PEP-Prüfung in Deutschland: Anforderungen nach dem GwG

Verpflichtete nach dem deutschen Geldwäschegesetz müssen mit angemessenen, risikoorientierten Verfahren feststellen, ob ein Vertragspartner oder wirtschaftlich Berechtigter eine politisch exponierte Person (PEP), ein Familienmitglied oder eine bekanntermaßen nahestehende Person ist. Wird ein solcher Fall bestätigt, gelten verstärkte Sorgfaltspflichten: Zustimmung, Maßnahmen zur Klärung der Herkunft der eingesetzten Vermögenswerte und verstärkte laufende Überwachung. Ein übereinstimmender Name allein belegt diesen Status nicht.¹²

Dieser Leitfaden erläutert das deutsche Geldwäschegesetz (GwG), geprüft am 20. Oktober 2026. Im Mittelpunkt stehen die rechtliche Einordnung und der praktische Prüfprozess. Wie Checklynx die Informationen für diese Prüfung aufbereitet, erklärt die Produktseite zur PEP-Prüfung.

Welche Unternehmen und Personen sind erfasst?

§ 2 GwG bestimmt die Verpflichteten. Dazu gehören Unternehmen des Finanzsektors und bestimmte Tätigkeiten außerhalb des Finanzsektors. Der berufliche Anwendungsbereich, Transaktionsbedingungen und Ausnahmen sind zu beachten: Für ein erfasstes Unternehmen gelten nicht bei jeder Tätigkeit dieselben Pflichten. § 10 regelt die Anlässe für allgemeine Sorgfaltspflichten und umfasst die PEP-Prüfung des Vertragspartners und des wirtschaftlich Berechtigten.³¹

Bei einem Unternehmenskunden sind die relevanten wirtschaftlich Berechtigten festzustellen und zu prüfen. Ein Abgleich des Firmennamens beantwortet die Frage nach deren PEP-Status nicht. Der Leitfaden zur Prüfung wirtschaftlich Berechtigter und verbundener Parteien erklärt, wie sich der zu prüfende Personenkreis bestimmen lässt.

Maßgeblich sind die Hinweise der für die jeweilige Branche zuständigen Aufsichtsbehörde. § 50 regelt die Zuständigkeiten. BaFin-Hinweise gelten nicht ohne Weiteres für alle Verpflichteten in Deutschland.⁴

Wer gilt als PEP, Familienmitglied oder nahestehende Person?

§ 1 Absatz 12 erfasst hochrangige öffentliche Ämter auf internationaler, europäischer und nationaler Ebene sowie Ämter von vergleichbarer politischer Bedeutung unterhalb der nationalen Ebene. Genannt werden unter anderem Minister, Parlamentarier, Mitglieder der Führungsgremien politischer Parteien sowie bestimmte hochrangige Funktionen in Justiz und öffentlichem Sektor. Die tatsächliche Funktion muss einer gesetzlichen Kategorie entsprechen. Eine amtlich klingende Bezeichnung reicht nicht aus.⁵

Ein inländisches Amt ist nicht grundsätzlich von den deutschen PEP-Vorschriften ausgenommen. Umgekehrt ist nicht jedes kommunale Amt automatisch eine entsprechende hochrangige Funktion.

Die verbundenen Personengruppen sind gesondert zu prüfen:

• Familienmitglieder: § 1 Absatz 13 erfasst Ehepartner oder eingetragene Lebenspartner, Kinder und deren Ehepartner oder eingetragene Lebenspartner sowie Eltern.
• Bekanntermaßen nahestehende Personen: § 1 Absatz 14 erfasst bestimmte Verbindungen, darunter gemeinsame wirtschaftliche Berechtigung, andere enge Geschäftsbeziehungen und bestimmte Strukturen, die zugunsten einer PEP errichtet wurden. Nicht jede Bekanntschaft fällt darunter.

