KYB und Partner Checks

1) Warum KYB

KYB (Know Your Business) ist die Identifizierung und Risikobewertung von juristischen Personen und Transaktionsveranstaltern: Affiliates, Spieleanbieter und Aggregatoren, PSP/Banken, Payment Orchestrators, KYC/AML-Anbieter, Marketingagenturen, Callcenter, B2B-Distributoren, White-Label und Wiederverkäufer. Das Ziel: Sanktions- und AML/CFT-Risiken, Verkehrs- und Auszahlungsbetrug, IP/Lizenzverletzungen, Datenlecks und Reputationsvorfälle zu verhindern.

2) RBA Prinzipien und Modell

Risikobasierter Ansatz: Die Verifizierungstiefe hängt vom Risikoprofil der Gegenpartei ab (Geo, Rolle in der Kette, Zugriff auf Geld/Daten, Ereignisverlauf, Volumen).
Proportionalität: CDDs für risikoarme Lieferanten, EDDs für risikoreiche (PSPs, Affiliates mit aggressivem Verkehr, Cross-Border-Resseller).
Ongoing Monitoring: Eine Erstkontrolle ohne ständige Überwachung nützt nichts.
Four-Eyes & Segregation: Onboarding/Lockdown-Lösungen - von mindestens zwei Mitarbeitern.

3) Rollen und Verantwortung

Board/Exec: genehmigt KYB-Politik, Risikoappetit, Eskalationsmatrix.
MLRO/Compliance: Eigentümer des CUV/Sanktionsprozesses, Adverse Media/PEP-Methodik, SAR/STR bei Bedarf.
Risk/Analytics: Risiko-Scoring, Verhaltensregeln für Affiliates/PSPs.
Commercial/BD: Sammlung von Dokumenten, Kontrolle der Vertragsbedingungen, KPIs der Partner.
Legal: vertragliche Garantien, IP/Lizenzen, Strafen, einseitiges Kündigungsrecht bei AML/Sanktionsereignissen.
Sicherheit/IT: Zugriffe, Verschlüsselung, Aktivitätsprotokoll, Vendor Assessment zur Sicherheit.
Finanzen/Zahlungen: Kontrolle der Zahlungen, Register der Begünstigten, Abgleich der Details.

4) KYB Ebenen (Beispiel)

CDD (Basic): Registrierungsdokumente, Direktoren, UBO ≥25%, Sanktionen/PEP/Adverse Media, Website/Kontakte, Steuernummer, Nachweis der Adresse der juristischen Person.
ID + EDD (fortgeschritten): vollständige Eigentumskette zu Einzelpersonen, Finanzberichte, Bankbriefe/Referenzen, Lizenzen/Genehmigungen, Beschreibung des Geschäftsmodells und der Einnahmequellen, Überprüfung der Betriebsstätten, Überprüfung der Verkehrsdomänen/-kanäle, Sicherheitstechaudit.
Kontinuierlich: Revue über Ereignisse (Sanktionen, Wechsel von UBO/Direktoren, Verkehrsspitzen/Chargebacks), jährliche Dossierrevision.

5) Sammlung von Daten und Dokumenten

• Gründungsurkunde, Satzung/Aufstellungsvertrag, Aktienregister/Mitglieder.
• Liste der Direktoren und UBOs (mit Anteilen und Staatsbürgerschaft).
• Jura-Adresse und tatsächliche Adresse, Steuernummer/MwSt.
• Lizenzen/Genehmigungen (iGaming/Zahlung/Werbung), Unterlieferantenverträge.
• Bankverbindung (Brief von der Bank/void cheque), Nachweis des Kontobesitzes.
• AML/KYC/KYB-Richtlinien, Sanktionsscreening im Unternehmen, DSGVO/Sicherheit, DPIA (wenn Zugang zu PD besteht).
• Für Affiliate: Beschreibung der Verkehrsquellen, Domains/Landings, Social Media/Adset Accounts, Geo- und Werbeformate, CRM/Tracker.

• Identitätsdokument + Livnes, Adresse (≤3 Monate), Sanktionen/PEP/Adverse Media.
• Bestätigung der Verbindung mit dem Unternehmen (Ernennung zum Direktor, Besitz von Anteilen).

6) Sanktionen, PEP, Adverse Media

Screening der juristischen Person, aller Handelsnamen, zugehöriger Domains und Direktoren/UBOs.
Fuzzy-Suche, Aliase und Transliterationen; manuelles Clearing von Grenzübereinstimmungen.
Periodisches Rescrining (tägliche Updates der Listen) und Event-basiertes Rescrining bei Änderungen im Partnerprofil.
Adverse Media: Themen sind Korruption, Betrug, Drogenhandel, Glücksspiel ohne Lizenz, Geldwäsche.

