Dokumentation
& Aufbewahrung
Prüffeste Nachweisführung für KYC, CDD, EDD, Monitoring, Verdachtsentscheidungen und interne Sicherungsmaßnahmen.
Dokumentation und Aufbewahrung sind der Evidence Layer des AML-Systems. Sie machen nachvollziehbar, welche Informationen erhoben, welche Prüfungen durchgeführt, welche Entscheidungen getroffen und welche Maßnahmen umgesetzt wurden.
§ 8 GwG regelt die Aufzeichnungs- und Aufbewahrungspflichten. Aufzuzeichnen und aufzubewahren sind insbesondere die im Rahmen der Sorgfaltspflichten erhobenen Angaben und eingeholten Informationen sowie Unterlagen über Geschäftsbeziehungen und Transaktionen. Die Aufbewahrung beträgt grundsätzlich fünf Jahre; spätestens nach Ablauf von zehn Jahren sind die Unterlagen zu vernichten, soweit keine längeren gesetzlichen Aufbewahrungspflichten greifen.
Was Sie in zwei Minuten wissen müssen.
§ 8 GwG ist die Kernnorm
§ 8 GwG regelt, welche Angaben, Informationen und Unterlagen aufzuzeichnen und aufzubewahren sind.
Fünf Jahre Aufbewahrung
Aufzeichnungen und sonstige Belege sind grundsätzlich fünf Jahre aufzubewahren, soweit keine längeren gesetzlichen Fristen gelten.
Vernichtung nach zehn Jahren
§ 8 GwG sieht vor, dass Aufzeichnungen und sonstige Belege spätestens nach Ablauf von zehn Jahren zu vernichten sind.
KYC-Akte als Beweiskette
Identifizierung, UBO, Zweckprofil, Risikoklasse, PEP, Hochrisikoländer, EDD und Reviews müssen zusammen nachvollziehbar sein.
Entscheidungen dokumentieren
Nicht nur Daten, sondern auch Begründungen, Freigaben, Overrides, Plausibilisierungen und Eskalationen sind prüfungsrelevant.
BaFin-AuA beachten
Die BaFin hat ihre Auslegungs- und Anwendungshinweise zum GwG 2024 überarbeitet und 2025 ergänzt.
Architektur der AML-Dokumentation
Eine prüfungsfeste AML-Dokumentation ist kein digitales Ablagefach. Sie ist ein strukturiertes Evidence Framework, das Daten, Dokumente, Prüfhandlungen, Entscheidungen und Fristen miteinander verbindet.
KYC Evidence Layer
Identifizierungsdaten, Verifikationsnachweise, Registerauszüge, UBO-Angaben, PEP-Prüfung und Zweckprofil.
Risk Evidence Layer
Risikoklassifizierung, Risikofaktoren, Scoring, Overrides, EDD-Trigger, Länderbezug und Freigaben.
Transaction Evidence Layer
Transaktionsdaten, Profilabgleiche, Monitoring-Alerts, Belege, Gegenparteienprüfung und Plausibilisierung.
Decision Evidence Layer
Entscheidungen zu Annahme, Fortführung, EDD, Fallabschluss, Verdachtsmeldung, Nichtmeldung, Exit oder Ablehnung.
Retention Layer
Fristensteuerung, Aufbewahrungsbeginn, Löschung, Vernichtung, Datenschutz, Sperrkonzepte und Ausnahmeregeln.
Audit Layer
Versionierung, Zugriff, Unveränderbarkeit, Suchfähigkeit, QA, Revisionsfähigkeit und Nachvollziehbarkeit.
Dokumentation ist der Nachweis, dass das AML-System tatsächlich funktioniert.
Ein AML-Prozess ist in Prüfungen nur so stark wie seine Nachweise. Ohne konsistente Dokumentation lassen sich Identifizierung, Risikobewertung, EDD, Monitoring, Verdachtsentscheidungen und Managementfreigaben nicht belastbar belegen.
