Aufbewahrung von Aufzeichnungen, Datenschutz und Informationsaustausch

Jede Kontrolle in einem AML/CFT-Programm ist für eine Prüfperson, eine FIU oder ein Gericht wertlos, wenn das Unternehmen nicht nachweisen kann, was es getan hat und warum. Gleichzeitig verarbeiten Compliance-Teams einige der sensibelsten personenbezogenen Daten des Unternehmens: Identitätsdokumente, Finanzhistorien und Verdachtsmomente. Ein Programm gut zu führen bedeutet, die richtigen Aufzeichnungen lange genug aufzubewahren, sie zu schützen, sie nur dann weiterzugeben, wenn dies zulässig ist, und sie zu löschen, wenn die Aufbewahrungspflicht endet.

Welche Aufzeichnungen aufzubewahren sind

Empfehlung 11 (Aufbewahrung von Aufzeichnungen) legt den Mindeststandard fest. Unternehmen müssen alle erforderlichen Aufzeichnungen zu inländischen und internationalen Transaktionen mindestens fünf Jahre nach der Transaktion aufbewahren. Aufzeichnungen aus der Kunden-Due-Diligence-Prüfung, Kontounterlagen, Geschäftskorrespondenz und die Ergebnisse jeglicher Analysen müssen mindestens fünf Jahre nach Beendigung der Geschäftsbeziehung oder nach einer gelegentlichen Transaktion aufbewahrt werden. Transaktionsaufzeichnungen müssen ausreichen, um einzelne Transaktionen rekonstruieren zu können, damit sie als Beweismittel für eine Strafverfolgung dienen können. Außerdem müssen die Aufzeichnungen den zuständigen Behörden zügig zur Verfügung stehen.

Für ein Kryptounternehmen bedeutet „ausreichend, um Transaktionen zu rekonstruieren“ mehr als einen Ledger-Eintrag. Die folgende Tabelle zeigt bewährte Vorgehensweisen und keine vom Standard vorgegebene Liste von Datenfeldern.

Die Zeile zu Analysen wird oft übersehen. Kennzeichnungen zur Zuordnung ändern sich, daher kann ein heute erneut erstelltes Ergebnis zur Risikoexposition von dem Ergebnis abweichen, das vor zwei Jahren einer Entscheidung zugrunde lag. Bewahren Sie eine Momentaufnahme oder einen Export des verwendeten Ergebnisses mit Datum auf.

Wie lange und ab wann

Fünf Jahre sind das internationale Minimum, keine feste Aufbewahrungsfrist. Nationale Gesetze können eine längere Frist vorschreiben, und manche Aufzeichnungen müssen über ihr reguläres Aufbewahrungsdatum hinaus aufbewahrt werden:

• rechtliche Aufbewahrungssperren für Untersuchungen, Anordnungen zur Beweissicherung, Rechtsstreitigkeiten oder behördliche Prüfungen setzen die Löschung außer Kraft;
• der Auslöser ist entscheidend: Eine Frist von fünf Jahren ab Ende einer Geschäftsbeziehung kann bei einer langjährigen Kundin oder einem langjährigen Kunden Jahrzehnte umfassen;
• Programmaufzeichnungen (Risikobewertungen, Prüfungen) werden aufbewahrt, um nachzuweisen, was das Unternehmen zu jedem Zeitpunkt wusste und unternahm.

Der Datenschutz wirkt in die andere Richtung: Sobald die Aufbewahrungsfrist endet und keine Sperre gilt, sollten personenbezogene Daten gelöscht oder anonymisiert werden. Ein Aufbewahrungsplan benennt für jede Aufzeichnungsart den Auslöser, die Aufbewahrungsfrist und die Person, die die Löschung bestätigt.

-- Kundenaufzeichnungen, deren Aufbewahrungsfrist abgelaufen ist und für die keine rechtliche Aufbewahrungssperre gilt (Standard-SQL)
SELECT c.customer_id, c.relationship_end_date
FROM customers c
LEFT JOIN legal_holds h
  ON h.customer_id = c.customer_id AND h.released_at IS NULL
WHERE c.relationship_end_date < CURRENT_DATE - INTERVAL '5' YEAR
  AND h.customer_id IS NULL;
-- Die Intervallsyntax unterscheidet sich je nach Datenbank-Engine (z. B. DATEADD, DATE_SUB)

Die Abfrage listet beendete Geschäftsbeziehungen auf, deren Ende mehr als fünf Jahre zurückliegt und für die keine offene rechtliche Aufbewahrungssperre besteht. Diese Fälle kommen für eine Löschprüfung infrage. Der Zeitraum von fünf Jahren ist ein Platzhalter für die längste Aufbewahrungsfrist, die in den Ländern gilt, in denen das Unternehmen tätig ist. Eine Person prüft die Liste weiterhin, weil Sperren manchmal verspätet erfasst werden.

