GwG-Risikoklassifizierung im Vertriebsprozess sauber dokumentieren

Was der risikobasierte Ansatz im Vertriebsalltag konkret bedeutet

Das Geldwaeschegesetz verlangt von Verpflichteten kein starres Pruefprogramm, das fuer jeden Kunden identisch ablaeuft. Es verlangt stattdessen, dass der Umfang der Sorgfaltsmassnahmen zum konkreten Risiko passt. Diese Logik hat eine unmittelbare Konsequenz fuer den Vertrieb: Sie muessen begruenden koennen, warum Sie bei Kunde A mit einer Standardpruefung ausgekommen sind und bei Kunde B zusaetzliche Nachweise zur Mittelherkunft angefordert haben. Ohne dokumentierte Einstufung wirkt jede Abweichung willkuerlich.

In der Praxis wird der risikobasierte Ansatz haeufig missverstanden. Manche Organisationen behandeln ihn als Erlaubnis, bei unauffaelligen Kunden auf Dokumentation zu verzichten. Das Gegenteil ist der Fall: Gerade die Entscheidung fuer den vereinfachten Weg braucht eine nachvollziehbare Grundlage. Andere Organisationen ueberkompensieren und fordern von jedem Interessenten die maximale Unterlagentiefe, was den Vertriebsprozess ausbremst und in vielen Faellen datenschutzrechtlich fragwuerdig ist, weil Daten ohne Erforderlichkeit erhoben werden.

Der Schluessel liegt in der Trennung zwischen zwei Ebenen. Die erste Ebene ist die unternehmensweite Risikoanalyse: Welche Produkte, Vertriebswege, Kundengruppen und geografischen Bezuege bringen Ihr Geschaeftsmodell mit sich. Die zweite Ebene ist die einzelfallbezogene Einstufung: Wie schlaegt sich dieses generelle Risikoprofil im konkreten Kunden nieder. Beide Ebenen muessen zusammenpassen — eine Einzelfalleinstufung, die Faktoren verwendet, die in der Risikoanalyse gar nicht vorkommen, ist nicht schluessig.

Fuer den Vertriebsprozess bedeutet das: Die Faktoren, nach denen Sie klassifizieren, muessen vorab definiert sein. Sie duerfen nicht im Einzelfall erfunden werden. Ein Katalog mit klar benannten risikoerhoehenden und risikomindernden Merkmalen ist die Voraussetzung dafuer, dass die Einstufung reproduzierbar wird — und Reproduzierbarkeit ist das, was eine Pruefung sehen will.

• Die Einstufung folgt einem vorab definierten Faktorenkatalog, nicht dem Bauchgefuehl im Einzelfall.
• Auch die Entscheidung fuer den vereinfachten Weg ist eine Entscheidung und braucht eine dokumentierte Begruendung.
• Unternehmensweite Risikoanalyse und Einzelfalleinstufung muessen dieselbe Faktorensprache sprechen.
• Ueberpruefung ohne Anlass erzeugt Datenschutzrisiken, weil Daten ohne Erforderlichkeit erhoben werden.

An welchen Punkten im Vertriebsprozess die Einstufung entsteht

Eine Risikoklassifizierung, die erst kurz vor dem Notartermin erstellt wird, ist formal moeglicherweise ausreichend, praktisch aber wertlos. Zu diesem Zeitpunkt sind alle vertrieblichen Weichen gestellt, Reservierung erteilt, Finanzierungsgespraeche gefuehrt. Wenn dann eine verstaerkte Pruefung erforderlich wird, entsteht Zeitdruck und der Berater steht vor der unangenehmen Situation, einem bereits gebundenen Kunden zusaetzliche Nachweispflichten zu erklaeren.

Sinnvoll ist deshalb eine gestufte Betrachtung entlang der Pipeline. Der erste Anhaltspunkt entsteht bereits bei der Qualifizierung: Welche Angaben macht der Interessent zu sich, zur geplanten Finanzierung, zur Struktur des Erwerbs. Der zweite Punkt ist die Identifizierung, die spaetestens vor der Begruendung der Geschaeftsbeziehung beziehungsweise vor Abschluss des Vermittlungsvertrags relevant wird. Der dritte Punkt ist die Reservierung, weil hier erstmals wirtschaftliche Bindung entsteht. Der vierte Punkt ist die Kaufvertragsvorbereitung mit vollstaendiger Datenlage.

