Geldwäsche-Compliance und Finanzermittlungen

Feststellung des Verpflichtetenstatus und des Tätigkeitsumfangs

Satzung, Tätigkeitsgenehmigungen, Produkte, Kundenarten, Geld- und Datenflüsse, Vermittlerrolle sowie Struktur von Niederlassungen und Vertretungen werden geprüft, um festzustellen, ob das Unternehmen nach Gesetz Nr. 5549 und der Verordnung über Maßnahmen ein Verpflichteter ist. Bietet eine Organisation mehrere Dienstleistungen an, wird jede Tätigkeit gesondert eingeordnet. Besteht die Verpflichtung, werden die Vorschriften zur Kundenidentifizierung, Meldung, Aufbewahrung, Schulung, Überwachung, zum Compliance-Programm oder zum Compliance-Beauftragten, die anzuwenden sind, in eine schriftliche Übersicht überführt. Nach einer Änderung der Tätigkeit, einer Fusion, einem neuen Produkt oder einer Erweiterung der Lizenz wird der Status erneut geprüft. Das Ergebnis ist ein begründeter Rechtsvermerk, der für Managemententscheidungen und Aufsicht geeignet ist.

MASAK-Lückenanalyse und Maßnahmenplan zur Abhilfe

Bestehende Richtlinien, Kundenannahme, Identifizierung, wirtschaftlich Berechtigter, Risikoeinstufung, Transaktionsüberwachung, interne Meldung, Verdachtsmeldung, Schulung, interne Revision, Aufbewahrung und Auskunftsprozesse werden am Maßstab des Gesetzes und der tatsächlichen Praxis geprüft. Geprüft wird nicht nur, ob ein Text existiert, sondern auch, wer die jeweilige Kontrolle verantwortet, welche Datenquelle und Häufigkeit sie hat, wie ein Alarm zur Entscheidung führt und wie die Berichterstattung an die Geschäftsleitung funktioniert. Feststellungen werden nach rechtlicher Bedeutung, Wiederholungsgefahr und Priorität der Abhilfe eingeordnet. Für jede Feststellung werden die verantwortliche Stelle, der Zieltermin, die erforderliche Änderung von System oder Dokument und die Prüfmethode festgelegt. Nach Abschluss der Korrektur erfolgt ein Nachtest.

Einrichtung und Aktualisierung des Compliance-Programms

Für Verpflichtete nach der Verordnung über das Compliance-Programm werden Unternehmensrichtlinie und Verfahren, Risikomanagement, Überwachung und Kontrolle, Compliance-Beauftragter und Compliance-Abteilung, Schulung und interne Revision gemeinsam aufgebaut. Grundlage sind Größe der Organisation, Transaktionsvolumen sowie Produkt-, Kanal-, Kunden- und Länderrisiko. Die Aufgaben von Rechtsabteilung, Betrieb, Informationstechnik, Personalwesen, interner Revision und Vorstand werden einander zugeordnet. Das Programm wird mindestens alle zwei Jahre überprüft; bei wesentlichen Änderungen der Gesetzeslage, der Produkte oder des Risikos muss diese Frist nicht abgewartet werden. Die aktuelle Fassung, ihr Inkrafttreten und die Genehmigung durch die Geschäftsleitung werden dokumentiert.

Erstellung der Unternehmensrichtlinie und der Verfahren

Die Unternehmensrichtlinie verbindet Risikomanagement, Kundenidentifizierung, Verdachtsmeldung, Aufbewahrung und Vorlage von Unterlagen, Auskunft und Übermittlung von Dokumenten, Aufgaben des Compliance-Beauftragten, Schulung und Grundsätze der internen Revision mit der tatsächlichen Arbeitsweise des Unternehmens. Die detaillierten Verfahren beschreiben für jede Benutzerrolle die Schritte der Kundenannahme, Identitätsprüfung, Feststellung des wirtschaftlich Berechtigten, politisch exponierter Personen, Sanktionslisten, Alarmprüfung, Meldung und Dokumentation. Zwischen Richtlinie und Systemmaske, Vertrag, Arbeitsablauf und Personalbefugnis bleibt kein Widerspruch. Festgelegt werden Ausnahmebefugnisse, Eskalation, Versionierung, Freigabe und Verteilung.

Verantwortung der Geschäftsleitung und Compliance-Governance

Die Aufsichtspflichten des Vorstands, die Bereitstellung von Ressourcen, die Genehmigung der Richtlinie, die Risikobereitschaft, die Unabhängigkeit des Compliance-Beauftragten und die regelmäßige Berichterstattung werden an einen Entscheidungskalender gebunden. Organisation und Zugriffsrechte werden so eingerichtet, dass der Compliance-Beauftragte rechtzeitig Informationen aus allen betroffenen Bereichen erhält und die Entscheidung über eine Meldung unabhängig treffen kann. Die Unternehmensleitung oder ein umsatzstarker Geschäftsbereich darf ohne Begründung weder einen Alarm schließen noch in die Entscheidung über die Kundenannahme eingreifen. Managementberichte zeigen nicht nur die Zahl der Meldungen, sondern auch verspätete Alarme, Datenqualität, Hochrisikokunden, Schulungsumfang, Feststellungen der internen Revision und Abhilfemaßnahmen.

Zulassung, Registrierung und Bestellung des Compliance-Beauftragten

Im Rahmen der Änderung der Verordnung vom 25. Dezember 2024 und der MASAK-Mitteilung Nr. 30 vom 9. September 2025 werden Zulassung, Befähigungsprüfung, Registrierung, Auffrischungsschulung und Bestellungsvoraussetzungen je nach Art der Verpflichtung der Organisation geprüft. Eine Zulassung zu besitzen und in einer bestimmten Organisation als Compliance-Beauftragter bestellt werden zu können, sind verschiedene Dinge. Amtszeit, Stellvertreterbestellung, Ausschließlichkeit, Meldepflichten, Vertretung, Ausscheiden und der Zeitplan neuer Bestellungen werden verwaltet. Die Qualifikation der Person sowie ihre Unabhängigkeit innerhalb der Organisation, ihr Zugang zu Informationen und ein angemessenes Team und Budget werden schriftlich abgesichert.

