Leistung nicht eingeordnet
Software, Datenbankzugang und Fallbearbeitung laufen unter einem Vertrag. Welche Teile eine Auslagerung sind, steht nirgends.
Normbezug: Erwägungsgrund 47 AMLR; § 6 Abs. 7 GwG
Fachbeitrag von S+P Governance
Compliance as a Service: Was die Geschäftsleitung abgeben kann
Rechtsstand: Oktober 2026. Lesezeit: 11 Minuten.
Management Summary
Compliance as a Service verlagert Arbeit, nicht Verantwortung. Nach § 6 Abs. 7 GwG dürfen Verpflichtete interne Sicherungsmaßnahmen durch einen Dritten durchführen lassen, wenn sie das vorher der Aufsichtsbehörde angezeigt haben; die Verantwortung für die Erfüllung der Sicherungsmaßnahmen bleibt bei ihnen. Für dich als Mitglied der Geschäftsleitung heißt das: Du kannst Kapazität und Fachwissen einkaufen, die Verantwortung bleibt im Haus.
Nicht jede Leistung unter diesem Etikett ist eine Auslagerung. Die Verordnung (EU) 2024/1624 (AMLR) hält in Erwägungsgrund 47 fest, dass die Nutzung oder der Erwerb von Software Dritter sowie der Zugang zu Datenbanken oder Screening-Diensten nicht als Auslagerung betrachtet wird. Übernimmt ein Dienstleister dagegen die Erfüllung einer Pflicht selbst, liegt eine Auslagerung vor, die Art. 18 AMLR regelt. Erwägungsgründe sind nicht selbst verbindlich, sie zeigen aber, wie der Verordnungsgeber die Regelung versteht.
Die Entscheidungsebene ist doppelt betroffen. § 4 Abs. 3 GwG weist die Verantwortung für das Risikomanagement einem zu benennenden Mitglied der Leitungsebene zu; Risikoanalyse und interne Sicherungsmaßnahmen bedürfen seiner Genehmigung. Institute müssen bei wesentlichen Auslagerungen zusätzlich § 25b KWG beachten: Die Auslagerung darf weder die Ordnungsmäßigkeit der Geschäfte noch die Geschäftsorganisation beeinträchtigen, und das Risikomanagement muss die ausgelagerten Aktivitäten einbeziehen.
Der Beitrag ordnet ein, was bei diesem Modell im Haus bleibt, welche Zeitpunkte zählen und an welchen Stellen die Steuerung in der Praxis bricht. Der Quick-Check zeigt dir in sechs Feldern, wie belastbar dein Leistungsbezug ist.
Inhaltsverzeichnis
Was Compliance as a Service rechtlich bedeutet
Der Begriff Compliance as a Service ist kein Rechtsbegriff. Er bündelt Leistungen, die rechtlich unterschiedlich zu behandeln sind. Hilfreich ist eine Einteilung danach, was der Dienstleister tatsächlich tut.
| Form | Typisches Beispiel | Einordnung | Was im Haus bleibt |
|---|---|---|---|
| Werkzeug | Zugang zu Software, Datenbanken oder Screening-Diensten | Nach Erwägungsgrund 47 AMLR keine Auslagerung | Nutzung, Bewertung der Ergebnisse, Entscheidung |
| Aufgabenerledigung | Der Dienstleister führt Prüfschritte oder Fallbearbeitung für dich durch | Auslagerung interner Sicherungsmaßnahmen: § 6 Abs. 7 GwG, Art. 18 AMLR | Anzeige, Steuerung, Entscheidung über Maßnahmen |
| Funktionsübernahme | Der Dienstleister nimmt eine Funktion wahr, etwa die des Geldwäschebeauftragten nach § 7 GwG | Auslagerung: § 6 Abs. 2 Nr. 2 und Abs. 7 GwG | Verantwortung des Mitglieds der Leitungsebene, Überwachung des Dienstleisters |
Die Einordnung erfolgt je Leistung und im Einzelfall; Institute prüfen zusätzlich die Wesentlichkeit nach § 25b KWG. Verträge bündeln oft Software, Datenzugang und Fallbearbeitung. Sinnvoll ist dann die Einordnung je Baustein, nicht für das Paket als Ganzes. Die MaRisk-Sicht auf diese Abgrenzung findest du im Beitrag Abgrenzung von Auslagerungen und Fremdbezug nach MaRisk.
