PEP-Prüfung: Welche Pflichten haben Unternehmen

Unternehmen in Deutschland müssen bei Geschäftsbeziehungen mit politisch exponierten Personen (PEP) prüfen, ob die Vertragspartnerin oder der Vertragspartner ein hohes Risiko birgt. Das Geldwäschegesetz (GwG) verlangt verstärkte Sorgfaltspflichten: Zustimmung der Geschäftsleitung, Prüfung der Herkunft der Vermögenswerte und intensivere Überwachung der Geschäftsbeziehung. Diese Pflichten gelten größenunabhängig für jedes Unternehmen im Anwendungsbereich des GwG – etwa Güterhändler, Immobilienmakler oder technische Dienstleister. Verstöße ziehen Geldbußen bis zu 5 Millionen Euro oder 10 Prozent des Jahresumsatzes nach sich.

Was bedeutet „politisch exponierte Person" nach § 1 Abs. 12 GwG?

Das Geldwäschegesetz definiert PEP als Personen, die hochrangige öffentliche Ämter ausüben oder ausgeübt haben. Dazu zählen Regierungsmitglieder, Parlamentarier, Richter an obersten Gerichten, Diplomaten ab Botschafterebene, hohe Militärs, Mitglieder von Leitungsorganen staatlicher Unternehmen und Personen in wichtigen Funktionen internationaler Organisationen wie UN, OECD oder EU-Institutionen^[1][2]. Die Definition umfasst drei Gruppen:

Amtsträger selbst: Wer ein solches Amt innehat oder in den letzten 18 Monaten innehatte, gilt automatisch als PEP. Die EU-Kommission veröffentlicht eine Liste der Ämter, deren Inhaber als PEP gelten – sie wurde zuletzt im Februar 2024 aktualisiert^[1].

Familienangehörige: Ehepartner, eingetragene Lebenspartner, Kinder und deren Ehepartner sowie Eltern fallen unter die erweiterte Definition^[3].

Bekannte enge Geschäftspartner: Personen, die nachweislich gemeinsam mit einer PEP wirtschaftlich Berechtigter einer juristischen Person sind oder in enger Geschäftsbeziehung zu ihr stehen^[3].

Diese Dreiteilung bestimmt, wie weit Unternehmen ihre Prüfpflicht ausdehnen müssen. Wer nur den Vertragspartner selbst prüft, übersieht womöglich dessen Ehepartner oder einen stillen Teilhaber mit PEP-Status.

Welche Sorgfaltspflichten löst eine PEP-Beziehung aus?

§ 15 GwG verpflichtet Unternehmen zu verstärkten Sorgfaltspflichten, sobald sie eine Geschäftsbeziehung mit einer PEP eingehen oder feststellen, dass eine bestehende Beziehung eine PEP betrifft. Diese Pflichten gehen über die allgemeine Kundenidentifizierung hinaus:

Zustimmung der Geschäftsleitung: Die Aufnahme oder Fortsetzung der Geschäftsbeziehung muss von der Geschäftsleitung oder einem bevollmächtigten Mitarbeiter genehmigt werden (§ 15 Abs. 3 GwG)^[2].

Herkunft der Vermögenswerte: Unternehmen müssen angemessene Maßnahmen ergreifen, um die Herkunft der Vermögenswerte zu bestimmen, die in der Geschäftsbeziehung eingesetzt werden (§ 15 Abs. 4 GwG)^[2]. Was „angemessen" bedeutet, hängt vom Einzelfall ab. Bei einem Großauftrag kann das eine Selbstauskunft mit Belegen erfordern, bei einem Standardgeschäft genügt oft die Plausibilitätsprüfung.

Verstärkte Überwachung: Die Geschäftsbeziehung unterliegt einer intensiveren laufenden Überwachung (§ 15 Abs. 5 GwG)^[2]. In der Praxis bedeutet das: regelmäßige Überprüfung, ob die PEP-Eigenschaft fortbesteht, ob neue Risikofaktoren hinzukommen und ob Transaktionsmuster vom Erwarteten abweichen.

