Behörden dürfen Unternehmen wegen Verstößen gegen Geldwäschevorschriften sanktionieren, ohne zuvor eine einzelne natürliche Person als Beschuldigte ausweisen zu müssen und im Urteil zu benennen. Das entschied der EuGH mit Urteil vom 29. Januar (C-291/24) in einem Fall aus Österreich.
Der Hintergrund: Die EU-Geldwäsche-Richtlinie (RL-EU 2015/849) verlangt wirksame, verhältnismäßige und abschreckende Maßnahmen – und zwar direkt gegen die Verpflichteten, also auch gegen juristische Personen. Der Gerichtshof stützt sich bei seiner Entscheidung ausdrücklich auf die praktische Wirksamkeit des Unionsrechts (effet utile) und knüpft an seine DS-GVO-Linie aus "Deutsche Wohnen" (C-807/21) an. Unternehmenssanktionen dürfen demnach nicht an der Identifizierung eines "Täters" scheitern, wenn das Organisationsversagen klar ist.
Unverändert zulässig: Österreichs Verjährungsfristen von drei Jahren für die Verfolgung und fünf Jahren für die Strafbarkeit bei Geldwäschedelikten.
Bisher: VwGH folgt strengen Zurechnungsvoraussetzungen
Ausgangspunkt war ein Straferkenntnis – im deutschen Recht vergleichbar mit einem Bußgeldbescheid – der österreichischen Finanzmarktaufsicht (FMA) gegen ein Kreditinstitut, weil dieses gegen seine geldwäscherechtlichen Sorgfaltspflichten verstoßen haben soll. Das österreichische Bundesverwaltungsgericht (BVwG), das die Rechtmäßigkeit der Sanktion überprüfen sollte, hatte Zweifel, ob die Vorschriften des österreichischen Finanzmarkt-Geldwäschegesetzes (FM-GwG) mit der EU-Geldwäsche-Richtlinie vereinbar sind. Es hatte daher das Verfahren gegen das Kreditinstitut ausgesetzt und den EuGH um Vorabentscheidung ersucht.
Österreich setzte die EU-Richtlinie mit dem FM-GwG um. § 35 FM-GwG erklärt Unternehmen verantwortlich, wenn Leitungspersonen handeln oder eine mangelhafte Überwachung Verstöße "zugunsten" des Unternehmens ermöglicht. Anders gesagt: Es gibt ein Zurechnungsmodell über tatsächliche Tathandlungen sowie ein zweites über Überwachungs- und Kontrollversagen. Die Bestimmung legt zudem Verjährungsfristen von drei bzw. fünf Jahren fest.
Über die genannten Regelungen hinaus folgte der österreichische Verwaltungsgerichtshof (VwGH) einer strengen Linie: Unternehmenssanktionen sind nur dann zulässig, wenn zuvor eine konkrete natürliche Person als Beschuldigte beteiligt war, im Urteil namentlich genannt und ihr schuldhaftes Verhalten festgestellt wurde. Erst dann war das Verhalten dem Unternehmen zurechenbar. Praktisch hieß das: Zwei oder mehr Verfahren, Beweisaufnahmen und Zeitverlust – mit der Folge, dass eine Haftung juristischer Personen nicht geltend gemacht werden kann, weil die Haftung einer ihr zuzurechnenden natürlichen Person nicht innerhalb der Verjährungsfristen festgestellt wird.
EuGH kippt "Person-zuerst"-Erfordernis
Der EuGH kippte in seiner Entscheidung aus dem Januar das "Person-zuerst"-Erfordernis. Die Geldwäsche-Richtlinie verlange Sanktionen gegen Verpflichtete, also auch gegen Unternehmen. Art. 60 Abs. 5 und 6 der Geldwäsche-Richtlinie beschreibe nur, welche Personen das Unternehmen "handeln lassen", nämlich Leitungsorgane oder Unterstellte bei mangelnder Kontrolle. Daraus folge aber gerade kein Zwang, zuvor ein Individualverfahren zu führen oder Namen im Urteil zu nennen. Zusätzlich erinnert der Gerichtshof daran, dass Art. 58 Abs. 3 Sanktionen auch gegen Mitglieder der Leitung vorsieht – aber eben ergänzend. Die Verantwortlichkeit der juristischen Person stehe für sich.
