AMLA konsultiert zu den RTS zur zentralen AML/CFT-Datenbank: Was Aufsichtsbehörden künftig melden

Am 7. Oktober 2026 veröffentlichte die AMLA ein Konsultationspapier zum Entwurf der RTS, mit denen ihre zentrale AML/CFT-Datenbank eingerichtet wird, das EU-weite Verzeichnis, in dem jede AML/CFT-Aufsichtsbehörde, ob im Finanzsektor oder im Nichtfinanzsektor, festhält, was sie über die von ihr beaufsichtigten Einrichtungen weiß. Das Mandat findet sich in Artikel 11 Absatz 6 der AMLA-Verordnung (Verordnung (EU) 2024/1620, AMLAR). Anders als bei den meisten bisherigen Konsultationen der AMLA läuft dieses Verfahren über eine einzige öffentliche Anhörung am 3. November 2026 (14:00 bis 16:00 Uhr MEZ) statt über ein schriftliches Antwortfenster. Die Pressemitteilung findet sich unter https://www.amla.europa.eu/press-release-amla-consults-draft-standards-eu-wide-amlcft-database_en und die Konsultationsseite unter https://www.amla.europa.eu/policy/public-consultations/consultation-public-hearing-draft-rts-establishing-central-amlcft-database_en.

Verpflichtete melden selbst nicht an diese Datenbank. Dennoch sind sie deren Gegenstand. Dieser Artikel stellt dar, was die AMLA vorschlägt, wie sich dies von EuReCA der EBA unterscheidet, und warum ein MLRO oder Compliance-Verantwortlicher dies als Beschreibung der Akte lesen sollte, die Aufsichtsbehörden EU-weit über das eigene Institut führen werden.

Was die AMLA am 7. Oktober veröffentlicht hat

Artikel 11 AMLAR verpflichtet die AMLA, eine zentrale Datenbank mit Informationen einzurichten und zu führen, die von Aufsichtsbehörden übermittelt werden, diese zu analysieren und sie, auf Need-to-know-Basis und vertraulich, mit den Behörden zu teilen, die das EU-AML/CFT-Aufsichtssystem bilden. Artikel 11 Absatz 6 beauftragt die AMLA, RTS zu entwerfen, die festlegen, welche Informationen zu übermitteln sind, deren Umfang und Detailgrad, die Meldeformate und -fristen sowie die Bedingungen, unter denen die AMLA zusätzliche Informationen von Aufsichtsbehörden anfordern kann.

Laut Konsultationspapier und Pressemitteilung würde der RTS-Entwurf nationale Aufsichtsbehörden und, für den Nichtfinanzsektor, Selbstverwaltungseinrichtungen verpflichten, zwei Kategorien von Informationen zu übermitteln:

Informationen über die Aufsichtsbehörden selbst: ihre Befugnisse und Aufgaben, Statistiken zu Ressourcen und Personal sowie die von ihnen durchgeführten Aufsichtstätigkeiten.
Informationen über einzelne Verpflichtete: deren Geldwäsche-/Terrorismusfinanzierungsrisiko, gegen sie verhängte Sanktionen, Verwaltungsmaßnahmen und Zwangsgelder, Zulassungen und deren Entzug sowie die Ergebnisse von Fit-and-proper-Prüfungen.

Drei Gestaltungsentscheidungen fallen auf. Erstens legt der Entwurf eine Wesentlichkeitsschwelle fest, oberhalb derer ein Verstoß gemeldet werden muss, damit die Datenbank nicht mit geringfügigen Feststellungen überfüllt wird. Zweitens stützen sich die Standards nach Angaben der AMLA zunächst auf Daten, die Aufsichtsbehörden ohnehin bereits erheben oder erheben werden, sodass für Verpflichtete keine neuen Meldepflichten entstehen, mit automatisierter Übermittlung, wo dies möglich ist. Drittens ist das Inkrafttreten für bestimmte Elemente gestaffelt, da Aufsichtsbehörden Zeit benötigen, um ihre eigenen Systeme anzupassen.

Das Einheitliche Programmplanungsdokument der AMLA hatte diese Konsultation für das zweite Quartal 2026 und den finalen Entwurf für das dritte Quartal 2026 vorgesehen; beide Termine verschoben sich. Im AMLR-Monitor-Dashboard war das Instrument zum Stichtag 6. Oktober als „Angekündigt, noch kein Entwurf“ gelistet und wird nun auf „In Konsultation“ aktualisiert, mit der Anhörung am 3. November 2026 als Termin für Rückmeldungen. Die AMLA hat kein neues Datum für den finalen Entwurf angekündigt; die Erwartung im Dashboard bleibt Ende 2026, und das reine Anhörungsformat deutet darauf hin, dass die AMLA zügig vorgehen will.

