Ausländische Rechtsform, wirtschaftlich Berechtigter und internationale KYC-Kette

KYC in Spanien ist Teil der gesetzlichen Sorgfaltspflichten gegen Geldwäsche und Terrorismusfinanzierung. Für internationale Mandate, Gesellschaften oder einen Immobilienkauf auf Mallorca geht es nicht um ein einmaliges Formular, sondern um Identität, Vertretung, wirtschaftlich Berechtigte, Geschäftszweck, Risiko und laufende Überwachung.

Was bedeutet KYC in Spanien rechtlich?

KYC steht für „Know Your Customer“ oder „Know Your Client“, auf Deutsch: den Kunden kennen. Der Begriff bezeichnet kein eigenständiges spanisches Formulargesetz. Er fasst einen Teil der Sorgfaltspflichten zusammen, die vor allem aus der Ley 10/2010 und ihrer Durchführungsverordnung Real Decreto 304/2014 folgen.

Das Gesetz trennt den Kunden vom sujeto obligado, dem Verpflichteten. Der Verpflichtete muss die Prüfung durchführen, dokumentieren, die Beziehung überwachen und bei einem begründeten Verdacht an den Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC) melden. Ein Kunde reicht sein KYC nicht selbst bei SEPBLAC ein, muss dem Verpflichteten aber die erforderlichen Informationen und Nachweise bereitstellen.

Das Recht schreibt Prüfziele und Nachweise vor. Welches interne Formular eine Bank, ein Notar, ein Makler oder eine Kanzlei dafür verwendet und welche zusätzlichen risikobasierten Felder es enthält, ist eine Frage des jeweiligen Kontrollsystems. Nicht jede Formularzeile ist deshalb wortgleich im Gesetz zu finden.

Wer muss die Sorgfaltsprüfung durchführen?

Die Ley 10/2010 erfasst zahlreiche Berufs- und Unternehmensgruppen. Dazu gehören unter anderem Kredit- und Finanzinstitute, Notare und Registerführer, Immobilienentwickler und professionelle Immobilienvermittler sowie Wirtschaftsprüfer, externe Buchhalter und Steuerberater. Bei Rechtsanwälten und anderen freien Berufen hängt die Verpflichtung teilweise von den konkret ausgeübten gesetzlich genannten Tätigkeiten ab.

Personen, deren hauptsächliche geschäftliche oder berufliche Tätigkeit in materieller Hilfe, Unterstützung oder Beratung zu Steuerfragen besteht, sind ausdrücklich Verpflichtete. Bei einer grenzüberschreitenden Kanzlei ist die Rolle nach der tatsächlich erbrachten Leistung zu bestimmen, nicht allein nach der Berufsbezeichnung oder dem Sitz.

Mehrere Beteiligte können für dieselbe Transaktion jeweils eigene Pflichten haben. Die Prüfung einer Bank ersetzt deshalb nicht automatisch die Prüfung eines Notars, Maklers oder Beraters. Eine zulässige Einbindung oder Übernahme von Informationen ändert grundsätzlich nichts an der Verantwortung des jeweiligen Verpflichteten.

Wann muss die Identität geprüft werden?

Vor Begründung einer Geschäftsbeziehung oder Ausführung einer erfassten Transaktion muss der Verpflichtete die Identität der Beteiligten grundsätzlich anhand verlässlicher Dokumente feststellen und überprüfen. Besondere Schwellen oder Ausnahmen für gelegentliche Vorgänge greifen nicht, wenn Verdachtsmomente bestehen oder Zweifel an bereits erhobenen Identitätsdaten auftreten.

Bei einer natürlichen Person werden Identität und Gültigkeit des Dokuments geprüft. Handelt ein Vertreter, müssen zusätzlich seine Identität, seine Vertretungsmacht und die vertretene Person nachvollziehbar sein. Eine Vollmacht zum Empfang von E-Mails ist nicht automatisch eine umfassende Befugnis, Verträge oder Erklärungen abzugeben.

Bei einer Gesellschaft oder anderen Struktur werden insbesondere Existenz, Rechtsform, Sitz, Tätigkeit, Vertretungsorgane, Eigentums- und Kontrollstruktur sowie wirtschaftlich Berechtigte ermittelt. Registerauszug, Satzung, Organstellung und Beteiligungsnachweise müssen zusammenpassen. Widersprüche sind aufzuklären, nicht nur abzulegen.

Wie werden wirtschaftlich Berechtigte in Spanien bestimmt?

