Dokumenten-Compliance 2026: Der vollständige Leitfaden

Dokumenten-Compliance umfasst sämtliche gesetzlichen Pflichten, die Unternehmen dazu verpflichten, offizielle Dokumente ihrer Kunden, Partner und Transaktionen zu erfassen, zu prüfen und aufzubewahren. In Deutschland bilden das Geldwäschegesetz (GwG), die DSGVO, das Handelsgesetzbuch und ein wachsendes Regelwerk europäischer Verordnungen – AMLD6, DORA, eIDAS 2, MiCA – den rechtlichen Rahmen. Verstöße ziehen Sanktionen nach sich, die mehrere Millionen Euro erreichen können.

Die BaFin verhängte 2024 insgesamt Bußgelder in Höhe von über 4,3 Millionen Euro wegen Mängeln bei der Geldwäscheprävention und Sorgfaltspflichten (BaFin Jahresbericht 2024). Zusätzlich veröffentlichte die EBA verschärfte Leitlinien zur Fernidentifizierung, die seit Oktober 2025 gelten.

Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Rechts-, Finanz- oder Regulierungsberatung dar. Konsultieren Sie einen qualifizierten Fachmann für Fragen zu Ihrer spezifischen Situation.

KYC: Fundament der Kundenidentifikation

Know Your Customer (KYC) verpflichtet jedes nach GwG § 2 verpflichtete Unternehmen, die Identität seiner Kunden vor Beginn der Geschäftsbeziehung zu überprüfen. Das GwG definiert drei Säulen: Identifizierung (§ 10 Abs. 1 Nr. 1), Verifizierung der Echtheit vorgelegter Dokumente und Bewertung des Risikoprofils. Betroffen sind Banken, Versicherungen, Fintechs, Krypto-Dienstleister, Notare, Rechtsanwälte und Steuerberater.

Ein mittelständisches Kreditinstitut bindet durchschnittlich 3 bis 5 Vollzeitäquivalente (VZÄ) allein für die manuelle Bearbeitung von KYC-Akten. Die Ablehnungsquote wegen dokumentarischer Mängel liegt branchenübergreifend bei 15 bis 25 Prozent.

Die AMLA-Verordnung (EU) 2024/1620 trat am 1. Januar 2026 in Kraft und vereinheitlicht die KYC-Praxis in der gesamten EU (Verordnung (EU) 2024/1620). Einen umfassenden Überblick über die Pflichten und Prozessschritte bietet unser vollständiger KYC-Leitfaden für Unternehmen sowie die Aktualisierung zu den KYC-Anforderungen 2026.

AMLD6: Der neue europäische Rahmen zur Geldwäschebekämpfung

Die 6. Geldwäscherichtlinie (AMLD6, Richtlinie 2024/1640) harmonisiert die Pflichten zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung auf EU-Ebene. Die Umsetzungsfrist für die Mitgliedstaaten endet im Juli 2027. Deutschland muss das GwG entsprechend novellieren. Die Richtlinie erweitert den Kreis der Verpflichteten, verschärft die Sorgfaltspflichten und verlangt mehr Transparenz bei den wirtschaftlich Berechtigten.

Die drei Kernänderungen betreffen: die Erweiterung der Vortaten zur Geldwäsche, die Verschärfung strafrechtlicher Sanktionen (bis zu 4 Jahre Freiheitsstrafe für natürliche Personen) und die Harmonisierung der Register wirtschaftlich Berechtigter. Die Meldeschwelle für die Offenlegung wirtschaftlicher Beteiligungen bleibt bei 25 Prozent des Kapitals oder der Stimmrechte.

Unser AMLD6-Compliance-Leitfaden für Verpflichtete erläutert den vollständigen Zeitplan und die erforderlichen Maßnahmen. Die spezifische Frage der Verifizierung wirtschaftlich Berechtigter unter AMLD6 verdient besondere Aufmerksamkeit, da das zentrale EU-Register bis 2028 betriebsbereit sein soll.