Die Zahlungsdiensteaufsichtsprüfverordnung verlangt von beaufsichtigten Instituten zusätzlich, die Anzahl der PEP-Kunden in der Risikoanalyse auszuweisen (§ 16 Abs. 8 ZAGPrüfbV)^[4]. Für nicht-beaufsichtigte Unternehmen gilt diese Meldepflicht zwar nicht, doch die Dokumentationslast bleibt: Wer im Prüfungsfall nicht nachweisen kann, dass er PEP-Beziehungen identifiziert und bewertet hat, trägt das Bußgeldrisiko.

Wie prüft man PEP-Status in der Praxis?

Die manuelle Prüfung gegen die EU-PEP-Liste ist fehleranfällig und zeitaufwendig. Die Liste definiert nur Ämter, nicht die Personen selbst – Unternehmen müssen also selbst recherchieren, wer diese Ämter innehat. Zudem deckt die EU-Liste nur einen Teil der Risiken ab: Sie schließt regionale Politiker und Amtsträger in Drittstaaten weitgehend aus, obwohl auch diese unter die GwG-Definition fallen können^[1].

Automatisierte Screening-Tools gleichen Namen, Geburtsdaten und Adressen gegen globale PEP-Datenbanken ab. Am I Compliant beispielsweise prüft in Sekunden gegen über 200 offizielle Listen, darunter PEP-Datenbanken aus EU, UN, OFAC, UK und Schweiz, und dokumentiert jede Prüfung als auditfestes PDF mit Prüf-URL^[3]. Die Übertragung ist verschlüsselt und DSGVO-konform, was gerade bei personenbezogenen Daten wie PEP-Status entscheidend ist.

Der Effizienzgewinn entsteht vor allem durch KI-gestützte Namensabgleiche, die Schreibvarianten, Transkriptionen und Alias-Namen erkennen – ein manueller Abgleich scheitert hier regelmäßig. Automatisierte Systeme reduzieren False Positives und senken den Zeitaufwand für die Prüfung deutlich.

Welche Konsequenzen drohen bei Verstößen?

§ 56 GwG sieht Geldbußen bis zu 5 Millionen Euro oder 10 Prozent des Jahresumsatzes vor, je nachdem, welcher Betrag höher ist^[2]. Die BaFin kann bei beaufsichtigten Instituten zusätzlich Abberufungen von Geschäftsleitern anordnen. Für nicht-beaufsichtigte Unternehmen liegt die Zuständigkeit bei den Landesbehörden.

Neben der Geldbuße drohen Reputationsschäden: Wer in Geschäftsbeziehungen mit PEP verwickelt ist, ohne die Herkunft der Vermögenswerte geprüft zu haben, gerät schnell in den Verdacht, Geldwäsche zumindest fahrlässig ermöglicht zu haben^[3]. In Branchen mit strengen Compliance-Anforderungen – etwa im Finanzsektor, in der Rüstungsindustrie oder im Rohstoffhandel – kann das den Verlust von Geschäftspartnern und Zulassungen bedeuten.

Die Financial Intelligence Unit (FIU) beim Zoll nimmt Verdachtsmeldungen entgegen. Unternehmen, die bei einer PEP-Beziehung Auffälligkeiten feststellen, sind nach § 43 GwG zur Meldung verpflichtet^[2]. Wer diese Pflicht verletzt, riskiert ebenfalls Bußgelder.

Wie setzen Unternehmen die PEP-Prüfung um?

Die PEP-Prüfung ist keine Kann-Bestimmung für große Institute, sondern eine gesetzliche Pflicht für jedes Unternehmen im Anwendungsbereich des GwG. Die Anforderungen steigen: Die EU arbeitet an einer Harmonisierung der Geldwäscheprävention, die mittelfristig zu schärferen Meldepflichten und kürzeren Prüfintervallen führen wird.

Konkrete Schritte:

PEP-Screening implementieren: Führen Sie bei jedem neuen Geschäftspartner einen automatisierten Abgleich gegen PEP-Datenbanken durch. Prüfen Sie mindestens jährlich, ob bestehende Geschäftspartner zwischenzeitlich PEP-Status erlangt haben^[1].