Fristen und Zeitpunkte
| Zeitpunkt | Was gilt | Quelle |
|---|---|---|
| Vor Beginn der Auslagerung | Anzeige bei der Aufsichtsbehörde. In der Anzeige legst du dar, dass keine Untersagungsgründe vorliegen. | § 6 Abs. 7 GwG |
| Laufend | Funktionsfähigkeit der internen Sicherungsmaßnahmen überwachen und bei Bedarf aktualisieren. | § 6 Abs. 1 GwG |
| Laufend | Risikoanalyse und interne Sicherungsmaßnahmen bedürfen der Genehmigung des verantwortlichen Mitglieds der Leitungsebene. | § 4 Abs. 3 GwG |
| Ab 10. Juli 2027 | Die AMLR gilt; die Auslagerung ist in Art. 18 AMLR geregelt. | Verordnung (EU) 2024/1624 |
| Im Jahr 2026 | Die AMLA konsultiert Entwürfe ihrer Leitlinien, darunter zur laufenden Überwachung nach Art. 26 Abs. 5 AMLR. Eine Endfassung ist für diesen Beitrag nicht verifiziert. | AMLA, Konsultationen |
Zu den Bedingungen der Auslagerung sieht Erwägungsgrund 50 AMLR Leitlinien der AMLA vor. Einen Stand dazu hat dieser Beitrag nicht verifiziert.
Pflichten nach Funktion
| Funktion | Verbleibt im Haus | Dienstleister kann beitragen |
|---|---|---|
| Mitglied der Leitungsebene | Verantwortung für Risikomanagement und Einhaltung der geldwäscherechtlichen Bestimmungen; Genehmigung von Risikoanalyse und Sicherungsmaßnahmen (§ 4 Abs. 3 GwG); Entscheidung über Anzeige und Vertrag | Zuarbeit und Entscheidungsvorbereitung |
| Geschäftsleitung insgesamt | Entscheidungen über Maßnahmen, die die Umsetzung von Strategien, Verfahren und Kontrollen berühren (Erwägungsgrund 48 AMLR); bei Instituten ein Risikomanagement, das ausgelagerte Prozesse einbezieht (§ 25b Abs. 1 KWG) | Durchführung der vertraglich vereinbarten Aufgaben |
| Aufsichtsrat | Überwachung der Geschäftsleitung. Empfehlung, keine Norm: eine feste Berichtslinie zu Umfang, Wirksamkeit und Anzeigestatus der Auslagerungen | Nicht vorgesehen; der Aufsichtsrat prüft die Berichte des Hauses |
| Geldwäschebeauftragter | Funktion nach § 7 GwG (vgl. § 6 Abs. 2 Nr. 2 GwG); die Verantwortung für die Erfüllung bleibt auch bei Wahrnehmung durch Dritte beim Verpflichteten (§ 6 Abs. 7 GwG) | Wahrnehmung der Funktion, wenn vertraglich vereinbart und angezeigt |
Ein Dienstleister, der selbst nicht Verpflichteter ist, hat Pflichten allein aus dem Vertrag; die AMLR begründet sie nach Erwägungsgrund 47 nicht. Was nicht im Vertrag steht, steuerst du auch nicht.
Pain Points: Wo die Steuerung bricht
Anzeige zu spät oder ohne Darlegung
Der Vertrag startet, die Anzeige folgt später, oder sie legt die Untersagungsvoraussetzungen nicht dar.
Normbezug: § 6 Abs. 7 GwG
Entscheidungen wandern unbemerkt
Der Dienstleister legt faktisch fest, welche Treffer eskaliert werden. Sind die Steuerungsmöglichkeiten des Verpflichteten beeinträchtigt, ist das ein Untersagungsgrund.
