Was Banken bei der KYC wirklich verlangen dürfen

Wenn eine Bank mehr verlangt, als nötig erscheint, kommen die meisten dem nach und machen weiter – Reibung beim Onboarding ist das Letzte, was man bei einer Kontoeröffnung gebrauchen kann. Doch die Frage, was Banken bei der KYC verlangen dürfen, hat eine echte rechtliche Antwort. Sie liegt im Spannungsfeld zweier Regelwerke, die in entgegengesetzte Richtungen ziehen: das Geldwäschegesetz, das Banken zur Identifizierung und Bewertung verpflichtet, und die DSGVO, die sie verpflichtet, nicht mehr als nötig zu erheben.

Zu wissen, wo das eine endet und das andere beginnt, trennt den kooperativen Kunden vom übererhobenen. Die Compliance-Pflicht der Bank ist real. Ihr Recht auf Datensparsamkeit ebenso. Sie stehen seltener im Konflikt, als Banken nahelegen.

Die zwei Gesetze und warum sie keine Gegensätze sind

Das GwG (und seine österreichischen sowie EU-Pendants nach den Geldwäscherichtlinien) verlangt Sorgfaltspflichten. Die Bank muss Sie identifizieren, die Identität gegen ein zuverlässiges Dokument prüfen, den Zweck der Beziehung verstehen und in manchen Fällen tiefer graben. Das ist eine Rechtsgrundlage zur Datenverarbeitung: DSGVO Art. 6 Abs. 1 lit. c, Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung.

Was Banken unterbelichten: Diese Grundlage ist auf die Verpflichtung beschränkt. Art. 6 Abs. 1 lit. c erlaubt zu erheben, was die GwG-Pflicht verlangt – nicht, was bequem ist, nicht „alles, sicherheitshalber“. DSGVO Art. 5 Abs. 1 lit. c, Datenminimierung, gilt obendrauf. Die AML-Pflicht definiert die Obergrenze; die Minimierung sagt, dass Sie auf oder unter ihr bleiben.

Der eigentliche Test für jedes verlangte Feld ist also eine einzige Frage: Verlangt diese konkrete GwG-Pflicht diesen konkreten Datenpunkt für dieses Risikoniveau? Wenn ja, geben Sie es heraus. Kann die Bank das Feld keiner Pflicht zuordnen, liegt Übererhebung vor.

Was die einfache Sorgfaltspflicht tatsächlich abdeckt

Für eine normale Kundenbeziehung mit Standardrisiko sind die Kern-Identifizierungspflichten eng:

• Identität: Name, Geburtsdatum, Geburtsort, Staatsangehörigkeit, Wohnanschrift.
• Verifizierung: ein gültiger amtlicher Ausweis, gegen diese Daten geprüft.
• Zweck und angestrebte Art der Geschäftsbeziehung.
• Wirtschaftlich Berechtigte, wenn Sie für oder neben anderen handeln.
• Laufende Überwachung der Beziehung über die Zeit.

Das ist die Standardstufe. Sie umfasst standardmäßig nicht Ihre Steuererklärungen, die Daten Ihres Arbeitgebers, eine Aufschlüsselung jeder Einkommensquelle oder eine beglaubigte Erklärung, woher Ihre Ersparnisse stammen. Das gehört zur verstärkten Sorgfaltspflicht.

Standard vs. verstärkt: wissen, in welcher Stufe Sie sind

Aspekt	Einfache Sorgfaltspflicht	Verstärkte Sorgfaltspflicht
Auslöser	Normales Risiko	Hohes Risiko: PEP, Hochrisikoland, komplexe Struktur
Identitätsdaten	Kernidentifikatoren + gültiger Ausweis	Dieselben, oft mit Zusatzprüfung
Mittelherkunft	In der Regel nicht erforderlich	Häufig erforderlich
Dokumentationstiefe	Gering	Höher, mit Begründung
Ihr Hebel	Hoch – Minimierung greift sauber	Geringer – aber Umfang gilt weiter

Der Hebel: Die meisten Privat- und KMU-Kunden sind in der Standardstufe. Werden Sie als verstärkt behandelt – Mittelherkunft, Berufshistorie, lückenlose Dokumentation –, sollte die Bank den auslösenden Risikofaktor benennen können. „Richtlinie“ ist kein Risikofaktor. Ein konkreter, benennbarer Grund schon.