Ein Familienmitglied oder eine nahestehende Person muss nicht selbst ein öffentliches Amt ausüben. Die zutreffende Kategorie dokumentieren, statt jede verbundene Person als Amtsträger zu bezeichnen.⁵

Gesetzlichen PEP-Status und eigene Risikovorgaben unterscheiden

Das GwG legt fest, wann die gesetzlichen PEP-Regeln greifen. Daneben bewertet das Unternehmen die konkrete Geschäftsbeziehung, etwa anhand von Länderbezügen, Eigentumsverhältnissen, Produkten und erwarteten Transaktionen. Auch ohne PEP-Status können andere Umstände ein höheres Risiko und damit verstärkte Maßnahmen nach § 15 Absatz 2 begründen.²

Die interne Richtlinie kann weiter gefasste Prüfkriterien, zusätzliche Prüfungen, Freigabestufen und die Risikobereitschaft des Unternehmens festlegen. Für jede Maßnahme sollte erkennbar sein, worauf sie beruht: auf einer gesetzlichen PEP-Pflicht, einer anderen einschlägigen Vorgabe oder der eigenen Richtlinie. Eine interne Risikoeinstufung ändert die gesetzliche PEP-Definition nicht. Anwendbare gesetzliche Mindestpflichten lassen sich durch interne Vorgaben nicht aufheben.

Ein Unternehmen kann beispielsweise kommunale Amtsträger wegen ihres Einflusses auf öffentliche Aufträge prüfen, auch wenn das konkrete Amt nicht unter § 1 Absatz 12 fällt. Das ist als Prüfung nach den eigenen Risikokriterien zu dokumentieren, solange der gesetzliche PEP-Status nicht ebenfalls festgestellt wurde. Umgekehrt entscheidet ein bestätigter PEP-Status noch nicht über die Annahme der Geschäftsbeziehung. Dafür zählen auch die konkreten Umstände, die erforderlichen Maßnahmen und die Risikobereitschaft des Unternehmens.⁵

Auch weiter gefasste Prüfungen brauchen eine geeignete Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Der Leitfaden DSGVO bei Sanktions- und PEP-Prüfungen erklärt den Unterschied zwischen gesetzlicher Pflicht, interner Richtlinie und zulässiger Datenverarbeitung.

Vom möglichen Treffer zur begründeten Entscheidung

Für die praktische Prüfung bieten sich die folgenden Schritte an. Die vorgeschlagenen Angaben unterstützen die Einordnung; sie sind keine zusätzliche gesetzliche Checkliste.

1. Relevante Identitätsangaben erheben. Vertragspartner und wirtschaftlich Berechtigte feststellen, bevor mögliche Treffer geprüft werden.
2. Den möglichen Treffer abgleichen. Verfügbare Datumsangaben, Orte, Funktionen und Quellen heranziehen. Fehlende oder widersprüchliche Informationen müssen geklärt werden; ein einzelnes Merkmal sollte nicht den Ausschlag geben.
3. Amt oder Beziehung überprüfen. Die maßgebliche Funktion, Amtszeit oder familiäre beziehungsweise geschäftliche Verbindung feststellen.
4. Die deutsche Rechtskategorie anwenden. Festhalten, ob die Nachweise die Einordnung als PEP, Familienmitglied oder bekanntermaßen nahestehende Person stützen oder weshalb es sich um eine andere Person handelt.
5. Maßnahmen und Zuständigkeiten festlegen. Das Ergebnis mit Zustimmung, Prüfung der Vermögensherkunft und laufender Überwachung verknüpfen.

Offene Fälle müssen für die zuständigen Analysten erkennbar bleiben. Eine Softwarebewertung oder ein verworfener Namenstreffer ersetzt nicht die umfassendere Bewertung des Kundenrisikos.

Was ändert sich bei bestätigtem Status?