Die Prüfung der Bestellung stützt sich auf den aktuellen Text der Verordnung einschließlich der Änderungen vom 22. August 2025 sowie auf Mitteilung Nr. 30 (öffnet in einem neuen Tab). Eine Zulassung ersetzt nicht die Erfahrung in der Organisation, in die bestellt wird, die Unabhängigkeit oder die sonstigen Bestellungsvoraussetzungen.

Compliance-Abteilung, Aufgabentrennung und Ressourcenplanung

Die Einordnung der Compliance-Abteilung in die Organisation, ihre Personalstärke, Aufgabenbeschreibung, Zugriffsstufe, ein etwaiger Schicht- oder Servicebedarf und die Vertretungsregelung werden nach dem Risikoprofil festgelegt. Die Grenzen zwischen Kundengewinnung, Vertrieb, Betrieb, Betrugsbekämpfung, Cybersicherheit, Rechtsabteilung, interner Kontrolle und interner Revision werden gezogen. Es wird verhindert, dass dieselbe Person ohne Kontrolle Alarme erzeugt, schließt, über Meldungen entscheidet, Stichproben zieht und zugleich die interne Revision wahrnimmt. Auch bei Inanspruchnahme externer Dienstleister bleibt die gesetzliche Verantwortung des Verpflichteten bestehen; dies wird im Vertrag und im Aufsichtsplan abgebildet.

Unternehmensweite Risikobewertung und risikobasierter Ansatz

Kunden-, Produkt-, Dienstleistungs-, Kanal-, Länder-, Transaktions-, Technologie- und Vertriebsrisiken werden erfasst; inhärentes Risiko, Wirksamkeit der Kontrollen und Restrisiko werden getrennt bewertet. Datenquelle, Gewichtung, Punkteskala, Schwelle für hohes Risiko, Befugnis zur manuellen Änderung und Validierungszeitraum des Modells werden dokumentiert. Die Risikoeinstufung stützt sich nicht allein auf Staatsangehörigkeit oder Branche des Kunden; Transaktionszweck, Mittelherkunft, Eigentum, Verhalten und Tätigkeitsprofil werden zusammen betrachtet. Ein risikobasierter Ansatz bedeutet nicht, dass bei niedrigem Risiko alle Pflichten entfallen. Das Modell wird auf diskriminierende Ergebnisse, Datenqualität und das Risiko falsch negativer Ergebnisse getestet.

Nationale Risikobewertung 2025 und Abstimmung mit der Strategie 2026–2030

Die Sektoren, Straftaten, Technologien, grenzüberschreitenden Ströme und Schwerpunkte der Vermögenskonfiskation aus der 2025 von MASAK aktualisierten Nationalen Risikobewertung und aus dem Nationalen Strategiedokument 2026–2030 fließen in die Risikobewertung der Organisation ein. Ein nationales Risiko macht nicht automatisch jeden Kunden zu einem Hochrisikokunden; die tatsächliche Exposition der Organisation und ihre Kontrollen werden gesondert geprüft. Bei einer neuen Typologie, einem neuen Produkt oder einer Länderänderung erfolgt eine ereignisbezogene Bewertung. Dem Vorstand wird eine Anpassungsnotiz vorgelegt, die die Auswirkung der nationalen Prioritäten auf das Unternehmen erläutert; Richtlinie, Szenarien, Schulung und Umfang der internen Revision werden bei Bedarf erneuert.

Die nationale Strategie und die Risikobewertung bilden einen Rahmen, damit die Organisation ihre eigene Exposition versteht. Jedes strategische Ziel begründet für eine Privatperson nicht von selbst eine neue gesetzliche Pflicht; die Rechtsgrundlage der anzuwendenden Maßnahme wird gesondert bestimmt.

Richtlinie zur Kundenannahme und verbotene Geschäftsbeziehungen

Nicht annehmbare Kunden- und Transaktionsarten werden nach Gesetz, Lizenzen, Sanktionsentscheidungen und der begründeten Risikobereitschaft des Instituts festgelegt. Für Konten unter anonymen oder erfundenen Namen, Kunden, deren Identität nicht überprüft werden kann, Strukturen, deren wirtschaftlich Berechtigter nicht offengelegt wird, Beziehungen ohne erkennbaren Geschäftszweck und Verbindungen zu verbotenen Personen wird ein Ablauf zur Ablehnung der Transaktion oder zur Beendigung der Beziehung vorbereitet. Kommerzieller Druck, Verkaufsziele oder Wünsche der Geschäftsleitung heben die verpflichtende Prüfung nicht auf. Ablehnungs- und Kündigungsschreiben werden so gestaltet, dass sie weder eine erfolgte Meldung offenlegen noch Verbraucher-, Vertrags-, Diskriminierungs- und Datenschutzrechte unnötig verletzen.

Identitätsfeststellung und Überprüfung natürlicher Personen

Bei einer dauerhaften Geschäftsbeziehung, bestimmten Transaktionsarten oder Schwellenwerten nach den Vorschriften werden die Identitätsdaten einer natürlichen Person vor der Transaktion erhoben und anhand einer gültigen Quelle überprüft. Fälle von türkischen Staatsangehörigen, Ausländern, Minderjährigen, unter Vormundschaft stehenden Personen, Bevollmächtigten und Vertretern werden gesonderten Verfahren zugeordnet. Art und Gültigkeitsdatum des Dokuments, die Übereinstimmung von Lichtbild und Identitätsangaben mit der Person sowie die Bestätigung von Adresse und Kontakt werden nach den anwendbaren Regeln festgehalten. Das Anfertigen einer Ausweiskopie und die Identitätsprüfung sind nicht dasselbe; unnötige Datenfelder werden nicht erhoben. Aktuelle Geldbeträge werden nicht in einen festen Webtext geschrieben, sondern am Tag der Transaktion geprüft.

Juristische Personen, Vertretungsbefugnis und rechtliche Gebilde

Bei Gesellschaften, Vereinen, Stiftungen, Gemeinschaften mit Eigentumsbindung, ausländischen juristischen Personen und nicht rechtsfähigen Gebilden werden Register, Bezeichnung, Tätigkeit, Anschrift, Steuerdaten, Vertreter und Vollmachtsurkunden überprüft. Auf den Handelsregisteranzeiger allein darf nicht vertraut werden; aktueller Registerstand, Zeichnungsbefugnis, Unternehmenszweck und Art der Geschäftsbeziehung werden gemeinsam geprüft. Bei ausländischen Urkunden werden ausstellende Behörde, Apostille oder Beglaubigung, Übersetzung und Aktualität bewertet. Ein legitimer wirtschaftlicher Grund für eine komplexe Eigentümerstruktur wird nachvollziehbar gemacht. Identität des Vertreters und seine Befugnis zur Verpflichtung der juristischen Person werden vor der Transaktion kontrolliert.

