Zweites Kapitel: Sorgfaltspflichten der Versicherungsunternehmen

Vorbemerkungen

Art. 7 GwG statuiert eine Dokumentationspflicht. Sie dient der Überprüfbarkeit der Einhaltung der gesetzlichen und reglementarischen Sorgfaltspflichten. Die Pflicht zur Identifizierung der Vertragspartei, die Feststellung der wirtschaftlich berechtigten Person bzw. des Kontrollinhabers nach Art. 3 ff. GwG und die Abklärungspflicht nach Art. 6 GwG würden erheblich an Gehalt verlieren, wenn der Finanzintermediär nicht gleichzeitig dazu angehalten wäre, das Resultat seiner verschiedenen Nachprüfungen festzuhalten und die erstellten Belege aufzubewahren (Botschaft-1996, Erläuterungen zu Art. 7 E-GwG). Seinerzeit erhobene Auskünfte oder getroffene Feststellungen können mit späteren nur dann zuverlässig verglichen werden, wenn sie in ihrer ursprünglichen Form verfügbar sind (De Capitani, a.a.O., Komm. zu Art. 7 GwG N 8). Dabei ist auch eine elektronische Archivierung zulässig.

Die Dokumentationspflicht beginnt mit den Verhandlungen zur Aufnahme einer Geschäftsbeziehung, d.h. in der Lebensassekuranz mit dem Eintreffen des unterzeichneten Antrages beim Versicherungsunternehmen. Führt ein Kundenkontakt zu keinem Vertragsabschluss und zu keiner Eröffnung einer Geschäftsbeziehung und ist zudem kein unterzeichneter Antrag dem Versicherungsunternehmen zugestellt worden, besteht keine Dokumentationspflicht.

Die Dokumentationspflicht betrifft einerseits abgeschlossene Versicherungsverträge, andererseits aber auch die nach GwG erforderlichen Abklärungen wie die

• Identifizierung der Vertragspartei und allfällige Wiederholungen (Art. 3 und 5 GwG und Art. 3–8 und 12 R SRO-SVV);
• Feststellung der wirtschaftlich berechtigten Person (Art. 4 GwG und Art. 9–10 R SRO-SVV) sowie allfällige Wiederholungen nach Art. 5 GwG und Art. 12 R SRO-SVV;
• Feststellung des Begünstigten nach Art. 11 R SRO-SVV;
• Besondere Abklärungen nach Art. 6 GwG und Art. 14 R SRO-SVV.

Die Frage, ob ein Finanzintermediär verpflichtet ist, die von der Vertragspartei erhaltenen Angaben im Einzelnen zu dokumentieren oder ob es genügt, über die Abklärungen als Ganzes eine Aktennotiz anzufertigen, kann nicht abschliessend beantwortet werden. Entscheidend ist, dass der Ablauf der Geschäftsbeziehungen rekonstruiert werden kann (siehe nachstehende Ausführungen). Zweckmässig ist, wenn die Vertragspartei zur Stützung ihrer Aussagen entsprechende Belege vorweisen kann, aus welchen zweifelsfrei hervorgeht, dass ein bestimmtes Rechtsgeschäft getätigt wurde und dieses letztlich den Vermögensanfall rechtfertigt. Zudem kann das Versicherungsunternehmen Informationen als Ergänzung der Aussagen der Vertragspartei im Internet beschaffen. Dies etwa dann, wenn die Vertragspartei über eine eigene Homepage verfügt oder weitere Informationen über den Kunden im Internet auffindbar sind.

Die erstellten Belege dienen einsichtsberechtigten Dritten dazu, sich «jederzeit ein zuverlässiges Urteil» über die Art und Weise zu bilden, wie das Versicherungsunternehmen die gesetzlichen und reglementarischen Bestimmungen befolgt und wie die Verträge abgewickelt und überwacht wurden. Dafür müssen alle Informationen über die Vertragspartei und allenfalls über die wirtschaftlich berechtigte Person schriftlich und sorgfältig festgehalten werden (Botschaft-1996, Erläuterungen zu Art. 7 Abs. 1 E-GwG).