An jedem dieser Punkte kann sich die Einstufung aendern. Ein Interessent, der zunaechst als Standardfall erschien, kann sich als Vertreter einer Gesellschaft mit unklarer Beteiligungsstruktur herausstellen. Umgekehrt kann sich ein zunaechst erhoehtes Risiko durch nachgereichte Unterlagen relativieren. Beides muss dokumentiert werden — inklusive der Vorversion. Eine ueberschriebene Einstufung ohne Historie loescht genau die Information, die spaeter gebraucht wird.

Die praktische Konsequenz: Ihre Vertriebssoftware muss den Zustand der Einstufung zu jedem Zeitpunkt abbilden koennen. Ein einzelnes Feld mit dem aktuellen Wert reicht nicht. Erforderlich ist eine Versionierung, die zeigt, wer wann welche Klasse aus welchem Grund gesetzt hat.

Wer seine Pipeline ohnehin sauber strukturiert, hat es hier deutlich leichter: Die Statuswechsel im Vertriebsprozess sind die natuerlichen Ausloeser fuer eine Pruefung oder Neubewertung der Einstufung.

1. 1Qualifizierung: erste Anhaltspunkte aus Selbstauskunft, Finanzierungsplanung und Erwerbsstruktur erfassen.
2. 2Identifizierung: Personendaten pruefen, wirtschaftlich Berechtigten klaeren, erste formale Einstufung setzen.
3. 3Reservierung: Einstufung bestaetigen oder anpassen, weil hier wirtschaftliche Bindung entsteht.
4. 4Kaufvertragsvorbereitung: vollstaendige Datenlage gegen die Einstufung spiegeln und Freigabe dokumentieren.
5. 5Nach Abschluss: Wiedervorlage setzen, sofern eine fortlaufende Geschaeftsbeziehung besteht.

In der Software

Jeder Vorgang steht an seiner Stufe

Board, Tabelle und Zeitstrahl zeigen dieselben Deals — wer wo hängt, sieht man ohne Rückfrage.

Deal-Pipeline

Den Faktorenkatalog aufbauen: risikoerhoehend und risikomindernd

Ein brauchbarer Faktorenkatalog gliedert sich in mehrere Dimensionen, die unabhaengig voneinander bewertet werden. Ueblich ist eine Unterteilung nach Kundenbezug, Produktbezug, Transaktionsbezug, Vertriebswegbezug und geografischem Bezug. Diese Struktur hat den Vorteil, dass sie sich direkt aus der unternehmensweiten Risikoanalyse ableiten laesst und die Einzelfalleinstufung damit systematisch begruendbar wird.

Beim Kundenbezug geht es unter anderem darum, ob eine natuerliche oder juristische Person auftritt, wie transparent die Beteiligungsstruktur ist, ob der wirtschaftlich Berechtigte eindeutig feststellbar ist und ob eine politisch exponierte Stellung vorliegt. Beim Produktbezug spielt eine Rolle, ob es sich um selbstgenutztes Wohneigentum, eine Kapitalanlage oder ein Objekt mit ungewoehnlicher Nutzungsstruktur handelt. Beim Transaktionsbezug sind Finanzierungsstruktur, Anteil des Eigenkapitals, Herkunft der Mittel und Ungewoehnlichkeiten im Zahlungsweg relevant.

Der Vertriebswegbezug wird in der Praxis oft uebersehen. Ein Erwerb, der vollstaendig ohne persoenlichen Kontakt zustande kommt, hat eine andere Pruefsituation als ein Fall mit mehreren Vor-Ort-Terminen. Das bedeutet nicht, dass Remote-Vertrieb per se risikoerhoehend ist — es bedeutet, dass die Identifizierung auf einem anderen Weg abgesichert werden muss und dieser Weg dokumentiert gehoert.

Risikomindernde Faktoren gehoeren ausdruecklich in denselben Katalog. Eine langjaehrige, nachvollziehbar dokumentierte Geschaeftsbeziehung, eine transparente Finanzierung ueber ein inlaendisches Kreditinstitut oder eine einfache Eigentuemerstruktur sind Argumente, die eine Einstufung im unteren Bereich tragen. Wer nur risikoerhoehende Faktoren erfasst, kann eine niedrige Einstufung nicht begruenden, sondern nur das Fehlen von Auffaelligkeiten behaupten — das ist ein Unterschied.

