Was die AMLR auf einen Blick verlangt
End-to-End-Ablauf
Ihr Backend erstellt eine Sitzung, der Benutzer schließt den Workflow ab, Didit benachrichtigt Sie und Sie rufen die vollständige Entscheidung ab. Die Onboarding-Entscheidung verbleibt bei Ihrem Team. Die Überwachung wird nach dem Onboarding fortgesetzt.Wann die Sorgfaltspflichten gelten
Artikel 19 legt fest, wann Sie die Sorgfaltspflichten gegenüber Kunden anwenden müssen: bei der Begründung einer Geschäftsbeziehung; bei einer gelegentlichen Transaktion von mindestens 10.000 EUR, sei es in einem einzigen Vorgang oder in miteinander verknüpften Transaktionen; bei Verdacht auf Geldwäsche oder Terrorismusfinanzierung, unabhängig vom Betrag; und bei Zweifeln an bereits vorliegenden Identifikationsdaten. In bestimmten Sektoren gelten niedrigere Schwellenwerte: 1.000 EUR bei gelegentlichen Geldtransfers und für CASPs, 3.000 EUR bei gelegentlichen Bartransaktionen (mindestens Identifizierung und Verifizierung) und 2.000 EUR im Glücksspielsektor. Ein CASP muss den Kunden auch bei einer gelegentlichen Transaktion unter 1.000 EUR zumindest identifizieren und verifizieren. Didit entscheidet nicht darüber, ob ein Auslöser vorliegt. Sie steuern das Routing nach Transaktionsart und -betrag in Ihrem eigenen Code und starten anschließend den passenden Workflow.Personen identifizieren und verifizieren
Artikel 22 Absatz 1 listet die Daten auf, die Sie über eine natürliche Person erfassen müssen: alle Vornamen und Nachnamen, Geburtsort und vollständiges Geburtsdatum, Staatsangehörigkeiten, die nationale Identifikationsnummer (sofern zutreffend), der gewöhnliche Wohnsitz und, sofern vorhanden, die Steuernummer. Artikel 22 Absatz 6 nennt anschließend zwei Mittel zur Identitätsüberprüfung: ein Ausweisdokument, einen Reisepass oder ein gleichwertiges Dokument oder eine elektronische Identifizierung (eID), die den eIDAS-Vertrauensniveaus „substanziell“ oder „hoch“ entspricht, zusammen mit entsprechenden qualifizierten Vertrauensdiensten.Datenpunkte im Vergleich zur Entscheidung
Die vonGET /v3/session/{sessionId}/decision/ zurückgegebene Entscheidung enthält einen Eintrag pro Identitätsprüfung in id_verifications[].
Die zwei Wege
Was die technischen Regulierungsstandards im Entwurf zur Remote-Verifizierung sagen
Die technischen Regulierungsstandards (RTS) zur Sorgfaltspflicht gegenüber Kunden gemäß Artikel 28 Absatz 1 werden von der Anti-Money Laundering Authority (AMLA) verfasst. Der Abschlussbericht der AMLA datiert vom 30. September 2026 und wurde am 1. Oktober 2026 angekündigt. Es handelt sich um einen endgültigen Entwurf, der der Europäischen Kommission vorgelegt wurde. Er ist nicht verabschiedet und stellt kein geltendes Recht dar. Die Kommission kann ihn noch ändern, und der Entwurf sieht vor, dass er sechs Monate nach seinem Inkrafttreten gilt. Dieser Entwurf behandelt die beiden Mittel in Artikel 22 Absatz 6 als Standard. Die Remote-Verifizierung mit einem Dokument ist eine alternative Lösung für den Fall, dass von der Person vernünftigerweise nicht erwartet werden kann, das Dokument persönlich vorzulegen, und sie keinen Zugang zu einer qualifizierenden eID hat (Entwurf Artikel 7 Absatz 1). Wenn Sie die Alternative nutzen, verlangt der Entwurf von Ihnen, begründen zu können, warum, und Ihrer Aufsichtsbehörde nachzuweisen, dass die Lösung über Sicherheitsvorkehrungen verfügt (Entwurf Artikel 7 Absätze 2 und 3). Der Entwurf ist technologieneutral: Er nennt keine Technik. Wie die im Entwurf genannten Schutzmaßnahmen mit den Aufzeichnungen einer Didit-Sitzung übereinstimmen:metadata an die Sitzung an.