7) Bewertung der technischen und regulatorischen Reife

Lizenzen und Compliance: Gültigkeit und Umfang der Lizenzen (Spiel, Zahlung, Werbung), Berichterstattung, Strafen in der Vergangenheit.
Security & Privacy: Verschlüsselung, RBAC/ABAC, Key/Secret Management, Zugriffsprotokolle, Datenaufbewahrungspolitik, Incident-Respons.
Betriebssicherheit: SLA/Aptime, Backups, Kontinuitätsplan, DDoS-Schutz.
Integrationen: sichere APIs, Prüfprotokolle, SDK-Versionen, Regeln für PI/PCI DSS (wenn mit Karten gearbeitet wird).

8) Spezifität nach Partnertypen

8. 1 Affiliates (KYA - Know Your Affiliate)

Traffic-Profil: Quellen (SEO/ASO, PPC, Teaser, Social Media, Streams), weiß/graue Praktiken, Zulässigkeit von Geo- und Alterszielen.
Qualitätskennzeichen: CR→FTD, FTD→depozitor, depozit→vyvod, anomale Spitzen, Anteil an Multi-Accounts/Bonus-Missbrauch.
Content und Markensafti: keine falschen Versprechungen, Einhaltung lokaler Werberegeln.
Finanzielle Seite: Abstimmung der Zahlungsdetails, keine Dritten als Begünstigte der Zahlungen.
Monitoring: regelmäßige „Crawl“ Domains/Creatives, Underground Weiterleitungen/Dorveys - Stop-Faktoren.

8. 2 Spieleanbieter/Aggregatoren

IP-Vertriebsrecht: Lizenzen für RNG/Spiele, Nutzungsrecht für Marken/Musik/Kunstgüter.
Verfügbarkeitsgerichte: Matrix der Märkte (was wo angezeigt werden kann), Geo-Filtermechanismen.
Fairplay: RNG-Zertifizierung, Labore, Reporting, Incident History (Rigging/Lecks).
Zahlungen: Lizenzmodell (RevShare/flat), Berichtsabgleich, Anti-Manipulation mit GGR/Tags.

8. 3 PSPs/Banken/Orchestratoren

Zahlungslizenzen (EMI/PI/Banking), KYC/AML-Prozesse, Limits, MCC-Klassen.
Blockierungsrisiken: Charjbacks, Retouren, Blacklists; Plan zur Umgehung von Vorfällen (Failover).
Auszahlungsverfolgung: Überprüfung des Kontoinhabers, Regeln der „gleichen Methode“, Berichterstattung.

8. 4 Dienstleister (KYS - Know Your Supplier)

Zugriff auf PDs/Konten/Codebasis → EDD + Verträge über Datenschutz, Prüfungsrecht, Meldung von Vorfällen, Sub-Prozessoren.

9) Vertragliche Garantien und Kontrollen

AML-Klauseln/Sanktionen: Gewährleistung der Einhaltung aller Regelungen, sofortiges Kündigungsrecht bei Verstoß.
KYC/KYB-Verpflichtungen: Bereitstellung von Dokumenten auf Anfrage, Aktualisierung bei Wechsel der UBO/Direktoren.
Werbestandards (für Affiliates): Mis-Selling-Verbot, obligatorische Disclaimer, lokale Beschränkungen.
Audits und Inspektionen: Recht auf Inspektionen, Zugang zu Logs/Creatives, Strafen/Einbehaltungen bei schwerwiegenden Verstößen.
SLA/OLA: Aptime, TAT durch Tickets, Incident Response Timing, Verspätungsstrafen.

IP/Inhalt: Nachweis der Rechte, Haftung für Ansprüche Dritter

Daten und Sicherheit: DPIA/DTIA, Verschlüsselung, Breach-Notification ≤72 h, Verbot der Übertragung in „rote“ Jurisdiktionen ohne Garantien.

10) Überwachung und Revue (Ongoing)

• UBO/Direktoren/Bankverbindung ändern.
• Sanktionsveranstaltung/Adverse Media.
• Anormaler Verkehr/Charjbacks/Auszahlungsspikes.
• Benutzerbeschwerden/regulatorische Anfragen.
• Änderung des Geschäftsmodells/der Geographie.

Prozess: Signal → Fall → Anforderung von Dokumenten/Erklärungen → Lösung (speichern/einfrieren/kündigen) → Post-Sea und Aktualisierung der Regeln.

11) Risikomatrix (Beispiel)

12) KYB Metriken und KPIs

Onboarding TAT (Median/95. Perzentil).
Completeness Score Dossier (Anteil an vollständigen Profilen).
Auto-Clear/Manual-Review Rate nach Alert.
False Positive Rate der Sanktionen/RER und Clearing-Zeit.
Traffic Quality (Affiliates): CR, FTD-Qualität, WD-Verhältnis, Chargeback-Rate.
Incident Rate и Time-to-Contain.
Audit Findings Closed on Time.
Vendor SLA Compliance (Aptime/Response).