Datenschutzgrundsätze

Datenschutzgesetze unterscheiden sich, doch die meisten beruhen auf Grundsätzen, die erstmals international in den OECD-Datenschutzleitlinien (1980, überarbeitet 2013) festgelegt und in ISO/IEC 29100 (Datenschutzrahmenwerk) sowie im NIST Privacy Framework (2020) aufgegriffen wurden.

On-Chain-Daten sind öffentlich. Sobald ein Unternehmen jedoch eine Adresse mit einer Kundin oder einem Kunden verknüpft, werden die Adresse und ihre Historie in den Händen des Unternehmens zu personenbezogenen Daten. Analysen zu Kunden-Wallets sollten von einer Datenschutz-Folgenabschätzung erfasst werden.

AML-Pflichten und Datenschutzpflichten in Einklang bringen

Die beiden Regelungsbereiche sind so konzipiert, dass sie nebeneinander bestehen können. Seit Februar 2018 fordert Empfehlung 2 die Länder auf, ihre Maßnahmen zu koordinieren, damit AML/CFT-Anforderungen mit Datenschutz- und Privatsphärenregeln vereinbar sind. In der Praxis gilt:

• Gesetzliche Pflicht als Rechtsgrundlage. Die Erhebung und Aufbewahrung von AML-Daten wird üblicherweise durch die gesetzliche Pflicht selbst gerechtfertigt. Eine Einwilligung ist daher keine Rechtsgrundlage und kann nicht widerrufen werden, um eine Löschung zu erzwingen.
• Auskunftsersuchen und Verbot der Offenlegung. Wenn eine Kundin oder ein Kunde Auskunft über die eigenen personenbezogenen Daten verlangt, darf die Antwort keine STR, Untersuchung oder Anfrage einer Strafverfolgungsbehörde offenlegen. Die meisten Regelungswerke sehen eine Ausnahme vor; das Unternehmen benötigt ein Verfahren, damit Mitarbeitende diese einheitlich anwenden.
• Grenzüberschreitende Übermittlungen. Gruppenweite Überwachung und Travel-Rule-Nachrichten übermitteln personenbezogene Daten zwischen Ländern. Das Unternehmen prüft, ob jede Übermittlung zulässig und geschützt ist.
• Schutz der Gegenpartei. Vor dem Versand von Travel-Rule-Daten prüft das Unternehmen, ob der VASP der Gegenpartei diese schützen kann (siehe die Lektion Identifizierung und Überprüfung der Gegenpartei).

Datenminimierung gilt auch innerhalb der Compliance. Ermittlerinnen und Ermittler sollten nicht die vollständigen Historien unbeteiligter Kundinnen und Kunden in eine Fallakte übernehmen, nur weil diese eine Gegenpartei gemeinsam haben. Ein Verweis auf den verknüpften Fall genügt. Antworten auf Anordnungen zur Herausgabe von Unterlagen enthalten nur die angeforderten Informationen, nicht das gesamte Konto. Und für einen Zweck erhobene Daten, etwa Geräte-Fingerabdrücke, die zur Betrugsprävention gesammelt wurden, können, sofern gesetzlich zulässig, für die AML-Überwachung verwendet werden. Diese Wiederverwendung sollte jedoch dokumentiert und nicht einfach vorausgesetzt werden.

Informationsaustausch

Es gibt drei unterschiedliche Bereiche des Informationsaustauschs mit jeweils eigenen Regeln.

