German 
English 
French 
Dutch 
Einhaltung der AMLR-Vorschriften, Artikel 77 zur Aufbewahrung von Unterlagen und die Einbindung in die EUDI-Wallet
Die EU-Verordnung zur Bekämpfung der Geldwäsche schafft einen unmittelbar geltenden EU-Rahmen für die Aufbewahrung von Aufzeichnungen im Bereich der Geldwäschebekämpfung. Ab dem 10. Juli 2027 müssen die verpflichteten Unternehmen eine Aufbewahrungsfrist von fünf Jahren, eine kontrollierte Löschung sowie ein Verfahren zur Aufbewahrung von Unterlagen nachweisen, das einer aufsichtsrechtlichen Überprüfung standhält. Die AMLR erkennt zudem das „European Digital Identity Wallet“ für die Kundenaufnahme an, wodurch sich die Art der Nachweise, die im Laufe der Zeit aufbewahrt werden müssen, ändert.
Die Aufbewahrung von Unterlagen wird zu einer vorgeschriebenen Kontrollmaßnahme.
Qualifizierte Aufbewahrung und beweiskräftige Archivierung durch einen qualifizierten Vertrauensdienstleister, der in der EU-Vertrauensliste aufgeführt ist.
Warum AMLR für das Archiv von Bedeutung ist
Die AMLR beseitigt einen Großteil der nationalen Unterschiede, die die Aufbewahrungsfristen für AML-Aufzeichnungen gemäß früheren Richtlinien geprägt haben. Artikel 77 legt eine einheitliche Grundlage für alle Mitgliedstaaten fest. Für grenzüberschreitend tätige verpflichtete Unternehmen bedeutet dies ab dem 10. Juli 2027 eine einheitliche Logik für die Aufbewahrung, einheitliche Löschungsvorschriften und einen einheitlichen aufsichtsrechtlichen Maßstab.
Die Auswirkungen auf die Archivierung sind unmittelbar. Unterlagen müssen für den vorgeschriebenen Zeitraum aufbewahrt, auf Anfrage der zuständigen Behörden bereitgestellt und gelöscht werden, sobald die Rechtsgrundlage dafür erlischt. Dies ist nicht mehr nur eine Frage der Richtlinien. Es muss durch die Archivstruktur, die Aufbewahrungskonfiguration und den Prüfpfad unterstützt werden.
Die Aufbewahrungsvorschriften gemäß Artikel 77
Die Fünfjahresfrist.
Artikel 77 Absatz 3 AMLR legt eine einheitliche Frist von fünf Jahren fest Aufbewahrungsfrist beginnend mit dem frühesten der folgenden Zeitpunkte:
- Das Datum, an dem die Geschäftsbeziehung endet
- Das Datum, an dem eine einmalige Transaktion durchgeführt wird
- Der Zeitpunkt, zu dem das verpflichtete Unternehmen die Aufnahme einer Geschäftsbeziehung oder die Durchführung einer einmaligen Transaktion ablehnt
Die Regel über anhängige Verfahren.
Sind am 10. Juli 2027 Gerichtsverfahren anhängig und verfügt ein verpflichtetes Unternehmen über einschlägige Informationen oder Unterlagen, so dürfen diese Unterlagen ab diesem Zeitpunkt fünf Jahre lang aufbewahrt werden. Die Mitgliedstaaten können eine weitere Aufbewahrungsfrist von fünf Jahren gestatten oder vorschreiben, sofern die Notwendigkeit und Verhältnismäßigkeit nachgewiesen sind.
Die Löschungspflicht.
Nach Ablauf von fünf Jahren müssen personenbezogene Daten gelöscht werden, unbeschadet der Aufbewahrungspflichten gemäß anderen EU-Rechtsakten oder nationalen Rechtsvorschriften, die mit der DSGVO im Einklang stehen. Eine unbefristete Aufbewahrung zum Zwecke der Geldwäschebekämpfung ist nicht zulässig.
Die Integritätsregel.
Die gemäß Artikel 77 aufbewahrten Unterlagen müssen weiterhin aufbewahrt werden authentisch, intakt und während der gesamten Aufbewahrungsfrist nutzbar.
Die Verlängerung im Einzelfall.