Feststellung und Überprüfung des wirtschaftlich Berechtigten

Wirtschaftlich Berechtigter ist nicht nur ein im Register eingetragener Gesellschafter oder ein Name im Erklärungsformular; gesucht wird die natürliche Person, die letztlich Eigentum an oder Kontrolle über eine juristische Person oder ein rechtliches Gebilde hat. Unmittelbare und mittelbare Beteiligungen, Stimmrechte, Vorzugsrechte, vertragliche Kontrolle, die Befugnis zur Bestellung von Geschäftsführern und andere Kontrollwege werden geprüft. Bei mehrstufigen, ausländischen oder treuhänderisch gehaltenen Strukturen werden Nachweise angefordert. Abweichungen zwischen Erklärung und Register, dem MERSIS-System, dem Anteilsbuch, Finanzunterlagen oder einer verlässlichen externen Quelle werden nicht ohne begründete Erklärung geschlossen. Methode der Feststellung und Prüfungstiefe werden entsprechend dem Kundenrisiko dokumentiert.

Handeln für fremde Rechnung und Kontrolle bevollmächtigter Personen

Die Fälle, in denen eine Person eine Transaktion im eigenen Namen, aber für fremde Rechnung ausführt und dies schriftlich offenlegen muss, werden in die Kundenoberfläche und den Betriebsablauf eingebaut. Transaktionen über Bevollmächtigte, Vermittler, Treuhandkonten, Sammelzahlungen, Marktplätze, Inkassoverfahren, Mitarbeiter von Unternehmen und Familienangehörige werden auf den tatsächlichen Zweck und den wirtschaftlich Begünstigten geprüft. Die Erklärung „das Konto gehört mir, das Geld jemand anderem“ wird allein nicht als ausreichend angesehen. Vollmacht, Mittelherkunft, wirtschaftlicher Zweck, Transaktionsauftrag und letzter Empfänger werden überprüft. Die rechtlichen Folgen einer unterlassenen Offenlegung einer Transaktion für fremde Rechnung werden dem Kunden klar und verhältnismäßig erläutert.

Aktualisierung der Kundendaten und laufende Überprüfung

Angaben zu Identität, Anschrift, Tätigkeit, Vertretung, Beteiligung, wirtschaftlich Berechtigtem, Risiko und Transaktionszweck des Kunden werden nicht nur bei Beginn der Beziehung erhoben. Je nach Risikostufe und auslösenden Ereignissen erfolgen regelmäßige Aktualisierungen. Eine Anteilsübertragung, ein Wechsel der Geschäftsführung, eine Änderung von Tätigkeit oder Land, eine ungewöhnliche Transaktion, der Ablauf eines Dokuments und eine Übereinstimmung mit einer Sanktionsliste können eine Aktualisierung auslösen. Transaktionen des Kunden werden zusammen mit der bekannten Tätigkeit, dem Einkommen, der Mittelherkunft und dem erwarteten Verhalten überwacht. Kann eine Aktualisierung nicht erfolgen, werden die Einschränkung oder Beendigung der Beziehung und die Prüfung einer Meldung getrennt und begründet durchgeführt.

Politisch exponierte Personen und enge Verbindungen

Die Feststellung politisch exponierter Personen (PEP), ihrer Ehegatten, Verwandten ersten Grades und enger Vertrauter im Sinne der Mitteilung ist mit Kundenannahme, wirtschaftlich Berechtigtem und laufender Überwachung verbunden. Bei Beziehungen zu einer PEP, die von einem ausländischen Staat gewählt oder ernannt wurde, gelten Genehmigung durch die Geschäftsleitung, Feststellung von Vermögen und Mittelherkunft sowie verstärkte Überwachungsmaßnahmen. Bei PEPs in der Türkei oder in internationalen Organisationen wird für die Anwendung dieser zusätzlichen Maßnahmen die Voraussetzung berücksichtigt, dass die Geschäftsbeziehung oder Transaktion hochriskant ist. Politisch exponiert zu sein ist für sich allein weder eine Straftat noch ein Grund zur Ablehnung eines Kunden.

Endet Amt oder Stellung, gelten die vorgesehenen Maßnahmen mindestens ein Jahr weiter; bestehen bei den Transaktionen oder der Geschäftsbeziehung weiterhin Risiken, wird eine Verlängerung der Frist geprüft. Zeitplan, Risiko und Begründung der Entscheidung werden gemeinsam festgehalten. Nr. 21, Artikel 4 (öffnet in einem neuen Tab).

Länder mit hohem Risiko, gezielte Finanzsanktionen und Listenprüfung

Die FATF-Erklärungen zu Hochrisikogebieten und Staaten unter verstärkter Überwachung, die Listen der Vereinten Nationen, in der Türkei veröffentlichte Entscheidungen zum Einfrieren von Vermögenswerten, die Gesetze Nr. 6415 und 7262 sowie vertragliche ausländische Sanktionsklauseln werden voneinander getrennt. Kunden, wirtschaftlich Berechtigte, Vertreter, Absender, Empfänger und Transaktionsgegenparteien werden in angemessener Häufigkeit überprüft. Eine Namensähnlichkeit gilt ohne Abgleich mit Identitätsmerkmalen nicht als sichere Übereinstimmung. Treffer, mögliche Treffer, Fehltreffer, Zurückhaltung der Transaktion, Meldung, Einfrieren von Vermögenswerten und Widerspruch sind an einen schriftlichen Ablauf gebunden. Eine ausländische Liste führt nach türkischem Recht nicht automatisch zum gleichen Ergebnis.

Für Listungsmitteilungen des UN-Sicherheitsrats wird das Mitteilungs- und Aufschubverfahren nach Mitteilung Nr. 34 vom 23. September 2026 (öffnet in einem neuen Tab) gesondert eingerichtet. Eine Namensähnlichkeit wird von einer echten Übereinstimmung unterschieden; ein gewöhnlicher Alarm friert nicht von selbst alle Vermögenswerte ein.

