungen an mietvertragliche Wertsicherungsklauseln URL: https://www.waldvorlauternormen.com/bundesgerichtshof-verscharft-die-anforderungen-an-mietvertragliche-wertsicherungsklauseln/ Last updated: 2026-07-14T09:32:11.000Z Kurzes Urteil, große Wirkung: Mit seiner [Entscheidung vom 11\. März 2026 (XII ZR 51/25)](https://www.bundesgerichtshof.de/SharedDocs/Entscheidungen/DE/Zivilsenate/XII%5FZS/2025/XII%5FZR%5F%5F51-25.pdf?%5F%5Fblob=publicationFile&v=1&ref=waldvorlauternormen.com) stellt der BGH erstmals klar, dass in Mietverträgen vereinbarte, formularmäßige Wertsicherungsklauseln von Anfang an als unwirksam anzusehen sind, wenn sie der AGB-rechtlichen Inhaltskontrolle gem. §§ 307 ff BGB nicht standhalten. § 8 Preisklauselgesetz (PrKG), gemäß dem die Unwirksamkeit einer Preisklausel erst zum Zeitpunkt eines rechtskräftig festgestellten Verstoßes eintritt, kommt bei AGB-widrigen Klauseln damit nicht zur Anwendung. Die Entscheidung bringt weitreichende rechtliche und wirtschaftliche Folgen mit sich. ## **Urteil und Sachverhalt** Gegenstand des dem BGH-Urteil zugrundeliegenden Rechtsstreits war die Wertsicherungsklausel eines über eine Festlaufzeit von 10 Jahren abgeschlossenen Gewerberaummietvertrags. Der BGH urteilte, dass standardmäßig verwendete Wertsicherungsklauseln der Inhaltskontrolle der §§ 307 ff BGB unterliegen. Die hier betroffene Klausel hielt der BGH aus zwei Gründen für unwirksam: Zum einen benachteilige sie den Mieter unangemessen (§ 307 Abs. 1 Satz 1 BGB), weil sie als Referenzzeitpunkt für die erste Mieterhöhung ein Datum festlegte, das rund zwei Jahre vor Beginn des Mietverhältnisses lag. Zum anderen verstoße sie gegen das Transparenzgebot (§ 307 Abs. 1 Satz 2 BGB), da sie widersprüchliche Regelungen dazu enthalte, ab welchem Zeitpunkt der Mieter infolge einer Indexänderung die erhöhte Miete zu entrichten habe. Der BGH urteilte weiter, dass sich die Rechtsfolge einer AGB-widrigen Indexklausel - wie bei sonstigen Klauseln auch - nach §§ 305 ff. BGB richte. Stelle ein Gericht die AGB-Widrigkeit einer Indexklausel fest, würde dies die Klausel rückwirkend unwirksam machen. § 8 PrKG gelte lediglich für Verstöße gegen das Preisklauselgesetz und sei bei dem Verstoß einer Klausel gegen AGB-Recht nicht lex specialis zu AGB-rechtlichen Bestimmungen. ## **Rechtliche Einordnung und Bewertung** Aus dem Urteil des BGH folgt: Verstößt eine Wertsicherungsklausel lediglich gegen das Preisklauselgesetz, gilt [§ 8 PrKG](https://www.gesetze-im-internet.de/prkg/%5F%5F8.html?ref=waldvorlauternormen.com). Danach tritt die Unwirksamkeit der Preisklausel nur und erst zum Zeitpunkt des rechtskräftig festgestellten Verstoßes gegen das PrKG ein. Anders verhält es sich bei einem Verstoß gegen § 307 BGB. Nach den allgemeinen Regeln des AGB-Rechts ist eine unangemessen benachteiligende Vertragsklausel von Anfang an unwirksam. Sie wird nicht Vertragsbestandteil (§ 306 Abs. 1 BGB). An ihre Stelle tritt grundsätzlich die gesetzliche Regelung (§ 306 Abs. 2 BGB). Der BGH begründet diese Einordnung mit den unterschiedlichen Schutzzwecken der einschlägigen Bestimmungen: Bei dem Preisklauselgesetz stehen stabilitäts-, preis- und verbraucherpolitische Ziele sowie der Inflationsschutz im Vordergrund, während die AGB-rechtliche Inhaltskontrolle sicherstellen soll, dass die beiderseitigen Interessen im Vertrag angemessen berücksichtigt werden. ## **Rechtliche Folgen** Das BGH-Urteil wird erhebliche Auswirkungen auf die Praxis haben: ### Bereicherungsrechtliche Rückforderungsrisiken Hält eine Wertsicherungsklausel der AGB-rechtlichen Kontrolle nicht stand und ist sie deshalb gem. § 307 Abs. 1 BGB als von Anfang an nichtig anzusehen, fehlt bereits erfolgten Mieterhöhungen die rechtliche Grundlage. Bei einer solchen Konstellation können Mieter nach bereicherungsrechtlichen Grundsätzen die Mieterhöhungsbeträge zurückverlangen. Eben diese Rechtsfolge dürfte Mieter anspornen, die Rechtmäßigkeit vereinbarter Wertsicherungsklauseln gerichtlich überprüfen zu lassen, geht es doch jetzt nicht mehr nur um die Unwirksamkeitsfeststellung für die Zukunft, sondern um die Möglichkeit, etwaig zu viel gezahlte Miete zu kondizieren. Als Abwehrmöglichkeiten des Vermieters gegen derartige bereicherungsrechtliche Ansprüche kommen die Verjährung (§§ 195 ff. BGB) oder ggfls. sonstige Einwendungen (§ 814 BGB) in Betracht. Während es im Rahmen des § 814 BGB allerdings schwierig sein dürfte, dem Mieter die Kenntnis über die Nichtschuld nachzuweisen, ist dem Vermieter mit der Einrede der Verjährung immerhin insoweit geholfen, als nach § 199 Abs. 1 Nr. 2 BGB gemäß gefestigter Rechtsprechung nicht die rechtliche Würdigung des Anspruchstellers, sondern die Kenntnis bzw. grob fahrlässige Unkenntnis der anspruchsbegründenden Tatsachen für den Verjährungsbeginn entscheidend sind. Danach wird sich der Mieter schwerlich darauf berufen dürfen, dass er den Inhalt des abgeschlossenen Mietvertrags nicht kenne. Vor diesem Hintergrund dürften Rückforderungsansprüche voraussichtlich durch die dreijährige Verjährungsfrist umfangmäßig begrenzt bleiben. ### Umgang mit Bestandsmietverträgen und Vertragsmustern Kapitalverwaltungsgesellschaften, Projektentwickler, Bestandshalter und institutionelle Vermieter verwenden regelmäßig standardisierte Mietvertragsmuster. Darin enthaltene Wertsicherungsklauseln sollten mit Blick auf das Urteil des BGH einer genauen Prüfung auf AGB-Konformität unterzogen werden. Gerade in Mietverträgen, die eine Kombination aus Staffel- und Indexmiete vorsehen, ist die Formulierung unangreifbarer Wertsicherungsklauseln zuweilen sehr herausfordernd. Aus Vermietersicht erscheint es zudem ratsam, bei kritischen Wertsicherungsklauseln mögliche Rückforderungsrisiken zu bewerten und den taktischen Umgang mit etwaig unwirksamen Klauseln unter Berücksichtigung der bereits abgelaufenen und noch anstehende Laufzeit, bereits erfolgter Indexierungen und sonstiger Umstände des Einzelfalls festzulegen. Hierzu gehört auch die Erwägung, etwaig unwirksame Wertsicherungsklauseln im Rahmen eines Mietnachtrags durch eine wirksame Klausel zu ersetzen, zumindest wenn die Chance besteht, dass der Mieter hieran mitwirkt. Die in Gewerberaummietverträgen regelmäßig vereinbarten salvatorischen Klauseln dürften dem Vermieter dabei allerdings nur bedingt weiterhelfen, da es sich bei diesen salvatorischen Klauseln praktisch immer selbst um allgemeine Geschäftsbedingungen handelt und auf dieser Grundlage die AGB-widrigkeit einer anderen Klausel kaum aufgefangen werden dürfte. ### Mietvertragsverhandlungen Werden Klauseln zwischen den Parteien individuell verhandelt, sind sie der AGB-rechtlichen Inhaltskontrolle entzogen. Die Verhandlung und gemeinsame Formulierung von Indexklauseln im Rahmen der mietvertraglichen Anbahnung kann deshalb das Risiko von unwirksamen Indexklauseln und Rückforderungsansprüchen der Mieter reduzieren. Da Indexklauseln regelmäßig Gegenstand mietvertraglicher Verhandlungen sind, sollten bei der Verhandlung neuer Mietverträge durch die Parteien erstellte mark-ups, Schriftverkehr und Verhandlungsprotokolle archiviert werden, um im Streitfall nachweisen zu können, dass die betroffene Indexklausel individuell ausverhandelt wurden und gar nicht der AGB-rechtlichen Prüfung unterliegen. ### Erweiterter Prüfungsumfang in immobilienrechtlichen Transaktionen Miete und Mietentwicklung bilden zentrale Faktoren für die Rendite von Immobilieninvestments. Die Prüfung von Mietverträgen stellt im Rahmen von Immobilientransaktionen deshalb regelmäßig einen Schwerpunkt der rechtlichen Due Diligence dar, ganz gleich, ob der Ankauf als Asset oder Share Deal strukturiert wird. Aufgrund des Urteils des BGH müssen mit (potenziell) unwirksamen Indexklauseln versehene Mietverträge anders bewertet werden als bisher. Erwerber können § 8 PrKG nicht mehr in ihr Kalkül ziehen und darauf spekulieren, dass Indexklauseln schlimmstenfalls mit Wirkung für die Zukunft gekippt werden könnten. Vielmehr müssen nun latente Rückforderungsrisiken bei der Kaufpreisfindung berücksichtigt und eingepreist werden, damit das Investment nicht hinter den Renditeerwartungen zurückbleibt. Aus den genannten Gründen müssen Käufer bzw. Vermieter damit rechnen, dass aufgrund des BGH-Urteils die Bereitschaft von Mietern steigen könnte, gerichtlich gegen Indexklauseln vorzugehen. Ob derartige Risiken über Kaufvertragsgestaltungen in den Griff zu bekommen sind, erscheint fraglich. Denn die rechtliche Bewertung mietvertraglicher Klauseln obliegt üblicherweise dem die Due Diligence durchführenden Käufer. Verkäufer werden in der Praxis kaum eine Garantie für die AGB-Konformität von Klauseln übernehmen, sondern lediglich für die Richtigkeit vorgelegter Mieterverzeichnisse (rent roll) einstehen. Möglich erscheint demgegenüber die Vereinbarung von Freistellungsklauseln, in denen der Verkäufer den Käufer im Zusammenhang mit (potenziell) AGB-widrigen Klauseln von zukünftigen Rückforderungsansprüchen der Bestandsmieter freistellt. Durch derartige Strukturen kann sich der Käufer des wirtschaftlichen Risikos AGB-widriger Indexklauseln entledigen, vorausgesetzt, dass der Verkäufer nicht als potenzieller Schuldner ausfällt bzw. der Käufer seine Freistellungsansprüche z.B. über Kaufpreiseinbehalte absichert. ### Auswirkungen auf Immobilienbewertungen und -finanzierungen Die herausragende Bedeutung verlässlicher Mieteinnahmen gilt für die Immobilienbewertung und -finanzierung gleichermaßen. Bestehen Zweifel an der Wirksamkeit von Indexierungsklauseln oder drohen gar Rückforderungsansprüche der Mieter, führt dies aufgrund eines erhöhten Mietausfallrisikos regelmäßig zu einer Minderung des Ertragswerts der Immobilie und kann sich zugleich wertmindernd auf ihren Beleihungswert auswirken. Gerade bei den derzeit meist knapp kalkulierten Immobilientransaktionen können potenziell unwirksame Indexklauseln deshalb die Finanzierung von Immobilienprojekten erschweren, einen höheren Eigenkapitaleinsatz erforderlich machen oder in Extremfällen sogar dazu führen, dass Finanzierungen und damit auch Immobilientransaktionen scheitern. Auch bereits bestehende Immobilienfinanzierungen sind von dem Urteil des BGH nicht geschützt. Gelingt es dem Mieter, eine Wertsicherungsklausel wegen eines AGB-rechtlichen Verstoßes gerichtlich zu kippen, besteht das signifikante Risko, dass im Kreditvertrag enthaltene Finanzkennzahlen (Financial Covenants) unterschritten werden. Vermietern ist geraten, frühzeitig das Bestehen derartiger Risiken und den Umgang mit etwaig drohenden Covenant Breaches zu prüfen. ### Property Management Auch wenn Immobilienverwalter üblicherweise keine rechtliche Beratung übernehmen, sollten diese das hier besprochene Urteil des BGH nicht außer Acht lassen. Sollte der Property Manager die AGB-Konformität von Indexklauseln bezweifeln, ist anzuraten, derartige Verdachtsmomente dem Eigentümer offenzulegen und das weitere Vorgehen ggfls. unter Einbindung rechtlicher Berater taktisch zu besprechen. Andernfalls steht zu befürchten, dass Eigentümer ihren Verwalter für die von Mietern erhobenen Rückforderungsansprüche in die Verantwortung nehmen oder zumindest die Professionalität ihrer Verwalter in Frage stellen. ### Bilanzierung Das Urteil des BGH bringt auch für Bestandshalter, Immobiliengesellschaften und Fonds wichtige Änderungen mit sich. Sollten sich (potenziell) unwirksame Indexklauseln im Portfolio befinden, ist den Gesellschaften geraten, bei der Erstellung von Jahresabschlüssen die Bildung von Rückstellungen zu prüfen. ## **Fazit** Spätestens seit dem Urteil des BGH vom 11\. März 2026 (XII ZR 51/25) müssen sich Vermieter darauf einstellen, dass die Unwirksamkeit von AGB-widrigen Wertsicherungsklauseln rückwirkend greift. Die für Vermieter vorteilhafte Rechtsfolge des § 8 PrKG gilt ausschließlich für Verstöße gegen das Preisklauselgesetz und kommt im AGB-Recht nicht zur Anwendung. Mieteinnahmen bilden die wirtschaftliche Grundlage nahezu jedes Immobilieninvestments. Sie sichern den laufenden Cashflow, bestimmen maßgeblich den Ertrags- und Beleihungswert der Immobilie und bilden die Grundlage für deren Finanzierung sowie die Amortisation des Kaufpreises. Erweist sich eine Indexklausel als unwirksam, drohen aufgrund der hier erörterten Rechtsprechung nicht nur geringere zukünftige Mieterträge, sondern auch Rückforderungsansprüche der Mieter. Dies kann den wirtschaftlichen Wert einer Immobilie nachhaltig beeinträchtigen und Auswirkungen auf Finanzierungen, Unternehmensbewertungen sowie An- und Verkaufsprozesse haben. Vermieter, Bestandshalter, Projektentwickler, Investoren und finanzierende Banken sind daher gut beraten, bestehende Gewerbemietverträge und Vertragsmuster auf die Wirksamkeit ihrer Indexierungsklauseln zu überprüfen und etwaige Risiken frühzeitig im Rahmen der Vertragsgestaltung, Due Diligence und Transaktionsplanung zu berücksichtigen. ### Auswirkungen des Standortfördergesetzes auf Immobilien-Sondervermögen URL: https://www.waldvorlauternormen.com/auswirkungen-des-standortfordergesetzes-auf-immobilien-sondervermogen/ Last updated: 2026-07-09T10:24:01.000Z Das Standortfördergesetz ist am 10\. Februar 2026 in Kraft getreten. Ziel des Gesetzes ist es, private Investitionen zu erleichtern, bürokratische Vorgaben zu reduzieren und den Finanzstandort Deutschland wettbewerbsfähiger zu machen. Für Immobilien-Sondervermögen sind dabei vor allem die Änderungen des Kapitalanlagegesetzbuchs (KAGB) und die Anpassungen der Anlageverordnung von Bedeutung. Der Schwerpunkt der öffentlichen Diskussion lag zunächst auf Start-up-Finanzierung und Venture Capital. Für Immobilienfonds ist jedoch ein anderer Regelungskomplex besonders relevant: Das Standortfördergesetz erweitert die Möglichkeiten, in erneuerbare Energien (wie Photovoltaikanlagen) und die zugehörige Infrastruktur zu investieren. Damit reagiert der Gesetzgeber auf ein praktisches Problem. Moderne Immobilienbewirtschaftung umfasst zunehmend auch Energieerzeugung, Energieversorgung und Elektromobilität. Aufsichtsrechtlich passte dies bislang nicht immer ohne Weiteres in den klassischen Rahmen eines Immobilien-Sondervermögens. ## **Erweiterung des Anlagekatalogs** Zentrale Vorschrift ist § 231 KAGB. Durch das Standortfördergesetz wurde der Katalog der für Immobilien-Sondervermögen zulässigen Vermögensgegenstände erweitert. Neu erfasst sind nach § 231 Abs. 1 Nr. 8 KAGB Beteiligungen an Infrastruktur-Projektgesellschaften, deren Unternehmensgegenstand darauf beschränkt ist, Anlagen zu errichten, zu erwerben, zu betreiben, zu bewirtschaften oder zu halten, die zur Bewirtschaftung von erneuerbaren Energien bestimmt und geeignet sind. Der Wert derartiger Beteiligungen darf zusammen mit weiteren Beteiligungen dieser Art, die sich schon im Sondervermögen befinden, 15 % des Werts des Sondervermögens nicht übersteigen. Die Neuregelung eröffnet Immobilien-Sondervermögen damit ausdrücklich den Zugang zu Projektgesellschaften im Bereich erneuerbarer Energien. Praktisch relevant kann dies insbesondere sein, wenn Photovoltaikanlagen oder sonstige Energieanlagen nicht unmittelbar vom Sondervermögen gehalten werden sollen, sondern über eine eigenständige Gesellschaft strukturiert werden. Zugleich macht die 15-%-Grenze deutlich, dass der Schwerpunkt des Fonds weiterhin in der klassischen Immobilienanlage liegen muss. Das Immobilien-Sondervermögen wird durch die Neuregelung nicht zu einem Energie- oder Infrastrukturfonds. ## **Erwerb und Betrieb von Energieanlagen und Ladeinfrastruktur** Neben der Beteiligung an Infrastruktur-Projektgesellschaften ist die Einführung des § 231 Abs. 3 KAGB für die Praxis von besonderer Bedeutung. Danach dürfen für ein Immobilien-Sondervermögen künftig auch Gegenstände erworben werden, die der Bewirtschaftung erneuerbarer Energien dienen oder für den Betrieb von Ladestationen für Elektromobilität erforderlich sind. Ergänzend stellt § 231 Abs. 6 KAGB klar, dass diese Gegenstände (i.S.v. § 231 Abs. 3 KAGB) auch von der Kapitalverwaltungsgesellschaft für das Immobilien-Sondervermögen betrieben werden dürfen. Damit werden insbesondere Photovoltaikanlagen auf Dachflächen, technische Anlagen zur Erzeugung oder Nutzung erneuerbarer Energien sowie Ladepunkte auf Stellplatzflächen besser in den aufsichtsrechtlichen Rahmen eingeordnet. In der Praxis war bisher vielfach zu prüfen, ob der Erwerb oder Betrieb solcher Anlagen noch als zulässige immobilienbezogene Bewirtschaftung anzusehen ist oder ob hierdurch der nicht-operative Charakter des Investmentvermögens in Frage gestellt wird. In der Anhörung zum Gesetz wurde ausdrücklich darauf hingewiesen, dass Immobilienspezialfonds bislang Schwierigkeiten hatten, Solaranlagen auf Dächern von Büro- und Gewerbegebäuden zu errichten, weil ein Verlust ihres Rechtsstatus drohen konnte. Das Standortfördergesetz beseitigt diese Abgrenzungsfragen nicht vollständig. Es schafft aber einen deutlich tragfähigeren gesetzlichen Ausgangspunkt. Energieanlagen und Ladeinfrastruktur können nun stärker als funktionaler Bestandteil einer modernen Immobilienbewirtschaftung verstanden werden. ## **Bedeutung für Bestandsfonds und Neuprodukte** Für Bestandsfonds stellt sich zunächst die Frage, ob die Anlagebedingungen die neuen Möglichkeiten bereits hinreichend abdecken. Soweit dies nicht der Fall ist, kann eine Anpassung der Fondsdokumentation erforderlich oder jedenfalls zweckmäßig sein. Dabei ist auch zu prüfen, ob die bestehende Anlagestrategie, die Anlegerkommunikation und die Risikodokumentation mit den neuen Investitionsmöglichkeiten vereinbar sind. Bei Neuprodukten können Energieanlagen und Ladeinfrastruktur künftig von Beginn an in die Strukturierung einbezogen werden. Dies betrifft insbesondere Fonds, die auf Gewerbe-, Büro-, Logistik- oder gemischt genutzte Immobilien ausgerichtet sind. Gerade bei diesen Nutzungsarten können Dachflächen, Parkplätze und sonstige technische Flächen erhebliche Bedeutung für energetische Konzepte haben. Die gesetzliche Erweiterung ersetzt allerdings nicht die wirtschaftliche und technische Prüfung der jeweiligen Anlage. Zu berücksichtigen bleiben insbesondere Netzanschluss, Wartung, technische Verfügbarkeit, Betriebsführung, Genehmigungslage, Vertragsstruktur und mögliche Erlösmodelle. Auch Bewertungs- und Risikomanagementprozesse müssen die Besonderheiten solcher Anlagen angemessen abbilden. ## **Anlageverordnung und institutionelle Anleger** Von Bedeutung sind schließlich die Anpassungen der Anlageverordnung (AnlV). Durch die Bezugnahme in § 2 Abs. 1 Nr. 14 lit. c) aa) AnlV auf die erweiterten Vermögensgegenstände des § 231 KAGB werden erneuerbare Energieanlagen, Ladeinfrastruktur und Beteiligungen an entsprechenden Projektgesellschaften auch in den regulatorischen Rahmen für bestimmte institutionelle Anleger eingeordnet. Für Pensionskassen, Sterbekassen und kleine Versicherungsunternehmen erleichtert dies die Investierbarkeit in entsprechende Immobilienfonds. Unberührt bleiben jedoch die jeweiligen anlegerseitigen Anlagegrenzen, internen Risikovorgaben und Freigabeprozesse. Für die Produktgestaltung wird daher weiterhin entscheidend sein, den aufsichtsrechtlichen Rahmen des Fonds und die Anforderungen der Zielinvestoren gemeinsam zu betrachten. ## **Fazit** Das Standortfördergesetz bringt für Immobilien-Sondervermögen eine spürbare Erweiterung des investmentrechtlichen Handlungsspielraums. Im Mittelpunkt stehen nicht allgemeine Erleichterungen für Immobilieninvestitionen, sondern spezifische Öffnungen zugunsten erneuerbarer Energien und Elektromobilität. Praktisch besonders relevant sind drei Punkte: Immobilien-Sondervermögen dürfen künftig Beteiligungen an Infrastruktur-Projektgesellschaften im Bereich erneuerbarer Energien erwerben, begrenzt auf insgesamt 15 % des Fondsvermögens. Sie dürfen Gegenstände zur Bewirtschaftung erneuerbarer Energien und zum Betrieb von Ladeinfrastruktur erwerben. Zudem wird klargestellt, dass diese Gegenstände auch durch die Kapitalverwaltungsgesellschaft für das Immobilien-Sondervermögen betrieben werden dürfen. Für Kapitalverwaltungsgesellschaften besteht die zentrale Aufgabe nun in der praktischen Umsetzung. Anlagebedingungen, Fondsstrategie, Bewertungsmethoden, Risikomanagement und Betriebskonzept sind daraufhin zu überprüfen, ob sie die neuen Spielräume rechtssicher und fondsindividuell tragfähig abbilden. Das Standortfördergesetz führt damit nicht automatisch zu Investitionen in Energieinfrastruktur, schafft jedoch einen deutlich klareren Rahmen für deren Integration in Immobilienfonds. ### Geldwäsche(Compliance)risiken bei Wechsel von Crypto-Asset Service Provider URL: https://www.waldvorlauternormen.com/geldwasche-compliance-risiken-bei-wechsel-von-crypto-asset-service-provider/ Last updated: 2026-07-09T08:14:05.000Z ## **Hintergrund** Seit dem 1\. Juli 2026 benötigen alle in der EU tätigen Anbieter von Kryptowerte-Dienstleistungen (*Crypto-Asset Service Provider – CASP*) eine Geschäftserlaubnis nach der Verordnung (EU) 2023/1114 über Märkte für Kryptowerte (*Markets in Crypto-Assets Regulation – MiCAR*). Bis dahin lief eine Übergangszeit, in der einzelne Anbieter noch mit in der Vergangenheit erteilten, rein nationalen Erlaubnissen tätig sein konnten. Seit dem 1\. Juli 2026 ist dies EU-weit einheitlich nur noch mit einer MiCAR-Erlaubnis möglich. CASPs, die zum Stichtag über keine entsprechende Erlaubnis verfügen, dürfen ihre Dienstleistungen in der EU nicht mehr anbieten. Sie verlieren ihre bisherige, nach altem Recht erteilte Geschäftserlaubnis und wechseln zum Stichtag in den Status eines nicht lizensierten Dienstleisters, dem das Erbringungen von Kryptowerte-Dienstleistungen nicht gestattet ist. Besonders prominent ist der Fall der weltweit größten Krypto-Börse [Binance](https://www.handelsblatt.com/vergleich/binance-micar-lizenzantrag-bitpanda-alternative/?ref=waldvorlauternormen.com), die ohne entsprechende MiCAR-Erlaubnis zum Stichtag 1\. Juli 2026 den uneingeschränkten Zugang zum Markt der Europäischen Union verloren hat. Für die Kunden dieser von heute auf morgen nicht (mehr) lizensierten Dienstleister bedeutet der Lizenzverlust unmittelbare Einschränkungen (keine Inanspruchnahme von Kryptowerte-Dienstleistungen, also kein Handel, kein Transfer usw.). Das führt zur erwartbaren und umfassenden Migration ganzer Kunden- und Assetbestände, die sich von den nicht (mehr) lizensierten Dienstleistern lösen und zur lizensierten Konkurrenz abwandern. ## **Gemeinsame Warnung der BaFin und der FIU** Vor diesem Hintergrund haben die BaFin und die FIU in einer [gemeinsamen Erklärung](https://www.bafin.de/SharedDocs/Downloads/DE/Anlage/hinweis%5Falma%5Fende%5Fmicar.html?nn=150446&ref=waldvorlauternormen.com) vor mit diesem Anbieterwechsel verbundenen Geldwäscherisiken gewarnt. Noch präziser müsste dabei aber eigentlich von einer Warnung vor Geldwäsche-COMPLIANCE-Risiken die Rede sein– die BaFin und die FIU adressieren ausdrücklich die kunden- und assetübernehmenden Dienstleister und weisen darauf hin, dass „*die Übernahme solcher Kundenbestände den aufnehmenden CASP nicht von der Pflicht zur Erfüllung der ihm obliegenden geldwäscherechtlichen Anforderungen entbindet*“. In die Sprache der geldwäscherechtlichen Kundensorgfaltspflichten übersetzt, bedeutet das: Mit der Übernahme von Kunden (und deren Vermögenswerten) wird mit dem einzelnen Kunden ganz regelmäßig eine Geschäftsbeziehung im geldwäscherechtlichen Sinne begründet, sodass die Kundensorgfaltspflichten (§§ 10 ff. GwG) zu erfüllen sind. Dazu gehört im Rahmen des erstmaligen Onboardings insbesondere, den Kunden zu identifizieren, etwaige wirtschaftliche Berechtigte festzustellen, den sog. PeP-Status abzuklären, Art und Zweck der Geschäftsbeziehung zu ergründen und den Kunden einer Risikoklassifizierung zu unterziehen, die über die Umfang und die Intensität der Kundensorgfaltspflichten entscheidet. Die Geschäftsbeziehung zu einmal angenommene Kunden muss wiederum kontinuierlich überwacht (inkl. Transaktionsmonitoring) und die Daten und Unterlagen aktuell gehalten werden. ## **Herausforderungen** Das Onboarding großer Kundenzahlen oder sogar die Übernahme ganzer Kundenbestände lässt sich auch unter strenger Wahrung der Kundensorgfaltspflichten technisch und rechtlich einwandfrei umsetzen. Im Falle von gesamthaften Kundenbestandsübernahmen bietet die sog. Reliance (§ 17 Abs. 1-4 GwG) sogar einen rechtlichen Rahmen zur Weitergabe bestimmter Kundenidentifikationsdatensätze vom abgebenden an den aufnehmenden CASP. Kernvoraussetzung für eine lückenlose Erfüllung der Kundensorgfaltspflichten ist in jedem Fall die Qualität der Prozesse und Systeme auf Seiten des aufnehmenden Dienstleisters, der im Ergebnis nachvollziehbar und auf Einzelkundenbasis sicherstellen muss, im Übernahme- und Onboardingprozess jede Detailpflicht mitbedacht und erfüllt zu haben. Konkret weisen die BaFin und die FIU darauf hin, dass der aufnehmende CASP die Kundensorgfaltspflichten auf Grundlage einer eigenen risikobasierten Bewertung zu erfüllen hat – eine bloße oder schematische Übernahme der Risikoeinstufung des abgebenden Dienstleisters reicht hierfür nicht aus. Auch die AMLA hat kurz vor Ablauf der Übergangsfrist am 29\. Juni 2026 einen vergleichbaren [Risikohinweis](https://www.amla.europa.eu/document/download/d82f7d00-324e-4231-8ca7-94431d4e75c2%5Fen?filename=AMLA%20Explanatory%20Note%5FRisk%20Advisory%20on%20end%20of%20transitional%20period.pdf&ref=waldvorlauternormen.com) veröffentlicht und hebt zusätzlich die folgenden Risikofaktoren hervor: - In der kritischen Phase kurz vor Ablauf der Übergangsfrist könnten die AML-Kontrollen bei den abgebenden Dienstleistern ggf. vernachlässigt und geschwächt gewesen sein. Dies gilt insbesondere für Unternehmen, bei denen zuvor Mängel im AML-Bereich festgestellt wurden. - Plötzliche Marktaustritte können die Transparenz der Vermögensströme und Kundenbeziehungen beeinträchtigen und damit Möglichkeiten zur Verschleierung, zur raschen Bewegung illegaler Gelder und zur Umgehung von Sanktionen schaffen. 💡 Aufnehmende CASP sollten diese Gesichtspunkte in ihrer Risikobewertung berücksichtigen (z.B. bei der Übernahme von Kunden, die auch von dem abgebenden Dienstleister erst kurz vor dem Stichtag angenommen wurden). Nach ihrem expliziten Hinweis wird die BaFin eine ausdrückliche Auseinandersetzung mit diesen Fragen erwarten. Mit Blick auf die Compliance-System der aufnehmenden CASP warnt die AMLA vor möglichen Überforderungen angesichts starker Neukundenzuwächse: - Die schlagartige Annahme vieler Neukunden bzw. sogar die gesamthafte Übernahme ganzer Kundenportfolios kann – je nach inhaltlicher Bewertung der darin befindlichen Kundengruppen – zu grundlegenden Risikoprofiländerungen führen. Dazu gehört auch eine mögliche und plötzliche Konzentration von High-Risk-Kunden, die das Gesamtkundenprofil der aufnehmenden CASPs verschieben kann. - Ein rascher Zustrom von Kunden kann die Transaktionsmonitoring-Systeme und die für ihren Betrieb benötigten Ressourcen überfordern. 