Artikel 1 - Gesetz zur Stärkung der risikobasierten Arbeitsweise der Zentralstelle für Finanztransaktionsuntersuchungen (FIURiskASG k.a.Abk.)

G. v. 13.11.2023 BGBl. 2023 I Nr. 311; Geltung ab 18.11.2023

Artikel 1 Änderung des Geldwäschegesetzes

Das Geldwäschegesetz vom 23. Juni 2017 (BGBl. I S. 1822), das zuletzt durch Artikel 8 des Gesetzes vom 31. Mai 2023 (BGBl. 2023 I Nr. 140) geändert worden ist, wird wie folgt geändert:

1. Die Inhaltsübersicht wird wie folgt geändert:

a) Die Angabe zu § 30 wird wie folgt gefasst:

„§ 30 Analyse von Meldungen und Informationen".

b) Die Angabe zu § 41 wird wie folgt gefasst:

„§ 41 Rückmeldung an Verpflichtete und Behörden".

2. In § 26a Absatz 1 Nummer 1 werden die Wörter „§ 28 Absatz 1 Satz 2" durch die Wörter „§ 28 Absatz 1 Satz 3" ersetzt.

3. § 28 wird wie folgt geändert:

a) Nach Absatz 1 Satz 1 wird folgender Satz eingefügt:

„Bei der Wahrnehmung ihrer Aufgaben folgt die Zentralstelle für Finanztransaktionsuntersuchungen einem risikobasierten Ansatz."

b) Absatz 2 wird wie folgt gefasst:

„(2) Die Zentralstelle für Finanztransaktionsuntersuchungen untersteht der Aufsicht des Bundesministeriums der Finanzen. Bei der Wahrnehmung der Aufsicht ist die fachliche Unabhängigkeit der Zentralstelle für Finanztransaktionsuntersuchungen nach § 27 Absatz 2 zu berücksichtigen. In den Fällen des Absatzes 1 Satz 3 Nummer 1, 2, 5 und 6 ist die Aufsicht auf die Rechtsaufsicht beschränkt."

4. Nach § 28 wird folgender § 28a eingefügt:

„§ 28a Unterrichtung des Deutschen Bundestages

(1) Das Bundesministerium der Finanzen unterrichtet in Abständen von höchstens sechs Monaten ein Gremium des Deutschen Bundestages über die Erfüllung der Aufgaben der Zentralstelle für Finanztransaktionsuntersuchungen gemäß § 28 Absatz 1 und 1a.

(2) Der Deutsche Bundestag bestimmt die Zahl der Mitglieder, die Zusammensetzung und die Arbeitsweise des Gremiums. Das Bundesministerium der Finanzen und die Zentralstelle für Finanztransaktionsuntersuchungen sind ständig vertreten. Das Gremium beschließt anlassbezogen über die Hinzuziehung weiterer Stellen, soweit deren gesetzliche Zuständigkeiten betroffen sind.

(3) Die Mitglieder des Gremiums sind zur Geheimhaltung aller Angelegenheiten verpflichtet, die ihnen bei ihrer Tätigkeit bekannt geworden sind. Dies gilt auch für die Vertreterinnen und Vertreter der hinzugezogenen weiteren Stellen."

5. § 29 wird wie folgt geändert:

a) In Absatz 1 werden nach dem Wort „verarbeiten," die Wörter „die aufgrund dieses Gesetzes übermittelt, erhoben oder abgefragt werden," eingefügt.

b) Nach Absatz 2 werden die folgenden Absätze 2a bis 2c eingefügt:

„(2a) Die Zentralstelle für Finanztransaktionsuntersuchungen darf bei der Verarbeitung personenbezogener Daten nach Absatz 1 und beim Abgleich dieser personenbezogenen Daten mit anderen Daten nach Absatz 2 automatisierte Anwendungen zur Datenanalyse einsetzen

1. zur Risikobewertung nach § 30 Absatz 2 Satz 3,

2. bei der operativen Analyse nach § 28 Absatz 1 Satz 3 Nummer 2 und

3. bei der strategischen Analyse nach § 28 Absatz 1 Satz 3 Nummer 8

von Meldungen und sonstigen Informationen nach diesem Gesetz. Folgende personenbezogene Daten dürfen in automatisierten Anwendungen zur Datenanalyse nach Satz 1 nicht verarbeitet werden:

1. Daten, die ursprünglich durch den Bundesnachrichtendienst, das Bundesamt für Verfassungsschutz, die Verfassungsschutzbehörden der Länder oder den Militärischen Abschirmdienst erhoben wurden;

2. Daten, die durch eine Maßnahme nach den §§ 100a, 100b, 100c, 100f, 100g, 100h, 100i, 100k Absatz 1 Satz 2, den §§ 110a, 163f der Strafprozessordnung oder aus vergleichbar schwerwiegenden Eingriffen in die informationelle Selbstbestimmung gewonnen wurden;

3. biometrische Daten.