Von EuReCA zur AMLA-Datenbank

Die EU verfügt bereits über eine zentrale AML/CFT-Datenbank. Die EBA führte EuReCA im Januar 2022 nach Artikel 9a der EBA-Verordnung ein, mit den Details in der Delegierten Verordnung (EU) 2024/595 der Kommission, die „wesentliche Schwächen“ bei Finanzinstituten sowie die darauf folgenden Maßnahmen definiert. EuReCA ging am 1. Januar 2026 zusammen mit den übrigen AML/CFT-Mandaten der EBA auf die AMLA über und bleibt bis zur Anwendung der neuen Vorschriften in Betrieb.

Die Datenbank nach Artikel 11 ist in dreierlei Hinsicht umfassender:

Umfang der erfassten Einrichtungen: EuReCA erfasst nur Kredit- und Finanzinstitute. Die AMLA-Datenbank erfasst die gesamte Gruppe der Verpflichteten nach der AMLR, einschließlich Rechtsanwälten, Notaren, Buchprüfern, Immobilienmaklern, Trust- und Unternehmensdienstleistern (TCSP), Händlern mit Gütern und Glücksspielanbietern, sowie die Selbstverwaltungseinrichtungen, die einige von ihnen beaufsichtigen.
Umfang der Daten: EuReCA ist um Schwächen und Maßnahmen herum aufgebaut. Die AMLA-Datenbank fügt Risikoprofile, Zulassungsentscheidungen, Fit-and-proper-Ergebnisse sowie, auf Seiten der Aufsicht, Ressourcen- und Tätigkeitsstatistiken hinzu. Sie ist ebenso sehr ein Werkzeug für die Aufsicht der AMLA über die Aufsichtsbehörden wie ein Register über Verpflichtete.
Zweck: Die AMLA wird die Daten für ihre Risikobewertungen, für thematische Prüfungen und Peer Reviews bei nationalen Aufsichtsbehörden sowie als einen Input in die Methodik zur Auswahl von Einrichtungen für die direkte Aufsicht ab 2028 nutzen.

Bis die neuen RTS anwendbar sind, bleibt die Delegierte Verordnung 2024/595 der maßgebliche Text für Finanzinstitute. Die gestaffelte Anwendung im RTS-Entwurf soll eine Brücke zwischen den beiden Regimen schlagen, ohne eine Meldelücke entstehen zu lassen.

Warum das für Verpflichtete von Bedeutung ist

Ein Institut sieht die Datenbank nie, warum also die RTS lesen? Weil sie die Aufsichtsakte beschreibt, die das Institut EU-weit begleitet.

Feststellungen reisen weiter. Ein wesentlicher Verstoß, der von einer Aufsichtsbehörde festgestellt wird, wird für jede andere Aufsichtsbehörde mit berechtigtem Interesse sichtbar, einschließlich der Herkunfts- und Aufnahmeaufsicht einer Gruppe. Zusammen mit den RTS zur Zusammenarbeit zwischen Herkunfts- und Aufnahmebehörden (Status: „Endgültiger Text, Veröffentlichung steht aus“), die eine Weitergabe innerhalb des EU-Aufsichtssystems ohne vorherige Zustimmung erlauben, bedeutet dies, dass eine Feststellung bei einer Tochtergesellschaft die Risikoeinstufung und Prüfungsplanung für die gesamte Gruppe beeinflussen kann.
Risikoeinstufungen reisen weiter. Die Datenpunkte zum Risikoprofil stammen aus den RTS zum inhärenten und residualen Risikoprofil von Einrichtungen des Finanzsektors („Endgültiger Text, Veröffentlichung steht aus“) und dem Pendant für den Nichtfinanzsektor („In Konsultation“ bis 27. September 2026, derzeit in der Finalisierung). Die Datenbank ist der Ort, an dem diese Einstufungen gespeichert und verglichen werden.
Sanktionen reisen weiter. Sanktionen, Verwaltungsmaßnahmen und Zwangsgelder, eingestuft nach den RTS zu Sanktionen („Endgültiger Text, Veröffentlichung steht aus“), werden pro Einrichtung erfasst. Wo die AMLD6 die Veröffentlichung von Sanktionen vorschreibt, fügt die Datenbank eine vertrauliche, strukturierte Ebene hinzu.
Personen reisen weiter. Fit-and-proper-Ergebnisse für Führungskräfte und, wo nationales Recht dies vorsieht, für wirtschaftlich Berechtigte, werden für andere Aufsichtsbehörden abrufbar sein. Eine verweigerte oder entzogene Bewertung in einem Mitgliedstaat dürfte kaum lokal bleiben.
Die Auswahl hängt davon ab. Für Kredit- und Finanzinstitute, die in sechs oder mehr Mitgliedstaaten tätig sind, überschneiden sich die Daten, die die AMLA zur Bestätigung der Eignung und des residualen Risikos für die direkte Aufsicht heranzieht, erheblich mit dem, was die Datenbank enthält.