💡 Die Governance- und Compliance-Strukturen der aufnehmenden CASP müssen gleichermaßen flexibel und belastbar sein, um auch massive Neukundenannahmen bewältigen zu können. ## Fazit Die Klarstellung seitens BaFin und FIU dürfte ihren Erfahrungen der letzten Jahre geschuldet sein: Einzelne Anbieter hatten sich hier (teilweise auf Drängen der Aufsichtsbehörden) aus dem europäischen Markt zurückgezogen und dabei ihre Kunden- und Assetbestände in großen Chargen auf verbleibende CASPs übertragen. Die aufnehmenden CASPs sahen sich dabei vor die Herausforderung gestellt, die Kundensorgfaltspflichten für eine Vielzahl an Neukunden in kürzester Zeit technisch und rechtlich sauber zu erfüllen. Aufnehmende CASPs müssen sich mit den technischen und (geldwäsche-)rechtlichen Herausforderungen entsprechender Kundenmigrationen im Einzelnen auseinandersetzen und den jeweiligen Impact auf die betroffenen Organisationseinheiten kritisch und ehrlich bewerten; etwa im Rahmen eines „Neu-Produkt-Prozess-light“. Das gilt gleichermaßen für die betroffenen Prozesse der 1stLoD (Kundenannahme, Kundendatenverwaltung etc.) als auch für die neuralgischen Punkten in der 2ndLoD (Bearbeitung eines erhöhten Trefferaufkommens im Transaktionsmonitoring und Listen-Screening, Stellungnahmen zu geldwäscherelevanten Edge Cases aus dem Kundenonboarding, manueller Mehraufwand bei der ggf. häufigeren Erfüllung verstärkter Sorgfaltspflichten usw.). ### EuGH zur Einhaltung von US-Sanktionen durch EU-Finanzinstitute: Eine Gratwanderung? URL: https://www.waldvorlauternormen.com/eugh-zur-einhaltung-von-us-sanktionen-durch-eu-finanzinstitute-eine-gratwanderung/ Last updated: 2026-07-08T13:18:16.000Z ## Problemstellung Eine typische Frage von Kredit- und Finanzinstituten in der EU ist, ob eine Verpflichtung zur Einhaltung von US-Finanzsanktionen besteht. Nur vereinzelt besteht für Institute unmittelbar die Pflicht, US-Sanktionsmaßnahmen zu beachten. Trotzdem beachten eine Vielzahl von Instituten US-Sanktionen auf "freiwilliger" Basis. Die Gründe dafür sind vielfältig, u.a.: Niederlassungen bzw. Tochtergesellschaften in den USA, USD-Clearing, oder eine US-Gruppenangehörigkeit. Insbesondere die US-Praxis von Sekundärsanktionen stellt ein erhebliches Druckmittel dar, v.a. bei Instituten mit Korrespondenzgeschäft mit US-Instituten. Aus europäischer Sicht wird die Befolgung von US-Sanktionen bereits seit einigen Jahren kritisch gesehen. Vor dem Hintergrund der unterschiedlichen politischen Zielsetzung gegenüber dem Iran schaffte der europäische Gesetzgeber mit der sog. Blocking-Verordnung sogar ein gesetzliches Verbot zur Befolgung der darin aufgeführten US-Sanktionen geschaffen - mit durchwachsenem Erfolg. ## Die EUGH-Entscheidung Vor diesem Hintergrund überrascht die Entscheidung des EuGH vom 11.06.2026 wenig: Das Gericht urteilte, dass die einem Verbraucher (mit rechtmäßigem Aufenthalt in der Union) gegenüber erklärte Ablehnung der Eröffnung eines Bankkontos mit grundlegenden Funktionen (Basiskonto) allein wegen der Drittstaats-Listung ohne vorherige Einzelfallprüfung nicht zulässig ist ([EuGH, Urteil vom 11.06.2026 - C-81/24 (Jenec](https://infocuria.curia.europa.eu/tabs/jurisprudence?lang=DE&searchTerm=%22C-81%2F24%22&sort=DOC%5FDATE-DESC&publishedId=C-81%2F24&ref=waldvorlauternormen.com))). ### Hintergrund der Entscheidung Das Urteil erging im Rahmen eines Vorabentscheidungsersuchens durch ein slowenisches Gericht. Der Kläger im zugrundeliegenden Verfahren hatte bei der beklagten Bank versucht, ein Basiskontos auf Grundlage des slowenischen Gesetzes zur Umsetzung der Zahlungskontenrichtlinie zu eröffnen. Das Institut hatte dem Kläger zuvor erklärt, zur Einhaltung geldwäscherechtlicher Vorschriften befolge das Institut künftig auch Maßnahmen des *Office of Foreign Assets Control* (OFAC). Den Antrag auf Eröffnung des Basiskontos lehnte das Institut dann ohne nähere Begründung ab. Der Kläger erhob daraufhin Klage auf Eröffnung des Basiskontos. Das vorlegende Gericht bat den EuGH u.a. um Auslegung, ob eine Listung von Verbraucher (mit rechtmäßigem Aufenthalt in der Union) durch OFAC einer Eröffnung eines Basiskontos entgegenstehen, da eine OFAC-Listung die Bestimmungen der Geldwäscherichtlinien verletzen. ### Rechtsrahmen Verkürzt gewährt die Zahlungskontenrichtlinie (in Deutschland umgesetzt im [Zahlungskontengesetz (ZKG)](https://www.gesetze-im-internet.de/zkg/?ref=waldvorlauternormen.com)) eine Anspruch auf Eröffnung eines Basiskontos, wenn drei Voraussetzungen vorliegen: 1. Der Antragsteller ist Verbraucher, 2. der Antragsteller hat seinen rechtmäßigen Aufenthalt in der Union, und 3. die Eröffnung des Basiskontos verletzt nicht die Bestimmungen der Richtlinie (EU) 2015/849 (in ihrer jeweils geltenden Fassung). ### Begründung des EuGH Der EuGH urteilte, dass die Zahlungskontenrichtlinie es Mitgliedstaaten nicht erlaube, Anträge auf Eröffnung eines Zahlungskontos ohne Einzelfallprüfung pauschal allein deshalb abzulehnen, weil der Verbraucher auf einer Liste von Personen gelistet ist, gegen die Drittstaaten restriktive Maßnahmen verhängt haben. Zunächst stellt der EuGH fest, dass die Anwendung der Sorgfaltspflichten aus der Geldwäscherichtlinie dem risikobasierten Ansatz folge. Dazu verweist der EuGH auf sein ganz grundlegendes Urteil zum risikobasierten Ansatz vom 17\. November 2022 (Urteil vom 17\. November 2022, Rodl & Partner, C-562/20, EU:C:2022:883). Sodann stellt das Gericht fest, dass die Geldwäscherichtlinie an eine OFAC-Listung — oder eine gleichartige Drittstaatsliste — gerade **keine automatische** Pflicht knüpft, die Geschäftsbeziehung zu verweigern (Rn. 45). Die Listung einer Person stelle daher nicht pauschal einen Ablehnungsgrund dar, sondern einen zu berücksichtigenden Faktor im Rahmen der kundenindividuellen Risikobewertung (Rn. 51 des Urteils). Zu berücksichtigen sei bei der Abwägung des Instituts dann, dass das Basiskonto bereits ein Produkt mit limitierten Funktionen sei. ## **Folgen des Urteils** Das Urteil macht deutlich, dass ein pauschales Befolgen von US-Sanktionen durch europäische Institute nach Ansicht des EuGH unzulässig ist. Auch sofern kein Basiskonto, sondern ein anderes Produkt betroffen ist, dürfte ein pauschales Abstellen auf US-Sanktionsbetroffenheit kritisch sein. Praktische Folgen hat diese Unterscheidung insbesondere bei Korrespondenzbeziehungen, vornehmlich mit US-Instituten. Zum einen sind im Rahmen des Wolfsberg-Questionnaires Angaben zum Sanktionsprogramm zu machen, wobei US-Institute in der Regel die Berücksichtigung von US-Sanktionsmaßnahmen voraussetzen. Zum anderen kann - etwa bei Zahlungen in USD - ein US-Bezug durch die Korrespondenzbeziehung tatsächlich relevant werden. 💡 Vorsicht ist hier insbesondere bei der Angabe im Wolfsberg-Questionnaire geboten: Hier muss klargemacht werden, dass OFAC-Sanktionen berücksichtigt werden, aber nicht automatisch zu einer Kündigung des Kunden bzw. Transaktionssperre führen. Problematisch kann das für Institute v.a. bei einem De-Risking durch US-Instituten werden, sofern hier eine zu laxe Handhabung durch das kontoführende europäische Institut befürchtet wird. ## Fazit Das Urteil ist ein weiterer Baustein in der anhaltenden - und ausufernden - Debatte um die Reichweite und Wirkung von US-Sanktionen. Für Institute empfiehlt sich eine klare Dokumentation des Entscheidungswegs mit Abwägung des zusätzlichen Risikos aufgrund des US-Sanktionsbezugs und Trennung auf Ebene der Geschäftsbeziehung und Transaktionen mit US-Bezug. ### Die Emission tokenisierter Wertpapiere: Grundlagen und Rechtsrahmen URL: https://www.waldvorlauternormen.com/die-emission-tokenisierter-wertpapiere-grundlagen-und-rechtsrahmen/ Last updated: 2026-07-03T14:43:25.000Z Tokenisierte Wertpapiere erweitern das Spektrum der Möglichkeiten für die Unternehmensfinanzierung und das Kapitalmarktgeschäft erheblich. Ihr Mehrwert liegt darin, dass die Wertpapierfunktion technisch anders abgebildet wird: Register, Übertragung, Settlement, Verwahrung und Investorenzugang können digitalisiert und teilweise automatisiert werden. Rechtlich bleibt jedoch entscheidend, welche Vermögens-, Mitgliedschafts- oder Gläubigerrechte der Token verkörpert. Auch für den Handel sind sie attraktiv, weil sie technisch global übertragbar sein können und grundsätzlich nicht an die Betriebszeiten klassischer Intermediärsketten gebunden sind. Diese technische Übertragbarkeit darf allerdings nicht mit rechtlich freiem Vertrieb oder unreguliertem Sekundärhandel verwechselt werden. Grenzüberschreitende Angebote können lokale Prospekt-, Vertriebs-, Geldwäsche-, Sanktions- und Steuerregime auslösen. Deswegen ist regelmäßig zu prüfen, ob sich der Emittent auf die passive Dienstleistungsfreiheit (*Reverse Solicitation*) berufen kann, um Konflikte mit nationalen Aufsichtsbehörden zu vermeiden. Die praktische Marktgängigkeit zeigt sich inzwischen auch daran, dass sich eine zunehmend differenzierte Marktinfrastruktur herausgebildet hat: Tokenisierte Wertpapiere werden bereits an spezialisierten DLT- bzw. OTC-Handelsplätzen gelistet und können in Deutschland über digitale Plattformen auch im Wege der Anlagevermittlung aus Emissionen heraus erworben werden. Ein wichtiges wirtschaftliches Argument für eine Tokenemission ist der Zugang zu Kryptomärkten, deren Teilnehmer typischerweise wenig Interesse an klassischen Finanzinstrumenten haben, aber bereit sind, höhere Risiken zu tragen. Dieser Markt kann insbesondere durch die technische Ausgestaltung der Emission (sog. „Tokenomics“) angesprochen werden, wenn etwa über die entsprechende Einbindung des Tokens in ein DeFi-Protokoll eine zusätzliche Rendite über die Nutzung von Liquidity Pools auf dem Sekundärmarkt ermöglicht wird. Nutzt man diese Möglichkeiten, muss rechtssicher abgeklärt werden, ob sich hieraus regulatorische Pflichten ergeben. Auch in der prospektrechtlichen Darstellung der Risikofaktoren sind solche Strategien entsprechend zu adressieren. ## **Welche Regeln gelten?** Die Regeln für die Emission tokenisierter Wertpapiere entsprechen weitgehend denen klassischer Emissionen. Grund hierfür ist der technologie-neutrale „*Substance over Form*“-Ansatz des Aufsichts- und Kapitalmarktrechts. Für die rechtliche Einordnung kommt es ausschließlich auf den Inhalt der tokenisierten Rechte, ihre Standardisierung, Übertragbarkeit und Handelbarkeit am Kapitalmarkt an – ob die Emission auf einer Blockchain oder über einen Zentralverwahrer begeben wird, spielt insoweit keine Rolle. Werden diese Kriterien erfüllt, gelten zunächst dieselben Regeln wie bei nicht-tokenisierten Wertpapieren. Das betrifft insbesondere die Prospektverordnung, das WpPG, die PRIIPs-VO, MiFID II und deren nationale Umsetzung, das Marktmissbrauchsrecht sowie gegebenenfalls gesellschafts-, fonds- oder insolvenzrechtliche Sondervorschriften. Die Tokenisierung ist also keine regulatorische Abkürzung, sondern eine andere technische Ausgestaltung eines grundsätzlich bekannten Finanzinstruments. ## **eWpG oder sui-generis Struktur** Eine zentrale Strukturierungsentscheidung betrifft die Frage, ob die Emission unter dem eWpG erfolgen soll, das – fakultative – Regelungen zu Kryptowertpapieren enthält. Ein Kryptowertpapier unter dem eWpG zeichnet sich dadurch aus, dass es in ein Kryptowertpapierregister eingetragen werden muss, das auf einem fälschungssicheren Aufzeichnungssystem beruht, in dem Daten in der Zeitfolge protokolliert und gegen unbefugte Löschung oder Veränderung geschützt werden. Der Emittent muss die registerführende Stelle benennen oder diese Funktion selbst wahrnehmen. Der Vorteil des eWpG liegt in der gesetzlichen Verankerung von Inhaberschaft, Verfügung und gutgläubigem Erwerb, denn Inhaber eines elektronischen Wertpapiers ist grundsätzlich, wer als Inhaber im Register eingetragen ist. Für die Eigentumsübertragung ist die Umtragung auf Weisung des Berechtigten und eine Einigung erforderlich. Zwingend ist das allerdings nicht: Ebenso kann eine Emission als „Wertpapier eigener Art“ (*sui generis*) strukturiert werden, ein Ansatz, den die Bafin lange vor dem Inkrafttreten des eWpG anerkannt hatte und der nach wie vor möglich ist. Entscheidend ist insoweit allein die zivil- und gesellschaftsrechtliche Ausgestaltung. Die gesetzliche Registerpublizität ist der wesentliche Unterschied zur bloßen schuldrechtlichen Tokenisierung außerhalb des eWpG. Entscheidet man sich für eine sui-generis-Struktur ist zu beachten, dass die Blockchain, auf der die Token abgebildet sind, nicht dieselben Funktionen wie das eWpG-Register erfüllt. Gutgläubiger Erwerb, dingliche Zuordnung, Insolvenzfälle, Besicherung und Anbindung an regulierte Sekundärmärkte müssen daher über die Emissionsbedingungen rechtssicher abgebildet werden. ## **Tokenisierte Aktien** Besondere Sorgfalt erfordert die Tokenisierung von Aktien. Zwar ist die Emission von Aktien in Form von Kryptowertpapieren inzwischen sowohl im AktG als auch im eWpG angelegt. Dies löst allerdings nicht die besonderen gesellschaftsrechtlichen Fragestellungen, die sich unter dem AktG im Rahmen einer Tokenisierung ergeben. Beispielsweise ist die Eintragung in ein Kryptowertpapierregister nur zulässig, wenn die Satzung dies ausdrücklich vorsieht. Nach dem eWpG können nur Namensaktien in ein Kryptowertpapierregister eingetragen werden, für die auf traditionellen Märkten dominierenden Inhaberaktien besteht diese Möglichkeit nicht. Um die Komplexität zu reduzieren sind schuldrechtliche Abbildungen von Aktienrechten, die das wirtschaftliche Ergebnis spiegeln, aber auf mitgliedschaftliche Recht verzichten, im Rahmen derivativer Strukturen möglich (sog. „*Digital Twin*“). Die Emission echter tokenisierter Aktien einer deutschen AG verlangt dagegen die strikte Beachtung des AktG. Der Token allein schafft keine Mitgliedschaftsrechte, wenn diese nicht gesellschaftsrechtlich wirksam begründet und übertragen werden. ## **Kryptofondsanteile** Für Investmentfonds in Vertragsform besteht bei der Ausgestaltung des Anteilsscheins als Kryptofondsanteil eine Spezialregelung. Zwar erlaubt das KAGB die Begebung von Anteilen an Sondervermögen als elektronische Anteilscheine. Werden diese jedoch als Kryptofondsanteile im Sinne der KryptoFAV strukturiert, müssen sie in ein Kryptowertpapierregister nach dem eWpG eingetragen werden. Nach der KryptoFAV ist registerführende Stelle zwingend die Verwahrstelle oder ein von ihr beauftragtes Unternehmen, das über die erforderliche Erlaubnis verfügt. Die [KryptoFAV ](https://www.gesetze-im-internet.de/kryptofav/?ref=waldvorlauternormen.com)macht das Registerregime des eWpG zum konstitutiven Bestandteil des Kryptofondsanteils. Darin liegt zwar kein explizites Verbot, auch Anteile an Sondervermögen als tokenisiertes Wertpapier außerhalb des eWpG zu strukturieren. Man kann hierin jedoch einen gesetzgeberischen Willen erkennen, bei Anteilen an Sondervermögen auf die Sicherheit des eWpG zu setzen. Will man dies vermeiden, bietet sich eher die Abbildung über die erwähnte Gestaltung als Digital Twin an. ## **MiCA, MiFID und DLT-Pilot-Regime** Die MiCA ist als Spezialgesetz für sog. „andere Kryptowerte“ – also die klassischen Kryptowährungen wie Bitcoin oder Ether – und Stablecoins, also Token die über einen durch die MiCA vorgeschriebenen Absicherungsmechanismus den Wert von Fiat-Währungen abbilden, auf tokenisierte Wertpapiere grundsätzlich nicht anwendbar. Auch für Broker-Dienstleistungen ist ausschließlich die MiFID relevant. Das bedeutet nicht, dass die MiCA bei komplexen Tokenstrukturen stets irrelevant wäre. Werden neben dem Wertpapier-Token zusätzliche Utility-, Governance-, Stablecoin- oder Zahlungsfunktionen eingebunden, kann eine getrennte Analyse erforderlich sein. Auch Dienstleister, die sowohl MiFID-Finanzinstrumente als auch sonstige Kryptowerte betreuen, müssen ihre Erlaubnisgrundlagen sauber trennen. Eine MiCA-Zulassung als Krypto-Dienstleister ersetzt keine Erlaubnis für Wertpapierdienstleistungen im Bereich tokenisierter Finanzinstrumente. Ein positiver Impuls aus der europäischen Gesetzgebung ist aus Emittentensicht das für den regulierten Sekundärmarkt geschaffene DLT-Pilot-Regime. Es schafft einen unionsweiten Rahmen für bestimmte Marktinfrastrukturen, auf denen Finanzinstrumente auf DLT-Basis gehandelt und abgewickelt werden können, namentlich DLT-MTF, DLT-Settlement-Systeme und kombinierte DLT-Trading-and-Settlement-Systeme. ## **Prospekte und das Momentum des Listing Acts** Wer Kapital über tokenisierte Wertpapiere einsammeln möchte, muss prüfen, ob ein Wertpapierprospekt zu veröffentlichen ist. Maßgeblich sind die Prospektverordnung und das WpPG. Eine Prospektpflicht kann insbesondere bei einem öffentlichen Angebot von Wertpapieren oder bei der Zulassung zum Handel an einem regulierten Markt entstehen. Ob das Wertpapier tokenisiert ist, ändert daran grundsätzlich nichts. Durch den seit kurzem anwendbaren EU Listing Act bestehen verschiedene Erleichterungen, die auch für die Emission tokenisierter Wertpapiere ein neues Momentum schaffen. Hierzu gehört insbesondere die Anhebung der Schwelle für die Prospektpflicht auf ein unionsweites Emissionsvolumen von EUR 12 Millionen. Zu prüfen bleiben aber insbesondere die Aggregation mehrerer Angebote, die geografische Reichweite des Angebots, die Ansprache von Privatanlegern, die Verwendung von Plattformen, Marketingmaßnahmen in sozialen Medien, Weiterveräußerungsmöglichkeiten und etwaige nationale Sonderpflichten. Ein prospektfreies Angebot ist nicht automatisch ein erlaubnisfreier Vertrieb. Der Listing Act bringt daneben Erleichterungen bei Prospektformaten, etwa durch den EU Growth Issuance Prospectus für bestimmte Emittenten und vereinfachte Folgeemissionsformate. Diese können den Kostenunterschied zwischen einer privaten Tokenplatzierung und einem breiteren öffentlichen Angebot verringern. Für KMU und Emittenten mit wiederholtem Kapitalmarktbedarf kann dies relevant sein, weil tokenisierte Emissionen häufig mit kleineren Ticketgrößen, digitaler Zeichnung und breiterem Anlegerzugang konzipiert werden. Auch Market Soundings können bei tokenisierten Anleihe-, Genussrechts- oder Aktienemissionen eine wichtige Rolle spielen. Sie erlauben es, vorab das Interesse institutioneller Investoren, mögliche Emissionsvolumina und Preisvorstellungen abzufragen. Gleichwohl bleibt dies ein formalisiertes kapitalmarktrechtliches Verfahren. Insbesondere bei potenzieller Insiderinformation sind Vertraulichkeit, Dokumentation, Wall-Crossing, Bereinigung der Information und MAR-Compliance sauber zu organisieren. Der Tokencharakter der Emission senkt diese Anforderungen nicht. ## **Wertpapier- und Basisinformationsblatt** Auch bei prospektfreien öffentlichen Angeboten ist regelmäßig zu prüfen, ob ein Wertpapier-Informationsblatt (WIB) nach dem WpPG zu erstellen und von der Bafin zu billigen oder – bei einem strukturierten Produkt (PRIP) – ein Basisinformationsblatt nach der PRIIPs-VO erforderlich ist. Für tokenisierte Wertpapiere enthält das WpPG besondere Regelungen. Das WIB darf bis zu vier DIN-A4-Seiten umfassen und muss auch die technische Ausgestaltung, die zugrunde liegenden Technologien sowie die Übertragbarkeit und Handelbarkeit des Wertpapiers darstellen. Bei Kryptowertpapieren nach dem eWpG sind außerdem Angaben zur registerführenden Stelle und zur Registereinsicht aufzunehmen. Bei einem PRIP das an Kleinanleger vertrieben werden soll, ist demgegenüber ein Basisinformationsblatt zu erstellen. Die PRIIPs-VO erfasst Anlageprodukte, bei denen der Rückzahlungsbetrag oder Wert für den Anleger Schwankungen unterliegt, weil er Referenzwerten oder der Entwicklung von Vermögenswerten ausgesetzt ist, die der Anleger nicht unmittelbar erwirbt. Gerade bei tokenisierten Genussrechten, partiarischen Darlehen, erlösabhängigen Schuldverschreibungen oder hybriden Tokenstrukturen ist diese Abgrenzung sorgfältig zu prüfen. Eine bloße Unternehmensgewinnbeteiligung macht ein Instrument nicht automatisch zu einem PRIP. Anders kann es aber liegen, wenn die Zahlungen von einem bestimmten Asset-Pool, einem Referenzwert, einem algorithmischen Renditemechanismus, DeFi-Erträgen oder sonstigen Vermögenswerten abhängen, die der Anleger nicht unmittelbar erwirbt. In Zweifelsfällen ist eine frühzeitige Abstimmung mit der Bafin sinnvoll, weil Fehler bei der Dokumenttypwahl sowohl vertriebsrechtliche als auch haftungsrechtliche Folgen haben können. ## **Tokenomics und Sekundärmarkt** Die technische Ausgestaltung der Emission ist nicht nur wirtschaftlich, sondern auch rechtlich relevant. Smart Contracts können Zeichnung, Registeraktualisierung, Übertragungsbeschränkungen, Lock-ups, Whitelisting, Zinszahlungen, Gewinnbeteiligungen und Corporate Actions unterstützen. Diese Automatisierung darf jedoch nicht isoliert betrachtet werden. Entscheidend ist, ob der Smart Contract mit dem Register, den Emissionsbedingungen und den regulatorischen Anforderungen übereinstimmt. Besonders sensibel ist die Einbindung in Liquidity Pools oder automatisierte Market-Maker-Strukturen. Was aus Sicht der Tokenomics als Liquiditätsförderung erscheint, kann aufsichtsrechtlich als organisierter Handel, Vermittlung, Platzierung, Market Making oder sonstige Wertpapierdienstleistung einzuordnen sein. Bei tokenisierten Wertpapieren ist der Sekundärmarkt daher von Beginn an mitzudenken: Soll der Handel nur bilateral erfolgen, über eine regulierte Plattform, über ein DLT-MTF oder sogar in einer internationalen Struktur? Sind Wie werden KYC, Sanktionsprüfung, Anlegerkategorie, Übertragungsbeschränkungen und Registerlage technisch durchgesetzt? Wie werden fehlerhafte Transfers, Schlüsselverlust, Pfändung, Insolvenz des Inhabers oder Registerwechsel behandelt? Gerade diese Fragen zeigen, dass tokenisierte Wertpapiere nicht nur ein Prospektthema sind. Die rechtliche Qualität der Emission entscheidet sich an der Schnittstelle von Emissionsbedingungen, Registerführung, Wallet-Infrastruktur, Vertrieb, Sekundärmarkt und Anlegerkommunikation. ## **Fazit** Tokenisierte Wertpapiere sind in nahezu allen Bereichen des Kapitalmarkts einsetzbar. Der Mehrwert liegt vor allem dort, wo die technische Effizienz der Tokenisierung mit einer tragfähigen zivil- und aufsichtsrechtlich Strukturierung einhergeht. Das eWpG bietet hierfür einen belastbaren gesetzlichen Rahmen, insbesondere für Inhaberschaft, Übertragung und gutgläubigen Erwerb. Auch sui-generis-Strukturen bleiben möglich, verlangen aber eine besonders sorgfältige zivilrechtliche Ausgestaltung und bieten nicht automatisch dieselbe Rechtssicherheit wie ein gesetzlich geregeltes elektronisches Wertpapier. Der Listing Act schafft durch die höhere Prospektschwelle und vereinfachte Prospektformate neues Momentum für kleinere und mittlere tokenisierte Emissionen. Gleichwohl bleiben Wertpapier-Informationsblatt, PRIIPs-Basisinformationsblatt, MiFID-Vertriebsvorgaben, Erlaubnispflichten, Marktmissbrauchsrecht und Sekundärmarktstruktur zentrale Prüfungspunkte. In Teil 2 dieser Serie wird die Tokenisierung von Mezzanine-Kapital behandelt. Teil 3 befasst sich mit Kryptofonds, Teil 4 mit tokenisierten Aktien und Anleihen. In Teil 5 folgen Decentralized Autonomous Organisations, internationale Strukturierungsansätze und grenzüberschreitende regulatorische Entwicklungen. ### Identifizierung unter der AMLR: Vom Videoident zur eID URL: https://www.waldvorlauternormen.com/identifizierung-unter-der-amlr-vom-videoident-zur-eid/ Last updated: 2026-06-29T14:25:18.000Z In unserer [Reihe zum EU-Geldwäschepaket](https://waldvorlauternormen.ghost.io/ghost/?ref=waldvorlauternormen.com#/editor/page/6a3bb51f9ada7d0001e83636) stellen wir die verschiedenen Änderungen durch AMLR, 6\. AMLD und die Level 2- und Level 3-Rechtsakte dar. In dem folgenden Beitrag widmen wir uns einem für das Onboarding besonders folgenreichen Bereich: der Feststellung und Überprüfung der Kundenidentität. Im Zentrum steht eine praktisch hochrelevante Frage – das Schicksal des in Deutschland verbreiteten Videoident-Verfahrens. ## Die Ausgangslage: ein deutscher Sonderweg unter Druck Unter dem geltenden GwG ist das Videoident-Verfahren der Marktstandard der Fernidentifizierung (§ 13 GwG i. V. m. den Auslegungs- und Anwendungshinweisen und Rundschreiben der BaFin). Per se zulässige, unmittelbar eID-gestützte Verfahren – allen voran der elektronische Personalausweis mit freigeschalteter Online-Ausweisfunktion – sind in Deutschland dagegen nur eingeschränkt verbreitet. Wie groß die strukturelle Lücke ist, zeigt der europäische Vergleich: ![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/2026/06/Figure-3_e-ID.png) Während die nordischen und baltischen Staaten ihre KYC-Praxis längst eID-basiert organisieren, dominieren in Deutschland video- und selfie-gestützte Verfahren. Genau diese Praxis stellt die AML-VO ab dem 10\. Juli 2027 infrage. ## Identifizierung unter der AML-VO: Wer und Was Maßgeblich ist künftig die unmittelbar geltende AML-Verordnung (VO (EU) 2024/1624 – AML-VO). **Zu identifizieren** sind insbesondere der Vertragspartner bzw. Kunden (Art. 20 Abs. 1 lit. a AML-VO) und Personen, die im Namen oder Auftrag des Kunden auftreten (Art. 20 Abs. 1 lit. i AML-VO); hinzu treten die wirtschaftlich Berechtigten (Art. 20 Abs. 1 lit. b AML-VO). Die **einzuholenden Angaben** regelt Art. 22 Abs. 1 AML-VO. Der Pflichtdatensatz fällt spürbar umfassender aus als bislang. Für natürliche Personen sind insbesondere zu erheben: - sämtliche Vor- und Nachnamen (Art. 22 Abs. 1 lit. a AML-VO); - Geburtsort und vollständiges Geburtsdatum (Ziff. ii); - **alle Staatsangehörigkeiten** sowie – soweit einschlägig – die **nationale Identifikationsnummer** (Ziff. iii); - gewöhnlicher Aufenthaltsort bzw. Postanschrift und – **soweit verfügbar – die Steueridentifikationsnummer** (Ziff. iv). Für juristische Personen treten Rechtsform, Sitz und Gründungsland, gesetzliche Vertreter sowie – soweit verfügbar – Registernummer, Steueridentifikationsnummer und der Legal Entity Identifier hinzu (Art. 22 Abs. 1 lit. b AML-VO). Das Legitimationsverfahren ist künftig als eigenes, prüffähiges Feld im KYC-Datensatz revisionssicher zu dokumentieren. ## Die Überprüfung: die zwei Wege des Art. 22 Abs. 6 AML-VO Für die **Verifizierung** der Angaben eröffnet Art. 22 Abs. 6 AML-VO zwei Wege: ![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/2026/06/identitaetsueberpruefung.svg) Zulässige Identifizierungsverfahren nach Art. 22 Abs. 6 AMLR Für die Fernidentifizierung ist damit der entscheidende Hebel gesetzt: Sie ist künftig grundsätzlich nur über eIDAS-konforme Verfahren zulässig. Videoident-Verfahren sind nicht eIDAS-konform – und stünden damit nach Geltungsbeginn der AML-VO als reguläres Fernidentifizierungsverfahren nicht mehr zur Verfügung. ## Das (vorläufige) Aus für das Videoident (?) Bereits der erste EBA-RTS-Entwurf zu den Sorgfaltspflichten (Art. 28 Abs. 1 AML-VO) vom 6\. März 2025 enthielt in seinem Art. 6 konkrete Vorgaben zur Fernidentifizierung: eIDAS-konforme Verfahren als Grundsatz, andere Verfahren nur ausnahmsweise. In Deutschland steht mit der staatlichen eID (Online-Ausweisfunktion des Personalausweises bzw. eID-Karte für EU-/EWR-Bürger) regelmäßig ein eIDAS-konformes Verfahren bereit. Konsequenz: Der Einsatz des Videoident wäre regelmäßig nicht mehr möglich. ## Stand der Diskussion: Kommission, Industrie, EBA Nach Verabschiedung der AML-VO war zunächst umstritten, ob die Formulierung des Art. 22 Abs. 6 lit. b AML-VO nicht doch eine fortdauernde Anwendbarkeit des Videoident zulasse. Die Debatte verlief in klaren Linien. ### **Position der Kommission.