KYC im Einkauf

KYC im Einkauf überträgt das aus dem Bankenumfeld stammende Know-Your-Customer-Prinzip auf die Lieferantenbeziehung. Vor Vertragsabschluss werden Identität, Eigentümerstruktur und wirtschaftlich Berechtigte (UBO) eines Lieferanten verifiziert, um Geldwäsche, Sanktionsverstöße und Strohmanngeschäfte auszuschließen — eine Pflicht, die unter dem Geldwäschegesetz immer mehr Einkaufsabteilungen betrifft.

Detaillierte Erklärung

KYC im Einkauf ist die systematische Identifikation und Plausibilisierung eines Lieferanten oder Geschäftspartners vor Aufnahme einer Geschäftsbeziehung. Während im Bankensektor KYC seit Jahrzehnten Pflicht ist, hat der Gesetzgeber die Sorgfaltspflichten durch das Geldwäschegesetz (GwG) auf weitere Branchen ausgeweitet. Insbesondere §§10 und 11 GwG schreiben vor, dass Verpflichtete den Vertragspartner identifizieren, den wirtschaftlich Berechtigten (Ultimate Beneficial Owner, UBO) feststellen und den Zweck der Geschäftsbeziehung verstehen müssen.

Die rechtliche Grundlage liegt in der EU-Geldwäscherichtlinie 2015/849 (AML-RL), die in deutsches Recht umgesetzt wurde, sowie in den Merkblättern der BaFin zur Auslegung der Sorgfaltspflichten. Auch außerhalb des direkten GwG-Geltungsbereichs übernehmen Konzerneinkaufsabteilungen KYC-Standards freiwillig — getrieben von Reputationsrisiken, Sanktionslisten-Compliance und dem Common Reporting Standard (CRS) für steuerliche Transparenz.

Ein KYC-Prozess im Einkauf umfasst typischerweise vier Stufen: Erstens die Identifikation des Unternehmens über Handelsregisterauszug, Gewerbeanmeldung und Steuer-ID. Zweitens die UBO-Feststellung über das Transparenzregister oder eigene Erklärungen mit Nachweis der Beteiligungskette ab 25 Prozent. Drittens die [[sanktionslistenpruefung]] gegen EU-, OFAC- und nationale Listen, ergänzt um Politically-Exposed-Persons-Screening. Viertens die Risikobewertung, die je nach Land, Branche und Transaktionsvolumen ein vereinfachtes oder verstärktes Sorgfaltsverfahren auslöst.

Die BME-Compliance-Studie 2024 zeigt, dass rund 62 Prozent der befragten DACH-Einkaufsorganisationen KYC-Prüfungen mittlerweile in den Onboarding-Workflow integriert haben. Treiber sind neben dem GwG die Anforderungen aus dem [[lieferkettensorgfaltspflichtengesetz]], aus [[embargo-compliance]] und aus internen Anti-Korruptions-Standards. KYC-Daten werden in vielen Unternehmen zentral im Lieferantenstammdatensystem geführt und in regelmäßigen Abständen — etwa alle zwölf bis 24 Monate — aktualisiert, um Veränderungen in der Eigentümerstruktur oder im Sanktionsstatus zu erfassen.

Wichtig ist die Abgrenzung zu Bonitätsprüfung und ESG-Audit: KYC adressiert ausschließlich Identität, Eigentümerstruktur und Sanktionsstatus, nicht die finanzielle Leistungsfähigkeit oder Nachhaltigkeit. Diese Themen bleiben separaten Modulen der [[lieferantenbewertung]] vorbehalten.

Praxisbeispiel (konkretes Einkaufsszenario)

Ein süddeutscher Maschinenbauer mit 480 Mitarbeitern beauftragt erstmals einen rumänischen Komponentenhersteller mit einem Auftragsvolumen von 850.000 Euro pro Jahr. Da der Hersteller eine Tochtergesellschaft mit Sitz auf Zypern ist, prüft die Compliance-Abteilung, ob ein verstärktes Sorgfaltsverfahren nach §15 GwG greift.

Der KYC-Prozess startet mit dem Handelsregisterauszug der zyprischen Holding. Die Eigentümerstruktur zeigt drei natürliche Personen mit jeweils 30 Prozent Anteilen und einen Trust mit zehn Prozent. Der Einkauf fordert die UBO-Erklärung gemäß GwG §3 ein und erhält die Pässe der drei UBO. Eine Person ist im polnischen Politically-Exposed-Persons-Register als ehemaliger Staatssekretär gelistet — was eine erhöhte Aufmerksamkeitspflicht auslöst, aber kein Ausschlusskriterium darstellt.

