Verstoß gegen Art. 26 AMLR
Wer trägt bei lückenhafter KI-Governance künftig die Haftung?

Unterföhring bei München, 28.07.2026 (PresseBox) - I. Warum Sie diesen Beitrag lesen sollten

Der aktuelle AMLA-Leitlinienentwurf definiert die künftigen EU-Standards für KYC-Refresh und Transaktionsmonitoring und löst bisherige BaFin-Vorgaben schrittweise ab. Er bringt strengere Prüfpflichten, neue KI-Governance-Regeln und eine erweiterte Überwachung von Geschäftsbeziehungen. Solange die Konsultationsphase läuft, besteht die Chance, aktiv Stellung zu beziehen – bevor die prozessualen und technischen Änderungen rechtlich bindend werden.

II. Fristen und zeitliche Vorgaben

2. Juli 2026 (10:00–12:00 Uhr MESZ): Virtuelle öffentliche Anhörung der AMLA zu den Leitlinienentwürfen.
31. August 2026: Interne Wunschfrist des VIB – bis dahin sollen Mitglieder ihre Anmerkungen per E-Mail einreichen, damit der Verband sie bündeln kann.
3. September 2026 (23:59 Uhr MESZ): Offizielle und verbindliche Frist der AMLA für Stellungnahmen im Konsultationsverfahren.

III. Pflichten für C-Level, Geldwäschebeauftragte und Compliance

Aus den vorgeschlagenen Leitlinien ergeben sich für die drei Rollen unterschiedliche Pflichtenpakete – vom operativen Detail bis zur strategischen und finanziellen Verantwortung.

1. Geldwäschebeauftragte (AML Officer) – operative Umsetzung Sie übersetzen die Leitlinien in tägliche Prozesse und Arbeitsanweisungen: Aufsetzen eines Prozesses zur ID-Erneuerung mit Risikokriterien, wann ein abgelaufenes Ausweisdokument akzeptiert wird und wann ein neues zwingend anzufordern ist; Erweiterung des Ad-hoc-Katalogs um Ereignisse, die eine sofortige außerordentliche Kundenüberprüfung auslösen (z. B. Änderungen der Eigentümerverhältnisse); Etablierung eines Aussetzungs-Prozesses zum temporären Einfrieren von Transaktionen als Zwischenstufe vor endgültiger Kündigung (Abschnitt 2.5); und – im Nicht-Finanzsektor – Kontrollen für Kunden-„Aktivitäten" auch ohne permanente Geldbewegungen.

2. Compliance – regulatorische Steuerung Compliance koordiniert die Stellungnahme (interne Rückmeldungen sammeln und bis 31. August 2026 an den VIB steuern), setzt gemeinsam mit der IT Prüfprozesse für Algorithmen und ML-Modelle auf (die Pflicht zur „Erklärbarkeit" gegenüber der Aufsicht erfordert lückenlose Dokumentation der Systemlogik) und passt die internen Richtlinien an, da die AMLA-Leitlinien Vorrang vor nationalen Auslegungshinweisen (BaFin-AuAs zum GwG) erhalten.

3. C-Level (Vorstand/Geschäftsführung) – strategische Absicherung Die Geschäftsführung haftet persönlich für die ordnungsgemäße Organisation: Sie muss Budget und Ressourcen für neue IT-Systeme, Software-Updates und Fachpersonal freigeben, die KI-Governance-Struktur für das Monitoring formell absegnen und die regulatorische Verantwortung dafür übernehmen sowie den Rahmen definieren, in dem der Geldwäschebeauftragte Geschäftseinschränkungen eigenständig verhängen darf.

IV. Haftungsrisiken bei der Pflichtenerfüllung

Die haftungskritischen Risiken entstehen an der Brücke zwischen neuem EU-Recht und bestehenden nationalen Haftungsnormen.

1. Operative Kernnormen (EU-Ebene) Die Leitlinien konkretisieren die EU-Geldwäscheverordnung (AMLR – Verordnung (EU) 2024/1624). Art. 26 Abs. 1 AMLR (laufende Überwachung) – die Ausweitung auf „Aktivitäten" erhöht das Risiko, Auffälligkeiten im Nicht-Finanzsektor zu übersehen. Art. 26 Abs. 5 AMLR (Aktualisierungspflicht) – ein lückenhaftes System beim Ad-hoc-Refresh ist ein direkter Verstoß.

2. Haftungsnormen für den Geldwäschebeauftragten (GwB) § 261 StGB (Geldwäsche): Winkt das Monitoring-System – etwa wegen mangelhafter KI-Governance – eine offensichtliche Transaktion durch, droht Strafbarkeit wegen leichtfertiger Geldwäsche (§ 261 Abs. 6 StGB). § 56 GwG (Bußgeld): Systematische Mängel bei KYC-Refresh oder Monitoring sind Ordnungswidrigkeiten mit Bußgeldern bis zu 5 Mio. Euro oder 10 % des Gesamtumsatzes. § 13 StGB (Unterlassen/Garantenstellung): Setzt der GwB die Leitlinien (z. B. Sperrung bei fehlenden Kundendaten) nicht oder verspätet um, haftet er persönlich durch Unterlassen.