Für die Herausgabe der Belege an einsichtsberechtigte Dritte sind fünf Arbeitstage angemessen (so auch Wyss, a.a.O., Komm. zu Art. 7 GwG Ziff. 7).

zu Abs. 1:

Die vertragsrelevanten Belege sind so zu erstellen, dass der Vertragsabschluss und die einzelnen Transaktionen rekonstruiert werden können. Rekonstruierbarkeit setzt Lückenlosigkeit, Richtigkeit und systematische Gruppierung der Belege voraus.

Rekonstruierbar müssen insbesondere sein:

• alle Vertragsabschüsse und Transaktionen anhand von Belegen (Paper Trail);
• die Vornahme der Identifizierung der Vertragspartei aufgrund von Belegen und Notizen;
• die Feststellung der wirtschaftlich berechtigten Person;
• die Abklärung der Hintergründe einer ungewöhnlichen Geschäftsbeziehung oder von ungewöhnlichen Transaktionen.

Die Belege dienen nicht zuletzt dem Schutz des Versicherungsunternehmens. So kann kontrolliert werden, ob es die Vorschriften von Art. 305^bis und 305^ter Abs. 1 StGB eingehalten hat (Botschaft-1996, Erläuterungen zu Art. 7 Abs. 1 E-GwG).

Das Versicherungsunternehmen erfüllt die gesetzliche Dokumentationspflicht, indem es von jeder Vertragspartei ein aktuelles und vollständiges Dossier unterhält. Die Vermutung, dass die Vertragspartei wirtschaftlich berechtigt ist, ergibt sich aus dem Versicherungsantrag und muss in geeigneter Weise als «Nichtzweifel» dokumentiert werden, falls nicht eine schriftliche Erklärung über die wirtschaftliche Berechtigung eingeholt wird. Dabei genügt eine Markierung in einem elektronischen Geschäftsanbahnungsprozess durchaus.

Das Versicherungsunternehmen muss in der Lage sein, auf Anfrage hin genau sagen zu können, ob eine Person mit ihr in vertraglicher Beziehung steht und ob eine Identifizierungspflicht der Vertragspartei bestand. Zudem muss ersichtlich sein, wer die wirtschaftlich berechtigte Person ist, falls eine diesbezügliche Abklärungspflicht bestand, und an wen die Zahlung der Versicherungsleistung erfolgte. Auch Unterlagen über eine Geschäftsbeziehung, welche wegen nicht ausgeräumter Zweifel nicht abgeschlossen wurde, sind aufzubewahren. Um diese Auskünfte «jederzeit» erteilen zu können, hat das Versicherungsunternehmen alle notwendigen organisatorischen Massnahmen zu treffen (Botschaft-1996, Erläuterungen zu Art. 7 Abs.2 E-GwG). Empfehlenswert ist, die Vertragsunterlagen (Dossiers) so abzulegen, dass sie unter Angabe des Kundennamens innerhalb eines Arbeitstages greifbar sind.

zu Abs. 2

Im Rahmen der Revision des Geldwäschereigesetztes im Jahr 2021 (mit Inkrafttreten per 1. Januar 2023) wurde die Verpflichtung zur risikobasierten Aktualisierung der Kundeninformationen geschaffen. Absatz 2 von Art. 16 R SRO-SVV setzt diese Vorgabe um. Gemäss der bundesrätlichen Botschaft wird dabei nicht erwartet, dass zum Zeitpunkt des Inkrafttretens des revidierten GwG bereits alle Geschäfts- und Vertragsbeziehungen aktualisiert sein sollen. Ab dem Zeitpunkt des Inkrafttretens besteht vielmehr eine Pflicht, die Geschäfts- und Vertragsbeziehungen zu überprüfen und unter Umständen zu aktualisieren (Botschaft 2019, BBl 2019, 5509). Mit Inkrafttreten der neuen Bestimmungen besteht somit die Erwartung, dass die unternehmensinterne Geldwäschereiweisung aktualisiert ist und ein risikobasiertes Konzept mit klar festgelegten Fristen für die Umsetzung der neuen Vorgaben besteht. Laut dem Anhörungsbericht zur GwV-FINMA müssen «die internen Weisungen der Finanzintermediäre die Kriterien sowie die Periodizität für die risikobasierte Aktualisierung der Kundenbelege aber nicht die jeweiligen Prozesse beinhalten» (Anhörungsbericht vom 27.10.2022, S. 11/19). Die Prozesse selbst müssen demnach nicht in die Weisung aufgenommen werden.