§ 15 Absatz 3 Nummer 1 ordnet Fälle mit PEP, Familienmitgliedern und bekanntermaßen nahestehenden Personen einem höheren Risiko zu. Der Umfang der Maßnahmen richtet sich nach dem Risiko. Die Mindestmaßnahmen nach § 15 Absatz 4 entfallen jedoch nicht allein deshalb, weil eine einzelne Geschäftsbeziehung unkompliziert erscheint.²

§ 1 Absatz 15 definiert das maßgebliche Mitglied der Führungsebene. Gemeint ist nicht zwingend ein Vorstandsmitglied. Die gesetzliche Pflicht zur Klärung der Herkunft eingesetzter Vermögenswerte ist präzise anzuwenden. Davon zu unterscheiden sind weitergehende Fragen zur Vermögensentstehung, die sich aus einschlägigen Aufsichtshinweisen oder der eigenen Risikobewertung ergeben können.⁵²

Übernimmt eine relevante Person während der Geschäftsbeziehung ein entsprechendes Amt oder erfährt das Unternehmen erst später davon, verlangt § 15 Absatz 4 Satz 2 die Zustimmung eines Mitglieds der Führungsebene zur Fortführung. Die Dokumentation und Maßnahmen sind neu zu bewerten. Das ursprüngliche Ergebnis bei der Kundenaufnahme ist keine dauerhafte Freigabe.²

Ehemalige PEP: Nach zwölf Monaten endet die Prüfung nicht automatisch

Nach § 15 Absatz 4 Satz 3 muss das Unternehmen das spezifische PEP-Risiko mindestens zwölf Monate nach dem Ausscheiden aus dem Amt berücksichtigen. Angemessene risikoorientierte Maßnahmen sind so lange fortzuführen, bis anzunehmen ist, dass dieses Risiko nicht mehr besteht. Nach Ablauf von zwölf Monaten darf der Status nicht automatisch aufgehoben werden. Auch enden dann nicht zwangsläufig alle Maßnahmen.²

Das Ausscheidedatum, einen möglichen fortbestehenden Einfluss und die Gründe für die Beibehaltung oder Anpassung der Maßnahmen festhalten. Maßgeblich ist die Bewertung der tatsächlichen Umstände, nicht allein ein Ablaufdatum in einer Datenbank.

Was muss aus der Dokumentation hervorgehen?

§ 8 verlangt Aufzeichnungen über die im Rahmen der Sorgfaltspflichten erhobenen Angaben sowie ausreichende Informationen zur Risikobewertung und Angemessenheit der Maßnahmen. Bei einem PEP-Fall sollte die Akte Identitätsnachweise, Funktion oder Beziehung, Quellen, Begründung, Zustimmung und Zuständigkeit für Folgeprüfungen zusammenführen.⁶

Eine nachvollziehbare Dokumentation hält auch fest, welche Angaben fehlten und wie sie geklärt wurden. Ein Bildschirmfoto mit der Angabe „PEP-Treffer“ erklärt für sich genommen weder das Amt noch die Identitätsentscheidung oder Zustimmung.

§ 8 Absatz 4 sieht grundsätzlich eine fünfjährige Aufbewahrung vor, soweit keine längeren gesetzlichen Fristen gelten, und verlangt die Vernichtung spätestens nach zehn Jahren. Im Fall einer Geschäftsbeziehung nach § 10 Absatz 3 Satz 1 Nummer 1 beginnt die Frist mit dem Ende des Kalenderjahres, in dem die Geschäftsbeziehung endet. In den übrigen Fällen beginnt sie mit dem Ende des Jahres, in dem die jeweilige Information festgestellt wurde. Entscheidend sind die zutreffende Fallgruppe und der Fristbeginn; zwischen fünf und zehn Jahren besteht kein freies Wahlrecht.⁶

Drei fiktive Prüfbeispiele

Ähnlicher Name, widersprüchliche Identitätsangaben

Ein Kunde hat denselben Namen wie ein ehemaliger Minister, die verfügbaren Geburtsangaben widersprechen sich jedoch. Das Compliance-Team prüft die Verlässlichkeit beider Datensätze und beschafft bei Bedarf weitere Identitätsmerkmale. Es hält fest, weshalb der Treffer eine andere Person betrifft, oder lässt die Identitätsfrage bis zur weiteren Klärung offen. Eine abweichende Staatsangehörigkeit allein ist nicht ausschlaggebend.

