Compliance bei digitalen Identitäten verstehen

Warum Compliance wichtig ist

Identitätsprüfungen sind oft Teil regulierter Prozesse: Kontoeröffnung, Alterskontrollen, Zahlungen und Finanzdienstleistungen. In diesen Prozessen ist die Prüfung nicht nur ein Instrument gegen Betrug. Sie belegt auch, dass das Unternehmen eine Pflicht erfüllt hat, und dieser Nachweis muss unter Umständen noch Monate oder Jahre später einem Audit oder einer Prüfung durch die Aufsicht standhalten.

Die Anforderungen unterscheiden sich je nach Markt. Dasselbe Produkt kann in Zürich, Berlin und Lissabon unterschiedlichen Regeln unterliegen, und nochmals anderen, je nachdem, ob es eine Finanzlizenz hat, Waren mit Altersbeschränkung verkauft oder einfach Fake-Konten fernhalten will. Compliance beginnt damit, zu wissen, welche dieser Situationen auf Sie zutrifft.

Dieser Artikel gibt einen allgemeinen Überblick. Er ist keine Rechtsberatung, und Ihre Pflichten im Einzelnen hängen von Ihrer Lizenz, Ihrer Branche und den Märkten ab, die Sie bedienen. Klären Sie diese mit Ihrem Rechts- oder Compliance-Team.

Sorgfaltspflichten im Überblick

Die meisten Identifizierungspflichten in regulierten Branchen stammen aus den Regeln zur Bekämpfung der Geldwäscherei. Das gängige Schlagwort ist KYC, der zugrunde liegende Prozess sind die Sorgfaltspflichten gegenüber der Kundschaft. Grob gesagt verlangen sie von einem Unternehmen:

• Die Kundin oder den Kunden identifizieren. Name, Geburtsdatum und weitere Identifikationsdaten erfassen.
• Die Identität prüfen. Die Daten mit einer verlässlichen Quelle abgleichen, in der Regel einem Ausweisdokument, und bestätigen, dass die vorlegende Person dessen Inhaberin oder Inhaber ist.
• Die Geschäftsbeziehung verstehen. Wissen, wofür das Konto gedacht ist, und bei Unternehmen, wer die wirtschaftlich berechtigten Personen sind.
• Laufend überwachen. Die Angaben aktuell halten und reagieren, wenn die Aktivität nicht mehr zum Profil passt.

Wie gründlich jeder Schritt ausfällt, richtet sich nach dem Risiko. Ein Konto mit geringen Beträgen braucht womöglich nur vereinfachte Prüfungen, während eine Kundschaft oder ein Land mit hohem Risiko erhöhte Sorgfaltspflichten verlangt. Dieser risikobasierte Ansatz erlaubt es, dort schlankere Prozesse zu fahren, wo sie gerechtfertigt sind, und strengere dort, wo es sie braucht. Der AML-Rahmen gibt das Ziel vor. Wie Sie den Prozess gestalten, liegt weitgehend bei Ihnen.

Schweiz

Für die Identitätsprüfung in der Schweiz sind vor allem zwei Regelwerke massgebend.

Das revidierte Bundesgesetz über den Datenschutz (nDSG) ist seit dem 1. September 2023 in Kraft. Es hat das Schweizer Recht in seiner Struktur näher an die DSGVO gebracht, mit Grundsätzen wie Zweckbindung, Verhältnismässigkeit, Datenschutz durch Technik und datenschutzfreundlichen Voreinstellungen. Biometrische Daten, die eine Person eindeutig identifizieren, gelten als besonders schützenswerte Personendaten. Damit steigen die Anforderungen daran, wie sie bearbeitet, den Nutzerinnen und Nutzern erklärt und geschützt werden. Ein Gesichtsabgleich, der die Inhaberin oder den Inhaber eines Dokuments bestätigt, fällt in diese Kategorie.

Die Geldwäschereiregeln gelten für Finanzintermediäre wie Banken, Zahlungsdienstleister, Vermögensverwalter und viele Krypto-Unternehmen. Zusammen mit den Vorgaben der Aufsicht und der Selbstregulierungsorganisationen legen sie fest, wie Kundinnen und Kunden identifiziert werden müssen, einschliesslich der Anforderungen an das Remote-Onboarding. Welche Regeln genau gelten, hängt von der Lizenz ab und davon, wie das Unternehmen beaufsichtigt wird. Auf unserer Abdeckungsseite für die Schweiz finden Sie die Dokumente, die für den Schweizer Markt unterstützt werden.