** Aus den Erwägungsgründen der AML-VO (insbesondere ErwG 65 f.) sowie aus der Beantwortung der Konsultationseingaben ergibt sich die Lesart, dass Verpflichtete zur Fernidentifizierung eIDAS-konforme Verfahren zu nutzen haben. Art. 22 Abs. 6 lit. b AML-VO wird damit als Vorrangregel verstanden. ### **Einwände aus der Industrie.** Die Association for Financial Markets in Europe (afme) forderte, Videoident-Verfahren als **gleichwertige Alternative** zu eIDAS-Verfahren anzuerkennen. Begründung: Die eIDAS-Verordnung begründe keine Pflicht, sich eine eID zuzulegen; bestimmte Kundengruppen könnten gar keine eID erlangen (etwa Nicht-EU-/EWR-Bürger) oder sähen sich Barrieren ausgesetzt; zudem sei offen, wie Kunden eIDAS-Verfahren annehmen, während Videoident weit verbreitet, akzeptiert und integriert sei. Hilfsweise solle zumindest ein mehrjähriger Übergangszeitraum eingeräumt werden. Mit ähnlicher Stoßrichtung hatte sich bereits 2024 die Commerzbank an den Bundestag gewandt und vorgeschlagen, das Videoident – zumindest temporär – weiter zuzulassen. ### **Reaktion der EBA.** Die EBA erteilte der Gleichstellung eine Absage und stützte die Linie der Kommission; an der Grundregel ihres Entwurfs nahm sie keine Änderung vor. Die EBA Banking Stakeholder Group (BSG) verschärfte die fachliche Bewertung: Videobasierte Lösungen seien nicht ideal und anfällig für Betrug, insbesondere durch **„Deepfake-Attacken“**; in ihrer alleinigen Nutzung liege ein „systemisches Risiko“ für die europäische Finanzindustrie. Zugleich warnte die BSG davor, einzelne Lösungen zu kodifizieren, und favorisierte technologieneutrale, hohe Sicherheits- und Betrugspräventionsstandards. ### **Der zweite RTS-Entwurf.** Am 9\. Februar 2026 veröffentlichte die AMLA einen überarbeiteten Entwurf und stellte ihn erneut zur Konsultation (Frist: 8\. Mai 2026). Die Regelungen zur Fernidentifizierung finden sich nun in **Art. 7**. In der Sache nur unwesentliche Änderungen: eIDAS-konforme Verfahren bleiben der Standard; andere Verfahren sind nur ausnahmsweise zulässig – nämlich, wenn eIDAS-konforme Verfahren **nicht verfügbar** sind oder ihre Bereitstellung **„vernünftigerweise nicht erwartet werden kann“**. Wird in diesen Fällen auf ein nicht eIDAS-konformes Verfahren zurückgegriffen, muss es die Voraussetzungen des Art. 7 Abs. 3 und 4 RTS-Entwurf erfüllen (zuverlässige, unabhängige Quellen; Sicherheits- und Qualitätsanforderungen) – und der Verpflichtete muss im Einzelfall **begründen**, warum eine eIDAS-konforme Identifizierung nicht möglich war. ## Die zulässigen Verfahren im Überblick Art. 22 Abs. 6 lit. b AML-VO und Art. 7 Abs. 1 RTS-Entwurf sehen zwei eIDAS-konforme Wege vor: **Staatliche eID** – etwa die Online-Ausweisfunktion des Personalausweises bzw. die eID-Karte; künftig auch über die EUDI-Wallet. In Deutschland sind diese Verfahren auf dem Sicherheitsniveau „substanziell“/„hoch“ notifiziert (Art. 7 ff. eIDAS-VO). Praktisch besitzt jeder Bürger über den Personalausweis bereits eine eID (Chip seit 2010, eID-Funktion standardmäßig seit dem 15\. Juli 2017, für ältere Ausweise nachträglich aktivierbar). **Qualifizierter Vertrauensdienst** nach eIDAS (Art. 3 Nr. 16, 17 eIDAS-VO). Da der Vertrauensdienst zusätzliche Kosten verursacht und gegenüber der eID keinen ersichtlichen Mehrwert bietet, wird die Identifizierung regelmäßig über die staatliche eID erfolgen. ## Die EUDI-Wallet – der kommende Standard Mit eIDAS 2.0 (VO (EU) 2024/1183) wurde der Rahmen für die **EU Digital Identity Wallet (EUDI-Wallet)** geschaffen – gedacht als „Super-App“ digitaler Identität mit Kernfunktionen wie Personenidentifizierung (Person Identification Data), elektronischer Signatur, Dokumentenspeicherung und Transaktionsauthentifizierung. Für den Finanzsektor ist vor allem die Identifizierung bei Begründung der Geschäftsbeziehung (Konto-/Depoteröffnung) relevant. Technisch baut die jeweilige nationale Version auf bestehenden eIDs auf – in Deutschland auf der Online-Ausweisfunktion. Der Onboarding-Ablauf ist schlank: Der Kunde wählt bei der Kontoeröffnung die EUDI-Wallet, öffnet sie per Link/QR-Code, gibt die erforderlichen Datenpunkte frei; das Institut erhält die Daten samt Echtheitsnachweis und übermittelt den Vertrag, der über die Wallet signiert werden kann. Welche Datenpunkte mindestens zu erfassen sind, regelt Annex I des RTS zu Art. 28 Abs. 1 AML-VO (risikobasiert können weitere hinzutreten). **Zeitplan:** Die Umsetzung in den Mitgliedstaaten soll bis Anfang 2027 erfolgen; Deutschland plant die erste Ausbaustufe der staatlichen EUDI-Wallet für **Januar 2027**. Die nationale Rechtsgrundlage – das **Digitale-Identitäten-Gesetz (DIdG)** – hat das Bundeskabinett am 20\. Mai 2026 verabschiedet; Zuständigkeiten liegen u. a. beim BMDS (mit Durchgriffsrechten), BSI und der BNetzA. Nutzung kostenfrei und freiwillig, der Personalausweis fungiert als „digitaler Zwilling“. Nach Angaben des Digitalministeriums entwickeln bereits über 100 Unternehmen Anwendungen auf Basis der Wallet, darunter Lösungen zur Kontoeröffnung; privatwirtschaftliche Wallet-Alternativen sollen rund zwölf Monate nach dem Start zugelassen werden. ## Die European Business Wallet – Identifizierung juristischer Personen Für juristische Personen, Einzelunternehmer, Selbstständige und öffentliche Stellen ist ergänzend eine **European Business Wallet (EUBW)** geplant; die Kommission hat hierzu am 19\. November 2025 im Rahmen des Digital-Omnibus-Pakets einen Verordnungsvorschlag vorgelegt. Die EUBW bildet die AML-relevanten Unternehmensdaten verifiziert ab und adressiert damit zentrale Sorgfaltspflichten unmittelbar: - Identifizierung des Vertragspartners (Art. 20 Abs. 1 lit. a AML-VO) → verifizierte Firmierung, Rechtsform, Registernummer, Sitz; - Identifizierung der wirtschaftlich Berechtigten (lit. b) → verknüpfte Identitätsnachweise der UBOs aus EUDI-Wallets; - Vertretungsbefugnis / im Namen Handelnde (lit. i) → elektronische Vollmachten; - Geschäftszweck und Art der Geschäftsbeziehung (lit. g) → strukturierte Unternehmensattribute (u. a. NACE-Codes); - laufende Überwachung und Datenaktualität (Art. 26 AML-VO) → Live-Abgleich mit Registerquellen. Nach dem Vorschlag soll die EUDI-Wallet künftig natürlichen Personen vorbehalten sein, während die EUBW Wirtschaftsakteure adressiert; beide Systeme sollen nahtlos integriert sein, sodass etwa Selbstständige sich mit ihrer EUDI-Wallet authentifizieren und zugleich EUBW-Dienste nutzen können. Für den Privatsektor ist die Nutzung freiwillig, für öffentliche Stellen verpflichtend. ## Fallback Videoident? Die enge Ausnahme Vor diesem Hintergrund bleibt das Videoident-Verfahren unter der AML-VO zwar anwendbar – aber nur als eng begrenzte Fallback-Option: - Ein Rückgriff ist nach dem RTS-Entwurf nur zulässig, wenn **keine eIDAS-konforme Lösung verfügbar** ist oder deren Anwendung im Einzelfall **unzumutbar oder unverhältnismäßig** wäre. Ein möglicher Anwendungsfall könnte etwa die Identifizierung von Drittstaatsangehörigen (außerhalb der EU) sein, bei denen eine eID realistisch nicht zu erwarten ist. - Das eingesetzte Videoident-Verfahren muss die Voraussetzungen des **Art. 7 Abs. 3 lit. a–e RTS-Entwurf** erfüllen (erhöhte technische Sicherheits- und Missbrauchspräventionsanforderungen). - Jeder Rückgriff ist **einzeln zu begründen** (Art. 7 Abs. 4 RTS-Entwurf), und der Verpflichtete muss die Konformität des Verfahrens gegenüber der Aufsicht darlegen können. Ob die in Deutschland verbreiteten Videoident-Verfahren in ihrer aktuellen Form diese Anforderungen erfüllen, ist offen – angesichts bekannter Sicherheitslücken und der wachsenden Bedrohung durch KI-generierte Deepfakes ist dies eher zweifelhaft. Hinzu treten die praktischen Schwächen des Verfahrens: Kosten von rund 6 EUR je Identifizierungsvorgang, Abbruchraten von etwa 30 % sowie Wartezeiten im Prozess. ## Ausblick Die Einschätzung der EBA kann sich nach Abschluss der zweiten Konsultationsphase theoretisch noch ändern; angesichts des klaren Wortlauts des Art. 22 Abs. 6 lit. b AML-VO und der Erwägungsgründe – sowie der übereinstimmenden Linie von Kommission und EBA – ist eine Abkehr aber unwahrscheinlich. Nicht ausgeschlossen ist hingegen, dass Verpflichteten eine Übergangsfrist eingeräumt wird. Spätestens zum Geltungsbeginn der AML-VO am **10\. Juli 2027** stehen Verpflichtete damit vor der Aufgabe, ein neues, eIDAS-konformes Standardverfahren zur Fernidentifizierung zu etablieren. Die wesentliche Herausforderung liegt in der Einbindung einer Softwarelösung als Schnittstelle zur Übertragung der Identifizierungsdaten an das Institut. Da der Start der EUDI-Wallet für Januar 2027 vorgesehen ist, sollten entsprechende Anwendungen zum Geltungsbeginn am Markt verfügbar sein – die Entwicklung ist eng zu beobachten. So erheblich der Umstellungsaufwand ist: Die Migration kann sich für Verpflichtete wie Kunden lohnen – durch Kostenersparnis, höhere Akzeptanz, schnellere und einfachere Abläufe sowie eine niedrigere Hürde bei der Kontoeröffnung. Das kann die Wechselbereitschaft der Kunden erhöhen und damit den Wettbewerb stärken. Praxis-Checkliste · Living Document ## Umstellung auf eIDAS-konforme Fernidentifizierung Für Verpflichtete, die ihr Fernidentifizierungsverfahren bis zum Geltungsbeginn der AML-VO am **10\. Juli 2027** umstellen müssen. Stand: Juni 2026 — fortzuschreiben mit Veröffentlichung der finalen RTS. **0** von **0** Punkten erledigt Alle ausklappen Als PDF speichern Zurücksetzen Der Bearbeitungsstand wird nur lokal in deinem Browser gespeichert. © Waldeck · WCTS ### Update digitaler Euro: Wirtschafts- und Währungsausschuss des EU-Parlaments stimmt für die Einführung URL: https://www.waldvorlauternormen.com/update-digitaler-euro-wirtschafts-und-wahrungsausschuss-des-eu-parlaments-stimmt-fur-die-einfuhrung/ Last updated: 2026-06-26T08:30:53.000Z ## Was ist der digitale Euro? Der digitale Euro ist ein von der Europäischen Zentralbank (EZB) im Juli 2021 angestoßenes Projekt zur Einführung eines digitalen Zentralbankgeldes (Central Bank Digital Currency - CBDC) im Euroraum. Zunächst wurde in einer zweijährigen Untersuchungsphase im Eurosystem (EZB und nationale Zentralbanken der Euroländer) das Konzept, Fragen der technischen Umsetzung und ein Designvorschlag zum digitalen Euro erarbeitet. Auf dieser Grundlage hat die EU-Kommission dann im Juni 2023 einen Gesetzesvorschlag vorgelegt. Aktuell wird nun daran gearbeitet, das Eurosystem auf die Möglichkeit der Einführung und Ausgabe des digitalen Euros im Jahr 2029 vorzubereiten. Gleichzeitig wird im Rat der Europäischen Union und im Europäischen Parlament am rechtlichen Rahmen des digitalen Euros auf Grundlage des Vorschlags der EU-Kommission aus dem Jahr 2023 gearbeitet. Ohne diesen rechtlichen Rahmen könnte die EZB den digitalen Euro als neue Form des Geldes nicht emittieren. Derzeit wird mit einem Abschluss des Gesetzgebungsprozesses bis Ende des Jahres gerechnet. ## Eigenschaften des Digitalen Euro Als öffentliches Pendant zu digitalem Geld soll der digitale Euro als elektronisches gesetzliches Zahlungsmittel gelten und so als "digitaler Zwilling des Euro-Bargelds" funktionieren. Er soll im gesamten Euroraum für Einkäufe vor Ort oder online als Zahlungsmittel sowie für Überweisungen genutzt werden können. Vor dem Hintergrund, dass mit den aktuell am Markt angebotenen und etablierten Zahlungsdienstleistungen, die es bereits heute ermöglichen privates Geld einfach, schnell und häufig zumindest für Verbraucherinnen und Verbraucher (vordergründig) kostenfrei zu transferieren stellt sich aber die Frage danach, welchen Mehrwert digitales Zentralbankgeld bietet. Denn zusätzlich gibt es mittlerweile auch im Bereich der Kryptowährungen mit sogenannten Stablecoins privatwirtschaftliche Angebote, die aufgrund ihrer Wertstabilität durch ihre Bindung an stabile Referenzwährungen oder andere Werte (wie den US-Dollar, den Euro oder Gold) als Zahlungsmittel oder zum Geldtransfer eingesetzt werden können und insbesondere in Schwellenländern mit (inflationsbedingt) volatilen nationalen Währungen weit verbreitet sind. ## Motivation der Kommission zum Vorhaben Wesentliche Begründung der EZB für die Notwendigkeit der Einführung des digitalen Euros als Zahlungsmittel ist die aktuell bestehenden Abhängigkeit von außereuropäischen Dienstleistern. So entfallen im Euroraum aktuell 61 % aller Kartenzahlungen auf die US-Unternehmen Visa und Mastercard. Diese Abhängigkeit soll auch vor dem Hintergrund wachsender geopolitischer Spannungen mittels des digitalen Euros verringert werden um die digitale Souveränität und die Resilienz des EU-Finanzsystems zu stärken. Anschaulich kann man die Folgen dieser Abhängigkeit an den [Sanktionen der US-Regierung gegen den Internationalen Strafgerichtshof](https://verfassungsblog.de/die-sanktionierung-des-rechts/?ref=waldvorlauternormen.com), beziehungsweise dessen Richterinnen und Richter, beobachten. Die betroffenen Personen wurden unter anderem von der Nutzung amerikanischer Zahlungsdienste ausgeschlossen , was aufgrund fehlender Alternativen erhebliche Einschränkungen für die betroffenen Personen bedeutete. Ein wesentlicher weiterer Vorteil ist, dass es sich beim digitalen Euro um Zentralbankgeld handeln wird, dass der Öffentlichkeit bisher nur in Form von Bargeld zur Verfügung steht. Dieses, von der Zentralbank ausgegebene, öffentliche Geld genießt die Absicherung als universelles Zahlungsmittel durch öffentliche Institutionen und rechtliche Strukturen. Damit hat es auch Vorteile gegenüber Stablecoins, deren Emittenten häufig außerhalb der der Aufsichtsregeln des traditionellen Bankensystems agieren und deren Kunden zum Beispiel nicht von einem mit der Einlagensicherung im Bankensektor vergleichbaren Mechanismus profitieren. Neben der EU arbeiten aktuell insgesamt 146 Länder und Währungsräume in unterschiedlichen Stadien an Projekten eines digitalen Zentralbankgeldes, wobei die Zielsetzungen teilweise sehr unterschiedlich sind. Die Funktionsweise und die Nutzungsmöglichkeiten von digitalem Zentralbankgeld hängen dabei wesentlich von der konkreten Ausgestaltung der rechtlichen Rahmenbedingungen ab. Eine Übersicht über die einzelnen Projekte und Stadien, in denen sie sich befinden, findet sich [hier](https://www.atlanticcouncil.org/cbdctracker/?ref=waldvorlauternormen.com). Es gibt aber auch Länder, die sich (zumindest vorerst) gegen die Einführung eines digitalen Zentralbankgeldes entschieden haben. So wurde im US-Kongress, exakt an dem Tag des Beschlusses des Wirtschafts- und Währungsausschusses, ein Gesetz verabschiedet, dass es der amerikanischen Zentralbank (Federal Reserve Board - FED) bis Ende des Jahres 2030 ausdrücklich verbietet, eine CBDC oder ein „im Wesentlichen ähnliches“ staatliches digitales Asset direkt oder über Intermediäre zu emittieren. ## Was Bedeutet die Entscheidung des Wirtschafts- und Währungsausschusses? ### Ausgestaltung Mit der Entscheidung des Wirtschafts- und Währungsausschusses wurden wesentliche Weichenstellungen für die Ausgestaltung des rechtlichen Rahmens des digitalen Euros vorgenommen. Während im Parlament lange Uneinigkeit darüber bestand, wie der digitale Euro konkret ausgestaltet werden soll und welche Funktionen er haben soll, wurden jetzt in wesentlichen Fragen Einigungen erzielt. So soll der digitale Euro in einer eigenen digitalen Geldbörse gehalten werden können und sowohl online als auch offline (also auch ohne bestehende Internetverbindung) zur Zahlung genutzt werden können. Online Zahlungen sollen über ein kontenbasiertes System abgewickelt werden, während offline Zahlungen direkt von lokalen Speichermedien getätigt werden sollen, die analog zur Bezahlung mit Bargeld nur unter Anwesenheit des Zahlers vor Ort funktionieren sollen. ### Privatsphäre und Anonymität Darüber hinaus soll der digitale Euro ein hohes Maß an Privatsphäre bieten; die EZB soll nicht in die Lage versetzt werden können, Nutzer direkt anhand von Zahlungsdaten identifizieren oder deren Konsumverhalten überwachen zu können. Die Frage des Datenschutzes ist ein durchaus heikles Thema. Seit bekanntwerden der Pläne zur Einführung des digitalen Euro gibt es (vor allem unsachliche) Diskussionen um die [Möglichkeiten der staatlichen Überwachung, die mit der Einführung des digitalen Euros einhergehen könnten, sowie Ängste vor einer möglichen Abschaffung des Bargeldes](https://www.tagesschau.de/faktenfinder/kontext/ezb-digitaler-euro-104.html?ref=waldvorlauternormen.com). So unbegründet diese Ängste sind, steht die Frage des Datenschutzes der Nutzerinnen und Nutzer durchaus in einem Spannungsverhältnis mit anderen regulatorischen Vorgaben auf EU-Ebene, beispielsweise den Vorgaben zur Verhinderung von Geldwäsche und Terrorismusfinanzierung. Im [Gesetzesvorschlag der EU-Kommission aus dem Jahr 2023](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:52023PC0369&ref=waldvorlauternormen.com) hat die Union im Rahmen der Ausführungen zur "Kohärenz mit der Politik der Union in anderen Bereichen" festgestellt, dass der digitale Euro durch "den Ausschluss der vollständigen Anonymität" im Einklang mit den Zielen des EU-Geldwäschepakets stehe. Selbiges gilt aber selbstverständlich auch für alle privaten Anbieter von Zahlungsdienstleistungen sowie alle Banken, bei denen ebenfalls keine vollständige Anonymität gewährleistet wird. Es bleibt abzuwarten, wie der EU-Gesetzgeber dieses Spannungsverhältnis letztendlich auflösen wird und wie ein angemessener Datenschutz sichergestellt werden kann. Auch davon wird die Akzeptanz des digitalen Euro in der Bevölkerung abhängen. ### Limits und Höchstbeträge Darüber hinaus hat sich das Parlament darauf geeinigt, dass es ein Haltelimit für den digitalen Euro geben soll, also einen Höchstbetrag, den Bürgerinnen und Bürger maximal in digitalen Euros halten können. [Es gibt Stimmen, die ein Haltelimit ablehnen, da es die Nutzbarkeit des digitalen Euros als vollwertiges Geldmedium begrenzen würde](https://verfassungsblog.de/digitaler-euro/?ref=waldvorlauternormen.com), womit dieser in Funktionalität und Akzeptanz gerade im Vergleich zu existierenden Zahlungsmöglichkeiten begrenzt werden würde. Dagegen wird für das Haltelimit die Notwendigkeit der Wahrung der Finanzstabilität angeführt. Ohne Haltelimit bestünde die Gefahr, dass zu viele Personen hohe Geldbeträge von Bankkonten abziehen und in digitale Euros eintauschen würden, was zu hohen Einlagenabflüssen bei den betroffenen Banken führen könnte und damit die Stabilität des europäischen Finanzsystems insgesamt beeinträchtigen könnte. ### Infrastruktur und Abwicklung Die grundlegende Infrastruktur des digitalen Euro soll von der EZB bereitgestellt werden. Aufbauend auf dieser Infrastruktur können dann private Geschäftsbanken und Zahlungsdienstleister Dienstleistungen unter Nutzung des digitalen Euros entwickeln und anbieten. Für die Erbringung dieser Dienstleistungen sollen die Anbieter entschädigt werden. Händler, welche die Infrastruktur des digitalen Euros nutzen, bei denen also Kundinnen und Kunden mit dem digitalen Euro bezahlen können, sollen Gebühren für die Nutzung entrichten müssen, die aber geringer sein sollen als die Nutzungsgebühren aktuell verfügbarer, rein privatwirtschaftlicher Modelle. Als Zahlungsmittel soll der digitale Euro von den meisten Geschäfte in der Eurozone akzeptiert werden müssen. Ausnahmetatbestände von dieser Annahmepflicht sollen nur für Selbstständige sowie kleine Unternehmungen und sogenannte "Micro Enterprises" gelten, die auch keine anderen digitalen Zahlungsmöglichkeiten akzeptieren. ## Welche Fragen sind bis zur Einführung noch zu klären? Nach wie vor ungeklärt und umstritten ist die Frage nach der konkreten Höhe des Haltelimits für den digitalen Euro. Die [Mitglieder des Europäischen Parlaments haben dazu ein Verfahren vorgeschlagen](https://www.europarl.europa.eu/news/en/press-room/20260622IPR45912/digital-euro-meps-want-to-ensure-sovereignty-privacy-and-financial-stability?ref=waldvorlauternormen.com), nachdem die EU-Kommission das Haltelimit auf der Basis entsprechender Empfehlungen der EZB festlegen soll. Das Haltelimit soll dann mindestens alle zwei Jahre überprüft werden. Vor dem Hintergrund der oben gemachten Ausführungen zu den Auswirkungen der Einführung ohne Haltelimit erscheint dieses Verfahren sinnvoll. So kann zunächst ein niedrigeres Haltelimit festgelegt werden, um die Auswirkungen der Einführung des digitalen Euros auf den Finanzmarkt und dessen Akteure zu beobachten. Dieses Haltelimit kann dann nach oben angepasst werden, da ein dauerhaft zu niedriges Haltelimit die Nutzung des digitalen Euros beispielsweise zur Zahlung hochpreisiger Güter nicht möglich machen wird und damit dessen Akzeptanz und Nutzung durch die Bürger beeinträchtigen kann. Auch die (Höhe) der Entschädigung für das Anbieten von Dienstleistungen rund um den digitalen Euro durch Finanzinstitute und Zahlungsdienstleister ist noch nicht geklärt und gehörte im Ausschuss angeblich zu den strittigsten Punkten der Beratungen. Diese Frage wird abgesehen von der Akzeptanz der Bürgerinnen und Bürger wesentlichen Einfluss darauf haben, welche Bereitschaft Finanzinstitute und Zahlungsdienstleister zur Entwicklung und dem Anbieten von Dienstleistungen rund um den digitalen Euro zeigen. ## Ausblick Im Anschluss an die Entscheidung des Wirtschafts- und Währungsausschusses muss das Europäische Parlament die Position des Ausschusses in einer Plenarsitzung, die noch vor der parlamentarischen Sommerpause stattfinden soll, formell bestätigen. Erst nach dieser Bestätigung wird dann das nicht formalisierte Trilogverfahren beginnen. Dieses Verfahren kann sich erfahrungsgemäß (als Beispiel sei an dieser Stelle nur auf das Trilogverfahren zur FIDA-Verordnung verwiesen) in die Länge ziehen, insbesondere, da schon im Parlament einige Fragen zum rechtlichen Rahmen des digitalen Euros umstritten waren. Es ist nicht zu erwarten, dass die Verhandlungen unter Einbeziehung der Kommission und der Mitgliedstaaten einfacher werden. Insofern ist fraglich, ob die Klärung des rechtliche Rahmen wie geplant bis Ende des Jahres abgeschlossen sein wird. Gleichzeitig befindet sich die EZB bereits in der letzten Phase der Vorbereitung auf den digitalen Euro, der darauf abzielt, die mögliche Ausgabe des digitalen Euros im Laufe des Jahres 2029 vorzubereiten. Dazu könnten ab Mitte 2027 erste Pilotprojekte mit einzelnen Marktteilnehmern, insbesondere Zahlungsdienstleistern und Händlern starten, um Erkenntnisse über operative, nutzerbezogene und technische Aspekte des digitalen Euros zu gewinnen um damit eine solide Grundlage für dessen Einführung zu schaffen. So hängt nicht nur dieser Zeitplan, sondern vor allem die Akzeptanz des digitalen Euros von dessen konkretem rechtlichen Rahmen ab. Dieser wird wesentlich über Nutzungsmöglichkeiten, Akzeptanz der Bürgerinnen und Bürger und die Auswirkungen auf andere (etablierte) Marktteilnehmer entscheiden. Sobald es neue Entwicklungen rund um den digitalen Euro geben wird, werden wir an dieser Stelle darüber berichten. ### Impact der AMLR im Versicherungssektor: Transaktionsmonitoring URL: https://www.waldvorlauternormen.com/impact-der-amlr-im-versicherungssektor-transaktionsmonitoring/ Last updated: 2026-06-24T11:05:30.000Z In unserer Beitragsreihe AMLR für Versicherer stellen wir die Auswirkungen des AML-Pakets für Versicherer dar. Die Beiträge der Reihe finden Sie [hier](https://www.waldvorlauternormen.com/amlr-fur-versicherer/). --- Die AMLA hat am 3\. Juni 2026 die [Leitlinien zur kontinuierlichen Geschäftsbeziehungsüberwachung](https://www.amla.europa.eu/policy/public-consultations/consultation-draft-guidelines-ongoing-monitoring-business-relationship%5Fen?ref=waldvorlauternormen.com) („*ongoing monitoring of a business relationship*“) in der Entwurfsfassung zur Konsultation gestellt. Damit konkretisiert sie auch die Vorgaben zum Transaktionsmonitoring. Auf dem bisherigen Entwurfsstand zeichnet sich ab: Die allermeistern Versicherer (und Versicherungsvermittler allemal) dürfte auch künftig keine Pflicht zum IT-gestützten Transaktionsmonitoring treffen! Die Anforderungen an manuelle Prozesse steigern sich aber. Die Konsultationsphase dauert noch bis September 2026 an – es bleibt zu hoffen, dass die AMLA bis dahin keinen strengeren Standpunkt einnimmt. Alle verpflichteten Unternehmen – auch geldwäscherechtlich verpflichtete Versicherer und Versicherungsvermittler – haben die Geschäftsbeziehung zu ihren Kunden und dabei wiederum die in ihrem Verlauf getätigten Transaktionen (= *Transaktionsmonitoring*) zu überwachen. Das gilt auch künftig nach [Art. 26](https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L%5F202401624&ref=waldvorlauternormen.com) der AMLR (*unsere ausführliche Analyse zum Ongoing Monitoring unter der AMLR findet sich* [hier](https://www.waldvorlauternormen.com/kontinuierliche-uberwachung-der-geschaftsbeziehung-unter-der-amlr-neue-standards-erkennbare-offenheit-fur-technologie-und-der-jungste-amla-leitlinien-entwurf/)) und wird durch die neuen AMLA-Leitlinien nochmals konkretisiert. ## **Bislang keine Pflicht zum IT-Monitoring** Geldwäscherechtlich verpflichtete Versicherer (und Versicherungsvermittler) sind bislang nicht gesetzlich dazu verpflichtet, ihr Transaktionsmonitoring IT-gestützt aufzusetzen. Das ist behördenseitig nicht immer auf Verständnis gestoßen: Schon die [Nationale Risikoanalyse 2018/2019 (S. 86)](https://www.bundesfinanzministerium.de/Content/DE/Downloads/Broschueren%5FBestellservice/2019-10-19-erste-nationale-risikoanalyse%5F2018-2019.pdf?%5F%5Fblob=publicationFile&v=3&ref=waldvorlauternormen.com) hat Versicherer dazu aufgefordert bei Kreditgeschäften, Kapitalisierungsgeschäften oder Produkten mit flexiblen Ein- und Auszahlungsmöglichkeiten besonders kritisch zu hinterfragen, ob zur angemessenen Risikoprävention nicht EDV-gestützte Monitoring-System eingesetzt werden müssten. In dieselbe Kerbe schlägt auch die [BaFin](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2024/fa%5Fbj%5F0626%5FInterview%5FSperl.html?ref=waldvorlauternormen.com) immer wieder und empfiehlt Versicherern Verwendung von IT-Monitoringsystemen, wenn sie flexible Versicherungsprodukte und „banknahe“ Geschäfte im Produktportfolio haben. Je größer das jeweilige Unternehmen, desto verbreiteter ist heute schon ein (freiwilliges!) IT‑gestütztes Transaktionsmonitoring. Je kleiner das jeweilige Haus bzw. je überschaubarer die relevante Produktstruktur, desto eher bleibt es (zulässigerweise) bei der manuellen Transaktionsprüfung. ## **Auch keine Pflicht zum IT-Monitoring unter der AMLR** Die nun von der AMLA veröffentlichten Leitlinien zur kontinuierlichen Geschäftsbeziehungsüberwachung legen nahe, dass an diesem Status Quo auch unter der AMLR nicht gerüttelt wird. Die Leitlinien unterscheiden zwischen manuellen Transaktionsmonitoring-Prozessen einerseits und dem Einsatz halb- oder vollautomatisierter Monitoringsysteme andererseits (Entwurf der AMLA-Leitlinien, Rn. 42 ff.) und treffen dabei folgende Vorgaben: ### **Eigene, risikobasierte Festlegung des Monitoring-Rahmens** - Verpflichtete Versicherer und Vermittler sollen festlegen, ob ihr Überwachungsrahmen manuelle, automatisierte oder halbautomatisierte Prozesse und Kontrollen erfordert. Diese Bewertung soll unter anderem die Unternehmensgröße, die Art der Geschäftstätigkeit, das Volumens und die Häufigkeit von Transaktionen sowie die Komplexität Kontrollen berücksichtigen. - Die Gestaltung und Intensität des Überwachungsrahmens sollten risikobasiert sein. Erforderlich ist, dass die im Rahmen der unternehmenseigenen Risikoanalyse ermittelten Risiken mithilfe des Monitoringrahmens gemindert werden. - Auf der Grundlage der unternehmenseigenen Risikoanalyse muss beurteilen werden, ob manuelle Prozesse und Kontrollen ausreichen, um wirksame Monitoringergebnisse zu erzielen, oder ob die Unterstützung durch automatisierte oder halbautomatisierte Systeme und Prozesse gerechtfertigt ist. - Die Gründe für das gewählte Überwachungssystem, dessen Gestaltung und, falls erforderlich, die Anpassungen sind dokumentieren. Die Funktionsweise, die Begründung und die Wirksamkeit des jeweils gewählten Ansatzes ist den zuständigen Behörden auf Anfrage nachzuweisen. 