Die zuständigen Behörden können eine über den Zeitraum von fünf Jahren hinausgehende Aufbewahrung verlangen, jedoch nur im Einzelfall und nur, soweit dies zur Verhinderung, Aufdeckung, Ermittlung oder Strafverfolgung von Geldwäsche oder Terrorismusfinanzierung erforderlich ist. Die weitere Verlängerung darf fünf Jahre nicht überschreiten. Die maximale Aufbewahrungsdauer beträgt somit insgesamt zehn Jahre.
Die Ausnahmeregelung bezüglich der Referenz.
Gemäß Artikel 77 Absatz 2 ist es den verpflichteten Stellen in bestimmten Fällen gestattet, anstelle von Kopien einen Verweis auf Dokumente aufzubewahren; dies gilt jedoch nur, wenn sie in ihren internen Verfahren dokumentieren, (a) welche Kategorien von Informationen als Verweis aufbewahrt werden und (b) welche Verfahren für den Abruf der Informationen auf Anfrage der zuständigen Behörden gelten. Die Ausnahmeregelung ist an Bedingungen geknüpft, muss dokumentiert und überprüfbar sein.
Welche Unterlagen müssen aufbewahrt werden?
In Artikel 77 Absatz 1 AMLR ist eine erschöpfende Auflistung der Dokumente und Informationen enthalten, die aufbewahrt werden müssen. Die Liste umfasst:
Unterlagen zur Kundenüberprüfung
Kopien von Dokumenten und Informationen, die im Rahmen der Kundenüberprüfung gemäß Kapitel III der AMLR erhoben wurden, einschließlich Informationen, die mittels elektronischer Identifizierungsverfahren gewonnen wurden.
Aufzeichnungen zur Risikobewertung
Aufzeichnungen über gemäß Artikel 69 Absatz 2 durchgeführte Prüfungen, einschließlich solcher Prüfungen, die nicht zur Meldung einer verdächtigen Transaktion geführt haben. Interne AML-Prüfungen, die nie bei der FIU eingehen, unterliegen dennoch der Aufbewahrungspflicht und der aufsichtsrechtlichen Überprüfung.
Transaktionsdatensätze
Die Belege und Transaktionsunterlagen, bestehend aus Originaldokumenten oder zulässigen Kopien, die zur Identifizierung der Transaktionen erforderlich sind.
Aufzeichnungen zu Geschäftsbeziehungen
Unterlagen und Korrespondenz im Zusammenhang mit Geschäftsbeziehungen sowie mit gelegentlichen Transaktionen, die unter die AMLR fallen.
Aufzeichnungen zur Partnerschaft im Bereich des Informationsaustauschs
Sofern verpflichtete Stellen an Partnerschaften zum Informationsaustausch gemäß Kapitel VI der AMLR teilnehmen, sind Kopien der im Rahmen dieser Partnerschaften erhaltenen Unterlagen und Informationen vorzulegen.
Aufzeichnungen über verdächtige Aktivitäten
Meldungen an die FIU und die
begleitende Unterlagen, die
hat sie gerechtfertigt.
Die Liste ist vollständig. Die betroffenen Stellen sollten es daher vermeiden, den Geltungsbereich durch lokale Auslegungen einzuschränken. Das Archiv muss diese Aktenklassen einheitlich unterstützen.
Die Dimension des EUDI-Wallets und ihre Bedeutung für die Langzeitarchivierung
Dahinter verbirgt sich eine zweite Änderung. Artikel 22 der AMLR-Verordnung legt ausdrückliche Anforderungen an die Kundenidentifizierung aus der Ferne fest und erkennt das „European Digital Identity Wallet“ (EUDIW) sowie „Qualified Electronic Attestations of Attributes“ (QEAAs) als gültige Identifizierungsmechanismen an.
Gemäß eIDAS 2.0 tritt die Annahmepflicht für vertrauende Parteien gemäß Artikel 5 septies Absatz 2 am 24. Dezember 2027 in Kraft, sechs Monate nach Inkrafttreten der AMLR. Ab diesem Zeitpunkt müssen regulierte Unternehmen, einschließlich Finanzinstitute, das EUDI-Wallet zur Identifizierung und Authentifizierung in festgelegten Anwendungsfällen akzeptieren.