Geldwäschebekämpfung und Due Diligence: Die Sorgfaltspflichten

Das GwG unterscheidet in den §§ 10 bis 17 drei Stufen der Sorgfaltspflichten: vereinfachte, allgemeine und verstärkte Sorgfaltspflichten. § 15 GwG definiert die Fälle, in denen verstärkte Sorgfaltspflichten gelten – insbesondere bei politisch exponierten Personen (PEP), Hochrisikoländern und ungewöhnlich komplexen oder hohen Transaktionen.

Die dokumentarische Sorgfaltspflicht bildet den operativen Kern dieser Prüfung. Sie umfasst die Erfassung, Verifizierung und Archivierung von Belegen für jede Geschäftsbeziehung. Unser Leitfaden zur Geldwäscheprävention deckt die Grundlagen ab, und die Due-Diligence-Checkliste für Unternehmen liefert einen konkreten Umsetzungsrahmen.

Laut Europol belaufen sich die identifizierten Geldwäscheströme in der EU auf 0,7 bis 1,28 Prozent des jährlichen EU-BIP – zwischen 133 und 245 Milliarden Euro (Europol, Financial Crime Threat Assessment 2024).

KYB und Onboarding: Identitätsprüfung von Geschäftspartnern

Know Your Business (KYB) bezeichnet den Dokumentenprüfungsprozess für juristische Personen. Er umfasst die Echtheitsprüfung des Handelsregisterauszugs, die Überprüfung der Gesellschaftsverträge, die Identifikation der gesetzlichen Vertreter und wirtschaftlich Berechtigten sowie den Abgleich mit internationalen Sanktionslisten.

Das B2B-Onboarding dauert bei manueller Bearbeitung 5 bis 20 Arbeitstage. Die häufigsten Ablehnungsgründe: Handelsregisterauszug älter als 6 Monate (29 Prozent der Ablehnungen), fehlende oder veraltete Unbedenklichkeitsbescheinigung (26 Prozent) und unvollständige Erklärung zu den wirtschaftlich Berechtigten (22 Prozent).

Unser Leitfaden zur KYB-Verifizierung von Unternehmensdokumenten beim Onboarding beschreibt jeden Schritt im Detail. Die spezifische Pflicht zur Prüfung der Lieferanten-Unbedenklichkeitsbescheinigung erfordert besondere Sorgfalt – insbesondere im Baugewerbe, wo die Dokumentationspflichten ab dem ersten Euro gelten.

DSGVO und Ausweisdokumente: Schutz personenbezogener Daten

Die Datenschutz-Grundverordnung (DSGVO) stellt besondere Anforderungen an die Erhebung und Verarbeitung von Ausweisdokumenten. Artikel 5 verankert den Grundsatz der Datenminimierung: nur Daten erheben, die für den erklärten Zweck strikt erforderlich sind. Artikel 17 garantiert das Recht auf Löschung. Artikel 32 verlangt angemessene technische Sicherheitsmaßnahmen.

Bei der Dokumentenprüfung erzwingt die DSGVO drei Abwägungen: Aufbewahrungsdauer (5 Jahre nach Ende der Geschäftsbeziehung für GwG-Pflichten, 10 Jahre für Handelsdokumente nach HGB), Erhebungsumfang (keine Kopie des Personalausweises, wenn eine Nummer genügt) und Speichersicherheit (Verschlüsselung, eingeschränkter Zugang, Nachvollziehbarkeit).

