Ein Geschäftsführer eines mittelständischen Immobilienunternehmens erhält von seiner Hausbank die Aufforderung, den wirtschaftlich Berechtigten einer neu gewonnenen Investorengruppe zu identifizieren und zu dokumentieren. Er kennt seine Sorgfaltspflichten nach dem Geldwäschegesetz nur in groben Zügen — und fragt sich, ob sein Unternehmen überhaupt verpflichtet ist. Die Antwort ist eindeutig.
Geldwäsche-Compliance im Unternehmen ist für eine Vielzahl von Branchen und Unternehmenstypen keine freiwillige Übung, sondern eine gesetzliche Pflicht. Das Geldwäschegesetz (GwG) verpflichtet bestimmte Unternehmen — darunter Finanzdienstleister, Immobilienmakler, Güterhändler und beratungsnahe Berufe — zur Einführung interner Sicherungssysteme, zur Identifizierung wirtschaftlich Berechtigter und zur Meldung verdächtiger Transaktionen. Geschäftsführer, die diese Pflichten nicht erfüllen, riskieren empfindliche Bußgelder und strafrechtliche Konsequenzen. Eine frühzeitige, strukturierte Umsetzung schützt nicht nur das Unternehmen, sondern die persönliche Haftung der Geschäftsleitung.
Dieser Beitrag erläutert die wesentlichen Sorgfaltspflichten nach dem GwG, benennt die typischen Fehlerquellen im Mittelstand, zeigt die Folgen einer Pflichtverletzung und gibt einen praxisorientierten Fahrplan für den Aufbau eines wirksamen Compliance-Systems.
Wer ist nach dem GwG verpflichtet — und in welchem Umfang?
Die erste und häufig unterschätzte Frage lautet: Gilt das GwG für mein Unternehmen? Das Geldwäschegesetz (GwG) definiert in § 2 GwG einen Katalog von Verpflichteten, der über den Finanzsektor weit hinausgeht. Wer zu diesem Kreis gehört, ist verpflichtet — unabhängig von Unternehmensgröße oder Rechtsform.
Zum Kreis der Verpflichteten gehören neben Kreditinstituten und Versicherungen unter anderem Immobilienmakler, Notare, Steuerberater und Wirtschaftsprüfer, Rechtsanwälte in bestimmten Konstellationen sowie Güterhändler, die Barzahlungen von 10.000 Euro oder mehr entgegennehmen oder leisten. Darüber hinaus sind Dienstleister im Zusammenhang mit der Gründung oder Verwaltung von Gesellschaften sowie Kunstvermittler ab bestimmten Schwellenwerten erfasst. Die Europäische Anti-Geldwäsche-Richtlinie (AMLD) hat den Anwendungsbereich durch mehrere Novellen stetig ausgedehnt; die aktuelle Fassung des GwG spiegelt die 5. und 6. AMLD wider.
Für inhabergeführte Unternehmen im Mittelstand ist entscheidend: Nicht nur der Tätigkeitsbereich, sondern die konkrete Geschäftstätigkeit im Einzelfall bestimmt die Verpflichtung. Ein Industrieunternehmen, das gelegentlich Maschinen in erheblichem Wert gegen Barzahlung veräußert, kann in die Verpflichtetenkategorie des Güterhändlers fallen — auch ohne dass dies dem Geschäftsführer bewusst ist. In der Mandatspraxis sehen wir regelmäßig, dass die Zuordnung zum Verpflichtetenkreis erst dann erfolgt, wenn Aufsichtsbehörden bereits aktiv sind.
Welche Sorgfaltspflichten bestehen konkret?
Wer dem GwG unterliegt, hat ein abgestuftes System von Sorgfaltspflichten zu erfüllen, das zwischen allgemeinen, vereinfachten und verstärkten Pflichten unterscheidet. Das gesetzliche Grundgerüst folgt einem risikobasierten Ansatz (§§ 10 ff. GwG): Je höher das Geldwäscherisiko einer Geschäftsbeziehung oder Transaktion, desto intensiver die Prüfpflichten.