• Kundenbezug: Rechtsform, Transparenz der Beteiligungsstruktur, Feststellbarkeit des wirtschaftlich Berechtigten, Vertretungsverhaeltnisse.
• Produktbezug: Nutzungsart, Objektgroesse, Zuschnitt als Kapitalanlage oder Eigennutzung, Besonderheiten der Einheit.
• Transaktionsbezug: Finanzierungsstruktur, Eigenkapitalanteil, Herkunft der Mittel, Zahlungswege, Ungewoehnlichkeiten im Ablauf.
• Vertriebswegbezug: Umfang des persoenlichen Kontakts, Einschaltung von Vertriebspartnern, Art der Identifizierung.
• Geografischer Bezug: Sitz und Aufenthalt der Beteiligten, Bezug zu Staaten mit erhoehtem Risiko.

Wie viele Risikoklassen sinnvoll sind und was sie ausloesen

Die Zahl der Klassen ist nicht gesetzlich vorgegeben. In der Praxis hat sich ein dreistufiges Modell bewaehrt, weil es die gesetzliche Unterscheidung zwischen vereinfachten, allgemeinen und verstaerkten Sorgfaltspflichten direkt abbildet. Ein vierstufiges Modell mit einer zusaetzlichen Ablehnungsstufe kann sinnvoll sein, wenn Sie Faelle sauber trennen wollen, bei denen die Geschaeftsbeziehung gar nicht erst begruendet werden soll.

Entscheidend ist weniger die Anzahl als die Kopplung: Jede Klasse muss klar definierte Konsequenzen haben. Welche Unterlagen werden angefordert, wer gibt frei, in welchem Rhythmus wird ueberprueft, welche Systemstatus werden blockiert. Eine Klasse ohne Konsequenz ist ein Etikett und wird im Tagesgeschaeft ignoriert. Die Konsequenzen gehoeren in dieselbe Dokumentation wie der Faktorenkatalog.

Zur Einordnung: Vereinfachte Sorgfaltspflichten bedeuten nicht, dass keine Identifizierung stattfindet. Sie bedeuten, dass Umfang und Tiefe der Massnahmen reduziert werden koennen, etwa bei der Ueberpruefungstiefe oder der Frequenz der Aktualisierung. Verstaerkte Sorgfaltspflichten bedeuten umgekehrt zusaetzliche Massnahmen, typischerweise im Bereich Mittelherkunft, Zustimmung einer Fuehrungsebene und engmaschigere Ueberwachung. Die genauen Anforderungen ergeben sich aus dem Gesetz und den Auslegungshinweisen der Aufsicht.

Die Zuordnung von Faktoren zu Klassen sollte nachvollziehbar sein, ohne mechanisch zu wirken. Ein reines Punktesystem, das bei 7 Punkten automatisch auf mittel und bei 12 Punkten auf hoch schaltet, wirkt zwar objektiv, kann aber Einzelfaelle falsch abbilden. Sinnvoll ist eine Kombination: Ein Scoring als Vorschlag, kombiniert mit einer Pflicht zur Begruendung, wenn der Bearbeiter davon abweicht.

Was eine pruefungsfeste Dokumentation tatsaechlich enthalten muss

Eine haeufige Fehlannahme lautet: Die Klasse ist dokumentiert, also ist die Pflicht erfuellt. Tatsaechlich ist die Klasse nur das Ergebnis. Was fehlt, ist der Weg dorthin. Eine Dokumentation, die im Nachhinein traegt, enthaelt mindestens die herangezogenen Faktoren, deren jeweilige Bewertung, die daraus abgeleitete Klasse, die verantwortliche Person, den Zeitpunkt und die Grundlage in Form der ausgewerteten Unterlagen.

Besonders wichtig ist die Trennung zwischen Datenerhebung und Bewertung. Die Kopie eines Ausweisdokuments belegt, dass identifiziert wurde. Sie belegt nicht, dass eine Risikobewertung stattgefunden hat. Umgekehrt ersetzt ein Vermerk zur Risikoklasse nicht die Identifizierungsunterlagen. Beide Ebenen muessen vorhanden und miteinander verknuepft sein, sodass ein Pruefer vom Vorgang zum Beleg und zurueck navigieren kann.