Als wirtschaftlich berechtigt gelten nach aktuell geltendem spanischem Recht insbesondere natürliche Personen, die letztlich direkt oder indirekt mehr als 25 Prozent des Kapitals oder der Stimmrechte einer juristischen Person besitzen oder kontrollieren oder auf andere Weise Kontrolle ausüben. „Mehr als 25 Prozent“ ist nicht dasselbe wie „mindestens 25 Prozent“.

Auch ohne Überschreiten dieser Beteiligungsgrenze kann Kontrolle auf andere Weise bestehen. Dafür sind etwa Stimmrechtsvereinbarungen, besondere Ernennungsrechte, mehrstufige Beteiligungen oder andere tatsächliche Einflussmöglichkeiten zu betrachten. Die Eigentums- und Kontrollkette wird bis zu den natürlichen Personen nachvollzogen.

Ergibt diese Prüfung keine natürliche Person, greift die spanische Auffangregel für den oder die Administratoren. Diese Lösung darf nicht an den Anfang gestellt werden: Zuerst müssen Beteiligungs- und Kontrollverhältnisse ernsthaft geprüft und dokumentiert werden.

Verpflichtete müssen für die Prüfung wirtschaftlich Berechtigter auf das Registro Central de Titularidades Reales, das zentrale Register wirtschaftlich Berechtigter, zugreifen. Der Registerabruf ist ein Prüfschritt, aber kein Freibrief. Abweichungen zwischen Register, Kundenangaben und weiteren Nachweisen müssen risikobasiert aufgeklärt werden.

Bleibt die Eigentums- oder Kontrollstruktur einer juristischen Person oder Rechtsstruktur unklar, darf die Geschäftsbeziehung nicht begründet oder fortgeführt werden. Eine unterschriebene Eigenerklärung heilt eine nicht nachvollziehbare Struktur nicht.

Welche Informationen werden zu Zweck und Tätigkeit benötigt?

Der Verpflichtete muss Zweck und beabsichtigte Art der Geschäftsbeziehung verstehen. Dazu gehören Informationen über berufliche oder geschäftliche Tätigkeit, erwartete Leistungen oder Transaktionen und deren wirtschaftlicher Hintergrund. Die Plausibilitätsprüfung richtet sich nach dem konkreten Risiko.

Bei normalen Fällen kann eine schlüssige Kombination aus Kundenangaben und geeigneten Nachweisen genügen. Bei erhöhtem Risiko, Zweifeln oder ungewöhnlichen Vorgängen können zusätzliche unabhängige Quellen, detailliertere Beteiligungsunterlagen sowie Informationen zur Herkunft von Mitteln oder Vermögen nötig sein.

Die Herkunft des gesamten Vermögens ist nicht bei jedem Routinekunden in identischer Tiefe nachzuweisen. Prüfumfang und Belegdichte folgen dem dokumentierten Risiko. Umgekehrt darf eine komplexe Struktur nicht allein deshalb als plausibel gelten, weil alle angeforderten Formularfelder ausgefüllt wurden.

Wie wird das Risiko eingestuft?

Art, Intensität und Häufigkeit der Sorgfaltsmaßnahmen müssen aus einer schriftlich dokumentierten Risikoanalyse abgeleitet werden. Die Einstufung muss gegenüber der Aufsicht begründet werden können. Eine bloße Ampelfarbe ohne Faktoren, Quellen und Begründung reicht dafür nicht.

Typische Risikofaktoren betreffen den Kunden, die Eigentumsstruktur, die Leistung oder Transaktion, den Vertriebsweg und beteiligte Länder. Mehrere Faktoren sind gemeinsam zu betrachten. Eine internationale Struktur ist nicht automatisch unzulässig; sie kann jedoch zusätzliche Nachweise und eine engere Überwachung erfordern.

Wann sind vereinfachte Maßnahmen möglich?

Vereinfachte Sorgfalt ist nur bei nachweislich geringerem Risiko und innerhalb der gesetzlichen Grenzen zulässig. Sie bedeutet nicht, dass Kunde, wirtschaftlich Berechtigter und Geschäftsbeziehung vollständig ungeprüft bleiben. SEPBLAC hat 2026 eine aktuelle risikobasierte Orientierung zu vereinfachten Maßnahmen veröffentlicht.

Wann gelten verstärkte Maßnahmen?

Verstärkte Sorgfalt ist insbesondere bei erhöhtem Risiko, erfassten Hochrisikodrittländern sowie politisch exponierten Personen (PEP), ihren gesetzlich erfassten Familienangehörigen und nahestehenden Personen anzuwenden. Ein PEP-Status ist ein Risikofaktor und kein Verdacht oder Beweis für rechtswidriges Verhalten.