Gestaltung und Anwendung verstärkter Maßnahmen

Bei einem hochriskanten Kunden, Produkt, Kanal, Land oder einer Transaktion gelten risikoangemessene Maßnahmen wie zusätzliche Informationen über Kunden und wirtschaftlich Berechtigten, Zweck der Geschäftsbeziehung, Herkunft von Vermögen und Mitteln, Genehmigung durch die Geschäftsleitung, Häufigkeit der Transaktionen und verstärkte Überwachung. Die in MASAKs aktuellem Leitfaden vom 30. September 2025 behandelten technologischen Risiken, riskanten Länder, Kryptowerte-Dienstleister, Zahlungs- und E-Geld-Institute sowie Terminaldienste werden auf den jeweiligen Sektor angepasst. Für jeden hochriskanten Kunden wird nicht dieselbe Liste von Unterlagen verlangt; Grund, Umfang und Ergebnis der Maßnahme sowie der Termin der erneuten Bewertung werden festgehalten.

Vereinfachte Maßnahmen und Grenzen ihrer Anwendung

Eine vereinfachte Maßnahme wird nur bei Kunden- und Transaktionsarten angewandt, für die das Gesetz sie zulässt, auf Grundlage einer Bewertung niedrigen Risikos und innerhalb der festgelegten Grenzen. Sie darf nicht als allgemeine Befreiung verwendet werden, die Identifizierung, Sanktionsprüfung oder die Meldung verdächtiger Transaktionen vollständig entfallen lässt. Ändern sich Art des Kunden oder sein Transaktionsverhalten, wird der vereinfachte Ansatz überprüft. Die Voraussetzungen für den Eintritt in die Kategorie niedrigen Risikos und den Austritt daraus sollten im System nachvollziehbar sein. Entsteht ein Verdacht, wird die vereinfachte Maßnahme nicht fortgeführt; Kundenidentifizierung und Meldeverfahren werden auf Grundlage der aktuellen Tatsachen neu bewertet.

Wegen der Änderungen Nr. 31 vom 7. Januar 2026 und Nr. 33 vom 23. September 2026 werden frühere Richtlinien und Produktgrenzen erneut geprüft. Vereinfachte Maßnahmen werden bei verdächtigen oder hochriskanten Transaktionen und dann nicht angewandt, wenn der Kunde ein ausländischer PEP ist. Die Erhöhung bestimmter Beträge begründet weder eine allgemeine Befreiung für alle Produkte noch eine Meldeschwelle.

Fernidentifizierung und digitale Kundenaufnahme

Nach der MASAK-Mitteilung Nr. 19, branchenspezifischen Vorschriften und den Änderungen 2025–2026 wird festgelegt, für welche Verpflichteten und Kundengruppen die Fernidentifizierung zulässig ist. Dokumentenprüfung, Lebendigkeitserkennung, biometrische oder Videoverfahren, Sicherheit von Gerät und Sitzung, die Übereinstimmung der Person mit dem Dokument, Transaktionsprotokoll und der Abschluss des Vertrags werden gemeinsam geprüft. Für die Fernidentifizierung nicht in der Türkei ansässiger natürlicher Personen mit einem Reisepass gelten zusätzlich die aktuellen Bedingungen der Mitteilung. Fehlgeschlagene Versuche, gefälschte Dokumente, Identitätsdiebstahl und Zugänglichkeitsszenarien werden schriftlich festgehalten. Fernverfahren ersetzen die Prüfung des Kundenrisikos nicht.

Im Verfahren für ausländische natürliche Personen nach Nr. 19, Artikel 4/C wird entsprechend der Änderung Nr. 32 ein geeigneter Reisepass mit Chip, ein Videogespräch und eine Übereinstimmung von Chip- und Bildangaben verlangt; kommt keine Übereinstimmung zustande, wird kein Konto eröffnet. Die Bestätigung der Adresse erfolgt spätestens innerhalb von drei Monaten; vor der Bestätigung sind Geldüberweisungen und Bargeldabhebungen nicht zulässig. Diese Kunden werden als hochriskant überwacht; für Staatsangehörige riskanter Länder wird die Fernidentifizierung nicht angewandt. Auch Befugnisse und sonstige Voraussetzungen aus dem eigenen Aufsichtsrahmen der Organisation werden geprüft.

Vertrauen auf Dritte und Korrespondenzbeziehungen

Wenn ein Finanzinstitut auf die Maßnahmen eines anderen Finanzinstituts zur Kundenidentifizierung vertrauen darf, werden Regulierung der Gegenpartei, zeitnaher Zugang zu Informationen und Unterlagen, Verantwortlichkeit und die Bedingungen der Weitergabe innerhalb der Gruppe geprüft. Vertrauen auf einen Dritten wird von der Auslagerung unterschieden. Bei grenzüberschreitenden Korrespondenzbeziehungen werden Tätigkeit, Aufsicht, Compliance-Kontrollen, Ruf, Sanktionshistorie der Gegenpartei und das Risiko von Durchlaufkonten bewertet. Scheinbanken-Beziehungen werden nicht eingegangen. Genehmigung durch die Geschäftsleitung, Vertrag, regelmäßige Prüfung und Kriterien für die Beendigung der Beziehung werden festgelegt.

Elektronische Überweisungen, Nachrichtendaten und Reiseregel

Für elektronische Überweisungen werden die Übermittlung von Absender- und Empfängerangaben mit der Nachricht, unvollständige oder widersprüchliche Angaben, zwischengeschaltete Institute, grenzüberschreitende Überweisungen, Sammeltransaktionen und Rückzahlungsszenarien geregelt. Bei Zahlungs- und E-Geld-Instituten sowie Kryptowerte-Dienstleistern werden die branchenspezifische Reiseregel, Fristen, Grenzwerte und Maßnahmen für nicht gehostete Wallets nach der geltenden Rechtslage angewandt. Die Ablehnung einer Überweisung mit unvollständigen Angaben, ihre Zurückhaltung, die Anforderung weiterer Angaben und die Prüfung einer Meldung werden risikobasiert getrennt. Nachrichtendaten und Buchhaltung sowie Kundenkonten werden regelmäßig abgeglichen.