Der zweite kritische Punkt ist die Nachvollziehbarkeit von Entscheidungen gegen den Trend. Wenn ein Fall Merkmale aufweist, die auf ein erhoehtes Risiko hindeuten, und dennoch als mittel eingestuft wird, ist die Begruendung dafuer der wichtigste Teil der Akte. Formulierungen wie unauffaellig oder Kunde bekannt tragen nicht. Sinnvoll ist eine konkrete Angabe: welcher risikomindernde Faktor greift, worauf er sich stuetzt, welches Dokument ihn belegt.

Der dritte Punkt betrifft die Aufbewahrung. Die Dokumentation muss ueber den gesetzlich vorgesehenen Zeitraum verfuegbar und lesbar bleiben. Bei einem Systemwechsel entsteht hier ein reales Risiko, weil Freitextnotizen und Anhaenge bei Migrationen haeufig verloren gehen oder ihre Zuordnung verlieren. Strukturierte Felder migrieren deutlich zuverlaessiger als Notizen im Aktivitaetsverlauf.

1. 1Herangezogene Faktoren einzeln benennen, nicht pauschal auf einen Katalog verweisen.
2. 2Bewertung je Faktor festhalten, inklusive der risikomindernden Argumente.
3. 3Resultierende Klasse mit Datum und verantwortlicher Person speichern.
4. 4Ausgewertete Unterlagen verlinken, sodass Beleg und Bewertung zusammen abrufbar sind.
5. 5Abweichungen vom Systemvorschlag gesondert begruenden.
6. 6Aenderungen als neue Version anlegen und die Vorversion erhalten.

Das Datenmodell im CRM: Welche Felder die Einstufung tragen

Wenn die Risikoklassifizierung im CRM als Freitextnotiz gefuehrt wird, ist sie faktisch nicht auswertbar. Sie koennen nicht filtern, keine Wiedervorlagen steuern, keine Pruefliste erzeugen und bei einer Anfrage der Aufsicht keine Uebersicht liefern. Der Aufwand fuer strukturierte Felder ist einmalig, der Nutzen dauerhaft. Wer sein CRM ohnehin sauber aufsetzt, sollte die GwG-Felder von Anfang an mitdenken.

Ein tragfaehiges Minimalmodell besteht aus einem Klassenfeld mit fester Auswahl, einem Mehrfachauswahlfeld fuer die herangezogenen Faktoren, einem Pflichtfeld fuer die Begruendung, einem Feld fuer den verantwortlichen Bearbeiter, einem automatisch gesetzten Zeitstempel, einem Feld fuer den Freigebenden bei erhoehter Klasse und einem Datumsfeld fuer die naechste Ueberpruefung. Ergaenzend braucht es eine Verknuepfung zu den relevanten Dokumenten.

Auf dieser Basis lassen sich Automatisierungen bauen, die den Prozess tatsaechlich entlasten. Ein Beispiel: Wird die Klasse hoch gesetzt, erzeugt das System automatisch eine Aufgabe fuer den Geldwaeschebeauftragten, sperrt den Statuswechsel zur Reservierung und legt eine Wiedervorlage an. Wird die Klasse spaeter herabgestuft, bleibt der urspruengliche Eintrag als Version erhalten und die Aufgabe wird als erledigt mit Begruendung geschlossen.

Ein oft unterschaetzter Aspekt ist die Sichtbarkeit. Risikoeinstufungen enthalten sensible Bewertungen ueber Personen. Nicht jeder Nutzer im System muss sie sehen. Eine Rollenlogik, die zwischen Bearbeiter, Innendienst, Compliance und externem Vertriebspartner unterscheidet, ist hier keine Kuer, sondern eine datenschutzrechtliche Notwendigkeit.

Die Verbindung zur Objektseite darf ebenfalls nicht fehlen. Wenn eine Einheit reserviert werden soll, muss das System die Einstufung des zugehoerigen Interessenten kennen. Eine saubere Verknuepfung zwischen Kontakt, Einheit und Reservierungsvorgang ist die Voraussetzung dafuer, dass Statusblocker ueberhaupt greifen koennen.

• Klassenfeld mit fester Auswahlliste statt Freitext.
• Faktorenfeld als Mehrfachauswahl, direkt aus dem definierten Katalog gespeist.
• Begruendungsfeld als Pflichtfeld bei jeder Aenderung der Klasse.
• Bearbeiter, Freigebender und Zeitstempel automatisch protokolliert.
• Wiedervorlagedatum mit automatischer Aufgabenerzeugung.
• Dokumentenverknuepfung zu Identifizierungs- und Nachweisunterlagen.
• Rollenbasierte Sichtbarkeit, insbesondere gegenueber externen Vertriebspartnern.

