Eine Background-Check-Software für Banken muss fünf Dinge leisten: definierte Prüfkategorien, belastbare Quellenabdeckung im DACH-Raum, ein tragfähiges Datenschutzkonzept, revisionssichere Reports und die Unterstützung sowohl einmaliger als auch wiederkehrender Prüfungen. Der Maßstab dafür ist nicht das Feature-Sheet des Anbieters, sondern das Gesetz: § 6 Abs. 2 Nr. 5 GwG verlangt die Zuverlässigkeitsprüfung der Mitarbeiter, und § 1 Abs. 20 GwG definiert, was Zuverlässigkeit rechtlich bedeutet. Wer die Auswahl entlang dieser Pflichten strukturiert, trifft eine Entscheidung, die auch vor der Revision Bestand hat.
Warum manuelle Prüfungen nicht skalieren
Solange nur einzelne Schlüsselpositionen geprüft werden, funktioniert Handarbeit. Sobald aber die gesamte geldwäscherelevante Belegschaft erfasst werden soll — bei Einstellung und im Turnus —, kollabiert der manuelle Ansatz an drei Stellen: Die Prüftiefe variiert je nachdem, wer prüft; die Quellen sind nicht dokumentiert; und die Ergebnisse liegen verstreut in Postfächern und HR-Ordnern. Genau diese drei Schwächen sind es, die bei einer Sonderprüfung auffallen. Denn die Zuverlässigkeit im Sinne des § 1 Abs. 20 GwG ist ein einheitlicher gesetzlicher Maßstab — er verträgt keine Prüfqualität, die vom Tagesgeschäft der jeweils prüfenden Person abhängt. Wiederholbarkeit und Dokumentation sind daher keine Komfortfunktionen, sondern der eigentliche Grund, das Screening zu systematisieren — wie der Gesamtprozess aussieht, beschreibt unser Prozessleitfaden für Geldwäschebeauftragte.
Der Anforderungskatalog: fünf Kriterien für die Bewertungsmatrix
Wer Anbieter vergleicht, sollte jede Lösung gegen dieselben fünf Kriterien stellen — und zwar schriftlich, in einer Bewertungsmatrix, die später auch die Auswahlentscheidung gegenüber Revision und Geschäftsleitung dokumentiert:
- Definierte Prüfkategorien: Identität, Werdegang, Register, Sanktions- und Watchlisten, Adverse Media — der Umfang muss je Risikoklasse konfigurierbar und je Report identisch reproduzierbar sein.
- DACH-Quellenabdeckung: Deutsche und schweizerische Register, Insolvenz- und Bekanntmachungsquellen sowie deutschsprachige Medien; internationale Datenbanken allein genügen für hiesige Prüfungen nicht.
- Datenschutzkonzept: Klare Rechtsgrundlagen-Zuordnung je Kategorie, Erforderlichkeitslogik nach § 26 Abs. 1 und Abs. 8 BDSG, definierte Speicher- und Löschkonzepte.
- Dokumentationsformat: Jeder Report mit Datum, Quelle und Fundstelle je Ergebnis — so, dass er unverändert an Revision oder Aufsicht gehen kann.
- Einmalig und laufend: Unterstützung von Einstellungsprüfung, anlassbezogener Prüfung und Re-Screening im Turnus, ohne dass jedes Mal ein neues Projekt aufgesetzt wird.
Datenschutz und MaRisk als K.-o.-Kriterien
Zwei Kriterien sind nicht verhandelbar. Erstens der Datenschutz: Ein Tool, das Quellen nutzt, die sich nicht auf den Erforderlichkeitsmaßstab des § 26 BDSG zurückführen lassen, verlagert das Rechtsrisiko auf die Bank. Zweitens die Anforderungen der Aufsicht an die personelle Ausstattung: Die MaRisk (BaFin-Rundschreiben 06/2024 (BA)) verlangen in AT 7.1, dass Quantität und Qualität des Personals den betrieblichen Erfordernissen entsprechen — die Eignung der Mitarbeiter ist damit ausdrücklich Gegenstand des aufsichtlichen Rahmens, nicht nur eine HR-Frage. Ein Screening-Werkzeug, das seine Ergebnisse nicht in einer Form liefert, die sich in diese aufsichtliche Logik einfügt, erzeugt Doppelarbeit: Die Compliance muss jeden Report erst nachbearbeiten, bevor er in die Akte kann. Für die Frage „einmalig oder laufend prüfen?“ lohnt ergänzend der Blick auf unseren Vergleich Einmalprüfung vs. laufendes Monitoring.
Referenzarchitektur: der 7-Kategorien-Report
Wie eine solche Architektur konkret aussieht, zeigt der Indicium-Report: sieben definierte Prüfkategorien, jede Feststellung mit datierter Quelle belegt, und eine menschliche Letztprüfung vor Auslieferung (Art. 22 DSGVO) — ab €79 pro Report. Den Aufbau im Detail finden Sie unter Software-Report, die Konditionen unter Preise.
Handlungsempfehlung
Erstellen Sie vor dem ersten Anbietergespräch Ihre eigene Bewertungsmatrix entlang der fünf Kriterien und gewichten Sie Datenschutzkonzept und Dokumentationsformat am höchsten — Prüfkategorien lassen sich erweitern, ein schwaches Dokumentationsformat nicht. Lassen Sie sich von jedem Anbieter einen echten Beispiel-Report zeigen, nicht nur Folien — und prüfen Sie an diesem Report konkret, ob Datum, Quelle und Fundstelle je Feststellung ausgewiesen sind und ob Sie ihn ohne Nachbearbeitung an Ihre Revision weitergeben könnten. Einen solchen Blick in den Indicium-Report erhalten Sie in einer Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.