Dies verändert den Charakter der Onboarding-Unterlagen. Anstatt lediglich Kopien von Dokumenten zu speichern, müssen Unternehmen möglicherweise unterzeichnete Wallet-Präsentationen, Attributbescheinigungen, Zeitstempel, den Kontext der Sicherheitsüberprüfung sowie den Widerrufsstatus in der Form aufbewahren, wie sie zum Zeitpunkt der Identifizierung vorlagen.
Warum dies für das Archiv von Bedeutung ist
Dieses Nachweispaket muss während der gesamten, gemäß Artikel 77 vorgeschriebenen Aufbewahrungsfrist von fünf Jahren sowie – im Falle einer Verlängerung im Einzelfall – möglicherweise bis zu zehn Jahren gültig und überprüfbar bleiben. Nachweise für die Registrierung über eine Wallet basieren auf kryptografischen Artefakten, die ihrerseits dem Ablauf von Zertifikaten, Algorithmusänderungen und Änderungen in der Sperrinfrastruktur unterliegen. Ohne aktive Aufbewahrung können die Nachweise bereits vor Ablauf der Aufbewahrungsfrist ihre Überprüfbarkeit verlieren.
Für viele Organisationen wird Speicherplatz allein nicht ausreichen.
Das Archiv sollte Folgendes unterstützen:
Langfristige Validierung von Wallet-Darstellungen
Die Signatur bei der Vorlage einer Wallet hängt von Zertifikaten und Vertrauensketten ab, die möglicherweise ablaufen oder außer Kraft gesetzt werden. Für eine langfristige Validierung ist es erforderlich, dass der Verifizierungskontext zum Zeitpunkt der Erfassung zusammen mit der Vorlage selbst aufbewahrt wird.
Nachweisdokumente gemäß ETSI TS 119 511
ETSI TS 119 511 definiert Richtlinien und Sicherheitsanforderungen für Langzeitkonservierung mithilfe digitaler Signaturverfahren, darunter Beweisunterlagen, Zeitstempel und Verlängerungsmechanismen. Es handelt sich um die maßgebliche Norm für die durch QTSP gestützte qualifizierte Aufbewahrung unter Verwendung dieser Techniken.
Algorithmusaktualisierung durch Erweiterung
Die in Wallet-Bescheinigungen verwendeten kryptografischen Algorithmen werden im Laufe der Zeit als veraltet gelten. Ein Archiv zur Aufbewahrung sollte die kryptografische Erneuerung unterstützen, damit der Beweiswert auch dann erhalten bleibt, wenn den ursprünglichen Algorithmen kein Vertrauen mehr entgegengebracht wird. Das in ETSI TS 119 511 definierte Erweiterungsprofil stellt hierfür den formalen Mechanismus dar.
Aufbewahrung qualifizierter elektronischer Bescheinigungen von Merkmalen
Im Rahmen von eIDAS 2.0 ausgestellte QEAAs verfügen über eigene Gültigkeitszeiträume. Durch die Aufbewahrung dieser QEAAs zusammen mit den Ausstellungsdaten können die verpflichteten Stellen auch Jahre später nachweisen, dass die Identität von einem qualifizierten Aussteller auf der richtigen Sicherheitsstufe überprüft wurde.
Der durch das QTSP geförderte Weg zur Erhaltung
Die langfristige Aufbewahrung qualifizierter Beweismittel kann selbst als regulierter Vertrauensdienst erbracht werden. Docbyte ist in der EU-Vertrauensliste als qualifizierter Vertrauensdienstleister für die qualifizierte Aufbewahrung qualifizierter elektronischer Signaturen und qualifizierter elektronischer Siegel gemäß den Artikeln 34 und 40 der eIDAS-Verordnung aufgeführt. Wenn Nachweise für die Wallet-basierte Registrierung über einen längeren Zeitraum hinweg überprüfbar bleiben müssen, ist ein von einem QTSP unterstützter Aufbewahrungsweg in Betracht zu ziehen.
Für die verpflichteten Unternehmen ist die Entscheidung über die Aufbewahrung von Unterlagen nun enger mit der Entscheidung über die Kundenaufnahme verknüpft. Der gewählte Aufbewahrungsansatz bestimmt, ob die Nachweise zur Kundenidentifizierung (CDD) im Jahr 2032 bzw. 2037 noch technisch überprüfbar und als Beweismittel verwertbar sind.
