Die Geldwäscheprävention und Bekämpfung der Terrorismusfinanzierung (AML/CFT) stellt in Spanien einen Compliance-Bereich mit stetig wachsenden Anforderungen dar, angetrieben durch europäische Richtlinien und die Überwachung durch internationale Gremien wie die FATF. Unternehmen, die dem Gesetz 10/2010 zur Prävention von Geldwäsche unterliegen, müssen über solide und aktuelle interne Verfahren verfügen.
Verpflichtete Unternehmen
Das Gesetz identifiziert eine umfangreiche Liste verpflichteter Unternehmen, darunter: Finanzinstitute, Versicherungsunternehmen, Notare, Registerführer, Rechtsanwälte und Steuerberater (bei bestimmten Transaktionen), Wirtschaftsprüfer, Immobilienentwickler, Wertpapierfirmen und Spielbanken. Jede Kategorie hat spezifische, auf ihre Tätigkeit zugeschnittene Pflichten.
Im nicht-finanziellen Sektor haben sich die Pflichten in den letzten Jahren erheblich ausgeweitet. Steuerberater und Rechtsanwälte unterliegen dem Gesetz, wenn sie an folgenden Vorgängen beteiligt sind: (a) Immobilien- oder Unternehmensübertragungen; (b) Verwaltung von Geldern, Wertpapieren oder sonstigen Vermögenswerten des Mandanten; (c) Eröffnung oder Verwaltung von Bank-, Spar- oder Wertpapierkonten; (d) Organisation von Einlagen für die Gründung, den Betrieb oder die Verwaltung von Gesellschaften; und (e) die Gründung, den Betrieb oder die Verwaltung von Trusts, Gesellschaften oder ähnlichen Strukturen.
Wesentliche Pflichten
Die AML-Pflichten umfassen: (1) Identifizierung und Überprüfung der Kundenidentität (KYC); (2) Identifizierung des wirtschaftlich Berechtigten; (3) laufende Überwachung der Geschäftsbeziehung; (4) Meldung verdächtiger Transaktionen an SEPBLAC; (5) Aufbewahrung von Dokumenten; (6) regelmäßige Mitarbeiterschulung; und (7) dokumentierte Risikobewertung.
Standardmäßige Sorgfaltspflichten: Gelten für die meisten Kunden und erfordern die Überprüfung der Identität anhand eines amtlichen Dokuments, die Identifizierung des wirtschaftlich Berechtigten bei juristischen Personen als Kunden sowie die Einholung von Informationen über Art und Zweck der Geschäftsbeziehung.
Vereinfachte Sorgfaltspflichten: Können bei Kunden Anwendung finden, die nachweislich ein geringes Geldwäscherisiko aufweisen, wie etwa EU-beaufsichtigte Finanzinstitute, an regulierten europäischen Märkten notierte Unternehmen oder Behörden. Sie befreien nicht von der Pflicht zur Identifizierung des wirtschaftlich Berechtigten.
Verstärkte Sorgfaltspflichten: Sind zwingend vorgeschrieben, wenn Risikofaktoren erkannt werden, wie etwa nicht-persönliche Transaktionen, Geschäftsbeziehungen mit politisch exponierten Personen (PEPs), Transaktionen mit Hochrisikoländern gemäß Einstufung der Europäischen Kommission oder ungewöhnlich komplexe Eigentümerstrukturen. In diesen Fällen müssen die Überprüfung der Identität und der Mittelherkunft gründlicher erfolgen.
Verstärkte Sorgfaltspflichten sind besonders relevant beim Kauf und Verkauf von Vorratsgesellschaften, bei dem der Notar den wirtschaftlich Berechtigten der Transaktion gemäß Königlichem Dekret 609/2023 identifizieren muss. Weitere Informationen zu diesem Verfahren finden Sie in unserem Leitfaden zu Vorratsgesellschaften.
Identifizierung des wirtschaftlich Berechtigten
Eine der anspruchsvollsten Pflichten ist die Identifizierung des wirtschaftlich Berechtigten — der natürlichen Person, die den Kunden letztendlich besitzt oder kontrolliert. Bei juristischen Personen gilt eine Person, die direkt oder indirekt mehr als 25 % des Kapitals oder der Stimmrechte hält oder die Kontrolle auf andere Weise ausübt, als wirtschaftlich Berechtigter.
