PEP-Prüfung: Was sie für Ihr Unternehmen bedeutet

Die PEP-Prüfung ist die gesetzlich verpflichtende Identifikation politisch exponierter Personen im Geschäftsverkehr. Nach § 1 Abs. 12 Geldwäschegesetz (GwG) gelten Inhaber hochrangiger öffentlicher Ämter – sowie deren Familienangehörige und nahestehende Personen – als PEP. Mit dieser Eigenschaft ist grundsätzlich ein verstärktes Geldwäsche-Risiko verbunden. Unternehmen müssen strengere Sorgfaltspflichten erfüllen, die Geschäftsbeziehung bleibt aber erlaubt. Die Prüfung ist keine einmalige Angelegenheit, sondern erfordert kontinuierliche Überwachung und lückenlose Dokumentation.

Warum betrifft die PEP-Prüfung zunehmend mittelständische Unternehmen?

Ein Vertrag mit einem neuen Lieferanten steht kurz vor der Unterschrift. Die Konditionen stimmen, die Referenzen überzeugen, die Geschäftsführung drängt. Dann taucht der Name in einer PEP-Datenbank auf. Was nun? Vertrag platzen lassen? Risiko eingehen?

Lange Zeit galt die Prüfung politisch exponierter Personen als Domäne der Finanzindustrie. Das ändert sich. Unternehmen aus Maschinen- und Anlagenbau, Logistik und technischer Dienstleistung geraten zunehmend in regulatorische Zusammenhänge, die eine PEP-Prüfung erforderlich machen – etwa bei öffentlichen Ausschreibungen, Beteiligungen oder internationalen Partnerschaften.

Der Hintergrund: Mit politischen Ämtern geht ein erhöhtes Risiko für Bestechung, Korruption und Geldwäsche einher. Der Gesetzgeber hat deshalb festgelegt, dass mit der PEP-Eigenschaft grundsätzlich immer ein verstärktes Geldwäsche-Risiko verbunden ist. Unternehmen müssen strengere Sorgfaltspflichten erfüllen – zusätzlich zu den allgemeinen Sorgfaltspflichten nach § 15 Geldwäschegesetz^[7].

Die Anforderungen sind rein präventiver Art. Politisch exponierte Personen sollen nicht stigmatisiert werden, als seien sie per se an strafbaren Handlungen beteiligt. Geschäfte mit PEPs sind grundsätzlich erlaubt. Die Prüfpflicht bedeutet nicht Geschäftsverbot, sondern Sorgfaltspflicht.

Welche Personen gelten als politisch exponiert?

Die EU-Kommission hat am 1. August 2006 die Richtlinie 2006/70/EG zur Definition politisch exponierter Personen erlassen^[9]. Die EU-weite Liste der wichtigen öffentlichen Ämter (C/2023/724) umfasst alle 27 EU-Mitgliedstaaten sowie Organe und Einrichtungen der Europäischen Union^[3]. Dazu zählen:

• Staats- oder Regierungschefs
• Minister, stellvertretende Minister und Staatssekretäre
• Parlamentsabgeordnete
• Mitglieder der Europäischen Kommission
• Mitglieder der Führungsgremien politischer Parteien
• Mitglieder von obersten Gerichtshöfen und Verfassungsgerichtshöfen

Die Sorgfaltspflichten erstrecken sich zudem auf unmittelbare Familienangehörige von PEPs sowie auf bekanntermaßen nahestehende Personen^[1]. Das erweitert den Prüfkreis erheblich: Nicht nur der Minister selbst, sondern auch dessen Ehepartner, Kinder, Eltern oder enge Geschäftspartner können unter die verstärkten Sorgfaltspflichten fallen.

PEP-Datenbanken enthalten mehr als 1.300.000 Einträge^[3]. Die Aktualität der Daten ist entscheidend, da sich der PEP-Status durch Amtswechsel ändern kann. Eine Person, die heute kein PEP ist, kann es morgen sein – und umgekehrt.

Wie unterscheidet sich die PEP-Prüfung von der Sanktionslistenprüfung?

Beide Prüfungen sind eigenständige Compliance-Pflichten, die sich ergänzen. Die Sanktionslistenprüfung zielt auf Personen und Organisationen ab, gegen die Vermögenssperren und Bereitstellungsverbote gelten – etwa im Rahmen der Russland-Sanktionen. Ein Treffer auf einer Sanktionsliste bedeutet in der Regel ein striktes Geschäftsverbot.

