Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat am 10. Juni 2016 das Rundschreiben 04/2016 (GW) „Anforderungen an die Nutzung von Videoidentifizierungsverfahren bei der Kontoeröffnung“ veröffentlicht (Rundschreiben). Anlass des Rundschreibens ist die im Februar 2016 veröffentlichte Überarbeitung der Leitlinien zur Kontoeröffnung und Kundenidentifizierung des Basler Ausschusses für Bankenaufsicht. Das Rundschreiben soll Kundenidentifizierungen mittels Videotechnik bei Kontoeröffnungen an die aktuellen Erfordernisse einer angemessenen Geldwäschepräventionanpassen. Die bedeutendsten Neuerungen betreffen

  • erstens die Einschränkung des Anwendungsbereichs von Videoidentifizierungsverfahren auf Kreditinstitute i.S.d. § 1 Abs. 1 des Kreditwesengesetzes (KWG);
  • zweitens das Erfordernis einer sog. Referenzüberweisung, d.h. der Kunde muss bei Kontoeröffnung von einem anderen Konto einen Geldbetrag auf das neue Konto überweisen; sowie
  • drittens die Anforderungen an eine zusätzliche Identifizierung anhand öffentlich zugänglicher Daten und Informationen aus dem Internet.

Videoidentifizierung richtet sich nach allgemeinen Identifizierungspflichten des Geldwäschegesetzes

Die Identifizierung eines Vertragspartners mittels Videotechnik richtet sich dem Rundschreiben zufolge wie bisher nach den allgemeinen Identifizierungspflichten gem.§ 3 Abs. 1 Nr. 1 i.V.m. § 4 Abs. 1, Abs. 3 Nr. 1 und Abs. 4 Nr. 1 des Geldwäschegesetzes (GwG) und nicht nach den verstärkten Sorgfaltspflichten gem. § 6 Abs. 2 Nr. 2 GwG, die Anwendung finden, wenn der Vertragspartner zur Feststellung der Identität nicht persönlich anwesend ist. Dies wurde bereits durch das Bundesministerium der Finanzen (BMF) in seinen Auslegungshinweisen vom November 2014 zum Verdachtsmeldewesen im Bereich der Geldwäschebekämpfung vertreten. Den Auslegungshinweisen des BMF folgte sodann die BaFin in ihrem Rundschreiben 1/2014 (GW) „Verdachtsmeldung nach §§ 11, 14 GwG und anderes“ vom 5. März 2014, in dem sie ausführt, dass das Verfahren der Videoidentifizierung nicht als Fall einer „Fernidentifizierung“ i.S.v. § 6 Abs. 2 Nr. 2 GwG zu qualifizieren ist, da auch bei einer Videoübertragung von einer „persönlichen Anwesenheit“ auszugehen sei. Ungeachtet der räumlichen Trennung werde eine sinnliche Wahrnehmung der am Identifizierungsprozess beteiligten Personen ermöglicht.

Konkretisierungen und Erweiterung der Anforderungen bei der Videoidentifizierung

Das Rundschreiben konkretisiert zum einen die bestehenden Anforderungen an die Videoidentifizierung, die in dem Rundschreiben 1/2014 (GW) aufgestellt wurden, und geht zum anderen über diese hinaus.

Nutzungsberechtigung

Während die meisten Regelungen des Rundschreibens eine Verschärfung der Anforderungen an das Videoidentifizierungsverfahren bei einer Kontoeröffnung darstellen, betrifft die wohl wichtigste Neuerung die Berechtigung, dieses Verfahren einzusetzen. Künftig sollen nur noch Kreditinstitute i.S.d. § 1 Abs. 1 KWG Videoidentifizierungsverfahren bei der Kontoeröffnung nutzen dürfen. Das Rundschreiben 1/2014 (GW) ließ die Nutzung eines Videoidentifizierungsverfahrens noch für Kreditinstitute, Finanzdienstleistungsinstitute, Zahlungsinstitute, E-Geld-Institute, Kapitalverwaltungsgesellschaften und weitere zu. Die BaFin begründet die Einschränkung der Nutzungsberechtigung mit den notwendigen Anpassungen an die aktuellen Erfordernisse der Geldwäscheprävention im Rahmen der Videoidentifizierung. Aus dem Rundschreiben ergibt sich jedoch nicht, wieso die notwendigen Anpassungen zwangsläufig eine Beschränkung der Nutzungsberechtigung erforderlich machen. Dem Wortlaut des Rundschreibens zufolge, der sich nur auf Kreditinstitute i.S.d. § 1 Abs. 1 KWG bezieht, können neben anderen Unternehmen z.B. auch Zweigniederlassungen von Kreditinstituten das Videoidentifizierungsverfahren nicht nutzen. Insofern ließe sich jedoch argumentieren, dass gem. §§ 53 Abs. 1 S.1, 53 b Abs. 3 S.1 KWG Zweigstellen bzw. Zweigniederlassungen wie Kreditinstitute gem. § 1 Abs. 1 KWG behandelt werden und sie daher das neue Verfahren ebenfalls in Anspruch nehmen können.