Unternehmen und wirtschaftlich Berechtigte verifizieren
Für eine juristische Person verlangt Artikel 22 Absatz 1 Buchstabe b die Rechtsform und den Namen, die Anschrift des satzungsmäßigen Sitzes, die gesetzlichen Vertreter sowie, soweit vorhanden, die Registernummer, die Steuernummer und den Legal Entity Identifier. Sie müssen zudem die wirtschaftlich Berechtigten ermitteln und angemessene Maßnahmen zu deren Verifizierung ergreifen, um die Eigentümer- und Kontrollstruktur zu verstehen (Artikel 20 Absatz 1 Buchstabe b). Ein wirtschaftlich Berechtigter ist eine natürliche Person, die direkt oder indirekt Eigentümer von „mindestens 25 %“ der Anteile, Stimmrechte oder sonstigen Eigentumsrechte ist (Artikel 52 Absatz 1) oder die das Unternehmen über Eigentumsrechte oder auf sonstige Weise kontrolliert (Artikel 51 und 53). Die Kontrolle wird parallel zur Eigentümerstruktur beurteilt.- Den Schwellenwert legen Sie fest. Die AMLR-Formulierung lautet „mindestens 25 %“, nicht „mehr als 25 %“. Der UBO-Schwellenwert im Workflow ist konfigurierbar; stellen Sie ihn entsprechend ein und passen Sie ihn an, falls Ihre internen Richtlinien strenger sind.
- Ein Register allein reicht nicht aus. Artikel 22 Absatz 7 verpflichtet Sie dazu, die zentralen Register zusätzlich zur Verifizierung der wirtschaftlich Berechtigten zu konsultieren. Die Meldung von Unstimmigkeiten an das Register innerhalb von 14 Kalendertagen (Artikel 24) liegt in Ihrer Verantwortung.
- Ein leeres Registerergebnis ist kein Beweis dafür, dass ein Unternehmen keine Eigentümer hat. Ein Register enthält für ein bestimmtes Unternehmen oder Land möglicherweise keine Eigentümerdaten. Wenn Sie keinen wirtschaftlich Berechtigten ermitteln, verlangt Artikel 22 Absatz 2, dies zu dokumentieren und stattdessen die leitenden Führungskräfte zu identifizieren und zu verifizieren.
- Registerüberwachung folgt in Kürze. Eine kontinuierliche Überwachung von Registeränderungen ist derzeit noch nicht verfügbar. Führen Sie bis dahin die Unternehmensverifizierung gemäß Ihrem Aktualisierungsplan erneut durch.
Auf Sanktionen und PEPs prüfen
Sie müssen überprüfen, ob der Kunde oder seine wirtschaftlich Berechtigten gezielten finanziellen Sanktionen unterliegen und ob sanktionierte Personen einen Kunden, der eine juristische Person ist, kontrollieren oder mehr als 50 % an ihm halten (Artikel 20 Absatz 1 Buchstabe d). In der AMLR beziehen sich gezielte finanzielle Sanktionen auf EU-Sanktionen. Zudem müssen Sie ermitteln, ob der Kunde oder ein wirtschaftlich Berechtigter eine politisch exponierte Person (PEP), ein Familienmitglied oder eine bekanntermaßen nahestehende Person ist (Artikel 20 Absatz 1 Buchstabe g). Für PEPs verlangt Artikel 42 zusätzlich die Genehmigung der oberen Führungsebene, Maßnahmen zur Feststellung der Herkunft des Vermögens und der Mittelherkunft sowie eine verstärkte laufende Überwachung.Confirmed Match oder False Positive löst einen data.updated-Webhook aus und ändert die Sitzungsentscheidung nicht automatisch. Die Genehmigung einer Geschäftsbeziehung mit einer PEP durch die obere Führungsebene liegt in Ihrem eigenen Prozess: Leiten Sie die Sitzung zur Prüfung weiter und dokumentieren Sie, wer die Genehmigung erteilt hat.
