- Identitätsprüfung bei Kontoeröffnung ist gesetzlich vorgeschrieben (GwG § 11).
- Plattformen dürfen Dienst bei fehlenden Dokumenten verweigern (GwG § 10).
- Datenweitergabe an Behörden nur bei konkretem Geldwäscheverdacht.
Banken, E-Geld-Institute und Krypto-Dienstleister sind nach GwG § 11 Abs. 1 gesetzlich zur Identitätsprüfung verpflichtet. Die Ausweispflicht bei der Konto- oder Wallet-Eröffnung ist kein Ermessen, sondern Gesetz. Wer die Dokumente nicht einreicht, darf den Dienst nach GwG § 10 Abs. 9 nicht nutzen. Plattformen ohne GwG-Pflicht, die trotzdem Ausweise verlangen, handeln regelmäßig ohne Rechtsgrundlage und verstoßen gegen Art. 5 Abs. 1 lit. c DSGVO.
KYC – Was steckt dahinter?
Know Your Customer (KYC) bezeichnet das gesetzlich vorgeschriebene Verfahren, mit dem regulierte Unternehmen die Identität ihrer Kunden feststellen und ihr Risikoprofil bewerten müssen. Rechtsgrundlage ist das Geldwäschegesetz (GwG), das die 5. EU-Geldwäscherichtlinie (AMLD5) und mittlerweile Elemente der 6. Richtlinie (AMLD6) in deutsches Recht umsetzt.
KYC-Pflichten sind keine Kulanz des Anbieters, sondern Gesetz. Wer sich weigert, Dokumente einzureichen, darf den Dienst nach GwG § 10 Abs. 9 nicht nutzen. Wer mehr verlangt als das GwG vorschreibt, handelt ohne Rechtsgrundlage.
Der Rechtsrahmen wird sich weiter verschärfen: Die neue EU-Geldwäscheverordnung (EU) 2024/1624 gilt ab Juli 2027 unmittelbar in allen Mitgliedstaaten und löst weite Teile des GwG ab. Die neue EU-Aufsichtsbehörde AMLA mit Sitz in Frankfurt am Main hat ihre Arbeit bereits aufgenommen. An der Grundstruktur (Identifizierungspflicht, risikobasierte Sorgfaltspflichten, Verdachtsmeldungen) ändert sich für Nutzer jedoch nichts.
Wer ist zu KYC verpflichtet?
Nicht alle Online-Plattformen unterliegen dem GwG. Die Verpflichteten sind in § 2 Abs. 1 GwG abschließend aufgezählt. Für den Online-Bereich relevant sind insbesondere:
- Kreditinstitute (Nr. 1): alle deutschen Banken einschließlich Neobanken wie N26 oder bunq
- Zahlungs- und E-Geld-Institute (Nr. 3): PayPal, Klarna, Stripe
- Anbieter von Kryptowerte-Dienstleistungen: Coinbase, Bitpanda, Kraken; seit dem vollständigen Inkrafttreten von MiCAR und dem deutschen KMAG im Dezember 2024 umfassend reguliert
- Versicherungsunternehmen (Nr. 7): für bestimmte Lebensversicherungsprodukte
- Nicht erfasst: Streaming-Dienste, klassische E-Commerce-Plattformen und Social-Media-Anbieter unterliegen keiner GwG-KYC-Pflicht
Online-Plattformen, die nicht zu den GwG-Verpflichteten gehören, haben kein Recht, im Rahmen einer "KYC-Prüfung" Ausweisdokumente zu verlangen. Ein Streaming-Dienst, der zur Vertragsaktivierung einen Personalausweis-Scan verlangt, handelt ohne gesetzliche Grundlage. Solche Datenerhebungen sind nach Art. 5 Abs. 1 lit. c DSGVO (Datensparsamkeit) regelmäßig unzulässig.
Welche Maßnahmen sind gesetzlich vorgeschrieben?
Das GwG unterscheidet zwischen allgemeinen Sorgfaltspflichten (§ 10 GwG) und verstärkten Sorgfaltspflichten (§ 15 GwG). Was konkret verlangt werden darf, hängt von der Risikoeinstufung ab.
Transaktionsgrenzen: Wann wird KYC ausgelöst?
Das GwG sieht Schwellenwerte vor, ab denen KYC-Maßnahmen zwingend durchzuführen sind, unabhängig vom Risikoprofil:
| Grenzwert | Kontext | Rechtsgrundlage |
|---|---|---|
| 15.000 € | Sonstige Transaktion außerhalb einer bestehenden Geschäftsbeziehung: Identifizierungspflicht | § 10 Abs. 3 Nr. 2 GwG |
| 10.000 € | Barzahlung bei Güterhändlern (z. B. Kfz- oder Kunsthandel); beim Handel mit Edelmetallen bereits ab 2.000 € | § 10 Abs. 6a GwG |
| 1.000 € | Geldtransfer außerhalb einer Geschäftsbeziehung (Überweisung ohne vorherige Identifizierung) | § 10 Abs. 3 Nr. 2 GwG i. V. m. EU-Geldtransfer-VO 2015/847 |
| 1.000 € | Krypto-Transfer an eine selbst gehostete Wallet: zusätzliche Prüfpflichten (seit Ende 2024); die Travel Rule selbst gilt für Kryptowerte-Transfers ohne Mindestbetrag | EU TFR 2023/1113 (Travel Rule) |
| 1.000 € | Anbieterübergreifendes monatliches Einzahlungslimit bei GGL-lizenzierten Online-Anbietern; gilt unabhängig vom KYC-Status | § 6c Abs. 1 GlüStV 2021 |
| Ohne Schwellenwert | Begründung einer dauerhaften Geschäftsbeziehung: immer Identifizierungspflicht | § 10 Abs. 3 Nr. 1 GwG |
Was ist erlaubt – was nicht?