Szenarien der Transaktionsüberwachung und Alarm-Governance

Das Transaktionsüberwachungssystem verwendet nach Sektorrisiko Indikatoren wie Kundenprofil, Betrag, Häufigkeit, Geschwindigkeit, Land, Kanal, Gegenpartei, Gerät, Terminal, Kryptoadresse, Eigentum und Verhaltensänderung. Datenquelle, Schwellenwert, Punktzahl, Rückblickzeitraum, erfasste Produkte und die Befugnis des Alarmverantwortlichen werden dokumentiert. Feste Betragsregeln gelten für sich allein nicht als ausreichend. Falsch-positive Ergebnisse, verspätete Alarme, Datenlücken, manuelles Schließen und Modelländerungen werden überwacht. Das Schließen eines Alarms ist keine Feststellung, dass keine Straftat vorliegt, sondern die begründete Dokumentation des Prüfergebnisses. Wichtige Szenarien werden durch eine unabhängige Stelle getestet.

Interne Verdachtsmeldung und Eskalation

Ein internes Meldeformular, eine Dringlichkeitsoption, Mindestangaben und Vertraulichkeitsregeln werden vorbereitet, damit ein Mitarbeiter oder eine Betriebseinheit einen Verdacht über einen sicheren Kanal an den Compliance-Beauftragten melden kann. Vom Mitarbeiter wird nicht verlangt, die rechtliche Bezeichnung einer Straftat anzugeben; Transaktion, Beteiligte, Datum, Indikator und Grundlage genügen. Eine Meldung wird nicht von der Genehmigung eines Vertriebsleiters abhängig gemacht. Der Compliance-Beauftragte kann weitere Angaben anfordern, andere Transaktionen prüfen und begründet entscheiden, ob gemeldet wird oder nicht. Der Zugriff auf die Identität des Meldenden und auf Kundendaten wird beschränkt. Die Dokumentation der internen Meldung fällt in die Regelungen zur Aufbewahrung und Vorlage.

Entscheidung über die Verdachtsmeldung und Meldequalität

Nach Gesetz Nr. 5549, Artikel 4 und Mitteilung Nr. 13 werden Informationen, ein Verdacht oder ein Umstand, der einen Verdacht begründet, bewertet. Für eine Meldung sind weder ein endgültiger Nachweis einer Straftat noch ein Mindestbetrag erforderlich. Kundenprofil, Transaktionsablauf, Herkunft der Mittel oder Vermögenswerte, wirtschaftlich Berechtigter, verbundene Konten, Beteiligte und Verdachtsindikatoren werden in verständlicher zeitlicher Abfolge festgehalten. Die Kontrollen von Formular, Kategorie, Code und Beschreibung aus dem 2025 aktualisierten Branchenleitfaden werden verwendet. Eine kopierte Beschreibung oder ein bloßer Alarmcode genügt nicht. Die Frist wird ab dem Zeitpunkt des Verdachts überwacht; besteht die Gefahr einer Verzögerung, gilt ein gesonderter Eilprozess.

Registrierung und Meldeprozesse in MASAK Online 2.0

Die Registrierung in MASAK Online, der autorisierte Benutzer, die Mehrfaktor-Anmeldung, Rollen, Angaben zur Institution, Meldungen, Anlagen, Entwürfe, Übermittlungsbestätigung und technische Störungsprozesse werden verwaltet. Die 2025 aktualisierten Branchenleitfäden sowie Anforderungen an XML- oder Sammelmeldungen werden an die Systeme der Organisation angepasst. Formularfelder werden nicht ohne Abgleich mit den Quellsystemen automatisch befüllt. Vor der Übermittlung erfolgt eine rechtliche und betriebliche Qualitätskontrolle, danach werden Bestätigung und Registrierungsnummer aufbewahrt. Der Zugang wird bei einem Benutzerwechsel oder Ausscheiden sofort aktualisiert. Eine technische Störung hebt die Fristüberwachung nicht auf; ein alternativer Kommunikations- und Dokumentationsweg wird im Voraus festgelegt.

Vertraulichkeit der Meldung und Verbot der Informationsweitergabe an den Kunden

Außer in den im Gesetz genannten Ausnahmen darf der Verpflichtete MASAK gegenüber niemandem offenlegen, dass eine Verdachtsmeldung erfolgt ist, auch nicht gegenüber den Beteiligten der Transaktion. Der Zugriff des Compliance-Beauftragten, der Geschäftsleitung, des Betriebs, der Rechtsabteilung, der Revision und externer Dienstleister auf Informationen wird nach ihren Aufgaben beschränkt. Die Erklärung gegenüber einem Kunden über eine Verzögerung der Transaktion oder über die Anforderung weiterer Unterlagen darf die Meldung nicht erkennbar machen und keine falsche Aussage enthalten. Bildschirmfotos einer Meldung, Betreffzeilen von E-Mails und Protokolle von Besprechungen werden nicht dort aufbewahrt, wo sie allgemein zugänglich sind. Die strafrechtlichen Folgen einer Verletzung der Vertraulichkeit und das interne Disziplinarverfahren werden in der Schulung klar erläutert.

Informationen darüber, dass eine Meldung erfolgt ist oder erfolgen wird, sowie interne Meldungen an den Compliance-Beauftragten unterliegen besonderen Vertraulichkeitsregeln. Die Beauftragung eines Rechtsanwalts, eine Verschwiegenheitsvereinbarung oder ein verschlüsselter Übermittlungskanal heben das gesetzliche Offenlegungsverbot für sich allein nicht auf. Die Befugnis zur Weitergabe wird für jedes Dokument und jeden Empfänger gesondert geprüft.

Aufschub, Ablehnung und Beendigung der Geschäftsbeziehung

Eine Verdachtsmeldung, die Ablehnung wegen nicht feststellbarer Identität, die Beendigung der Geschäftsbeziehung, der Aufschub einer Transaktion nach Artikel 19/A des Gesetzes Nr. 5549 und das Einfrieren von Vermögenswerten werden nach getrennten Rechtsgrundlagen behandelt. Eine gewöhnliche Meldung hält die Transaktion nicht von selbst an. Bei einer Meldung mit Aufschubantrag werden das in den Rechtsvorschriften vorgesehene Erfordernis von Unterlagen oder eines ernsthaften Anhaltspunkts und das Verfahren der zuständigen Entscheidung geprüft; die Transaktion wird erst nach Zustellung der Entscheidung ausgeführt. Die Frist auf diesem Weg darf sieben Werktage ab dem Tag der Meldung nicht überschreiten. Ist ein Vermögenswert vom Präsidium festgestellt und die Aufschubentscheidung zugestellt, ist der Zustellungstag der Beginn. Besteht eine gesonderte Einfrierung oder gerichtliche Maßnahme, hebt der Ablauf der Frist diese nicht auf. Entscheidung, Umfang, Zustellung und Zeitnachweis werden überwacht.