Was AMLR vom Archiv erwartet
Die AMLR ist keine Archivierungsvorschrift im engeren Sinne, doch gemäß Artikel 77 stellt die Aufbewahrung von Unterlagen eine Kontrollmaßnahme dar, die von den Aufsichtsbehörden überprüft werden kann.
Aufbewahrungsvorschriften nach Aktenklasse
Für verschiedene Datensätze beginnt die fünfjährige Aufbewahrungsfrist je nach Ereignis zu unterschiedlichen Zeitpunkten. Das Archiv muss die Aufbewahrungsregeln je nach Datensatztyp und je nach Beziehung anwenden und darf nicht auf eine einzige globale Aufbewahrungsrichtlinie zurückgreifen.
Löschung auf Prüfungsniveau
Nach Ablauf einer Aufbewahrungsfrist muss die Löschung zuverlässig und nachweisbar erfolgen. Die Vorgesetzten werden überprüfen, ob personenbezogene Daten tatsächlich gelöscht und nicht lediglich gekennzeichnet wurden. In den Prüfprotokollen muss ersichtlich sein, was wann und auf wessen Anweisung hin gelöscht wurde.
Aufbewahrungspflicht im Rahmen von Verlängerungen im Einzelfall
Wenn eine zuständige Behörde die Aufbewahrungsfrist verlängert, muss das Archiv eine dokumentierte Aufbewahrungsanordnung unterstützen, die über die reguläre Ablauffrist hinaus Bestand hat. Die Aufbewahrungsanordnung muss nachprüfbar und bei Ablauf der Verlängerung rückgängig machbar sein.
Integrität während der gesamten Aufbewahrungsfrist
Aufzeichnungen müssen authentisch, unversehrt und abrufbar bleiben. Formatveralterung, Systemmigrationen und der Ablauf von Zertifikaten dürfen den Beweiswert nicht beeinträchtigen.
Abrufbarkeit für Vorgesetzte
Die Aufzeichnungen müssen den zuständigen Behörden auf Verlangen in einer Form vorgelegt werden können, die es ermöglicht, die Identität des Kunden, seine Geschäftstätigkeit sowie die zum Zeitpunkt des ursprünglichen Vorfalls getroffenen Risikobewertungen nachzuvollziehen.
Rückverfolgbarkeit von Ausnahmeregelungen
Werden anstelle von Kopien Verweise aufbewahrt, muss das Abrufverfahren auch unter Prüfungsdruck – oft noch Jahre nach dem ursprünglichen Ereignis – zuverlässig funktionieren. Das Archiv muss beide Verfahren unterstützen.
Überprüfbarkeit von Wallet-Nachweisen
Da EUDIW und QEAAs zu primären Identifikationsmitteln werden, sollte das Archiv kryptografische Nachweise zur Erstanmeldung in einer Form aufbewahren, die über den gesamten Aufbewahrungszeitraum hinweg überprüfbar bleibt. Die langfristige Validierung, die Aufzeichnung von Nachweisen und deren Ergänzung gewinnen dabei erheblich an Bedeutung.
Grenzüberschreitende Einheitlichkeit
Grenzüberschreitend tätige verpflichtete Unternehmen werden anhand eines einheitlichen AMLR-Standards beaufsichtigt. Das Archiv muss in allen betroffenen Rechtsordnungen dieselben Regeln anwenden.
Wie Docbyte Vault die Vorbereitung auf AMLR unterstützt
Docbyte Vault ist eine Archivierungsplattform, die auf das OAIS-Referenzmodell und die ETSI-Standards für die Langzeitarchivierung abgestimmt ist. Docbyte ist in der EU-Vertrauensliste als qualifizierter Vertrauensdienstleister für Fachgerechte Konservierung über qualifizierte elektronische Signaturen und qualifizierte elektronische Siegel gemäß den Artikeln 34 und 40 der eIDAS-Verordnung.
Konfigurierbare Aufbewahrungsfrist nach Datensatzklasse
Vault Admin verwaltet Aufbewahrungsrichtlinien pro Datensatztyp, wobei Starttermine so konfiguriert werden können, dass sie mit Ereignissen gemäß Artikel 77 übereinstimmen, wie beispielsweise dem Ende einer Geschäftsbeziehung, dem Transaktionsdatum und dem Datum der Ablehnung. Für denselben Kunden können mehrere Aufbewahrungsrichtlinien parallel gelten.