Die praktische Folge ist, dass die Qualität der eigenen Aufsichtsakte nun grenzüberschreitend von Bedeutung ist. Eine Abhilfemaßnahme, die zwar abgeschlossen, aber nicht belegt ist, oder eine Feststellung, die informell ohne schriftliche Bestätigung der Aufsichtsbehörde geschlossen wurde, riskiert, als offene Schwäche in der Akte zu verbleiben.

Fragen, die bei der Anhörung aufgeworfen werden sollten

Die AMLA hat Interessenträger zur Anhörung eingeladen, und Verpflichtete sowie deren Verbände haben ein berechtigtes Interesse, auch wenn sie nicht die meldenden Parteien sind. Punkte, die angesprochen werden sollten:

Die Wesentlichkeitsschwelle: wie sie mit den vier Schweregraden in den RTS zu Sanktionen übereinstimmt, und ob ein Verstoß, der der niedrigsten Stufe zugeordnet wird, ausgeschlossen ist.
Ob eine Einrichtung informiert wird, wenn eine Feststellung, Maßnahme oder Risikoeinstufung über sie eingetragen wird, und ob es einen Weg gibt, unrichtige Einträge zu korrigieren, was auch im Rahmen der DSGVO für Informationen über natürliche Personen wie Führungskräfte und wirtschaftlich Berechtigte von Bedeutung ist.
Aufbewahrungsfristen für Einträge, insbesondere für abgeschlossene Feststellungen und ausgelaufene Maßnahmen.
Wie Selbstverwaltungseinrichtungen mit begrenzten IT-Kapazitäten die Formate und Fristen einhalten sollen, und ob die gestaffelte Anwendung ihnen genug Spielraum lässt.
Wie die Datenbank mit dem Vertraulichkeits- und Berufsgeheimnisregime der AMLD6 zusammenwirkt, insbesondere für die rechtsberatenden Berufe.

Dies sind offene Punkte in einem Entwurf; nichts hiervon ist festgelegt, bis die AMLA ihren finalen Entwurf veröffentlicht und die Kommission ihn annimmt.

Was jetzt zu tun ist

Das Konsultationspapier lesen und sich für die Anhörung am 3. November 2026 anmelden, wenn das eigene Institut oder der Verband Stellung nehmen möchte; dies ist der einzige Rückmeldekanal.
Die eigene Liste offener Aufsichtsfeststellungen mit der Sicht der Aufsichtsbehörde abgleichen. Um schriftliche Bestätigung des Abschlusses sanierter Punkte bitten.
Für Gruppen: abbilden, welche Aufsichtsbehörden Feststellungen zu welchen Einrichtungen halten, und davon ausgehen, dass alle davon für die federführende Aufsichtsbehörde und die AMLA sichtbar sein werden.
Prüfen, dass die Fit-and-proper-Dokumentation für Vorstandsmitglieder und den Compliance-Verantwortlichen vollständig und über alle Einrichtungen hinweg, in denen sie Funktionen innehaben, konsistent ist.
Die Datenbank bei der Planung der Datenübermittlung für die Auswahl 2027 im Blick behalten, wenn das Institut in sechs oder mehr Mitgliedstaaten tätig ist.

Das AMLR-Monitor-Dashboard verfolgt die RTS zur zentralen Datenbank zusammen mit den oben besprochenen RTS zu Risikoprofilen, Sanktionen und der Zusammenarbeit zwischen Herkunfts- und Aufnahmebehörden und wird die Statusänderung erfassen, sobald die AMLA den finalen Entwurf veröffentlicht.