Customer Due Diligence (CDD)

Customer Due Diligence (CDD): Wissenswertes und Einblicke

Weltweit steigt die Anzahl der Länder, die Gesetze zur Bestechungs-, Korruptions- und Geld­wäsche­prävention verabschieden – und viele dieser nationalen Gesetze haben Aus­wirkungen auf internationale Handels­beziehungen.

So sind Unternehmen in Deutschland beispielsweise verpflichtet, im Rahmen des Know-Your-Customer-Prozesses (KYC) die Vorgaben des Geldwäschegesetzes (GwG) einzuhalten, sobald sie jedoch im internationalen Kontext agieren, sind beispielsweise die im britischen Antikorruptionsgesetz UK Bribery Act oder die im amerikanischen Foreign Corrupt Practices Act (FCPA) definierten Regelungen zu berücksichtigen.

KYC ist für Unternehmen unverzichtbar, wenn es darum geht, die Vertrauenswürdigkeit ihrer Kund:innen und Geschäftspartner:innen vor dem Onboarding zu prüfen. Ein essenzieller Bestandteil dieses Prozesses ist die Customer- oder Client Due Diligence (CDD).

Sie dient dem Ziel, die Risiken für Wirtschaftskriminalität und Betrug zu minimieren. Damit Unternehmen Customer Due Diligence Maßnahmen effektiv durchführen können, bietet der Markt verschiedene durchdachte und einfach zu integrierende Lösungen.

Customer Due Diligence (CDD): Definition

Der Begriff Due Diligence („gebotene Sorgfalt“) wurde ursprünglich im Businesskontext verwendet, um die Prüfung von Kaufobjekten zu beschreiben. Eine Due Diligence Prüfung steht in solch einem Kontext also für die gebotene Sorgfaltspflicht, die alle Unternehmen und Organisationen erfüllen müssen, um zum Beispiel im Rahmen von M&A-Aktivitäten Maßnahmen zur Sicherung der Wertschöpfungskette vorzuhalten.

Das Konzept wurde auf die Überprüfung von Kunden übertragen und wird hier als Customer Due Diligence oder Client Due Diligence (CDD) bezeichnet, sie bezieht sich dementsprechend explizit auf Kund:innen und Geschäftspartner:innen. Durch eine umfassende Prüfung der Kundendaten sollen Unternehmen – nicht bloß Banken und Finanzinstitute – sicherstellen, dass Gefährdungen im Bereich Geldwäsche, Terrorismusfinanzierung oder Finanz- und Wirtschaftsbetrug vermieden werden.

Mit einer professionellen Customer Due Diligence lassen sich illegale Finanzgeschäfte vermeiden: Unternehmen, Banken und Versicherungen können auf diese Weise sicherstellen, dass Kunden, Wirtschaft und Unternehmen vor Angriffe auf das Finanzsystem besser geschützt sind.

Rechtliche Grundlagen der Customer Due Diligence

Eines der Ziele der Sorgfaltspflicht unter anderem für Unternehmen, Banken und Versicherungen ist der Schutz vor illegalen Finanzgeschäften. Die rechtlichen Vorgaben für diesen Prozess finden sich in § 10 Geldwäschegesetz.

Sorgfaltspflicht gegenüber Kund:innen

Die gebotene Sorgfaltspflicht gegenüber Kund:innen und Geschäftspartner:innen umfasst unter anderem die folgenden Aspekte:

1. Identifizierungspflicht anhand amtlicher Dokumente (für natürliche und juristische Personen)
2. Einholen von Informationen zu Art und Zweck der Geschäftsbeziehung
3. Prüfung der wirtschaftlichen Berechtigung
4. Kontinuierliche Überwachung der laufenden Geschäftsbeziehung

Risikoklassifizierung und gegebenenfalls verstärkte Sorgfaltspflichtmaßnahmen

Unterschied zwischen CDD und EDD

Im Rahmen der Customer Due Diligence wird häufig auch der Begriff „Enhanced Due Diligence“, kurz EDD, erwähnt. Während die CDD den grundlegenden Prozess beschreibt, bei dem Unternehmen Risikoprofile ihrer Kund:innen erstellen, geht die Enhanced Due Diligence Prüfung einen Schritt weiter: Die verstärkte Sorgfaltspflicht (EDD) betrifft Kund:innen, bei deren Prüfung sich bereits ein hoher Risikofaktor gezeigt hat.

Mögliche Auslöser dafür, dass eine erweiterte Due Diligence erforderlich wird:

• die politische Präsenz der Person (PEP: Politische Exponierte Person)
• die Beteiligung an nicht legalen Handlungen
• eine ungewöhnlich große oder besonders komplexe Transaktion
• der Wohnort der Person.

Konkret bedeutet dies, der Prozess der EDD greift, sobald die CDD ergibt, dass es sich um einen Hochrisikokunden handelt.