Folgende Datenarten dürfen mittels einer automatisierten Anwendung zur Datenanalyse verarbeitet werden: der Familienname, die Vornamen, frühere Namen, andere Namen, Aliaspersonalien, abweichende Namensschreibweisen, Name der juristischen Person, das Geschlecht, das Geburtsdatum, der Geburtsort, der Geburtsstaat, der Familienstand, die aktuellen und bisherigen Staatsangehörigkeiten, die gegenwärtigen und bisherigen Anschriften, die Nummer eines Legitimationsdokumentes einschließlich der ausstellenden öffentlichen Stelle, eigene oder jeweils genutzte Telekommunikationsanschlüsse sowie Adressen für elektronische Post, elektronische Adressen für neue Zahlungsmethoden (Wallet-Adressen), sonstige Angaben zur beruflichen Erreichbarkeit und Daten über die Geschäftsbeziehung gemäß § 1 Absatz 4 einer Person mit einem Verpflichteten nach § 2, insbesondere Daten eines bei einem Verpflichteten geführten Kontos. Personenbezogene Daten aus allgemein zugänglichen Quellen dürfen nicht automatisiert in die Verarbeitung personenbezogener Daten in automatisierten Anwendungen zur Datenanalyse einbezogen werden.

(2b) Durch den Einsatz automatisierter Anwendungen zur Datenanalyse nach Absatz 2a können Meldungen und sonstige Informationen im Datenbestand der Zentralstelle für Finanztransaktionsuntersuchungen dahingehend bewertet und identifiziert werden, ob relevante Anhaltspunkte bestehen, dass ein Vermögensgegenstand mit Geldwäsche, mit Terrorismusfinanzierung oder mit einer sonstigen Straftat im Zusammenhang steht. Hierzu können Beziehungen zwischen Personen, Personengruppierungen, Institutionen, Organisationen, Objekten und Sachen hergestellt, unbedeutende Informationen und Erkenntnisse ausgeschlossen und die eingehenden Erkenntnisse bekannten Sachverhalten zugeordnet werden. Hierzu werden die von den Verpflichteten bei der Abgabe einer Meldung anzugebenden Informationen und sonstige Informationen im Datenbestand der Zentralstelle für Finanztransaktionsuntersuchungen mit den Parametern für die Risikobewertung nach § 30 Absatz 2 Satz 2 bis 8 oder Parametern für die operative und strategische Analyse automatisiert auf Beziehungen und mögliche Übereinstimmungen abgeglichen. Selbstlernende und automatisierte Systeme, die eigenständig Gefährlichkeitsaussagen über Personen treffen können, sind unzulässig.

(2c) Die Zentralstelle für Finanztransaktionsuntersuchungen darf zur Erfüllung ihrer Aufgaben nach diesem Gesetz Informationen nach § 28 Absatz 1 Satz 3 Nummer 2 erheben, verarbeiten und mit anderen Daten abgleichen."

c) Nach Absatz 3 werden die folgenden Absätze 4 und 5 eingefügt:

„(4) Die Zentralstelle für Finanztransaktionsuntersuchungen darf personenbezogene Daten, die bei ihr vorhanden sind, verarbeiten, um den Einsatz automatisierter Anwendungen zur Datenanalyse vorzubereiten, die sie zur Erfüllung ihrer Aufgaben nach diesem Gesetz einsetzt.

(5) Die Zentralstelle für Finanztransaktionsuntersuchungen stellt durch organisatorische und technische Maßnahmen sicher, dass Daten nur gemäß ihrer rechtlichen Verwendbarkeit verarbeitet werden. Hierbei sind auch Begrenzungen der Zugriffsmöglichkeiten auf die automatisierten Anwendungen zur Datenanalyse vorzusehen."

d) Der bisherige Absatz 4 wird Absatz 6.

e) Folgende Absätze 7 und 8 werden angefügt:

„(7) Die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit führt mindestens alle zwei Jahre Kontrollen der Datenverarbeitung im Zusammenhang mit der Verarbeitung von personenbezogenen Daten nach Absatz 1 durch. Diese Kontrollen erfolgen unbeschadet ihrer oder seiner in § 14 des Bundesdatenschutzgesetzes genannten Aufgaben.

(8) Sofern die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Verstöße nach § 16 Absatz 2 des Bundesdatenschutzgesetzes beanstandet hat, kann sie oder er geeignete Maßnahmen anordnen, wenn dies zur Beseitigung eines erheblichen Verstoßes gegen datenschutzrechtliche Vorschriften erforderlich ist."

