BaFin-Sorgfaltspflichten bei US-Geschäftspartnern: Ein Leitfaden für Compliance-Teams

Deutsche und europäische Unternehmen, die Geschäftsbeziehungen mit US-amerikanischen Partnern eingehen, stehen vor einer doppelten Herausforderung: Sie müssen einerseits den Anforderungen der BaFin und des deutschen Geldwäschegesetzes (GwG) genügen, andererseits aber auch die Besonderheiten der dezentralen US-Unternehmensregistrierung verstehen. Dieser Leitfaden zeigt Compliance-Teams, wie sie diese Anforderungen effizient und rechtssicher erfüllen können – und welche Technologien dabei helfen.

Warum US-Geschäftspartner besondere Sorgfalt erfordern

Im Gegensatz zum deutschen Handelsregister oder dem französischen RCS gibt es in den USA kein zentrales nationales Unternehmensregister. Jeder der 50 Bundesstaaten sowie Washington D.C., Puerto Rico und die U.S. Virgin Islands führt ein eigenes Secretary-of-State-Register. Eine US-LLC, die in Delaware gegründet wurde, kann in Californien als „Foreign Entity" tätig sein – und beide Einträge sind für eine vollständige Due-Diligence-Prüfung relevant.

Für deutsche Compliance-Teams bedeutet das: Manuelle Recherchen in 50+ Registern sind zeitaufwändig, fehleranfällig und kaum skalierbar. Gleichzeitig erhöhen die Anforderungen der 6. EU-Geldwäscherichtlinie (AMLD6) den Druck, lückenlose Nachweise über die Legitimität von Geschäftspartnern zu erbringen.

Regulatorischer Rahmen: GwG, AMLD6 und BaFin-Rundschreiben

Das deutsche Geldwäschegesetz (GwG)

Das GwG verpflichtet in § 10 alle „Verpflichteten" – darunter Kreditinstitute, Finanzdienstleister, Versicherungen, aber auch Wirtschaftsprüfer und bestimmte Gewerbetreibende – zur Identifizierung und Überprüfung von Vertragspartnern. Bei juristischen Personen umfasst dies gemäß § 11 Abs. 4 GwG insbesondere:

• Firma, Rechtsform und Registernummer
• Anschrift des Sitzes oder der Hauptniederlassung
• Namen der gesetzlichen Vertreter
• Nachweis der Existenz der Gesellschaft

Für US-Unternehmen bedeutet dies konkret: Ein Auszug aus dem jeweiligen Secretary-of-State-Register entspricht funktional einem Handelsregisterauszug und ist der primäre Nachweis für die Existenz und den rechtlichen Status der Gesellschaft.

AMLD6 und erhöhte Sorgfaltspflichten

Die 6. EU-Geldwäscherichtlinie (AMLD6), in Deutschland durch die GwG-Novelle 2021 umgesetzt, erweitert den Kreis der strafbaren Vortaten zur Geldwäsche erheblich. Besonders relevant für US-Geschäftsbeziehungen: Die Richtlinie verlangt eine risikobasierte Bewertung von Drittstaaten-Geschäftspartnern. Unternehmen aus Staaten, die nicht auf der EU-Liste gleichwertiger Drittstaaten stehen, unterliegen grundsätzlich verstärkten Sorgfaltspflichten.

Die USA gelten zwar nicht als Hochrisikoland, jedoch sind shell companies und anonyme LLC-Strukturen – insbesondere aus Delaware, Wyoming oder Nevada – ein bekanntes Geldwäscherisiko. Der Corporate Transparency Act (CTA), der seit 2024 schrittweise in Kraft tritt, verbessert die Transparenz, ersetzt jedoch nicht die eigenständige Verifikationspflicht europäischer Institute.

BaFin-Orientierung und praktische Anforderungen

Die BaFin hat in mehreren Auslegungshinweisen klargestellt, dass die Überprüfung ausländischer Gesellschaften „mit gleichwertigen Mitteln" zum Handelsregisterauszug erfolgen kann. Die Abrufbarkeit aus einem offiziellen staatlichen Register – wie dem Secretary of State – erfüllt diese Anforderung, sofern der Abruf nachvollziehbar dokumentiert wird. Entscheidend ist die Aktualität der Daten: Eine Archivrecherche von vor sechs Monaten reicht für ein laufendes Geschäft nicht aus.

DSGVO-Konformität bei US-Unternehmensdaten

Ein häufig unterschätzter Aspekt: Auch bei Unternehmensdaten können personenbezogene Daten im Sinne der DSGVO enthalten sein – etwa Namen von Registered Agents oder Geschäftsführern. Beim Einsatz einer US-API für solche Abfragen sind folgende Punkte zu prüfen:

• Auftragsverarbeitungsvertrag (AVV): Sofern personenbezogene Daten übermittelt werden, ist ein AVV gemäß Art. 28 DSGVO erforderlich.
• Drittlandübermittlung: Datenübertragungen in die USA erfordern geeignete Garantien (z.B. Standardvertragsklauseln nach Art. 46 DSGVO oder das EU-US Data Privacy Framework).
• Zweckbindung: Die abgerufenen Daten dürfen ausschließlich für die Compliance-Prüfung verwendet werden.

Öffentlich zugängliche Registerdaten aus US-Secretary-of-State-Quellen sind per se keine sensiblen Daten, dennoch empfiehlt sich eine dokumentierte Datenschutz-Folgeabschätzung (DSFA) für den API-Einsatz im Produktivbetrieb.