Innerhalb einer Gruppe. Empfehlung 18 verlangt gruppenweite Programme, einschließlich Richtlinien für den Austausch von Informationen, die für die Kunden-Due-Diligence-Prüfung und das Management von ML/TF-Risiken erforderlich sind. Die Überarbeitung ihrer Interpretative Note vom November 2017 stellte klar, dass dazu auch Informationen über ungewöhnliche oder verdächtige Transaktionen und deren Analyse gehören. Gleichzeitig wurde Empfehlung 21 geändert, sodass Vorschriften gegen die Offenlegung diesen Austausch nicht verhindern. Vertraulichkeits- und Nutzungsbeschränkungen gelten weiterhin.

Zwischen nicht verbundenen VASPs. Die Travel Rule schreibt den Informationsaustausch vor. Darüber hinaus ist für den Austausch von Kundeninformationen oder Verdachtsmomenten mit einem anderen Unternehmen eine Rechtsgrundlage erforderlich, die manche Länder durch spezielle gesetzliche Erlaubnisse schaffen, andere jedoch nicht. Die Offenlegung gegenüber einem nicht verbundenen Unternehmen, dass eine Meldung eingereicht wurde, gilt generell als verbotene Offenlegung. Der Austausch von Adressen, die mit einem Hack in Verbindung stehen, ohne personenbezogene Daten zu Kundinnen oder Kunden, ist üblich und mit geringerem Risiko verbunden.

Mit Partnerschaften und Behörden. Öffentlich-private Partnerschaften beruhen auf besonderen rechtlichen Vereinbarungen. Die FATF-Dokumente Guidance on Private Sector Information Sharing (November 2017), Stocktake on Data Pooling, Collaborative Analytics and Data Protection (Juli 2021) und der Bericht Partnering in the Fight Against Financial Crime: Data Protection, Technology and Private Sector Information Sharing (Juli 2022) beschreiben, wie ein solcher Austausch Datenschutzanforderungen erfüllen kann, unter anderem durch datenschutzfördernde Technologien, die gemeinsame Analysen ermöglichen, ohne Rohdaten offenzulegen.

Sichere Speicherung und Zugriff

Compliance-Aufzeichnungen benötigen Schutzmaßnahmen, die ihrer Sensibilität angemessen sind und sich häufig an einem Informationssicherheitsstandard wie ISO/IEC 27001 orientieren:

• Zugriff nach dem Need-to-know-Prinzip, wobei das STR-Register und Fallnotizen auf das Compliance-Team und namentlich benannte Führungskräfte beschränkt sind;
• Verschlüsselung bei Speicherung und Übertragung sowie starke Authentifizierung;
• Prüfprotokolle darüber, wer Aufzeichnungen eingesehen oder exportiert hat, die regelmäßig überprüft werden;
• Integrität: unveränderliche Speicherung oder gehashte Exporte als Beweismittel, damit sich nachweisen lässt, dass Aufzeichnungen nicht verändert wurden;
• Abrufbarkeit: getestete Fähigkeit, innerhalb weniger Tage nach einer Anfrage die vollständige Akte einer Kundin oder eines Kunden mit Transaktionen und Analyse-Momentaufnahmen vorzulegen;
• Kontrollen bei der Auslagerung: Das Unternehmen bleibt verantwortlich, wenn Aufzeichnungen bei einem Anbieter oder Cloud-Dienstleister gespeichert sind.

Prüfungsschwerpunkt: Anforderungen von R.11 (mindestens fünf Jahre; Transaktionsaufzeichnungen müssen ausreichen, um Transaktionen zu rekonstruieren; Aufzeichnungen aus der Kunden-Due-Diligence-Prüfung, Kontounterlagen, Korrespondenz und Analyseergebnisse werden nach Ende der Geschäftsbeziehung weiter aufbewahrt; zügige Bereitstellung); kryptospezifische Aufzeichnungen, einschließlich datierter Analyse-Momentaufnahmen und Travel-Rule-Daten; rechtliche Aufbewahrungssperren und Aufbewahrungsauslöser; zentrale Datenschutzgrundsätze und ihre Anwendung auf AML-Daten; R.2 und die Vereinbarkeit von AML- und Datenschutzregeln; Umgang mit Auskunftsersuchen, ohne gegen das Verbot der Offenlegung zu verstoßen; die drei Bereiche des Informationsaustauschs (innerhalb einer Gruppe gemäß R.18 und den Änderungen von 2017, zwischen nicht verbundenen VASPs und in Partnerschaften) sowie die FATF-Dokumente zum Informationsaustausch; sichere Speicherung, Zugriffskontrolle, Integrität und Abrufbarkeit.