Aufbewahrung, Vorlage und Verwaltung achtjähriger Aufzeichnungen

Nach Gesetz Nr. 5549, Artikel 8 werden erstellte Dokumente sowie Bücher und Aufzeichnungen acht Jahre ab dem letzten Eintrag aufbewahrt, Identifizierungsunterlagen acht Jahre ab der letzten Transaktion; bei Konten richtet sich der Beginn nach dem Tag der Kontoschließung. Verdachtsmeldungen, interne Meldungen, Anlagen und die Gründe für das Unterlassen einer Meldung sind ebenfalls erfasst. Für jede Datenklasse werden Beginn, Dauer, Speichermedium, Zugriff, Integrität, Sicherung und Löschregel festgelegt. Bestehen längere branchenspezifische Fristen, gelten diese. Die Zweckbindung und die Löschregelungen nach dem Datenschutzgesetz (KVKK) werden zusammen mit der gesetzlichen Aufbewahrungspflicht verwaltet. Die Aufzeichnungen sollten lesbar bleiben und rechtzeitig vorgelegt werden können.

Beantwortung von Informations- und Dokumentenanfragen von MASAK

Zuständige Behörde, Umfang, Frist, Datenfelder, Zeitraum, Format und Übermittlungsweg der Anfrage werden geprüft. Rechtsabteilung, Compliance, Informationstechnik und die datenführenden Einheiten erstellen einen einheitlich geprüften Antwortsatz. Unvollständige, widersprüchliche oder unlesbare Aufzeichnungen werden nicht übermittelt; eine Tabelle, deren Quelle unbekannt ist, wird erst nach Prüfung zu einer amtlichen Antwort. Die Vorschriften zum Recht auf Verteidigung und die gesetzlichen Grenzen des anwaltlichen Berufsgeheimnisses werden anhand der konkreten Anfrage bewertet. Angeforderte Informationen werden nicht verschleiert oder verändert. Liste der Übermittlung, Freigabe, Übermittlungsbestätigung und eine spätere Klarstellung werden festgehalten. Kann eine Frist nicht eingehalten werden, wird ein ordnungsgemäß begründeter Antrag auf Fristverlängerung oder eine Erläuterung geprüft.

Laufende Auskunftspflichten und Verwaltung der elektronischen Zustellung

Unter den Transaktionen, bei denen die Organisation Partei ist oder vermittelt, wird der Umfang der gesetzlich bestimmten laufenden Auskunftspflichten nach Transaktionsart, Schwelle, Zeitraum, Datenformat und Ausnahmen geprüft. Geldbeträge werden nicht auf einer Webseite festgeschrieben, sondern anhand der am Tag der Transaktion geltenden Vorschrift überprüft. Das elektronische Zustellungskonto von MASAK und der Meldekanal werden von befugten Mitarbeitern täglich überwacht. Zeitpunkt der Zustellung, Antwortfrist, Anlagen, Übermittlung und Zugriffsinformationen werden festgehalten. Benutzerwechsel, Kontaktdaten und Befugnisaktualisierungen werden unverzüglich vorgenommen. Elektronische Zustellung, der Kanal für Verdachtsmeldungen und die interne E-Mail werden nicht miteinander verwechselt.

Eine elektronische Zustellung durch MASAK nach Gesetz Nr. 5549, Artikel 9/A gilt an dem Tag als bewirkt, an dem sie die elektronische Adresse des Empfängers erreicht. Die Fünf-Tage-Regel des allgemeinen UETS-Systems findet auf dieses Sonderregime nicht von selbst Anwendung. Das Zustellungskonto, der bestimmte Vertreter und die Fristerfassung werden entsprechend eingerichtet.

MASAK-Schulung und rollenbezogenes Bewusstseinsprogramm

Die Schulung umfasst die Begriffe Geldwäsche, Terrorismusfinanzierung und Finanzierung der Verbreitung von Massenvernichtungswaffen, Risikobereiche, Unternehmensrichtlinie, Kundenidentifizierung, Verdachtsmeldung, Vertraulichkeit, Aufbewahrung, Auskunftspflichten und Sanktionen. Für Vorstand, Compliance, Kundengewinnung, Geschäftsstellen, Vertrieb, Betrieb, Callcenter, Informationstechnik, interne Revision und externe Dienstleistungsteams werden rollenbezogene Szenarien vorbereitet. Teilnahme, Dauer, Methode, Inhalt und Ergebnis der Bewertung werden festgehalten; der gesetzliche Meldekalender wird eingehalten. Die bloße Öffnung einer Online-Präsentation gilt nicht als ausreichend. Typische Fehlentscheidungen und tatsächliche Feststellungen des Instituts fließen durch Beispiele ohne personenbezogene Daten in die Schulung ein.

Interne Revision, Stichproben und Managementberichterstattung

Die interne Revision prüft das gesamte Compliance-Programm und die Übereinstimmung der Transaktionen mit Gesetz und Unternehmensrichtlinie durch risikobasierte Stichproben. Kundenakten, wirtschaftlich Berechtigte, PEPs, Genehmigungen für Hochrisiko, Alarme, Meldungen, Aufbewahrung, Schulung, ausgelagerte Dienste und Datenqualität werden getestet. Geprüfte Einheit, Zeitraum, Stichprobenmethode, Feststellung, Grundursache, Risiko, verantwortliche Person und Korrekturtermin werden berichtet. Es wird vermieden, dass der Compliance-Beauftragte die eigenen Entscheidungen prüft. Der Vorstand erhält kritische Feststellungen ohne Verzögerung. Ein Revisionsbericht stützt sich nicht nur auf formelle Gesetzesformulierungen, sondern auf wiederholbare Prüfungen und Nachweise.