Der Bundesbeauftragte für den Datenschutz (BfDI) und die Landesdatenschutzbehörden verhängten 2024 Bußgelder in Höhe von insgesamt über 50 Millionen Euro, mit einem wachsenden Anteil für unverhältnismäßige Verarbeitung von Ausweisdokumenten (BfDI Tätigkeitsbericht 2024). Unser Artikel zu DSGVO und Ausweisdokumenten bietet einen operativen Rahmen für die Balance zwischen Prüfpflichten und Datenschutz.

eIDAS 2: Die europäische digitale Identitäts-Wallet

Die eIDAS-2-Verordnung (EU 2024/1183) verpflichtet alle Mitgliedstaaten, jedem Bürger bis 2026/2027 eine digitale Identitäts-Wallet (EUDI Wallet) bereitzustellen. Diese Wallet ermöglicht die Speicherung und Übermittlung von Identitätsnachweisen, Bescheinigungen und amtlichen Dokumenten in digitaler Form mit hohem Vertrauensniveau.

Für Unternehmen verändert eIDAS 2 den Prüfprozess grundlegend: Statt Ausweiskopien zu erfassen, können sie zertifizierte Attribute (Alter, Staatsangehörigkeit, Steuernummer) über verifizierbare Präsentationen prüfen. Die erwartete Zeitersparnis liegt bei 40 bis 60 Prozent.

In Deutschland treibt die Bundesdruckerei zusammen mit dem BMI die Entwicklung der EUDI Wallet voran. Der bestehende eID-Personalausweis mit Online-Ausweisfunktion bildet die Brücke zum europäischen System. Unsere Analyse zu eIDAS 2 und der europäischen digitalen Identitäts-Wallet behandelt Zeitplan, technische Spezifikationen und Auswirkungen auf das Onboarding. Die Funktionsweise des eID-Personalausweises und der digitalen Identität in Deutschland illustriert die aktuellen Einsatzmöglichkeiten.

DORA und der Finanzsektor: Digitale operationale Resilienz

Die DORA-Verordnung (Digital Operational Resilience Act, EU 2022/2554) gilt seit dem 17. Januar 2025 und verpflichtet Finanzunternehmen zu einem Rahmenwerk für das Management von IKT-Risiken. Betroffen sind Kreditinstitute, Wertpapierfirmen, Versicherungsunternehmen, Kapitalverwaltungsgesellschaften und ihre kritischen IKT-Drittdienstleister.

DORA deckt fünf Säulen ab: IKT-Risikomanagement-Governance, Incident-Management und -Meldung, Resilienztests, Management des IKT-Drittparteienrisikos und Informationsaustausch. Für die Dokumentenprüfung hat dies direkte Konsequenzen: Automatisierungslösungen müssen den Anforderungen an Betriebskontinuität, Auditierbarkeit und Sicherheit gemäß der Verordnung entsprechen.

DORA sieht Bußgelder von bis zu 2 Prozent des weltweiten Jahresumsatzes für Finanzunternehmen vor, die gegen die Verordnung verstoßen (Verordnung (EU) 2022/2554, Artikel 50). Unser Leitfaden zu DORA 2026 und der Dokumentenprüfung im Finanzsektor beschreibt die umzusetzenden Maßnahmen.

E-Rechnung: Die Pflicht ab 2025

Deutschland führte zum 1. Januar 2025 die E-Rechnungspflicht ein. Seit diesem Stichtag müssen alle Unternehmen im B2B-Bereich in der Lage sein, strukturierte elektronische Rechnungen nach EN 16931 zu empfangen. Die Ausstellungspflicht wird stufenweise eingeführt: Ab 2027 gilt sie für Unternehmen mit einem Vorjahresumsatz über 800.000 Euro, ab 2028 für alle übrigen Unternehmen.

Die akzeptierten Formate umfassen XRechnung und ZUGFeRD (Profil EN 16931). Unternehmen müssen sicherstellen, dass ihre Systeme strukturierte Rechnungsdaten korrekt verarbeiten und archivieren können – das betrifft sowohl die Buchhaltung als auch die Compliance-Abteilung.

Unser Artikel zur E-Rechnung 2026 und Dokumentenprüfung behandelt Formate, Zeitplan und die Schritte zur Umsetzung.