Zu den anwendbaren Regeln bei der Aktualisierung finden sich zudem folgende Ausführungen in der Botschaft (Botschaft 2019, BBl. 2019 S. 5509): «Es versteht sich von selbst, dass die Aktualisierungspflicht ebenso für neue wie für bei Inkrafttreten der neuen Bestimmung bereits bestehende Geschäftsbeziehungen gilt. Ausserdem muss die Aktualisierung der Daten nach den zum aktuellen Zeitpunkt geltenden Regeln erfolgen. Bei einer Änderung der Regeln zwischen dem Zeitpunkt, in dem die relevanten Daten beschafft wurden, und dem Zeitpunkt, in dem der Finanzintermediär die Aktualität überprüft, muss nach den neuen Regeln bestimmt werden, ob die Daten noch aktuell sind. Sind sie nicht mehr aktuell, so müssen sie unter Berücksichtigung der geltenden neuen Regeln auf den neuesten Stand gebracht werden». Mit dieser Regelung des Gesetzgebers wird der (nach wie vor geltende) Grundsatz, dass Bestimmungen aus dem GwG und R SRO-SVV keine Anwendung auf Sachverhalte finden, die sich vor dem Inkrafttreten verwirklicht haben, durchbrochen.

Die Verpflichtung zur risikobasierten Aktualisierung der Kundeninformationen beruht auf der Überlegung, dass das zeitgerechte Erkennen von Geldwäschereirisiken erfordert, dass aktuelle Angaben zu den Kunden und involvierten Personen vorliegen (vgl. Botschaft 2019, BBl. 2019 S. 5509). Die Aktualisierung der Informationen soll dazu dienen, einen relevanten Wechsel im Risikoprofil der Vertragspartei resp. der Geschäftsbeziehung zu erkennen und gegebenenfalls die notwendigen Massnahmen einzuleiten. Die für dieses Risikoprofil erforderlichen Belege müssen deshalb risikogerecht auf die Aktualität geprüft und bei Bedarf aktualisiert werden. In die Aktualisierungsmassnahmen müssen alle Geschäftsbeziehungen einbezogen werden. Die Periodizität, der Umfang und die Art der Überprüfung und Aktualisierung richtet sich nach dem Risiko, das die Vertragspartei darstellt. Entsprechend kann das Aktualisierungskonzept pro Risikokategorie unterschiedliche Aktualisierungsfristen und einen unterschiedlichen Umfang der zu prüfenden Belege (-teile) vorsehen. Die Grundvorgaben für die Prüfung und Aktualisierung der Belege müssen in einer unternehmensinternen Weisung verankert werden.

Da für Geschäftsbeziehungen mit ausländischen politisch exponierten Personen bereits aktuell ein jährlicher Kontrollrhythmus besteht, ist für die höchste Risikokategorie auch zukünftig eine jährliche Prüfung vorzusehen (vgl. Botschaft 2019, BBl. 2019 S. 5476). Bei den anderen Risikokategorien ist entsprechend dem risikobasierten Ansatz ein mehrjähriger Rhythmus vorzusehen. Bei Vorliegen eines Risikokriteriums (z.B. Geschäftsbeziehungen mit Sitzgesellschaften etc.) hat die Überprüfung in einem tiefen Mehrjahresrhythmus zu erfolgen (z.B. alle 3-5 Jahre). Bei normalen und tiefen Risiken können für die Überprüfung grössere zeitliche Abstände vorgesehen werden. Dabei kann insbesondere bei tiefen Risiken eine Aktualisierungsprüfung vorgesehen werden, welche erst nach mehreren Jahren wiederholt werden muss.¹