Normbezug: § 6 Abs. 7 Nr. 2 GwG; Erwägungsgrund 48 AMLR
Verantwortung wird mitgedacht
Vertrag oder Angebot sprechen davon, der Dienstleister übernehme die Verantwortung. Rechtlich bleibt sie beim Verpflichteten.
Normbezug: § 6 Abs. 7 GwG; Erwägungsgrund 47 AMLR
Aufsicht kommt nicht heran
Prüfungs- und Auskunftswege zum Dienstleister sind nicht geregelt. Die Aufsichtsbehörde kann die Übertragung untersagen; bei Instituten kann die BaFin Anordnungen treffen.
Normbezug: § 6 Abs. 7 Nr. 3 GwG; § 25b Abs. 4 KWG
Wirksamkeit wird nicht gemessen
Berichte zeigen Menge, aber keine Qualität. Die Funktionsfähigkeit der Sicherungsmaßnahmen zu überwachen, bleibt Aufgabe des Verpflichteten.
Normbezug: § 6 Abs. 1 GwG
Quick-Check: Wie steuerbar ist dein Leistungsbezug?
Ordne jedes Feld ein. Die Empfehlung erscheint je Zustand und braucht kein Skript; mit der Tastatur wählst du über Tab und die Pfeiltasten.
1. Einordnung
Ist je Leistung und Baustein dokumentiert, ob es sich um eine Auslagerung oder um den bloßen Bezug von Software oder Daten handelt?
Normbezug: Erwägungsgrund 47 AMLR; § 6 Abs. 7 GwG
Wähle einen Zustand, dann erscheint die Empfehlung.
Erfüllt: Halte die Einordnung aktuell und prüfe sie bei jeder Vertragsänderung.
Teilweise: Ergänze die fehlenden Bausteine und lass die Einordnung vom verantwortlichen Mitglied der Leitungsebene bestätigen.
Offen: Erstelle eine Leistungsabgrenzung, bevor du neue Leistungen beziehst oder Verträge verlängerst.
2. Anzeige
Wurde die Auslagerung vor Beginn angezeigt, und enthielt die Anzeige die Darlegung, dass keine Untersagungsgründe vorliegen?
Normbezug: § 6 Abs. 7 GwG
Wähle einen Zustand, dann erscheint die Empfehlung.
Erfüllt: Lege die Anzeigeunterlagen so ab, dass du sie bei Nachfragen der Aufsicht sofort vorlegen kannst.
Teilweise: Prüfe, ob die Darlegung alle drei Untersagungsgründe abdeckt, und ergänze sie, wo das nicht der Fall ist.
Offen: Kläre kurzfristig, ob eine Anzeige erforderlich war und nachgeholt werden muss; ziehe dafür deine Rechtsberatung hinzu.
3. Verantwortung
Ist ein Mitglied der Leitungsebene benannt, und hat es Risikoanalyse und interne Sicherungsmaßnahmen genehmigt?
Normbezug: § 4 Abs. 3 GwG
Wähle einen Zustand, dann erscheint die Empfehlung.
Erfüllt: Dokumentiere die Genehmigung mit Datum und Stand der Unterlagen.
Teilweise: Hole die fehlende Genehmigung ein und lege fest, wann sie erneuert wird.
Offen: Benenne das verantwortliche Mitglied und lege ihm Risikoanalyse und Sicherungsmaßnahmen zur Genehmigung vor.
4. Entscheidungsvorbehalt
Ist schriftlich festgelegt, welche Entscheidungen im Haus bleiben, und lässt sich das im Betrieb belegen?
Normbezug: Erwägungsgrund 48 AMLR; § 6 Abs. 7 Nr. 2 GwG
Wähle einen Zustand, dann erscheint die Empfehlung.
Erfüllt: Prüfe stichprobenartig, ob die Vorbehalte im Alltag eingehalten werden.
Teilweise: Ergänze Schwellen und Freigabewege dort, wo der Dienstleister bisher allein entscheidet.
Offen: Definiere Entscheidungsvorbehalte, bevor der Dienstleister Fälle eigenständig abschließt.