Mehrstufiger Vertrieb: Wer stuft ein, wer gibt frei, wer sieht was

Sobald externe Vertriebspartner in den Prozess eingebunden sind, wird die Frage der Zustaendigkeit zentral. Der Partner hat den direkten Kundenkontakt und damit den besten Zugang zu den Informationen. Die Verantwortung fuer die eigene Compliance liegt aber beim jeweiligen Verpflichteten. Diese Konstellation muss vertraglich und prozessual sauber aufgeloest werden, sonst entstehen Luecken, die im Ernstfall niemand schliessen kann.

Ein praktikables Modell trennt Erhebung und Bewertung. Der Vertriebspartner erhebt und uebermittelt strukturierte Angaben und Unterlagen ueber ein definiertes Formular. Die Bewertung und Einstufung erfolgt zentral im Innendienst oder durch den Geldwaeschebeauftragten. Der Partner sieht das Ergebnis nur insoweit, wie er es fuer den weiteren Ablauf braucht — etwa als Freigabe- oder Blockierungshinweis, nicht als vollstaendige Risikobewertung mit Begruendung.

Damit dieses Modell funktioniert, muss das Onboarding der Partner die entsprechenden Pflichten und Ablaeufe abbilden. Dazu gehoert eine dokumentierte Einweisung, klare Vorgaben zur Uebermittlung von Unterlagen und eine Regelung, was passiert, wenn Angaben unvollstaendig bleiben. Ohne Blockade im System wird ein unvollstaendiger Vorgang erfahrungsgemaess weitergeschoben, bis er zeitkritisch wird.

Ein zweiter Aspekt betrifft die Provisionslogik. Wenn eine Reservierung wegen fehlender GwG-Dokumentation nicht bestaetigt werden kann, hat das unmittelbare Auswirkungen auf die Provisionsfaehigkeit des Vorgangs. Diese Kopplung sollte transparent kommuniziert werden, weil sie die wirksamste Motivation fuer vollstaendige Unterlagen ist. Ein Partner, der weiss, dass die Abrechnung an der Dokumentation haengt, liefert schneller.

1. 1Zustaendigkeiten vertraglich festlegen: Wer erhebt, wer bewertet, wer gibt frei.
2. 2Ein einheitliches Erhebungsformular bereitstellen, das alle benoetigten Angaben strukturiert abfragt.
3. 3Bewertung zentral halten, damit der Faktorenkatalog konsistent angewendet wird.
4. 4Sichtbarkeit der Bewertung fuer externe Partner auf das Notwendige begrenzen.
5. 5Statuswechsel im System sperren, solange Pflichtangaben fehlen.
6. 6Auswirkungen auf Reservierung und Provisionsfaehigkeit im Partneronboarding erklaeren.

Ausloeser fuer eine Neubewertung waehrend der Geschaeftsbeziehung

Die Einstufung ist ein Zustand mit Haltbarkeitsdatum. Sie muss aktualisiert werden, wenn sich die Grundlagen aendern — und die Frage, wann das der Fall ist, sollte nicht dem Zufall ueberlassen bleiben. Sinnvoll ist eine Liste definierter Ausloeser, die im System hinterlegt und mit automatischen Aufgaben verbunden sind. Damit wird aus einer theoretischen Pflicht ein funktionierender Ablauf.

Typische Ausloeser im Neubau- und Kapitalanlagevertrieb sind Aenderungen der Finanzierungsstruktur, der Wechsel des Erwerbers oder die Aufnahme eines weiteren Miterwerbers, die Umstellung von Eigennutzung auf Kapitalanlage, der Erwerb ueber eine neu gegruendete Gesellschaft, ungewoehnliche Zahlungsanweisungen oder der Wunsch, Zahlungen ueber Dritte abzuwickeln. Auch der Erwerb mehrerer Einheiten in kurzer Folge kann Anlass zu einer erneuten Betrachtung geben.

