AMLR 2027: Was die EU-Geldwäscheverordnung für KYB bei Banken und Zahlungsdienstleistern ändert

Ab dem 10. Juli 2027 gilt die EU-Geldwäscheverordnung, kurz AMLR. Für Banken und Zahlungsdienstleister, die Geschäftskunden aufnehmen, ändert sich damit die rechtliche Grundlage für KYB: Die Regeln kommen nicht mehr aus einem nationalen Gesetz, das eine Richtlinie umsetzt, sondern aus einer Verordnung, die in jedem Mitgliedstaat unmittelbar und im selben Wortlaut gilt.

Wir gehen die Änderungen in der Reihenfolge durch, in der ein Compliance-Team auf sie stößt: wer die Details festlegt, was die Sorgfaltspflichten beim Onboarding umfassen, wie oft Kundendaten aktualisiert werden müssen und was aufzubewahren ist. Mehr zu wirtschaftlichen Eigentümern steht in unserem Leitfaden zum wirtschaftlich Berechtigten nach AMLR, mehr zum Screening in unserem Beitrag zur Sanktionslistenprüfung und PEP-Prüfung nach AMLR.

Stand: November 2026. Grundlage sind die AMLR und die bis 30. September 2026 veröffentlichten Entwürfe der AMLA. Keine Rechtsberatung, siehe Hinweis am Ende.

Ab dem 10. Juli 2027 gilt die AMLR unmittelbar in allen EU-Mitgliedstaaten

Die Verordnung (EU) 2024/1624 gilt ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten. Für Spielervermittler und Profifußballvereine gilt sie ab dem 10. Juli 2029.

Warum es eine Verordnung statt einer weiteren Richtlinie braucht, erklärt die AMLA selbst. Im Abschlussbericht zum Entwurf der AMLA-Standards zu den Sorgfaltspflichten, den die AMLA im September 2026 an die Kommission übermittelt hat, schreibt sie, dass der nationale Spielraum im bisherigen Rahmen Rechtsunsicherheit und Mehrkosten für grenzüberschreitend tätige Verpflichtete verursacht hat. An seine Stelle setzt die AMLR Sorgfaltspflichten, die in der ganzen Union und in allen Sektoren gleich gelten.

Für Institute hat das Vor- und Nachteile. Eine Gruppe, die Kunden in mehreren Ländern aufnimmt, kann einen einheitlichen Prozess aufsetzen. Nationale Praktiken, die bisher in Prüfungen durchgingen, sind aber nicht mehr der Maßstab.

Die AMLA entwirft die technischen Standards zur AMLR und schlägt vor, wie Verstöße eingestuft werden

Die AMLR legt die Pflichten fest. Die AMLA, die neue EU-Behörde zur Bekämpfung der Geldwäsche, entwirft technische Regulierungsstandards, die festlegen, wie diese Pflichten zu erfüllen sind. Den AMLA-Entwurf zu den Sorgfaltspflichten muss nun die Europäische Kommission annehmen und im Amtsblatt veröffentlichen. Die Standards treten dann am zwanzigsten Tag nach der Veröffentlichung in Kraft und gelten ein halbes Jahr nach Inkrafttreten.

Auch wie schwer ein Verstoß wiegt, soll sich künftig nach Vorgaben der AMLA bemessen. Nach ihrem Entwurf der Standards zu Geldbußen und Verwaltungsmaßnahmen unter der Geldwäscherichtlinie würden die Aufsichtsbehörden Verstöße in vier Schweregrade einstufen. In den höchsten Schweregrad fiele ein Verstoß, wenn die Systeme, Kontrollen oder Strategien eines Instituts strukturell versagen oder angemessene Vorkehrungen in wesentlichem Umfang fehlen.

Welche Daten die AMLA erheben würde, zeigt ihr Entwurf zur Auswahl direkt beaufsichtigter Institute. Beim Screening würde die AMLA abfragen, wie viele Stunden höchstens vergehen, bis neu veröffentlichte gezielte finanzielle Sanktionen in den Screening-Tools eines Instituts umgesetzt sind. Und sie würde erfassen, welche Aufgaben, etwa Sorgfaltspflichten, Sanktionslistenprüfung und PEP-Prüfung, an Dienstleister ausgelagert sind.