Laufend überwachen und aktualisieren
Artikel 26 verlangt die laufende Überwachung der Geschäftsbeziehung und aktuelle Kundeninformationen. Der Zeitraum zwischen Aktualisierungen darf 1 Jahr bei Kunden mit höherem Risiko und 5 Jahre bei allen anderen Kunden nicht überschreiten (Artikel 26 Absatz 2), und Sie müssen auch aktualisieren, wenn sich die Umstände des Kunden ändern oder Sie von einer relevanten Tatsache erfahren (Artikel 26 Absatz 3). Sanktionsprüfungen müssen regelmäßig wiederholt werden, und bei Kredit- und Finanzinstituten bei jeder neuen Benennung (Artikel 26 Absatz 4).status.updated und data.updated aus.
Die 1-Jahres- und 5-Jahres-Aktualisierung im eigenen System planen
Der Aktualisierungszyklus hängt von der Risikoklasse ab, die Sie zuweisen, und diese Entscheidung kann nicht ausgelagert werden. Didit speichert Ihre Risikoklasse nicht und plant die periodische Aktualisierung nicht für Sie.Risikoklasse und Datum der letzten Aktualisierung speichern
vendor_data, die Sie an Didit senden.Geplanten Job ausführen
Neue Sitzung erstellen
POST /v3/session/ mit denselben vendor_data und Ihrem Aktualisierungs-Workflow auf und senden Sie dem Kunden anschließend die url.Auch auf Ereignisse reagieren
"Kyc Expired", einen Überwachungs-Webhook, der eine Sitzung auf "In Review" setzt, sowie eine vom Kunden gemeldete Änderung als Auslöser für eine frühere Aktualisierung.Zweck und Mittelherkunft
Bevor Sie eine Geschäftsbeziehung eingehen oder eine gelegentliche Transaktion durchführen, verlangt Artikel 25 von Ihnen, deren Zweck und beabsichtigte Art zu verstehen. Soweit erforderlich holen Sie Informationen über den Zweck und die wirtschaftliche Begründung, den geschätzten Umfang der Aktivitäten, die Mittelherkunft, das Ziel der Mittel sowie die geschäftliche Tätigkeit oder den Beruf des Kunden ein. „Soweit erforderlich“ bedeutet, dass der Umfang risikobasiert ist. Eine verstärkte Sorgfaltspflicht kann auch die Vermögensherkunft umfassen (Artikel 34 Absatz 4).Transaktionen überwachen und melden
Die laufende Überwachung erstreckt sich auf die während der Geschäftsbeziehung durchgeführten Transaktionen, damit sie mit dem übereinstimmen, was Sie über den Kunden wissen (Artikel 26 Absatz 1). Wenn Sie wissen, vermuten oder berechtigten Grund zu der Annahme haben, dass Gelder Erträge aus kriminellen Aktivitäten darstellen oder mit Terrorismusfinanzierung in Verbindung stehen, melden Sie dies Ihrer Financial Intelligence Unit (FIU) gemäß Artikel 69.- Sie genehmigen die Erkennungskriterien. Die Genehmigung der Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Transaktionen kann nicht ausgelagert werden (Artikel 18 Absatz 3 Buchstabe f). Prüfen Sie jede Regel, die Sie einrichten, und halten Sie diese Genehmigung in Ihren eigenen Richtlinien fest.
- Sie erstatten die Meldung. Didit bereitet die Berichtsdateien aus dem Fall vor. Didit übermittelt nichts an eine FIU. Die Meldung erfolgt durch Ihren Compliance-Beauftragten über den Kanal Ihrer FIU.