Im nächsten Schritt prüft das Compliance-Team die [[eu-sanktionsliste]], OFAC-SDN und das deutsche Außenwirtschaftsregister. Keine Treffer. Die Geschäftsführer der rumänischen Tochter werden zusätzlich gegen Adverse-Media-Datenbanken geprüft, um Hinweise auf Korruptionsverfahren oder Insolvenzen zu finden. Ergebnis: ein älterer Streit um eine Markenanmeldung, der als Reputationsrisiko niedriger Stufe eingeordnet wird.

Aufgrund des erhöhten Risikoprofils — Drittland-Holding, PEP-Bezug, signifikantes Volumen — entscheidet der Compliance-Officer für ein Enhanced Due Diligence (EDD): Vor-Ort-Audit, Bestätigung der Quelle der Mittel über die letzten drei Jahresabschlüsse und Beifügung einer Anti-Korruptionsklausel zum [[rahmenvertrag]]. Der Lieferant unterzeichnet zusätzlich den Code of Conduct und verpflichtet sich zu jährlichen Bestätigungen unverändert wirtschaftlich Berechtigter.

Die KYC-Akte wird im Lieferantensystem mit Wiedervorlage in zwölf Monaten geschlossen. Bei jeder Stammdatenänderung — neue Bankverbindung, Adresswechsel, Gesellschafterwechsel — startet automatisch ein Re-KYC. Das gesamte Onboarding dauerte 28 Tage statt der üblichen sieben, was bei der Bedarfsplanung berücksichtigt werden muss.

Typische Fehler & Verhandlungskontext

Der häufigste Fehler in KYC-Verfahren ist die Verwechslung von Geschäftsführer und wirtschaftlich Berechtigtem. Ein Geschäftsführer kann angestellt sein, ohne kapitalmäßig beteiligt zu sein — UBO ist ausschließlich die natürliche Person, die mehr als 25 Prozent der Anteile oder Stimmrechte hält oder auf andere Weise die Kontrolle ausübt. Wer hier oberflächlich prüft, riskiert Bußgelder bis 150.000 Euro je Verstoß nach GwG §56.

Ein weiterer Fehler ist die fehlende Aktualisierung. KYC ist kein Einmal-Akt: Sanktionslisten ändern sich wöchentlich, Eigentümerstrukturen quartalsweise. Ohne automatisierte Sanktionslisten-Monitoring-Tools übersehen Einkäufer Treffer, die nach Vertragsschluss entstanden sind — etwa wenn ein UBO erst Monate nach Onboarding auf einer EU-Liste landet.

Drittens unterschätzen viele Einkäufer den Aufwand bei verschachtelten Holding-Strukturen. Wenn die Beteiligungskette über vier Ebenen läuft und Trusts oder Stiftungen einbezogen sind, kann die UBO-Identifikation Wochen dauern. Hier hilft nur frühzeitige Einbindung der Rechtsabteilung und konsequente Nutzung des Transparenzregisters.

Im Verhandlungskontext führt KYC regelmäßig zu Spannungen. Lieferanten empfinden detaillierte UBO-Anfragen als Misstrauensbekundung oder Geschäftsgeheimnis-Verletzung. Erfolgreiche Einkäufer adressieren das proaktiv: KYC wird im Onboarding-Anschreiben als regulatorische Pflicht erklärt, nicht als Bringschuld des Lieferanten. Die Bereitstellung eines standardisierten KYC-Fragebogens reduziert Reibung — und beschleunigt parallel das Onboarding.

Verhandlungstaktisch wichtig: Wer KYC erst nach Vertragsabschluss anstößt, verliert Hebel. Die Identifikation gehört in die Pre-Award-Phase, sodass bei Auffälligkeiten der Vertrag noch nicht zustande gekommen ist. Auch die Vertragsklauseln zu KYC-Updates — etwa eine sofortige Meldepflicht bei Eigentümerwechsel — gehören in den Vertrag, nicht in spätere Side-Letter.

Verwandte Begriffe

• [[sanktionslistenpruefung]]
• [[eu-sanktionsliste]]
• [[embargo-compliance]]
• [[lieferkettensorgfaltspflichtengesetz]]
• [[antitrust-compliance]]