OpenSOSData API: Automatisierte SOS-Abfragen für Compliance-Workflows

Die OpenSOSData-Plattform bietet einen einheitlichen REST-API-Zugang zu allen 50 US-Bundesstaaten sowie Washington D.C., Puerto Rico und den U.S. Virgin Islands – insgesamt über 23 Millionen Unternehmenseinträge. Für Compliance-Teams bedeutet das: ein einziger API-Endpunkt statt 50 verschiedener Behördenportale.

Rückgegebene Datenfelder

• Firmenname und Rechtsform (Entity Type)
• Entity-ID / Registernummer
• Aktueller Status (Active, Dissolved, Suspended etc.)
• Gründungsdatum (Formation Date)
• Registered Agent mit vollständiger Adresse

Diese Felder entsprechen exakt den Anforderungen des § 11 Abs. 4 GwG und ermöglichen eine direkte Übernahme in KYB-Dokumentationen.

Preismodell

Live-Abfragen kosten $0,10 pro Anfrage (ca. 0,09 EUR), bei hohem Volumen ab $0,0314. Gecachte Abfragen sind bereits ab $0,01 erhältlich (ab $0,00314 im Volumenmodell). Das Pay-as-you-go-Modell ohne Mindestabnahme macht den Einstieg für Compliance-Teams jeder Größe risikolos.

Praktisches Code-Beispiel: SOS-Abfrage per Python

import requests
import json

# API-Konfiguration
API_URL = "https://api.opensosdata.com/v1/lookup"
API_KEY = "IHR_API_KEY"  # Schlüssel unter https://app.opensosdata.com erstellen

# Abfrageparameter für einen US-Geschäftspartner
payload = {
    "state": "DE",           # Delaware als Gründungsstaat
    "entity_name": "Acme Corp LLC",  # Firmenname des US-Partners
    "live": True             # Live-Abfrage für aktuelle BaFin-Dokumentation
}

headers = {
    "Authorization": f"Bearer {API_KEY}",
    "Content-Type": "application/json"
}

# API-Aufruf
response = requests.post(API_URL, headers=headers, json=payload)
data = response.json()

# Ergebnis für KYB-Dokumentation aufbereiten
if response.status_code == 200 and data.get("results"):
    entity = data["results"][0]
    print("=== KYB-Nachweis (GwG § 11 Abs. 4) ===")
    print(f"Firmenname:      {entity.get('entity_name')}")
    print(f"Rechtsform:      {entity.get('entity_type')}")
    print(f"Registernummer:  {entity.get('entity_id')}")
    print(f"Status:          {entity.get('status')}")
    print(f"Gründungsdatum:  {entity.get('formation_date')}")
    print(f"Reg. Agent:      {entity.get('registered_agent')}")
    print(f"Adresse:         {entity.get('registered_agent_address')}")
    print(f"Abrufdatum:      {data.get('retrieved_at')}")  # Für Dokumentation
else:
    print(f"Fehler oder kein Ergebnis: {data.get('message')}")
  

Die vollständige API-Spezifikation ist unter opensosdata.com/openapi.yaml verfügbar. Neue API-Schlüssel werden kostenlos unter app.opensosdata.com erstellt.

Vergleich: Handelsregister Deutschland vs. US Secretary of State

Empfehlung für Compliance-Workflows

Für ein effektives KYB-Programm bei US-Geschäftspartnern empfehlen sich folgende Schritte:

1. Gründungsstaat identifizieren: Fragen Sie den Partner explizit nach dem Inkorporierungsstaat – häufig Delaware, aber nicht immer.
2. Live-Abfrage durchführen: Nutzen Sie die OpenSOSData-API für eine aktuelle Statusprüfung zum Zeitpunkt der Onboarding-Entscheidung.
3. Ergebnis dokumentieren: Speichern Sie den API-Response inklusive Zeitstempel in Ihrer KYB-Akte – dies entspricht dem Handelsregisterauszug.
4. Regelmäßige Wiederholung: Für laufende Geschäftsbeziehungen empfiehlt die BaFin anlassbezogene oder periodische Überprüfungen. Automatisieren Sie dies über Ihren Compliance-Kalender.
5. Risikobasierte Eskalation: Bei Delaware/Wyoming/Nevada-Strukturen ohne erkennbare operative Substanz: verstärkte Sorgfalt und ggf. Einholung von Ownership-Nachweisen.

Häufig gestellte Fragen (FAQ)

Fazit

Die BaFin-konformen Sorgfaltspflichten bei US-Geschäftspartnern sind anspruchsvoll, aber mit den richtigen Werkzeugen effizient umsetzbar. Die dezentrale US-Unternehmensregistrierung erfordert einen systematischen Ansatz – manuelle Recherchen in einzelnen Staatsportalen sind für skalierbare Compliance-Prozesse nicht geeignet. Mit der OpenSOSData-API erhalten Compliance-Teams einen einheitlichen, dokumentierten und kostengünstigen Zugang zu allen relevanten US-Registern. Kombiniert mit einer klaren internen DSGVO-Governance und einem risikobasierten Monitoring-Ansatz lassen sich die Anforderungen von GwG, AMLD6 und BaFin-Rundschreiben zuverlässig erfüllen – und US-Geschäftsbeziehungen können auf einer soliden Compliance-Grundlage aufgebaut werden.