QTSP im KYC

Mit der Weiterentwicklung des europäischen Rechtsrahmens für digitale Identitäten gewinnen elektronische Identitäten und digitale Nachweise auch für KYC-Prozesse an Bedeutung. Grundlage ist die eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt). Sie wurde 2024 durch die Verordnung (EU) 2024/1183 zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung des europäischen Rahmens für eine digitale Identität umfassend erweitert.

Eine zentrale Rolle spielen dabei qualifizierte Vertrauensdiensteanbieter (Qualified Trust Service Provider, kurz: QTSP). Sie können unter anderem qualifizierte elektronische Signaturen, qualifizierte elektronische Siegel und qualifizierte elektronische Attributsbescheinigungen erbringen beziehungsweise ausstellen.

Für KYC-Prozesse können solche Dienste einzelne Prüfungen vereinfachen und besser automatisierbar machen. Entscheidend ist, welche konkrete Information durch den jeweiligen Vertrauensdienst bestätigt wird. Der qualifizierte Status eines Dienstes bedeutet nicht, dass damit sämtliche geldwäscherechtlichen Sorgfaltspflichten erfüllt sind.

Was bedeutet „qualifiziert“?

Beabsichtigt ein Vertrauensdiensteanbieter, einen qualifizierten Vertrauensdienst zu erbringen, muss er die zuständige Aufsichtsstelle hierüber informieren und einen Konformitätsbewertungsbericht einer Konformitätsbewertungsstelle vorlegen (Art. 21 Abs. 1 eIDAS).

Die Aufsichtsstelle prüft anschließend, ob der Vertrauensdiensteanbieter und die von ihm angebotenen Vertrauensdienste die Anforderungen der eIDAS-Verordnung erfüllen. Sind die Voraussetzungen erfüllt, verleiht sie dem Anbieter und den betreffenden Vertrauensdiensten den qualifizierten Status (Art. 21 Abs. 2 eIDAS). Mit der Erbringung des qualifizierten Vertrauensdienstes darf begonnen werden, nachdem der qualifizierte Status in der Vertrauensliste ausgewiesen wurde (Art. 21 Abs. 3 i. V. m. Art. 22 Abs. 1 eIDAS).

Ein QTSP kann unterschiedliche Vertrauensdienste anbieten. Für die konkrete Nutzung ist daher zu prüfen, ob gerade der eingesetzte Dienst über den qualifizierten Status verfügt.

Nicht jeder Vertrauensdienst bestätigt dasselbe

Eine qualifizierte elektronische Signatur (Qualified Electronic Signature, kurz: QES) eine fortgeschrittene elektronische Signatur, die mit einer qualifizierten elektronischen Signaturerstellungseinheit erstellt wurde und auf einem qualifizierten Zertifikat für elektronische Signaturen beruht. Sie hat nach Art. 25 Abs. 2 eIDAS die gleiche Rechtswirkung wie eine handschriftliche Unterschrift.

Ein elektronisches Siegel wird von einer juristischen Person erstellt. Für ein qualifiziertes elektronisches Siegel gilt nach Art. 35 Abs. 2 eIDAS die Vermutung der Unversehrtheit der Daten und der Richtigkeit ihrer Herkunft.

Mit der Reform der eIDAS-Verordnung wurde außerdem die qualifizierte elektronische Attributsbescheinigung (Qualified Electronic Attestation of Attributes – QEAA) eingeführt. Nach Art. 3 Nr. 45 eIDAS handelt es sich um eine elektronische Attributsbescheinigung, die von einem QTSP ausgestellt wird und die Anforderungen des Anhangs V erfüllt.

Für einen KYC-Prozess reicht es daher nicht aus, lediglich festzustellen, dass ein Nachweis „qualifiziert“ ist. Entscheidend ist, welche konkrete Aussage der Nachweis enthält und ob diese den jeweiligen KYC-Prüfschritt abdeckt.

QES im heutigen GwG

Das Geldwäschegesetz (Gesetz über das Aufspüren von Gewinnen aus schweren Straftaten, kurz: GwG) unterscheidet zwischen der Erhebung der erforderlichen Angaben und deren Überprüfung.

Bei natürlichen Vertragspartnern und gegebenenfalls für diese auftretenden Personen sind nach § 11 Abs. 4 Nr. 1 GwG insbesondere folgende Angaben zu erheben:

• Vor- und Nachname,
• Geburtsort,
• Geburtsdatum,
• Staatsangehörigkeit und
• Wohnanschrift.

12 Abs. 1 Satz 1 Nr. 3 GwG erlaubt die Überprüfung der Identität anhand einer QES nach Art. 3 Nr. 12 eIDAS. Wird dieser Weg genutzt, muss der Verpflichtete die QES nach § 12 Abs. 1 Satz 2 GwG i. V. m. Art. 32 Abs. 1 eIDAS validieren. Die QES ersetzt dabei nicht die Erhebung der nach § 11 GwG erforderlichen Angaben. Ein qualifiziertes Zertifikat für elektronische Signaturen muss nach Art. 28 Abs. 1 eIDAS i. V. m. Anhang I mindestens den Namen des Unterzeichners oder ein als solches gekennzeichnetes Pseudonym enthalten. Geburtsort, Geburtsdatum, Staatsangehörigkeit und Wohnanschrift gehören dagegen nicht zum verpflichtenden Mindestinhalt eines solchen Zertifikats

Für den KYC-Prozess müssen daher Datenerhebung und Identitätsüberprüfung getrennt betrachtet werden.