Die Customer Due Diligence erfolgt in vier Schritten

Der Prozess der Customer Due Diligence erfolgt in vier aufeinander aufbauenden Schritten, die durch das Unternehmen durchzuführen sind.

1. Kund:innen identifizieren
   Im ersten Schritt geht es darum, alle relevanten Informationen zu den Kund:innen einzuholen. Der Identitätsnachweis wird hierfür durch entsprechende Ausweisdokumente erbracht. Handelt es sich bei Kund:innen oder Geschäftspartner:innen um Unternehmen, müssen die hierfür benötigten, zusätzlichen Informationen ebenfalls eingeholt werden (etwa Prüfung der Eigentumsverhältnisse des Unternehmens, rechtliche Vertretungsbefähigung).
2. Abgleich mit CDD-relevanten Listen
   Handelt es sich bei der zu prüfenden Person um eine politisch exponierte Person (PEP), ist eine Enhanced Due Diligence notwendig. Gleiches gilt, wenn die Person bereits mit illegalen Aktivitäten in Verbindung gebracht werden konnte. Um dies herauszufinden, erfolgt bei der Customer Due Diligence ein Abgleich mit Sanktionslisten sowie Auflistungen der PEPs.
3. Durchführung der Risikobewertung
   Für eine umfassende Risikobewertung wird im dritten Schritt kontrolliert, woher die Person kommt und wo sie aktuell lebt. Lebt sie beispielsweise in einem Land, das nur wenige rechtliche Vorgaben zur Vermeidung von Geldwäsche oder Terrorismusfinanzierung macht, ist ebenfalls zu prüfen, welche Transaktionen und vertraglichen Aktivitäten diese Person durchführen möchte.
4. Regelmäßige Kontrolle der Aktualität aller Daten
   Eine Customer Due Diligence ist nicht bloß beim initialen Geschäftsabschluss erforderlich, vielmehr handelt es sich um einen Prozess, der über die gesamte Geschäftsbeziehung hinweg durchzuführen ist. Jede kundenseitig mitgeteilte oder anders erfasste Änderung erfordert dementsprechend eine erneute Risikobewertung. Zeigen sich im Laufe der Zeit Verdachtsfälle, die auf eine Schädigung des Unternehmens oder der Wirtschaft hindeuten, ist eine Meldung rechtlich bindend.

Aufzeichnungen als Sicherheit im CDD-Prozess

Zum Nachweis einer erfolgreich durchgeführten Customer Due Diligence empfiehlt sich die Aufzeichnung aller durchgeführten Prüfungen – die bei Verwendung einer ausgefeilten Softwarelösung automatisiert erfolgen kann.

 

Konsequenzen bei Nichterfüllung der Customer Due Diligence

Unternehmen haben die Verantwortung, ihre Kund:innen, sich selbst und auch den Staat vor Wirtschaftskriminalität zu schützen. Die rechtlichen Vorgaben dazu finden sich im Geldwäschegesetz. Werden die hier festgehaltenen Vorgaben nicht eingehalten, so können Bußgelder verhängt werden. Nähere Informationen dazu finden sich im § 56 GwG.

Schäden, die einem Unternehmen aufgrund einer unzureichenden oder gar fehlenden CDD entstehen, können einen erheblichen Vertrauensverlust mit sich bringen – und den wirtschaftlichen Schaden ins Unermessliche steigern.

Customer Due Diligence und die DSGVO: was ist zu beachten?

Ein wichtiger Aspekt bei der Durchführung der Customer Due Diligence ist der Blick auf den Datenschutz. Die 2018 eingeführte Datenschutzgrundverordnung (DSGVO) regelt als Verordnung der Europäischen Union den Umgang mit personenbezogenen Daten natürlicher Personen. Unternehmen unterliegen einer Informationspflicht und müssen den Personen mitteilen, warum sie die Daten aufnehmen, wie sie diese verarbeiten und speichern. Durch die Unterschrift oder Anerkennung der Information wird das kundenseitige Einverständnis zur entsprechenden Datenschutzvereinbarung bestätigt.

Unternehmen müssen gegebenenfalls nachweisen, dass es sich bei jedem Schritt der CDD-Prüfung um eine erforderliche Verarbeitung handelt, für die es keine Alternative gibt, wie beispielsweise eine anonymisierte Nutzung der Daten. Auch hier ist es wichtig, die einzelnen Schritte zu dokumentieren, um einer möglichen Nachweispflicht gerecht werden zu können.

Über WebID

Mit den rechtlich konformen Identifikationslösungen der WebID können Unternehmen von

einfachen und nahtlos in bereits vorhandene Compliance-Systeme integrierbaren Lösungen profitieren. Einfache Identitätsprüfung übers Web, Smartphone oder Tablet? Mit den Lösungen von WebID ist das kein Problem. Verschiedene Möglichkeiten der Identifizierung, wie VideoID oder AccountID zeigen auf, wie leicht sich Compliance-Risiken minimieren lassen.