Europäische Union

In der EU regelt die DSGVO die Bearbeitung von Personendaten. Biometrische Daten zur eindeutigen Identifizierung einer Person gehören zu einer besonderen Kategorie. Ein Unternehmen braucht deshalb sowohl eine Rechtsgrundlage als auch eine anwendbare Ausnahme für ihre Bearbeitung, dazu die üblichen Pflichten zu Transparenz, Sicherheit und Betroffenenrechten.

Bei der Geldwäschereibekämpfung hat die EU ein Paket verabschiedet, das den bisherigen richtlinienbasierten Ansatz weitgehend durch eine direkt anwendbare Verordnung ersetzt: die AMLR, die ab Juli 2027 gilt. Ein einheitliches Regelwerk dürfte die Unterschiede zwischen den Mitgliedstaaten verringern, doch Unternehmen müssen ihre Sorgfaltspflicht-Prozesse bis dahin daran messen.

Mit eIDAS 2.0 kommt die European Digital Identity Wallet, die die Mitgliedstaaten ihren Bürgerinnen und Bürgern anbieten müssen. Mit der Zeit könnten Wallets zu einem anerkannten Weg werden, geprüfte Merkmale wie einen Alters- oder Identitätsnachweis zu teilen, ohne ein vollständiges Bild des Dokuments herauszugeben. Es lohnt sich, Ihren Prozess so zu gestalten, dass sich später eine neue Nachweisquelle ergänzen lässt, ohne alles neu zu bauen.

Grenzüberschreitende Aspekte

Datenresidenz, Aufbewahrung und das, was Sie nach einer Prüfung speichern, ändern sich mit der Rechtsordnung. Planen Sie den Stack, bevor Sie skalieren.

Drei Fragen stellen sich bei fast jeder grenzüberschreitenden Einführung:

1. Wo werden die Daten bearbeitet und gespeichert? Übermittlungen aus der Schweiz oder der EU brauchen eine Rechtsgrundlage, und manche Kunden oder Aufsichtsbehörden erwarten, dass die Daten in einem bestimmten Land bleiben. Siehe dazu unseren Glossareintrag zur Datenresidenz.
2. Welche Unterauftragsbearbeiter haben Zugriff auf die Daten? Sie sind für Ihre Lieferkette verantwortlich. Verlangen Sie eine aktuelle Liste, wie auf unserer Seite zu den Unterauftragsbearbeitern, und gleichen Sie sie mit Ihrem Bearbeitungsverzeichnis ab.
3. Welche Dokumente werden akzeptiert? Die Abdeckung von Pässen, Identitätskarten und Aufenthaltstiteln unterscheidet sich je nach Land, und manche Dokumente haben einen NFC-Chip, andere nicht.

Aufbewahrung und Audit-Trail

Zwei Pflichten ziehen in entgegengesetzte Richtungen. Die Geldwäschereiregeln verlangen oft, dass Sie Identifizierungsunterlagen für eine bestimmte Dauer nach Ende der Geschäftsbeziehung aufbewahren. Die Datenschutzregeln verlangen, dass Sie nichts länger als nötig aufbewahren.

In der Praxis trennen Sie, was Sie behalten, von dem, was Sie löschen:

Was immer Sie aufbewahren, es muss nachvollziehbar sein. Eine Prüferin oder ein Prüfer sollte sehen können, welche Prüfungen gelaufen sind, welche Version des Prozesses verwendet wurde, wie das Ergebnis lautete und wer einen allfälligen manuellen Fall beurteilt hat.

Das Wichtigste für die Praxis

Wählen Sie Kontrollen, die zu Ihrem Risiko und Ihren Pflichten passen. Die Identitätsprüfung soll die Compliance unterstützen, ohne zum Engpass für das Produkt zu werden.

Eine kurze Checkliste vor dem Start:

• Ordnen Sie jedem Markt die Regeln zu, die für Ihre Lizenz und Branche gelten.
• Definieren Sie Risikostufen und die Prüfungen, die jede Stufe verlangt.
• Dokumentieren Sie Ihre Rechtsgrundlage für die Bearbeitung biometrischer Daten.
• Legen Sie Aufbewahrungsfristen pro Datentyp fest und automatisieren Sie die Löschung.
• Klären Sie, wo die Daten gehostet werden und welche Unterauftragsbearbeiter beteiligt sind.
• Stellen Sie sicher, dass jeder Entscheid einen Audit-Eintrag hinterlässt.

secuveri ist für genau diese Art von Setup gebaut. Die Daten werden in der Schweiz bearbeitet und gespeichert, ein On-Premise-Betrieb ist möglich, und Sie wählen, welche Prüfungen in jedem Prozess laufen. Wenn Sie einen bestimmten Markt besprechen möchten, buchen Sie ein Gespräch.