Die FIU/Zoll beschreibt die Sorgfaltspflichten als zentrale Verpflichtung, „zu wissen, mit wem Sie Geschäfte machen“. Diese Pflicht verlangt nicht nur Prüfung, sondern auch nachvollziehbare Dokumentation der erhobenen und bewerteten Informationen.
Aktenmodell für prüfungsfeste Nachweise
| Aktenbereich | Inhalt | Premium-Nachweis |
|---|---|---|
| Identifizierung | Identifizierungsdaten, Dokumenten-/Registerprüfung, auftretende Personen, Vertreter und Berechtigungsnachweise. | KYC-Datensatz, Dokumentendaten, Registerauszug, Vollmacht, Prüfvermerk. |
| Wirtschaftlich Berechtigte | UBO-Ermittlung, Eigentums-/Kontrollstruktur, fiktiv wirtschaftlich Berechtigte und Transparenzregisterbezug. | UBO-Vermerk, Strukturdiagramm, Registerauszug, Plausibilisierung. |
| Zweckprofil | Zweck und angestrebte Art der Geschäftsbeziehung, erwartete Produktnutzung und erwartete Transaktionen. | Kundenprofil, Gesprächsvermerk, Produkt-/Transaktionsprofil. |
| Risikoklassifizierung | Risikofaktoren, Scoring, Risikoklasse, Override, Review-Zyklus und Monitoring-Auswirkung. | Scoring-Nachweis, Faktorenmatrix, Freigabe, Override-Vermerk. |
| PEP / Hochrisikoländer | Screening, Trefferbewertung, Länderlisten, geografischer Bezug und EDD-Auslöser. | Screening-Protokoll, Länderabgleich, EDD-Vermerk. |
| EDD | Zusatzinformationen, Vermögensherkunft, Mittelherkunft, Führungsebene-Freigabe und verstärkte Überwachung. | EDD-Akte, Source-of-Wealth/Funds, Freigabevermerk. |
| Monitoring & Alerts | Alerts, Profilabgleich, Fallanalyse, Kundenrückfragen, Plausibilisierung und Eskalation. | Alert-Fallakte, Analysevermerk, Belege, GWB-Eskalation. |
| Verdachtsentscheidung | Melde- oder Nichtmeldeentscheidung, goAML-Nachweis, Tipping-off-Kontrolle und Nachbereitung. | GWB-Vermerk, goAML-Referenz, Zeitstempel, Kommunikationsvermerk. |
| Reviews | Periodische und anlassbezogene Aktualisierung von Kundendaten, Risikoklasse und Maßnahmen. | Review-Log, Aktualisierungsnachweis, Trigger-Vermerk. |
Aufbewahrungsfristen und Löschlogik
| Fristenthema | Regelungslogik | Operative Umsetzung |
|---|---|---|
| Grundfrist | § 8 GwG sieht für Aufzeichnungen und sonstige Belege grundsätzlich eine Aufbewahrung von fünf Jahren vor. | Automatisierte Fristensteuerung, KYC-Aktenstatus, Fristbeginn dokumentieren. |
| Längere gesetzliche Fristen | Andere gesetzliche Aufzeichnungs- und Aufbewahrungspflichten können längere Fristen vorsehen. | Fristenmatrix mit GwG, HGB, AO, Zivilrecht und Datenschutzabgleich. |
| Maximalfrist / Vernichtung | § 8 GwG sieht vor, dass Unterlagen spätestens nach Ablauf von zehn Jahren zu vernichten sind. | Löschkonzept, Sperrlogik, Vernichtungsnachweis, Ausnahmen dokumentieren. |
| Fristbeginn Geschäftsbeziehung | Bei Geschäftsbeziehungen knüpft der Fristbeginn an das Ende des Kalenderjahres an, in dem die Geschäftsbeziehung endet. | Enddatum der Geschäftsbeziehung als systemischer Fristtrigger. |