5. Steuerung
Wird die Wirksamkeit der Leistung gemessen und an die Leitungsebene berichtet?
Normbezug: § 6 Abs. 1 GwG
Wähle einen Zustand, dann erscheint die Empfehlung.
Erfüllt: Prüfe, ob die Kennzahlen Qualität abbilden und nicht nur Menge.
Teilweise: Ergänze mindestens eine Kennzahl zur Qualität und lege den Berichtsrhythmus fest.
Offen: Starte mit wenigen Kennzahlen und einem festen Berichtstermin an die Leitungsebene.
6. Aufsicht und Ausstieg
Sind Prüfungs- und Kontrollmöglichkeiten für die Aufsicht gesichert, und wäre ein Wechsel oder eine Rückholung planbar?
Normbezug: § 6 Abs. 7 Nr. 3 GwG; für Institute § 25b KWG
Wähle einen Zustand, dann erscheint die Empfehlung.
Erfüllt: Spiele den Ausstieg an einem Szenario durch, etwa dem Ausfall des Dienstleisters.
Teilweise: Ergänze die fehlenden Rechte im Vertrag und skizziere den Rückholweg.
Offen: Kläre im Vertrag Prüfungs- und Auskunftsrechte und lege fest, wie du die Leistung im Ernstfall zurückholst.
Lösungsansätze: Sechs No-Regret-Maßnahmen
Diese Maßnahmen lohnen sich unabhängig davon, wie die weitere Umsetzung der AMLR ausfällt.
Leistungsabgrenzung je Baustein
Halte in einer Matrix fest, was Werkzeug, Aufgabe oder Funktion ist, wer entscheidet und wer dokumentiert.
Anzeige als Freigabe-Gate
Lege den Leistungsbeginn erst fest, wenn Anzeige und Darlegung der Untersagungsvoraussetzungen vorliegen (§ 6 Abs. 7 GwG).
Entscheidungsvorbehalte festschreiben
Definiere Schwellen, Freigaben und Eskalationswege, die im Haus bleiben (Erwägungsgrund 48 AMLR).
Berichtslinie bis zum Aufsichtsrat
Berichte wenige Kennzahlen zu Wirksamkeit, Bearbeitungsqualität und offenen Punkten.
Prüfungs- und Informationsrechte sichern
Verankere Zugangs-, Auskunfts- und Prüfungsrechte im Vertrag, damit die Aufsicht nicht beeinträchtigt wird (§ 6 Abs. 7 Nr. 3 GwG).
Ausstieg und Rückholung planen
Beschreibe vorab, wie du die Leistung wechselst oder zurückholst, wenn der Dienstleister ausfällt.
Zur Vorbereitung auf die AMLR: Auslagerung von AML/CFT-Funktionen unter der AMLR.
Fazit: Compliance as a Service entlastet Prozesse, nicht Organe
Compliance as a Service ist ein Weg, Kapazität und Fachwissen einzukaufen. Er ändert nichts daran, dass Anzeige, Genehmigung, Entscheidungsvorbehalte und Überwachung bei der Geschäftsleitung liegen. Wer das vor Vertragsbeginn klärt, hat im Prüfungsfall die besseren Unterlagen.
Kernbotschaften
- Compliance as a Service entlastet Prozesse, nicht Organe.
- Die Einordnung je Baustein kommt vor dem Vertrag.
- Die Anzeige liegt vor dem Beginn der Auslagerung vor.
- Steuerung ist der Teil, den du nicht abgeben kannst.
Häufige Fragen
Ist Compliance as a Service nach dem GwG eine Auslagerung?+–
Das hängt von der Leistung ab. Software, Datenbanken oder Screening-Dienste gelten nach Erwägungsgrund 47 AMLR nicht als Auslagerung. Übernimmt ein Dienstleister die Erfüllung interner Sicherungsmaßnahmen selbst, greift § 6 Abs. 7 GwG.
Kann die Verantwortung auf den Dienstleister übergehen?+–
Nein. Nach § 6 Abs. 7 GwG bleibt die Verantwortung für die Erfüllung der Sicherungsmaßnahmen bei den Verpflichteten. Erwägungsgrund 47 AMLR geht in dieselbe Richtung.