Ergaenzend zu den anlassbezogenen Ausloesern empfiehlt sich ein turnusmaessiger Rhythmus, der sich nach der Klasse richtet. Ein Beispiel zur Veranschaulichung: Annahme, Sie setzen fuer die Klasse hoch eine Ueberpruefung alle sechs Monate an, fuer die Klasse mittel alle 24 Monate und fuer die Klasse niedrig nur anlassbezogen. Bei angenommen 400 aktiven Kundenbeziehungen mit einer Verteilung von 60 Prozent niedrig, 35 Prozent mittel und 5 Prozent hoch ergibt das rund 140 turnusmaessige Pruefvorgaenge im Jahr aus der mittleren Klasse — verteilt auf 12 Monate also etwa 12 pro Monat — plus 40 Pruefvorgaenge aus der hohen Klasse. Die Zahlen dienen nur der Groessenordnung und sind keine Marktangabe.

Diese Rechnung zeigt vor allem eines: Ohne automatische Wiedervorlage ist die Nachverfolgung im laufenden Betrieb kaum zu leisten. Sobald die Aufgaben aber automatisiert erzeugt und einer Rolle zugewiesen werden, ist der monatliche Aufwand ueberschaubar und planbar.

Verstaerkte Sorgfaltspflichten im Vertriebsalltag umsetzen

Wenn ein Fall in die hohe Klasse faellt, aendert sich der Ablauf spuerbar. Der Vertrieb muss zusaetzliche Informationen einholen, eine Freigabe auf hoeherer Ebene abwarten und die Ergebnisse dokumentieren. Diese Schritte kosten Zeit und stehen im Konflikt mit dem Wunsch, eine Reservierung schnell zu bestaetigen. Wer diesen Konflikt nicht organisatorisch aufloest, bekommt entweder verzoegerte Prozesse oder umgangene Pruefungen.

Die praktikable Loesung liegt in der Vorverlagerung. Je frueher erkennbar ist, dass ein Fall in die hohe Klasse gehoert, desto mehr Zeit bleibt fuer die zusaetzlichen Schritte. Deshalb lohnt es sich, bereits in der Qualifizierung gezielt nach den Merkmalen zu fragen, die typischerweise eine hohe Einstufung ausloesen — etwa nach der Erwerbsstruktur und der geplanten Finanzierung. Diese Fragen sind auch vertrieblich sinnvoll, weil sie die Ernsthaftigkeit der Anfrage klaeren.

Ein zweiter Hebel ist die klare Kommunikation gegenueber dem Kunden. Wenn die Anforderung zusaetzlicher Nachweise als willkuerliche Huerde wahrgenommen wird, entsteht Widerstand. Wird sie als standardisierter Teil des Ablaufs erklaert, der bei bestimmten Konstellationen regelmaessig greift, ist die Akzeptanz deutlich hoeher. Eine vorbereitete Textbausteinsammlung im CRM hilft, diese Erklaerung konsistent zu halten.

Der dritte Punkt betrifft die Eskalation. Es muss definiert sein, was passiert, wenn die angeforderten Informationen nicht oder nur unvollstaendig kommen. Das reicht von der Nichtbestaetigung der Reservierung bis zur Entscheidung, die Geschaeftsbeziehung nicht zu begruenden. Diese Entscheidung darf nicht beim einzelnen Berater liegen, sondern gehoert auf die dafuer vorgesehene Ebene — und sie gehoert dokumentiert.

• Merkmale fuer eine hohe Einstufung bereits in der Qualifizierung gezielt abfragen.
• Zusaetzliche Nachweisanforderungen als Standardablauf kommunizieren, nicht als Ausnahme.
• Textbausteine im CRM hinterlegen, damit die Kundenkommunikation konsistent bleibt.
• Freigabeweg und Vertretungsregelung definieren, damit Urlaub keinen Stillstand erzeugt.
• Eskalationspfad bei fehlenden Informationen schriftlich festlegen.

Datenschutz und GwG: Wo sich die beiden Regelwerke beruehren

Die GwG-Dokumentation erzeugt personenbezogene Daten mit teilweise erheblicher Sensibilitaet — Angaben zur finanziellen Situation, zur Herkunft von Mitteln und Bewertungen zur Risikoeinstufung. Gleichzeitig gilt die DSGVO uneingeschraenkt. Beide Regelwerke stehen nicht im Widerspruch, verlangen aber eine bewusste Ausgestaltung: Erhoben werden darf, was zur Erfuellung der gesetzlichen Pflicht erforderlich ist, nicht mehr.