01
Löschung auf Prüfungsniveau
Datensätze werden planmäßig gelöscht, wobei vollständige Prüfprotokolle geführt werden. Löschvorgänge sind nachverfolgbar und überprüfbar.
02
Rechtliche Aufbewahrungspflicht mit lückenloser Rückverfolgbarkeit
Vault unterstützt rechtliche Aufbewahrungsanordnungen, die die geplante Löschung außer Kraft setzen. Für die Aufbewahrungsanordnung gibt es einen eigenen Prüfpfad, aus dem hervorgeht, wer sie angewendet hat, auf welcher Rechtsgrundlage dies geschah und wann sie aufgehoben wurde.
03
Integrität im Laufe der Zeit
Die Aufzeichnungen werden mit Integritätsprüfungen, Zeitstempeln und Nachweisaufzeichnungen gemäß ETSI TS 119 511 und 119 512 aufbewahrt. Die Integrität kann auch bei Weiterentwicklungen der kryptografischen Algorithmen gewährleistet werden.
04
Authentische Erhaltung
Vault bewahrt Unterlagen in ihrer authentischen Form auf. Werden für andere Zwecke abgeleitete Kopien erstellt, kann das Original parallel dazu aufbewahrt werden.
05
Referenz- und Kopiermodi
Vault unterstützt sowohl die vollständige Kopienarchivierung als auch die referenzbasierte Archivierung Abruf. Wird von der Ausnahmeregelung gemäß Artikel 77 Absatz 2 Gebrauch gemacht, können Abrufverfahren definiert und getestet werden.
06
Langfristige Validierung von Wallet-Nachweisen
Vault bewahrt den Verifizierungskontext für EUDI-Wallet-Präsentationen und QEAAs auf und wendet Nachweisaufzeichnungen, Zeitstempel und Erweiterungen gemäß ETSI TS 119 511 an. Workflows zur Erneuerung von Nachweisen bei kryptografischen Änderungen sind bereits im Produktivbetrieb einsatzbereit.
07
Qualifizierte Denkmalpflege, gestützt durch den QTSP-Status
Für Organisationen, die einen von der QTSP unterstützten Weg für den Nachweis der Kundenanmeldung über eine digitale Geldbörse benötigen, kann Docbyte die langfristige Validierung und die Erneuerung von Nachweisen mit seinem Status als „Qualified Preservation“-Anbieter kombinieren.
08
Zugang für Inspektoren
Vault Explorer bietet Inspektoren und Prüfern einen kontrollierten, zeitlich begrenzten Zugriff, ohne dass die operativen Systeme offengelegt werden. Jeder Zugriff wird protokolliert.
09
Grenzüberschreitende Einheitlichkeit
Eine einzige Vault-Bereitstellung kann verpflichtete Unternehmen in mehreren Rechtsräumen mit einheitlichen, an die AMLR angepassten Richtlinien bedienen.
10
Für wen dies von Bedeutung ist
Für Banken und Finanzinstitute
Die AMLR ersetzt die nationalen Umsetzungsvorschriften der AMLD, auf die sich viele Finanzinstitute bisher gestützt haben. Interne Richtlinien zur Aufbewahrung von Unterlagen, Archivkonfigurationen und Löschverfahren müssen rechtzeitig vor dem 10. Juli 2027 im Hinblick auf Artikel 77 überprüft werden. Die Akzeptanz von Wallets erfolgt ab dem 24. Dezember 2027. Vault bietet eine Aufbewahrungsebene für die durch die AMLR formalisierten Kontrollen sowie für die durch die EUDIW eingeführte längerfristige Aufbewahrung von Nachweisen.
Für Versicherungsgesellschaften
Viele Versicherung Die Produkte fallen im Rahmen von Lebensversicherungen, fondsgebundenen Versicherungen und bestimmten Anwendungsfällen im Bereich der allgemeinen Versicherung in den Geltungsbereich der AMLR. Unterlagen zur Kundenidentifizierung, risikobewertungen im Zusammenhang mit Versicherungsansprüchen sowie Daten zu wirtschaftlichen Eigentümern unterliegen der Aufbewahrungspflicht gemäß Artikel 77.