Compliance-Programm der Finanzgruppe und Informationsaustausch innerhalb der Gruppe

Für in der Türkei ansässige Finanzinstitute, die einer im In- oder Ausland ansässigen Muttergesellschaft angehören, werden die Definition der Finanzgruppe, der Gruppen-Compliance-Beauftragte sowie Richtlinie, Risiko, Überwachung, Schulung und interne Revision bewertet. Der sichere Austausch von Kundenidentifizierungs-, Konto- und Transaktionsdaten auf Gruppenebene zu Compliance-Zwecken wird zusammen mit dem Gesetz Nr. 5549, der Verordnung über das Compliance-Programm, dem KVKK und den Beschränkungen ausländischer Staaten gestaltet. Zweck des Zugriffs, Datenfelder, Empfänger, Aufbewahrung und Sicherheit werden schriftlich festgehalten. Der Austausch mit der Gruppenzentrale bedeutet nicht die uneingeschränkte Übermittlung sämtlicher Daten. Die lokale Meldebefugnis und die Vertraulichkeit bleiben gewahrt.

Die Weitergabe von Informationen innerhalb einer Gruppe zum Zweck der Kundenidentifizierung oder der Compliance lässt keine Offenlegung zu, dass eine Meldung erfolgt ist. Diese Information darf auch nicht zwischen Unternehmen der Gruppe weitergegeben werden; für Muttergesellschaften und verbundene Einheiten im Ausland gilt ein gesondertes Vertraulichkeitsverbot.

Compliance bei bestimmten nichtfinanziellen Geschäften und Berufen

Bei bestimmten nichtfinanziellen Geschäften und Berufen wie dem Handel und der Vermittlung von Immobilien sowie von Edelmetallen oder Schmuck, Notaren, bestimmten selbständigen Rechtsanwaltstätigkeiten, selbständiger Buchführung und steuerlicher Beratung sowie der unabhängigen Prüfung wird der Umfang der Pflicht nach der Tätigkeit bestimmt. Kundenidentifizierung, wirtschaftlich Berechtigter, Länder mit hohem Risiko, technologisches Risiko, verstärkte Maßnahmen, Meldung, Vertraulichkeit, Aufbewahrung, Schulung, Risikobewertung, Überwachung und Kontrolle werden entsprechend der Größe der Einrichtung aufgebaut. Der 2025 aktualisierte branchenspezifische Meldeleitfaden und die Nationale Risikobewertung 2025 werden in den Arbeitsablauf übernommen.

Der Umfang der Pflicht für Vermittler von elektronischem Handel sowie das Regime des Compliance-Beauftragten für mittlere, große und sehr große Anbieter werden gesondert bewertet. Größe, tatsächliche Tätigkeit und die maßgebenden Begriffe werden dokumentiert; nicht jede Webseite wird als zur selben Gruppe gehörend behandelt.

Grenzen des Anwendungsbereichs für Rechtsanwälte, vereidigte Finanzberater und Wirtschaftsprüfer

Für unabhängige Rechtsanwälte wird die im Gesetz Nr. 5549, Artikel 2/d abschließend genannte Arbeit mit Finanztransaktionen nach der tatsächlichen Rolle geprüft: Kauf und Verkauf von Immobilien, Bestellung oder Verwaltung beschränkter dinglicher Rechte, Gesellschaften, Stiftungen und Vereine, Übertragungen und Liquidation sowie die Verwaltung von Bank-, Wertpapier- und Kontogeschäften. Nach der geltenden Regelung werden Angelegenheiten im Sinne von Artikel 35 des Rechtsanwaltsgesetzes Nr. 1136, erster und dritter Absatz sowie Informationen aus alternativer Streitbeilegung als Ausnahmen behandelt. Das Recht auf Verteidigung, das rechtliche Gehör und das Berufsgeheimnis der Rechtsanwälte nach Artikel 36 bleiben gewahrt. Nicht jedes Gerichtsverfahren oder jede Rechtsberatung fällt automatisch in den Bereich der Verdachtsmeldung.

Für vereidigte Finanzberater und unabhängige Wirtschaftsprüfer werden ihre eigene Tätigkeitsbeschreibung, der Umfang ihrer Aufgaben, ihre Informationsquellen und ihre Verschwiegenheitsordnung gesondert bestimmt. Ausnahmen zwischen Berufsgruppen werden nicht unverändert übertragen. Die Grundlage eines Auskunftsersuchens und die Befugnis zum Zugriff auf ein Dokument werden anhand der Akte geprüft.

Compliance bei Banken, Kapitalmarkt, Versicherungen und Finanzierungsinstituten

Für Banken, Wertpapiermakler, Portfolioverwaltungsgesellschaften, Versicherungs- und Pensionsunternehmen, Finanzierungs-, Factoring- und Leasingunternehmen werden Branchengesetz, Aufsichtsordnung und Pflichten nach dem MASAK-Rahmen gemeinsam bewertet. Risiken aus Kunde und wirtschaftlich Berechtigtem, Korrespondenzbeziehungen, elektronischer Überweisung, hohem Risiko, Anlagegeschäften, Kredit, Entschädigung, Mittelherkunft, Vermittlern und Vertriebskanälen werden getrennt betrachtet. Die Datenquellen für Meldungen an BDDK, SPK, SEDDK und MASAK werden konsistent gehalten. Eine branchenaufsichtliche Prüfung eines Instituts hebt seine Verantwortung nach Gesetz Nr. 5549 nicht auf. Feststellungen der Aufsichtsbehörden werden in einem gemeinsamen Korrekturplan verfolgt.

Sparfinanzierungsgesellschaften werden ebenfalls gesondert nach der einschlägigen Definition des Verpflichteten und den Vorschriften zum Compliance-Beauftragten geprüft. Die gleiche Pflichtentabelle wie für Bank-, Versicherungs- oder Kapitalmarkttätigkeit wird nicht unterstellt.

Compliance bei Zahlungsverkehr, E-Geld und Kryptowerte-Prozessen

Bei Zahlungs- und E-Geld-Instituten werden Fernkundenaufnahme, Vertragsunternehmen, Terminal, Konto, Wallet, Überweisung, Vertreter, Betrug und Geldflüsse geprüft; bei Kryptowerte-Dienstleistern Kundenannahme, Wallets, Überweisungen, Risiken in der Blockchain, Reiseregel, nicht gehostete Wallets und Verwahrungsbeziehungen. MASAKs Kryptoleitfaden vom 30. September 2025 und der Leitfaden zu verstärkten Maßnahmen werden zusammen mit den Regelungen der Kapitalmarktaufsicht SPK und der Zentralbank der Republik Türkei (TCMB) angewandt. Das Ergebnis einer Blockchain-Analyse ist keine endgültige Feststellung einer Straftat; der Risikoindikator wird zusammen mit anderen Kunden- und Transaktionsdaten bewertet. Verdachtsmeldung, Transaktionsbeschränkung und Branchenmeldung werden getrennt gehalten.