MiCA und Krypto-Assets: Identitätsprüfung digitaler Akteure

Die MiCA-Verordnung (Markets in Crypto-Assets, EU 2023/1114) gilt seit dem 30. Dezember 2024 vollständig und schafft einen einheitlichen Regulierungsrahmen für Krypto-Dienstleister (CASP) in der EU. Die KYC-Pflichten für CASPs entsprechen denen des traditionellen Finanzsektors: Kundenidentifikation, Dokumentenverifizierung und Geldwäscherisikobewertung.

In Deutschland ersetzt MiCA die bisherige BaFin-Erlaubnispflicht nach KWG § 32 für Kryptoverwahrgeschäfte durch eine EU-weite Zulassung. Bestehende Krypto-Dienstleister haben eine Übergangsfrist von bis zu 18 Monaten, um die MiCA-Zulassung zu erhalten.

Unsere Analyse der MiCA-Pflichten zur Identitätsprüfung bei Krypto-Assets 2026 erläutert die sektorspezifischen Anforderungen.

Compliance im Leasing und bei Finanzierungen

Der Leasing- und Finanzierungssektor unterliegt mehreren Regelwerken gleichzeitig: GwG, DSGVO, Verbraucherschutzrecht und branchenspezifische Vorgaben. Jeder Finanzierungsantrag erfordert die Erfassung und Prüfung von durchschnittlich 8 bis 15 Dokumenten – von der Identifikation des Antragstellers über die Bonitätsunterlagen bis zu den Sicherheiten.

Die Ablehnungsquote wegen dokumentarischer Mängel im Leasing erreicht 20 bis 30 Prozent und verursacht zusätzliche Bearbeitungszeiten von 5 bis 10 Arbeitstagen. Häufigste Fehler: veralteter Handelsregisterauszug, unvollständiger Jahresabschluss und nicht konforme Versicherungsbestätigung.

Unser Leitfaden zur Dokumenten-Compliance im Leasing beschreibt die sektorspezifischen Anforderungen im Detail.

Arbeitsrecht: Prüfung der Arbeitserlaubnis

Die Prüfung des Rechts auf Arbeit ist eine gesetzliche Pflicht jedes Arbeitgebers in Deutschland. § 4a Aufenthaltsgesetz in Verbindung mit § 98 Abs. 2a AufenthG verpflichtet Arbeitgeber, vor der Einstellung die Arbeitserlaubnis eines ausländischen Beschäftigten zu kontrollieren. Das Bußgeld für die Beschäftigung ohne gültigen Aufenthaltstitel kann bis zu 500.000 Euro betragen (§ 404 Abs. 2 Nr. 4 SGB III).

Die zu prüfenden Dokumente variieren nach Staatsangehörigkeit: Aufenthaltserlaubnis mit Arbeitserlaubnis, Niederlassungserlaubnis, Blaue Karte EU oder Personalausweis für EU/EWR-Staatsangehörige. Unser Leitfaden zur Arbeitserlaubnisprüfung für Arbeitgeber deckt sämtliche Fallkonstellationen und Best Practices ab.

Regulierungsübersicht nach Sektor

So automatisiert CheckFile die Dokumenten-Compliance

CheckFile.ai ist eine Plattform zur KI-gestützten Dokumentenprüfung, die sämtliche in diesem Leitfaden dargestellten Pflichten abdeckt. Die Analyse-Engine automatisiert die Prüfung von Ausweisdokumenten, Handelsregisterauszügen, Unbedenklichkeitsbescheinigungen, Jahresabschlüssen und Rechnungen in weniger als 30 Sekunden pro Dokument.

Die Integration erfolgt über eine REST-API oder native ERP-/CRM-Konnektoren. Das Compliance-Dashboard bündelt Warnungen (abgelaufene Dokumente, fehlende Unterlagen, erkannte Anomalien) und erstellt die von Regulierungsbehörden geforderten Audit-Trails.