Die PEP-Prüfung dagegen dient der Risikoeinschätzung. Ein Treffer bedeutet nicht, dass Geschäfte verboten sind, sondern dass verstärkte Sorgfaltspflichten greifen. Unternehmen müssen die Geschäftsbeziehung genauer prüfen, die Herkunft der Mittel klären und die Geschäftsbeziehung kontinuierlich überwachen.

Konzeptionell können Unternehmen, die bereits eine Sanktionslistenprüfung implementiert haben, an diese Struktur anknüpfen. Eine PEP-Prüfung ergänzt bestehende Compliance-Maßnahmen sinnvoll. Beide Prüfungen lassen sich technisch über dieselben Schnittstellen abbilden. Eine Übersicht der hier beschriebenen Prüfschritte bietet Am I Compliant.

Was bedeutet kontinuierliche Überwachung in der Praxis?

Die PEP-Prüfung ist keine einmalige Angelegenheit bei der Geschäftsanbahnung. Sie muss regelmäßig wiederholt werden, insbesondere wenn sich die Umstände ändern – etwa bei größeren Transaktionen. Der Gerichtshof der Europäischen Union hat am 19. Juni 2025 in seinem Urteil C-509/23 die Anforderungen an die kontinuierliche Überwachung von PEP-Beziehungen präzisiert^[4].

Das bedeutet konkret: Unternehmen müssen nicht nur bei Vertragsabschluss prüfen, sondern auch während der laufenden Geschäftsbeziehung. Ein Geschäftspartner, der heute kein PEP ist, kann durch einen Amtsantritt morgen einer werden. Umgekehrt kann eine Person ihren PEP-Status durch Amtsende verlieren – wobei unklar ist, wie lange eine Person nach Beendigung ihres Amtes als PEP gilt. Die Rechtsprechung und Verwaltungspraxis der Mitgliedstaaten sind hier nicht einheitlich.

Eine erfolgreiche Implementierung bedeutet, dass die PEP-Prüfung zu einem selbstverständlichen Teil des gesamten Kundenlebenszyklus wird – vom ersten Kontakt bis zum Ende der Geschäftsbeziehung.

Welche Dokumentationspflichten bestehen?

Alle Fragen an den Kunden sowie dessen Erklärungen müssen sorgfältig dokumentiert werden. Die Qualität und Vollständigkeit dieser Dokumentation ist im Falle einer aufsichtsbehördlichen Prüfung entscheidend. Unternehmen sollten festhalten:

• Wann wurde geprüft?
• Welche Datenquellen wurden herangezogen?
• Welches Ergebnis wurde erzielt?
• Welche Risikoeinschätzung wurde vorgenommen?
• Welche Maßnahmen wurden ergriffen?

Die Dokumentation dient nicht nur der Nachweisbarkeit gegenüber Aufsichtsbehörden, sondern auch der internen Nachvollziehbarkeit. Wenn ein Geschäftspartner nach drei Jahren erneut geprüft wird, muss das Unternehmen wissen, zu welchem Ergebnis die erste Prüfung kam und ob sich seitdem etwas geändert hat.

Wie lässt sich die PEP-Prüfung datenschutzkonform umsetzen?

Die Verarbeitung personenbezogener Daten zur PEP-Prüfung stützt sich auf Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) in Verbindung mit dem Geldwäschegesetz. Der Europäische Datenschutzbeauftragte hat sich am 13. Mai 2015 zur Datenverarbeitung bei AML-CFT-Prüfungen (Anti-Money Laundering / Countering the Financing of Terrorism) geäußert^[11]. Die Verarbeitung unterliegt der DSGVO und erfordert eine Abwägung zwischen Compliance-Pflichten und Datenschutzrechten.

Bei der Beauftragung externer Screening-Dienstleister ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abzuschließen^[5]. Betroffene Personen sind über die PEP-Prüfung zu informieren (Art. 13, 14 DSGVO). Das wirft in der Praxis Fragen auf: Muss ein Unternehmen seinen Geschäftspartner vor der Prüfung informieren? Oder reicht eine allgemeine Datenschutzerklärung?

Die Rechtslage ist nicht abschließend geklärt. Unternehmen sollten in ihrer Datenschutzerklärung transparent machen, dass sie Geschäftspartner auf PEP-Status prüfen, und die Rechtsgrundlage benennen. Eine Einzelfallbenachrichtigung vor jeder Prüfung ist nicht erforderlich, sofern die allgemeine Information erfolgt ist.

Wie setzen mittelständische Unternehmen die PEP-Prüfung um?