Muss ich die Aufsicht vor Beginn informieren?+–
Ja, nach § 6 Abs. 7 GwG muss die Auslagerung vorher der Aufsichtsbehörde angezeigt werden. Die Aufsichtsbehörde kann die Übertragung untersagen, etwa wenn die Steuerungsmöglichkeiten oder die Aufsicht beeinträchtigt werden. Nach Erwägungsgrund 49 AMLR bedeutet die Meldung nicht, dass die Vereinbarung akzeptiert wird.
Was ändert sich mit der AMLR?+–
Die AMLR gilt ab dem 10. Juli 2027 und regelt die Auslagerung in Art. 18. Erwägungsgrund 50 sieht Leitlinien der AMLA zu den Bedingungen der Auslagerung vor; einen Stand dazu hat dieser Beitrag nicht verifiziert.
Welche Rolle hat der Aufsichtsrat?+–
Der Aufsichtsrat überwacht die Geschäftsleitung. Eine eigene Norm dazu nennt dieser Beitrag nicht. Sinnvoll ist eine feste Berichtslinie zu Umfang, Wirksamkeit und Anzeigestatus der Auslagerungen.
Wann ist ein externer Dienstleister aus Sicht der Geschäftsleitung sinnvoll?+–
Wenn Kapazität oder Fachwissen im Haus fehlen und die Steuerungsfähigkeit erhalten bleibt. Entscheidend ist, dass Entscheidungsvorbehalte, Berichtswege und Prüfungsrechte vor Vertragsbeginn geklärt sind.
Quellenverzeichnis
Es sind ausschließlich amtliche Quellen verlinkt. Keine der Quellen ist ein PDF. Rechtsstand der Prüfung: Oktober 2026.
- § 4 GwG – Risikomanagement (gesetze-im-internet.de)
Benennt das verantwortliche Mitglied der Leitungsebene und die Genehmigung von Risikoanalyse und Sicherungsmaßnahmen.
- § 6 GwG – Interne Sicherungsmaßnahmen (gesetze-im-internet.de)
Regelt Anzeige, Untersagungsgründe und das Verbleiben der Verantwortung bei Auslagerung.
- § 25b KWG – Auslagerung von Aktivitäten und Prozessen (gesetze-im-internet.de)
Setzt für Institute die Grenzen wesentlicher Auslagerungen und nennt Anordnungsbefugnisse der BaFin.
- Verordnung (EU) 2024/1624 (AMLR) – EUR-Lex
Rechtsakt mit Art. 18 und den Erwägungsgründen 47 bis 50 zur Auslagerung; Geltung ab 10. Juli 2027.
- AMLA – Öffentliche Konsultationen
Übersicht der Konsultationen zu Regulierungsinstrumenten der AMLA.
- AMLA – Konsultation zu Leitlinien zur laufenden Überwachung (Art. 26 Abs. 5 AMLR)
Entwurfsstand zur laufenden Überwachung von Geschäftsbeziehungen; kein verbindliches Recht.
Verwandte Leistungen und Programme
Abgrenzung von Auslagerungen und Fremdbezug nach MaRisk
Ergänzt diesen Beitrag um die MaRisk-Sicht auf Auslagerung und sonstigen Fremdbezug.
Auslagerung von AML/CFT-Funktionen unter der AMLR
Vertieft die AMLR-Seite der Auslagerung, die ab Juli 2027 gilt.
Governance im Auslagerungsmanagement
Ordnet Rollen und Zuständigkeiten im Auslagerungsmanagement ein.
Auslagerungscontrolling mit KPI und KRI
Zeigt, wie sich die Wirksamkeit ausgelagerter Leistungen berichten lässt.
Ausstiegsstrategien bei Auslagerungen
Ergänzt die Frage, wie ein Wechsel oder eine Rückholung vorbereitet wird.
AMLR-Readiness bei S+P Compliance
Beschreibt aus Umsetzungssicht, wie die Bearbeitung konkret aussieht und was ein externer Dienstleister dabei übernimmt.