6. § 30 wird wie folgt geändert:

a) Die Überschrift wird wie folgt gefasst:

„§ 30 Analyse von Meldungen und Informationen".

b) Absatz 2 wird wie folgt geändert:

aa) In Satz 1 werden die Wörter „die Meldungen nach den §§ 43 und 44 sowie die Mitteilungen nach § 31b der Abgabenordnung, um zu prüfen, ob der gemeldete Sachverhalt im Zusammenhang mit Geldwäsche, mit Terrorismusfinanzierung oder mit einer sonstigen Straftat steht" durch die Wörter „verdächtige Transaktionen und sonstige Informationen, die im Hinblick auf Geldwäsche, damit zusammenhängende Vortaten oder Terrorismusfinanzierung von Belang sind, mit dem Ziel der Verhinderung, Aufdeckung und Unterstützung bei der Bekämpfung von Geldwäsche und Terrorismusfinanzierung" ersetzt.

bb) Die folgenden Sätze werden angefügt:

„Art und Umfang der Analyse haben sich am Risiko der Geldwäsche oder Terrorismusfinanzierung zu orientieren. Für die risikogerechte Identifikation relevanter Meldungen und Informationen kann die Zentralstelle für Finanztransaktionsuntersuchungen automatisierte Anwendungen zur Datenanalyse nach § 29 Absatz 2a (Risikobewertungssysteme) einsetzen. Dabei soll auch der Grundsatz der Wirtschaftlichkeit der Verwaltung berücksichtigt werden. Die Übermittlung von Sachverhalten nach § 32 Absatz 2 Satz 1 wird durch einen Amtsträger veranlasst. Die Risikobewertungssysteme sind regelmäßig auf ihre Zielerfüllung einschließlich einer Zufallsauswahl zu überprüfen. Die Zentralstelle für Finanztransaktionsuntersuchungen legt die Parameter der Prüfung in automatisierten Anwendungen zur Datenanalyse nach § 29 Absatz 2a Satz 1 Nummer 1 im Benehmen mit Vertretern der Strafverfolgungsbehörden, des Bundesamtes für Verfassungsschutz, des Bundesnachrichtendienstes und des Militärischen Abschirmdienstes des Bundesministeriums der Verteidigung fest. Die Zentralstelle für Finanztransaktionsuntersuchungen kann hierbei über die Analysepflicht nach Satz 1 hinaus Parameter für die Identifikation von Meldungen und Informationen, die im Hinblick auf sonstige Straftaten von Belang sind, berücksichtigen. Für die Bereiche Inneres, Justiz und Finanzen bestimmt das jeweils zuständige Landesministerium oder die jeweils zuständige Senatsverwaltung die Vertreter der Strafverfolgungsbehörden des jeweiligen Landes, für den Generalbundesanwalt beim Bundesgerichtshof das Bundesministerium der Justiz. Einzelheiten der Risikobewertungssysteme dürfen nicht veröffentlicht werden, soweit die Veröffentlichung die gesetzliche Aufgabenerfüllung der Zentralstelle für Finanztransaktionsuntersuchungen, der Strafverfolgungsbehörden, des Bundesamtes für Verfassungsschutz, des Bundesnachrichtendienstes oder des Militärischen Abschirmdienstes des Bundesministeriums der Verteidigung gefährden könnte."

7. § 31 wird wie folgt geändert:

a) In Absatz 1 Satz 2 werden nach dem Wort „keine" die Wörter „in diesem oder in anderen Gesetzen geregelten" eingefügt.

b) In Absatz 4 Satz 1, Absatz 4a Satz 1, Absatz 5 Satz 2, Absatz 7 Satz 2 werden jeweils die Wörter „§ 28 Absatz 1 Satz 2" durch die Wörter „§ 28 Absatz 1 Satz 3" ersetzt.

8. Dem § 32 Absatz 2 wird folgender Satz angefügt:

„Anstelle der Übermittlung an die zuständigen Strafverfolgungsbehörden nach Satz 1 kann die Zentralstelle für Finanztransaktionsuntersuchungen die Informationen zu sonstigen Straftaten zum automatisierten Datenabruf nach Absatz 4 bereitstellen."