Die Sorgfaltspflichten nach AMLR umfassen schon beim Onboarding Identität, wirtschaftliche Eigentümer, Sanktionen und PEP-Status

Artikel 20 Absatz 1 AMLR zählt die Sorgfaltspflichten gegenüber Kunden auf. Für das KYB-Onboarding sind vor allem diese entscheidend:

• die wirtschaftlichen Eigentümer ermitteln, ihre Identität überprüfen und die Eigentums- und Kontrollstruktur verstehen
• prüfen, ob der Kunde oder seine wirtschaftlichen Eigentümer gezielten finanziellen Sanktionen unterliegen und, bei einer juristischen Person, ob sanktionierte Personen sie kontrollieren oder einzeln oder gemeinsam mehr als 50 % der Eigentumsrechte oder eine Mehrheitsbeteiligung halten
• feststellen, ob der Kunde, sein wirtschaftlicher Eigentümer und gegebenenfalls die Person, in deren Auftrag eine Transaktion durchgeführt wird, eine politisch exponierte Person, ein Familienangehöriger oder eine bekanntermaßen nahestehende Person ist

Für juristische Personen verlangt Artikel 22 Absatz 1 unter anderem diese Angaben: Rechtsform und Name, Anschrift des Sitzes, die Namen der gesetzlichen Vertreter und, soweit vorhanden, Registernummer, Steueridentifikationsnummer und Rechtsträgerkennung sowie nominelle Anteilseigner oder nominelle Direktoren. Für natürliche Personen verlangt er unter anderem alle Vor- und Nachnamen, Geburtsort und vollständiges Geburtsdatum, die Staatsangehörigkeiten und den gewöhnlichen Aufenthaltsort. Zur Überprüfung einer juristischen Person verweist der AMLA-Entwurf auf die in der AMLR genannten Dokumente und auf Auszüge aus öffentlichen Registern, die für rechtliche Zwecke verwendet werden können, gleich ob der Kunde sie einreicht oder das Institut sie selbst abruft.

Neue Arbeit entsteht vor allem bei den wirtschaftlichen Eigentümern und im Screening. Beides vertiefen unsere Leitfäden zum wirtschaftlich Berechtigten und zur Sanktionslistenprüfung und PEP-Prüfung nach AMLR.

Re-KYC nach AMLR: Kundendaten müssen spätestens alle fünf Jahre aktualisiert werden, bei höherem Risiko jedes Jahr

Nach dem Onboarding geht die Prüfung weiter. Nach Artikel 26 Absatz 2 AMLR müssen Institute die Kundendaten bei Kunden mit höherem Risiko, für die verstärkte Sorgfaltspflichten gelten, spätestens nach einem Jahr aktualisieren, bei allen anderen spätestens nach fünf Jahren. In ihrem Konsultationsentwurf für Leitlinien zur laufenden Überwachung legt die AMLA diese Fristen als Höchstfristen aus: Institute sollen häufigere Aktualisierungen nach dem Risikoprofil jedes Kunden festlegen. Wird ein Kunde vor dem Termin überprüft, kann die Frist bis zur nächsten Aktualisierung neu beginnen.

Auch Bestandskunden sind betroffen. Nach dem AMLA-Entwurf werden bestehende Geschäftsbeziehungen innerhalb der Fristen von einem und fünf Jahren aus Artikel 26 Absatz 2 AMLR an die neuen Vorgaben angepasst, gerechnet ab Inkrafttreten der Standards. Anträge, diese Fristen zu verlängern, hat die AMLA nicht angenommen.

Überprüfungen laufen nicht nur nach Kalender. Der Konsultationsentwurf nennt Ereignisse, die eine Überprüfung auslösen können: Änderungen der Rechtsform, der Eigentümerstruktur, der Geschäftsführung, der Zeichnungsberechtigten oder Vertreter sowie neue negative Medienberichte oder ein neuer PEP-Status. Um solche Änderungen zu erkennen, können Institute Unternehmensregister und öffentliche Datenbanken heranziehen, die Änderungen bei Eigentum oder Status zeigen. Für Kunden mit geringem Risiko und ohne neue Aktivität lässt der Leitlinienentwurf schlankere Überprüfungen zu, etwa einen Abgleich mit Unternehmensregistern, eine PEP-Prüfung, eine Prüfung auf negative Medienberichte (Adverse Media Screening) und einen internen Abgleich, ob sich die Geschäftsbeziehung verändert hat. Es handelt sich um Leitlinienentwürfe aus einer Konsultation, die vom 3. Juni bis 3. September 2026 lief.

Die Unterlagen zur Kundenprüfung müssen bis fünf Jahre nach Ende der Geschäftsbeziehung ungeschwärzt aufbewahrt werden

Artikel 77 AMLR verpflichtet Institute, Kopien der Dokumente und Informationen aus der Kundenprüfung ungeschwärzt aufzubewahren, und zwar fünf Jahre ab Ende der Geschäftsbeziehung, ab der gelegentlichen Transaktion oder ab der Ablehnung einer Geschäftsbeziehung oder Transaktion.

So lange muss jede Akte nachvollziehbar bleiben. Nach ihrem Entwurf einer Methodik zur Auswahl direkt beaufsichtigter Institute würde die AMLA Institute unter anderem danach bewerten, bei wie vielen Geschäftskunden die wirtschaftlichen Eigentümer nicht ermittelt oder nicht überprüft wurden, bei wie vielen Kunden im letzten Kalenderjahr eine Aktualisierung der Kundendaten fällig war und bei wie vielen Kunden die Kundendaten in diesem Jahr überprüft und aktualisiert wurden.

