Durch das Urteil des Gerichtshofs der Europäischen Union (EuGH) in der verbundenen Rechtssache C-37/20 und C-601/20 wurde der Zugang zum Register der wirtschaftlichen Eigentümer (registre des beneficiaires effectifs, RBE) eingeschränkt. Die sich daraus ergebenden Konsequenzen für das RBE werfen unter anderem die Frage nach der Rechtmäßigkeit der Nutzung und Weiterverwendung der Informationen über wirtschaftliche Eigentümer, wie sie dem RBE übermittelt wurden und dort verfügbar sind, durch die der AML Sorgfaltspflicht unterworfenen Personen (die Verpflichteten) auf.
Das Urteil des EuGH und seine Folgen.
Am 22. November 2022 bestätigte der EuGH die Ungültigkeit der Bestimmungen der Richtlinie 2015/849 in der durch die Richtlinie 2018/843 geänderten Fassung (Geldwäscherichtlinie), die es der breiten Öffentlichkeit zuvor ermöglichten den Zugang zu den Informationen über das wirtschaftliche Eigentum an Unternehmen und anderen juristischen Personen zu erhalten, die in den von den Mitgliedstaaten der Europäischen Union (EU) eingerichteten Registern wie dem RBE enthalten sind.
Nach dem Urteil des EuGH wird der Zugang zu den in der geänderten Geldwäscherichtlinie vorgesehenen Registern der wirtschaftlichen Eigentümer grundsätzlich (i) den zuständigen Behörden und (ii) den Verpflichteten im Rahmen ihrer Sorgfaltspflichten gegenüber Kunden gewährt.
Da das Urteil des EuGH nur den Zugang der Öffentlichkeit einschränkt, kann argumentiert werden, dass es luxemburgischen Unternehmen, die Informationen über ihre wirtschaftlichen Eigentümer hinterlegt haben, nicht untersagt ist, das RBE zu konsultieren und Auszüge aus dem RBE hierzu zu erhalten.
In Anbetracht der vorstehenden Ausführungen lassen sich die wichtigsten Folgen für die Nutzer des RBE (mit Ausnahme der zuständigen Behörden) nach dem luxemburgischen Gesetz vom 13. Januar 2019 zur Einführung des RBE (das RBE-Gesetz) infolge der Verabschiedung des EuGH-Urteils wie folgt zusammenfassen:
- Verpflichtete dürfen das RBE nur im Rahmen ihrer Verpflichtungen gemäß dem Gesetz vom 12. November 2004 zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung in seiner geänderten Fassung (AML-Gesetz) einsehen. Gemäß dem Rundschreiben der luxemburgischen Anwaltskammer Nr. 002 - 2022-2023 (Rundschreiben der Anwaltskammer) können Anwälte das RBE nur im Rahmen ihrer beruflichen Verpflichtungen zur Bekämpfung der Geldwäsche (gemäß Art. 2 (1) Punkt 12 des Gesetzes vom 12. November 2004 über das Gesetz zur Bekämpfung der Geldwäsche (AML-Gesetz) (AML-Verpflichtungen) einsehen;
- Nach der Verabschiedung des EuGH-Urteils wurde der Öffentlichkeit der Zugang zur Website des RBE verwehrt, so dass die Öffentlichkeit weder direkt auf die bei dem RBE hinterlegten relevanten Informationen über die wirtschaftlichen Eigentümer zugreifen noch bei dem RBE einen Auszug aus dem RBE über die wirtschaftlichen Eigentümer anfordern kann;
- Luxemburger Unternehmen, die Informationen über ihre wirtschaftlichen Eigentümer hinterlegt haben, können zu den Unternehmen gezählt werden, die berechtigt sind, die RBE einzusehen und Auszüge über ihre eigenen wirtschaftlichen Eigentümer zu erhalten;
- Journalisten können den Zugang zum RBE auf der Grundlage einer Vereinbarung mit dem Conseil de Presse beantragen; und
- In weiteren Rechtsvorschriften ist festzulegen, ob andere Akteure, z. B. Personen, die ein berechtigtes Interesse nachweisen können, Zugang zu den Registern der wirtschaftlichen Eigentümer erhalten können.
Zugang zum RBE durch Verpflichtete und Nutzung der Informationen über wirtschaftliche Eigentümer
Am 19. Dezember 2022 veröffentlichte das Luxemburger Unternehmensregister (LBR) ein Rundschreiben über die neuen Regeln für den Zugang zum RBE und richtete daraufhin einen Mechanismus ein, der den Zugang von Verpflichteten wie Kreditinstituten und regulierten Unternehmen des Finanzsektors (PFS), Wirtschaftsprüfern, Notaren und Rechtsanwälten zum RBE ermöglicht.