Aufzeichnungen aufbewahren, dann löschen
Artikel 77 regelt Ihre Aufbewahrungspflicht. Sie bewahren die für die Sorgfaltspflichten gegenüber Kunden eingeholten Dokumente und Informationen, die Aufzeichnungen Ihrer Verdachtsprüfungen und die Transaktionsaufzeichnungen 5 Jahre lang auf. Die Frist beginnt mit der Beendigung der Geschäftsbeziehung, der Durchführung der gelegentlichen Transaktion oder der Ablehnung der Aufnahme der Beziehung (Artikel 77 Absatz 3). Nach Ablauf der 5 Jahre löschen Sie die personenbezogenen Daten, es sei denn, ein anderes Gesetz findet Anwendung oder eine Behörde fordert Sie auf, bestimmte Aufzeichnungen länger aufzubewahren. Die Frist beginnt mit einem Ereignis in Ihrem System: dem Ende der Beziehung. Didit kennt dieses Datum nicht, daher liegen die von Ihnen konfigurierte Datenaufbewahrung und die von Ihnen veranlassten Löschungen in Ihrer Verantwortung.Wählen Sie ein Aufbewahrungsfenster, das nicht vorzeitig enden kann
Erfassen Sie das Ende der Beziehung
Löschen Sie nach Ablauf der Frist
DELETE /v3/session/{sessionId}/delete/ für jede Sitzung dieses Kunden auf. Die Löschung ist unumkehrbar und Medien-URLs lassen sich nicht mehr auflösen.Menschliche Überprüfung automatisierter Entscheidungen
Artikel 76 Absatz 5 erlaubt es Ihnen, Entscheidungen zu treffen, die sich aus automatisierten Prozessen ergeben, einschließlich Profiling und KI-Systemen, und zwar unter drei Bedingungen. Die Daten sind auf Daten zur Erfüllung der Sorgfaltspflichten beschränkt. Jede Entscheidung über die Aufnahme, Ablehnung oder Fortführung einer Geschäftsbeziehung, die Durchführung oder Ablehnung einer gelegentlichen Transaktion oder die Änderung des Umfangs der Sorgfaltspflichten unterliegt einem maßgeblichen menschlichen Eingreifen. Und der Kunde kann eine Erklärung der Entscheidung erhalten und die Entscheidung anfechten."Approved" oder "Declined" ist das Ergebnis der von Ihnen konfigurierten Prüfungen. Er dient als Eingabe für Ihre Onboarding-Entscheidung, welche gemäß Artikel 18 Absatz 3 bei Ihnen verbleibt. Entscheiden Sie gemeinsam mit Ihrer Rechtsabteilung, wo eine Person eingreifen muss, und binden Sie diesen Schritt dann in den Workflow und in Ihr eigenes Backoffice ein.
Auslagerung
Artikel 18 ermöglicht es Ihnen, Aufgaben, die sich aus der AMLR ergeben, an einen Dienstleister auszulagern. Er legt Bedingungen fest: Sie benachrichtigen Ihre Aufsichtsbehörde, bevor der Dienstleister seine Tätigkeit aufnimmt (Artikel 18 Absatz 1), Sie bleiben für die ausgelagerten Aufgaben voll haftbar (Artikel 18 Absatz 2), und Sie legen die Bedingungen in einer schriftlichen Vereinbarung fest und führen regelmäßige Kontrollen beim Dienstleister durch (Artikel 18 Absatz 4). Die Verordnung besagt zudem, dass die Nutzung von Software Dritter oder der Zugriff auf Datenbanken oder Screening-Dienste, bei denen Sie die Anforderung selbst erfüllen, keine Auslagerung darstellt (Erwägungsgrund 47). Ob Ihre Nutzung von Didit als Auslagerung gilt, hängt davon ab, wie Sie es einsetzen. AMLA-Leitlinien zur Auslagerung sollen bis zum 10. Juli 2027 vorliegen. Sechs Aufgaben können unter keinen Umständen ausgelagert werden (Artikel 18 Absatz 3). Sie verbleiben bei Ihnen:- Der Vorschlag und die Genehmigung Ihrer unternehmensweiten Risikobewertung.