Die allgemeinen Sorgfaltspflichten nach § 10 GwG umfassen:
- Identifizierung des Vertragspartners und Überprüfung seiner Identität anhand geeigneter Dokumente
- Feststellung des wirtschaftlich Berechtigten (§ 3 GwG) und Ergreifung angemessener Maßnahmen zu seiner Identifizierung
- Einholung von Informationen über Zweck und angestrebte Art der Geschäftsbeziehung
- Klärung, ob der Vertragspartner oder wirtschaftlich Berechtigte eine politisch exponierte Person (PEP) ist
- Kontinuierliche Überwachung bestehender Geschäftsbeziehungen und Aktualisierung der erhobenen Daten
Vereinfachte Sorgfaltspflichten (§ 14 GwG) kommen in Betracht, wenn nach Risikoeinschätzung ein geringes Geldwäscherisiko vorliegt — etwa bei börsennotierten Gesellschaften als Vertragspartner. Verstärkte Pflichten (§ 15 GwG) greifen hingegen zwingend, wenn Geschäftsbeziehungen zu Hochrisikodrittstaaten bestehen, der Vertragspartner PEP-Status hat oder sonstige erhöhte Risikofaktoren vorliegen. In diesen Fällen muss unter anderem die Genehmigung der Geschäftsführungsebene für die Begründung oder Fortführung der Beziehung eingeholt werden.
Was in der Praxis mittelständischer Unternehmen häufig fehlt: ein dokumentiertes Risikomanagementsystem, das diese Abstufungen operativ umsetzt. Nach unserer Erfahrung beschränken sich viele KYC-Prozesse (KYC = Know Your Customer, d. h. Verfahren zur Kundenidentifizierung) auf einmalige Eingangskontrollen ohne anschließende laufende Überwachung — ein Versäumnis, das Aufsichtsbehörden unmittelbar beanstanden.
Pflicht zur Meldung verdächtiger Transaktionen: Was gilt für Geschäftsführer?
Neben den Sorgfaltspflichten steht die Meldepflicht nach § 43 GwG als eigenständige gesetzliche Verpflichtung. Sie trifft alle Verpflichteten, sobald Tatsachen darauf hindeuten, dass eine Transaktion im Zusammenhang mit Geldwäsche oder Terrorismusfinanzierung stehen könnte.
Meldungen sind an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU) zu erstatten — und dies unverzüglich. Eine Wartefrist besteht grundsätzlich nicht; das Gesetz verlangt sofortiges Handeln bei Kenntnis des Verdachts. Gleichzeitig verbietet § 47 GwG das sogenannte „Tipping-off": Wer eine Verdachtsmeldung erstattet, darf den Betroffenen darüber nicht unterrichten. Das schafft für Geschäftsführer eine heikle Situation, in der rechtliche Begleitung geboten ist.
Ein häufiges Missverständnis: Die Meldung setzt keine gesicherte Kenntnis einer Straftat voraus. Es genügt der begründete Verdacht. Wer im Zweifel keine Meldung erstattet, riskiert eine eigenständige Ordnungswidrigkeit. In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen, das im Rahmen einer Compliance-Überprüfung feststellte, dass eine Reihe von Bargeschäften in der Vergangenheit nicht gemeldet worden war. Die rückwirkende Aufarbeitung, inklusive selbstinitiierter Meldung und Kommunikation mit der FIU, gestaltete sich aufwendig — wäre aber durch eine funktionierende interne Meldestelle vermeidbar gewesen. Ausgangslage: fehlendes internes Meldesystem. Vorgehen: strukturierte Nacherfassung und Kommunikation mit der Aufsichtsbehörde. Ergebnis: Verfahren ohne Bußgeldbescheid abgeschlossen.
Interne Sicherungsmaßnahmen: Was muss das Unternehmen einrichten?