💡 Im Ergebnis ist das nichts Neues: Schon die [Nationale Risikoanalyse 2018/2019 (S. 86)](https://www.bundesfinanzministerium.de/Content/DE/Downloads/Broschueren%5FBestellservice/2019-10-19-erste-nationale-risikoanalyse%5F2018-2019.pdf?%5F%5Fblob=publicationFile&v=3&ref=waldvorlauternormen.com) fordert Versicherer dazu auf, die Antwort auf die Frage nach manuellen oder IT-gestützten Prozessen in die eigene Risikoanalyse aufzunehmen. Die Ausgestaltung des Transaktionsmonitorings – als Bestandteil der laufenden Customer Due Diligence – muss mit den Ergebnissen der eigenen Risikoanalyse korrespondieren. Im Rahmen der Risikoanalyse sollte auf Maßnahmenebene (konkret bei der Frage der Angemessenheit des jeweiligen Monitoring-Rahmens) bereits bewertet werden, ob ein manuelles oder halb- bzw. vollautomatisiertes Verfahren den ermittelten Risiken ausreichend begegnet. ### **Manuelle Verfahren bei „transaktionsfernen“ Strukturen** - Der Entwurf der AMLA-Leitlinien (Rn. 47) hält allgemein fest, dass sich Unternehmen, auf manuelle Überwachungsprozesse und -kontrollen stützen können, wenn sie - strukturell nur begrenzten oder gar keinen Zugang zu Transaktions- und Aktivitätsdaten haben, - aufgrund der Art ihres Geschäftsmodells keine Transaktionen verarbeiten oder - bei denen Transaktionsvolumen, -geschwindigkeit, -umfang und -komplexität den Einsatz automatisierter oder halbautomatisierter Überwachungssysteme und -prozesse nicht rechtfertigen. 💡 Mit diesen Vorgaben dürfte für solche Unternehmen, die das Transaktionsmonitoring heute manuell oder halbautomatisiert durchführen, auch in Zukunft keine Zwang bestehen, auf ein vollautomatisiertes Monitoringsystem umzustellen. Das betrifft z.B. Versicherungsunternehmen mit überschaubaren und regelmäßigen Prämienzahlungseingängen. Das hat die BaFin auch bislang so gesehen („[Bei klassischen Versicherungsgeschäften mit regelmäßigen und gleichbleibenden Prämienzahlungen ist das \[manuelle Transaktionsmonitoring\] auch kein Problem](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2024/fa%5Fbj%5F0626%5FInterview%5FSperl.html?ref=waldvorlauternormen.com)“). Andererseits wird gelten: Je komplexer das Produkt und flexibler die Transaktionsstruktur, um so eher gerät man in einen Bereich, er nach automatisierter Überprüfung verlangt. - Manuelle Monitoringprozesse müssen risikoangemessen sein und dabei sowohl regelmäßige als auch ereignisgesteuerte Überprüfungen, dokumentationsbasierte Kontrollen und – sofern relevant und umsetzbar – Vorabkontrollen umfassen. 💡 Auch hier liegt die Kunst wieder darin, die konkrete Prozessausgestaltung aus den in der Risikoanalyse festgestellten Bruttorisiken abzuleiten. Transaktionen in Verbindung zu risikoerhöhten Produkten, die Möglichkeit der Prämienzahlung durch Dritte usw. erfordern intensivere Monitoringintervalle. ## **Keine externen Tools im Default-Mode** Wer auf automatisierte Monitoringsysteme zurückgreift, muss sich zwischen der Implementierung eines selbst erdachten Systems oder dem Einkauf extern entwickelter Software entscheiden. 💡 Die Entwicklung eigener Systeme ist aufwändig, zeitintensiv und erfordert eine enge fachliche Begleitung durch den jeweiligen Geldwäschebeauftragten. Sie bietet aber den Vorteil, sich „sein“ Monitoringsystem direkt passend auf den Leib schneidern zu können. Aber auch wenn ein extern entwickeltes Monitoringtools eingekauft wird, darf es nicht einfach mit den Werkseinstellungen in Betrieb genommen werden. Die Default-Einstellungen müssen gegen die Eigenheiten des eigenen Unternehmens und Geschäftsmodells geprüft und angepasst werden, wobei diese Anpassungen wieder dokumentiert und aus der Risikoanalyse abgeleitet werden müssen. Standardeinstellungen sollten nicht ohne eine dokumentierte Bewertung ihrer Angemessenheit verwendet werden (Entwurf der AMLA-Leitlinien, Rn. 50). 💡 Die am Markt gängigen Systeme sind stets für die Perspektive von Kredit- und Zahlungsinstituten entwickelt. Versicherer sind daher (leider) immer in besonderem Maße mit der Herausforderung konfrontiert, diese „Bankentools“ für die Versicherungstätigkeit handhabbar zu machen. Die AMLA stellt hier klar, was ohnehin klar ist: Am Markt erworbene Tools können nicht ungesehen und unangepasst auf das eigene Unternehmen angewandt werden – das gilt im besonderen Maße für den Versicherungssektor. ## **Fazit** An den zentralen Stellschrauben wird nicht gedreht: Eine starre Pflicht zum IT-gestützten Transaktionsmonitoring kommt (zum heutigen Stand der AMLA-Leitlinien) auch nicht unter der AMLR. Es bleibt dem eigenen Unternehmen überlassen, sich mit dem Für und Wider manueller Prozesse bzw. halb- oder vollautomatisierter Monitoringsysteme auseinanderzusetzen. Die behördliche Erwartungshaltung hinsichtlich dieser Eigenevaluierung wird aber strikter: Künftig wird im Rahmen jeder unternehmenseigenen Risikoanalyse im Detail hergeleitet und begründet werden müssen, weshalb der jeweils gewählte Monitoringansatz „angemessen“ ist und die identifizierten Risiken angemessen steuert. 💡 Das erfordert wiederum eine nachvollziehbare Bewertungsmethodik innerhalb der Risikoanalyse, mit der die einzelnen Risiken (in Zusammenhang mit der Produktstruktur und der Transaktionsmöglichkeiten) ins Verhältnis zur Maßnahmenqualität (manuelle oder automatisierte Prozessgestaltung) gesetzt werden. ### Paukenschlag in Frankfurt: Amtsgericht hält hessische Mieterschutzverordnung für unwirksam URL: https://www.waldvorlauternormen.com/paukenschlag-in-frankfurt-amtsgericht-halt-hessische-mieterschutzverordnung-fur-unwirksam/ Last updated: 2026-06-22T17:16:47.000Z Sinn und Eignung der Mietpreisbremse werden in Deutschland seit Jahren kontrovers diskutiert. Teilweise bewerten Marktteilnehmer die Mietpreisbremse als unerlässliches Instrument zum Schutze der Mieter, andere sehen hierin eher eine regulatorische Renditebremse, die Vermieter von erforderlichen Investitionen in Bau- und Sanierungsmaßnahmen und somit von der Schaffung neuen Wohnraums abhält. Besonderes Interesse nicht zuletzt bei institutionellen Investoren, Immobilienfonds und sonstigen Bestandshaltern dürfte vor diesem Hintergrund die jüngste Entscheidung des Amtsgericht Frankfurt am Main wecken, das mit Urteil vom 10.06.2026 (Az. 33029 C 130/25) die Unwirksamkeit der Verlängerung der Hessischen Mieterschutzverordnung vom 12.11.2025 festgestellt hat. Sollte das Urteil in Rechtskraft erwachsen, hätte dies eine unmittelbare Auswirkung auf angespannte Wohnungsmärkte in Hessen, in denen bisher die Mietpreisbremse galt. Der vorliegende Beitrag fasst das Urteil und seine wesentlichen Folgen zusammen. --- ## **Das Urteil** Die [Hessische MieterschutzVO vom 18.11.2020](https://www.rv.hessenrecht.hessen.de/bshe/document/jlr-MietSchutzVHErahmen?ref=waldvorlauternormen.com) (GVBl. 2020, 802, hiernach „**MieterschutzVO**“) ist am 25.11.2025 ausgelaufen. Mit der "Verordnung zur Änderung der Mieterschutzverordnung" vom 12.11.2025 (GVBl. Nr. 74 vom 17.11.2025, S. 1 ff., hiernach „**Änderungsverordnung**“) wurde die Wirksamkeit der MieterschutzVO um ein Jahr bis zum 25.11.2026 verlängert. Das Amtsgericht Frankfurt hält diese Verlängerung für unwirksam. Die Verlängerung der am 25.11.2025 ausgelaufenen MieterschutzVO sei rechtlich nichts anderes als der Neuerlass einer Mieterschutzverordnung im Sinne des § 556 Abs. 2 BGB. Aus diesem Grund hätte die Verlängerung der MieterschutzVO auch die an den Verordnungsgeber in § 556d BGB gestellten Anforderungen erfüllen und konkret begründet werden müssen (§ 556d Abs. 2 Satz 5 und 6 BGB). Diesen Anforderungen sei die Änderungsverordnung nicht gerecht geworden, da sie die Bewertung etwaiger angespannter Wohnungsmärkte lediglich auf eine Gesamtschau gestützt habe, ohne die erforderlichen empirischen Untersuchungen zum Erfordernis einer Mietregulierung herangezogen zu haben. Damit habe der Verordnungsgeber auch die Vorgaben der Gesetzesbegründung zur § 556 d BGB missachtet (BT-Drucksache 18/3121, Seite 29), wonach das Vorliegen angespannter Wohnungsmärkte durch „tatsächliche statistische Erhebungen“ nachzuweisen sei. Tatsächlich habe der hessische Verordnungsgeber die Änderungsverordnung nicht auf aktuelle statistische Erhebungen gestützt. Das Datenmaterial aus den Jahren von 2014 bis 2019, das für die ursprüngliche MieterschutzVO verwendet wurde, sei zudem kaum geeignet, um eine Verlängerung der Mietpreisbremse in 2026 zu begründen. ## **Folgen des Urteils** Sofern das Urteil des Amtsgericht Frankfurt rechtskräftig werden sollte, hätte dies ein Auslaufen der Mietpreisbremse mit Wirkung zum 26.11.2025 in Hessen zur Folge. In der Zeit ab dem 26.11.2025 bis zum Erlass einer etwaigen neuen Mietpreisverordnung wären Vermieter mithin nicht an die Mietpreisbremse gebunden. Dies hätte weitreichende Konsequenzen: - Selbst wenn der Verordnungsgeber schnell agierte und eine neue – wirksame - Verordnung erlassen sollte, hätte dies eine zeitliche „Lücke“ in der Mietpreisregulierung zur Folge. Bei der Bestimmung einer Miete wären Vermieter während dieser Lücke nicht durch eine Mietpreisbremse beschränkt und könnten mithin auch Mieten festsetzen, die die ortsübliche Vergleichsmiete (§ 558 BGB) um mehr als 10% übersteigen. Ein solches Vorgehen könnte mit Blick auf § 556e BGB auch eine nachhaltige Wirkung auf Folgevermietungen entfalten. Denn auch bei Inkrafttreten einer neuen hessischen Mietschutzverordnung könnte ein Vermieter bei der erneuten Vermietung von Wohnraum die Miete des vorherigen Mietverhältnisses ansetzen, selbst wenn diese Miete oberhalb der vorgenannten 10%-Schwelle liegt. - Grundsätzlich darf eine Miete auf der Grundlage des § 558 BGB (Mieterhöhung zur ortsüblichen Vergleichsmiete) innerhalb von drei Jahren um nicht mehr als 20% erhöht werden. Die in angespannten Wohnungsmärkten geltende, abgesenkte Kappungsgrenze, wonach die Miete in drei Jahren lediglich um 15% erhöht werden darf, käme nicht mehr zur Anwendung. - Nach § 577a BGB gilt: ist an vermieteten Wohnräumen nach der Überlassung an den Mieter Wohnungseigentum begründet und das Wohnungseigentum veräußert worden, so kann ein Erwerber erst nach Ablauf von drei Jahren seit der Veräußerung wegen Eigenbedarfs kündigen. In angespannten Wohnungsmärkten ist demgegenüber die Kündigung wegen Eigenbedarfs in diesen Fällen über 10 Jahre ausgeschlossen. Diese verlängerte Kündigungssperrfrist nach § 577a Abs. 2 BGB käme nicht mehr zur Anwendung. Wirkung dürfte das Urteil ferner auf laufende Prozesse über Mietverhältnisse und vereinbarte Mieten entfalten, die nach dem 26.11.2025 vereinbart wurden. Auch wenn jedes Gericht grundsätzlich frei ist, die Wirksamkeit der Verordnung anders zu beurteilen als das Amtsgericht Frankfurt, ist anzunehmen, dass dem Urteil des Amtsgerichts Frankfurt, sofern es in Rechtskraft erwächst, eine Art Vorreiterrolle zukommen wird, an dem sich andere Gerichte orientieren. Mieter, die auf der Grundlage der durch das Amtsgericht Frankfurt für unwirksam erklärten MietpreisVO noch laufende Verfahren zur Mietpreisbremse führen, dürften vermutlich unterliegen. Mieter, die – gemessen an der MietpreisVO – zu hohe Mieten zahlen und eine Rückforderung zu viel gezahlter Mieten erwägen, werden ihr Vorhaben einer gerichtlichen Durchsetzung mit Blick auf die Entscheidung des Amtsgericht Frankfurt überdenken. ## **Folgen des Urteils auch außerhalb Hessens** Das Urteil des Amtsgericht Frankfurt dürfte sich auch außerhalb Hessens großer Beachtung erfreuen. Angesichts der weitreichenden Auswirkungen für Mieter und Vermieter stehen Entwicklungen rund um die Mietpreisbremse ganz grundsätzlich im Zentrum des öffentlichen Interesses. Weiteres Gewicht dürfte dem Urteil zudem zukommen, als es wegen der in § 23 Nr. 2a GVG geregelten, ausschließlichen sachlichen Zuständigkeit durch die spezielle Mietabteilung im Amtsgericht Frankfurt getroffen wurde. So wie in Hessen stehen Mietpreisbremsenverordnungen auch in anderen Bundesländern im Rahmen von mietrechtlichen Streitigkeiten auf dem Prüfstand. Vermieter und Vermieterverbände dürften sich durch das Urteil des Amtsgerichts Frankfurt auch andernorts motiviert fühlen, die Zulässig der Mietpreisbremse genau zu prüfen und ggfls. gerichtlich in Frage zu stellen. Dies auch vor dem Hintergrund, dass Mietpreisbremsverordnungen in der Vergangenheit auch schon in anderen Bundesländern aus formellen Gründen für unwirksam erklärt wurden (z.B. LG München I, Urteil vom 06.12.2017 – 14 S 10058/17, AG München, Urteil vom 20.06.2017 – 411 C 24938/16). ## **Fazit** Das Urteil des Amtsgerichts Frankfurt betrifft weit mehr als einen einzelnen Mietrechtsstreit. Erstmals stellt ein hessisches Gericht die Verlängerung der Hessischen Mieterschutzverordnung in Frage und erklärt sie wegen einer unzureichenden Begründung für unwirksam. Noch handelt es sich lediglich um eine erstinstanzliche Entscheidung. Gleichwohl zeigt das Urteil, dass die Anforderungen an den Erlass mietpreisregulierender Verordnungen keineswegs bloße Formalien sind. Die Länder müssen die tatsächlichen Voraussetzungen eines angespannten Wohnungsmarktes sorgfältig ermitteln, dokumentieren und veröffentlichen. Ob die Entscheidung letztlich Bestand haben wird, bleibt abzuwarten. Bis zu einer Klärung durch höhere Instanzen dürfte die Diskussion um die Zukunft der Mietpreisbremse in Hessen jedoch neuen Auftrieb erhalten. ### Die Transaktionssperre nach § 46 GwG: Eine grundsätzliche Auseinandersetzung unter Berücksichtigung der zukünftigen Grundsätze der AMLR URL: https://www.waldvorlauternormen.com/die-transaktionssperre-nach-ss-46-gwg-eine-grundsatzliche-auseinandersetzung-unter-berucksichtigung-der-zukunftigen-grundsatze-der-amlr/ Last updated: 2026-06-19T09:33:04.000Z § 46 des Geldwäschegesetzes (GwG) ist eine der praktisch wichtigsten, zugleich aber häufig missverstandenen Vorschriften des Geldwäscherechts. Der Beitrag behandelt den derzeitigen Rechtsrahmen und einen Ausblick auf die Änderungen durch die AMLR ab Juli 2027. --- Die Antwort klingt zunächst einfach: Nach Abgabe einer Verdachtsmeldung nach § 43 GwG ist eine verbundene Transaktion anzuhalten. In der Praxis resultieren daraus jedoch schnell eine Reihe schwieriger Folgefragen. Gilt die Pflicht nur für die konkret gemeldete Transaktion? Darf oder muss ein Konto vollständig gesperrt werden? Was passiert, wenn FIU, Staatsanwaltschaft oder Polizei um eine weitergehende Kontosperre bitten? Und wie lange darf eine Transaktion überhaupt angehalten werden? ## Der Fristfall nach § 46 Abs. 1 GwG Ausgangspunkt ist § 46 Abs. 1 GwG. Hat ein Verpflichteter wegen einer Transaktion eine Verdachtsmeldung nach § 43 Abs. 1 GwG abgegeben, darf diese Transaktion zunächst nicht durchgeführt werden. Der Verpflichtete muss abwarten, ob die Financial Intelligence Unit (FIU) oder die Staatsanwaltschaft die Durchführung untersagt. Die Transaktion darf erst durchgeführt werden, wenn entweder die Zustimmung zur Durchführung erteilt wird oder der dritte Werktag nach Abgabe der Meldung verstrichen ist, ohne dass FIU oder Staatsanwaltschaft die Durchführung untersagt haben. Das ist für Verpflichtete ein wichtiger Schutzmechanismus, aber auch eine klare Pflicht. Wer eine gemeldete Transaktion vorsätzlich oder leichtfertig entgegen § 46 Abs. 1 GwG ausführt, riskiert ein Bußgeld nach § 56 Abs. 2 S. 1 Nr. 6 GwG. ## Was § 46 GwG nicht ist: eine allgemeine Kontosperre In der Praxis besteht eine der wichtigsten Abgrenzungen darin, dass § 46 GwG transaktionsbezogen ausgestaltet ist. Die Stillhaltepflicht knüpft an die konkret verdächtige und noch nicht ausgeführte Transaktion an. Sie begründet nicht automatisch eine allgemeine Sperre der gesamten Konto- oder Kundenbeziehung. Das hat erhebliche praktische Bedeutung. Wird etwa eine verdächtige Überweisung angehalten und gemeldet, folgt daraus nicht ohne Weiteres, dass sämtliche weiteren Verfügungen des Kunden zu blockieren sind. Weitere unverdächtige Transaktionen bleiben grundsätzlich durchführbar. Entstehen bei weiteren Transaktionen erneut Verdachtsmomente, sind diese jeweils gesondert nach den Grundsätzen des § 46 GwG zu behandeln und gegebenenfalls nachzumelden. 📖 Deutscher Bundestag, Drucksache [19/9326](https://dserver.bundestag.de/btd/19/093/1909326.pdf?ref=waldvorlauternormen.com), dort S. 10, Antwort zu Frage 19 i): **„Als Normadressat ist der Verpflichtete gehalten, vor Ausführung der betroffenen Transaktion \[...\] drei Tage eine mögliche Untersagung durch die FIU oder die Staatsanwaltschaft abzuwarten. Innerhalb dieser Frist obliegt es der FIU oder der zuständigen Staatsanwaltschaft darüber zu entscheiden, ob die gemeldete, avisierte Transaktion durch eine Sofortmaßnahme der FIU nach § 40 GwG oder durch eine strafprozessuale Maßnahme der Strafverfolgungsbehörden zu untersagen ist.“* Anders liegt der Fall, wenn nicht eine konkrete Transaktion angehalten werden soll, sondern ein Konto insgesamt gesperrt werden soll, um Abverfügungen mutmaßlich inkriminierter Gelder zu verhindern. Das ist dem Wortlaut und der Systematik nach kein Fristfall im Sinne von § 46 Abs. 1 GwG. Für eine solche weitergehende Sicherung braucht es regelmäßig eine strafprozessuale Grundlage, etwa eine Beschlagnahme oder einen Vermögensarrest. ## Was tun bei behördlichen Bitten um Kontosperre? Anspruchsvoll sind Fälle, in denen eine Behörde nicht förmlich eine strafprozessuale Maßnahme anordnet, sondern lediglich um eine Kontosperre bittet. § 46 GwG ist hierfür grundsätzlich keine eigenständige Ermächtigungsgrundlage. Verpflichtete sollten deshalb sorgfältig prüfen, worauf die behördliche Maßnahme gestützt wird. Ist lediglich die Durchführung der konkret gemeldeten Transaktion innerhalb des Fristmechanismus untersagt, kann § 46 Abs. 1 GwG die richtige Grundlage sein. Soll dagegen das Konto umfassend oder für längere Zeit blockiert werden, spricht viel dafür, eine konkrete Rechtsgrundlage zu verlangen. Denn die weitergehende Sicherung von Vermögenswerten ist grundsätzlich Sache des Strafprozessrechts und nicht des § 46 GwG. In Ausnahmefällen kann eine kurzfristige Sperrwirkung vertretbar sein, wenn sie eng an eine angehaltene, konkret verdächtige Transaktion anknüpft, zeitlich strikt begrenzt ist und zusätzliche Verdachtsmomente bestehen. Eine vollständige und dauerhafte Kontosperre lässt sich daraus aber regelmäßig nicht ableiten. ## Die Rolle der Staatsanwaltschaft Nicht nur die FIU, auch die Staatsanwaltschaft kann die Durchführung einer Transaktion untersagen. Diese staatsanwaltschaftliche Transaktionsuntersagung ist gesetzlich weniger klar geregelt als die Maßnahmen der FIU. Sie ist insbesondere keine klassische strafprozessuale Standardmaßnahme wie die Beschlagnahme oder der Vermögensarrest, sondern eine eigenständige, dem Ermittlungsverfahren vorgelagerte Maßnahme. Ihr Zweck besteht darin, der Staatsanwaltschaft Zeit zu verschaffen, um das Vorliegen eines Anfangsverdachts zu prüfen und gegebenenfalls strafprozessuale Sicherungsmaßnahmen einzuleiten. In dieser Zwischenphase soll verhindert werden, dass die betroffene Transaktion ausgeführt wird und dadurch spätere Maßnahmen ins Leere laufen. Dogmatisch ist die Maßnahme im Geldwäscherecht verankert, zugleich aber eine Anordnung auf dem Gebiet der Strafrechtspflege. Wird sie durch die Staatsanwaltschaft ausgesprochen, handelt es sich daher um einen Justizverwaltungsakt im Sinne von § 23 Abs. 1 des Einführungsgesetzes zum Gerichtsverfassungsgesetz (EGGVG). Gerade deshalb sollte sie nicht als dauerhafter Ersatz für Beschlagnahme oder Vermögensarrest verstanden werden. Daraus folgt zugleich, dass eine solche Untersagung nicht unbegrenzt fortwirken kann. Sobald strafprozessuale Maßnahmen möglich und erforderlich sind, müssen diese auf der dafür vorgesehenen Grundlage getroffen werden. ## Der Eilfall nach § 46 Abs. 2 GwG § 46 Abs. 2 GwG erlaubt ausnahmsweise die Durchführung einer verdächtigen Transaktion, wenn deren Aufschub die Verfolgung einer mutmaßlich strafbaren Handlung behindern würde. Die Ausnahme ist eng zu verstehen. Ob Ermittlungsinteressen eine Durchführung erfordern, sollte der Verpflichtete nicht allein bewerten, sondern mit der FIU oder den Strafverfolgungsbehörden abstimmen. ## Zeitliche Schranken der Transaktionsuntersagung Für Transaktionsuntersagungen der FIU gilt nach § 40 Abs. 4 Nr. 1 GwG eine Höchstdauer von einem Monat. Auf staatsanwaltschaftliche Transaktionsuntersagungen ist diese Monatsfrist jedoch nicht unmittelbar anwendbar, da § 40 Abs. 4 GwG seinem Wortlaut nach nur Sofortmaßnahmen der FIU betrifft. Die Transaktionsuntersagung der Staatsanwaltschaft ist eine hiervon unabhängige Maßnahme, was sich aus dem eine Alternative eröffnenden Wortlaut „oder“ in § 46 Abs. 1 Nr. 2 GwG ergibt. Eine unbegrenzte Wirkung der staatsanwaltschaftlichen Untersagung kommt gleichwohl nicht in Betracht. Sie wäre mit dem Grundsatz der Verhältnismäßigkeit und dem Zweck der Maßnahme, lediglich Zeit zur Prüfung eines Anfangsverdachts zu gewinnen, kaum vereinbar. Andernfalls könnten die Voraussetzungen strafprozessualer Sicherungsmaßnahmen wie der Beschlagnahme oder des Vermögensarrests umgangen werden. Als zeitliche Grenze bietet sich daher eine Orientierung an § 40 Abs. 4 Nr. 2 GwG sowie §§ 111j Abs. 2, 43 der Strafprozessordnung (StPO) an. Danach spricht viel dafür, dass eine staatsanwaltschaftliche Transaktionsuntersagung grundsätzlich nicht länger als eine Woche ab ihrer Anordnung aufrechterhalten werden darf. Nach Ablauf dieser Frist endet sie ohne weitere Entscheidung, wenn keine tragfähige strafprozessuale Maßnahme getroffen wird. ## Praktische Konsequenzen für Verpflichtete Für Verpflichtete ergeben sich aus § 46 GwG vor allem drei praktische Leitlinien: ![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/2026/06/Fristfall-Leitlinien.svg) ## Ausblick: Art. 71 AMLR Mit der EU-Geldwäscheverordnung (AMLR, Verordnung (EU) 2024/1624) wird der Regelungsgehalt von § 46 GwG künftig unionsrechtlich überlagert. [Art. 71 der Verordnung (EU) 2024/1624](file:///C:/Users/j.burckgard/Downloads/OJ%5FL%5F202401624%5FDE%5FTXT.pdf) regelt den „Verzicht auf die Durchführung von Transaktionen“ und wird die nationale Vorschrift strukturell ablösen. § 46 GwG soll deshalb mit Wirkung zum 10\. Juli 2027 gestrichen werden. ![](https://storage.ghost.io/c/f1/62/f162e43a-b151-4c92-9438-c13a2dbd1050/content/images/2026/06/AMLVO-Unterschiede.svg) Art. 71 AMLVO führt damit die Logik des § 46 GwG grundsätzlich fort, verschiebt aber einzelne Akzente. Für Verpflichtete dürfte vor allem die ausdrückliche Risikobewertung nach Ablauf der Drei-Arbeitstage-Frist praktische Bedeutung gewinnen. Sie macht deutlich, dass die Entscheidung über die Durchführung einer verdächtigen Transaktion künftig noch stärker begründet, dokumentiert und risikobasiert getroffen werden muss. - Zu Art. 71 AMLVO liegen bislang noch keine spezifischen RTS oder AMLA-Guidelines vor. Die bislang veröffentlichten bzw. konsultierten Level-2-Maßnahmen betreffen vor allem Customer Due Diligence, die Abgrenzung von Geschäftsbeziehungen und gelegentlichen bzw. verbundenen Transaktionen sowie die laufende Überwachung von Geschäftsbeziehungen. Diese Vorgaben können für die praktische Anwendung von Art. 71 AMLVO mittelbar Bedeutung erlangen, weil sie den risikobasierten Prüfungsrahmen der Verpflichteten prägen. - Die zentrale Auslegungsfrage des Art. 71 Abs. 1 Unterabs. 