Praktisch bedeutet das drei Dinge. Erstens: Der Umfang der erhobenen Daten muss zur Klasse passen. Wer bei jedem Interessenten unabhaengig vom Risiko umfassende Vermoegensnachweise anfordert, sammelt Daten ohne Erforderlichkeit. Zweitens: Der Zugriff muss beschraenkt sein. Nicht jeder Nutzer im CRM braucht Einblick in die Risikobewertung. Drittens: Loeschung und Aufbewahrung muessen geregelt sein, und zwar in beide Richtungen — GwG-Aufbewahrungsfristen und datenschutzrechtliche Loeschpflichten muessen miteinander abgeglichen werden.

Ein haeufiger Praxisfehler ist die doppelte Ablage. Dokumente liegen im CRM, im E-Mail-Postfach des Beraters und zusaetzlich in einem lokalen Ordner. Damit ist weder Loeschung noch Zugriffskontrolle steuerbar. Eine zentrale, berechtigungsgesteuerte Ablage ist die einzige Struktur, die beide Regelwerke gleichzeitig bedienen kann.

Ergaenzend gehoert die Verarbeitung in das Verarbeitungsverzeichnis, mit klarer Angabe der Rechtsgrundlage und der Aufbewahrungslogik. Die Einordnung der konkreten Fristen sollte mit einem fachkundigen Berater abgestimmt werden; die Primaerquellen sind das Geldwaeschegesetz und die DSGVO.

Interne Kontrolle: Stichproben, Kennzahlen und Nachweisfaehigkeit

Eine Risikoklassifizierung, die niemand kontrolliert, driftet. Berater setzen im Zweifel die Klasse, die den geringsten Aufwand ausloest, und niemand merkt es. Deshalb gehoert zu jedem funktionierenden Prozess eine interne Kontrolle, die nicht auf Vollpruefung, sondern auf Stichproben und Auffaelligkeitsanalysen setzt. Der Aufwand bleibt so beherrschbar, die Wirkung ist trotzdem vorhanden.

Sinnvolle Auswertungen lassen sich direkt aus dem CRM ziehen, sofern die Felder strukturiert sind. Interessant sind unter anderem: die Verteilung der Klassen je Berater oder je Vertriebspartner, der Anteil an Vorgaengen mit abweichender Einstufung gegenueber dem Systemvorschlag, die durchschnittliche Zeit zwischen Statuswechsel und dokumentierter Einstufung sowie die Zahl ueberfaelliger Wiedervorlagen. Auffaellige Muster sind kein Beweis fuer Fehlverhalten, aber ein Anlass fuer ein Gespraech.

Die Stichprobenpruefung sollte einem festen Rhythmus folgen und dokumentiert werden. Ein praktikables Vorgehen: Annahme, Sie ziehen quartalsweise 20 abgeschlossene Vorgaenge, davon bewusst alle Faelle der hohen Klasse und den Rest zufaellig aus den uebrigen Klassen. Geprueft wird gegen eine feste Checkliste, das Ergebnis wird protokolliert und Abweichungen werden mit Massnahme und Frist versehen. Diese Zahlen sind eine Gestaltungsempfehlung, keine gesetzliche Vorgabe.

Der entscheidende Nebeneffekt: Wenn eine Aufsichtsbehoerde oder ein externer Pruefer Fragen stellt, koennen Sie nicht nur einzelne Akten vorlegen, sondern ein funktionierendes System. Das ist ein qualitativer Unterschied. Eine dokumentierte Eigenkontrolle mit erkannten und behobenen Abweichungen wirkt belastbarer als eine Sammlung fehlerfreier Einzelakten ohne Prozessnachweis.

1. 1Kennzahlen definieren, die aus strukturierten CRM-Feldern automatisch berechenbar sind.
2. 2Stichprobenumfang und Auswahlverfahren schriftlich festlegen.
3. 3Pruefcheckliste erstellen, die je Vorgang dieselben Punkte abfragt.
4. 4Ergebnisse protokollieren, Abweichungen mit Massnahme und Frist versehen.
5. 5Wiederholte Abweichungen als Schulungsbedarf behandeln, nicht als Einzelfall.
6. 6Kontrollergebnisse in die jaehrliche Aktualisierung der Risikoanalyse einfliessen lassen.

