Eine digitale Kundenakte bündelt alle Unterlagen einer Geschäftsbeziehung an einem Ort: Identifizierungsnachweise, Risikoeinstufung, Verträge, Beratungsprotokolle und Korrespondenz. Für Banken und Finanzdienstleister wird sie zur zentralen Nachweisstelle, sobald die EU-Geldwäscheverordnung (AMLR) greift. Die Verordnung ist seit Juli 2024 in Kraft, ihre Pflichten gelten ab dem 10. Juli 2027. Ab dann gibt sie feste Fristen vor, in denen Banken Kundendaten aktualisieren, aufbewahren und löschen müssen. Dieser Blogartikel zeigt, welche Unterlagen in die Akte gehören und warum darin mehrere Fristen gleichzeitig laufen.
Digitale Kundenakte: Definition und Aufbau
Definition digitale Kundenakte
Eine digitale Kundenakte, auch elektronische Kundenakte genannt, ist die strukturierte und revisionssichere Ablage aller Dokumente zu einer Kundin oder einem Kunden. Banken trennen dabei häufig zwischen Privatkundenakte und Firmenkundenakte, weil bei Unternehmen zusätzliche Unterlagen anfallen, etwa zu wirtschaftlich Berechtigten und Vertretungsbefugnissen.
In d.velop documents liegen Privat- und Firmenkundenakten als digitale Akten mit Kategorien, Metadaten und rollenbasierten Berechtigungen. Um mit den Dokumenten zu arbeiten, müssen Sachbearbeiter:innen das Kernbankensystem nicht verlassen: Über die REST-API und iFrame-Integration öffnen sie die Akte direkt dort, wo sie den Kunden ohnehin bearbeiten. Bei entsprechender Konfiguration archiviert d.velop documents revisionssicher nach GoBD, die Software ist dafür von der BDO nach IDW PS 880 geprüft.
Viele Häuser kennen dieses Prinzip schon aus der digitalen Kreditakte. Die Kundenakte setzt eine Ebene höher an und fasst alle Produkte und Vorgänge einer Geschäftsbeziehung zusammen. Damit ist sie auch der Ort, an dem eine Bank ihre KYC-Nachweise ablegt.
Diese Unterlagen gehören zur KYC-Dokumentation
Zur KYC-Dokumentation zählt jede Unterlage, mit der eine Bank belegt, dass sie ihre Kundensorgfaltspflichten erfüllt hat. Art. 77 der AMLR nennt dafür unter anderem Kopien der Unterlagen und Informationen, die bei der Erfüllung der Sorgfaltspflichten eingeholt wurden, sowie die erforderlichen Transaktionsaufzeichnungen.
In der Kundenakte sind das typischerweise:
- Identifizierungsnachweise, zum Beispiel Ausweiskopie oder Protokoll eines Ident-Verfahrens
- Angaben und Nachweise zu wirtschaftlich Berechtigten
- Risikoeinstufungen der Geschäftsbeziehung
- Nachweise über durchgeführte Aktualisierungen
Diese Unterlagen liegen in vielen Häusern verteilt: im Kernbankensystem, auf Fileservern und in E-Mail-Postfächern. Bei einer Prüfung genügt es dann nicht, dass die Identifizierung stattgefunden hat. Die Bank muss zeigen, wo der Nachweis liegt und wann sie ihn zuletzt geprüft hat. Wie oft diese Prüfung fällig ist, regelt die AMLR ebenfalls.
Von GwG zu AMLR: Was sich für die Kundenakte ändert
Mit der AMLR, der Verordnung (EU) 2024/1624, werden die Kundensorgfaltspflichten ab dem 10. Juli 2027 unmittelbar anwendbares EU-Recht in allen Mitgliedstaaten. Bis dahin regelt sie in Deutschland vor allem das Geldwäschegesetz (GwG).
Für die Kundenakte ändern sich diese zwei Dinge. Zum einen ergeben sich die Höchstabstände für die Aktualisierung von Kundeninformationen dann unmittelbar aus der Verordnung. Zum anderen verschiebt sie die Löschfrist. Denn nach dem GwG läuft die Fünfjahresfrist ab dem Schluss des Kalenderjahres, in dem die Geschäftsbeziehung endet. Vernichtet werden müssen die Unterlagen spätestens nach zehn Jahren. Die AMLR rechnet ab dem Ende der Geschäftsbeziehung und verlangt die Löschung personenbezogener Daten, sobald die fünf Jahre abgelaufen sind. Welche Regelungen des GwG daneben bestehen bleiben, sollten Institute frühzeitig mit ihren Geldwäschebeauftragten klären.