2 AMLVO bleibt damit zunächst offen: Welche Risiken Verpflichtete nach Ablauf der Drei-Arbeitstage-Frist konkret bewerten müssen und ab welchem Risikograd die Durchführung der Transaktion trotz ausbleibender gegenteiliger Anweisung der FIU ausscheidet, ist bislang nicht weiter konkretisiert. Gerade insoweit wären Erläuterungen der AMLA oder der Kommission für die Praxis besonders relevant. ### Auswirkungen des Fondsrisikobegrenzungsgesetzes auf Immobilien-Sondervermögen URL: https://www.waldvorlauternormen.com/auswirkungen-des-fondsrisikobegrenzungsgesetzes-auf-immobilien-sondervermogen/ Last updated: 2026-06-24T10:28:30.000Z Am 16\. April 2026 trat das [Fondsrisikobegrenzungsgesetz ](https://dip.bundestag.de/vorgang/gesetz-zur-begrenzung-der-risiken-durch-investmentfonds-und-zur-umsetzung/327969?ref=waldvorlauternormen.com)(FRiG, BGBl. 2026 I Nr. 97) zur Umsetzung der AIFMD-II-Richtlinie (Richtlinie (EU) 2024/927) in Kraft. Der vorliegende Artikel befasst sich mit den Auswirkungen des FRiG auf Immobilien-Sondervermögen. --- Gesetzgeberisches Ziel des FRiG ist die Schaffung resilienter Fondsmärkte. Wichtigste Neuerungen zur Erreichung dieses Ziels sind die in das Kapitalanlagengesetzbuch (KAGB) eingearbeiteten Regelungen zu Übertragungsvereinbarungen, zum Liquiditätsrisikomanagement, zur aufsichtsrechtlichen Berichterstattung und zur Kreditvergabe durch Alternative Investmentfonds (AIF). Für Immobilien-Sondervermögen sind die Neuerungen des FRiG von unterschiedlicher Relevanz. ## 1\. Liquiditätsmanagementinstrumente Mit dem neu eingeführten [§ 30a KAGB ](https://www.gesetze-im-internet.de/kagb/%5F%5F30a.html?ref=waldvorlauternormen.com)verpflichtet das FRiG Investmentfonds, mindestens zwei Liquiditätsmanagementinstrumente (LMTs) aus einem gesetzlich vorgegebenen Katalog (Anhang V der Richtlinie 2011/61/EU bzw. § 1 Abs. 19 Nr. 25a KAGB) auszuwählen, vorzuhalten und deren Einsatzbedingungen zu dokumentieren. Vorgesehen sind dabei zunächst laufend bzw. regelmäßig einsetzbare Instrumente (Swing Pricing, Dual Pricing, Verwässerungsschutzgebühren, Rücknahmegebühren), die die Anteilsrückgabe auf unterschiedlichem Weg bepreisen und Investmentfonds eine Kompensation für den durch die Anteilsrücknahme und Transaktionskosten anfallenden Aufwand sichern. Daneben enthält der Katalog sog. Stressinstrumente (Rücknahmebegrenzungen und Verlängerung von Kündigungsfristen), also die Verzögerung von Anteilsrücknahmen, falls ungewöhnlich hohe Mittelabflüsse auftreten oder die Liquiditätsreserve unter Druck gerät. Als *ultima ratio* sieht der Katalog (Anhang V der Richtlinie 2011/61/EU) echte Kriseninstrumente (Rücknahmeaussetzung, *Side Pockets*) vor, also LMTs, die zum Einsatz kommen sollen, um substanzvernichtende Notverkäufe (*fire sales*) zu verhindern. Bereits vor Inkrafttreten der AIFMD-II-Richtlinie und des FRiG galten die in § 255 KAGB für Immobilien-Sondervermögen gesetzlich zwingend vorgegebenen Instrumente zur Liquiditätssicherung (darunter: Mindesthaltefrist von 24 Monaten, Kündigungsfrist von 12 Monaten), die den „neuen“ Liquiditätsmanagementinstrumenten teilweise stark ähneln und die sich in der Praxis als wirkungsvoll erwiesen haben. Diese gemäß dem KAGB für Immobilen-Sondervermögen zwingend geltenden Instrumente werden auf die Pflicht zur Benennung von Liquiditätsmanagementinstrumenten zumindest teilweise angerechnet. § 255 Absatz 5 KAGB stellt hierzu klar, dass das Liquiditätsmanagementinstrument der Verlängerung der Rückgabefrist durch die bestehende Regelung in § 255 Absatz 4 KAGB in Verbindung mit § 257 Absatz 1 KAGB bereits abgedeckt ist, so dass Immobilien-Sondervermögen lediglich ein weiteres Liquiditätsmanagementinstrument auswählen müssen, sofern sie die Vorgaben des § 257 Abs. 1 KAGB einhalten. Altanteile gem. § 346 Abs. 1 KAGB sind von dieser Ausnahme ausgenommen. Nicht alle LMTs passen gleichermaßen auf Immobilien-Sondervermögen. Von der Anwendung der Instrumente des Dual Pricing und Swing Pricing auf Immobilien-Sondervermögen wird abgeraten (vgl. Begründung zum Gesetzesentwurf des FRiG vom 07.01.2026 sowie ESMA-Leitlinien vom 12.03.2026). In der Praxis angewandt werden hingegen Rücknahmegebühren (redemption fees), um die mit Transaktionskosten einhergehenden Belastungen für das Sondervermögen abzufedern. Dieses Vorgehen entspricht auch der Empfehlung der ESMA-Leitlinien vom 12.03.2026. Im Ergebnis lässt sich konstatieren, dass der Einsatz von Liquiditätsmanagementinstrumenten bei Immobilien-Sondervermögen aufgrund gesetzlich zwingender Vorgaben schon vor Inkrafttreten des FRiG bekannt waren und wegen der aktuell hohen Mittelabflüsse auch eingesetzt werden. Neu ist hingegen die Regelungsdichte des FRiG zu den Liquiditätsmanagementinstrumenten, die Immobilien-Sondervermögen höheren Dokumentations- und Berichtspflichten aussetzen. ## 2\. Übertragungsvereinbarungen (Delegation) AIF-Kapitalverwaltungsgesellschaften (KVG), die Immobilien-Sondervermögen verwalten, dürfen auch weiterhin Aufgaben an externe Dienstleister auslagern, solange sie die tatsächliche Verantwortung für die Fondsverwaltung behalten und nicht zu einer reinen Briefkastenfirma werden (§ 36 Abs. 5 KAGB). Dieser Grundsatz hat durch das FRiG insofern eine für die Praxis erfreuliche Klarstellung erfahren, als dass in erster Linie die in § 1 Abs. 19 Nr. 24 KAGB definierte „kollektive Vermögensverwaltung“ der strengen regulatorischen Überwachung unterliegt. Bei der Beauftragung Dritter mit grundstücks- und gebäudebezogenen Dienstleistungen, wie etwa dem Facility Management, unterliegen Immobilien-Sondervermögen und deren KVG nicht der regulatorischen Aufsicht gem. § 36 KAGB, sondern lediglich den allgemeinen Organisations- und Sorgfaltspflichten. Hinsichtlich der kollektiven Vermögensverwaltung wurde das anwendbare Delegationsregime hingegen deutlich verschärft. Im Erlaubnisverfahren wurden hinsichtlich bestehender oder geplanter Auslagerungen und Unterauslagerungen nicht mehr nur allgemein „*Angaben über Auslagerungsvereinbarungen nach § 36*“ (so die alte Fassung des § 22 Abs. 1 Nr. 9 KAGB) gefordert, sondern die Übermittlung umfangreicher Informationen, die konkret und katalogartig im neuen § 22 KAGB aufgeführt sind. Hierzu gehören Angaben zum Auslagerungsunternehmen selbst, zu den ausgelagerten Portfolioverwaltungs- und Risikomanagementfunktionen, zu den hierfür eingesetzten personellen und technischen Ressourcen sowie zu den Maßnahmen der laufenden Überwachung und Kontrolle der ausgelagerten Tätigkeiten. ## 3\. Kreditvergabe Der mit dem FRiG neu eingeführte § 29a KAGB verpflichtet AIF im Rahmen der Kreditvergabe zur Kreditrisikobewertung, Kreditportfolioüberwachung und zur Überprüfung von Kreditrisiken (§ 29a Abs. 1 KAGB). Weitergehende Bestimmungen zu Fremdfinanzierungen gelten für sog. „kreditvergebende AIF“, also Fonds, deren Anlagestrategie hauptsächlich in der Vergabe von Krediten besteht oder bei denen der Nominalwert vergebener Darlehen mindestens 50% des Nettoinventarwerts des AIF ausmacht (§ 1 Abs. 19 Nr. 24d KAGB). Für Immobilien-Sondervermögen dürften diese neu eingeführten Bestimmungen von untergeordneter Bedeutung sein, solange diese – wie in der Praxis üblich – im Rahmen ihrer kollektiven Vermögensverwaltung lediglich Gesellschafterdarlehen vergeben, die die in § 29a Abs. 2 KAGB definierten Schwellenwerte nicht überschreiten. In diesen Fällen ist § 29a Abs. 1 KAGB nicht anwendbar. Auch spielt die Kreditvergabe in den Anlagestrategien von Immobilien-Sondervermögen üblicherweise keine tragende Rolle, so dass die für kreditvergebende AIF geltenden Leverage-Vorgaben bei Immobilien-Sondervermögen zumeist unanwendbar bleiben. Im Ergebnis richtet sich deshalb die Kreditvergabe durch Immobilien-Sondervermögen auch weiterhin nach § 240 Abs. 1 KAGB. Die Berechtigung der Immobilien-Sondervermögen zur Darlehensvergabe hat durch das FRiG insoweit sogar eine Erweiterung erfahren, als dass die maximal zulässigen Werte zu vergebener Darlehen gemäß § 240 Abs. 2 KAGB nicht mehr in Bezug auf Immobiliengesellschaften gelten, an denen das Immobilien-Sondervermögen unmittelbar oder mittelbar zu 100% des Kapitals und der Stimmrechte beteiligt ist. ## 4\. Aufsichtliche Berichterstattung Das FRiG verschärft die aufsichtsrechtlichen Informations- und Berichtspflichten von Kapitalverwaltungsgesellschaften, die Immobilien-Sondervermögen verwalten. Während § 22 KAGB n.F. die im Zulassungsverfahren gegenüber der BaFin vorzulegenden Informationen über Geschäftsorganisation, Risiko- und Liquiditätsmanagement und Auslagerungen betrifft, wurden in § 35 KAGB n.F. auch die Anforderungen an die laufende aufsichtsrechtliche Berichterstattung verschärft. Ziel der Neuregelungen ist es, der BaFin ein umfassenderes Bild über Risikoprofile, Liquiditätsrisiken, Fremdfinanzierung, Kreditvergabe und sonstige potenziell systemrelevante Risiken der verwalteten AIF zu vermitteln. Für Immobilien-Sondervermögen ist dies von besonderer Bedeutung, da die Aufsicht aufgrund der typischerweise langfristig gebundenen Vermögenswerte und der potenziellen Liquiditätsinkongruenzen auf eine engmaschige Datengrundlage angewiesen ist. Das Fondsrisikobegrenzungsgesetz stärkt daher den risikobasierten Aufsichtsansatz, indem sowohl die Anforderungen an die organisatorische Vorsorge (§ 22 KAGB n.F.) als auch die laufenden Melde- und Berichtspflichten (§ 35 KAGB n.F.) erweitert und stärker auf Liquiditäts- und Stabilitätsrisiken ausgerichtet wurden. ## **Fazit** Mit dem FRiG hat der Gesetzgeber die Vorgaben der AIFMD-II-Richtlinie in das deutsche Investmentrecht überführt und dabei insbesondere die Anforderungen an das Liquiditätsmanagement, die Delegation von Aufgaben, die Kreditvergabe und die aufsichtsrechtliche Berichterstattung weiterentwickelt. Der Einsatz von Liquiditätsmanagementinstrumenten stellt unabhängig von dem FRiG ein aktuelles Thema dar, nachdem Immobilien-Sondervermögen aufgrund schwacher Renditeaussichten im kränkelnden Immobilienmarkt unter hohen Mittelabflüssen leiden. Derartige Instrumente waren allerdings auch schon vor Inkrafttreten des FRiG im KAGB zwingend vorgeschrieben und wurden zur Liquiditätssicherung eingesetzt. Die neuen Vorgaben des FRiG zur Kreditvergabe dürften für die Mehrzahl der Immobilien-Sondervermögen nur eingeschränkte Bedeutung entfalten, da Gesellschafterdarlehen weiterhin privilegiert behandelt werden und die Kreditvergabe regelmäßig nicht den Schwerpunkt ihrer Anlagestrategie bildet. Größere praktische Relevanz bringen die verschärften Anzeige-, Informations- und Berichtspflichten gegenüber der Aufsicht, die den bürokratischen Aufwand auf Seiten der KVGs erheblich steigern dürfte. Ob die mit dem FRiG implementierten Änderungen insgesamt zu einer weiteren Stabilisierung von Immobilien-Sondervermögen beitragen werden, bleibt abzuwarten. ### Kontinuierliche Überwachung der Geschäftsbeziehung unter der AMLR: Neue Standards, erkennbare Offenheit für Technologie und der jüngste AMLA-Leitlinien-Entwurf URL: https://www.waldvorlauternormen.com/kontinuierliche-uberwachung-der-geschaftsbeziehung-unter-der-amlr-neue-standards-erkennbare-offenheit-fur-technologie-und-der-jungste-amla-leitlinien-entwurf/ Last updated: 2026-06-19T09:36:24.000Z Die Pflicht zur kontinuierlichen Überwachung der Geschäftsbeziehung ist das Herzstück der Sorgfaltspflichten gegenüber Bestandskunden. Auch unter der AMLR bleibt sie Dreh- und Angelpunkt für die laufende geldwäscherechtliche Bewertung einzelner Kundenbeziehungen. Die AMLA hat am 3\. Juni 2026 die lang erwarteten [Leitlinien zur kontinuierlichen Geschäftsbeziehungsüberwachung](https://www.amla.europa.eu/policy/public-consultations/consultation-draft-guidelines-ongoing-monitoring-business-relationship%5Fen?ref=waldvorlauternormen.com) („*ongoing monitoring of a business relationship*“) in der Entwurfsfassung zur Konsultation gestellt, mit denen die Überwachungspflicht konkretisiert wird. --- Die Konsultationsphase dauert noch bis September 2026 an, die Leitlinienentwürfe lassen aber bereits zentrale Inhalte erkennen: Vieles ist bekannt, vieles bleibt ähnlich, einzelne Details sind aber vollkommen neu (und haben es in sich!). Die AMLA zeigt: Die Vorgaben werden künftig zwar in Teilen strenger, gleichzeitig besteht aber Offenheit für flexible Lösungsansätze, den Einsatz von KI und sogar die automatisierte Trefferbearbeitung im Transaktionsmonitoring. Die Pflicht zur kontinuierlichen Überwachung von Geschäftsbeziehungen ist nicht neu, findet sich bislang in [§ 10 Abs. 1 Nr. 5 GwG](https://www.gesetze-im-internet.de/gwg%5F2017/%5F%5F10.html?ref=waldvorlauternormen.com) und wird in Teilen durch die Verwaltungspraxis der BaFin konkretisiert ([BaFin AuA AT, Stand: Juli 2025, Ziff. 5.5](https://www.bafin.de/SharedDocs/Downloads/DE/Auslegungsentscheidung/dl-ae-auas-2025-gw.pdf?%5F%5Fblob=publicationFile&v=1&ref=waldvorlauternormen.com)). Innerhalb der AMLR regelt künftig [Art. 26](https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L%5F202401624&ref=waldvorlauternormen.com) die kontinuierlichen Überwachung von Geschäftsbeziehungen. Art. 26 Abs. 5 EU-AML-VO gibt der AMLA den Auftrag, bis zum 10\. Juli 2026 Leitlinien für die kontinuierliche Überwachung einer Geschäftsbeziehung auszugeben – dieser Pflicht ist die AMLA nun mit dem hiesigen Konsultationsentwurf nachgekommen. ## **I. Bekannte Struktur der Überwachungspflicht** Die grundsätzliche Struktur der kontinuierlichen Überwachung von Geschäftsbeziehungen ändert sich unter der EU-AML-VO und den spezifizierenden EBA-Leitlinien nicht: Bislang bestimmt § 10 Abs. 1 Nr. 5 GwG die Überwachungspflicht wie folgt: Geschäftsbeziehung sind kontinuierlich zu überwachen. Gesetzlich wird dies in zweierlei Hinsicht spezifiziert: - Einerseits sind die *Transaktionen zu überwachen*, die im Verlauf der Geschäftsbeziehung durchgeführt werden, damit sichergestellt wird, dass das Transaktionsverhalten mit den Informationen über den Vertragspartner übereinstimmen (= *Transaktionsmonitoring*). - Andererseits ist im Rahmen der kontinuierlichen Überwachung sicherzustellen, dass die jeweiligen Dokumente, Daten oder Informationen unter Berücksichtigung des jeweiligen Risikos im angemessenen zeitlichen Abstand *aktualisiert* werden (= *Kundendatenaktualisierung*). Auch bislang galt aber: Transaktionsmonitoring und Kundendatenaktualisierung sind nur zwei Teilfacetten der Geschäftsbeziehungsüberwachung und erfüllen die kontinuierliche Überwachungspflicht nicht vollständig. Daher ist es auch heute schon praxisüblich, den Vertragspartner und seinen wirtschaftlich Berechtigten täglich gegen PeP- und Sanktionslisten zu screenen, turnusmäßig und anlassbezogen Background-Checks vorzusehen, fortlaufende Adverse-Media-Abfragen durchzuführen usw. Eine vergleichbare Systematik findet sich auch in Art. 26 AMLR und den AMLA-Leitlinien: Auch in Zukunft ist die Geschäftsbeziehung kontinuierlich zu überwachen, was insbesondere für die vom Kunden in Verlauf der Geschäftsbeziehung durchgeführten Transaktionen gilt (Art. 26 Abs. 1 AMLR = *Transaktionsmonitoring*). Im Zusammenhang mit dieser kontinuierlichen Überwachung sind auch die Kundendaten und-informationen aktuell zu halten und sowohl turnusgemäß als auch anlassbezogen zu aktualisieren (Art. 26 Abs. 2 und 3 AMLR = *Kundendatenaktualisierung*). Damit wird aber auch in Zukunft gelten, dass das Transaktionsmonitoring und die Kundendatenaktualisierung nur Teilbereiche der kontinuierlichen Überwachung sind und neben den sonstigen kontinuierlichen Überwachungsmaßnahmen (wie z.B. laufendes PeP- und Sanktionslistenscreening, Background-Checks und Adverse-Media-Abfragen) stehen. Speziell für das Sanktionslistenscreening wird das nun auch explizit und „*zusätzlich*“ gefordert (Art. 26 Abs. 4 AMLR). ## **II. Neue Detailvorgaben** Während die grundsätzliche Überwachungssystematik gleich bleibt, verstecken sich die Neuerungen im Detail: ### **1\. Ausdrückliche Pflicht zum laufenden Sanktionslistenscreening** Für einzelne verpflichtete Unternehmen bedeutet die ausdrückliche Pflicht zum laufenden Sanktionslistenscreening eine inhaltliche Neuerung. Für die allermeisten Kredit- und Zahlungsinstitute ergab sich die Screeningpflicht bzgl. des eigenen Kundenstamms schon aus Art. 5d Abs. 1 UAbs. 1 SEPA-VO (Verordnung (EU) Nr. 260/2012) bzw. aus Art. 23 GTVO ([Verordnung (EU) 2023/1113](https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:02023R1113-20230609&ref=waldvorlauternormen.com)) i.V.m. den entsprechenden Spezifizierungen der [EBA/GL/2024/15](https://www.eba.europa.eu/sites/default/files/2024-11/eaeae49d-81a5-4154-8af9-5014f6ee8881/Final%20Report%20Guidelines%20restrictive%20measures%20.pdf?ref=waldvorlauternormen.com), Ziff. 4.1.4 Ziff. 14 ff.). Andere Unternehmen, gerade im Nichtfinanzsektor, werden aber bislang kaum laufendes Sanktionslistenscreening betrieben haben. Unter der AMLR muss die Häufigkeit der Sanktionslistenprüfung mit Blick auf Risikoexposition des Verpflichteten und der Geschäftsbeziehung „angemessen“ sein. Institute des Finanzsektors werden auch in Zukunft mindestens täglich Screenen müssen. Unternehmen des Nichtfinanzsektors werden dagegen mit einer weniger hohen Prüffrequenz auskommen. Die konkrete Ausgestaltung wird sich wiederum aus der unternehmenseigenen Risikoanalyse ableiten lassen müssen. ### **2\. Ganzheitliche Betrachtung und Bündelung von Geschäftsbeziehungen** Gänzlich neu wird der Umfang der zu überwachenden Geschäftsbeziehung definiert: - Unterhält ein Kunde mehr als ein Produkt oder mehr als eine Dienstleistung, so ist sicherzustellen, dass die Sorgfaltsmaßnahmen im Rahmen der kontinuierlichen Überwachung alle diese Produkte und Dienstleistungen abdecken (Art. 26 Abs. 1 UAbs 2 AMLR). - Innerhalb von Unternehmensgruppen, in denen ein Kunde mit mehreren Unternehmen Geschäftsbeziehungen unterhält, sind die Informationen über die verschiedenen Geschäftsbeziehungen ganzheitlich für die Zwecke der Überwachung der Geschäftsbeziehung zu berücksichtigen. Das gilt auch für Geschäftsbeziehung, an denen nicht geldwäscherechtlich verpflichtete Unternehmen beteiligt sind (Art. 26 Abs. 1 UAbs 3 AMLR). Dieser weite Bereich, der kontinuierlich zu überwachen ist, wird vor allem für solche Unternehmen relevant, die nur partiell geldwäscherechtlichen Pflichten unterliegen, im Rahmen der kontinuierlichen Überwachung aber nun zu einem weitreichenden Monitoring angehalten werden. Das gilt beispielsweise für Lebensversicherungsunternehmen innerhalb eines Versicherungskonzerns. Die geldwäscherechtlichen Identifizierungspflichten gelten nur, sofern soweit Lebensversicherungstätigkeiten oder andere Versicherungstätigkeiten mit Anlagezweck ausgeübt, also z.B. Lebensversicherungsprodukte angeboten und abgeschlossen werden. Nimmt der Kunde bei anderen gruppenangehörigen Unternehmen z.B. auch eine Krankenversicherung und eine Kfz-Haftpflichtversicherung in Anspruch, sollen nun auch die dazugehörigen Informationen durch den geldwäscherechtlich verpflichteten Lebensversicherer im Rahmen der kontinuierlichen Überwachung berücksichtigt werden. ## **III. Spezifikationen durch die AMLA-Leitlinien** Mit dem Entwurf der [AMLA-Leitlinien](https://www.amla.europa.eu/policy/public-consultations/consultation-draft-guidelines-ongoing-monitoring-business-relationship%5Fen?ref=waldvorlauternormen.com) werden die Einzelheiten der kontinuierlichen Geschäftsbeziehungsüberwachung nochmals konkretisiert. Auch hier gilt: Vieles ist bekannt und entspricht bewährter Praxis. Neuerungen lauern aber im Detail. ### **1\. Grundsätze der kontinuierliche Überwachung** **a. Überwachung = mehr als nur Transaktionsmonitoring** Die laufende Überwachung beschränkt sich nicht auf die das Transaktionsmonitoring, sondern umfasst auch sonstige relevante Aktivitäten, Verhaltensweisen und Ereignisse während der gesamten Geschäftsbeziehung (Entwurf der AMLA-Leitlinien, Rn. 4). 💡 Das ist eine Selbstverständlichkeit und gilt auch heute schon (siehe oben unter Ziff. I), wird hier aber nochmals klargestellt. **b. Ohne Schulung keine brauchbare Umsetzung** Mitarbeiter, die an der kontinuierlichen Überwachung beteiligt sind, müssen angemessen geschult werden (Entwurf der AMLA-Leitlinien, Rn. 7). 💡 Im Ergebnis erfordert das eine gezielte Schulung unterschiedlicher Mitarbeitergruppen: Das Transaktionsmonitoring wird innerhalb der AML-Abteilung abgebildet und von Mitarbeitern mit spezifischem AML-Fachwissen durchgeführt. Die Kundendatenaktualisierung liegt dagegen typischerweise in der 1stLoD, z.B. in der Abteilung der Kundendatenverwaltung oder des Kundenservices. ### **2\. Kundendatenaktualisierung und Kundendatenprüfung** **a. Strenge Höchstfristen** Die in Art. 26 Abs. 2 AMLR festgelegten Aktualisierungsfristen sind höchstfristen. Gegenüber den heute in den BaFin AuA AT (Ziff. 5.5.2) festgelegten Höchstfristen werden diese unter der AMLR nochmals deutlich verkürzt (mindestens jährliche Überprüfung von Hochrisikokunden!) (Entwurf der AMLA-Leitlinien, Rn. 2). 💡 Die unternehmensinternen Prozesse sind so aufzusetzen, dass diese Fristen nicht überschritten werden. Das erfordert interne Alerts, Hinweise und zunehmende Eskalationen, desto näher das Fristende rückt. **b. Neubeginn der Aktualisierungsfrist** Wird eine Überprüfung und Aktualisierung früher als geplant durchgeführt, kann dies den Zeitplan für die nächste erforderliche Aktualisierung zurücksetzen (Entwurf der AMLA-Leitlinien, Rn. 2). 💡 Auch das entspricht der bisherigen Praxis, wird hier aber begrüßenswert klargestellt. **c. Aktualisierung ist kein Re-KYC** Die Kundendatenaktualisierung folgt einem risikobasierten Ansatz („*risikosensitive Maßnahmen*“). Kundeninformationen sollen unter Verwendung bestimmter zuverlässiger Quellen aktualisiert werden. Das können sowohl Informationen oder Bestätigungen sein, die direkt vom Kunden bereitgestellt werden, als auch Informationen, die sich aus amtlichen Registern, Behördendatenbanken oder den Datenpools kommerzieller Datendienstleistern ergeben (Entwurf der AMLA-Leitlinien, Rn. 12). 💡 Das heißt auch, dass – wie bislang – die Aktualisierung der Kundendaten nicht (immer) voraussetzt, dass der betreffende Kunde nochmals ein „echtes“ Legitimationsverfahren durchlaufen muss. **d. Abgelaufene Ausweisdokumente** Bzgl. abgelaufener Ausweisdokumente, Reisepässe oder gleichwertiger Dokumente soll risikobasiert evaluiert werden, ob und inwiefern diese zu aktualisieren sind und ob die betroffen Person nochmals ein Identifizierungsverfahren durchlaufen muss (Entwurf der AMLA-Leitlinien, Rn. 16 ff.). 💡 Diese Vorgaben sind strenger als die bisher verbreitete Praxis: Allein wegen des Ablaufs von Ausweisdokumenten wurde bislang häufig nicht zwingend ein Aktualisierungsverfahren angestoßen. In der Sache ist dies auch überschießend – jedes Ausweisdokument läuft irgendwann ab, wobei die Gültigkeit des Ausweisdokuments keinerlei Risikorelevanz hat (anders als z.B. der geografische Sitz, die Geschäftstätigkeit oder die Eigentümerstruktur eines Kunden, die sich durchaus risikoerhöhend ändern können). Insofern bleibt zu hoffen, dass die Vorgaben bzgl. der abgelaufenen Ausweisdokumente im Rahmen der Konsultation nochmals entschärft werden. **e. Reduzierte Überprüfung von statischen Kundenbeziehungen** Die Intensität und der Umfang der Kundendatenüberprüfung kann sich danach richten, ob sich die (Geschäfts-)Aktivitäten des Kunden seit der letzten Überprüfung geändert hat. Sind sie gleichgeblieben, haben keine neuen Aktivitäten stattgefunden und wurden dem Kunden keine neuen Dienstleistungen oder Produkte angeboten, kann die Tiefe der Kundendatenüberprüfung reduziert werden. Eine solche Überprüfung kann z.B. die Abfrage von Unternehmensregistern bzw. anderer zuverlässiger Quellen, die Durchführung von PEP- und Adverse-Media-Screenings sowie die interne Überprüfung umfassen, ob sich etwas an der Art oder dem Zweck der Geschäftsbeziehung geändert hat (Entwurf der AMLA-Leitlinien, Rn. 20). 💡 Diese Klarstellung ist uneingeschränkt zu begrüßen und gibt konkrete Guidance, wie die laufenden Kundendatenüberprüfung stattfinden kann. **f. Anlassbezogene Aktualisierung** Der Entwurf der AMLA-Leitlinien nennt bestimmte Ereignisse und Umstände, die eine Überprüfung der Kundendaten auslösen können (Rn. 27). 💡 Die AMLA ist erkennbar im digitalen Zeitalter angekommen: Während die bisherigen Ausführungen der BaFin (AuA AT, Ziff. 5.2.2) als anlassbezogenen Aktualisierungstrigger noch Postrückläufer („Unzustellbare Post“) nennt, zählt die AMLA unter anderem „ungeklärte Wechsel von professionellen Dienstleistern, wiederholte oder ungewöhnliche Änderungen der IP-Adresse oder des Gerätestandorts“ und neue Adverse-Media-Treffer auf. **g. Beendigungspflicht als ultima ratio** Ist ein verpflichtetes Unternehmen nicht in der Lage, die relevanten Kundendokumente, -daten oder -informationen auf dem neuesten Stand zu halten, hat es der Durchführung von Transaktionen abzusehen und die Geschäftsbeziehung zu beenden (Art. 20 Abs. 1 lit f, Art. 26, Art. 21 AMLR, Entwurf der AMLA-Leitlinien, Rn. 30). Die Beendigungspflicht soll aber auch nur ultima ratio sein; vorher muss sich nach Kräften bemüht werden, die fehlenden/veralteten Unterlagen zu beschaffen (Entwurf der AMLA-Leitlinien, Rn. 32). 💡 Diese Beendigungspflicht ist ****deutlich strenger** als bislang nach dem GwG! Eine solche ausdrückliche Beendigungspflicht besteht gemäß § 10 Abs. 9 S. 1 GwG insoweit, als die Sorgfaltspflichten gegenüber Neukunden nicht erfüllt werden können, gilt aber bislang nicht bei Schwierigkeiten im Rahmen der kontinuierlichen Überwachung. ### **Transaktionsmonitoring und Aktivitätsüberwachung** **a. „Aktivitätsmonitoring“** Die laufenden Überwachung umfasst ausdrücklich nicht nur das Transaktionsverhalten (Transaktionsmonitoring), sondern auch das sonstige Kundenverhalten (relevante Aktivitäten, Verhaltensweisen und Ereignisse während der gesamten Geschäftsbeziehung). Der Entwurf der AMLA-Leitlinien (Rn. 4 und 34 ff.) spricht daher ausdrücklich von der Überwachung von Transaktionen und Aktivitäten. 💡 In der Sache ist das kein Novum, stellt aber klar, dass kontinuierliche Überwachung mehr ist als schematisches Transaktionsmonitoring. **b. Abgestuftes Transaktionsmonitoring bei high-risk-customers** Bei Kunden, auf die verstärkte Sorgfaltspflichten anzuwenden sind, können gezieltere oder intensivierte Überwachungsparameter, Szenarien, Risikoindikatoren oder analytische Ansätze und häufigere oder eingehendere Überprüfungen angebracht sein (Entwurf der AMLA-Leitlinien, Rn. 41). 💡 Auch das ist inhaltlich keine Neuerung, wurde durch die Aufsichtsbehörden bislang aber auch nicht so ausdrücklich klargestellt, sondern allenfalls im Rahmen von Prüfungen goutiert. Danach ist es ratsam, die einzelnen Regeln des Transaktionsmonitorings auf die verschiedenen Kundenrisikoklassen zuzuschneiden und z.B. für Hochrisikokunden niedrigere Schwellenwerte, längere Vergleichszeiträume und insgesamt strengere Regeln zu hinterlegen. **c. Manuelles Monitoring außerhalb des eigentlichen Finanzsektors** Ob verpflichtete Unternehmen automatisierte Transaktionsmonitoring-Systeme nutzen oder es bei manuellen oder halbautomatisierten Verfahren belassen, ist jeweils individuell und risikobasiert zu bewerten und im Einklang mit den Ergebnissen der unternehmenseigenen Risikoanalyse festzulegen (Entwurf der AMLA-Leitlinien, Rn. 46). Verpflichtete Unternehmen, die strukturell nur begrenzten oder gar keinen Zugang zu Transaktions- und Aktivitätsdaten haben, aufgrund der Art ihres Geschäftsmodells keine Transaktionen verarbeiten oder bei denen Transaktionsvolumen, -geschwindigkeit, -umfang und -komplexität den Einsatz automatisierter oder halbautomatisierter Überwachungssysteme und -prozesse nicht rechtfertigen, können sich auf manuelle Überwachungsprozesse und -kontrollen stützen (Entwurf der AMLA-Leitlinien, Rn. 47). 💡 Für vielen Unternehmen, die das Transaktionsmonitoring heute bereits manuell oder halbautomatisiert durchführen, dürfte auch in Zukunft keine Notwendigkeit bestehen, auf ein vollautomatisiertes Monitoringsystem umzustellen. Das betrifft z.B. Versicherungsunternehmen mit überschaubaren und regelmäßigen Prämienzahlungseingängen. Andersherum dürften die Unternehmen, die selbst Transaktionen in hoher Frequenz durchführen und die heute bereits gesetzlich zum IT-gestützten Transaktionsmonitoring verpflichtet sind (z.B. Kredit- und Zahlungsinstitute) auch in Zukunft vollautomatisiertes Monitoringsystem anwenden müssen. **d. Keine externen Tools im Default-Mode** Wenn verpflichtete Unternehmen auf vorkonfigurierte oder extern entwickelte Monitoringtools zurückgreifen, müssen sie die Verwendung des Tools verstehen, die Standardeinstellungen gegen die Eigenheiten des eigenen Unternehmens und Geschäftsmodells prüfen und die Standardeinstellungen entsprechend anpassen. Standardeinstellungen sollten nicht ohne eine dokumentierte Bewertung ihrer Angemessenheit verwendet werden (Entwurf der AMLA-Leitlinien, Rn. 50). 💡 Die AMLA gießt hier in Schriftform, was die Aufsichtsbehörden im Rahmen ihrer Prüfungen immer wieder feststellen: Am Markt erworbene Tools werden ungesehen und unangepasst auf das eigene Unternehmen angewandt, meist mit der Folge von einer Vielzahl von false-positive-Treffern und vermeidbaren Fehlerbildern. Auch heute gilt schon, dass die Standardeinstellungen nicht starr übernommen werden, sondern auf das eigenen Unternehmen angepasst werden müssen. **e. Wechselwirkung zwischen Bestandsdaten und Überwachungsergebnissen** Verpflichtete Unternehmen sollten sicherstellen, dass relevante Ergebnisse aus dem Monitoring bewertet werden und wiederum in die Steuerung anderer interner Prozesse einfließen. So können sich wesentliche Änderungsergebnisse sogar auf die gesamte Risikoanalyse auswirken. Zu den möglichen Wechselwirkungen zwischen Monitoringergebnissen und sonstigen geldwäscherechtliche Prozessen gehört auch, die Kundenrisikoklassifizierung und die damit einhergehenden Intensität der Sorgfaltspflichten entsprechend der Monitoringergebnisse anzupassen sind. Wenn Überwachungsergebnisse auf ein erhöhtes Risiko hindeuten, sollten verpflichtete Unternehmen geeignete Maßnahmen zur Risikominderung ergreifen, wozu auch die Anwendung verstärkter Sorgfaltspflichten gehört Entwurf der AMLA-Leitlinien, 52). 