Regelmäßige Schulung von Mitarbeitern

Die Anforderungen an die mit der Identifizierung betrauten Mitarbeitern wurden insofern konkretisiert, als dass nun festgelegt wird, wann Mitarbeiter als ausreichend geschult und ausgebildet gelten. Danach müssen die Mitarbeiter zum einen Kenntnis von den wesentlichen Merkmalen der im Videoidentifizierungsverfahren zulässigen Dokumente, einschließlich der gängigen Fälschungsmerkmale, sowie der relevanten geldwäscherechtlichen Vorschriften und den Anforderungen des Rundschreibens besitzen. Zum anderen ist erforderlich, dass die Mitarbeiter zu diesen Inhalten in regelmäßigen Abständen – mindestens einmal jährlich – sowie anlassbezogen informiert werden.

Nutzung von bestimmten Mechanismen für die Identifizierung

Zusätzlich bestimmt das Rundschreiben, dass Mechanismen eingesetzt werden müssen, die sicherstellen, dass die Zuteilung der Identifizierungsvorgänge nicht manipuliert werden kann. Speziell bei der Verwendung von Smartphone-Apps wird der Einsatz von Jailbreak bzw. Rooting Detection Programmen gefordert. Solche Programme erkennen, ob der Nutzer des Smartphones Hard- oder Software verwendet hat, um bestimmte interne Sicherungsmechanismen bzw. die Sperrung bestimmter Funktionen durch den Hersteller zu umgehen oder administratorenähnliche Kontrolle über das Smartphone zu erlangen.

Anforderungen an die Ausweisdokumente

Das Rundschreiben erweitert die Anforderungen an die zugelassenen Ausweisdokumente. So müssen diese optische Sicherheitsmerkmale wie holographische Bilder, kinematische Strukturen, d.h. solche, die erst durch eine „Kipp-Bewegung“ erkennbar sind, und über einen maschinenlesbaren Bereich verfügen. Bei der Überprüfung ist eine Berechnung der in der maschinenlesbaren Zone enthaltenen Prüfziffern sowie ein Kreuzvergleich der in ihr enthaltenen Angaben mit den Angaben im Sichtfeld des Ausweisdokuments erforderlich.

Überprüfung der Identifizierungsschritte durch eine zweite Ebene

Das Rundschreiben bestimmt zudem erstmalig, dass alle wesentlichen Identifizierungsschritte durch eine zweite Ebene im Unternehmen auf ihre Korrektheit überprüft werden müssen.

Einführung einer Referenzüberweisungspflicht

Neu aufgenommen wurde im Übrigen, dass nach der Eröffnung eines Kontos mittels eines Videoidentifizierungsverfahrens eine Referenzüberweisung durchgeführt werden muss.Bei der Kontoeröffnung muss der Kunde einen frei zu wählenden Geldbetrag auf das neue Konto von einem auf den Namen des Kunden laufenden Konto bei einem Kreditinstitut in der EU überweisen lassen. Bis zum Eingang der Referenzüberweisung findet § 25j KWG Anwendung, d.h. dass vor Abschluss der Überprüfung der Identität können keine Gelder über das eröffnete Konto abverfügt (Lastschrift oder Überweisung) und eingegangene Gelder nur an den Einzahler entsprechender Geldbeträge ausgezahlt werden.

Das Erfordernis der Referenzüberweisung führt zu zwei Konsequenzen: Zum einen können Kunden, die kein Konto besitzen, das Videoidentifizierungsverfahren nicht nutzen. Zum anderen ist eine Referenzüberweisung auch nur dann möglich, wenn der Kunde über ein Konto in der EU verfügt. Folglich erschwert diese neue Anforderung es einer Vielzahl von Kunden, das Videoidentifizierungsverfahren zu nutzen. Darüber hinaus wird der Anmeldeprozess verzögert.