Wie Übererhebung in der Praxis aussieht

Sie erkennen das Muster, sobald Sie es kennen. Typische DACH-Beispiele:

• Eine einfache Kontoeröffnung, die Einkommensnachweis und Mittelherkunft ohne benannten Risikoauslöser verlangt.
• Eine vollständige, ungeschwärzte Ausweiskopie, wo die Prüfung der Datenfelder genügen würde – und wo das Aufbewahren einer Vollkopie nicht gesondert gerechtfertigt ist.
• „Schicken Sie uns eine Kopie Ihres Ausweises per Mail“ – das Maximum über den unsichersten Kanal erheben, was für sich ein Warnzeichen ist. Wie man damit umgeht, steht in unsichere KYC-Anfragen kontern.
• Bündelung: ein einziges Formular, das KYC-Daten und Marketingeinwilligung und Weitergabe-Erlaubnisse erhebt, wo nur das Erste eine Rechtsgrundlage hat.

Keines davon ist automatisch rechtswidrig, aber jedes verdient die Frage: Welche Pflicht verlangt das?

Sachlich kontern, ohne das Onboarding zu sprengen

Kontern funktioniert als klärende Frage weit besser denn als Vorwurf. Die Formulierung, die wirkt:

„Ich liefere gern, was nötig ist. Damit ich das Richtige sende: Können Sie Rechtsgrundlage und Zweck für [konkretes Feld] gemäß DSGVO Art. 13 bestätigen? Und ob eine Prüfung der Datenfelder statt einer Vollkopie genügt?“

Das bewirkt dreierlei. Es signalisiert Kooperation. Es ruft ein Recht auf, das die Compliance-Abteilung sofort erkennt (DSGVO Art. 13 Transparenz, Art. 15 Auskunft). Und es verschiebt die Last: Jetzt verknüpfen sie das Feld mit einer Pflicht. Ein korrekt handelnder Verpflichteter antwortet in einem Satz. Wer übererhebt, wird tendenziell still oder eskaliert an einen Menschen – genau dort wird die Anfrage zurechtgestutzt.

Wenn Sie Daten liefern, liefern Sie das Minimum sauber. Teilen Sie die konkreten Felder, die die Prüfung braucht, statt des ganzen Dokuments, halten Sie fest, was Sie an wen gesendet haben, und lassen Sie keine Kopie zum dauerhaften, unkontrollierten Artefakt werden. Welche Felder eine Anfrage tatsächlich rechtfertigt, ist eine eigene Disziplin – siehe Datensparsamkeit: welche Felder teilen. Ihre laufenden Rechte auf Auskunft, Berichtigung und Löschung stehen in Ihre DSGVO-Rechte bei der KYC.

Auch Werkzeuge zählen hier. Identitätsdaten über einen eng gefassten Link statt als Mail-Anhang zu teilen, lässt Sie einer Bank genau die Felder geben, die eine Prüfung braucht – mit Wasserzeichen, entziehbar und mit Audit-Log, wer worauf zugriff. Das ist das Modell hinter ShareKYC: einmal verifizieren, eng teilen, Kontrolle behalten.

Das Fazit

Banken dürfen verlangen, was das GwG für Ihr Risikoniveau wirklich fordert – nicht mehr. Die AML-Pflicht ist real und respektabel; sie ist auch begrenzt, und die DSGVO-Minimierung bewacht die Grenze. Wenn sich eine Anfrage das nächste Mal schwer anfühlt, weder verweigern noch blind nachkommen. Fragen Sie nach Rechtsgrundlage, Zweck und ob eine gezielte Prüfung statt einer Vollkopie genügt. Meist schrumpft die Anfrage, sobald jemand sie begründen muss.

Wer oft bei Banken, Maklern und PSP onboardet, verwandelt jeden dieser Reibungspunkte in eine Dreißig-Sekunden-Entscheidung, wenn die verifizierten Identitätsdaten feldweise bereitliegen – statt einen Passscan in jedes neue Portal zu laden. Dafür ist ShareKYC gebaut.