💡 Die AMLA formuliert hier die Erwartungshaltung, die die BaFin in dieser Ausdrücklichkeit bislang nicht verschriftlicht, aber dennoch vorausgesetzt hat. Die kontinuierliche Überwachung findet nicht zum Selbstzweck statt; vielmehr müssen die Ergebnisse der kontinuierlichen Überwachung einschließlich des Transaktionsmonitorings erfasst und bewertet werden, damit auf Grundlage dieser Bewertung wiederum relevanten Folgeprozesse (z.B. client outreach, Folgerecherchen, Verdachtsmeldungsabgabe, Hochstufung der Risikoklasse, Beendigung der Geschäftsbeziehung usw.) angestoßen werden. **f. Ex-Ante-Monitoring vs. Ex-Post-Monitoring** Die Überwachung von Transaktionen und Aktivitäten (also das Erkennen und Bewerten der Risikorelevanz) kann sowohl vor als auch nach Ausführung einer Transaktion oder Ausführung einer Aktivität geschehen. Der Entwurf der AMLA-Leitlinien (Rn. 60 ff.) nennt hier verschiedene Prinzipien, um das Für und Wider der vor- und nachgelagerten Überwachung in Abhängigkeit vom jeweiligen Unternehmenstyp zu beschreiben. Im Ergebnis plädiert der Entwurf der AMLA-Leitlinien für eine möglich frühe, vorgelagerte Überwachung, erkennt aber an, dass dies für viele Unternehmen nur eingeschränkt oder gar nicht möglich ist. 💡 Im Ergebnis kommt es – wie heute schon – auf die unternehmenseigene Situation an und insbesondere darauf, ob das einzelne Unternehmen überhaupt über die Daten und Informationsquellen verfügt, die eine vorgelagerte Überprüfung erfordern. Kredit- und Zahlungsinstitute, die Zahlungsaufträge ausführen, können angestoßene Zahlungsaufträge noch vor deren Ausführung bewerten. Andere Unternehmen (gerade im Nichtfinanzsektor) haben dagegen überhaupt keine Möglichkeit, ein vorgelagertes Transaktionsmonitoring zu betreiben. **g. Umgang mit Monitoringtreffern** Monitoringtreffer müssen unverzüglich bewertet, nach Risiko priorisiert und, sofern eine weitere Analyse erforderlich ist, an Mitarbeiter mit entsprechenden Kundenkenntnissen und Fachkompetenz weitergeleitet werden (Entwurf der AMLA-Leitlinien, Rn. 75). 💡 Insofern bleibt alles beim Alten: Eine unverzügliche Verdachtsmeldungsabgabe setzt voraus, dass auch die zugrundeliegende Auffälligkeit – z.B. der Treffer im Transaktionsmonitoring – unverzüglich bewertet wird. **h. NEU: Automatisiertes Aussortieren von false-positive-Treffern** Werden automatisierte Mechanismen zur abschließenden Bearbeitung von Monitoringtreffern einsetzen („*to close monitoring outputs*“), ist sicherzustellen, dass diese Mechanismen nur auf Fälle angewendet werden, die nach automatisierter Analyse keine Hinweise auf verdächtige oder ungewöhnliche Transaktionen und Aktivitäten oder andere wesentliche ML/TF-Risikoindikatoren aufweisen (false positive-Treffer). In Hochrisikokonstellationen und in Bezug auf Hochrisikokunden dürfen diese automatisierten Mechanismen grundsätzlich nicht eingesetzt werden (Entwurf der AMLA-Leitlinien, Rn. 78). 💡 Das ist eine zentrale Neuerung! Die BaFin steht dem Einsatz von Technologie bei der Bewertung von Treffern im Transaktionsmonitoring nicht gänzlich verschlossen gegenüber, legt bislang aber Wert darauf, dass die Letztsequenz der Einzelfallbearbeitung stets manuell durch einen Sachbearbeiter geschieht. Die AMLA eröffnet nun vollkommen neue, ausschließlich begrüßenswerte Perspektiven: Künftig dürfte es möglich sein, regel- und parameterbasiert vorzudefinieren, welche Treffer für welchen Kunden bzw. Kundengruppe unter welcher Monitoringregel als false-positive gelten und bereits systemseitig und automatisiert geschlossen werden dürfen. Das entsprechende Regelwerk wird fortlaufend aktuell zu halten und zu überprüfen sein. **i. Einsatz von Technologie, insbesondere KI** Der Entwurf der AMLA-Leitlinien zeigt ganz grundsätzlich, dass die AMLA dem Einsatz von Technologie, insbesondere von künstlicher Intelligenz (KI) im Rahmen der kontinuierlichen Überwachung offen gegenüber steht und sogar begrüßt (Rn. 87 ff.). Verpflichtete Unternehmen sind aufgefordert zu prüfen, ob der Einsatz automatisierter oder fortschrittlicher Analyseinstrumente, einschließlich Algorithmen, maschinellem Lernen, künstlicher Intelligenz und anderer innovativer Technologien, die wirksame Erkennung und Eskalation von ML/TF-Risiken innerhalb ihres Überwachungsrahmens verbessern würde. Entsprechende Tools entbinden allerdings nicht vollkommen von der Verantwortung, sondern müssen hinterfragt und erläutert werden können. Verpflichtete Unternehmen bleiben für die im Ergebnis getroffene Überwachungsentscheidung verantwortlich und müssen sicherstellen, dass diese überprüft und, falls erforderlich, angepasst werden können, gegebenenfalls auch durch wirksame menschliche Aufsicht. 💡 Die ausdrückliche Technologieoffenheit ist ausschließlich zu begrüßen. Der Einsatz von KI im Rahmen der Verdachtsfallbearbeitung kann diese stark effektivieren, Ergebnisse präzisieren und jede einzelne Prozesssequenz innerhalb der Überprüfung stärken. ## IV. Fazit Der Rahmen der kontinuierlichen Überwachung von Geschäftsbeziehungen wird unter der AMLR kaum verändert. Kundendatenaktualisierung und Transaktionsmonitoring stehen weiterhin im Fokus, sind aber auch in Zukunft nur zwei Teilfacetten einer weitreichenderen, gesamtheitlich zu begreifenden Überwachungslogik. Der Entwurf der AMLA-Leitlinien bringt einzelne Neuerungen und verschriftlicht in der Breite die Grundsätze der bisherigen Aufsichtspraxis, die zwar nicht ausdrücklich vorgegeben, im Markt aber doch erwartet und gelebt wurden. Besonders begrüßenswert: Die AMLA bricht eine Lanze für den Einsatz von innovativen Technologien und Analyseinstrumente, einschließlich Algorithmen, maschinellem Lernen und künstlicher Intelligenz. Das ist ausschließlich zu begrüßen und hält erneut das fest, was einzelnen Verpflichtete (gerade im Finanzsektor) heute schon vorleben. ### Russlandsanktionen – das Wesentliche nicht aus dem Blick verlieren! URL: https://www.waldvorlauternormen.com/russlandsanktionen-das-wesentliche-nicht-aus-dem-blick-verlieren/ Last updated: 2026-06-03T11:41:50.000Z Das 20\. Sanktionspaket ist da, das 21\. Sanktionspaket nimmt am Horizont bereits Gestalt an, weitere Sanktionspakete werden folgen – was das für betroffene Unternehmen bedeutet und wie wirksame Sanktions-Compliance effektiv gelingen kann. --- Ende April 2026 hat die Europäische Union das [20\. Sanktionspaket](https://ec.europa.eu/commission/presscorner/detail/en/ip%5F26%5F869?ref=waldvorlauternormen.com) gegen Russland verabschiedet. Wie schon mit den vorangegangenen Sanktionspaketen nimmt die EU dabei einerseits bestimmte Sektoren der russischen Wirtschaft ins Visier (diesmal vor allem den Energiesektor) und setzt andererseits weitere 33 Einzelpersonen und 83 Einrichtungen auf ihre Finanzsanktionslisten. ## **Bekannte Pflichten, erweiterter Inhalt** So weit, so bekannt: Mit dem 20\. Sanktionspaket werden vor allem die beiden zentralen Sanktionsverordnungen [(EU) 833/2014](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02014R0833-20260424&ref=waldvorlauternormen.com) (die „*Russland-Embargo-VO*“) und [(EU) 269/2014](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02014R0269-20260423&ref=waldvorlauternormen.com) (die „*Russland-Finanzsanktions-VO*“) inhaltlich ergänzt und erweitert. Die Sanktionslogik bleibt dabei unverändert: Nach der Russland-Embargo-VO ist es Instituten des Finanzsektors (z.B. Kreditinstituten) verboten, im Zusammenhang mit der Bereitstellung, Herstellung, Wartung und Verwendung bestimmter Güter aus den sanktionierten Wirtschaftssektoren Finanzmittel oder Finanzhilfen aus den Institutsmitteln bereitzustellen (z.B. Darlehen, Garantien, Bürgschaften oder Lieferanten- und Bestellerkredite). Nach der Russland-Finanzsanktions-VO sind Gelder und wirtschaftliche Ressourcen von finanziell sanktionierten Personen und Einrichtungen einzufrieren und unterliegen einem umfassenden Verfügungsverbot („*asset freeze“).* Außerdem ist es verboten, diesen Personen Gelder oder wirtschaftliche Ressourcen zur Verfügung zu stellen (sog. Bereitstellungsverbot). ## **Neu: Anti-Circumvention-Tool in action** Mit dem 20\. Sanktionspaket aktiviert die EU erstmals ihr Instrumentarium zur Bekämpfung der Sanktionsumgehung (das „*Anti-Circumvention-Tool*“). Die EU hatte das Anti-Circumvention-Tool [mit dem 11\. Sanktionspaket gegen Russland](https://ec.europa.eu/commission/presscorner/detail/en/ip%5F23%5F3429?ref=waldvorlauternormen.com) im Juni 2023 eingeführt, bislang aber nicht zur Anwendung gebracht. Das Instrument ermöglicht es der EU, den Verkauf, die Lieferung, die Weitergabe oder den Export bestimmter sanktionierter Güter und Technologien sowie damit verbundene Dienstleistungen in bestimmte Drittländer zu beschränken, in deren Hoheitsgebieten ein anhaltendes und besonders hohes Risiko der Umgehung besteht. Die EU betonte dabei schon rund um die Veröffentlichung des 11\. Sanktionspaket, dass der Einsatz des Anti-Circumvention-Tools nur als außergewöhnliches und letztes Mittel („*exceptional and last resort measure*“) zum Einsatz kommen soll, wenn andere Einzelmaßnahmen und die Bemühungen der EU um einen Dialog mit den betroffenen Drittländern nicht ausreichten, um eine Sanktionsumgehung zu verhindern. Diese Eskalationsstufe sieht die EU nun gekommen und reagiert auf beharrliche und systematische Versäumnisse der Kirgisischen Republik, den Verkauf, die Lieferung, die Weitergabe oder den Export bestimmter risikoreicher EU-Güter nach Russland zu verhindern. Betroffen sind bestimmte Werkzeugmaschinen sowie bestimmte Telekommunikationsausrüstung, die in Russland zur Herstellung von Drohnen und Raketen verwendet werden. ## **Orientierung im Sanktions-Dschungel** Im stetig weiter wuchernden Dschungel der Russlandsanktionen lässt sich schnell die Orientierung verlieren kann. Zum Stand 23./24\. April 2026 umfasst die Russland-Embargo-VO in englischer Sprachfassung stattliche 734 Seiten Norm- und Anhangstext; die Russland-Finanzsanktions-VO bringt es sogar auf 1.086 Seiten. Für den Sommer 2026 ist bereits das 21\. Sanktionspaket angekündigt. Damit stehen auch die nächsten Erweiterungen der Sanktionsverordnungen ins Haus. Mit den Sanktionsverordnungen werden aber auch die behördlichen Orientierungshilfen permanent erweitert, mit deren Hilfe sich potenziell sanktionsbetroffene Unternehmen im Sanktionsdschungel zurecht finden können, z.B. - Der [EU Sanctions Helpdesk](https://eu-sanctions-compliance-helpdesk.europa.eu/index%5Fen?ref=waldvorlauternormen.com), der europäische Unternehmen bei der Sanktions-Compliance unterstützt - die [*Commission Consolidated FAQs on the Implementation of Council Regulation No. 833/2014 and Council Regulation 269/2014*](https://finance.ec.europa.eu/publications/consolidated-version%5Fen?ref=waldvorlauternormen.com) auf dem Stand v. 22.5.2026, - das [BAFA-Merkblatt zum Außenwirtschaftsverkehr mit der Russischen Föderation](https://www.bafa.de/SharedDocs/Downloads/DE/Aussenwirtschaft/afk%5Fmerkblatt%5Frussische%5Ffoederation.html?ref=waldvorlauternormen.com) auf dem Stand v. 18.11.2025 oder - die [Übersichten der Generalzolldirektion](https://www.zoll.de/DE/Fachthemen/Aussenwirtschaft-Bargeldverkehr/Embargomassnahmen/Laenderembargos/Russland/russland%5Fnode.html?ref=waldvorlauternormen.com) inklusive integrierter FAQs zu Russland-bezogenen Themen auf ihrer meist tagesaktuellen Homepage. Diese behördlichen Orientierungshilfen werden gelegentlich unterschätzt, bieten aber hohen praktischen Mehrwert. ## **Das Wesentliche nicht aus dem Blick verlieren** Trotz der weiter zunehmenden Relevanz der EU-Russland-Sanktionen gilt es, das Wesentliche nicht aus dem Blick zu verlieren: Nicht jeder (unmittelbare oder mittelbare) Russland-Bezug einer Transaktion oder eines Handelsgeschäftes bedeutet automatisch auch eine Sanktionsrelevanz. Dies hat das OLG Frankfurt (Beschluss v. 22.09.2025 – 3 U 111/23) zuletzt ausdrücklich festgehalten: Auch deutsche Kreditinstitute können und müssen (!) eine aus Russland stammende Transaktion zugunsten ihres inländischen Kunden verbuchen, wenn im Ergebnis keine Sanktionsrelevanz festgestellt werden kann (siehe unsere ausführliche Besprechung dieser Entscheidung in der [**Zeitschrift für Bank- und Kapitalmarktrecht 11/2026**](https://beck-online.beck.de/Dokument?vpath=bibdata%2Fzeits%2Fbkr%2F2026%2Fcont%2Fbkr.2026.h10.nameinhaltsverzeichnis.htm&anchor=Y-300-Z-BKR&jumpType=Jump&jumpWords=bkr&readable=Suche%2Bnach%2BZeitschrift%253a%2BBKR&ref=waldvorlauternormen.com)). Man kann es auch anders ausdrücken, ähnlich wie das OLG Stuttgart (Urt. v. 7.2.2024 – 9 U 6/24 – siehe unsere ausführliche Besprechung dieser Entscheidung in der [**Zeitschrift für Bank- und Kapitalmarktrecht 13/2024**](https://beck-online.beck.de/Dokument?vpath=bibdata%2Fzeits%2Fbkr%2F2024%2Fcont%2Fbkr.2024.586.1.htm&anchor=Y-300-Z-BKR-B-2024-S-586&jumpType=Jump&jumpWords=BKR%2B2024%252c%2B586&readable=Suche%2Bnach%2BFundstelle%253a%2BBKR%2B2024%2B%2B586%2Bnur%2Bin%2Bmeinen%2BModulen&ref=waldvorlauternormen.com)): Over-Compliance ist gut, aber ein fachlich fundierter und nachvollziehbar dokumentierter Umgang mit dem Einzelsachverhalt ist besser, auch wenn die Sanktionsrelevanz im Ergebnis verneint wird. Die unternehmenseigenen Mechanismen der Sanktions-Compliance sollten daher darauf ausgerichtet sein, - den jeweiligen Sachverhalt vollständig erfassen zu können, - die für diesen Sachverhalt in Frage kommenden Sanktionsvorschriften überblicken, heranziehen und den Sachverhalt daran messen zu können und - die Einzelschritte und das Ergebnis der Prüfung revisionssicher zu dokumentieren und dabei erkennen lassen, unter welchen tatsächlichen und rechtlichen Beweggründen eine Sanktionsrelevanz bejaht oder verneint wird. Hierzu müssen insbesondere - das Sanktionslisten-Screening umfassend und möglichst eng getaktet (mindestens täglich) durchgeführt werden, - Prüf- und Überwachungsmechanismen robust funktionieren, - die betroffenen Mitarbeiter ausgebildet und geschult sein und - Arbeitsanweisungen bzw. Leitfäden für Prüf-, Bewertungs- und Eskalationsprozesse geschaffen und aktuell gehalten werden. ### Die Verhinderung der Umgehung gezielter finanzieller Sanktionen unter der AMLR URL: https://www.waldvorlauternormen.com/die-verhinderung-der-umgehung-gezielter-finanzieller-sanktionen-unter-der-amlr/ Last updated: 2026-05-28T10:28:13.000Z Mit dem Geltungsbeginn der AML-R am 10\. Juli 2027 wird nicht nur ein erweiterter Kreis an Verpflichteten deren geldwäscherechtlichen Vorgaben einzuhalten haben; auch die Zielsetzung der geldwäscherechtlichen Vorgaben wird um einen weiteren Tatbestand erweitert werden. Neben die Bekämpfung der Geldwäsche und der Finanzierung des Terrorismus tritt mit der AML-R die Bekämpfung der Umgehung „gezielter finanzieller Sanktionen“ also der dritte Tatbestand, dessen Verwirklichung die geldwäscherechtlichen Vorgaben verhindern sollen. --- ## Was sind „gezielte finanzielle Sanktionen“? Sanktionen – auch „Embargos“ oder „restriktive Maßnahmen“ genannt – sind ein Instrument der internationalen Gemeinschaft um auf Verstöße gegen das Völkerrecht, Menschenrechtsverletzungen oder Bedrohungen des Friedens zu reagieren. Bei den Personen oder Einrichtungen, gegen die sie verhängt werden, sollen sie eine Verhaltensänderung dahingehend bewirken, dass diese das von der internationalen Gemeinschaft missbilligte Verhalten abstellen. Als Teil des Außenwirtschaftsrechts beschränken sie den internationalen Wirtschafts- und Finanzverkehr. Dadurch spielen insbesondere der Exportsektor und der Finanzmarkt eine zentrale Rolle bei der erfolgreichen Durchsetzung von Sanktionen. Vom Anwendungsbereich der AML-R sind nur „**gezielte finanzielle Sanktionen**“ erfasst. Dabei handelt es sich um Maßnahmen der EU, die Vermögenswerte einfrieren, oder um Verbote, welche die Bereitstellung von Geldern oder anderer Vermögenswerte unmittelbar oder mittelbar zugunsten der betroffenen Personen oder Organisationen untersagen. Die erfassten Maßnahmen müssen in entsprechenden Beschlüssen des Rates der EU (gem. Art. 29 EUV) oder in Verordnungen des Rates (gem. Art. 215 AEUV) benannte werden. Umfasst sind dabei insbesondere die Verfügungs- und Bereitstellungsverbote der relevanten EU-Sanktionsverordnungen als wesentliche Maßnahmen der EU im Bereich der Finanzsanktionen. Neben EU-Sanktionen sind unter den Begriff der „gezielten finanziellen Sanktionen“ zwar nicht explizit, aufgrund ihrer Erwähnung unter den Begriffsbestimmungen der AML-R (Art. 2 Abs. 1 Nr. 50, 51 AML-R) aber aus Gründen der Gesetzessystematik auch die finanziellen Sanktionen der Vereinten Nationen sowie Sanktionen der Vereinten Nationen im Zusammenhang mit der Proliferationsfinanzierung zu subsumieren. Sowohl die EU als auch die Vereinten Nationen stellen jeweils eine systematische Übersicht über die erlassenen Sanktionen bereit ([Sanktionslandkarte der Europäischen Union](https://www.sanctionsmap.eu/?ref=waldvorlauternormen.com#/main) / [UN Sanctions Map](https://unsanctionsapp.com/facts/un-sanctions-overview?ref=waldvorlauternormen.com)). Darüber hinaus stellt die EU mit dem „[*EU sanctions tracker*](https://data.europa.eu/apps/eusanctionstracker/?ref=waldvorlauternormen.com)“ ein Dashboard bereit, mit dem einzelne Sanktionsregime, Nationalitäten sowie sanktionierte Individuen oder Einrichtungen über eine Suchmaske identifiziert werden können. ## Welche Maßnahmen sind von Verpflichteten zu ergreifen? Mit dem Geltungsbeginn der AML-R am 10\. Juli 2027 werden Verpflichtete zur Verhinderung der Umgehung gezielter finanzieller Sanktionen in ihren Unternehmen und Instituten ein umfassendes Risikomanagement zu etablieren haben. Die Vorgaben zur Verhinderung der Sanktionsumgehung stehen dabei im Grundsatz den etablierten Vorgaben zur Verhinderung von Geldwäsche und Terrorismusfinanzierung in nichts nach und umfassen dieselben Bausteine, die sich im geldwäscherechtlichen Risikomanagement in den letzten Jahren herausgebildet haben. ### Der Tatbestand der gezielten Umgehung finanzieller Sanktionen Ausgangspunkt der Etablierung eines angemessenen und effektiven Risikomanagements ist auch im Bereich der Sanktionen ein tiefergehendes Verständnis des Tatbestands und seiner Begehungsweise. Anders als bei der Geldwäsche, bei der aus *ex post*\-Perspektive festzustelle ist, ob es sich um inkriminiertes Geld handelt, ähnelt die Betrachtungsweise beim Tatbestand der Sanktionsumgehung der des Tatbestands der Terrorismusfinanzierung. In beiden Fällen ist eine *ex ante*\-Perspektive einzunehmen, aus der eine Einschätzung darüber getroffen werden soll, ob Gelder oder andere Finanzmittel an sanktionierte Personen oder Einrichtungen bzw. terroristische Vereinigungen fließen soll. Hilfreich ist bei der Sanktionsumgehung wie bei der Terrorismusfinanzierung die Möglichkeit des Rückgriffs auf Listen (Sanktionslisten/Terrorlisten), welche die sanktionierten Personen und Akteure enthalten. Allergings ist die Prognose oder Feststellung im Einzelfall komplizierter, da immer häufiger komplexe Umgehungsstrukturen genutzt werden, um den final Begünstigten einer Transaktion zu verschleiern. In diesem Fall ist auch im Bereich der Sanktionsumgehung der risikobasierte Ansatz anzuwenden und im Zweifelsfall eine (versuchte) Sanktionsumgehung zu vermuten und entsprechende Maßnahmen zu ergreifen. ### Risikoanalyse Grundlage des Risikomanagements zur Verhinderung der Umgehung gezielter finanzieller Sanktionen ist die Risikoanalyse (Art. 10 Abs. 1 AML-R). Im Rahmen der Risikoanalyse ist zu bewerten, welche konkreten Einfallstore das Geschäftsmodell, das Produktportfolio, der geografische Tätigkeitsbereich und der Kundenstamm des Unternehmens zur Umgehung gezielter finanzieller Sanktionen aufweist. Dabei sind bereits getroffene Maßnahmen zur Verhinderung der Sanktionsumgehung zu berücksichtigen und zu bestimmen, welche weiteren Maßnahmen zu treffen sind. Verpflichtete können sich dabei an bereits veröffentlichten Merkblättern orientieren. So haben sowohl die [Deutsche Bundesbank](https://www.bundesbank.de/resource/blob/843142/1bf4bcbf0319c8d0bb8269841f0f9c4a/472B63F073F071307366337C94F8C870/merkblatt-einhaltung-data.pdf?ref=waldvorlauternormen.com) als auch das [Bundesamt für Wirtschaft und Ausfuhrkontrolle](https://www.bafa.de/SharedDocs/Downloads/DE/Aussenwirtschaft/afk%5Fmerkblatt%5Fsanktionsumgehung.pdf?%5F%5Fblob=publicationFile&v=3&ref=waldvorlauternormen.com) (BAFA) ein Merkblatt zur Einhaltung von (Finanz-)Sanktionen veröffentlich. Zusätzlich hat die EU spezifisch für den Bereich der Russlandsanktionen ein [Merkblatt](https://finance.ec.europa.eu/system/files/2023-12/guidance-eu-operators-russia-sanctions-circumvention%5Fen.pdf?ref=waldvorlauternormen.com) zur Implementierung eines Risikomanagements zur Verhinderung der Umgehung von Russlandsanktionen veröffentlicht. Diese Dokumente bieten Anhaltspunkte zur Identifizierung und Analyse von Risiken der Sanktionsumgehung, sind aber nicht als abschließend zu verstehen und können vor allem nicht eine unternehmensspezifische Analyse ersetzen. ### Interne Sicherungsmaßnahmen Abgeleitet von den Ergebnissen der Risikoanalyse sind angemessene interne Sicherungsmaßnahmen (die AML-R verwendet die Bezeichnung „Interne Strategien, Verfahren und Kontrollen“, Art. 9 Abs. 1 AML-R) zu etablieren. Der Rahmen einer angemessenen Ausgestaltung der internen Sicherungsmaßnahmen ergibt sich aus der Risikoanalyse und hat die Geschäftstätigkeit und Größe des Verpflichteten, insbesondere die mit diesen Faktoren einhergehenden spezifischen Risiken sowie die Komplexität des Geschäftsmodells widerzuspiegeln und muss geeignet sein, alle Tätigkeitsbereiche des Verpflichteten abzudecken (Art. 9 Abs. 1 UAbs. 2 AML-R). Die AML-R gibt einen Mindeststandard an Maßnahmen vor, die im Einzelnen zu etablieren sind (Katalog der Internen Strategien, Verfahren und Kontrollen in Art. 9 Abs. 2 AML-R). Die wesentlichsten Maßnahmen des Katalogs werden unten näher erläutert. Dieser Katalog ist geschäftsmodellspezifisch und risikoangemessen anzupassen und zu erweitern. Insbesondere bei der Ausgestaltung der internen Sicherungsmaßnahmen ist zu beachten, dass sich der aus den bisherigen geldwäscherechtlichen Vorgaben bekannte und nun in dem hier beschriebenen Rahmen auch auf den Tatbestand der Sanktionsumgehung anzuwendende, risikobasierte Ansatz, nicht derart auf die Sanktionscompliance des Verpflichteten auswirken darf, dass von dem bisher bekannten, regelbasierten System der Sanktionscompliance abgewichen wird. Auch bezüglich gezielter finanzieller Sanktionen gilt weiterhin die absolute Pflicht, entsprechend sanktionierte Gelder oder andere Vermögenswerte einzufrieren und sanktionsrechtlich benannten Personen oder Einrichtungen weder direkt noch indirekt zur Verfügung zu stellen (ErwG. 33 AML-R). ### Kundensorgfaltspflichten Auf die Ausführung der Kundensorgfaltspflichten wirkt sich die Einbeziehung des Tatbestands der „Umgehung gezielter finanzieller Sanktionen“ ebenfalls aus. Im Rahmen des Kundenonboarding haben Verpflichtete zu prüfen, ob der Kunde oder die wirtschaftlichen Eigentümer des Kunden gezielten finanziellen Sanktionen unterliegen (Art. 20 Abs. 1 d) AML-R), es ist also ein Screening gegen Sanktionslisten vorzunehmen. Diese Pflicht greift auch bezüglich der kontinuierlichen Überwachung, im Rahmen derer die Verpflichteten ihre Kunden in (risikobasiert) festgelegten Abständen zu Überprüfen haben. Diese Überprüfung hat nun auch die etwaige Aufnahme der Kunden auf einer einschlägigen Sanktionsliste während der laufenden Geschäftsbeziehung zu umfassen. ### Geldwäschebeaufragte Mit der Erweiterung der geldwäscherechtlichen Vorgaben erfährt auch der Zuständigkeitsbereich des Geldwäschebeauftragten (GwB) im Unternehmen eine entsprechende Erweiterung. Der GwB ist nun auch für die Einhaltung und Umsetzung gezielter finanzieller Sanktionen im Tätigkeitsbereich des Unternehmens zuständig und ist Ansprechpartner für Mitarbeitende sowie Kontaktstelle für die zuständigen Aufsichtsbehörden. Er ist dafür zuständig, Meldungen bezüglich verdächtiger Transaktionen im Zusammenhang mit dem Thema Sanktionsumgehung gegenüber der zentralen Meldestelle abzugeben. Da mit dem Thema Sanktionsumgehung Fragestellungen einhergehen, die unter Rückgriff auf die bisher relevanten Kenntnisse eines GwB regelmäßig nicht zu beantworten sein werden, sind die entsprechenden Mitarbeiter rechtzeitig zu schulen, um im Unternehmen eine wirkungsvolles Risikomanagement zu etablieren und dieses aufrechterhalten zu können. ## Fazit und Ausblick Die Erweiterung des geldwäscherechtlichen Kanons um das Thema Sanktionsumgehung bedeutet für Verpflichtete eine nicht zu unterschätzende Neuerung, der sie spätestens mit Geltungsbeginn der AML-R am 10\. Juli 2027 zu entsprechen haben. Daher sollten Verpflichtete die Anpassungen der internen Sicherungsmaßnahmen frühzeitig planen und auch ihre Mitarbeitenden entsprechend Schulen. Wesentliche Informationen zur Umsetzung der Vorgaben werden den AMLA-Leitlinien zur unternehmensweiten Risikoanalyse auf Grundlage von Art. 10 Abs. 4 AML-R zu entnehmen sein. Eine [erste Konsultationsfassung](https://www.amla.europa.eu/document/download/f2db8372-e12a-4818-a991-6a3d45a0cd91%5Fen?filename=Consultation%20Paper%20On%20draft%20Guidelines%20under%20Article%2010%284%29%20of%20Regulation%20%28EU%29%2020241624.pdf&ref=waldvorlauternormen.com) hat die AMLA am 16\. April 2026 zur Konsultation gestellt, die Konsultationsphase läuft noch bis zum 15\. Juli 2026\. Am 28\. Mai 2026 hat die AMLA eine öffentliche Anhörung zur Diskussion der Konsultationsfassung für Stakeholder durchgeführt. ### Direkte Aufsicht durch die AMLA: Der Countdown läuft – wer steht im Fokus? URL: https://www.waldvorlauternormen.com/direkte-aufsicht-durch-die-amla-der-countdown-lauft-wer-steht-im-fokus/ Last updated: 2026-05-28T10:03:57.000Z ## Die AMLA als europäischer Direktaufseher: rechtlicher Rahmen Die mit Sitz in Frankfurt am Main errichtete Behörde zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (*Authority for Anti-Money Laundering and Countering the Financing of Terrorism* – AMLA) hat ihre operative Tätigkeit am 1\. Juli 2025 aufgenommen. Seit dem 1\. Januar 2026 übt sie zudem die zuvor bei der EBA angesiedelten AML/CTF-Zuständigkeiten aus. Die Rechtsgrundlage für die direkte Aufsicht der AMLA bildet die [AMLA-Verordnung (Verordnung (EU) 2024/1620 – AMLAR)](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32024R1620&ref=waldvorlauternormen.com). Sie gilt als EU-Verordnung unmittelbar; einer Umsetzung in deutsches Recht bedarf es nicht. Das Geldwäschegesetz (GwG) bleibt nach derzeitigem Stand bis zur Geltung der AML-Verordnung (AMLR) am 10\. Juli 2027 maßgeblich für die Bestimmung der Verpflichteten in Deutschland (§ 2 GwG); die direkte Beaufsichtigung selbst läuft daneben über die unmittelbar geltenden Vorschriften der AMLAR. ## Wer kann direkt beaufsichtigt werden? Die Auswahlkriterien Die direkte Aufsicht der AMLA ist – jedenfalls in der ersten Auswahlrunde – auf den Finanzsektor beschränkt. Erfasst sind nach Art. 12 AMLAR ausschließlich: - Kreditinstitute, - Finanzinstitute, sowie - Gruppen von Kredit- oder Finanzinstituten, die in mindestens sechs Mitgliedstaaten über Niederlassungen oder im Rahmen der Dienstleistungsfreiheit relevante Tätigkeiten entfalten. Hinzu treten die qualitativen Anforderungen aus Art. 13 AMLAR: Aus dem grundsätzlich eligibility-fähigen Kreis werden ausschließlich solche Verpflichtete ausgewählt, deren **Restrisikoprofil als „hoch“** klassifiziert ist. Maßgeblich ist also nicht das inhärente Risiko allein, sondern das nach Berücksichtigung interner Kontrollen verbleibende Risiko. Die methodischen Vorgaben dazu konkretisieren die finalen Berichte der AMLA zu den RTS unter Art. 12(7) AMLAR und Art. 40(2) AMLD6 vom Dezember 2025. 