Um Zugang zum RBE zu erhalten, müssen Verpflichtete eine Vereinbarung mit dem LBR abschließen, die auf der Website des LBR verfügbar ist (die Mustervereinbarung), und eines der LuxTrust-Geräte verwenden, die ihre Identifizierung ermöglichen.
Eine entscheidende Frage betrifft jedoch die Verwendung der Informationen, zu denen die Verpflichteten im RBE Zugang haben können. Das Urteil des EuGH und das Rundschreiben der Anwaltskammer scheinen die Verwendung auf das zu beschränken, was im Rahmen der Sorgfaltspflichten der Verpflichteten gegenüber ihren Kunden unbedingt erforderlich ist.
Diesem Aspekt wurde in der Mustervereinbarung ausdrücklich Rechnung getragen. Interessant ist, dass Art. 6.1 einige Angaben enthält, die weniger streng zu sein scheinen als das Urteil des EuGH und das Rundschreiben der Anwaltskammer:
"[...] Konsultationen werden nachverfolgt. Das LBR behält sich das Recht vor, den Zugang durch Sperrung des Kundenkontos auszusetzen, wenn eine betrügerische oder missbräuchliche Nutzung festgestellt wurde.
Es liegt in der Verantwortung des Klienten [Verpflichteten], das LBR unverzüglich zu informieren, wenn er nicht mehr berechtigt ist, das RBE einzusehen. Das LBR wird den Zugang des Klienten zum RBE unverzüglich sperren.
Die Weiterverwendung der auf dem RBE-Portal zugänglichen Informationen durch die vom Kunden definierten Nutzer darf nicht gegen die öffentliche Ordnung verstoßen und muss mit den geltenden Rechtsvorschriften, insbesondere denen über den Schutz personenbezogener Daten, in Einklang stehen.
In jedem Fall ist der Kunde allein verantwortlich für die Weiterverwendung der von LBR zur Verfügung gestellten Dokumente und Informationen im Rahmen der für das RBE geltenden Gesetze und Vorschriften. Das LBR kann nicht für Schäden haftbar gemacht werden, die sich aus dieser Weiterverwendung ergeben [...]".
Die vorläufigen Schlussfolgerungen, die sich aus der Lektüre dieser Bestimmungen ergeben, lauten daher wie folgt:
- Der Zugriff von Verpflichteten auf das RBE wird vom LBR (wahrscheinlich mit Hilfe einer speziellen Software) grundsätzlich überwacht, um eine missbräuchliche oder betrügerische Nutzung der im RBE verfügbaren Informationen durch Verpflichtete aufzudecken
- Die im RBE zugänglichen Informationen können unter strikter Beachtung der öffentlichen Ordnung und der geltenden gesetzlichen Bestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO), genutzt werden.
- Die Verpflichteten sind für die Nutzung der in dem RBE enthaltenen Informationen verantwortlich und folglich für jeden Verstoß gegen die oben genannten Vorschriften, insbesondere gegen die DSGVO.
In Anbetracht der Einrichtung eines Überwachungs- und Kontrollsystems kann es für Verpflichtete sinnvoll sein, ihre internen Praktiken zur Geschäftspartnerprüfung (KYC) zu verbessern. So könnten sie beispielsweise sicherstellen, dass sie (in protokollähnlichen Registern) alle Zugriffe auf das RBE aufzeichnen, wobei zumindest das Datum, die Unternehmen, für die Informationen über wirtschaftliche Eigentümer abgerufen werden, und die entsprechenden Gründe für eine solche Anfrage anzugeben sind.
Direkter Zugang der Unternehmen zum RBE
Ungeachtet der Gesetzeslücke scheint es mit dem EuGH-Urteil vereinbar zu sein, dass in Luxemburg eingetragene Gesellschaften, die Informationen über ihre(n) wirtschaftlichen Eigentümer gemäß dem RBE-Gesetz eingereicht haben, das Register einsehen und Auszüge daraus erhalten können.