Das Register der wirtschaftlich Berechtigten, das im Rahmen der Fünften Geldwäscherichtlinie geschaffen wurde, erleichtert die Abfrage dieser Informationen. Verpflichtete Unternehmen dürfen sich jedoch nicht ausschließlich auf das Register verlassen: Sie müssen eigene Überprüfungen durchführen und Informationen aktualisieren, wenn Änderungen festgestellt werden.
Regulatorische Aktualisierungen
Die Fünfte Geldwäscherichtlinie (in Spanien umgesetzt durch Königliches Dekret 7/2021) verschärfte die verstärkten Sorgfaltspflichten bei Geschäftsbeziehungen mit Hochrisikoländern und politisch exponierten Personen (PEPs). Die Einrichtung des Registers der wirtschaftlich Berechtigten verbesserte die Transparenz über die tatsächliche Eigentümerschaft von Unternehmen.
Das von der Europäischen Union 2024 verabschiedete AML-Gesetzgebungspaket sieht die Schaffung einer neuen europäischen Geldwäschebehörde (AMLA) mit Sitz in Frankfurt vor, die ab 2026 die direkte Aufsicht über die Finanzunternehmen mit dem höchsten Risiko übernehmen wird. Dies stellt einen qualitativen Sprung in der aufsichtlichen Kontrolle für Finanzgruppen mit grenzüberschreitenden Aktivitäten dar.
Darüber hinaus erweiterte die seit Dezember 2024 geltende Geldtransferverordnung die Rückverfolgbarkeitsanforderungen auf Krypto-Asset-Transfers und verpflichtet Krypto-Asset-Dienstleister (CASPs), bei allen Transaktionen Informationen über den Auftraggeber und den Begünstigten anzugeben.
Das AML-Compliance-Programm
Ein wirksames AML-Programm erfüllt nicht lediglich formell die gesetzlichen Anforderungen. Es muss tatsächlich darauf ausgelegt sein, irreguläre Transaktionen zu erkennen, und in die Geschäftsprozesse integriert sein. Die wesentlichen Elemente sind:
Kundenannahmerichtlinie: Legt die Kriterien für die Aufnahme oder Ablehnung einer Geschäftsbeziehung fest, definiert Risikokategorien und bestimmt das für jeden Kunden geltende Maß an Sorgfaltspflichten.
Verfahrenshandbuch: Dokumentiert die KYC-Prozesse, die Kriterien für die Eskalation eines internen Verdachtsmeldungsberichts und das Protokoll für die Meldung an SEPBLAC.
Jährliche Risikobewertung: Muss jährlich aktualisiert werden, um Veränderungen in der Kundenstruktur, dem Produkt- und Dienstleistungskatalog sowie dem regulatorischen Umfeld zu berücksichtigen.
Laufende Schulung: Das Gesetz schreibt vor, dass beteiligte Mitarbeiter eine spezifische und aktuelle Schulung erhalten müssen. Die empfohlene Mindesthäufigkeit ist jährlich, mit sofortigen Aktualisierungen bei wesentlichen regulatorischen Änderungen.
Folgen bei Nichteinhaltung
SEPBLAC kann bei sehr schweren Verstößen Bußgelder von bis zu 5 Millionen Euro oder 10 % des gesamten jährlichen Geschäftsvolumens verhängen, was ein erhebliches Reputations- und wirtschaftliches Risiko darstellt. Bei schweren Verstößen können Bußgelder bis zu 1 Million Euro betragen. Über die unmittelbaren Folgen hinaus kann ein SEPBLAC-Sanktionsverfahren den Ruf des Unternehmens und seine Fähigkeit, Korrespondenzbankenbeziehungen aufrechtzuerhalten, schwer beeinträchtigen.
Bei BMC beraten wir Sie bei der Implementierung wirksamer AML-Programme. Erfahren Sie mehr über unsere AML-Compliance-Dienstleistungen.
