Mit Urteil vom 29. Januar 2026 hat der Europäische Gerichtshof (EuGH) eine wegweisende Entscheidung zur geldwäscherechtlichen Verantwortlichkeit von Unternehmen getroffen. Im Mittelpunkt stand die Frage, ob ein Unternehmen nur dann für Verstöße gegen Geldwäschepflichten sanktioniert werden darf, wenn zuvor eine natürliche Person – etwa ein Mitarbeiter oder Organmitglied – förmlich als Beschuldigter benannt und ein individuelles Fehlverhalten festgestellt wurde. Die Antwort des EuGH ist eindeutig: Nein.

1. Ausgangsfall: Sanktion gegen österreichische Bank

In dem entschiedenen Fall war eine österreichische Bank wegen Verstößen gegen die geldwäscherechtlichen Sorgfaltspflichten sanktioniert worden. Nach österreichischem Recht war eine Unternehmenssanktion aber davon abhängig, dass zuerst eine konkrete natürliche Person (z. B. ein Mitarbeiter) offiziell als Beschuldigter geführt und im Bescheid gegen die Bank namentlich genannt wird, bevor die juristische Person (also das Unternehmen) selbst belangt werden kann. Das zuständige österreichische Gericht zweifelte an der Vereinbarkeit dieser Anforderungen mit der EUGeldwäscherichtlinie 2015/849 – und wandte sich mit einem sog. Vorabentscheidungsersuchen an den EuGH.

2. Die Entscheidung des EuGH: Unternehmen haften eigenständig

Der EuGH stellt nun klar: Sanktionen gegen Unternehmen dürfen nicht von der Bestrafung natürlicher Personen abhängig gemacht werden.

a) Keine Pflicht zur Benennung eines „Täters“ im Unternehmen

Die EURichtlinie steht nationalen Regelungen entgegen, die

• die Sanktion gegen eine juristische Person von der förmlichen Beschuldigtenstellung einer natürlichen Person abhängig machen,
• oder verlangen, dass diese Person im Entscheidungstenor namentlich genannt und festgestellt wird, dass diese einen rechtswidrigen und schuldhaften Verstoß begangen hat, welcher der juristischen Person zuzurechnen ist.

Zwar sieht die Geldwäscherichtlinie vor, dass Sanktionen und Maßnahmen auch gegen die Mitglieder des Leitungsorgans und andere natürliche Personen, die für einen Verstoß des Unternehmens verantwortlich sind, verhängt werden können. Diese Verantwortlichkeit natürlicher Personen gilt jedoch nur ergänzend zur Verantwortlichkeit der betreffenden juristischen Person, nicht als Voraussetzung für die Haftung des Unternehmens.

Damit betont der EuGH die unmittelbare Verantwortlichkeit des Unternehmens selbst. Es genügt, dass das Unternehmen als Verpflichteter gegen geldwäscherechtliche Vorgaben verstoßen hat – unabhängig davon, ob eine konkrete natürliche Person identifiziert und verurteilt wurde.

Die EU-Richtlinie verlangt wirksame, verhältnismäßige und abschreckende Sanktionen gegen alle Verpflichteten, also auch gegen juristische Personen. Müsste zuerst ein natürlicher Täter ermittelt werden, wäre die Durchsetzung oft faktisch blockiert – insbesondere bei komplexen internen Abläufen in Banken und bei anderen Verpflichteten. Eine Sanktion darf jedoch nicht daran scheitern, dass bei komplexen Organisationsstrukturen und verteilten Verantwortlichkeiten keine konkrete Einzelperson ermittelt werden kann.

Für das Datenschutzrecht hatte der EuGH dies bereits zwei Jahre zuvor entschieden (EuGH, Urteil vom 05.12.2023 – C-807/21). Während sich die damalige Entscheidung mit der Datenschutz-Grundverordnung (DSGVO) auf eine unmittelbar anwendbare europäische Verordnung bezog, hat der EuGH dies nun gleichermaßen für die Auslegung der zunächst in nationales Recht umzusetzenden Geldwäscherichtlinie entschieden.

b) Verjährungsfristen von drei und fünf Jahren zulässig

Zulässig sind hingegen nationale Regelungen, wonach:

• die Einleitung eines Verfahrens nach drei Jahren verjährt („Verfolgungsverjährung“),
• die Verhängung einer Sanktion nach fünf Jahren ausgeschlossen ist („Strafbarkeitsverjährung“).

Solche Fristen sind mit EURecht vereinbar, solange sie die Durchsetzung nicht praktisch unmöglich machen oder übermäßig erschweren. Österreichs Regelung hält dieser Prüfung stand.

3. Bedeutung für das deutsche Recht

Für Deutschland bedeutet das Urteil Rückenwind für eine ohnehin schon strenge Behördenpraxis. Auch in Deutschland gelten Unternehmen nach dem Geldwäschegesetz (GwG) als eigenständig Verantwortliche. Das Urteil bestätigt und stärkt die bisherige Auslegung.

a) Stärkung der Behördenpraxis

Die in Deutschland geltenden Regelungen zur Sanktionierung von Unternehmen (insbesondere nach dem GwG und den §§ 30, 130 OWiG) sehen schon heute eine eigenständige Unternehmensverantwortlichkeit vor.