Ein neues LBR-Verfahren, dass es Unternehmen ermöglicht, direkt auf das RBE zuzugreifen, um Daten über ihre eigenen wirtschaftlichen Eigentümer abzufragen, wurde vom LBR am 1. Februar 2023 veröffentlicht und scheint diese Sichtweise zu bestätigen. Die luxemburgischen Unternehmen erhalten einen drei Jahre lang gültigen Code für den Zugriff auf das RBE (mittels eines LuxTrust- oder eIDAS-Zertifikats). Der Zugang ist streng auf die Abfrage von Informationen über die eigenen wirtschaftlichen Eigentümer des Unternehmens und die Bestellung entsprechender Auszüge beschränkt.
Da luxemburgische Gesellschaften nur Zugang zu Informationen über ihre eigenen wirtschaftlichen Eigentümer haben, können sie keine Informationen oder Auszüge über wirtschaftliche Eigentümer von Dritten erhalten. Diese Einschränkung ist insofern von Bedeutung, als vor dem Urteil des EuGH der Zugang der Öffentlichkeit zum RBE ausdrücklich dazu bestimmt war, den Gesellschaften unter anderem die Möglichkeit zu geben, sich über die Identität der wirtschaftlichen Eigentümer ihrer potenziellen Vertragspartner zu informieren.
Nicht-luxemburgische Gesellschaften (mit Sitz in einem anderen Mitgliedstaat der Europäischen Union oder in einem Drittland) haben keinen Zugang zu den Informationen über die wirtschaftlichen Eigentümer luxemburgischer Gesellschaften im RBE, selbst wenn sie zur selben Gruppe gehören. Daher müssten Tochter- und Muttergesellschaften Auszüge aus dem RBE von ihrer in Luxemburg ansässigen Konzerngesellschaft anfordern.
Indirekter Zugang der Unternehmen zum RBE
In der Praxis bitten luxemburgische Unternehmen häufig Verpflichtete (Rechtsanwälte, Wirtschaftsprüfer, Finanzdienstleister usw.), in ihrem Namen Auszüge aus dem RBE zu beschaffen, um ihre eigenen Compliance-Anforderungen zu erfüllen, oder um Anfragen von Verpflichteten in Drittländern (Anwälte, Berater, Notare) nachzukommen, die ähnliche AML-Verpflichtungen wie in der EU erfüllen müssen.
Während die Verpflichteten nach geltendem Recht nur im Rahmen der Erfüllung ihrer AML-Verpflichtungen Zugang zum RBE haben, werden sie in Zukunft höchstwahrscheinlich Anfragen nach Informationen aus dem RBE und Auszügen aus dem RBE für Kunden erhalten, die keine Verpflichteten mit Zugang zum RBE sind.
Der Wortlaut der Mustervereinbarung scheint die Weitergabe von den im RBE gespeicherten Informationen und Auszügen ausdrücklich zuzulassen, sofern eine solche Weiterverwendung nicht gegen die öffentliche Ordnung verstößt und mit den geltenden Rechtsvorschriften, insbesondere zum Schutz personenbezogener Daten, im Einklang steht.
Wir kommen daher zu dem Schluss, dass Verpflichtete weiterhin Auszüge aus dem RBE für ihre Kunden einholen können, allerdings nur in dem Umfang, der nach den geltenden LBR-Verfahren zulässig ist (d.h. derzeit nur Auszüge über die wirtschaftlichen Eigentümer der Kunden).
In Anbetracht der Auslegung des EuGH-Urteils und der Tatsache, dass es derzeit keine Rechtsvorschriften gibt, die klären, inwieweit die bei der RBE hinterlegten Informationen weiterverwendet werden dürfen, empfehlen wir den Gewerbetreibenden, bestimmte bewährte Verfahren zu beachten:
- Sicherstellen, dass ein solcher Zugang zu den wirtschaftlichen Eigentumsverhältnissen eines Unternehmens von einem Geschäftsführer oder einem Angestellten des betreffenden Unternehmens mit Sitz in Luxemburg beantragt wird (und nicht von den Rechtsabteilungen globaler Konzerne mit Sitz in Drittstaaten, wie es in der Praxis oft der Fall ist)
- Speicherung der gesamten Kommunikation im Zusammenhang mit einer solchen Anfrage als Teil der Dokumentation über die Einhaltung der KYC-Vorschriften durch das Unternehmen (in einem protokollähnlichen Dokument, wie zuvor angegeben) und
- Einhaltung aller geltenden Vorschriften, insbesondere der DSGVO.