Für Buchhalter, Wirtschaftsprüfer und Steuerberater
Die AMLR gilt unmittelbar für den gesamten Berufsstand der Wirtschaftsprüfer. Kleinere Kanzleien, die sich bisher bei der Führung von Aufzeichnungen im Rahmen der Geldwäschebekämpfung auf nationale Vorschriften stützten, werden künftig einem einheitlichen EU-Standard unterliegen.
Für die Immobilienbranche, den Rechtsbereich und andere betroffene Branchen
Immobilienmakler, Notare, Rechtsanwälte, die bestimmte Transaktionen abwickeln, Glücksspielanbieter und andere nicht im Finanzsektor tätige verpflichtete Stellen fallen ebenfalls in den Anwendungsbereich. Durch die AMLR wird die Aufzeichnungspflicht im Rahmen der Geldwäschebekämpfung von einer nationalen Auslegungsfrage zu einem unmittelbar geltenden Standard.
Für Anbieter von Krypto-Asset-Dienstleistungen
Die AMLR dehnt die AML-Verpflichtungen ausdrücklich auf CASPs aus. Die Daten zur Kundenidentifizierung, zu Transaktionsaufzeichnungen und zur „Travel Rule“ müssen gemäß Artikel 77 aufbewahrt werden.
Für Datenschutzbeauftragte
Artikel 77 legt eine feste Obergrenze für die Aufbewahrungsfrist von AML-Daten fest und schreibt deren Löschung nach Ablauf von fünf Jahren zwingend vor. Dies steht in direktem Zusammenhang mit dem Grundsatz der Datenminimierung gemäß der DSGVO.
Für Teams im Bereich digitale Identität und Onboarding
Die Akzeptanz der EUDI-Wallet wird für vertrauende Parteien ab dem 24. Dezember 2027 verpflichtend. Der Nachweis der Registrierung wird sich von Dokumentkopien hin zu kryptografischen Darstellungen, Attributbescheinigungen und Verifizierungskontexten verlagern. Das Archiv, in dem diese Nachweise gespeichert werden, muss diese während der gesamten Aufbewahrungsfrist gemäß Artikel 77 überprüfbar aufbewahren. Vault vereint langfristige Validierung, Nachweisprotokolle, Ergänzung sowie einen von einem QTSP unterstützten Aufbewahrungsweg für Organisationen, die im Laufe der Zeit eine stärkere Nachweissicherheit benötigen.
Entsprechender Kundenbeleg
EDR Credit Services: Intelligente Dokumentenverarbeitung für Finanzabläufe
EDR Credit Services nutzt Docbyte zur Automatisierung der Dokumentenklassifizierung, -extraktion und -anonymisierung für Finanzworkflows mit hohem Datenaufkommen. Der Fall veranschaulicht, wie regulierte Prozesse im Bereich der Finanzdokumente gleichzeitig nachprüfbar und effizient gestaltet werden können.
FEDERALE Insurance: Selbstlernende Klassifizierung in großem Maßstab
FEDERALE Insurance nutzt Docbyte für die zentrale, klassifizierte Dokumentenverwaltung abteilungsübergreifend. Das Beispiel verdeutlicht, wie Compliance und Kundenservice über dieselbe Infrastruktur abgedeckt werden können.
Häufig gestellte Fragen
Ab wann gilt die AMLR für meine Organisation?
Die AMLR trat am 9. Juli 2024 in Kraft und gilt ab dem 10. Juli 2027. Ab diesem Zeitpunkt gelten die Aufbewahrungsvorschriften gemäß Artikel 77 einheitlich in der gesamten EU und ersetzen die nationalen Umsetzungen früherer Geldwäscherichtlinien. Die Vorbereitungen sollten rechtzeitig vor diesem Datum beginnen, insbesondere für grenzüberschreitend tätige Verpflichtete, die ihre nach unterschiedlichen nationalen Vorschriften geführten Unterlagen an die neuen Vorschriften anpassen müssen.
Wie funktioniert die Interaktion zwischen AMLR und der EUDI-Wallet?
Artikel 22 der AMLR erkennt das „European Digital Identity Wallet“ und qualifizierte elektronische Bescheinigungen von Attributen als gültige Mittel zur Kundenidentitätsprüfung bei der Fern-Kundenanmeldung an. Gemäß Artikel 5 septies Absatz 2 der eIDAS-Verordnung 2.0 müssen regulierte Unternehmen, einschließlich Finanzinstitute, ab dem 24. Dezember 2027 das EUDI-Wallet zur Identifizierung in festgelegten Szenarien akzeptieren.