Regelungsrahmen: Schlüsselnormen des spanischen AML-Rechts
Das spanische Anti-Geldwäsche-Recht besteht aus einer Kombination von europäischen Richtlinien, die durch nationales Recht umgesetzt wurden, und nationalen Spezialvorschriften, die über die europäischen Mindestanforderungen hinausgehen.
Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo: Dies ist das grundlegende nationale Gesetz, das die Pflichten der Verpflichteten, die Aufsichtsstruktur unter SEPBLAC und das Sanktionsregime regelt. Das Gesetz definiert die Liste der Verpflichteten (Finanzinstitute, Rechtsanwälte, Notare, Immobilienmakler, Wirtschaftsprüfer, Buchhalter, Spielanbieter, Händler hochwertiger Güter u.a.), die Pflichten zur Sorgfalt gegenüber Kunden (KYC), die Meldepflichten für verdächtige Transaktionen und die Anforderungen an interne Kontrollsysteme.
Real Decreto 304/2014, de 5 de mayo — Reglamento de la Ley 10/2010: Dieser Durchführungserlass konkretisiert die Anforderungen des Gesetzes: den Inhalt des erforderlichen internen Präventionshandbuchs, die Methodik zur Risikobewertung nach dem risikobasierten Ansatz (RBA), die spezifischen Anforderungen an die Identifizierung des wirtschaftlich Berechtigten und die Schulungsanforderungen für Mitarbeiter. Er legt zudem fest, welche Dokumente akzeptabel sind, um die Identität des Kunden und des wirtschaftlich Berechtigten zu belegen.
Directiva (UE) 2015/849 (4. AML-Richtlinie) und Directiva (UE) 2018/843 (5. AML-Richtlinie): Diese europäischen Richtlinien haben die durch Ley 10/2010 umgesetzten Anforderungen progressiv verschärft: Einführung des Register der wirtschaftlich Berechtigten (Registro de Titularidades Reales, verwaltet vom Ministerio de Justicia), Ausweitung der politisch exponierten Personen (PEP)-Anforderungen und Verbesserung des Informationsaustauschs zwischen nationalen Einheiten zur Geldwäschebekämpfung. Die 6. AML-Richtlinie und die laufende Verordnung zur Schaffung einer europäischen AML-Behörde (AMLA) werden die Anforderungen in den kommenden Jahren weiter harmonisieren.
Die Interaktion dieser Rechtsakte bedeutet für Verpflichtete, dass das AML-Programm ein lebendiges Dokument sein muss — nicht ein Einmal-Compliance-Projekt. Die Risikoanalyse muss mindestens einmal jährlich und bei wesentlichen Änderungen im Kundenbestand oder im Geschäftsmodell aktualisiert werden. Das SEPBLAC hat in seiner Aufsichtspraxis mehrfach klargestellt, dass es zwischen Unternehmen unterscheidet, die ein formales, aktuelles Programm haben und es anwenden, und solchen, die ein veraltetes Dokument in der Schublade haben. Nur die ersten können im Falle eines Verdachtsmoments auf eine kooperative Haltung des Regulators hoffen. Für Unternehmen, die gerade in den Anwendungsbereich des Gesetzes 10/2010 fallen oder die ihr bestehendes Programm überarbeiten müssen, empfiehlt sich eine externe Compliance-Prüfung durch einen auf AML spezialisierten Berater. Diese Prüfung sollte die schriftliche Risikoanalyse, das interne Präventionshandbuch, die Schulungsnachweise und die Dokumentation der durchgeführten KYC-Maßnahmen der letzten zwei Jahre umfassen — exakt die Unterlagen, die SEPBLAC bei einer Inspektion als erstes anfordert. Ein vorbereiteter Verpflichteter kann eine Inspektion deutlich entspannter angehen und zeigt dem Regulator signalgebend, dass Compliance nicht nur auf dem Papier existiert. SEPBLAC differenziert bei der Sanktionierung klar zwischen Verpflichteten mit einem formal korrekten, aktualisierten Programm und solchen, die evident keine angemessene Präventionsstruktur haben — erstere erhalten bei Verfahrensfehlern eher Maßnahmen zur Korrektur, letztere müssen mit direkten Sanktionen rechnen.