Das GwG verpflichtet bestimmte Unternehmen über individuelle Sorgfaltspflichten hinaus zur Einrichtung interner Organisationsstrukturen. § 6 GwG nennt einen Katalog interner Sicherungsmaßnahmen, der je nach Unternehmensgröße und Risikoprofil differenziert anzupassen ist.
Im Kern sind folgende Elemente einzurichten:
- Risikoanalyse (§ 5 GwG): schriftliche Analyse der unternehmensspezifischen Geldwäscherisiken — differenziert nach Kundenstruktur, Produkten, Transaktionsarten und geografischen Faktoren
- Interne Grundsätze und Verfahren (§ 6 Abs. 1 GwG): Richtlinien zur Umsetzung der Sorgfaltspflichten, zur Transaktionsüberwachung, zur Meldepflicht und zum Umgang mit PEP
- Bestellung eines Geldwäschebeauftragten (§ 7 GwG): Pflicht für Verpflichtete ab einer bestimmten Unternehmensgröße; bei kleineren Einheiten kann die Funktion vom Geschäftsführer wahrgenommen werden
- Mitarbeiterschulung: nachweisliche Schulung aller relevanten Mitarbeiter über Risiken und Pflichten
- Zuverlässigkeitsprüfung: Überprüfung von Mitarbeitern in geldwäscherelevanten Funktionen
Welcher Standard gilt für den Mittelstand? Das GwG folgt ausdrücklich einem risikobasierten Ansatz. Ein inhabergeführtes Unternehmen mit überschaubarer Kundenbasis in einem Niedrigrisikobereich benötigt kein Compliance-System im Umfang einer Bank. Es benötigt jedoch ein dokumentiertes, proportionales System, das im Prüfungsfall belegt, dass das Unternehmen seiner Analysepflicht nachgekommen ist. Fehlt diese Dokumentation, ist der Verteidigungsstandpunkt gegenüber der Aufsichtsbehörde erheblich geschwächt.
Bußgelder und persönliche Haftung des Geschäftsführers
Welche Konsequenzen drohen bei Verstößen? Das GwG sieht ein erhebliches Bußgeldregime vor. Ordnungswidrigkeiten können nach § 56 GwG mit empfindlichen Geldbußen geahndet werden; bei schwerwiegenden, systematischen oder wiederholten Verstößen sind nach europäischen Vorgaben Geldbußen in Millionenhöhe möglich. Entscheidend ist: Die Bußgelder können gegen das Unternehmen und gegen die verantwortlichen Organmitglieder — also den Geschäftsführer persönlich — verhängt werden.
Die persönliche Haftung des Geschäftsführers ergibt sich aus zwei Strängen. Erstens aus dem GwG selbst, das Vorsatz und Fahrlässigkeit als Tatbestandsvarianten kennt. Zweitens aus dem allgemeinen Gesellschaftsrecht: Ein Geschäftsführer, der gesetzlich vorgeschriebene Compliance-Strukturen nicht einrichtet, handelt pflichtwidrig im Sinne von § 43 GmbHG und kann der Gesellschaft gegenüber schadensersatzpflichtig sein, wenn durch die Pflichtverletzung ein Schaden entsteht — etwa durch behördliche Bußgelder, Transaktionsrückabwicklungen oder Reputationsschäden.
Hinzu tritt das Risiko der strafrechtlichen Verfolgung nach §§ 261 ff. StGB. Wer leichtfertig oder vorsätzlich Geldwäsche ermöglicht, macht sich strafbar — auch als Organ eines Unternehmens. Nach unserer Erfahrung unterschätzen Geschäftsführer im Mittelstand diesen Strang erheblich: Sie sehen sich als unbeteiligte Dritte, obwohl bereits die unterlassene KYC-Prüfung eine strafrechtlich relevante Fahrlässigkeit begründen kann.