| Fristbeginn sonstige Fälle | Bei sonstigen Fällen ist der jeweilige Erhebungs- oder Transaktionsbezug maßgeblich. | Fallart, Erhebungsdatum, Transaktionsdatum und Fristlogik dokumentieren. |
| Legal Hold / Sperre | Laufende Prüfungen, Verfahren oder gesetzliche Sonderpflichten können Sperr- oder Aufbewahrungsentscheidungen beeinflussen. | Legal-Hold-Prozess, Datenschutzprüfung, Freigabe und Dokumentation. |
Vom Nachweis zur fristgerechten Vernichtung
| Phase | Leitfrage | Operative Umsetzung | Nachweis |
|---|---|---|---|
| 1. Erheben | Welche AML-relevanten Informationen müssen dokumentiert werden? | KYC, UBO, Zweckprofil, Risikoklasse, Transaktionen, EDD, Alerts und Entscheidungen erfassen. | KYC-/Fallakte, Datenfelder, Dokumente. |
| 2. Prüfen | Sind Informationen vollständig, plausibel und verifiziert? | Pflichtfeldprüfung, Dokumentenprüfung, Registerabgleich, Vier-Augen-Prinzip. | Prüfvermerk, QA-Check, Freigabe. |
| 3. Entscheiden | Welche AML-Entscheidung folgt? | Annahme, Ablehnung, EDD, Fortführung, Monitoring, Verdachtsmeldung oder Exit. | Entscheidungsvermerk, Management-/GWB-Freigabe. |
| 4. Aufbewahren | Wie lange muss der Nachweis verfügbar bleiben? | Fristbeginn, Fristart, gesetzliche Sonderfristen und Zugriffskonzept bestimmen. | Fristenmatrix, Archivstatus. |
| 5. Sichern | Ist die Akte unverändert, auffindbar und vertraulich? | Archiv, Zugriff, Protokollierung, Verschlüsselung, Rollenrechte, Audit Trail. | Zugriffslog, Archivnachweis, Rechtekonzept. |
| 6. Vernichten | Wann ist die Aufbewahrung beendet? | Fristprüfung, Sperrprüfung, Löschfreigabe, Vernichtung oder Anonymisierung. | Löschprotokoll, Vernichtungsnachweis. |
| 7. Kontrollieren | Funktioniert die Dokumentations- und Fristenlogik? | QA, Stichproben, Datenschutzkontrolle, Revision und Mängelmanagement. | QA-Bericht, Mängelregister, Follow-up. |
Premium-Dokumentation bildet nicht nur Inhalte ab, sondern den gesamten Lebenszyklus von Erhebung, Prüfung, Entscheidung, Aufbewahrung und Vernichtung.
Datenqualität, Zugriff und Prüfungsfähigkeit
Vollständigkeit
Pflichtdaten, Dokumente, Freigaben und Prüfvermerke müssen vollständig vorhanden sein.
Konsistenz
KYC-Daten, Registerangaben, UBO-Struktur, Risikoklasse und Monitoring-Profil müssen zusammenpassen.
Aktualität
Änderungen bei Kunden, UBOs, PEPs, Ländern oder Produkten müssen dokumentiert und fristgerecht aktualisiert werden.
Nachvollziehbarkeit
Prüfer müssen erkennen können, warum eine Entscheidung getroffen wurde und auf welcher Informationsbasis.
Zugriffsschutz
AML-Akten enthalten sensible Daten und benötigen Rollenrechte, Zugriffskontrollen und Protokollierung.
Unveränderbarkeit
Archivierte Nachweise sollten versioniert, manipulationsgeschützt und revisionssicher nachvollziehbar sein.
Aufsichtsfest ist Dokumentation nur, wenn der Entscheidungsweg erkennbar ist.