Bei der Verjährung bleibt hingegen alles beim Alten: Ohne Harmonisierung dürfen Staaten Fristen setzen, solange sie effektiv und gleichwertig sind. Drei Jahre Verfolgung, fünf Jahre Strafbarkeit – das geht in Ordnung. In der Praxis bedeutet das: Ermittlungen der Behörden müssen von Beginn an fokussiert sein, Beweise zügig gesichert und zeitnah ausgewertet werden.
Weniger Vollzugshürden in der Praxis
Die Entscheidung räumt Vollzugshürden ab. Geldwäschefälle sind häufig komplex und die Verantwortlichkeiten verteilt. Der Zwang zur namentlichen Nennung im Urteilsspruch lähmte den Verwaltungsvollzug – und schwächte die Abschreckung. Nun steht das System im Mittelpunkt: Es reicht, wenn Geschäftsleiterinnen oder Geschäftsleiter handeln oder die Kontrolle über das verantwortliche Personal verlieren. Die juristische Person bleibt Adressatin der Sanktion. Parallel können Leitungspersonen persönlich haften – aber nicht als Voraussetzung der Unternehmenshaftung, sondern zusätzlich. Ein einfaches Bild: Wenn die Schleuse offensteht, interessiert weniger, wer den Hebel gezogen hat – entscheidend ist, dass das Werk die Schleusen richtig sichert und das Wasser nur dann fließt, wenn es fließen soll.
In Österreich muss die Justiz jetzt vor allem bei der Auslegung des Geldwäschegesetzes nachjustieren. §§ 35, 36 FM-GwG passen im Wortlaut, die strenge VwGH-Spruchpraxis jedoch nicht mehr. FMA, BVwG und VwGH werden Bescheide und Rechtsprechung an die EU-Richtlinie anlehnen müssen – mit Blick auf den effet utile. Die Fristen von drei bzw. fünf Jahren bleiben bestehen. Die FMA muss Verfahren also auch weiterhin straff führen. Für Institute heißt das: weniger formale Angriffsflächen, dafür mehr Substanzprüfung – hat das Haus sein Geldwäsche-Risiko im Griff?
Für Deutschland und andere Staaten bestätigt Luxemburg die Linie aus "Deutsche Wohnen": Bußgelder gegen Unternehmen sind möglich, ohne vorher eine handelnde Person zu identifizieren. Das stärkt Geldwäsche- und Datenschutzaufsicht gleichermaßen. Und es nimmt den Reiz, Verfahren auf das Aufspüren einer einzelnen "Schlüsselperson" zu verengen, während strukturelle Mängel im Schatten bleiben.
Governance und Kontrolle wichtiger denn je
In den Unternehmen sollte der Fokus noch stärker auf Governance und Kontrolle liegen. Unternehmen sollten Risikoanalysen aktuell halten, Zuständigkeiten klar ziehen und Schulungen dokumentieren. Interne Überwachung muss wirken – nicht nur in Handbüchern. Ansonsten droht ein Organisationsverschulden, das direkt dem Unternehmen zurechenbar ist, auch ohne identifizierte "Einzeltäter".
Wichtig bleibt das Zeitmanagement. Drei Jahre zur Einleitung, fünf Jahre bis zur Sanktion sind knapp. Unternehmen sollten interne Untersuchungen deswegen zügig und revisionsfest gestalten und die Aktenlage sauber halten. Aus Unternehmenssicht lohnt sich ein "Front-to-Back-Check": vom Onboarding über Transaktionsmonitoring bis zur Verdachtsmeldung – wo hakt es, wo fehlen Ressourcen, wo liegen Eskalationslücken? Wer diese Fragen heute sauber beantwortet, muss sie morgen nicht vor der Aufsicht erklären.
Geldwäsche bekämpft man nicht mit Namenslisten, sondern mit funktionierenden Systemen. Genau das verlangt Luxemburg nun unmissverständlich. Wer Kontrolle ernst nimmt, hat wenig zu befürchten. Wer sie delegiert, verschiebt oder bloß behauptet, wird zur Kasse gebeten – auch ohne namentliche "Schuldige" im Urteilsspruch. Kurz gesagt: Entscheidend ist nicht der Täter, sondern die Tat (Urteil vom 29.01.2026 - C-291/24).
Dr. Oliver Werner ist Partner und Rechtsanwalt bei CMS in Wien. Er leitet die Compliance-Praxis und beschäftigt sich laufend mit Fragen der Geldwäscheprävention.