Für das Archiv bedeutet dies, dass CDD-Datensätze zunehmend Nachweise aus kryptografischen Wallets enthalten werden und nicht mehr nur Kopien von Dokumenten. Dies deutet auf eine langfristige Validierung, die Erstellung von Nachweisdokumenten, die Ergänzung von Daten sowie in einigen Fällen auf einen von QTSP unterstützten qualifizierten Aufbewahrungsweg hin, der eine stärkere langfristige Beweissicherheit gewährleistet.
Ist meine Organisation eine verpflichtete Stelle im Sinne der AMLR?
Die AMLR behält die Liste der verpflichteten Unternehmen aus früheren Geldwäscherichtlinien bei und erweitert sie. Dazu gehören Kreditinstitute, Finanzinstitute, Versicherungsunternehmen für bestimmte Produkte, Wertpapierfirmen, Zahlungsdienstleister, Krypto-Asset-Dienstleister, Glücksspielanbieter, Wirtschaftsprüfer, Steuerberater, Notare, Rechtsanwälte bei bestimmten Transaktionen, Immobilienmakler, Händler mit hochwertigen Gütern oberhalb festgelegter Schwellenwerte sowie weitere. Artikel 3 der AMLR enthält die vollständige Liste.
Wie sieht die fünfjährige Aufbewahrungsfrist in der Praxis aus?
Artikel 77 Absatz 3 legt eine einheitliche Aufbewahrungsfrist von fünf Jahren fest. Die fünfjährige Frist beginnt mit dem frühesten der folgenden Zeitpunkte: Beendigung der Geschäftsbeziehung, dem Datum einer einmaligen Transaktion oder dem Datum, an dem das verpflichtete Unternehmen die Aufnahme einer Geschäftsbeziehung oder die Durchführung einer Transaktion ablehnt. Nach Ablauf von fünf Jahren müssen personenbezogene Daten gelöscht werden, sofern kein anderes Unionsrecht oder nationales Recht etwas anderes vorsieht. Die zuständigen Behörden können im Einzelfall eine längere Aufbewahrungsfrist bis zu einer Gesamtdauer von höchstens zehn Jahren verlangen.
Können Datensätze durch Verweise ersetzt werden?
Gemäß Artikel 77 Absatz 2 dürfen bestimmte Unterlagen und Informationen als Verweise anstelle von Kopien aufbewahrt werden, sofern die verpflichtete Stelle in ihren internen Verfahren Folgendes dokumentiert hat: (a) die Kategorien von Informationen, für die Verweise aufbewahrt werden, und (b) die Verfahren zum Abruf der Informationen für die zuständigen Behörden auf Anfrage. Die Ausnahmeregelung bezüglich der Verweise entbindet nicht von der Verpflichtung, die eigentlichen Unterlagen auf Anfrage vorzulegen.
Inwiefern steht die AMLR im Zusammenhang mit der DSGVO?
Die Aufbewahrungsfrist gemäß AMLR ist zweckgebunden auf die Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AML/CFT) und auf fünf Jahre begrenzt, wobei eine Verlängerung auf zehn Jahre im Einzelfall möglich ist. Die DSGVO schreibt die Datenminimierung und die Begrenzung der Speicherdauer vor. Die Löschung gemäß Artikel 77 nach Ablauf von fünf Jahren setzt die Speicherbegrenzung im AML-Kontext um. Sofern eine Aufbewahrung über fünf Jahre hinaus durch anderes Unionsrecht oder nationales Recht vorgeschrieben ist, muss diese sekundäre Rechtsgrundlage ihrerseits mit der DSGVO im Einklang stehen.
Bereiten Sie Ihr Archiv für den 10. Juli 2027 vor
Artikel 77 der AMLR gilt ab dem 10. Juli 2027. Die Akzeptanz des EUDI-Wallets folgt am 24. Dezember 2027. Falls Ihr derzeitiges Archiv in erster Linie für die Speicherung und den Abruf konzipiert wurde, ist dies der richtige Zeitpunkt, um zu prüfen, ob es auch die Löschdisziplin, den aufsichtsrechtlichen Abruf und die langfristige Überprüfbarkeit von Onboarding-Nachweisen unterstützt.