Einfuehrung im Bestandsbetrieb: ein Vorgehen in Etappen

Die Einfuehrung einer strukturierten Risikoklassifizierung scheitert selten an der Fachlichkeit, sondern an der Umstellung im laufenden Betrieb. Bestehende Vorgaenge sind unvollstaendig dokumentiert, Berater sehen zusaetzlichen Aufwand, und die Frage, ob Altfaelle nachbearbeitet werden muessen, bleibt oft unbeantwortet. Ein etappiertes Vorgehen loest diese Punkte einzeln statt gleichzeitig.

In der ersten Etappe geht es um die Grundlagen: Faktorenkatalog festlegen, Klassenmodell definieren, Konsequenzen je Klasse beschreiben, Verantwortlichkeiten und Freigabewege klaeren. Das Ergebnis ist ein schriftliches Dokument, das intern abgestimmt und idealerweise fachlich geprueft wird. Ohne dieses Fundament ist jede Systemkonfiguration verfrueht.

In der zweiten Etappe folgt die technische Umsetzung: Felder anlegen, Auswahllisten befuellen, Pflichtfeldlogik an Statuswechsel koppeln, Wiedervorlagen und Aufgabenautomatik konfigurieren, Berechtigungen setzen. Anschliessend ein Testlauf mit einer kleinen Gruppe an realen Vorgaengen, bevor der Rollout erfolgt. Erfahrungswerte aus dem Testlauf fliessen in die Feinjustierung des Katalogs ein — meist zeigt sich hier, welche Faktoren in der Praxis zu unscharf formuliert sind.

In der dritten Etappe geht es um Bestand und Betrieb: Definieren Sie, welche Altvorgaenge nachdokumentiert werden und welche nicht, richten Sie die Stichprobenkontrolle ein, schulen Sie Berater und Vertriebspartner, und legen Sie den Turnus fuer die Aktualisierung des Katalogs fest. Ab diesem Punkt ist die Klassifizierung kein Projekt mehr, sondern Teil des normalen Ablaufs.

Typische Fehler und wie Sie sie vermeiden

Der haeufigste Fehler ist die Einstufung als Formalakt am Ende des Prozesses. Sie wird gesetzt, weil ein Pflichtfeld ausgefuellt werden muss, nicht weil eine Bewertung stattgefunden hat. Erkennbar ist das daran, dass nahezu alle Vorgaenge dieselbe Klasse tragen und die Begruendungsfelder identische Formulierungen enthalten. Die Gegenmassnahme liegt weniger in strengeren Regeln als in der Kopplung der Einstufung an einen fruehen Prozessschritt, an dem sie vertrieblich ohnehin relevant ist.

Der zweite haeufige Fehler ist die fehlende Historie. Wenn die Klasse ueberschrieben wird, geht die Information verloren, dass der Fall zwischenzeitlich anders bewertet wurde. Das ist besonders problematisch, wenn eine Herabstufung erfolgt ist, denn genau diese Entscheidung wird bei einer Pruefung hinterfragt. Versionierung loest das Problem vollstaendig und kostet im laufenden Betrieb keinen Zusatzaufwand.

Der dritte Fehler betrifft die Vermischung von Systemen. Identifizierungsunterlagen im Dokumentenmanagement, Risikobewertung im CRM-Notizfeld, Freigabe per E-Mail. Bei einer Anfrage muss jemand drei Quellen zusammensuchen und hoffen, dass nichts fehlt. Eine zusammenhaengende Ablage mit Verknuepfung von Vorgang, Bewertung und Beleg reduziert diesen Aufwand auf einen Klick.

Der vierte Fehler ist die Annahme, dass eine einmal aufgesetzte Struktur dauerhaft passt. Geschaeftsmodelle aendern sich: neue Produkte, neue Vertriebswege, neue Kundengruppen. Wenn der Faktorenkatalog nicht mitgezogen wird, bewerten Sie irgendwann Merkmale, die es nicht mehr gibt, und uebersehen Merkmale, die neu hinzugekommen sind. Ein fester Aktualisierungsturnus verhindert das.

• Einheitsklasse fuer nahezu alle Vorgaenge deutet auf einen Formalakt statt auf eine Bewertung hin.
• Identische Begruendungstexte ueber viele Faelle hinweg sind ein Warnsignal in der Stichprobe.
• Ueberschriebene Einstufungen ohne Version machen Herabstufungen unbelegbar.
• Verteilte Ablage ueber CRM, Postfach und lokale Ordner macht Nachweisfaehigkeit zufaellig.
• Ein Faktorenkatalog ohne Aktualisierungsturnus veraltet mit dem Geschaeftsmodell.