💡 Verpflichtete des Nichtfinanzsektors (z. B. Rechtsanwälte, Steuerberater, Immobilienmakler, Güterhändler) sowie nicht ausgewählte Finanzsektor-Verpflichtete bleiben unter der Aufsicht der jeweils national zuständigen Behörden – in Deutschland insbesondere der BaFin sowie der nach Landesrecht zuständigen Behörden. Die AMLA übt insoweit lediglich eine indirekte Aufsicht aus. ## Das Reporting Package vom 12\. Mai 2026 Am 12\. Mai 2026 hat die AMLA ein Reporting Package zur Identifizierung der vorläufig eligible obliged entities veröffentlicht. Es besteht aus zwei Dokumenten: - einem standardisierten **Reporting Template** (Excel-basiert), und - einer **Interpretative Note**, die nationalen Aufsichtsbehörden und Verpflichteten Anwendungs- und Auslegungshinweise an die Hand gibt. Die Datenerhebung erfolgt – wie bei der bisherigen Kalibrierungsphase – über die nationalen Aufsichtsbehörden (für deutsche Finanzsektor-Verpflichtete: die BaFin), die die praktischen Modalitäten gegenüber den Verpflichteten kommunizieren. Empfängerin der Daten ist die AMLA als oberste Stelle. Praktisch bedeutet das: Verpflichtete des Finanzsektors mit grenzüberschreitender Tätigkeit sollten kurzfristig damit rechnen, von der BaFin zur strukturierten Datenmeldung aufgefordert zu werden. ## Der nächste Meilenstein: Webinar am 10\. Juni 2026 Am **10\. Juni 2026 (10:00–12:00 CEST)** wird die AMLA [ein öffentliches Webinar veranstalten](https://www.amla.europa.eu/amla-takes-next-step-toward-2027-selection-entities-direct-supervision%5Fen?ref=waldvorlauternormen.com), in dem sie das Reporting Template praxisnah durchgeht. Adressaten sind ausdrücklich die betroffenen Verpflichteten. Es handelt sich nicht um ein formales Public Hearing im Sinne der Konsultationen zu RTS-Entwürfen, sondern um ein erläuterndes Format, das die Datenmeldung erleichtern soll. Die Teilnahme ist gleichwohl dringend zu empfehlen: Die Datenqualität entscheidet darüber, ob ein Verpflichteter zutreffend als eligible eingestuft wird. ## Der Zeitstrahl zur ersten Auswahlrunde Die AMLA hat in ihrem Explainer vom 26\. Januar 2026 sowie ihrem Single Programming Document 2026–2028 den Pfad bis zum Start der direkten Aufsicht klar skizziert: | Dez. 2025 – Feb. 2026 · Laufende Phase Vorbereitungsphase Übermittlung vorläufiger Listen und Stichproben durch die nationalen Aufsichtsbehörden. | | -------------------------------------------------------------------------------------------------------------------------------------------------------- | | März – April 2026 · Laufende Phase Datenerhebung zur Modellkalibrierung Erhebung der Daten zur Kalibrierung des Risikomodells. | | 12\. Mai 2026 · Stichtag Veröffentlichung des Reporting Package Reporting Package zur Identifizierung der eligible obliged entities wird veröffentlicht. | | 10\. Juni 2026 · Stichtag Öffentliches Webinar Öffentliches Webinar der AMLA. | | 15\. August 2026 · Frist Frist Datenerhebung NCAs Frist für die Datenerhebung durch die nationalen Aufsichtsbehörden. | | Ende September 2026 · Stichtag Finalisierung der vorläufigen Liste Finalisierung der vorläufigen Liste der eligible obliged entities. | | Juni – Dezember 2026 · Laufende Phase Testing, Kalibrierung & Validierung Testing, Kalibrierung und Validierung der Risikomodelle. | | Januar – März 2027 · Laufende Phase Finale Datenerhebung Finale Datenerhebung für die Auswahlentscheidung. | | Juli – Dezember 2027 · Laufende Phase Durchführung des Auswahlverfahrens Durchführung des Auswahlverfahrens — bis zu 40 Verpflichtete werden ausgewählt. | | 2028 · Stichtag Aufnahme der direkten Aufsicht Aufnahme der direkten Aufsicht durch die AMLA. | | Stichtag / Frist Laufende Phase | Die Auswahl wird gem. Art. 13 Abs. 1 AMLAR turnusmäßig alle drei Jahre wiederholt. ## Aufsichtsbefugnisse der AMLA: Was bedeutet „direkte Aufsicht“? Für die ausgewählten Verpflichteten tritt die AMLA in die Rolle des **primären Aufsehers** ein. Sie übt die Aufsicht über sog. **Joint Supervisory Teams** (JSTs, Art. 16 AMLAR) aus, die unter Leitung eines AMLA-Mitarbeiters (JST-Coordinator) gebildet werden und Personal der jeweils zuständigen nationalen Behörden einbeziehen. Die Befugnisse der AMLA gegenüber direkt beaufsichtigten Verpflichteten umfassen insbesondere: - die Anforderung sämtlicher relevanter Informationen und Unterlagen (Art. 17 AMLAR), - die Durchführung allgemeiner Untersuchungen (Art. 19 AMLAR), - die Durchführung von **Vor-Ort-Prüfungen** (Art. 20 AMLAR), - bei Anhaltspunkten für schwerwiegende Verstöße die Einsetzung eines unabhängigen Untersuchungsteams (Art. 27 AMLAR), sowie - die Verhängung von **Geldbußen und Zwangsgeldern** (Art. 21, 22 AMLAR) – nach den derzeit konsultierten RTS bis zu 10 % des konsolidierten Jahresumsatzes bzw. mindestens 5 Mio. EUR (vorbehaltlich der Finalisierung). Soweit die AMLA für ausgewählte Verpflichtete zuständig wird, **verdrängt** sie insoweit die zuvor zuständige nationale Aufsichtsbehörde. Die nationale Behörde wirkt im JST gleichwohl mit. Die Übertragung der Aufsichtsbefugnisse von der BaFin auf die AMLA bei direkt beaufsichtigten Instituten regelt der gerade konsultierte ITS unter Art. 15(3) AMLAR (Konsultationsfrist endete am 27\. Januar 2026). ## Implikationen für in Deutschland ansässige Verpflichtete Für deutsche Verpflichtete des Finanzsektors mit relevanter grenzüberschreitender Präsenz bedeutet die Reform einen **Paradigmenwechsel**: Die Aufsichtspraxis wird voraussichtlich strenger, methodisch einheitlicher und – wegen der Joint Supervisory Teams – europäisch geprägt. Direkt beaufsichtigte Institute haben sich darauf einzustellen, dass: - die nationale Auslegungspraxis der BaFin (Auslegungs- und Anwendungshinweise, Rundschreiben) für sie nur noch mittelbar Wirkung entfaltet, soweit sie nicht durch die AMLA übernommen wird; - Berichts- und Dokumentationsformate harmonisiert werden; - Vor-Ort-Prüfungen durch AMLA-geführte Teams stattfinden können, was höhere Anforderungen an Compliance-Dokumentation, IT-Schnittstellen und Datenqualität nach sich zieht; - Sanktionen unmittelbar durch die AMLA ausgesprochen werden können, mit entsprechenden Rechtsmittelmöglichkeiten zum Administrative Board of Review (Art. 86 AMLAR) und letztlich zum Gerichtshof der Europäischen Union. Nicht direkt beaufsichtigte Verpflichtete – insbesondere die Verpflichteten des Nichtfinanzsektors – verbleiben unter nationaler Aufsicht. Auch sie werden den Druck einer europäisch harmonisierten Aufsichtspraxis spüren: Die AMLA wird über **Supervisory Convergence Reviews** (Art. 30 AMLAR) und thematische Reviews die nationalen Aufsichtsbehörden ihrerseits einer Überprüfung unterziehen; der erste Review-Zyklus ist auf sieben Jahre angelegt. ## Ausblick Die AMLA steht am Beginn eines beispiellosen Umbaus der europäischen AML/CTF-Aufsicht. Während die finalen RTS zu Risikobewertung und Selektion bis Ende 2026 erwartet werden und die Europäische Kommission diese im Anschluss als delegierte Verordnungen erlassen wird, sollten potenziell betroffene Verpflichtete bereits jetzt: - ihre **grenzüberschreitende Präsenz** (Niederlassungen, Dienstleistungsfreiheit) auf das Eligibility-Kriterium der sechs Mitgliedstaaten prüfen, - ihr **inhärentes Risiko- und Kontrollprofil** entlang der RTS-Kriterien dokumentieren und ggf. nachschärfen, - die **Datenerhebung der BaFin** strukturiert vorbereiten und die Teilnahme am Webinar am 10\. Juni 2026 in Erwägung ziehen, sowie - **Governance- und Reporting-Strukturen** für eine europäisch koordinierte Aufsicht aufstellen. Ob ein konkretes Institut tatsächlich in die Gruppe der bis zu 40 direkt beaufsichtigten Verpflichteten fällt, wird sich erst Ende 2027 entscheiden. Die methodischen Weichen werden indes jetzt gestellt. Wer hier nicht mit kalibrierten Daten und einem belastbaren Risikomanagement aufwartet, riskiert, in eine ungewollt rigidere Aufsichtskategorie zu rutschen. ### Sanktionen im Geldwäscherecht: Was das neue EuGH-Urteil zu Bußgeldern für Unternehmen bedeutet URL: https://www.waldvorlauternormen.com/sanktionen-im-geldwascherecht-was-das-neue-eugh-urteil-zu-bussgeldern-fur-unternehmen-bedeutet/ Last updated: 2026-05-28T20:26:37.000Z Unternehmen, die dem Geldwäschegesetz (GwG) unterfallen, kennen das Risiko hoher Bußgelder. Mit [Urteil vom 29\. Januar 2026](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62024CJ0291&ref=waldvorlauternormen.com) (Rs. C-291/24) hat der Europäische Gerichtshof (EuGH) nun klargestellt, dass Sanktionen gegen juristische Personen nicht von zusätzlichen nationalen Zurechnungshürden abhängig gemacht werden dürfen. Maßgeblich sei die praktische Wirksamkeit der Geldwäscherichtlinie: Sanktionen müssen **wirksam**, **verhältnismäßig und abschreckend** sein. --- Der Entscheidung lag ein österreichischer Fall zugrunde. Nach den dortigen Regelungen sollte eine Sanktion gegen eine juristische Person unter anderem voraussetzen, dass zuvor einer natürlichen Person förmlich Beschuldigtenstatus eingeräumt und ihr ein schuldhafter Verstoß zugerechnet wurde. Der EuGH hält solche zusätzlichen Anforderungen unionsrechtlich für problematisch, wenn sie die effektive Sanktionierung von Unternehmen erschweren. ## Der Kern der Entscheidung Im Zentrum der Entscheidung steht die Frage, unter welchen Voraussetzungen Unternehmen wegen Verstößen gegen geldwäscherechtliche Pflichten sanktioniert werden können. Der EuGH betont, dass juristische Personen zwar nur durch natürliche Personen handeln können. Daraus folgt jedoch nicht, dass eine Unternehmenssanktion stets die vorherige individuelle Verantwortlichkeitsfeststellung einer bestimmten Person voraussetzt. Art. 58 bis 60 der Richtlinie (EU) 2015/849 (*fourth Anti-Money Laundering Directive* – „**4AMLD**“) verpflichten die Mitgliedstaaten sicherzustellen, dass Verpflichtete für Verstöße gegen die nationalen Umsetzungsvorschriften verantwortlich gemacht werden können. Zu diesen Verpflichteten zählen ausdrücklich auch juristische Personen, etwa Kredit- und Finanzinstitute sowie bestimmte Unternehmen außerhalb des Finanzsektors. Art. 60 Abs. 5 und 6 4\. AMLD regeln zwar, unter welchen Voraussetzungen Verhalten natürlicher Personen einer juristischen Person zugerechnet werden kann. Daraus folgt nach Auffassung des EuGH jedoch keine Pflicht, diese Personen zuvor individuell zu sanktionieren oder im Bescheid namentlich zu benennen. Der EuGH will verhindern, dass nationale Zurechnungsregeln diesen Blick auf die Organisation versperren. Würden Sanktionen gegen Unternehmen regelmäßig daran scheitern, dass innerhalb komplexer Organisationsstrukturen keine einzelne natürliche Person eindeutig identifiziert werden kann, könnte der Zweck der Richtlinie unterlaufen werden. Wichtig ist aber ebenso: Der EuGH schafft keine voraussetzungslose Unternehmenshaftung. Behörden müssen weiterhin einen bußgeldbewehrten Verstoß feststellen und rechtsstaatliche Garantien beachten. Dazu gehören insbesondere das Schuldprinzip, die Unschuldsvermutung, der Verhältnismäßigkeitsgrundsatz und Verteidigungsrechte. ## Keine überraschende Entwicklung Die Entscheidung fügt sich in die bisherige Rechtsprechung des EuGH ein. Bereits in der Rechtssache „Deutsche Wohnen“ ([Rs. C-807/21](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0807&ref=waldvorlauternormen.com)) hatte der Gerichtshof im Dezember 2023 zur Datenschutz-Grundverordnung (DSGVO) entschieden, dass die Verhängung einer Geldbuße gegen eine juristische Person nicht von zusätzlichen nationalen Zurechnungsvoraussetzungen abhängig gemacht werden darf. Zwar betrifft die aktuelle Entscheidung eine Richtlinie und nicht eine Verordnung. Gleichwohl gibt die 4AMLD verbindliche Mindeststandards für die Ausgestaltung nationaler Sanktionssysteme vor. Der EuGH betont dabei zugleich, dass Geldbußen weiterhin Vorsatz oder Fahrlässigkeit voraussetzen. Eine reine Erfolgshaftung genüge nicht. ## Bedeutung für Deutschland Für Deutschland ist die Entscheidung besonders relevant, weil die Unternehmenssanktion nach § 30 des Gesetzes über Ordnungswidrigkeiten (OWiG) traditionell an Straftaten oder Ordnungswidrigkeiten bestimmter Leitungspersonen anknüpft. Ergänzend kommt § 130 OWiG bei Verletzungen von Aufsichtspflichten in Betracht. Daneben enthält § 56 GwG einen umfangreichen Bußgeldkatalog für Verstöße gegen geldwäscherechtliche Pflichten, etwa im Zusammenhang mit Risikoanalysen, Sorgfaltspflichten, Dokumentation, Meldungen oder internen Sicherungsmaßnahmen. § 56 GwG formuliert die Ordnungswidrigkeitstatbestände ausdrücklich für vorsätzliches oder leichtfertiges Verhalten; bei bestimmten schwerwiegenden, wiederholten oder systematischen Verstößen sind gegenüber juristischen Personen oder Personenvereinigungen erhebliche Bußgelder möglich. Der EuGH zwingt Deutschland zwar nicht unmittelbar zur Einführung eines eigenständigen Unternehmensstrafrechts. Der EuGH legt aber nahe, dass § 56 GwG und die allgemeinen Regeln des Ordnungswidrigkeitenrechts unionsrechtskonform gelesen werden müssen, soweit es um die Durchsetzung unionsrechtlich geprägter Geldwäschepflichten geht. Wo eine juristische Person selbst Verpflichtete ist, sollte eine Sanktion nicht allein daran scheitern, dass keine bestimmte natürliche Person formal als Täterin identifiziert und im Bescheid als solche festgestellt wurde. Das bedeutet nicht, dass das deutsche Recht die Verantwortlichkeit völlig von individuellen Handlungen lösen muss. Werden aber geldwäscherechtliche Sorgfaltspflichten verletzt, darf die Sanktionierung des Unternehmens nicht daran scheitern, dass die Behörde im Dickicht der Zuständigkeiten keinen einzelnen Namen präsentieren kann. Damit rückt stärker die Organisation selbst in den Fokus: Wurden Risikoanalysen ordnungsgemäß erstellt und aktualisiert? Waren interne Sicherungsmaßnahmen angemessen? Gab es klare Verantwortlichkeiten, wirksame Kontrollen und belastbare Eskalationsprozesse? Wurden Verdachtsfälle erkannt, dokumentiert und weitergeleitet? Bislang ist keine gezielte gesetzgeberische Anpassung des deutschen Geldwäsche-Sanktionssystems ersichtlich, die ausdrücklich auf das EuGH-Urteil reagiert. § 56 GwG wurde zwar zum 10\. Februar 2026 geändert; die Änderung betraf jedoch nach der veröffentlichten Fassung insbesondere einzelne Mitwirkungs- und Informationspflichten, nicht aber eine strukturelle Neuregelung der Unternehmenssanktionierung. Für die Praxis dürfte daher vor allem die **unionsrechtskonforme Auslegung** bestehender Vorschriften entscheidend sein. ## Europäische Entwicklung Die Entscheidung fällt in eine Phase, in der das europäische Geldwäscherecht ohnehin neu geordnet wird. Mit der Verordnung (EU) 2024/1624 („**AMLR**“) entsteht ein unmittelbar geltendes europäisches Regelwerk für zentrale geldwäscherechtliche Pflichten. Die Verordnung gilt im Wesentlichen ab dem 10\. Juli 2027 und soll die bisherige Fragmentierung durch nationale Umsetzungsvorschriften verringern. Daneben enthält die Richtlinie (EU) 2024/1640 (*sixth Anti-Money Laundering Directive* – „**6\. AMLD**“) Vorgaben für mitgliedstaatliche Mechanismen, Aufsicht, Register, Financial Intelligence Units und Sanktionen. Sie ersetzt nicht jede nationale Ausgestaltung, setzt aber den Rahmen für eine stärker harmonisierte Geldwäscheaufsicht. Für Unternehmen bedeutet das: Die Tendenz geht nicht zu weniger, sondern zu stärker vereinheitlichten und durchsetzungsorientierten Geldwäsche-Anforderungen. Das EuGH-Urteil passt in diese Entwicklung. Unternehmensverantwortung soll nicht an formalen nationalen Hürden scheitern, sondern effektiv durchgesetzt werden können. ## Was Unternehmen jetzt tun sollten Unternehmen sollten das Urteil zum Anlass nehmen, ihre Geldwäsche-Organisation kritisch zu überprüfen. Im Fokus stehen insbesondere: - Risikoanalyse und deren Aktualisierung, - interne Sicherungsmaßnahmen, - klare Verantwortlichkeiten, - dokumentierte Entscheidungs- und Eskalationswege, - Schulungen und Kontrollen, - sowie die Behandlung und Dokumentation von Verdachtsfällen. Entscheidend ist weniger allein die Frage, wer einen einzelnen Fehler begangen hat, sondern ob die Organisation insgesamt angemessene geldwäscherechtliche Kontrollen gewährleisten konnte. Unternehmen, die Prozesse, Verantwortlichkeiten und Kontrollmaßnahmen nachvollziehbar dokumentieren, verbessern nicht nur ihre Compliance-Struktur, sondern auch ihre Verteidigungsposition im Fall aufsichtsrechtlicher Maßnahmen oder Bußgeldverfahren. ### Kryptowerte-Steuertransparenz-Gesetz: Steuertransparenz wird zur operativen Compliance-Pflicht im Kryptogeschäft URL: https://www.waldvorlauternormen.com/kryptowerte-steuertransparenz-gesetz-steuertransparenz-wird-zur-operativen-compliance-pflicht-im-kryptogeschaft/ Last updated: 2026-05-21T13:07:58.000Z Mit dem Kryptowerte-Steuertransparenz-Gesetz (KStTG) ist ein besonderes Sorgfaltspflicht-Regime im Geschäft in Kryptowerten in Kraft getreten. Inhaltlich setzt es die [Richtlinie (EU) 2023/2226](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32023L2226&ref=waldvorlauternormen.com) „Directive on Administrative Cooperation DAC8“ und den OECD-Standard Crypto-Asset Reporting Framework in deutsches Recht um. Es richtet sich insbesondere an „Kryptowerte-Betreiber“. Der Begriff umfasst dabei nicht nur die in der Verordnung (EU) 2023/1114 MiCAR angelegten Dienstleistungen, sondern nach § 1 Abs. 11 KStTG ausdrücklich auch Staking und Lending in Kryptowerten. In der Pflicht sind: - Anbieter von Kryptowerte-Dienstleistungen im Sinne der MiCAR, - Unternehmen die **Staking** und **Lending** in Kryptowerten als Dienstleistung anbieten. ## **Warum das KStTG Unternehmen jetzt betrifft** Mit dem Kryptowerte-Steuertransparenz-Gesetz (KStTG) ist die steuerliche Erfassung von Kryptotransaktionen in Deutschland in eine neue Phase eingetreten. Das Gesetz setzt die DAC8-Richtlinie der EU um und ist Teil eines internationalen Transparenzrahmens, der auf dem OECD Crypto-Asset Reporting Framework (CARF) aufsetzt. Nach der Einordnung des BMF geht es nicht um neue Besteuerungstatbestände, sondern um verfahrensrechtliche Transparenz: Steuerbehörden sollen bessere Informationen über Transaktionen mit Kryptowerten und bestimmten digitalen Finanzprodukten erhalten. Für Unternehmen liegt die Relevanz nicht nur bei klassischen Kryptobörsen. Betroffen sein können auch Geschäftsmodelle, die Wallet-, Tausch-, Verwahr-, Transfer-, Staking- oder Lending-Funktionen anbieten oder in Plattform-, Payment- oder Treasury-Strukturen Kryptowerte einbinden. Der praktische Kern lautet: Steuertransparenz wird nicht erst im Tax Reporting relevant, sondern bereits bei Onboarding, Kundenidentifikation, Datenarchitektur, Vertragsgestaltung und Governance. ## **Rechtlicher Ausgangspunkt: DAC8, KStTG und Meldearchitektur** DAC8 erweitert den automatischen Informationsaustausch zwischen EU-Mitgliedstaaten auf Kryptowerte. Nach Angaben der Europäischen Kommission sollen Anbieter ab dem 1\. Januar 2026 Daten zu meldepflichtigen Kryptotransaktionen erfassen; der erste Austausch für das Berichtsjahr 2026 erfolgt im Jahr 2027\. Deutschland hat diese Vorgaben durch das KStTG umgesetzt. Das BZSt weist das Gesetz als Umsetzung der Richtlinie (EU) 2023/2226 aus; die Pflichten gelten erstmals für das Kalenderjahr 2026. Zentral ist die jährliche Meldung an das Bundeszentralamt für Steuern. Anbieter müssen für zu meldende Nutzer und beherrschende Personen spätestens bis zum 31\. Juli für den jeweils vorangegangenen Meldezeitraum die gesetzlich bestimmten Informationen übermitteln. Unterbliebene Meldungen sind nachzuholen, fehlerhafte Meldungen zu korrigieren. Die Meldung erfolgt elektronisch. [Mit BMF-Schreiben vom 14\. Januar 2026](https://www.bundesfinanzministerium.de/Content/DE/Downloads/BMF%5FSchreiben/Weitere%5FSteuerthemen/Organisation%5FAutomation/2026-01-14-KStTG-amtl-vorgeschriebener-datensatz.html?ref=waldvorlauternormen.com) wurde der amtlich vorgeschriebene Datensatz gemäß § 12 Satz 2 KStTG bekanntgegeben. Inhaltlich sind die Meldepflichten granular. Zu melden sind nicht nur Anbieter- und Nutzerinformationen, sondern transaktionsbezogene Angaben je Kryptowert, etwa aggregierte Bruttobeträge bei Erwerb oder Verkauf gegen Fiat-Währung, beizulegende Marktwerte bei Tauschgeschäften, Zahl und Einheiten der Transaktionen sowie bestimmte Übertragungen an unbekannte Kryptowert-Adressen. Damit wird aus steuerlicher Transparenz ein Datenqualitäts- und Prozessrisiko. ## **Praktische Tragweite: mehr als ein Tax-Reporting-Projekt** Das KStTG ist kein bloßes Meldeformular. Es verlangt eine belastbare Compliance-Kette vom Kundenkontakt bis zur elektronischen Übermittlung. Besonders relevant sind drei Punkte. - Sorgfaltspflichten und Nutzeridentifikation - Datenmodell und Schnittstellenfähigkeit - Aufzeichnungs- und Nachweispflichten Anbieter müssen meldepflichtige Nutzer und gegebenenfalls beherrschende Personen identifizieren. Selbstauskünfte sind einzuholen und auf Plausibilität zu prüfen. Bei Rechtsträgern sind Strukturen und beherrschende Personen einzubeziehen. Kunden sind nach § 8 Abs 1 KStTG gesetzlich zur Mitwirkung verpflichtet. Kommt der Kunde spätestens nach 90 Tagen nach Aufforderung der Anforderung nicht nach, ist die Geschäftsbeziehung nach § 8 Abs. 3 KStTG zu suspendieren. Die Anforderungen überschneiden sich mit AML/KYC-Prozessen, sind aber nicht deckungsgleich. Wer KStTG-Pflichten lediglich an bestehende Geldwäscheprozesse „anhängt“, riskiert Lücken bei Steueransässigkeit, Dokumentation und Datenfeldern. Die Meldedaten müssen aus operativen Systemen extrahiert, konsolidiert und im CARF-XML-Schema verarbeitet werden. Praktisch bedeutet das: Tax, Legal, Compliance, IT und Produktverantwortliche müssen frühzeitig klären, welche Systeme die relevanten Informationen führen, wo Daten fehlen und wie Korrekturmeldungen technisch abgebildet werden. Anbieter müssen nach § 14 KStTG Prozesse, Zuständigkeiten, Fristen, Selbstauskünfte, Plausibilitätsprüfungen, Meldedaten und Maßnahmen zur Durchsetzung von Mitwirkungspflichten dokumentieren. Die Aufzeichnungen sind zehn Jahre aufzubewahren; bestimmte Daten sind danach zu löschen (vgl. § 14 Abs. 2 KStTG). Damit entsteht ein Spannungsfeld zwischen Nachweisfähigkeit, Datenschutz und Löschkonzept. ## **Risiken bei unzureichender Umsetzung** Die Bußgeldrisiken sind nicht existenzbedrohend, aber reputations- und aufsichtsrechtlich relevant. Vorsätzliche oder leichtfertige Verstöße gegen zentrale Sorgfalts-, Melde-, Nachmelde-, Korrektur- und Registrierungspflichten können mit Geldbußen bis zu EUR 50.000,00 geahndet werden; Verstöße gegen bestimmte Aufzeichnungs- und Aufbewahrungspflichten mit bis zu EUR 10.000,00\. Zudem informiert das BZSt die BaFin über wiederholte Geldbußen gegen Kryptowerte-Dienstleister. Aus Unternehmenssicht schwerer wiegt häufig das Sekundärrisiko: fehlerhafte Kundenkommunikation, unklare Verantwortlichkeiten, inkonsistente Daten zwischen AML-, Steuer- und Produktprozessen oder verspätete technische Umsetzung. Auch strategisch ist das relevant. ## **Konkreter Handlungsbedarf** Unternehmen sollten kurzfristig ein strukturiertes KStTG-Readiness-Projekt aufsetzen. Prioritär sind: 💡 ****Scope-Analyse:** Fällt das Geschäftsmodell unter das KStTG, einschließlich Staking, Lending, Wallet-, Transfer- oder Plattformfunktionen? ****Daten-Gap-Analyse:** Welche gesetzlich geforderten Nutzer-, Kontrollpersonen- und Transaktionsdaten liegen bereits vor, welche fehlen? ****Governance:** Wer verantwortet Sorgfaltspflichten, Meldefristen, Korrekturen, Nutzerinformation und Aufbewahrung? ****IT-Umsetzung:** Kann das Unternehmen CARF-XML, DIP-Schnittstelle oder BZSt-Upload rechtzeitig abbilden?****Kontrollrahmen:** Gibt es Plausibilitätsprüfungen, Vier-Augen-Kontrollen, Eskalationen und Audit Trails? ****Datenschutz und Kommunikation:** Werden Nutzer rechtzeitig über die Datenerhebung und Meldung informiert? Typische Umsetzungsfehler sind eine zu enge Betroffenheitsprüfung, die Gleichsetzung von AML-KYC mit KStTG-Sorgfaltspflichten, fehlende Verantwortung zwischen Tax und Compliance sowie die Unterschätzung der technischen Meldeanforderungen. ## **KStTG als Governance-Test für Krypto-Geschäftsmodelle** Das KStTG schafft keine neue Kryptosteuer. Es verändert aber die Durchsetzbarkeit bestehender steuerlicher Pflichten erheblich, weil Finanzbehörden künftig systematisch verwertbare Transaktionsdaten erhalten. Für Anbieter und kryptonahe Unternehmen ist das Gesetz deshalb ein Governance-Test: Wer Kundendaten, Steueransässigkeit, Transaktionslogik und Reporting nicht konsistent beherrscht, läuft in Melde-, Bußgeld- und Reputationsrisiken. Die wichtigsten Takeaways für Entscheidungsträger: KStTG-Compliance ist interdisziplinär, beginnt im Onboarding und endet nicht mit der Meldung. Die erste Meldeperiode läuft bereits seit 2026; der 31\. Juli 2027 ist kein reiner Tax-Termin, sondern der Endpunkt eines jetzt aufzubauenden Kontroll- und Datenprozesses. ### Das neue Altersvorsorgedepot: private Altersvorsorge am Kapitalmarkt – Teil 1 URL: https://www.waldvorlauternormen.com/das-neue-altersvorsorgedepot-private-altersvorsorge-am-kapitalmarkt-teil-1/ Last updated: 2026-09-09T13:23:06.000Z *Aktualisierung vom 9\. September 2026: Dieser Beitrag gab ursprünglich den Stand des Regierungsentwurfs wieder. Das Altersvorsorgereformgesetz wurde am 29\. Mai 2026 im BGBl. 2026 I Nr. 156 verkündet. Die Angaben zur Zulagenförderung und zur Kostenobergrenze des Standarddepots wurden auf den verkündeten Gesetzesstand aktualisiert.