Für inhabergeführte Unternehmen mit knapper Managementkapazität ist es daher geboten, die Frage der persönlichen Haftung nicht als abstrakte Compliance-Übung zu behandeln, sondern als konkretes Haftungsrisiko für das eigene Vermögen und die Geschäftsfähigkeit des Unternehmens.
Typische Schwachstellen und Fehler in der Praxis
In der Mandatspraxis sehen wir ein wiederkehrendes Muster: Das Unternehmen hat die GwG-Verpflichtung grundsätzlich erkannt, setzt sie aber lückenhaft um. Die häufigsten Schwachstellen:
- Fehlende oder veraltete Risikoanalyse: Die Risikoanalyse nach § 5 GwG wird einmalig erstellt und danach nicht aktualisiert — obwohl das Gesetz eine regelmäßige Überprüfung und Anpassung verlangt.
- Unvollständige Identifizierung wirtschaftlich Berechtigter: Der wirtschaftlich Berechtigte hinter mehrstufigen Holdingstrukturen wird nicht bis zur natürlichen Person durchgeprüft. Das GwG verlangt die Identifizierung der hinter einer juristischen Person stehenden natürlichen Person, die unmittelbar oder mittelbar mehr als 25 % der Kapitalanteile hält oder kontrolliert.
- Kein dokumentiertes Schulungsnachweis: Mitarbeiterschulungen finden statt, werden aber nicht dokumentiert. Im Bußgeldverfahren fehlt der Entlastungsnachweis.
- Intransparente Auslagerung: Compliance-Funktionen werden an externe Dienstleister vergeben, ohne dass eine wirksame Überwachung stattfindet. Das GwG erlaubt Auslagerung, entbindet aber nicht von der Aufsichtspflicht (§ 6 Abs. 7 GwG).
- Fehlender Umgang mit PEP-Status: Politisch exponierte Personen werden bei der Kundenpflege nicht identifiziert; die Genehmigung der Geschäftsführungsebene für PEP-Beziehungen fehlt.
Was folgt daraus? Wer diese Schwachstellen kennt, kann sie gezielt adressieren — und damit das eigentliche Ziel des GwG erfüllen: die Verhinderung der Nutzung des Unternehmens als Kanal für illegale Gelder.
Praxisorientierter Fahrplan: Geldwäsche-Compliance aufbauen oder verbessern
Der strukturierte Aufbau oder die Überarbeitung eines GwG-Compliance-Systems lässt sich in vier Schritten abbilden, die auch unter den Bedingungen mittelständischer Ressourcenknappheit umsetzbar sind.
Schritt 1 — Bestandsaufnahme und Einordnung:** Zunächst ist zu klären, ob und in welchem Umfang das Unternehmen dem GwG unterliegt. Die Antwort ergibt sich aus dem Tätigkeitsfeld und den tatsächlichen Geschäftsaktivitäten, nicht aus der Unternehmensbezeichnung. Hier ist rechtliche Einordnung geboten, da Abgrenzungsfragen — etwa bei gemischten Tätigkeiten — regelmäßig umstritten sind.
Schritt 2 — Risikoanalyse (§ 5 GwG): Auf Basis der Einordnung wird eine schriftliche Risikoanalyse erstellt, die die unternehmensspezifischen Risikofaktoren systematisch erfasst. Diese ist zu dokumentieren, regelmäßig zu überprüfen und bei wesentlichen Änderungen der Geschäftstätigkeit anzupassen.
Schritt 3 — Interne Richtlinien und Prozesse: Auf der Grundlage der Risikoanalyse werden interne Richtlinien und Verfahrensanweisungen entwickelt, die die gesetzlichen Pflichten in operative Handlungsanweisungen übersetzen: Wer führt die KYC-Prüfung durch? In welcher Form wird dokumentiert? Wann wird eine Verdachtsmeldung erstattet? Wer hat Zugang zum Meldeverfahren bei der FIU?