- Die Genehmigung Ihrer internen Grundsätze, Verfahren und Kontrollen.
- Die Entscheidung über das dem Kunden zuzuordnende Risikoprofil.
- Die Entscheidung über die Aufnahme einer Geschäftsbeziehung oder die Durchführung einer gelegentlichen Transaktion.
- Die Meldung verdächtiger Aktivitäten und schwellenwertbasierte Meldungen an die FIU.
- Die Genehmigung der Kriterien zur Erkennung verdächtiger oder ungewöhnlicher Transaktionen und Aktivitäten.
Referenz-Workflow
Ein Ausgangspunkt für einen Onboarding-Workflow für natürliche Personen. Passen Sie ihn an Ihre Risikobewertung an.Workflow erstellen
Identitätsmethoden pro Land auswählen
Dokument an die Person binden
Adresse abdecken
Screening und Überwachung
Zweck und Mittelherkunft abfragen
Webhooks abonnieren
status.updated und data.updated abonniert. Siehe Webhooks.Workflow veröffentlichen und Workflow-ID kopieren
workflow_id, wenn Sie Sitzungen erstellen.201 Created):
url weiter. Wenn für die Sitzung eine Entscheidung vorliegt, sendet Didit ein status.updated-Webhook. Ein Auszug:
event_id als Idempotenzschlüssel und gleichen Sie status als exakte Zeichenkette ab, bei der die Groß- und Kleinschreibung berücksichtigt wird. Die Werte sind in Verifizierungsstatus aufgeführt. Rufen Sie anschließend die vollständige Entscheidung mit GET /v3/session/{sessionId}/decision/ ab und übergeben Sie sie an die für Ihre Onboarding-Entscheidung zuständige Person oder den dafür zuständigen Prozess.
Zeitplan
FAQ
Wann gilt die AMLR?
Wann gilt die AMLR?
Was ist der Unterschied zwischen AMLR, AMLD6 und AMLA?
Was ist der Unterschied zwischen AMLR, AMLD6 und AMLA?
Ist die Fernverifizierung mit einem Ausweisdokument weiterhin zulässig?
Ist die Fernverifizierung mit einem Ausweisdokument weiterhin zulässig?
Sind die technischen Standards final?
Sind die technischen Standards final?
Muss ich die EUDI Wallet akzeptieren, und unterstützt Didit sie?
Muss ich die EUDI Wallet akzeptieren, und unterstützt Didit sie?
Liegt der Schwellenwert für wirtschaftlich Berechtigte bei 25% oder 15%?
Liegt der Schwellenwert für wirtschaftlich Berechtigte bei 25% oder 15%?
Wie setze ich die 1-jährige und 5-jährige Aktualisierung um?
Wie setze ich die 1-jährige und 5-jährige Aktualisierung um?
POST /v3/session/ und denselben vendor_data eine neue Sitzung. Fügen Sie Ereignisauslöser hinzu: den Status "Kyc Expired", einen Monitoring-Webhook oder eine vom Kunden gemeldete Änderung. Die 1-Jahres- und 5-Jahres-Werte in Artikel 26 Absatz 2 sind Höchstfristen.Was kann ich auslagern?
Was kann ich auslagern?
Wie richte ich die Datenaufbewahrung für die 5-Jahres-Regel ein?
Wie richte ich die Datenaufbewahrung für die 5-Jahres-Regel ein?
DELETE /v3/session/{sessionId}/delete/ auf, sobald Ihre Frist abgelaufen ist. Exportieren Sie Audit-Logs und den Screening-Verlauf, falls Ihre Richtlinien zur Datenaufbewahrung darauf beruhen.Macht mich die Nutzung von Didit AMLR-konform?
Macht mich die Nutzung von Didit AMLR-konform?