Ein wirtschaftlich Berechtigter ist Ehepartner eines Ministers

Der wirtschaftlich Berechtigte eines Unternehmens ist der Ehepartner eines amtierenden Ministers. Identität, maßgebliches Amt und Beziehung sind zu klären. Anschließend sind die Kategorie des Familienmitglieds und die erforderlichen verstärkten Maßnahmen anzuwenden. Ein geringes erwartetes Transaktionsvolumen lässt diese Mindestmaßnahmen für sich genommen nicht entfallen. Die Zustimmung hängt von der abgeschlossenen Prüfung ab; das Beispiel nimmt ihr Ergebnis nicht vorweg.

Ein Amtsträger ist vor acht Monaten ausgeschieden

Ein wirtschaftlich Berechtigter ist vor acht Monaten aus einem maßgeblichen Amt ausgeschieden. Das tatsächliche Ausscheidedatum ist festzuhalten und das fortbestehende PEP-spezifische Risiko zu bewerten. Der Mindestzeitraum von zwölf Monaten ist noch nicht abgelaufen. Auch beim späteren Erreichen des zwölften Monats ist eine Bewertung erforderlich; eine automatische Freigabe folgt daraus nicht.

PEP-Prüfsoftware an den Aufgaben des Teams messen

Relevante Länder, Funktionen und Beziehungen anhand nachvollziehbarer Fälle testen. Dabei klären, wie Quellenbelege, fehlende Angaben, Korrekturen und Amtswechsel behandelt werden. Verfügbare Geburtsangaben, Funktionen und Beziehungen sollen den Identitätsabgleich unterstützen. Keines dieser Merkmale ist für sich genommen ein universell eindeutiger Identifikator.

Checklynx führt Quellenergebnisse in Profilen zusammen und bereitet angereicherte, strukturierte Informationen für die Prüfung auf. Im eigenen Prüfprozess lässt sich testen, ob dieser Kontext die Unterscheidung möglicher Treffer und die Begründung von Entscheidungen erleichtert. Nicht jedes Profil enthält jedes Datenfeld. Ein unauffälliges Prüfergebnis schließt die Sorgfaltsprüfung des Kunden nicht ab.

Die Software für PEP-Prüfungen an diesen Anforderungen messen und für die weitergehende Bewertung den Kaufleitfaden für PEP-Prüfsoftware heranziehen.

Häufig gestellte Fragen

Bedeutet PEP-Status, dass jemand sanktioniert ist oder eine Straftat begangen hat?

Nein. Ein öffentliches Amt oder eine relevante Beziehung belegt weder eine Straftat noch eine Sanktionslistung. Eine Person kann unabhängig davon Sanktionen unterliegen; solche Beschränkungen sind daher gesondert zu prüfen. Der PEP-Status allein bedeutet kein allgemeines Verbot der Geschäftsbeziehung.

Muss jedes deutsche Unternehmen eine PEP-Datenbank kaufen?

Aus § 10 Absatz 1 Nummer 4 folgt keine allgemeine Pflicht, einen bestimmten Anbieter oder eine Datenbank zu nutzen. Verpflichtete benötigen in ihrem jeweiligen Anwendungsbereich angemessene risikoorientierte Verfahren. Ob ein kommerzieller Dienst passt, hängt vom Personenkreis, den erforderlichen Nachweisen und dem Bedarf an wiederholten Prüfungen ab.¹

Muss jede PEP-Prüfung täglich erfolgen?

§ 10 verlangt eine risikogerechte Aktualisierung und die Überprüfung bestehender Geschäftsbeziehungen zu geeigneten Zeitpunkten, auch bei relevanten Veränderungen. Einen allgemeinen täglichen Turnus für PEP-Prüfungen legt die Vorschrift nicht fest. Maßgeblich sind einschlägige Aufsichtserwartungen und die dokumentierten risikoorientierten Verfahren des Unternehmens.¹

Sind alle Bürgermeister und ihre Ehepartner automatisch erfasst?

Das lässt sich nicht pauschal annehmen. Das Amt ist nach § 1 Absatz 12 zu bewerten, einschließlich der vergleichbaren politischen Bedeutung bei Funktionen unterhalb der nationalen Ebene. Erst danach ist die jeweilige familiäre Verbindung zu prüfen. Die allgemeine Bezeichnung „Bürgermeister“ reicht für die rechtliche Einordnung nicht aus.⁵