Aktualisierung der Kundendaten: jährlich oder spätestens nach fünf Jahren
Nach Art. 26 Abs. 2 AMLR aktualisieren Banken die Kundeninformationen bei Kunden mit höherem Risiko, für die verstärkte Sorgfaltspflichten gelten, mindestens einmal im Jahr, bei allen übrigen Kunden spätestens nach fünf Jahren. Innerhalb dieser Grenzen richtet sich der Abstand nach dem Risiko der jeweiligen Geschäftsbeziehung. Ändern sich relevante Umstände eines Kunden, ist die Aktualisierung zusätzlich anlassbezogen fällig (Art. 26 Abs. 3 AMLR).
Bei mehreren Zehntausend Geschäftsbeziehungen wird daraus eine Daueraufgabe, die für jede Risikoklasse in einem eigenen Takt läuft. Kalendereinträge und Excel-Listen erinnern zwar an Termine, belegen aber nicht, wer welche Prüfung wann abgeschlossen hat. Diesen Nachweis liefert erst ein Workflow, der jeden Schritt protokolliert.
Mit d.velop process studio lässt sich die Überprüfung als solcher Workflow abbilden. Wiedervorlagen mit automatischer Fristenberechnung schicken die Prüfaufgabe an die zuständige Sachbearbeitung, bei überschrittener Frist greift eine Eskalation. Prozessschritte und Entscheidungen lassen sich protokollieren und das Protokoll in d.velop documents revisionssicher archivieren. Die Interne Revision kann so jede Aktualisierung nachvollziehen.
Aufbewahrung und Löschung: Die Frist hängt am Dokument
KYC-Unterlagen werden nach Art. 77 Abs. 3 AMLR fünf Jahre ab dem Ende der Geschäftsbeziehung aufbewahrt, danach müssen personenbezogene Daten gelöscht werden. Nach Art. 77 Abs. 3 Unterabs. 2 AMLR kann die zuständige Behörde im Einzelfall eine weitere Aufbewahrung von höchstens fünf Jahren verlangen, wenn das zur Verhinderung, Aufdeckung, Ermittlung oder Verfolgung von Geldwäsche oder Terrorismusfinanzierung erforderlich ist.
Daneben liegen in derselben Kundenakte Dokumente mit anderen Fristen. Nach § 257 HGB bewahren Banken Handelsbriefe sechs Jahre auf, dazu zählt auch Korrespondenz mit Kunden, soweit sie ein Handelsgeschäft betrifft. Für Buchungsbelege gilt seit 2025 allgemein eine Frist von acht Jahren, für Banken weiterhin zehn Jahre. Für Häuser mit Wertpapiergeschäft gilt zusätzlich Art. 16 Abs. 7 MiFID II, in Deutschland umgesetzt in § 83 WpHG: Aufzeichnungen von Telefongesprächen und elektronischer Kommunikation zu Kundenaufträgen und zum Eigenhandel werden fünf Jahre aufbewahrt, auf Verlangen der BaFin bis zu sieben Jahre.
Löscht eine Bank die Kundenakte nach fünf Jahren komplett, fehlen ihr in der Regel handelsrechtliche Belege. Bewahrt sie pauschal alles zehn Jahre auf, hält sie KYC-Daten länger vor, als die AMLR erlaubt. Längere Fristen aus anderen Gesetzen lässt die Verordnung zwar unberührt, sie gelten aber nur für die Unterlagen, die diese Gesetze erfassen. Ist eine dieser Fristen abgelaufen, verlangt die DSGVO (Art. 5 Abs. 1 lit. e, Art. 17) auch dort die Löschung personenbezogener Daten, sofern kein anderer Zweck die Speicherung trägt. Deshalb legt die Bank für jede Dokumentenart eine eigene Frist fest.
In d.velop documents wird aus dieser Festlegung eine Regel im System: Aufbewahrungsfristen werden je Dokumentenkategorie hinterlegt, auf Wunsch mit automatischer Löschung nach Fristablauf. Verlangt eine Behörde die weitere Aufbewahrung, halten Löschsperren die betroffenen Dokumente zurück. Die Aktivitätenprotokollierung an Dokument, Akte und Kategorie macht nachvollziehbar, wie die Bank ihre Löschfristen umsetzt.
Prüfung und Nachweise der Kundenakte und eKYC
eKYC-Verfahren wie Video-Ident oder die Online-Ausweisfunktion prüfen die Identität eines Kunden beim Onboarding. Die digitale Kundenakte bewahrt das Ergebnis dieser Prüfung auf und hält es über die gesamte Geschäftsbeziehung aktuell.
Die Identitätsprüfung im Onboarding übernehmen spezialisierte Anbieter, nicht d.velop documents. Ident-Protokolle und Prüfergebnisse aus diesen Systemen landen als Dokumente in der Kundenakte und bekommen dort wie jede andere Dokumentenart eine eigene Kategorie. Als KYC-Unterlagen gilt für sie die Fünfjahresfrist nach Art. 77 Abs. 3 AMLR, der Zugriff läuft über das Berechtigungskonzept der Akte.