Dokumentation sicherstellen: Führen Sie ein PEP-Risikoregister, in dem Sie alle identifizierten PEP-Beziehungen, die durchgeführten Risikobewertungen und die getroffenen Maßnahmen festhalten^[2]. Bewahren Sie Prüfnachweise mindestens fünf Jahre auf.

Mitarbeiter schulen: Sensibilisieren Sie Vertrieb, Einkauf und Compliance für PEP-Risiken. Nicht jeder Mitarbeiter muss die Details des GwG kennen, aber jeder sollte wissen, wann er eine PEP-Prüfung auslösen muss^[2].

Prozesse definieren: Legen Sie fest, wer im Unternehmen PEP-Treffer bewertet, wer die Geschäftsleitung informiert und wer die Herkunft der Vermögenswerte prüft. Ein klarer Prozess verhindert, dass Treffer unbearbeitet liegenbleiben.

Technische Lösungen nutzen: Setzen Sie auf DSGVO-konforme Tools, die globale Echtzeitdaten einbinden und False Positives durch KI-gestützte Abgleiche reduzieren^[3]. Die Investition amortisiert sich schnell durch eingesparte Personalstunden und vermiedene Bußgelder.

Für Unternehmen, die bereits Sanktionslistenprüfungen durchführen, liegt es nahe, PEP-Screenings in denselben Workflow zu integrieren. Viele Screening-Tools prüfen beide Dimensionen parallel – so entsteht ein einheitlicher Compliance-Prozess, der auch die Anforderungen der Lieferkettensorgfaltspflichten abdeckt.

Häufig gestellte Fragen

Gilt die PEP-Prüfpflicht auch für kleine Unternehmen?

Ja. Das Geldwäschegesetz kennt keine Größenschwelle. Jedes Unternehmen, das in den Anwendungsbereich des GwG fällt – etwa als Güterhändler, Immobilienmakler oder Rechtsdienstleister – muss PEP-Beziehungen identifizieren und verstärkte Sorgfaltspflichten anwenden^[2]. Die Anforderungen sind risikobasiert, nicht größenbasiert.

Wie lange bleibt jemand PEP nach dem Ausscheiden aus dem Amt?

Die EU-Richtlinie 2006/70/EG sieht eine Mindestfrist von 18 Monaten vor, in denen eine Person nach dem Ausscheiden aus einem PEP-Amt weiterhin als PEP gilt^[6]. Nationale Gesetze können längere Fristen vorsehen. In der Praxis sollten Unternehmen auch nach Ablauf der Frist eine Risikobewertung durchführen, da der Einfluss einer ehemaligen PEP nicht automatisch erlischt^[7].

Muss ich auch Geschäftspartner in Drittstaaten auf PEP-Status prüfen?

Ja. Die GwG-Definition umfasst ausdrücklich „Personen, die wichtige öffentliche Ämter in internationalen Organisationen innehaben oder innehatten"^[2]. Zudem gelten die verstärkten Sorgfaltspflichten nach § 15 GwG unabhängig vom Sitzstaat der PEP. Wer nur EU-Amtsträger prüft, übersieht Risiken aus Drittstaaten.

Welche Rolle spielt die DSGVO bei der PEP-Prüfung?

Die Verarbeitung personenbezogener Daten im Rahmen der PEP-Prüfung ist nach Art. 6 Abs. 1 lit. c DSGVO zulässig, sofern sie zur Erfüllung einer rechtlichen Verpflichtung (hier: GwG) erforderlich ist. Unternehmen müssen dennoch die Grundsätze der Datenminimierung und Zweckbindung beachten: Speichern Sie nur die Daten, die Sie für die Risikobewertung tatsächlich benötigen, und löschen Sie sie nach Ablauf der Aufbewahrungsfrist^[3].

Kann ich mich auf die EU-PEP-Liste allein verlassen?

Nein. Die EU-Liste definiert nur Ämter, nicht die Personen selbst. Zudem deckt sie regionale Amtsträger und viele Drittstaaten-Funktionen nicht ab^[1]. Für eine rechtssichere Prüfung benötigen Sie Zugriff auf globale PEP-Datenbanken, die namentlich geführte Personen enthalten und laufend aktualisiert werden.