Bei PEP als Kunden oder wirtschaftlich Berechtigten sind nach Artikel 14 Absatz 5 der Ley 10/2010 die Genehmigung mindestens der nächsthöheren Führungsebene für die Aufnahme oder Fortführung der Geschäftsbeziehung, angemessene Maßnahmen zur Feststellung der Herkunft von Vermögen und eingesetzten Mitteln sowie eine verstärkte laufende Überwachung vorgeschrieben. Nach Absatz 6 gilt dies auch für die gesetzlich erfassten Familienangehörigen und nahestehenden Personen. Weitere Maßnahmen müssen zum festgestellten Risiko passen und dokumentiert werden.

Wie wird ein KYC-Profil laufend aktualisiert?

Die Prüfung endet nicht mit der Mandatsannahme. Der Verpflichtete muss Geschäftsbeziehung und Transaktionen laufend daraufhin beobachten, ob sie zu Kundenkenntnis, Tätigkeit, Geschäftszweck und Risikoprofil einschließlich der Mittelherkunft passen. Die vorhandenen Daten müssen aktuell bleiben.

Eine Aktualisierung kann insbesondere durch Änderungen an Beteiligungen oder Geschäftsleitung, neue wirtschaftlich Berechtigte, eine neue Leistung, eine wesentliche oder ungewöhnliche Transaktion, neue Länderbezüge oder Zweifel an bisherigen Angaben ausgelöst werden. Es gibt keine allgemeine Regel, nach der jedes KYC-Dossier unabhängig vom Risiko nur in einem starren Einheitsintervall erneuert wird. Für Kunden mit überdurchschnittlichem Risiko schreibt Artikel 11 Absatz 2 des Real Decreto 304/2014 jedoch mindestens eine jährliche Überprüfung der Dokumente, Daten und Informationen vor.

Kunden sollten Änderungen früh melden und angeforderte Nachweise vollständig einreichen. Die rechtliche Verantwortung für Prüfintervall, Bewertung und Dokumentation bleibt jedoch beim Verpflichteten.

Was gilt bei Online-Mandaten und Videoidentifikation?

Bei nicht persönlich anwesenden Kunden sind gesetzlich zulässige sichere Identifikationsverfahren und zusätzliche Maßnahmen gegen das Distanzrisiko erforderlich. Ein gewöhnlicher Videoanruf oder ein per E-Mail übersandtes Foto eines Ausweises ist nicht automatisch ein zugelassenes Videoidentifikationsverfahren.

Der Verpflichtete muss das konkrete Verfahren, seine Sicherheitsmerkmale und die Voraussetzungen seiner Nutzung prüfen. Auch bei digitaler Identifikation bleiben Vertreter, wirtschaftlich Berechtigte, Zweck, Risiko und laufende Überwachung zu erfassen.

Was passiert bei unvollständigen Angaben?

Kann der Verpflichtete die vorgeschriebenen Sorgfaltsmaßnahmen nicht anwenden, darf er die Beziehung oder Operation grundsätzlich nicht beginnen. Entsteht das Hindernis erst später, ist die Beziehung zu beenden und eine besondere Prüfung vorzunehmen. Das ist keine bloße Serviceentscheidung.

Fehlende Unterlagen führen nicht in jedem Fall sofort zu einem Geldwäscheverdacht. Zunächst ist zu klären, ob die Angaben beschafft, Widersprüche erklärt und Risiken kontrolliert werden können. Eine bewusst undurchsichtige Struktur oder wiederholt unplausible Angaben können die Risikobewertung jedoch erheblich verändern.

Wann wird ein Vorgang an SEPBLAC gemeldet?

Komplexe, ungewöhnliche oder wirtschaftlich beziehungsweise rechtlich nicht plausibel begründete Vorgänge sind unabhängig von ihrer Höhe besonders zu untersuchen. Dieses examen especial, die besondere Prüfung, und sein Ergebnis sind schriftlich festzuhalten. Eine Auffälligkeit ist noch keine Feststellung von Geldwäsche.

Besteht nach der Prüfung ein Verdacht oder hinreichender Grund für die Annahme eines Zusammenhangs mit Geldwäsche oder Terrorismusfinanzierung, muss der Verpflichtete den Sachverhalt einschließlich versuchter Vorgänge unverzüglich an SEPBLAC melden. Die Meldung beschreibt Beteiligte, Vorgänge, Prüfungsschritte und tragende Verdachtsumstände.