Das Kernbankensystem bleibt führend
Das Kernbankensystem bleibt führend. Für die digitale Kundenakte muss das Kernbankensystem nicht ersetzt werden. d.velop ergänzt es über Schnittstellen, iFrame-Integration und die offene REST-API um eine revisionssichere Dokumenten- und Prozessschicht: d.velop documents für die Akten, d.velop process studio für Workflows wie die Wiedervorlage. Bestandsdaten aus dem Kernsystem müssen dafür nicht migriert werden.
Betreiben lässt sich d.velop documents in der Cloud, On-Premises oder hybrid. Welches Modell passt, hängt bei Banken auch an der Steuerung von IKT-Drittdienstleistern nach der DORA-Verordnung.
Dokumentenkategorien: Erst festlegen, dann digitalisieren
Fristen, Löschregeln und Wiedervorlagen hängen an der Dokumentenkategorie. Ein Dokument, das ohne Kategorie in der Akte landet, bekommt keine Frist und wird weder rechtzeitig gelöscht noch zur Prüfung vorgelegt. Die Kategorien entstehen deshalb vor der Digitalisierung der Bestände und nicht danach.
Festlegen lassen sie sich nur gemeinsam. Compliance, Geldwäschebeauftragte und Datenschutz wissen, welche Frist für welche Unterlage gilt. Die Fachbereiche wissen, welche Dokumente im Alltag tatsächlich anfallen und unter welchem Begriff Sachbearbeiter:innen sie suchen. Fehlt eine der beiden Seiten, entsteht entweder eine Struktur, die regulatorisch stimmt und im Alltag umgangen wird, oder eine, die gut funktioniert und keine Frist sauber abbildet.
Fazit: Die Aktenstruktur entscheidet über den AMLR-Nachweis
Ab Juli 2027 stellt die AMLR in der Kundenakte zwei Uhren neu: die Aktualisierung nach Risikoklasse und fünf Jahre Aufbewahrung ab Ende der Geschäftsbeziehung mit anschließender Löschung. Die handelsrechtlichen Fristen laufen daneben weiter, für Wertpapierhäuser auch die Vorgaben aus MiFID II. Jede Dokumentenart braucht deshalb eine eigene Kategorie mit Frist und Löschregel, KYC-Unterlagen zusätzlich eine Wiedervorlage. Diese Abstimmung zwischen Compliance und Fachbereichen braucht Zeit. Jedes Dokument, das bis zum 10. Juli 2027 ohne passende Kategorie in der Akte landet, muss später nachträglich eingeordnet werden. Steht diese Struktur, setzt ein DMS wie d.velop documents Fristen, Löschregeln und Wiedervorlagen je Kategorie um und macht jeden Schritt für Prüfungen nachvollziehbar.
Wie digitale Akten in BaFin-regulierten Unternehmen aufgebaut werden, zeigt das Webinar:
💡 KI-gestützte eAkten für BaFin-regulierte Unternehmen
Am Beispiel einer Finanzierungsbestätigung: Die KI erkennt ein Exposé, liest die Daten aus, legt eine Finanzierungsakte an und ordnet das Exposé dort ein. Die Aufzeichnung ist ohne Anmeldung abrufbar.
Häufig gestellte Fragen zur digitalen Kundenakte
Nein. Ein CRM steuert Kontakte, Vertriebschancen und Kundenkommunikation. Eine digitale Kundenakte bewahrt die Dokumente einer Geschäftsbeziehung revisionssicher auf, mit Aufbewahrungsfristen, Löschsperren und Protokollierung. Beide Systeme lassen sich verbinden, ersetzen sich aber nicht.
Ja. d.velop documents ist als Cloud-Lösung, On-Premises und hybrid verfügbar. In der Cloud läuft d.velop documents wahlweise bei Amazon Web Services oder in der T Cloud Public. Für Banken gehört die Wahl des Betriebsmodells in die Bewertung von IKT-Drittdienstleistern nach DORA.
Das hängt vom Aktenbestand, der Zahl der angebundenen Systeme und dem Zuschnitt der Dokumentenkategorien ab. Einen belastbaren Zeitplan gibt es erst, wenn der Bestand gesichtet und die Kategorien festgelegt sind.
Die Fristen legt die Bank selbst fest, in der Regel Compliance, Geldwäschebeauftragte und Datenschutz gemeinsam. Die Software setzt diese Vorgaben je Dokumentenkategorie technisch um. Die regulatorische Verantwortung bleibt beim Institut.
Papierakten werden digitalisiert und in die neue Aktenstruktur übernommen. Vorher sollten die Dokumentenkategorien feststehen, damit die Fristen von Anfang an für jedes übernommene Dokument greifen.