Unternehmen, die CheckFile einsetzen, reduzieren ihre Onboarding-Dauer um durchschnittlich 70 Prozent und die Ablehnungsquote um 85 Prozent. Die Plattform erfüllt die Anforderungen der DSGVO (Verschlüsselung, automatische Löschung, Auskunftsrecht) und der DORA-Standards (Auditierbarkeit, Betriebskontinuität, Resilienztests).

Entdecken Sie unsere Angebote für Ihren Sektor.

Weiterführend empfehlen wir Compliance-Leitfaden und Die EU-Brieftasche für digitale Identität.

FAQ

Welche Dokumenten-Compliance-Pflichten gelten 2026 in Deutschland?

Die Pflichten umfassen KYC/KYB (Identifikation und Verifizierung von Kunden und Partnern nach GwG), die Geldwäschebekämpfung (GwG-Sorgfaltspflichten), die DSGVO (Schutz personenbezogener Daten), DORA (operationale Resilienz für den Finanzsektor), die E-Rechnungspflicht (Empfangspflicht seit Januar 2025) und eIDAS 2 (europäische digitale Identität). Jedes Regelwerk stellt spezifische Anforderungen an Erfassung, Prüfung und Aufbewahrung von Dokumenten.

Welche Sanktionen drohen bei Verstößen gegen Dokumentenprüfungspflichten?

Die Sanktionen variieren je nach Regelwerk: bis zu 5 Millionen Euro oder 10 Prozent des Umsatzes für GwG-Verstöße (BaFin), 20 Millionen Euro oder 4 Prozent des weltweiten Umsatzes für DSGVO-Verstöße (Datenschutzbehörden) und strafrechtliche Sanktionen bis zu 4 Jahren Freiheitsstrafe bei Geldwäsche-Vorfällen (AMLD6). Die BaFin und Datenschutzbehörden veröffentlichen Sanktionsentscheidungen, was ein erhebliches Reputationsrisiko birgt.

Wie lassen sich Dokumentenprüfungspflichten und DSGVO-Datenschutz vereinbaren?

Der Grundsatz der Datenminimierung (Artikel 5 DSGVO) verlangt, nur strikt notwendige Daten zu erheben. In der Praxis bedeutet das: Attribute prüfen (Alter, Gültigkeit eines Titels) statt Vollkopien erstellen, gesetzliche Aufbewahrungsfristen einhalten (5 Jahre nach GwG, 10 Jahre nach HGB), Daten im Ruhezustand und bei Übertragung verschlüsseln und granulare Zugriffsrechte einrichten. Automatisierte Prüflösungen wie CheckFile ermöglichen die Verifizierung ohne dauerhafte Dokumentenspeicherung.

Wird die eIDAS-2-Wallet die klassische Dokumentenprüfung ersetzen?

Nicht sofort. eIDAS 2 sieht die schrittweise Einführung der EUDI Wallet bis 2026/2027 vor, doch die Koexistenz mit physischen Dokumenten wird mehrere Jahre andauern. Unternehmen müssen sich auf ein Hybridmodell einstellen: verifizierbare Präsentationen der digitalen Wallet akzeptieren und gleichzeitig die Fähigkeit zur Prüfung traditioneller Dokumente aufrechterhalten. CheckFile unterstützt beide Prüfmodi.

Wie kann Dokumenten-Compliance automatisiert werden, ohne die menschliche Kontrolle zu verlieren?

KI-gestützte Automatisierung verarbeitet Standardfälle (80 Prozent der Akten) in wenigen Sekunden, während komplexe oder risikoreiche Fälle an einen menschlichen Analysten mit vorbereiteter Akte weitergeleitet werden. Dieses Hybridmodell hält eine Compliance-Rate von über 99 Prozent aufrecht und reduziert die Bearbeitungszeit um 70 Prozent. Das Compliance-Dashboard liefert die vollständige Nachvollziehbarkeit, die Regulierungsbehörden verlangen.