Bei OTTO Payments prüfte die interne Revision das neue KYB-Setup mit Sinpex: Statt 16 Prüfungsfeststellungen gab es 0. Was die AMLR für die persönliche Haftung von Compliance-Verantwortlichen bedeutet, beschreibt unser Beitrag Persönliche Haftung unter der AMLR 2027.

Banken und Zahlungsdienstleister brauchen bis zum 10. Juli 2027 eine klare Reihenfolge

Da die AMLR ab dem 10. Juli 2027 gilt, kommt es auf die Reihenfolge der Arbeit an. Eine Compliance-Leitung hat es uns so beschrieben: Wer neue Prüfungen bis zur Frist aufschiebt, verschiebt die Arbeit nur, und wer im Juli 2027 alles auf einmal einführt, erzeugt eine Arbeitsspitze.

Auch die laufenden Kosten verschieben sich. In der Konsultation zum AMLA-Entwurf nannten die Teilnehmer vor allem diese Kostentreiber der neuen Sorgfaltspflichten: die Pflege und erneute Überprüfung erweiterter Kundendaten, zusätzliche Prüfungen und die Bearbeitung von Treffern, externe Prüf- und Datendienste sowie laufende Schulungen.

Eine sinnvolle Reihenfolge bis zum 10. Juli 2027:

• den bestehenden KYB-Prozess mit den Sorgfaltspflichten aus Artikel 20 AMLR abgleichen
• Datenlücken schließen, etwa bei den Staatsangehörigkeiten und den Identifikationsdaten der wirtschaftlichen Eigentümer
• die Berechnung der Beteiligungen bei mehrstufigen Eigentumsstrukturen festlegen und in jeder Akte dokumentieren
• festlegen, welche Beteiligten einer Struktur geprüft werden und was eine Überprüfung auslöst
• die Dokumente und Informationen aus der Kundenprüfung nachvollziehbar und ungeschwärzt bis fünf Jahre nach Ende der Geschäftsbeziehung aufbewahren

Häufige Fragen zur EU-Geldwäscheverordnung (AMLR)

Ab wann gilt die AMLR?

Die AMLR gilt ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten. Für Spielervermittler und Profifußballvereine gilt sie ab dem 10. Juli 2029.

Was ist der Unterschied zwischen AMLR und AMLA?

Die AMLR ist die Verordnung, die die Pflichten festlegt. Die AMLA ist die EU-Behörde, die die technischen Standards zur Erfüllung dieser Pflichten entwirft, darunter einen Vorschlag, wie Verstöße eingestuft werden.

Was umfassen die Sorgfaltspflichten nach AMLR?

Sie umfassen unter anderem die Identifizierung des Kunden, die Ermittlung seiner wirtschaftlichen Eigentümer und die Überprüfung ihrer Identität, den Abgleich mit gezielten finanziellen Sanktionen, die Feststellung des PEP-Status und die Aktualisierung der Kundendaten.

Gilt die AMLR auch für Bestandskunden?

Ja. Nach dem AMLA-Entwurf werden bestehende Geschäftsbeziehungen innerhalb der Fristen von einem und fünf Jahren aus Artikel 26 Absatz 2 AMLR an die neuen Vorgaben angepasst, gerechnet ab Inkrafttreten der Standards.

Wie lange müssen KYC- und KYB-Unterlagen aufbewahrt werden?

Nach Artikel 77 AMLR müssen sie fünf Jahre ab Ende der Geschäftsbeziehung ungeschwärzt aufbewahrt werden.

Quellen: Verordnung (EU) 2024/1624 (AMLR) (englische Fassung) · AMLA, Abschlussbericht zum Entwurf der Standards zu den Sorgfaltspflichten · AMLA, Konsultationsentwurf der Leitlinien zur laufenden Überwachung · AMLA, Abschlussbericht zum Entwurf der Standards zu Geldbußen und Verwaltungsmaßnahmen · AMLA, Abschlussbericht zum Entwurf der Standards zur Auswahl direkt beaufsichtigter Institute

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Er berücksichtigt die AMLR, die zugehörigen EU-Durchführungsrechtsakte und die veröffentlichten Entwürfe der AMLA mit Stand November 2026. Einzelne technische Standards liegen erst als Entwurf vor und können sich bis zu ihrer Annahme noch ändern. Ob und wie die Vorgaben für Ihr Institut gelten, hängt von Geschäftsmodell, Risikoprofil und nationaler Aufsichtspraxis ab. Bitte prüfen Sie die Informationen eigenständig und holen Sie für Ihren konkreten Fall rechtlichen Rat ein. Stand: November 2026.