Aufsicht und Prüfung betrachten nicht nur, ob Dokumente abgelegt sind. Entscheidend ist, ob die Dokumentation den fachlichen Entscheidungsweg trägt: Welche Information lag vor? Wie wurde sie geprüft? Warum wurde eine Risikoklasse vergeben? Warum wurde EDD durchgeführt oder nicht? Warum wurde gemeldet oder nicht gemeldet?
Die BaFin hat ihre Auslegungs- und Anwendungshinweise zum GwG am 29.11.2024 überarbeitet; 2025 wurde die aktualisierte Fassung ergänzt.
Vollständigkeit
Sind alle Pflichtinformationen und Nachweise vorhanden?
Entscheidungslogik
Sind Risikobewertungen, EDD, Overrides, Fallabschlüsse und Verdachtsentscheidungen begründet?
Fristensteuerung
Sind Aufbewahrung, Sperrung, Löschung und Vernichtung fristgerecht und kontrolliert umgesetzt?
Reifegrad der AML-Dokumentation
| Reifegrad | Charakteristik | Typisches Risiko | Zielbild |
|---|---|---|---|
| Level 1 · Ablageorientiert | Dokumente werden gesammelt und abgelegt. | Entscheidungswege sind nicht nachvollziehbar. | Pflichtdaten, Checklisten und Entscheidungsvermerke strukturieren. |
| Level 2 · Prozessual | KYC-, EDD-, Monitoring- und SAR-Akten folgen festen Prozessvorgaben. | Qualität und Vollständigkeit schwanken. | QA, Pflichtfelder und Aktenreviews etablieren. |
| Level 3 · Risikoorientiert | Dokumentationstiefe richtet sich nach Risiko, EDD, PEP, UBO und Länderbezug. | Fristen- und Löschlogik ist nicht ausreichend integriert. | Retention- und Löschkonzept mit KYC-Prozessen verbinden. |
| Level 4 · Datengetrieben | Systeme steuern Pflichtfelder, Fristen, Zugriff, Versionen und QA-Auswertungen. | Datenqualität oder Schnittstellenfehler beeinträchtigen Nachweise. | Datenqualitätskontrollen und Audit Trails stärken. |
| Level 5 · Intelligence Driven | Dokumentation unterstützt Fallanalyse, Typologien, Monitoring, QA und Managemententscheidungen. | Hoher Governance- und Pflegebedarf. | AML Evidence Framework als Steuerungs- und Prüfungsinstrument. |
Prüffragen zu Dokumentation und Aufbewahrung
| Prüffeld | Prüffrage | Erwarteter Nachweis |
|---|---|---|
| Pflichtumfang | Sind die nach § 8 GwG aufzuzeichnenden und aufzubewahrenden Informationen definiert? | Dokumentationsstandard, Datenmodell, Aktenplan. |
| KYC-Akte | Sind Identifizierung, UBO, Zweckprofil, PEP, Länderbezug und Risikoklasse vollständig dokumentiert? | KYC-Akte, QA-Check, Pflichtfelder. |
| Entscheidungen | Sind Annahme, EDD, Override, Fallabschluss, Verdachtsmeldung oder Nichtmeldung begründet? | Entscheidungsvermerk, GWB-/Managementfreigabe. |
| Aufbewahrung | Sind Fristbeginn, Fristdauer und gesetzliche Sonderfristen geregelt? | Fristenmatrix, Archivregel, Systemparameter. |
| Vernichtung | Werden Unterlagen nach Ablauf zulässiger Fristen gelöscht oder vernichtet? | Löschprotokoll, Vernichtungsnachweis, Datenschutzfreigabe. |
| Zugriff | Sind AML-Akten gegen unbefugten Zugriff geschützt? | Rechtekonzept, Zugriffsliste, Audit Trail. |
| Qualität | Werden Vollständigkeit, Aktualität und Nachvollziehbarkeit regelmäßig geprüft? | QA-Bericht, Stichprobe, Mängelregister. |