3. Haftungsnormen für Compliance & C-Level § 130 OWiG (Verletzung der Aufsichtspflicht): Kernrisiko für C-Level und CCO – etwa wenn Budgets für KI-Governance-Tools oder Daten-Feeds nicht bereitgestellt werden und es dadurch zu Verstößen kommt. § 91 Abs. 2 AktG / § 43 GmbHG (Risiko-Frühwarnsystem, Sorgfaltspflicht): Eine Geschäftsführung, die technische Upgrades für komplexe, aggregierte Zahlungsströme blockiert, haftet zivilrechtlich (Innenhaftung). § 9 Abs. 1 Nr. 2 OWiG (Haftung von Beauftragten): Mit ausdrücklicher Pflichtenübertragung geht die bußgeldrechtliche Verantwortung auf GwB bzw. Compliance-Leitung über.

Haftungs-Fazit: Die größte Gefahr droht dem GwB über den Vorwurf der Leichtfertigkeit (§ 261 StGB) bei fehlerhaft dokumentierter Risikoanalyse oder KI-Monitoring; dem C-Level drohen Bußgelder über § 130 OWiG, wenn die IT-Infrastruktur nicht an die AMLA-Standards angepasst wird.

V. Umsetzungsfahrplan und Lösungsempfehlungen

Unternehmen sollten bereits die Konsultationsphase zur Vorbereitung nutzen; das Fenster für aktive Einflussnahme über den Verband schließt am 31. August.

1. Sofortmaßnahmen für Compliance & Legal (kurzfristig) Gap-Analyse starten: den Status quo der internen Richtlinien (BaFin-AuAs) mit den AMLA-Entwürfen vergleichen und dokumentieren, welche neuen Anforderungen (z. B. Überwachung von „Aktivitäten" statt nur Transaktionen) technisch noch nicht umsetzbar sind. Stellungnahme rechtzeitig vor dem 31. August 2026 beim VIB einreichen und dabei praxisferne, unklare Formulierungen benennen, um Auslegungsrisiken zu minimieren. KI-Dienstleister in die Pflicht nehmen: schriftliche Nachweise zur „Erklärbarkeit" der Algorithmen anfordern, um dem Vorwurf der Blackbox-Nutzung vorzubeugen.

2. Operative Vorbereitung für den Geldwäschebeauftragten (mittelfristig) Matrixbasierten Kriterienkatalog für abgelaufene Ausweise definieren (schützt vor dem Vorwurf der Leichtfertigkeit nach § 261 StGB). Trigger-Liste für Ad-hoc-Prüfungen erstellen (z. B. Änderung der Gesellschafterstruktur > 25 %, plötzliche Transaktionen in Drittstaaten). Eskalationsprozess für Kontosperrungen (Abschnitt 2.5) skizzieren: Wer entscheidet über die Aussetzung, und welche Kundenkommunikation vermeidet Reputationsschäden ohne den Verdacht des „Tipping-off"?

3. Strategische Weichenstellungen für das C-Level (Budget & Risiko) Sonderbudget für IT-Upgrades einplanen: Die manuelle Überwachung aggregierter Zahlungsströme und kontinuierlicher Ad-hoc-Prüfungen ist bei größeren Kundenbeständen personell nicht leistbar – bereits für 2027 Budgets für automatisierte KYC-Feeds (z. B. Handelsregister-Anbindungen) und bessere Monitoring-Tools vorsehen. Risikoappetit für den Nicht-Finanzsektor klären und abwägen, ab wann eine lückenlose Überwachung von „Aktivitäten" datenschutzrechtlich (DSGVO) bedenklich wird oder das Kerngeschäft blockiert.

VI. Resümee

Die neuen AMLA-Leitlinien zu KYC-Refresh und Transaktionsmonitoring verschärfen die Pflichten der Verpflichteten drastisch: Geldwäschebeauftragte passen ihre Prozesse an, Compliance sichert die rechtliche KI-Erklärbarkeit ab, und das C-Level muss die notwendigen IT-Budgets freigeben. Die Konsultationsphase bis Ende August 2026 sollte aktiv genutzt werden, um Haftungsrisiken abzuwehren.

VII. Quellenverzeichnis

Anti-Money Laundering Authority (AMLA), Consultation Paper Draft Guidelines on ongoing monitoring of a business relationship under Article 26(5) of Regulation (EU) 2024/1624, veröffentlicht am 03.06.2026:https://www.amla.europa.eu/..., abgerufen am 06.07.2026.