13) Architektur und Integration

Ein einziges Partner-Dossier: UBO-Besitzgraph, Dokumente, Sanktions-/PP-Status, Lizenzen, Domains, Zahlungsdetails.
Ereignisbus: Änderungen der Requisiten, Verkehrsspitzen/Chargebacks, Sanktionsupdates → Alerts im Fallsystem.
Entscheidungsmotor: Regeln + ML (Affiliate-Scoring, PSP-Risiko, Anomalien).
Protokolle und WORM-Speicher: unveränderliche Dokumentversionen, Entscheidungsmotivationen, Zugriffsspuren.
Zugriffe und Geheimnisse: RBAC/ABAC, HSM/secret-vault, Upload-Beschränkung.
Degradierung: Wenn Sanktionsanbieter nicht verfügbar sind - Quorum/Retrai, vorübergehende Verschärfung der Schwellenwerte.

14) Checklisten

• Regularien, Satzung, Meldeadresse.
• Direktoren/UBO ≥25% + CUS/Adresse.
• Sanctions/PEP/Adverse Media (juristische Person).
• Lizenzen, Recht auf Produkte/Inhalte.
• Bankverbindung und Nachweis des Kontobesitzes.
• AML/KYC/KYB + Richtlinien zur Datensicherheit.
• Für Affiliate: Traffic-Quellen, Domains, Creatives, Geo.
• Vertrag: AML-Klauseln, Prüfungsrecht, SLA, Bußgelder.

• Wiederholtes Sanktionsscreening.
• Prüfung des Kontonutzungsberechtigten = Partner/UBO.
• Abstimmung der Berichte (Verkehr/Spiele/Lizenzgebühren).
• Anti-Fraud-Checks (Anomalien, Multi-Level-Ketten).

• Relevanz der Dokumente/Lizenzen/UBO.
• Zusammenfassung der Vorfälle/Beschwerden/Reg-Anfragen.
• Änderungen an Geo/Verkehrskanälen/Produktlinie.
• Neukalibrierung von Risiko und Grenzen.

15) Typische Risiken und wie man sie schließt

Eine versteckte UBO-Struktur durch Offshore-Gesellschaften → eine Kette von Einzelpersonen, unabhängige Register und eine rechtliche Bestätigung erfordern.
„Schmutziger“ Affiliate-Traffic → Vertragsverbote, automatische Überwachung von Domains, Finstrafs, Stoppliste.
Sanktions-/PPP-Risiken → tägliches Rescrining, manuelles Clearing, MLRO-Eskalation.
Ersatz von Zahlungsdetails (BEC-Fraud) → Bestätigung der Details aus dem Vertragskanal, Zwei-Mann-Regel, Kontrolle der Änderungen für 24-48 Stunden Quarentin.
Zugriff auf PD durch Dritte → DPIA, Minimierung, Audit von Zugangsspuren, technische und vertragliche Barrieren.

16) FAQ

Wo ist der Schwellenwert für EDD? Hohes Risiko durch Geo/Rolle/Volumen, Zugang zu PD/Geld, komplexe UBO-Struktur, negative Medien.
Wie oft wird das Dossier überarbeitet? mindestens jährlich; plus ereignisreich.
Kann ich einen Affiliate auf mein persönliches Konto bezahlen? Unerwünscht: Besitzerübereinstimmung, UBO-Link, Zielprüfung und lokale Regeln.
Was tun bei einem Streit um die Verkehrsqualität? Das Recht auf Audit, Lead-Sampling, Attribution, Retention/Chargeback-Korrektur in den Vertrag aufnehmen.

17) KYB-Richtlinien-Strukturvorlage (für Wiki)

1. Geltungsbereich und Definitionen

2. Rolle und Verantwortung (RACI)

3. RBA-Methodik und EDD-Schwellenwerte

4. Dokumentanforderungen (juristische Person/Direktor/UBO)

5. Sanktionen/PEP/Adverse Media und die Häufigkeit des Rescrinings

6. Spezifität nach Partnertypen (KYA/KYS/PSP/Spieleanbieter)

7. Vertragliche Anforderungen (AML, SLA, Audit, IP, Daten)

8. Monitoring und Rev-KYB (Trigger, Case Management)

9. Kennzahlen und Reporting für Vorstand/Management

10. Datenspeicherung, Sicherheit, Privatsphäre

11. Kontinuitätsplan und Reaktion auf Vorfälle

12. Anwendungen: Checklisten, Formulare, Brief- und Berichtsvorlagen

Ergebnis

Starke KYB-Kontur = korrekte Eingangsprüftiefe, starrer Vertragsrahmen, ständige Überwachung und transparente Metriken. Standardisieren Sie das Dossier, automatisieren Sie die Sanktionsschleife, messen Sie die Verkehrsqualität und SLA-Compliance, überprüfen Sie regelmäßig die Risikobereitschaft der Partner - und Sie reduzieren regulatorische, finanzielle und Reputationsrisiken, ohne das Tempo des Geschäfts zu beeinträchtigen.