Nach Artikel 19 der Ley 10/2010 sind meldepflichtige verdächtige Operationen grundsätzlich nicht auszuführen. Ist das Unterlassen unmöglich oder würde es die Ermittlungen erschweren, darf die Operation ausnahmsweise ausgeführt werden; dann ist unverzüglich zu melden und die Ausführung zu begründen. Bei Registerführern hindert diese Pflicht jedoch nicht die Eintragung im Grund-, Handels- oder Mobiliarregister.

Der Kunde darf grundsätzlich nicht darüber informiert werden, dass eine Verdachtsmeldung erfolgt ist oder ein Vorgang wegen möglicher Geldwäsche untersucht wird. Dieses Verbot wird häufig als tipping off bezeichnet. Seine gesetzlich geregelten Ausnahmen sind eng zu behandeln.

Wie lange werden KYC-Unterlagen aufbewahrt?

Identitäts-, Prüf- und Transaktionsunterlagen sind grundsätzlich zehn Jahre ab Ende der Geschäftsbeziehung oder Ausführung des gelegentlichen Vorgangs aufzubewahren und danach zu löschen. Nach fünf Jahren ist der Zugriff auf den aufbewahrten Bestand gesetzlich auf bestimmte interne Kontroll- und Rechtsverteidigungsfunktionen beschränkt.

Die Verarbeitung der für gesetzliche Sorgfaltspflichten notwendigen personenbezogenen Daten beruht auf einer rechtlichen Verpflichtung und benötigt hierfür keine Einwilligung des Kunden. Das erlaubt keine beliebige Nutzung für Werbung oder andere Zwecke. Informations-, Zweckbindungs- und Sicherheitsanforderungen gelten weiter.

Die Ley 10/2010 verlangt für die KYC-Verarbeitung eine Datenschutz-Folgenabschätzung und verstärkte technische und organisatorische Maßnahmen. Zu schützen sind insbesondere Integrität, Vertraulichkeit, Verfügbarkeit und Nachvollziehbarkeit von Zugriffen.

Was gilt bei einer spanischen S.L. und einer deutschen KG?

Vor Gründung einer spanischen Sociedad de Responsabilidad Limitada (S.L.) werden die tatsächlich auftretenden Gründer, Auftraggeber und Vertreter nach ihrer damaligen Rolle geprüft. Es gibt keine pauschale Regel, nach der jede nur vorgesehene Organperson unabhängig von Rolle und Risiko dasselbe separate Formular ausfüllen muss.

Wird die gegründete S.L. anschließend selbst Kundin, sind Gesellschaft, Vertreter, Eigentums- und Kontrollstruktur sowie wirtschaftlich Berechtigte für diese Geschäftsbeziehung neu oder ergänzend zu erfassen. Entscheidend ist die reale Mandats- und Vertretungssituation.

Eine deutsche Kommanditgesellschaft ist eine Personenhandelsgesellschaft mit mindestens einem persönlich haftenden Gesellschafter und mindestens einem Kommanditisten. Für die spanische Prüfung sind Existenz, Vertretung sowie Eigentums- und Kontrollkette nachvollziehbar zu dokumentieren. Die KG darf nicht pauschal als deutsche juristische Person etikettiert werden.

Steuerliche Transparenz und geldwäscherechtliche Kundenidentifizierung sind verschiedene Fragen. Komplementär, Kommanditisten und mittelbar beteiligte Personen werden nach ihrer tatsächlichen Vertretungs-, Eigentums- und Kontrollposition beurteilt.

Wie läuft die Geldwäscheprüfung beim Immobilienkauf auf Mallorca?

Bei einem Immobilienkauf auf Mallorca können Bank, Notar, Register, Makler, Steuerberater oder Anwalt jeweils eigene gesetzliche Sorgfaltspflichten haben. Eine bereits durchgeführte Prüfung eines Beteiligten ersetzt die Verantwortung der anderen nicht automatisch.

Käufer sollten Identitäts- und Vertretungsnachweise, Beteiligungsstruktur, wirtschaftlich Berechtigte und erforderliche Mittelherkunftsnachweise früh vorbereiten. Welche Unterlagen im Einzelfall verlangt werden, hängt von Beteiligten, Zahlungsweg, Struktur und dokumentiertem Risiko ab.

Mallorca hat kein eigenes, von Spanien abweichendes KYC-Gesetz. Praktische Unterschiede entstehen durch das konkrete Immobiliengeschäft, beteiligte Stellen und deren jeweilige Risikoanalyse.

Was ändert sich durch das EU-AML-Regelwerk ab 2027?

Das neue europäische Geldwäschepaket ist beschlossen. Die Verordnung (EU) 2024/1624 gilt jedoch im Allgemeinen erst ab dem 10. Juli 2027. Im Juli 2026 darf sie deshalb nicht als bereits vollständig anwendbares spanisches KYC-Recht dargestellt werden.