Für viele Unternehmen im DACH-Raum ist die PEP-Prüfung Neuland. Drei Schritte helfen bei der Umsetzung:

Risikoanalyse durchführen: Unternehmen sollten zunächst prüfen, ob und in welchem Umfang sie der PEP-Prüfpflicht unterliegen. § 15 Geldwäschegesetz verlangt verstärkte Sorgfaltspflichten, wenn ein höheres Risiko der Geldwäsche oder Terrorismusfinanzierung bestehen kann^[7]. Der konkrete Umfang der zu ergreifenden Maßnahmen richtet sich nach dem jeweiligen Risiko.

Externe Datenanbieter einbinden: Unternehmen müssen auf externe Datenanbieter zurückgreifen und dabei sicherstellen, dass die Prüfung auf aktuellen, datenschutzkonformen Datenquellen basiert. Eine manuelle Prüfung über öffentlich zugängliche Listen ist bei mehr als 1.300.000 Einträgen nicht praktikabel. EU-souveräne Screening-Dienste ermöglichen es, Kunden und Lieferanten vollautomatisiert gegen PEP-Datenbanken abzugleichen – mit kontinuierlicher Aktualisierung und DSGVO-konformer Datenverarbeitung innerhalb der EU.

Prozesse dokumentieren: Alle Prüfschritte, Ergebnisse und Entscheidungen müssen nachvollziehbar dokumentiert werden. Die Dokumentation ist im Falle einer aufsichtsbehördlichen Prüfung das zentrale Nachweismittel. Jede Prüfung sollte als auditfestes PDF mit Prüf-URL dokumentiert werden, die Übertragung verschlüsselt erfolgen.

Häufige Fragen zur PEP-Prüfung

Wer gilt als politisch exponierte Person?

PEPs sind natürliche Personen mit hochrangigen öffentlichen Ämtern auf EU-, nationaler oder internationaler Ebene sowie deren Familienangehörige und nahestehende Personen (§ 1 Abs. 12 GwG). Dazu zählen Minister, Parlamentsabgeordnete, Mitglieder der Europäischen Kommission oder Führungsgremien politischer Parteien.

Ist ein Vertrag mit einer PEP verboten?

Nein. Die PEP-Prüfung dient der Risikoeinschätzung. Geschäfte sind erlaubt, erfordern aber verstärkte Sorgfaltspflichten nach § 15 GwG. Das bedeutet: genauere Prüfung der Geschäftsbeziehung, Klärung der Mittelherkunft und kontinuierliche Überwachung.

Wie oft muss ich prüfen?

Die Prüfung ist keine einmalige Angelegenheit. Sie muss regelmäßig wiederholt werden, insbesondere bei größeren Transaktionen oder Änderungen der Umstände. Ein Geschäftspartner kann durch Amtsantritt zum PEP werden – oder seinen Status durch Amtsende verlieren.

Welche Datenquellen sind zulässig?

Unternehmen müssen auf externe, datenschutzkonforme Datenanbieter zurückgreifen. Die Prüfung muss auf aktuellen, offiziellen Datenquellen basieren. Eine manuelle Prüfung über öffentlich zugängliche Listen ist bei mehr als 1.300.000 Einträgen nicht praktikabel.

Was muss ich dokumentieren?

Alle Prüfschritte, Ergebnisse und Entscheidungen müssen nachvollziehbar dokumentiert werden: Zeitpunkt der Prüfung, verwendete Datenquellen, Ergebnis, Risikoeinschätzung und ergriffene Maßnahmen. Die Dokumentation ist im Falle einer aufsichtsbehördlichen Prüfung das zentrale Nachweismittel.

Fazit

Die PEP-Prüfung ist keine optionale Compliance-Übung, sondern eine gesetzliche Pflicht mit klaren Anforderungen. Unternehmen, die politisch exponierte Personen nicht identifizieren und die verstärkten Sorgfaltspflichten nicht erfüllen, riskieren aufsichtsbehördliche Maßnahmen. Gleichzeitig ist die PEP-Prüfung kein Geschäftsverbot – sie ist ein Instrument der Risikoeinschätzung.

Die Herausforderung liegt in der praktischen Umsetzung: Mehr als 1.300.000 Einträge in PEP-Datenbanken, ständige Amtswechsel und uneinheitliche Rechtsprechung zur zeitlichen Dimension des PEP-Status machen eine manuelle Prüfung unmöglich. Unternehmen brauchen externe Datenanbieter, klare Prozesse und lückenlose Dokumentation.

Die EU-weite Harmonisierung der PEP-Prüfung durch die Geldwäscherichtlinie trägt zur Rechtssicherheit im Binnenmarkt bei. Für Unternehmen im DACH-Raum bedeutet das: Wer heute in eine automatisierte, datenschutzkonforme PEP-Prüfung investiert, schafft die Grundlage für rechtssichere Geschäftsbeziehungen in einem zunehmend regulierten Umfeld.