EuGH: Verbandsgeldbuße wegen AML-Verstößen künftig auch ohne festgestellte Tat einer Leitungsperson – Fortsetzung der Entscheidung zu Deutsche Wohnen SE

Der EuGH hat klargestellt, dass juristische Personen wegen Verstößen gegen geldwäscherechtliche Pflichten unmittelbar sanktioniert werden können, ohne dass die Behörde zuvor eine bestimmte natürliche Person als Täter ermitteln, verfolgen oder im Entscheidungstenor namentlich nennen muss (Rs. C-291/24, Urt. v. 29.01.26). 

Maßgeblich ist das funktionierende Compliance‑System des Unternehmens und dessen organisatorische Leistungsfähigkeit; fehlen wirksame Vorkehrungen, kann die Sanktion an das Unternehmen anknüpfen. Der Gerichtshof führt mit dieser Entscheidung seine Linie aus der DSGVO‑Rechtsprechung (u. a.  Deutsche Wohnen SE) fort: Unternehmenssanktionen dürfen nicht an einer Täteridentifizierung scheitern, wenn strukturelle Mängel feststehen.

Rechtlicher Rahmen

Die Vierte Geldwäsche‑Richtlinie (EU) 2015/849 verlange wirksame, verhältnismäßige und abschreckende Sanktionen gegen Verpflichtete, darunter ausdrücklich juristische Personen. 

Aus den Bestimmungen zur Zurechnung von Handlungen von Leitungsorganen und unterstellten Beschäftigten folgt nach Auffassung des EuGH kein Erfordernis eines vorgelagerten Individualverfahrens. Sanktionen gegen natürliche Personen, etwa Mitglieder der Unternehmensleitung, bleiben möglich, sind aber nicht Vorbedingung für die Verantwortlichkeit der juristischen Person. Dies folgt schon aus dem effet utile: Die unionsrechtlichen Präventions‑ und Sanktionsmechanismen im Bereich der Geldwäschebekämpfung müssen praktisch durchsetzbar bleiben – gerade in komplexen Organisationsstrukturen.

Ausgangsfall 

Anlass der hiesigen Entscheidung war ein Verfahren der österreichischen Finanzmarktaufsicht gegen ein Kreditinstitut wegen mutmaßlicher Verstöße gegen Sorgfaltspflichten nach dem FM‑GwG (Finanzmarkt-Geldwäschegesetz). Während das Gesetz bereits ein Zurechnungsmodell mit Blick auf Handlungen von Leitungspersonen sowie Überwachungs‑/Kontrollversagen vorsieht, hatte der Verwaltungsgerichtshof (VwGH) in Österreich strenge Zurechnungshürden errichtet und festgehalten, dass vor einer Unternehmenssanktion zuvor eine konkrete natürliche Person beschuldigt und ihr schuldhaftes Verhalten festgestellt und im Urteil benannt wird.  Diese „Logik“, wonach zuerst eine natürliche Person erforderlich ist, verwirft der EuGH nun ausdrücklich.

Praktische Folgen für Aufsicht und Unternehmen

Der EuGH stellt unmissverständlich klar:

• Adressat der Sanktion ist das Unternehmen, wenn seine Organisation versagt, die Identifizierung eines individuellen Täters ist dafür nicht erforderlich.  Damit rückt die Substanz der Compliance‑Architektur in den Vordergrund. Wer Governance und Kontrolle ernst nimmt, reduziert das Sanktionsrisiko spürbar; wer sie nur formal behauptet, muss mit spürbaren Maßnahmen rechnen.
• Die Aufsicht kann direkt gegen Unternehmen vorgehen, wenn Organisationsmängel vorliegen; die Suche nach einer „Schlüsselperson“ ist keine Sperre mehr. 
• Leitungsorgane können weiterhin persönlich belangt werden – zusätzlich, nicht als Zurechnungsvoraussetzung.
• Im Mittelpunkt stehen Risikoanalyse, interne Kontrollen, wirksames Monitoring, Eskalationswege und nachweisbare Schulungen. Entscheidend ist, ob das Haus sein Geldwäsche‑Risikomanagement beherrscht – nicht, ob ein Einzeltäter identifiziert ist.

Bedeutung über Österreich hinaus

Für Deutschland und andere Mitgliedstaaten bestätigt das Gericht damit die unmittelbare Unternehmensadressierung behördlicher Sanktionen – konsistent mit der bereits bekannten Linie zu Datenschutzbußgeldern (Rs. C-807/21, Urt. v. 05.12.2023). 
Das stärkt Geldwäsche‑ und Datenschutzaufsicht gleichermaßen und entkräftet Verteidigungsstrategien, die Verfahren auf die Identifizierung einer einzelnen natürlichen Person verengen wollen, während strukturelle Defizite unerwähnt bleiben.

Governance‑Empfehlungen für die Praxis

Hieraus folgen zahlreiche Konsequenzen für die hierzulande nach dem Geldwäschegesetz (GwG) verpflichteten Unternehmen, wenn sie Bußgelder wegen Verstößen gegen das GwG vermeiden wollen.

Neben der Schärfung der Risikosteuerung sollten die Verantwortlichkeiten klar festgelegt werden – also Zuständigkeiten und Vier‑Augen‑Prinzip verbindlich geregelt sowie wirksame Kontrollpfade und Eskalationsmechanismen sichergestellt werden. Daneben sollten die Verpflichteten die Wirksamkeit durch Schulungen, Kontrollen, Alerts und messbare Maßnahmen belegen können.

Hilfreich und ratsam zur Optimierung des Systems ist zudem, einmal den gesamten Prozess – begonnen bei der Kundenannahme bis hin zu der Abgabe einer etwaig erforderlichen Verdachtsmeldung – dahingehend zu überprüfen, ob und wo noch Verbesserungsbedarf besteht.