* Maßgeblich ist das **Gesetz zur Reform der steuerlich geförderten privaten Altersvorsorge (Altersvorsorgereformgesetz)**. Der [Regierungsentwurf](https://dserver.bundestag.de/btd/21/040/2104088.pdf?ref=waldvorlauternormen.com) wurde als BT-Drs. 21/4088 veröffentlicht; der Bundesrat hat dem Gesetz am 8\. Mai 2026 zugestimmt. Das Gesetz wurde am 29\. Mai 2026 im [BGBl. 2026 I Nr. 156](https://www.recht.bund.de/bgbl/1/2026/156/VO.html?ref=waldvorlauternormen.com) verkündet. Die wesentlichen Neuregelungen treten überwiegend zum 1\. Januar 2027 in Kraft. ## Hintergrund der Reform Die Bundesregierung begründet die Reform mit strukturellen Problemen der bisherigen privaten Altersvorsorge. Die Zahl privater Altersvorsorgeverträge ist seit einigen Jahren rückläufig; als Ursachen nennt der Gesetzentwurf unter anderem hohe Kosten, geringe Renditen, komplexe Förderung, geringe Flexibilität und mangelnde Transparenz bei der Produktauswahl. Ziel der Reform ist es, die private Altersvorsorge kostengünstiger, renditestärker, einfacher, flexibler und transparenter zu machen. Neben sicherheitsorientierten Garantieprodukten wird künftig auch ein renditeorientiertes Altersvorsorgedepot ohne Kapitalgarantie zugelassen. ## Was ist das Altersvorsorgedepot? Das Altersvorsorgedepot ist ein Altersvorsorgevertrag im Sinne des Altersvorsorgeverträge-Zertifizierungsgesetzes (AltZertG). Das AltZertG wird durch das Altersvorsorgereformgesetz wegen der neuen Altersvorsorgeprodukte neu gefasst. Das Altersvorsorgedepot ist deshalb kein frei gestaltbares Wertpapierdepot, sondern ein zertifizierungspflichtiges Altersvorsorgeprodukt mit gesetzlichen Strukturvorgaben. Kern des neuen Produkts ist, dass eingezahlte Altersvorsorgebeiträge und staatliche Zulagen kapitalmarktorientiert angelegt werden können. Anders als bei klassischen Garantieprodukten wird beim Altersvorsorgedepot keine Kapitalgarantie vereinbart. Weder ein Mindestkapital zum Ende der Ansparphase noch eine Mindestwertentwicklung während der Ansparphase sind vorgesehen. Zulässig sind jedoch nicht beliebige Anlagen. In Betracht kommen vor allem bestimmte OGAW-Sondervermögen, namentlich ETFs, daneben offene Publikums-AIF, europäische langfristige Investmentfonds (ELTIFs) sowie bestimmte Schuldverschreibungen öffentlicher Emittenten. Die Anlagefreiheit ist damit kapitalmarktorientiert, aber gesetzlich eingegrenzt. ## Wichtige Kennzahlen Die Eckwerte des Altersvorsorgedepots lassen sich nach den drei Phasen des Produkts gliedern. **Ansparphase** | Kennzahl | Wert | | -------------------------------------- | ------------------------------------------------------ | | Jährliche Einzahlungshöchstgrenze | 6.840 Euro | | Steuerlich geförderte Beiträge | grundsätzlich bis 1.800 Euro jährlich zuzüglich Zulage | | Nicht auf die Höchstgrenze angerechnet | Zulagen, Erträge, bestimmte steuerfreie Übertragungen | **Zulagenförderung (ab Beitragsjahr 2027)** | Kennzahl | Wert | | ---------------------------------------------------- | ----------------------------------------------------------------- | | Mindesteigenbeitrag | 120 Euro jährlich | | Grundzulage für Eigenbeiträge bis 360 Euro | 50 Cent je eingezahltem Euro | | Grundzulage für weitere Eigenbeiträge bis 1.800 Euro | 25 Cent je eingezahltem Euro | | Grundzulage insgesamt höchstens | 540 Euro jährlich | | Einmaliger Erhöhungsbetrag für unter 25-Jährige | 200 Euro | | Kinderzulage | 100 Prozent der geleisteten Beiträge, höchstens 300 Euro pro Kind | | Effektivkosten-Obergrenze beim Standarddepot | höchstens 1,0 Prozent | Zudem ist die Zahl förderfähiger Verträge begrenzt: Beiträge ab dem dritten nach dem 31\. Dezember 2026 abgeschlossenen Altersvorsorgevertrag werden grundsätzlich nicht mehr als geförderte Altersvorsorgebeiträge behandelt. **Auszahlungsphase** | Kennzahl | Wert | | ----------------------------------------------------- | -------------------------------- | | Frühester Leistungsbeginn | Vollendung des 65\. Lebensjahres | | Spätester erstmaliger Leistungsbeginn | Vollendung des 70\. Lebensjahres | | Frei wählbarer Zeitkorridor für den Auszahlungsbeginn | mindestens fünf Jahre | | Spätestes Ende eines Auszahlungsplans | Vollendung des 85\. Lebensjahres | | Gesondert auszahlbarer Teilbetrag zu Beginn | bis zu 30 Prozent des Kapitals | In der Auszahlungsphase bleibt der Altersvorsorgecharakter erhalten. Neben lebenslangen Leistungen sind auch Auszahlungspläne möglich. ## Das Standarddepot Neben dem allgemeinen Altersvorsorgedepot sieht das Gesetz einen **Standarddepot-Vertrag Altersvorsorge** vor. Es soll als einfach strukturiertes Einstiegsprodukt ausgestaltet sein, online abgeschlossen werden können und mit gesetzlichen Voreinstellungen arbeiten. Für das Standarddepot muss der Anbieter insbesondere zwei OGAW-Sondervermögen festlegen: eines mit niedrigerer und eines mit höherer Risikoklasse. Der Vertragspartner kann über die Aufteilung der Beiträge entscheiden; tut er dies nicht, greift die vorgesehene Standardaufteilung. Zusätzlich sieht das Gesetz einen Risikoreduktionsmechanismus vor Beginn der Auszahlungsphase vor. Fünf Jahre vor der Auszahlungsphase darf nur noch ein begrenzter Anteil des Kapitals im risikoreicheren Fonds investiert sein; zwei Jahre vorher sinkt dieser Anteil weiter. Das Standarddepot verbindet damit chancenorientiertes Sparen mit einem gesetzlich vorgesehenen Sicherheitsmechanismus. ## Für wen lohnt sich das Altersvorsorgedepot? Das Altersvorsorgedepot kann sich vor allem für Sparerinnen und Sparer lohnen, die langfristig vorsorgen, staatliche Förderung nutzen und stärker an den Renditechancen des Kapitalmarkts partizipieren wollen. Der Verzicht auf eine Kapitalgarantie eröffnet höhere Renditechancen, bedeutet aber zugleich, dass Wertschwankungen während der Ansparphase getragen werden müssen. Besonders naheliegend ist das Produkt daher für Personen mit langem Anlagehorizont. Für sehr sicherheitsorientierte Anleger, die zwingend eine Beitragsgarantie erwarten, bleibt dagegen eher ein Garantieprodukt die passendere Wahl. Attraktiv kann das Altersvorsorgedepot außerdem für Sparer mit kleinen und mittleren Einkommen sowie für Familien sein, weil die Förderung einfacher und stärker beitragsbezogen ausgestaltet ist. Auf Anbieterseite ist das Altersvorsorgedepot vor allem für Institute interessant, die bereits über Kapitalmarkt-, Depot-, Fonds- oder Wertpapierinfrastruktur verfügen. Dazu zählen insbesondere Wertpapierinstitute, Kreditinstitute, Kapitalverwaltungsgesellschaften und Versicherer. Für Wertpapierinstitute kann das Produkt besonders relevant sein, weil es einen Zugang zum Markt der zertifizierten privaten Altersvorsorge eröffnet, ohne dass das Produkt als klassisches Versicherungsprodukt ausgestaltet sein muss. Die ergänzende Arbeitsunterlage ordnet das Altersvorsorgedepot entsprechend als möglichen Einstieg in ein B2B-Retail-Altersvorsorgegeschäft mit standardisierten langfristigen Anlageprodukten, begrenzter Produktpalette und Fokus auf Sparpläne ein. Gleichzeitig bleibt das Produkt regulatorisch anspruchsvoll. Anbieter benötigen nicht nur die passende aufsichtsrechtliche Grundlage, sondern zusätzlich die Zertifizierung nach dem AltZertG n. F. Hinzu kommen Anforderungen an Produktgestaltung, Kostenkontrolle, Informationspflichten, Zulagenprozesse und laufende Compliance. ## Rechtliche Einordnung und Transparenzpflichten Das Altersvorsorgedepot lässt sich aufsichtsrechtlich nicht einer einzigen Kategorie zuordnen. Es ist zunächst ein Produkt der steuerlich geförderten privaten Altersvorsorge. Zugleich hat es einen klaren Kapitalmarktbezug, weil die Anlage in gesetzlich zugelassene Finanzinstrumente erfolgt. Die laufende Aufsicht folgt keinem neuen Sonderaufsichtsgesetz für das Altersvorsorgedepot, sondern richtet sich nach dem jeweiligen Anbietertyp: Versicherer unterliegen dem Versicherungsaufsichtsrecht, Kreditinstitute dem Kreditwesengesetz, Kapitalverwaltungsgesellschaften dem Kapitalanlagegesetzbuch und Wertpapierinstitute dem Wertpapierinstitutsgesetz. Das AltZertG n. F. legt daneben die produktbezogenen Anforderungen und die Zertifizierung fest. Ein zentrales Ziel der Reform ist mehr Transparenz. Anbieter müssen vor Vertragsschluss durch ein Produktinformationsblatt informieren. Zusätzlich sind Muster-Produktinformationen vorgesehen, die öffentlich bereitgestellt werden sollen. Während der Ansparphase bestehen jährliche Informationspflichten, unter anderem zu Beiträgen, Zulagen, Kosten, Erträgen und erwarteten Altersleistungen. Auch Kostenänderungen müssen gesondert angezeigt werden. ## Ausblick Das Altersvorsorgedepot soll die geförderte private Altersvorsorge stärker an langfristigem Kapitalmarktsparen ausrichten. Es eröffnet neue Renditechancen, bleibt aber ein reguliertes und zertifizierungspflichtiges Altersvorsorgeprodukt mit gesetzlich begrenzten Anlageformen sowie Kosten- und Informationspflichten. Für Sparerinnen und Sparer kann das Produkt vor allem dann interessant sein, wenn sie langfristig vorsorgen und bewusst auf eine Kapitalgarantie verzichten wollen. Für Anbieter eröffnet es neue Geschäftsmöglichkeiten, bringt aber zugleich zusätzliche Anforderungen an Produktgestaltung, Zertifizierung, Kostenkontrolle, Information und Compliance mit sich. In [Teil 2](https://www.waldvorlauternormen.com/das-neue-altersvorsorgedepot-private-altersvorsorge-am-kapitalmarkt-teil-2/) unserer Reihe betrachten wir die konkreten Produktanforderungen des Altersvorsorgedepots näher. Teil 3 befasst sich anschließend mit den Anforderungen an Anbieter, Zertifizierung, Vertrieb und Aufsicht. ### Pflicht zum Widerrufsbutton URL: https://www.waldvorlauternormen.com/pflicht-zum-widerrufsbutton/ Last updated: 2026-05-21T08:37:09.000Z Durch das *Gesetz zur Änderung des Verbrauchervertrags- und des Versicherungsvertragsrechts sowie zur Änderung des Behandlungsvertragsrechts* wird zum **19\. Juni 2026** ein sogenannter **Widerrufsbutton** eingeführt. --- ## **Für wen gilt die Pflicht?** Die Pflicht zur Implementierung eines Widerrufsbuttons nach § 356a BGB n.F. gilt für alle Fernabsatzverträge zwischen Unternehmern und Verbrauchern, die über eine Online-Benutzeroberfläche abgeschlossen werden. Damit sind sowohl Webseiten betroffen als auch App-Lösungen. Die Pflicht gilt unabhängig davon, ob der Verbraucher Waren, digitale Inhalte oder Dienstleistungen - **einschließlich Finanzdienstleistungen** \- in Anspruch nehmen möchte. Ausnahmen bestehen nur in Bereichen, in denen kein Widerrufsrecht besteht. Es bestehen keine Erleichterungen zugunsten kleinerer Unternehmen. ## **Wann besteht kein Widerrufsrecht, sodass kein Widerrufsbutton erforderlich ist?** Kein Widerrufsrecht und somit **keine Pflicht zum Widerrufsbutton** besteht in den in § 312g Abs. 2 BGB genannten Fällen. Im Finanzbereich sind dies nach § 312g Abs. 2 Nr. 8 BGB insbesondere *Verträge zur Lieferung von Waren oder zur Erbringung von Dienstleistungen, einschließlich Finanzdienstleistungen, deren Preis von Schwankungen auf dem Finanzmarkt abhängt, auf die der Unternehmer keinen Einfluss hat und die innerhalb der Widerrufsfrist auftreten können, insbesondere Dienstleistungen im Zusammenhang mit Aktien, mit Anteilen an offenen Investmentvermögen im Sinne von § 1 Absatz 4 des KAGB und mit anderen handelbaren Wertpapieren, Devisen, Derivaten oder Geldmarktinstrumenten*. ## **Welche Anforderungen gelten für den Widerrufsbutton?** Die gesetzlichen Vorgaben an den Widerrufsbutton (im Gesetzeswortlaut „*elektronische Widerrufsfunktion*“ genannt) sind im Wesentlichen: Implementierung einer gut lesbaren Schaltfläche mit der Aufschrift „**Vertrag widerrufen“** (oder gleichbedeutend) auf der Online-Benutzeroberfläche (d.h. Webseiten und App-Lösungen). Diese Schaltfläche muss für den Verbraucher leicht zugänglich, hervorgehoben platziert und während des Laufs der Widerrufsfrist ständig verfügbar sein. Die Widerrufsunktion muss dem Verbraucher ermöglichen, eine Widerrufserklärung zu übermitteln und dabei folgende wesentliche Informationen bereitzustellen oder zu bestätigen: 1. den Namen des Verbrauchers, 2. Angaben zur Identifizierung des Vertrags oder des Teils des Vertrags, den der Verbraucher widerrufen möchte, 3. Angaben zum elektronischen Kommunikationsmittel, mit welchem dem Verbraucher eine Eingangsbestätigung für den Widerruf zu übermitteln ist. Nach Eingabe der Informationen ist im zweiten Schritt eine Bestätigungsfunktion vorzusehen, mittels welcher der Verbraucher die Übermittlung des Widerrufs in die Wege leitet. Auch diese Bestätigungsfunktion muss gut lesbar und mit „**Widerruf bestätigen“** oder einer gleichbedeutenden eindeutigen Formulierung beschriftet sein. Zudem sind Unternehmer dazu verpflichtet, dem Verbraucher unverzüglich eine Eingangsbestätigung auf einem dauerhaften Datenträger, üblicherweise per E-Mail, zu übermitteln, die zumindest den Inhalt der Widerrufserklärung sowie das Datum und die Uhrzeit ihres Eingangs enthält. ## **Was ist bei der Umsetzung zu beachten?** Umzusetzen ist der Widerrufsbutton bis zum **19\. Juni 2026**. Neben den technischen Anforderungen sind Anpassungen an der Widerrufsbelehrung sowie abhängig von der technischen Lösung ggf. an der Datenschutzerklärung erforderlich. Zudem wurden die **Informationspflichten bei Verträgen über Finanzdienstleistungen** nach Art. 246b EGBGB angepasst, die ebenfalls umzusetzen sind. ## **Was sind die Risiken bei einer nicht rechtzeitigen oder fehlerhaften Implementierung des Widerrufsbuttons?** Wird der Widerrufsbutton nicht oder nicht rechtskonform implementiert drohen **Bußgelder** von bis zu 50.000 Euro und für Unternehmen mit einem Jahresumsatz von über 1,25 Mio. Euro bis zu 4 % des Jahresumsatzes (Art. 246e § 2 EGBGB). Zudem wird es nach Inkrafttreten des neuen § 356a BGB bzw. des Art. 246b EGBGB vermutlich zeitnah zu **Abmahnungen** verbunden mit der Aufforderung zur Abgabe einer strafbewehrten Unterlassungserklärung durch Verbraucherschutzverbände und einzelnen Wettbewerbern kommen. Wird eine solche Unerlassungserklärung nicht abgegeben, kann dies zur Einleitung eines einstweiligen Verfügungsverfahrens oder ordentlicher Klageverfahren führen. Das wirtschaftlich vielleicht größte Risiko einer nicht rechtzeitig oder fehlerhaften Umsetzung des Widerrufsbuttons sind jedoch die **verlängerte Widerrufsfristen.** Wird der Widerrufsbutton nicht oder nicht rechtskonform umgesetzt, beginnt die Widerrufsfrist nicht ordnungsgemäß. Das Widerrufsrecht erlischt dann bei Fernabsatzverträgen erst spätestens nach zwölf Monaten und 14 Tagen (§ 356 Abs. 3 und 4 BGB n.F. in Verbindung mit Art. 246a § 1 Abs. 2 Satz 1 Nr. 1 EGBGB). ### Inhaberkontrolle reversed? Die neuen Anforderunge der CRD VI für Erwerb und Veräußerung von Beteiligungen durch Kreditinstute und die Umsetzung in deutsches Recht URL: https://www.waldvorlauternormen.com/inhaberkontrolle-reversed-die-neuen-anforderunge-der-crd-vi-fur-erwerb-und-verausserung-von-beteiligungen-durch-kreditinstute-und-die-umsetzung-in-deutsches-recht/ Last updated: 2026-05-14T20:11:33.000Z Die CRD VI reguliert Erwerb, Verschmelzung und Spaltung und die Übertragung von Vermögenswerten durch Kreditinstitute und Finanzholding-Gesellschaften. Der deutsche Gesetzgeber hat mit dem [Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG)](https://dip.bundestag.de/vorgang/gesetz-zur-umsetzung-der-richtlinie-eu-2024-1619-des-europ%C3%A4ischen-parlaments/326804?f.deskriptor=B%C3%BCrokratie&rows=25&pos=8&ctx=a&ref=waldvorlauternormen.com) die europäischen Vorgaben in deutsches Recht umgesetzt. Was heißt das nun für Kreditinstitute und Finanzholdinggesellschaften? --- ## Der Europäische Hintergrund Die [CRD VI](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32024L1619&ref=waldvorlauternormen.com) enthält in den Art. 27a-27l erstmals Vorgaben zu - Erwerb oder Veräußerung einer wesentlichen Beteiligung an anderen Unternehmen durch ein Kreditinstitut oder eine Finanzholdinggesellschaft (Art. 27a-27e), - wesentliche Übertragung von Vermögenswerten und Verbindlichkeiten (Art. 27f-27g), und - Veschmelzungen und Spaltungen (Art. 27h-27l). Aus Sicht des europäischen Gesetzgebers bestanden vor Inkrafttreten der CRD VI bei solchen "wesentlichen Geschäften" ein Defizit an Möglichkeiten der Aufsichtsbehörden, bei als riskant erachteten Geschäften einschreiten zu können. ## Die Umsetzung durch das BRUBEG ### Erwerbs- oder Veräußerungsgeschäfte (§ 2h KWG-E) **Anzeigepflichtige Erwerbs- und Veräußerungsgeschäfte** Beabsichtigen Kreditinstitute künftig, eine wesentliche Beteiligung an einem anderen Unternehmen zu erwerben, verpflichtet § 2h KWG sie zur vorherigen Anzeige gegenüber BaFin und Bundesbank (§ 2h Abs. 1 S. 1 KWG). Als wesentliche Beteiligung gelten dabei Beteiligungen an anderen Unternehmen, die 15% oder mehr der anrechenbaren Eigenmittel des Instituts entspricht (§ 1 Abs. 9b KWG). Für Institute unter Konsolidierung eines Mutterinstitut in der Union gelten ergänzende Vorgaben (§ 2h Abs. 1 S. 3 KWG). Die Verpflichtung gilt entsprechend für Finanzholdinggesellschaften und gemischte Finanzholdinggesellschaften, wenn diese die Konsolidierung vorzunehmen haben (§ 2h Abs. 2 S. 1 KWG i.V.m. § 10a Abs. 2 S. 2 KWG). **Verfahren** Die Anzeigepflicht beginnt bereits, sobald das Institut die Absicht zu Erwerb oder Veräußerung gefasst hat. In der Regel gilt dieser Zeitpunkt spätestens als erreicht, wenn ein entsprechender Beschluss durch das Institut gefasst wurde. Die Anzeige ist bei der zuständigen Aufsichtsbehörde (BaFin oder EZB und Bundesbank) einzureichen. Besonderheiten bestehen bei Instituten, die für nachgeordnete Institute konsolodisierungspflichtig sind. Hier ist die Anzeige gegebenenfalls auch der Aufsichtsbehörde, die das EU-Mutterinstitut beaufsichtigt, einzureichen. Nach Einreichung der notwendigen Informationen prüfen die Aufsichtsbehörden innerhalb von 60 Arbeitstagen den beabsichtigten Erwerb oder die beabsichtigte Veräußerung (§ 2h Abs. 4 KWG). Die Frist beginnt ab dem Zeitpunkt, ab dem der Aufsicht alle erforderlichen Informationen zur Verfügung stehen. Gelangen die Aufsichtsbehörden bei ihrer Prüfung zu dem Ergebnis, dass der beabsichtigte Erwerb - die Einhaltung der Aufsichtsanforderungen behindern oder unmöglich machen wird, - im Zusammenhang mit Geldwäsche oder Terrorismusfinanzierung stehen könnte, oder - die vorgelegten Informationen unvollständig sind kann die Aufsicht den beabsichtigten Erwerb untersagen (§ 2h Abs. 12 S. 1 KWG). **Ausnahmen für gruppeninterne Erwerbe oder Veräußerungen** Die Aufsichtsbehörden sind nicht verpflichtet, rein gruppeninterne Erwerbs- oder Veräußerungsvorgänge zu prüfen. Daraus folgt, dass die Aufsicht in solchen Fällen von einer Prüfung zwar absehen kann, es indes nicht muss. Sieht die Behörde von einer Prüfung ab, hat sie das dem Institut oder der Finanzholdinggesellschaft mitzuteilen. ### Verschmelzungen und Spaltungen (§ 2i KWG) **Tatbestand der Anzeigepflicht** Nach § 2i KWG haben Institute und (gemischte) Finanzholdinggesellschaften auch geplante Verschmelzungen oder Spaltungen (vorab) anzuzeigen. Welche Vorgänge dabei als Verschmelzung oder Spaltung gelten, definiert § 1 Abs. 9c, 9d KWG. Unklar bleibt bislang, ob rein nationale Verschmelzungen oder Spaltungen bei Instituten oder (gemischten) Finanzholdinggesellschaften in der Rechtsform der GmbH von der Definition in § 1 Abs. 9c KWG umfasst sind oder die Anzeigepflicht allein für Verschmelzungen oder Spaltungen von Aktiengesellschaften gelten (s.a. *Klingenbrunn*/*Struckmann*/*Ohler*, WM 2025, 2103 (2011)). Im Gegensatz zu den Anzeigepflichten bei Erwerbs- oder Veräußerungsgeschäften besteht bei Verschmelzungen oder Spaltungen im Anwendungsbereich des § 2i KWG gerade keine Schwelle, unter der keine Anzeige erforderlich ist. Stattdessen wird jede Spaltung oder Verschmelzung als relevantes Geschäft angesehen, dass der Prüfpflicht unterliegt. **Verfahren** Die Anzeige sind den zuständigen Behörden nach Annahme des Verschmelzungs- oder Spaltungsplans und vor Abschluss des geplanten Vorgangs einzureichen. Die einzureichenden Informationen legen die Aufsichtsbehörden in einem gesonderten Verfahren fest und veröffentlichen sie auf ihren Websites. ## Bedeutung der Änderungen für Institute und Finanzholdinggesellschaften Die mit dem BRUBEG eingeführten Änderungen bedeuten für Institute und Finanzholdinggesellschaften einen signifikanten Mehraufwand, sofern eine Anzeigepflicht besteht. Aufgrund der üblichen Dauer solcher Verfahren können sich entsprechende Erwerbs- oder Veräußerungsgeschäfte bzw. Verschmelzungen oder Spaltungen signifikant mehr Zeit in Anspruch nehmen als derzeit. ### Die AML-Verordnung: Customer Due Diligence URL: https://www.waldvorlauternormen.com/die-aml-verordnung-customer-due-diligence/ Last updated: 2026-06-30T07:01:14.000Z Die [AML-Verordnung](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R1624&ref=waldvorlauternormen.com#art%5F73) (AMLR) legt die Anforderungen an AML-Compliance für Verpflichtete neu fest. In unserer [Reihe ](https://waldvorlauternormen.ghost.io/ghost/??ref=waldvorlauternormen.com#/editor/page/6a3bb51f9ada7d0001e83636)stellen wir die Neuerungen vor und diskutieren die Auswirkungen für Verpflichtete. --- ## Die Änderungen durch die AMLR Die AMLR ordnet die "Sorgfaltsprüfung gegenüber Kunden" (ehemals: Kundensorgfaltspflichten) umfassend neu. In der AMLR regeln die Art. 19 ff. AMLR die Grundsätze der Sorgfaltsprüfung. Aufgrund der Art des Rechtsakts (Verordnung) gelten die Vorgaben unmittelbar gegenüber Verpflichteten, ohne dass es einer Umsetzung in deutsches Recht bedarf. Wie bislang unterscheidet auch die AMLR in drei Stufen von Sorgfaltspflichten: - Den regulären Sorgfaltsmaßnahmen (Art. 20 AMLR) - vereinfachten Sorgfaltsmaßnahmen (Abschnitt 3/ Art. 33 AMLR) und - verstärkten Sorgfaltsmaßnahmen (Abschnitt 4/ Art. 34 AMLR) Welche Sorgfaltsmaßnahmen jeweils Anwendung finden bestimmen die Verpflichteten auf Basis einer individuellen Kundenrisikobewertung (Art. 20 Abs. 2 UAbs. 1 AMLR). Die Vorgaben der Risikofaktoren je Kunden bzw. gelegentlicher Transaktion, die bei der Ermittlung des jeweiligen Risikos einzubeziehen sind, legt die AMLA in Leitlinien (Guidelines) fest, die bis zum 10\. Juli 2026 veröffentlicht werden (Art. 20 Abs. 3 AMLR). ## Die RTS zur CDD Trotz der ohnehin schon wesentlich granulareren Vorgaben der AMLR werden die Bestimmungen durch delegierte Rechtsakte (Level2-Maßnahmen) konkretisiert. Die AMLR sieht dazu vor, dass die Kommission technische Standards (Regulatory Technical Standards - RTS und Implementing Technical Standards - ITS) erlässt. Relevant für die CDD sind die *RTS on Customer Due Diligence under Article 28(1) of Regulation (EU) 2024/1624* (**RTS CDD**). Die RTS CDD konkretisieren die Vorgaben der Art. 20-27 AMLR. Die Entwürfe der RTS wurden durch die EBA erarbeitet und werden von der AMLA an die Kommission übermittelt. Gegenüber der gegenwärtigen Rechtslage stechen folgende Punkte heraus: ### Angaben zur Identität Die zu erhebenden Angaben zur Identität sind wesentlich umfassender als nach gegenwärtiger Rechtslage. So sind etwa zusätzlich zu erfassen: - sämtliche Nationalitäten (wobei kein Nachweis der Angabe erforderlich ist), - Handelsnamen (falls abweichend von der registrierten Firma), - die Steueridentifikationsnummer. ### Verfahren zur Identitätsprüfung unter Abwesenden Gegenüber den derzeit nach § 13 GwG in Verbindung mit den Auslegungs- und Anwendungshinweisen und Rundschreiben der BaFin zulässigen Verfahren ergeben sich wesentliche Änderungen. So erkennen die RTS zunächst ausschließlich [eIDAS](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A02014R0910-20241018&ref=waldvorlauternormen.com)\-konforme Verfahren als zulässige Verfahren an (Art. 7 der RTS CDD). 💡 eIDAS-konforme Verfahren sind etwa: \- der deutsche Personalausweis mit freigeschalteter Online-Funktion als eID \- Qualifizierte elektronische Signaturen, \- die europäische [European Digital Identity (EUDI)-Wallet](https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487738/EU+Digital+Identity+Wallet+Home?ref=waldvorlauternormen.com) Das gerade in Deutschland verbreitete Videoidentverfahren zählt nicht zu den eIDAS-zertifizierten Verfahren. Das Verfahren dürfte daher ab dem Zeitpunkt, ab dem die AMLR für Verpflichtete gilt (Juli 2027) zur Überprüfung der Identitätsangaben nicht mehr zulässig sein. In der Konsultationsphase wurde seitens der Verpflichteten aber auf eine Transitionsphase hingewirkt, um zumindest übergangsweise auch nach Juli 2027 per Videoident identifizieren zu können, bis eIDAS-konforme Verfahren implementiert sind. ### Verfahren zur Prüfung der Angaben zum wirtschaftlich Berechtigten Art. 10 RTS CDD bestimmt die zulässigen Mittel zur Überprüfung der Angaben zum wirtschaftlich Berechtigten. Im Unterschied zur bisherigen deutschen Rechtslage sind danach etwa auch Strom- oder Gasrechnungen sowie Auskünfte von kommerziellen Datenbankanbietern zulässige Verfahren. ### Bestimmung des PEP-Status Hinsichtlich der Identifizierung, ob es sich beim Kunden oder einem wirtschaftlich Berechtigten um eine politisch exponierte Person (PEP) handelt, stellen die RTS CDD klar, dass die Festlegung des PEP-Status nicht für die gesamte Geschäftsbeziehung gilt, sondern regelmäßig zu überprüfen ist. Als Anlässe für eine solche Überprüfung kommen nach Ansicht der EBA etwa die Durchführung von Wahlen in Betracht. Daneben sind die Angaben turnusmäßig zu überprüfen. ### Verstärkte Sorgfaltspflichten Abschnitt 6 (Art. 25 ff. RTS CDD) legt die zusätzlichen Angaben fest, die Verpflichtete bei höherem Risiko zu erheben haben. Erstmals nennen die RTS CSS auch Angaben zum Ansehen des Kunden, womit *Adverse Media Screening* zumindest bei hohem Risiko als Standardverfahren zählen dürfte. Zusätzlich zu erhebende Angaben können auch Angaben zu für den Kunden besonders relevanten Kundenbeziehungen und Vertragsverhältnissen sein (Art. 26 Abs. 1 RTS CDD). ### Sanktionsstatus Erstmals beinhaltet die AMLR die Verpflichtung, Kunden und gelegentliche Transaktionen auf Verstöße gegen gezielte restriktive Maßnahmen der EU zu überprüfen. Die Art. 29-30 RTS CDD legen fest, - welche Personen auf mögliche Sanktionsbezug zu prüfen sind, und - welche Verfahren zur Prüfung zugelassen sind. Die automatisierte Prüfung mittels Abgleich gegen Sanktionslisten stellen dabei den Standard dar, von dem Verpflichtete nur in Ausnahmen abweichen können, falls die automatisierte Prüfung unverhältnismäßig ist. Art. 30 RTS CDD legt darüber hinaus fest, wann die Prüfung zu wiederholen ist (s. Art. 30 lit. c) RTS CDD). ### Umgang mit Bestandsdaten Ein für Verpflichtete relevanter und im Rahmen der Konsultation entsprechend oft adressierte Punkt betrifft den Umgang mit Bestandsdaten. Die EBA hatte bereits angekündigt, eine *Grandfathering*\-Regelung aufzunehmen. Die AMLA hat sich dem angeschlossen. Die RTS CDD sehen entsprechend in Art. 33 eine vermittelnde Regelung vor: > In cases where the customer has entered into a business relationship before the publication date of this Regulation, the documents, data and information relating to those customers shall be brought in line with the requirements of this Regulation and of Regulation (EU) 2024/1624 on a risksensitive basis, but in all cases not later than within the periods set out in Article 26(2) of Regulation (EU) 2024/1624. Im Ergebnis sind die Kundendaten danach abhängig vom Risikoprofil und im Rahmen der periodischen Aktualisierung (Hochrisikokunden: Innerhalb eines Jahres, für alle anderen Kunden: nach maximal fünf Jahren) auf den neuen Stand zu bringen. ## Ausblick Die Konsultationsphase ist am 8.5.2026 abgelaufen. Die AMLA prüft nun die Stellungnahmen und passt die Entwürfe gegebenenfalls an, bevor sie die finalen RTS-Entwürfe an die Kommission übermittelt. Die Kommission erlässt dann die RTS als delegierte Verordnung. Spätestens zum 10.7.2027 (zu dem die AMLR für Verpflichtete gilt) sind die Kundendaten dann nach dem neuen Standard zu erheben.