Schritt 4 — Schulung, Kontrolle und Überprüfung: Das System ist nur so wirksam wie seine Umsetzung. Regelmäßige Schulungen, nachweisliche Protokollierung und interne Audits sichern die fortlaufende Funktionsfähigkeit. Bei Auffälligkeiten oder Änderungen der Rechtslage — etwa nach europäischen Novellen oder nationalen Umsetzungsgesetzen — sind Anpassungen zeitnah vorzunehmen.
Ist die Selbsteinschätzung des Unternehmens zur Risikolage zutreffend? Gerade diese Frage lässt sich ohne externe rechtliche Begleitung schwer beantworten, weil die eigene Wahrnehmung des Risikoprofils häufig verzerrt ist.
Die vorstehende Darstellung betrifft die Regelfälle des GwG-Rechts im Mittelstand. Ihr konkreter Fall erfordert die Prüfung Ihrer Geschäftstätigkeit, Ihrer bestehenden Prozesse und der aktuellen Anforderungen der zuständigen Aufsichtsbehörde. Zur Klärung, ob Ihr Unternehmen dem GwG unterliegt und welcher Handlungsbedarf besteht, wenden Sie sich an info@brandtfalk.com.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein inhabergeführtes Immobilienvermittlungsunternehmen aus dem süddeutschen Raum. Ausgangslage: Das Unternehmen hatte seit Jahren keine formalisierte GwG-Risikoanalyse erstellt und keine schriftlichen KYC-Prozesse dokumentiert — obwohl die Immobilienmakler-Tätigkeit eindeutig dem Verpflichtetenkreis unterfiel. Eine behördliche Anfrage der zuständigen Aufsichtsbehörde war der Anlass für das Mandat. Vorgehen: strukturierte Bestandsaufnahme der tatsächlichen Identifizierungspraktiken, Erstellung einer rückwirkend nachvollziehbaren Risikoanalyse, Aufbau schriftlicher Richtlinien und Schulungsunterlagen sowie Korrespondenz mit der Aufsichtsbehörde. Ergebnis: Das Verfahren wurde ohne förmlichen Bußgeldbescheid abgeschlossen; das Unternehmen verfügte anschließend über ein dokumentationsfähiges Compliance-System. Die konkreten Kosten- und Zeitangaben hängen von den Umständen des Einzelfalls ab.
Selbsteinschätzung für Geschäftsführer: Wann besteht dringender Handlungsbedarf?
Nicht jedes Unternehmen steht vor identischen Risiken. Für Geschäftsführer im Mittelstand empfiehlt sich folgende Prüfung der eigenen Lage:
- Konstellation A — Kein Compliance-System vorhanden, Verpflichtung unklar: Sofortige rechtliche Prüfung der Verpflichtung nach § 2 GwG. Bis zur Klärung: keine Bargeschäfte oberhalb relevanter Schwellen ohne Identifizierung des Vertragspartners.
- Konstellation B — System vorhanden, aber nicht aktualisiert: Überprüfung der Risikoanalyse auf Aktualität; insbesondere Anpassung an neue Kundengruppen, Produktlinien oder geografische Aktivitäten.
- Konstellation C — Aufsichtsbehörde hat sich gemeldet oder Prüfung angekündigt: Unmittelbare anwaltliche Begleitung der Kommunikation mit der Behörde. Selbstauskünfte ohne Rechtsbeistand können die Verhandlungsposition verschlechtern.
- Konstellation D — Verdachtsfall intern erkannt, Meldung noch nicht erstattet: Rechtliche Prüfung, ob eine Meldepflicht nach § 43 GwG besteht, und ggf. unverzügliche Meldung. Verzögerungen begründen eine eigenständige Ordnungswidrigkeit.
Die Entscheidungsmatrix verdeutlicht: Der Handlungsbedarf variiert nach Konstellation, ist aber in keinem der genannten Fälle aufschiebbar. Das Risiko des Zuwartens überwiegt in jedem Szenario das Risiko frühzeitiger Aufarbeitung.
Verwandte Leistungen
Häufige Fragen zur Geldwäsche-Compliance im Unternehmen
Gilt das GwG nur für Finanzunternehmen?