| Maßnahme | Erlaubt bei GwG-Verpflichteten? | Erlaubt ohne GwG-Pflicht? |
|---|---|---|
| Personalausweis / Reisepass (Kopie oder VideoIdent) | ✓ Pflicht § 12 Abs. 1 Nr. 1 GwG | ✗ Regelmäßig unzulässig Art. 5 Abs. 1 lit. c DSGVO |
| Selfie mit Ausweis (Liveness-Check) | ✓ Zulässig als VideoIdent-Alternative § 12 Abs. 1 GwG i. V. m. BaFin-Auslegung | ✗ Keine gesetzliche Grundlage |
| Nachweis der Mittelherkunft (Gehaltsnachweis, Kontoauszug) | ○ Nur bei erhöhtem Risiko § 15 GwG | ✗ Unzulässig |
| Wohnortbestätigung (Adressnachweis) | ✓ Zulässig § 11 Abs. 4 Nr. 1 GwG | ✗ Keine gesetzliche Grundlage |
| PEP-Abfrage (politisch exponierte Person) | ✓ Pflicht § 10 Abs. 1 Nr. 4 GwG | ✗ Nicht anwendbar |
| Steueridentifikationsnummer | ○ Bei bestimmten Finanzprodukten § 154 AO (Kontenwahrheit) | ✗ Unzulässig |
Praxisbeispiel: Ein Nutzer zahlt seit zwei Jahren monatlich 200 € auf ein Verwahrkonto einer Krypto-Börse ein. Plötzlich verlangt die Börse Gehaltsnachweise der letzten sechs Monate, bevor sie eine Auszahlung von 1.500 € freigibt. Ohne konkreten Risikoanlass (etwa ein sprunghaft verändertes Transaktionsmuster oder PEP-Status) ist das unverhältnismäßig. Der Nutzer kann die Vorlage verweigern, die Auszahlung schriftlich anmahnen und die Rechtsgrundlage der Anforderung erfragen.
Umgekehrt gilt: Zahlt derselbe Nutzer einmalig 25.000 € aus unklarer Quelle ein, liegt ein typischer Anlass für verstärkte Sorgfaltspflichten nach § 15 GwG vor. Ein Herkunftsnachweis (Schenkungsvertrag, Kontoauszug, Verkaufsbeleg) ist dann zulässig und zugleich der schnellste Weg, die Blockade zu lösen.
Ihre Rechte bei KYC-Maßnahmen
Warum der Support schweigt: Verdachtsmeldung und Tipping-off-Verbot
Hält eine Plattform eine Auszahlung mit Verweis auf eine "laufende Prüfung" an, steckt dahinter häufig eine Verdachtsmeldung an die FIU (§ 43 GwG). In diesem Fall darf die Transaktion frühestens durchgeführt werden, wenn die FIU oder die Staatsanwaltschaft zustimmt, oder wenn der dritte Werktag nach Abgang der Meldung verstrichen ist, ohne dass die Durchführung untersagt wurde (§ 46 Abs. 1 GwG).
Das Tipping-off-Verbot (§ 47 GwG) untersagt dem Anbieter, den Kunden über eine Verdachtsmeldung zu informieren. Vage Support-Antworten ("interne Prüfung, wir dürfen keine Details nennen") sind in dieser Konstellation gesetzlich erzwungen, kein böser Wille des Anbieters.
Vorgehen, wenn die Plattform wegen KYC blockiert
- Angeforderte Dokumente vollständig einreichen: Solange die Anforderung vom GwG gedeckt ist, verzögert jede Diskussion nur die Freigabe.
- Rechtsgrundlage schriftlich erfragen, wenn die Anforderung überzogen wirkt (z. B. Herkunftsnachweis für Kleinbeträge): Welche Norm stützt die Maßnahme?
- Frist setzen: Nach vollständiger Einreichung eine Bearbeitungsfrist von 14 Tagen setzen und die Auszahlung des Guthabens verlangen; der Auszahlungsanspruch besteht unabhängig vom KYC-Status fort.
- Beschwerde einlegen: Bei Banken und Zahlungsdiensten bei der BaFin, bei Datenschutzverstößen bei der Landesdatenschutzbehörde; parallel kommt eine zivilrechtliche Zahlungsklage in Betracht.
Mit dem vollständigen Inkrafttreten von MiCAR (Markets in Crypto-Assets Regulation) und dem deutschen KMAG im Dezember 2024 unterliegen Krypto-Dienstleister nun einem der strengsten KYC-Regime in der EU. Für Kryptowerte-Transfers gilt ohne Mindestbetrag die Travel Rule (EU-VO 2023/1113): Der Absender einer Krypto-Zahlung muss vollständig identifiziert sein, und die Identifikationsdaten müssen mit der Transaktion mitgesendet werden; bei Transfers über 1.000 € an selbst gehostete Wallets kommen zusätzliche Verifikationspflichten hinzu. Für Nutzer bedeutet das: Bei Krypto-Börsen sind vollständige KYC-Dokumente für praktisch alle nennenswerten Transaktionen unumgänglich.
KYC-Daten sind personenbezogene Daten. Unser Ratgeber zu Transaktionsdaten und DSGVO erklärt, was Zahlungsdienstleister speichern dürfen und wie lange. Wenn ein Anbieter nach übermäßiger KYC-Prüfung das Konto sperrt, zeigt unser Artikel zu Kontosperrungen bei Online-Plattformen, welche rechtlichen Schritte möglich sind.