(1) Verpflichtete, die Mutterunternehmen einer Gruppe sind, haben eine Risikoanalyse für alle Zweigstellen, Zweigniederlassungen und gruppenangehörigen Unternehmen nach § 1 Absatz 16 Nummer 2 bis 4, die geldwäscherechtlichen Pflichten unterliegen, durchzuführen. Auf Grundlage dieser Risikoanalyse haben sie gruppenweit folgende Maßnahmen zu ergreifen:

1. die Einrichtung von einheitlichen internen Sicherungsmaßnahmen nach § 6 Absatz 2,
2. die Bestellung eines Geldwäschebeauftragten, der für die Erstellung einer gruppenweiten Strategie zur Verhinderung von Geldwäsche und Terrorismusfinanzierung sowie für die Koordinierung und Überwachung ihrer Umsetzung zuständig ist,
3. die Schaffung von Verfahren für den Informationsaustausch innerhalb der Gruppe zur Verhinderung von Geldwäsche und von Terrorismusfinanzierung sowie
4. die Schaffung von Vorkehrungen zum Schutz von personenbezogenen Daten.

(3) Verpflichtete, die Mutterunternehmen einer Gruppe sind, haben sicherzustellen, dass Zweigstellen und gruppenangehörige Unternehmen nach § 1 Absatz 16 Nummer 2 bis 4, die mehrheitlich in ihrem Besitz stehen und ihren Sitz in einem Drittstaat haben, in dem die Mindestanforderungen zur Verhinderung von Geldwäsche und von Terrorismusfinanzierung geringer sind als die Anforderungen für Unternehmen mit Sitz in Deutschland, die Anforderungen nach diesem Gesetz erfüllen, soweit das Recht des Drittstaats dies zulässt. Soweit eine Umsetzung der in Absatz 1 Satz 2 Nummer 1, 3 und 4 genannten Maßnahmen nach dem Recht des Drittstaats nicht zulässig ist, sind die Mutterunternehmen verpflichtet,

1. sicherzustellen, dass ihre in Satz 1 genannten Zweigstellen und gruppenangehörigen Unternehmen, die mehrheitlich in ihrem Besitz stehen, zusätzliche Maßnahmen ergreifen, um dem Risiko der Geldwäsche und der Terrorismusfinanzierung wirksam zu begegnen, und 2. die nach § 50 zuständige Aufsichtsbehörde über die getroffenen Maßnahmen zu informieren. Reichen die getroffenen Maßnahmen nicht aus, so ordnet die nach § 50 zuständige Aufsichtsbehörde an, dass die Mutterunternehmen sicherstellen, dass die in Satz 1 genannten Zweigstellen und gruppenangehörigen Unternehmen nach § 1 Absatz 16 Nummer 2 bis 4 in diesem Drittstaat weder eine Geschäftsbeziehung begründen oder fortsetzen noch Transaktionen durchführen. (4) Die Absätze 1 bis 3 gelten entsprechend für Verpflichtete, 1. die gruppenangehörige Unternehmen nach § 1 Absatz 16 Nummer 2 bis 4 sind, soweit ihnen mindestens ein anderes Unternehmen nach § 1 Absatz 16 Nummer 2 bis 4 nachgeordnet ist und ihrem beherrschenden Einfluss unterliegt, und 2. deren Mutterunternehmen weder nach Absatz 1 noch nach dem Recht des Staates, in dem es ansässig ist, gruppenweite Maßnahmen ergreifen muss.

(5) Verpflichtete, die gruppenangehörige Unternehmen nach § 1 Absatz 16 Nummer 2 bis 4 eines Mutterunternehmens im Sinne von Absatz 1 sind, haben die in Absatz 1 Satz 2 Nummer 1, 3 und 4 genannten Maßnahmen umzusetzen. Alle anderen gruppenangehörigen Verpflichteten müssen die in Absatz 1 Satz 2 Nummer 3 und 4 genannten Maßnahmen umsetzen. Die Pflichten nach den Sätzen 1 und 2 gelten unbeschadet der von den Verpflichteten zu beachtenden eigenen gesetzlichen Verpflichtung zur Erfüllung sonstiger geldwäscherechtlicher Vorschriften.