Ab 2027: AMLR und qualifizierte Vertrauensdienste

Ab dem 10. Juli 2027 gilt grundsätzlich die EU-Geldwäscheverordnung (Anti-Money Laundering Regulation, kuzr: AMLR; Verordnung (EU) 2024/1624 zur Verhinderung der Nutzung des Finanzsystems für Zwecke der Geldwäsche oder der Terrorismusfinanzierung). Der Geltungsbeginn ergibt sich aus Art. 90 AMLR.

Auch die AMLR regelt, welche Informationen über natürliche Personen einzuholen sind. Nach Art. 22 Abs. 1 lit. a AMLR gehören dazu unter anderem alle Vor- und Nachnamen, Geburtsort, vollständiges Geburtsdatum, Staatsangehörigkeit beziehungsweise Staatsangehörigkeiten sowie der gewöhnliche Aufenthaltsort.

Für die Überprüfung der Identität sieht Art. 22 Abs. 6 AMLR verschiedene Wege vor. Dazu gehören nach Art. 22 Abs. 6 lit. b AMLR elektronische Identifizierungsmittel, die nach der eIDAS-Verordnung die Sicherheitsniveaus „substanziell“ oder „hoch“ erfüllen, sowie einschlägige qualifizierte Vertrauensdienste.

Qualifizierte Vertrauensdienste werden damit ausdrücklich in den europäischen KYC-Rahmen einbezogen. Welcher Vertrauensdienst einen konkreten Prüfschritt abdecken kann, hängt von der zu überprüfenden Information und dem Inhalt des jeweiligen Nachweises ab.

Potenzial von QEAA im Firmenkunden-KYC

Besonders interessant für das Firmenkundengeschäft sind QEAA. Sie ermöglichen es, bestimmte Attribute natürlicher oder juristischer Personen elektronisch zu bescheinigen.

Anhang VI der eIDAS-Verordnung nennt unter anderem Vollmachten und Mandate zur Vertretung natürlicher oder juristischer Personen sowie bei juristischen Personen Finanz- und Unternehmensdaten. Soweit diese Attribute auf authentischen Quellen des öffentlichen Sektors beruhen, müssen die Mitgliedstaaten nach Art. 45e Abs. 1 eIDAS Maßnahmen vorsehen, die es QTSP ermöglichen, die betreffenden Attribute auf Verlangen des Nutzers elektronisch anhand der einschlägigen authentischen Quelle zu überprüfen.

Entscheidend bleibt der genaue Inhalt des Nachweises. Die Aussage „Person X ist Geschäftsführer der Gesellschaft Y“ ist nicht dasselbe wie „Person X ist alleinvertretungsberechtigt für Gesellschaft Y“.

Ein QEAA sollte deshalb nicht allein danach bewertet werden, dass er qualifiziert ist. Maßgeblich ist, welches Attribut und gegebenenfalls welcher Umfang einer Berechtigung tatsächlich bescheinigt wird.

Was beim Verpflichteten bleibt

Qualifizierte Vertrauensdienste können einzelne Informationen digital bestätigen oder eine gesetzlich vorgesehene Form der Identitätsüberprüfung ermöglichen. Daraus folgt jedoch nicht, dass ein QTSP die gesamte geldwäscherechtliche Kundenprüfung übernimmt.

Beim Verpflichteten verbleiben insbesondere die Ermittlung des wirtschaftlich Berechtigten und der Eigentums- und Kontrollstruktur, die Feststellung von Zweck und angestrebter Art der Geschäftsbeziehung, die erforderlichen PEP-Prüfungen sowie die laufende Überwachung der Geschäftsbeziehung. Nach dem geltenden GwG ergeben sich diese Pflichten insbesondere aus § 10 Abs. 1 Nr. 2 bis 5 GwG; die Aufzeichnungs- und Aufbewahrungspflichten regelt § 8 GwG.

Für den Einsatz eines qualifizierten Vertrauensdienstes ist daher entscheidend: Welche gesetzlich erforderliche Information oder Überprüfung wird durch den konkreten Vertrauensdienst tatsächlich abgedeckt?

Fazit

QTSP und qualifizierte Vertrauensdienste können einzelne KYC-Schritte digitalisieren und automatisierbar machen.

Ihr Nutzen liegt darin, bestimmte Informationen elektronisch überprüfbar und standardisiert bereitzustellen. Entscheidend bleibt der Inhalt des jeweiligen Dienstes oder Nachweises und die Frage, welche geldwäscherechtliche Anforderung damit tatsächlich erfüllt wird.

Ein qualifizierter Vertrauensdienst kann einzelne KYC-Schritte unterstützen oder ersetzen. Die übrigen Sorgfaltspflichten des Verpflichteten bleiben davon unberührt.

Quellen

https://eur-lex.europa.eu/eli/reg/2024/1624/oj/deu?

https://eur-lex.europa.eu/eli/reg/2024/1624/oj/deu?utm

https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX%3A02014R0910-20240520&utm

https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32014R0910

https://eur-lex.europa.eu/legal-content/de/ALL/?uri=CELEX:32024R1183

https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX%3A02014R0910-20240520&utm