Immobilien, Edelmetalle, Erlaubnispflichtige Stellen, Glücksspiel und Sportbranchen

Im Immobilienhandel werden Käufer, Verkäufer, Vertreter, wirtschaftlich Berechtigter, Kaufpreis, Zahlungskette und Konten Dritter; bei Edelmetallen und Schmuck Produkt, Lieferung, Barzahlung, Land und Lieferant; bei zugelassenen Devisenstellen Devisengeschäfte; bei Glücksspiel und Wetten Konten, Vertreter und Gewinne; bei Sportvereinen Spenden, Transfers und Zahlungsströme verbundener Parteien nach dem Branchenleitfaden geprüft. Kaufmännische Gepflogenheiten als Begründung heben die Pflicht zur Identifizierung oder Meldung nicht auf. Es wird Übereinstimmung zwischen Grundbuch, Rechnung, Bankunterlagen, Kasse, Lager und Vertrag angestrebt. Ein Risikoindikator allein gilt nicht als Eingeständnis einer Straftat.

Prüfung der Pflichteneinhaltung, Verwaltungsgeldbußen und Widersprüche

Bei einer Prüfung durch MASAK oder einen befugten Aufsichtsbeamten werden Umfang, Stichprobe, Protokoll, Auskunftsersuchen, Feststellungen und der Verteidigungszeitplan überwacht. Die Arten von Sanktionen für Verstöße gegen Kundenidentifizierung, Meldung, laufende Auskunftspflichten, Compliance-Programm, Informations- und Dokumentenpflichten, Aufbewahrung und Vertraulichkeit der Meldung werden getrennt behandelt. Geldbeträge können von einer Neubewertung und vom Wert der Transaktion abhängen und werden deshalb am Tag des Ereignisses aus einer amtlichen Quelle berechnet. Datum des Verstoßes, Frist, Wiederholung, verantwortliche natürliche Person, juristische Person, Transaktion und Abhilfemaßnahme werden konkretisiert. Verwaltungsrechtlicher Rechtsbehelf und die Voraussetzungen einer Anfechtungsklage werden ab dem Tag der Zustellung geprüft; besteht ein strafrechtliches Ermittlungsverfahren, werden die Verteidigungen koordiniert.

Bei Verwaltungsgeldbußen nach Gesetz Nr. 5549, Artikel 13 wird nach dem geltenden Artikel 13/7 der Verwaltungsrechtsweg berücksichtigt. Datum des Verstoßes, Übergangsrecht, Art der Entscheidung, Zustellung und Rechtsbehelfsfrist werden in der Akte gesondert geprüft. Da Verstöße gegen Vertraulichkeits-, Auskunfts- oder Aufbewahrungspflichten nach Artikel 14 strafrechtliche Folgen haben können, werden nicht alle Verstöße als Verwaltungsgeldbußen eingeordnet.

Artikel 282 TCK, Finanzermittlung und Vermögensmaßnahmen

Für Artikel 282 TCK werden die Merkmale getrennt geprüft: die Vortat, die Herkunft des Vermögenswerts aus einer Straftat, die Kenntnis des Täters sowie der Zweck, den Wert ins Ausland zu verbringen, seine unrechtmäßige Herkunft zu verschleiern oder ihm einen legalen Anschein zu geben. Nicht jede ungewöhnliche Geldbewegung ist Geldwäsche; wirtschaftliche Herkunft, Zweck der Transaktion, Geldflüsse zwischen Konten, Geschäftsunterlagen und die Rolle der Person werden bewertet. Ein Analyse- oder Bewertungsbericht von MASAK, Bankunterlagen sowie Steuer-, Gesellschafts-, Krypto- und Zolldaten werden auf Verfahren und Inhalt geprüft. Schutzmaßnahmen nach Artikel 128 StPO, Artikel 17 des Gesetzes Nr. 5549, der Aufschub von Transaktionen, die Konfiskation und die Rechte Dritter werden in gesonderten Abschnitten behandelt.

Für den Tatbestand des Artikels 282/1 TCK werden der aus der Vortat erlangte Wert sowie die Handlungen des Verbringens ins Ausland oder der Verschleierung der Herkunft bzw. der Schaffung eines legalen Anscheins getrennt geprüft. Erwerb, Annahme, Besitz oder Verwendung des Werts in Kenntnis seiner Herkunft aus einer Straftat, ohne an der Tat nach dem ersten Absatz beteiligt zu sein, ist gesondert in Artikel 282/2 geregelt. Allein der Betrag oder die Ungewöhnlichkeit einer Transaktion belegt nicht alle diese Merkmale.

Terrorismusfinanzierung und Proliferationsfinanzierung, internationale Koordination und Rechtsstreit

Das Gesetz Nr. 6415 wird gesondert für die Terrorismusfinanzierung und das Einfrieren von Vermögenswerten geprüft; das Gesetz Nr. 7262 für die Umsetzung von UN-Sicherheitsratssanktionen im Zusammenhang mit der Finanzierung der Verbreitung von Massenvernichtungswaffen. Bei der Terrorismusfinanzierung ist nicht erforderlich, dass die Mittel aus einer Straftat stammen oder tatsächlich für eine terroristische Tat verwendet werden; konkrete Tat-, Informations- und Zweckmerkmale werden bewertet. Der Einfrierungsbeschluss, die Übereinstimmung mit einer Liste, der Umfang der Entscheidung, die Rechte Dritter und der anwendbare Rechtsbehelf werden festgestellt. Das Mitteilungs- und Aufschubverfahren nach Mitteilung Nr. 34 wird von der Umsetzung eines Einfrierungsbeschlusses getrennt.

Ausländische Sanktionsregime werden nicht wie unmittelbar in der Türkei angewandte Entscheidungen behandelt. In einer grenzüberschreitenden Akte werden Aufgabe des lokalen Rechtsberaters, des Finanzexperten und des technischen Prüfteams, die Befugnis zur Weitergabe von Dokumenten, sichere Übermittlung, ein gemeinsamer Zeitplan, Honorar und Berichtsgrenze vorab vereinbart.