| Auslagerung | Sind Dokumentations- und Aufbewahrungspflichten auch bei Dienstleistern gesichert? | Vertrag, SLA, Kontrollrechte, Dienstleisterreport. |
Readiness Agenda für AML Evidence Management
| Priorität | Handlungsfeld | Zielbild |
|---|---|---|
| Sehr hoch | Aktenstandard definieren | KYC, UBO, EDD, Monitoring, SAR und Reviews folgen einem einheitlichen Dokumentationsmodell. |
| Sehr hoch | Fristenmatrix aufbauen | Aufbewahrung, Sperrung, Löschung und Vernichtung sind je Dokumentenart geregelt. |
| Hoch | Entscheidungsdokumentation stärken | Risikobewertungen, Overrides, EDD, Fallabschlüsse und Nichtmeldungen sind begründet. |
| Hoch | QA etablieren | Vollständigkeit, Datenqualität, Aktualität und Nachvollziehbarkeit werden regelmäßig geprüft. |
| Mittel | Zugriffsschutz prüfen | AML-Akten sind rollenbasiert geschützt und Zugriffe werden protokolliert. |
| Mittel | Lösch- und Vernichtungsprozess testen | Fristenablauf führt kontrolliert zu Löschung, Vernichtung oder dokumentierter Sperre. |
Dokumentation ist premium, wenn sie Prüfung, Steuerung und Fallanalyse gleichzeitig trägt.
Schwache Dokumentation beantwortet nur die Frage, ob ein Dokument vorhanden ist. Starke Dokumentation beantwortet, warum eine Entscheidung getroffen wurde, welche Risiken erkannt wurden, welche Kontrollen wirkten und welche Maßnahmen folgten.
Premium-Niveau entsteht, wenn Dokumentation nicht als Ablage verstanden wird, sondern als Beweiskette des AML-Systems: vollständig, risikobasiert, nachvollziehbar, geschützt, fristengesteuert und auswertbar.
Verknüpfte Inhalte innerhalb der AML-Domain
Sorgfaltspflichten
KYC, Identifizierung, UBO, PEP, EDD und laufende Überwachung als Dokumentationsbasis.
IDIdentifizierung
Identitätsdaten, Verifikation, auftretende Personen und Dokumentennachweise.
UBOWirtschaftlich Berechtigte
UBO-Ermittlung, Strukturdiagramme, Registerauszüge und Plausibilisierung.
EDDVerstärkte Sorgfaltspflichten
EDD-Akten, Freigaben, Source-of-Wealth/Funds und verstärkte Überwachung.
SARVerdachtsmeldung
Verdachtsentscheidung, goAML-Nachweis, Tipping-off und Nachbereitung.
AssuranceWirksamkeitskontrolle
QA, Aktenreviews, Mängelmanagement und Nachweisqualität.
Echtquellen und Datengrundlage.
- Geldwäschegesetz, § 8 Aufzeichnungs- und Aufbewahrungspflicht.
- Geldwäschegesetz, nichtamtliches Inhaltsverzeichnis mit § 8, § 10, § 11–13 und weiteren AML-Pflichten.
- BaFin: Auslegungs- und Anwendungshinweise zum Geldwäschegesetz, überarbeitet am 29.11.2024; Downloadseite 2025.
- BaFin: Ergänzung der aktualisierten Auslegungs- und Anwendungshinweise zum Geldwäschegesetz vom 06.03.2025.
- FIU/Zoll: Sorgfaltspflichten in Bezug auf Kunden.
- Regierungspräsidium Darmstadt: Aufzeichnungs- und Aufbewahrungspflicht nach § 8 GwG, Fristlogik fünf Jahre und Vernichtung spätestens nach zehn Jahren.
Hinweis: Diese Seite dient der fachlichen Einordnung und ersetzt keine Rechtsberatung, kein Datenschutzkonzept und keine institutsspezifische Fristenprüfung.