9. § 39 wird wie folgt geändert:

a) In Absatz 1 Satz 1 werden die Wörter „jede automatisierte Datei mit personenbezogenen Daten, die" durch die Wörter „jedes automatisierte Verfahren zur Verarbeitung personenbezogener Daten nach § 29 Absatz 2a, das" ersetzt.

b) Absatz 2 wird wie folgt gefasst:

„(2) In der Errichtungsanordnung sind festzulegen:

1. Bezeichnung der verantwortlichen Stelle,

2. Rechtsgrundlage und Zweck der Verarbeitung,

3. Personenkreis, über den Daten gespeichert werden,

4. Arten der zu speichernden personenbezogenen Daten,

5. Arten der personenbezogenen Daten, die der Erschließung der Sammlung dienen,

6. Anlieferung oder Eingabe der zu speichernden Daten,

7. Voraussetzungen, unter denen gespeicherte personenbezogene Daten an welche Empfänger und in welchen Verfahren übermittelt werden,

8. Prüffristen und Speicherungsdauer sowie

9. Protokollierung."

10. § 41 wird wie folgt geändert:

a) Die Überschrift wird wie folgt gefasst:

„§ 41 Rückmeldung an Verpflichtete und Behörden".

b) Folgender Absatz 3 wird angefügt:

„(3) Die Absätze 1 und 2 Satz 1 gelten auch im Falle des § 44 dieses Gesetzes und des § 31b Absatz 2 der Abgabenordnung."

11. § 43 wird wie folgt geändert:

a) Dem Absatz 1 wird folgender Satz angefügt:

„Gibt der Verpflichtete zusätzlich zu der Meldung eines nach Satz 1 meldepflichtigen Sachverhalts auch eine Strafanzeige oder einen Strafantrag ab, so teilt er dies der Zentralstelle für Finanztransaktionsuntersuchungen mit Abgabe der Meldung mit."

b) Absatz 5 wird wie folgt geändert:

aa) In Satz 1 wird das Wort „den" gestrichen.

bb) Die folgenden Sätze werden angefügt:

„Sie kann im Benehmen mit Strafverfolgungsbehörden, Aufsichtsbehörden und sonstigen Behörden nach diesem Gesetz auch typisierte Transaktionen bestimmen, die nicht von der Meldepflicht nach Absatz 1 erfasst sind. § 30 Absatz 2 Satz 9 gilt entsprechend."

12. Dem § 46 Absatz 1 werden die folgenden Sätze angefügt:

„Die Zentralstelle für Finanztransaktionsuntersuchungen bestimmt im Benehmen mit Vertretern der Strafverfolgungsbehörden Kriterien, bei deren Vorliegen sie einen Sachverhalt grundsätzlich innerhalb der Frist nach Satz 1 Nummer 2 analysiert. Hierbei können solche Sachverhalte bestimmt werden, die bereits vor Ablauf der Frist nach Satz 1 Nummer 2 mit vereinfachter Analyse an die zuständigen Strafverfolgungsbehörden übermittelt werden. § 30 Absatz 2 Satz 9 gilt entsprechend."

13. § 59 wird wie folgt geändert:

a) Dem Absatz 6 werden die folgenden Sätze angefügt:

„Für Güterhändler, die nicht mit Kunst, Schmuck, Uhren, Edelmetall, Edelsteinen, Kraftfahrzeugen, Schiffen, Motorbooten oder Luftfahrzeugen handeln, besteht die Pflicht zur Registrierung spätestens ab dem 1. Januar 2027. Die Registrierungspflicht gilt nicht für Annahmestellen, die nach Maßgabe des § 29 Absatz 6 des Glücksspielstaatsvertrages 2021 Sportwetten vermitteln."

b) In Absatz 7 Satz 1 wird die Angabe „31. Dezember 2023" durch die Angabe „31. Dezember 2027" ersetzt.

c) Folgender Absatz 15 wird angefügt:

„(15) Informationen können erstmalig nach § 32 Absatz 2 Satz 4 zum automatisierten Datenabruf bereitgestellt werden, sobald das Verfahren zum automatisierten Datenabruf es ermöglicht, dass die Zentralstelle für Finanztransaktionsuntersuchungen Informationen spezifisch für den Abruf durch eine oder mehrere Strafverfolgungsbehörden kennzeichnet. Ab diesem Zeitpunkt werden für die Dauer von zwei Jahren die Informationen für Strafverfolgungsbehörden, die am automatisierten Abruf nach § 32 Absatz 4 teilnehmen, anstelle einer Übermittlung nur automatisiert bereitgestellt. Nach Ablauf dieser Frist kann die Zentralstelle für Finanztransaktionsuntersuchungen gegenüber allen Strafverfolgungsbehörden von einer Übermittlung absehen, wenn eine Evaluierung des Bundesministeriums der Finanzen im Einvernehmen mit dem Bundesministerium des Innern und für Heimat und dem Bundesministerium der Justiz ergibt, dass sich eine Bereitstellung zum automatisierten Abruf anstelle der Übermittlung in der Praxis bewährt hat."