Verpflichtete können Prozesse auf den Übergang vorbereiten. Aktuelle Geschäftsbeziehungen und Transaktionen sind bis zum jeweiligen Anwendungsdatum nach dem geltenden spanischen Recht und den bereits anwendbaren unionsrechtlichen Vorgaben zu beurteilen.

Häufige Fragen (FAQ)

Muss jeder Kunde dasselbe KYC-Formular ausfüllen?

Nein. Das Gesetz verlangt bestimmte Prüfergebnisse und Nachweise. Formular, zusätzliche Felder und Prüftiefe richten sich nach Rolle, Tätigkeit und dokumentiertem Risiko des Verpflichteten.

Reicht die Eigenerklärung zum wirtschaftlich Berechtigten?

Nicht immer. Sie kann ein Ausgangspunkt sein. Registerzugriff, unabhängige Nachweise und weitere Prüfungen sind insbesondere bei erhöhtem Risiko, Zweifeln oder Widersprüchen erforderlich.

Ist wirtschaftlich berechtigt, wer genau 25 Prozent hält?

Die aktuelle spanische Eigentumsschwelle lautet mehr als 25 Prozent. Unabhängig davon kann Kontrolle auf andere Weise bestehen; außerdem greift nach erfolgloser Eigentums- und Kontrollprüfung eine Auffangregel für Administratoren.

Muss jeder Kunde die Herkunft seines gesamten Vermögens belegen?

Nein. Umfang und Tiefe richten sich nach dem konkreten Risiko. Bei verstärkter Sorgfalt können umfassendere Informationen zur Herkunft von Mitteln und Vermögen erforderlich werden. Bei PEP und den gesetzlich gleichgestellten Personen sind angemessene Maßnahmen zur Feststellung beider Herkunftsbereiche verpflichtend.

Bleibt ein einmal erstelltes KYC dauerhaft gültig?

Nein. Geschäftsbeziehung, Transaktionen, Risiko und Kundendaten müssen laufend überwacht und bei relevanten Änderungen oder Zweifeln aktualisiert werden. Bei Kunden mit überdurchschnittlichem Risiko ist die dokumentenbezogene Überprüfung mindestens jährlich vorzunehmen.

Darf ein Verpflichteter dem Kunden eine Verdachtsmeldung erklären?

Grundsätzlich nein. Das Gesetz verbietet regelmäßig die Information, dass eine Meldung an SEPBLAC erfolgt ist oder eine Untersuchung wegen möglicher Geldwäsche läuft.

Gilt das neue EU-Geldwäscherecht bereits vollständig?

Nein. Die Verordnung (EU) 2024/1624 gilt im Allgemeinen erst ab dem 10. Juli 2027. Bis dahin ist für aktuelle Fälle der jeweils geltende spanische und bereits anwendbare europäische Rahmen maßgeblich.

Quellen

• Ley 10/2010 zur Verhinderung von Geldwäsche und Terrorismusfinanzierung, insbesondere Artikel 2–8, 14, 17–19, 24–25 und 32 bis: https://www.boe.es/buscar/act.php?id=BOE-A-2010-6737 (abgerufen am 16. September 2026).
• Real Decreto 304/2014 zur Durchführung der Ley 10/2010, insbesondere Artikel 9 und 11: https://www.boe.es/buscar/act.php?id=BOE-A-2014-4742 (abgerufen am 16. September 2026).
• SEPBLAC, Sorgfaltspflichten: https://www.sepblac.es/es/sujetos-obligados/obligaciones/diligencia-debida/?lang=es (abgerufen am 16. September 2026).
• SEPBLAC, Verdachtsmeldung: https://www.sepblac.es/es/sujetos-obligados/tramites/comunicacion-por-indicio/ (abgerufen am 16. September 2026).
• Real Decreto 609/2023 zum Registro Central de Titularidades Reales: https://www.boe.es/buscar/act.php?id=BOE-A-2023-16159 (abgerufen am 16. September 2026).
• Handelsgesetzbuch, § 161: https://www.gesetze-im-internet.de/hgb/__161.html (abgerufen am 16. September 2026).
• SEPBLAC, Veröffentlichung vom 27. April 2026 zum Leitfaden über vereinfachte Sorgfaltsmaßnahmen: https://www.sepblac.es/es/2026/04/27/guia-dd-2026/ (abgerufen am 16. September 2026).
• BOE, Verordnung (EU) 2024/1624, Artikel 90: https://www.boe.es/buscar/doc.php?id=DOUE-L-2024-80912 (abgerufen am 16. September 2026).