Der Umfang der zu prüfenden und zu aktualisierenden Belege (Daten) oder Teile davon ist ebenfalls nach einem risikobasierten Ansatz festzulegen (vgl. Botschaft 2019, BBl 2019 5441, S. 5509). Jedenfalls sind diejenigen Belege zu aktualisieren, welche für die Risikoklassifizierung oder Überwachung relevant sind. Gemäss den Materialien zum Gesetzestext (vgl. unwidersprochenes Votum von Nationalrätin Markwalder zu Art. 7 Absatz 1^bis GwG, Amtliches Bulletin zur Frühjahrssession 2021, S. 10 [Sitzung des Nationalrates vom 1. März 2021, 19.044 Geldwäschereigesetz]) sind dabei nicht formale Aspekte gemeint. Insbesondere ist nicht verlangt, dass die Vertragsparteien und die wirtschaftlich berechtigten Personen im Rahmen der Aktualisierungsprüfung mit einem aktuell gültigen Ausweis nachidentifiziert werden müssen. Bei tiefen Risiken kann sich die Aktualisierung auf Kernelemente wie Adressdaten fokussieren. Bei Geschäftsbeziehungen, bei welchen ein Zufluss neuer Gelder ausgeschlossen werden kann, insbesondere bei inaktiven, prämienfreien oder nachrichtenlosen Geschäftsbeziehungen, kann es sachgerecht sein, einzig auf Grundlage von Sanktions- und PEP-Listen zu aktualisieren (vgl. erwähnte Wortmeldung von Nationalrätin Markwalder). Bei erhöhten Risiken können zusätzlich beispielsweise die Angaben über die berufliche Tätigkeit sowie die wirtschaftliche Situation auf ihre Aktualität hin überprüft und gegebenenfalls aktualisiert werden.

Wird eine Kontaktaufnahme mit dem Kunden notwendig, so muss das Versicherungsunternehmen dies mit angemessenem Aufwand sicherstellen. Angemessene Kontaktbemühungen liegen beispielsweise vor, wenn der Kunde mehrmals aufgefordert wird, die benötigten Informationen oder Unterlagen einzureichen. Das weitere Vorgehen bei fehlenden Kundenreaktionen ist risikobasiert festzulegen. Bei Geschäftsbeziehungen mit tiefen oder normalen Risiken oder auch nachrichtenlosen Geschäftsbeziehungen kann dies beispielsweise darin bestehen, dass ein Systemvermerk erfolgt, dass die Vornahme von Leistungserhöhungen oder Leistungsauszahlungen erst erfolgen kann, wenn die ausstehenden Informationen oder Dokumente übermittelt werden.

Die Umsetzung des Konzepts zur Aktualisierung der Kundenbelege hat ebenfalls risikobasiert zu erfolgen. Die Umsetzung muss somit nicht zwingend sofort mit Inkrafttreten der neuen Vorgabe im R SRO-SVV initiiert werden, wenn technische Gründe dies nicht zulassen (z.B., weil weitere Arbeiten wie die Anpassung von Systemen etc. als Basis für die Umsetzung zu erfolgen haben). Die Umsetzung ist aber so zu planen, dass die im Konzept vorgeschriebenen Fristen eingehalten werden. Da bei der höchsten Risikoklasse eine jährliche Prüfung vorzusehen ist, müssen somit die betroffenen Geschäftsbeziehungen bereits im ersten Jahr nach Inkrafttreten der Bestimmung geprüft werden. Bei den anderen Risikokategorien sind die Arbeiten so zu planen, dass die Arbeiten innerhalb der Aktualisierungsfrist abgeschlossen werden können. Ist bei einer Risikokategorie z.B. ein fünfjähriger Aktualisierungszyklus vorgesehen, so müssen innerhalb von fünf Jahren alle betroffenen Geschäftsbeziehungen geprüft werden. Dies kann etappenweise (z. B. jedes Jahr ein Fünftel der Beziehungen) oder auch am Stück erfolgen (Prüfung aller betroffenen Geschäftsbeziehungen in einem Jahr des Fünfjahreszyklus).