Pflicht zur Identitätsüberprüfung mittels öffentlich zugänglichen Informationen

Das Rundschreiben verpflichtet die Unternehmen zudem erstmals mittels öffentlich zugänglicher Daten und Informationen, wie sie z.B. im Internet oder in sozialen Netzwerken zu finden sind, die Identität ihrer Kunden erneut zu überprüfen. Aus dem Rundschreiben ergibt sich nicht, was genau damit gemeint ist und wie die dadurch erhobenen Daten zu bewerten sind. Wie wirkt es sich z.B. auf die Identitätsüberprüfung aus, wenn im Internet keinerlei Informationen zu der Person gefunden werden oder der umgekehrte Fall, wenn eine Vielzahl von Informationen zu der Person verfügbar sind? Es bleibt abzuwarten, ob die BaFin diese Anforderung noch nachträglich konkretisiert.

Aufbewahrungs- und Aufzeichnungspflichten

Die Anforderungen an die Aufbewahrungs- und Aufzeichnungspflichten wurden dahingehend konkretisiert, als dass nun der gesamte Prozess des Videoidentifizierungsverfahrens zum Zweck der internen und externen Revision sowie für die BaFin in allen Einzelschritten nachprüfbar aufzuzeichnen und aufzubewahren ist. Aus der Aufzeichnung muss ersichtlich sein, dass die allgemeinen geldwäscherechtlichen Identifizierungspflichten gem. § 3 Abs. 1 Nr. 1 i.V.m. § 4 Abs. 1, Abs. 3 Nr. 1 und Abs. 4 Nr. 1 GwG sowie die Mindestanforderungen dieses Rundschreibens eingehalten wurden.

Datenschutzanforderungen

In Bezug auf etwaige datenschutzrechtliche Anforderungen wurde in das Rundschreiben ein Verweis auf das BMF-Schreiben vom 17. April 2015 neu aufgenommen. Dieses enthält Ausführungen zu den datenschutzrechtlichen Leitlinien des Bundesbeauftragten für Datenschutz und der Informationsfreiheit bezüglich der Videoidentifizierung nach dem GwG und stellt insbesondere Regelungen auf, wann nicht relevante oder nicht verwendbare Daten gelöscht werden müssen.

Fazit und Ausblick

Das Rundschreiben markiert einen weiteren wichtigen Meilenstein in der noch jungen Beziehung zwischen FinTechs und Aufsicht. Ausgangspunkt war die Gründung einer internen Projektgruppe zum Thema FinTech durch die BaFin Ende November 2015 mit der Intention herauszufinden, ob die BaFin angesichts der Fortentwicklung der Digitalisierung ihre Prozesse in Bezug auf die durch FinTechs angebotenen Dienstleistungen anzupassen hat. Die BaFin veröffentlichte sodann im April 2016 „Hinweise zu FinTech-Geschäftsmodellen“ (vgl. hierzu Freshfields Briefing „BaFin veröffentlicht Hinweise zu FinTech-Geschäftsmodellen“) mit dem gleichzeitigen Hinweis auf die am 28. Juni 2016 veranstaltete Konferenz „BaFin-Tech 2016“ mit dem Ziel des Dialogs zwischen FinTechs, Finanzdienstleistern und BaFin. Schienen bis dahin die Zeichen für eine weitere Annährung zwischen FinTechs und BaFin zu sprechen, zeigt sich nun mit dem Rundschreiben erstmals seit der Gründung der internen Projektgruppe im November 2015 ein einschneidender Eingriff der Aufsicht in die Geschäftsmodelle von FinTechs.

Das Rundschreiben bringt eine Reihe an neuen Mindestanforderungen mit sich. Insbesondere die nun erforderliche Referenzüberweisung, die zusätzliche Identifizierung anhand öffentlich zugänglicher Daten sowie die Einrichtung einer zweiten Kontrollinstanz innerhalb des Unternehmens führen zu einer Verzögerung des Anmeldeprozesses.

Aufgrund der Erschwerungen, die potentielle Kunden von der Nutzung abhalten könnten und für die Anbieter mit höheren Kosten verbunden sind, dürfte es fraglich sein, ob das Videoidentifizierungsverfahren in der Praxis breite Anwendung finden wird.

Nicht zuletzt aufgrund des wenig begründeten Hinweises, dass das neue Verfahren nur durch Kreditinstitute angewendet werden darf, stellen sich die neuen Anforderungen als besonders unvorteilhaft für FinTech-Unternehmen dar, die sich grundsätzlich innovative technische und kundenfreundliche Verfahren zunutze machen. Dem gegenüber steht das mit dem Rundschreiben verfolgten Ziel der Bekämpfung von Terrorfinanzierungen. Die Verschärfungen sind zudem mit Blick auf die anstehende Umsetzung der 4. EU-Geldwäscherichtlinie bis zum Juni 2017 zu sehen.

Es bleibt abzuwarten, inwiefern die BaFin, insbesondere zum Thema Nutzungsberechtigung, erläuternde Hinweise veröffentlichen wird.