Nein. Der Verpflichtetenkreis des § 2 GwG umfasst neben Banken und Versicherungen auch Immobilienmakler, Steuerberater, Notare, Rechtsanwälte in bestimmten Konstellationen sowie Güterhändler, die Bargeschäfte oberhalb bestimmter Beträge tätigen. Auch Dienstleister, die Gesellschaftsgründungen oder -verwaltungen begleiten, fallen unter das Gesetz. Maßgeblich ist die tatsächliche Tätigkeit, nicht die formale Unternehmensbezeichnung.
Was bedeutet „wirtschaftlich Berechtigter" im Sinne des GwG?
Als wirtschaftlich Berechtigter gilt nach § 3 GwG die natürliche Person, die unmittelbar oder mittelbar mehr als 25 % der Kapitalanteile oder Stimmrechte an einer juristischen Person hält oder auf andere Weise Kontrolle ausübt. Bei mehrstufigen Holdingstrukturen ist die Kette bis zur natürlichen Person vollständig zu verfolgen und zu dokumentieren. Kann kein wirtschaftlich Berechtigter ermittelt werden, greift eine gesetzliche Auffangregelung.
Muss ein Geldwäschebeauftragter bestellt werden?
Die Pflicht zur Bestellung eines Geldwäschebeauftragten nach § 7 GwG trifft bestimmte Verpflichtete abhängig von Unternehmensgröße und Tätigkeitsfeld. Bei kleineren Einheiten kann die Funktion durch den Geschäftsführer selbst wahrgenommen werden. Die zuständige Aufsichtsbehörde kann jedoch im Einzelfall die Bestellung eines eigenständigen Beauftragten anordnen. Die genauen Anforderungen sind im Einzelfall anwaltlich zu prüfen.
Welche Folgen drohen, wenn keine Verdachtsmeldung erstattet wird?
Das Unterlassen einer nach § 43 GwG gebotenen Verdachtsmeldung ist eine eigenständige Ordnungswidrigkeit und kann als solche mit einer Geldbuße geahndet werden. Bei vorsätzlichem Handeln kann zusätzlich eine strafrechtliche Relevanz nach §§ 261 ff. StGB entstehen. Für Geschäftsführer gilt: Im Zweifel ist rechtlicher Rat zur Meldepflicht einzuholen, bevor eine Entscheidung über das Absehen von einer Meldung getroffen wird.
Wie oft muss die Risikoanalyse aktualisiert werden?
Das GwG schreibt keine starre Aktualisierungsfrist vor, verlangt aber eine regelmäßige Überprüfung und Anpassung der Risikoanalyse nach § 5 GwG. Eine Anpassung ist insbesondere geboten, wenn sich die Geschäftstätigkeit, die Kundenstruktur, die Produktpalette oder die einschlägige Gesetzeslage wesentlich verändert. In der Praxis empfiehlt sich mindestens eine jährliche Überprüfung sowie eine anlassbezogene Überarbeitung bei größeren Veränderungen.
Kann die Compliance-Funktion ausgelagert werden?
Das GwG erlaubt in § 6 Abs. 7 GwG grundsätzlich die Auslagerung von Compliance-Funktionen auf Dritte, etwa auf spezialisierte Dienstleister. Die Verantwortung verbleibt jedoch beim verpflichteten Unternehmen. Der Geschäftsführer muss sicherstellen, dass der Dienstleister die gesetzlichen Anforderungen erfüllt und einer wirksamen Überwachung unterliegt. Auslagerung ohne Kontrollstruktur ist aufsichtsrechtlich kein Haftungsausschluss.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der einschlägigen Aufsichtspraxis und der aktuellen Rechtslage. Für eine fachliche Einschätzung Ihrer Situation — ob zur Verpflichtung nach dem GwG, zu bestehenden Lücken in Ihrem Compliance-System oder zu einem laufenden Behördenverfahren — schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.