Einhaltung der Datenschutzgrundverordnung
Jegliche Erhebung, Speicherung und Weitergabe von Informationen, die im RBE enthalten sind, muss den Anforderungen der Datenschutz-Grundverordnung entsprechen. Wenn also Verpflichtete einem Unternehmen einen Auszug mit den Daten der wirtschaftlichen Eigentümer dieses Unternehmens zur Verfügung stellen, bedeutet dies die Verarbeitung personenbezogener Daten im Namen des Unternehmens. Folglich sollte das Unternehmen, das den Gewerbetreibenden damit beauftragt, im Voraus die Zustimmung des wirtschaftlichen Eigentümers einholen.
Im Einklang mit den Bestimmungen der DSGVO wäre dieses Unternehmen als für die Verarbeitung Verantwortlicher weiterhin für die Verarbeitung der personenbezogenen Daten der betroffenen Person verantwortlich. Die Grundprinzipien der DSGVO für die Verarbeitung personenbezogener Daten würden entsprechend gelten.
Darüber hinaus gelten die Bestimmungen über die Übermittlung personenbezogener Daten in ein Drittland auch für die Übermittlung und Verarbeitung von Daten an Nicht-EU-Mitgliedstaaten. Um die Verarbeitung von Daten innerhalb von Unternehmensgruppen zu erleichtern, enthält die Datenschutz-Grundverordnung jedoch bestimmte Ausnahmen für eine solche Übermittlung von Daten an Konzerngesellschaften in Nicht-EU-Ländern.
Im Rahmen dieser Ausnahmen können Übermittlungen in Nicht-EU-Länder insbesondere dann erfolgen, wenn die Kommission Angemessenheitsbeschlüsse in Bezug auf bestimmte Länder gefasst hat, wenn die Gruppe geeignete verbindliche Datenschutzvorschriften eingeführt hat und wenn die betroffene Person ausdrücklich ihre Einwilligung gegeben hat.
Weitere Aussichten
Der Gesetzgeber muss noch klären, welche Personen außer den oben Genannten noch Zugang zu dem Register der wirtschaftlichen Eigentümer erhalten sollen, ohne dass nach dem EuGH-Urteil Grundrechte verletzt werden. Die vom LBR eingeführten Verfahren, die bestimmten Personen (Journalisten und in Luxemburg ansässigen Unternehmen hinsichtlich der Informationen über ihre eigenen wirtschaftlichen Eigentümer) den Zugang zum RBE ermöglichen sollen, beruhen auf einer Auslegung des EuGH-Urteils, die noch von der EU und den nationalen Gesetzgebern bestätigt werden muss.
Das luxemburgische Justizministerium hat kürzlich bestätigt, dass ein neues Gesetz zu diesen Fragen in Arbeit ist. Es ist noch unklar, inwieweit nach dem neuen Gesetz auch anderen Personen als denjenigen, die derzeit ein Auskunftsrecht haben, Rechte eingeräumt werden können. Dies betrifft insbesondere luxemburgische und nicht-luxemburgische Unternehmen, die derselben Gruppe angehören.
Unter diesem Gesichtspunkt ist es möglich, dass der luxemburgische Gesetzgeber den Nachweis eines berechtigten Interesses als Voraussetzung für den Zugang zum RBE verlangt. Die Einführung dieses Konzepts zur Identifizierung von Personen, die ein Recht auf Zugang haben, würde einige Schwierigkeiten bei der praktischen Umsetzung mit sich bringen. Die RBE würde wahrscheinlich mit einer großen Zahl von Zugangsanträgen konfrontiert werden und weitere erfahrene Mitarbeiter benötigen.
Nichtsdestotrotz ist die Verwendung des Konzepts des berechtigten Interesses als Abgrenzung zwischen denjenigen, die ein Recht auf Zugang haben, und denjenigen, die kein Recht auf Zugang haben, aus rechtlicher Sicht sicherlich ansprechend. Dieses Konzept wurde in der ursprünglichen Geldwäscherichtlinie verwendet, bevor mit der Reform von 2018 der Zugang zu den Registern der wirtschaftlichen Eigentümer auf die breite Öffentlichkeit ausgeweitet wurde.
Der EuGH erkennt in seinem Urteil selbst ausdrücklich an, dass dieses Konzept das Gleichgewicht zwischen der Notwendigkeit der Bekämpfung von Geldwäsche und Terrorismusfinanzierung einerseits und dem Schutz der Grundrechte andererseits wahrt. In Anbetracht dessen ist es nicht ausgeschlossen, dass der EU-Gesetzgeber selbst beschließt, die Richtlinie zu reformieren, indem er dieses Konzept für die Zwecke der Gewährung des Zugangs zu den Registern der wirtschaftlichen Eigentümer wiedereinführt.
Weitergeben