Zwar setzt auch hier die gesetzliche Konzeption im allgemeinen Ordnungswidrigkeitenrecht grundsätzlich das schuldhafte Handeln einer konkreten natürlichen Person voraus, welches dem Unternehmen zuzurechnen ist. Allerdings ist es gerade im Geldwäsche- und Finanzaufsichtsrecht bereits gängige Praxis, dass Unternehmen auch ohne benannte Täterperson sanktioniert werden können, wenn organisatorische Mängel vorliegen. Die Aufsichtsbehörden knüpften schon bislang an System‑ und Organisationspflichten an – nicht zwingend an individuelles Handeln.

Das Urteil bestätigt diese Praxis und stärkt sie weiter:

Die Behörden benötigen weder eine identifizierte natürliche Person noch deren förmliche Beteiligung am Verfahren, um ein Bußgeld gegen das Unternehmen zu verhängen.

Damit wird noch klarer: Die Verantwortung des Unternehmens steht im Vordergrund – nicht die Frage, welcher Mitarbeiter im Einzelfall gehandelt hat.

b) Richtlinienkonforme Auslegungspflicht deutscher Gerichte

Der EuGH betont in seiner Entscheidung auch noch einmal, dass nationale Gerichte bei der Anwendung ihres innerstaatlichen Rechts dieses, soweit irgend möglich, anhand des Wortlauts und des Zwecks der fraglichen Richtlinie auslegen müssen, um das in ihr festgelegte Ergebnis zu erreichen.

Das dürfte bedeuten, dass letztlich in allen EU harmonisierten Bereichen eine unionsrechtskonforme Auslegung dazu führen muss, dass ein reines Organisationsversagen für die Sanktionierung von Unternehmen genügt, um die praktische Wirksamkeit („effet utile“) der jeweiligen EU-Richtlinie nicht zu beeinträchtigen.

4. Konsequenzen für Verpflichtete nach dem Geldwäschegesetz

Unternehmen in Deutschland, die dem Geldwäschegesetz unterliegen, können aus dem Urteil Folgendes mitnehmen:

a) Höheres Bußgeldrisiko

Aufsichtsbehörden wie die BaFin können künftig noch entschlossener vorgehen und Bußgelder gegen Unternehmen verhängen, ohne sich aufwendige Täterermittlungen leisten zu müssen. Die Ermittlungen müssen nicht darauf gerichtet sein, eine bestimmte natürliche Person zu „finden“, deren Fehlverhalten dem Unternehmen zugerechnet wird.

Komplexe Organisationsstrukturen schützen nicht.

b) Strengere Anforderungen an Compliance-Systeme

Die Qualität des Geldwäsche-Risikomanagements rückt in den Vordergrund.

Unternehmen müssen nachweisen können, dass sie

• klare Verantwortlichkeiten eingerichtet haben
• wirksame Kontrollen durchführen
• Risiken fortlaufend überwachen und analysieren
• Mitarbeitende regelmäßig sowie ausreichend schulen
• und alle Maßnahmen nachvollziehbar dokumentieren

c) Führungsaufgaben im Fokus

Der EuGH betont ausdrücklich, dass die Verantwortung des Unternehmens auch dann besteht, wenn Verstöße durch mangelhafte Kontrolle oder Aufsicht innerhalb der Leitung ermöglicht wurden.

Das unterstreicht die besondere Rolle der Geschäftsleiter im Rahmen ihrer Organisations- und Überwachungspflichten. Kommen sie diesen nicht ausreichend nach, kann allein das organisationsbedingte Versäumnis bereits die Haftung des Unternehmens begründen.

d) Dokumentation als entscheidender Risikoschutz

Weil Unternehmen nun praktisch allein im Fokus stehen, gewinnt die unternehmensinterne Dokumentation als Nachweis für funktionierende Systeme zentral an Bedeutung:

Fehlt sie, droht ein Organisationsverschulden – und damit eine unmittelbare Unternehmenshaftung. Kurz gesagt: Was nicht dokumentiert ist, gilt als nicht erfolgt.

5. Fazit

Das EuGHUrteil C291/24 ist ein Meilenstein für die geldwäscherechtliche Unternehmenshaftung in Europa. Es stärkt die unmittelbare Verantwortung der Verpflichteten und macht klar:
Unternehmen müssen ihre internen Strukturen so ausgestalten, dass Geldwäscheprävention wirksam funktioniert – und zwar unabhängig davon, ob individuelle Pflichtverletzer ermittelt werden können.

Für Verpflichtete nach dem Geldwäschegesetz bedeutet das:

Compliance-Systeme müssen noch robuster, strukturierter und lückenlos dokumentiert sein als bisher. Verpflichtete müssen ihre Compliance-Systeme weiter stärken, Verantwortlichkeiten klar regeln und wirksame Kontrollen sicherstellen.

Gerne unterstützen wir Sie bei der Prüfung und Optimierung der Prozesse und Strukturen in Ihrem Unternehmen.

EuGH, Urteil vom 29. Januar 2026 - C-291/24

Ihre Ansprechpartner: