BaFin-Sorgfaltspflichten bei US-Geschäftspartnern: Ein Leitfaden für Compliance-Teams

Wer als deutsches oder europäisches Unternehmen Geschäftsbeziehungen mit US-amerikanischen Partnern unterhält, steht vor einer komplexen regulatorischen Herausforderung: Die BaFin und das Geldwäschegesetz (GwG) verlangen eindeutige Identifizierung und Überprüfung von Geschäftspartnern – unabhängig davon, ob diese in Frankfurt oder in Delaware registriert sind. Gleichzeitig erschweren fehlende europäische Melderegister, Sprachbarrieren und fragmentierte Datenquellen in den USA die praktische Umsetzung erheblich. Dieser Leitfaden zeigt Compliance-Teams, wie sie US-Geschäftspartner systematisch verifizieren, welche regulatorischen Anforderungen dabei gelten und wie moderne API-Lösungen wie OpenSOSData den Prozess erheblich vereinfachen.

Regulatorischer Rahmen: GwG, BaFin und EU AMLD6

Das Geldwäschegesetz (GwG) im Kontext transatlantischer Geschäftsbeziehungen

Das deutsche Geldwäschegesetz verpflichtet alle Verpflichteten im Sinne des § 2 GwG – darunter Banken, Finanzdienstleister, Versicherungen, Notare, Steuerberater und zunehmend auch Unternehmen aus dem nichtfinanziellen Sektor – zur Durchführung von Sorgfaltspflichten gegenüber ihren Vertragspartnern. Bei juristischen Personen umfasst dies gemäß § 11 GwG insbesondere:

• Identifizierung der juristischen Person anhand geeigneter Dokumente oder Registerauszüge
• Feststellung der Eigentümerstruktur und Kontrolle (wirtschaftlich Berechtigte)
• Klärung von Zweck und Art der Geschäftsbeziehung
• Kontinuierliche Überwachung der Geschäftsbeziehung

Für US-amerikanische Geschäftspartner bedeutet dies konkret: Das Pendant zum deutschen Handelsregistereintrag ist der Secretary-of-State-Eintrag des jeweiligen Bundesstaates. In den USA gibt es jedoch 50 Bundesstaaten plus D.C. und Territorien – jeder mit eigenem Register, eigenen Zugangswegen und unterschiedlicher Datenqualität.

EU AMLD6 und erhöhte Anforderungen

Die sechste EU-Geldwäscherichtlinie (AMLD6) verschärft die Anforderungen an die Identifizierung von Geschäftspartnern aus Drittstaaten deutlich. Zu den wesentlichen Neuerungen zählen erweiterte Definitionen von Vortaten, eine stärkere Harmonisierung nationaler Regelungen und erhöhte Sorgfaltspflichten bei Transaktionen mit Drittländern. Die BaFin hat in ihren Auslegungshinweisen klargestellt, dass US-amerikanische Unternehmen grundsätzlich als Drittstaaten-Gegenparteien zu behandeln sind und entsprechend höherer Sorgfalt bedürfen.

DSGVO-Konformität bei der Verarbeitung US-Unternehmensdaten

Ein häufig übersehener Aspekt: Auch die Verarbeitung von Daten über US-amerikanische Unternehmen unterliegt der DSGVO, soweit Daten natürlicher Personen (z.B. Geschäftsführer, eingetragene Agenten) betroffen sind. Bei der Nutzung von US-Datenbankdiensten müssen Compliance-Teams sicherstellen, dass geeignete Garantien nach Art. 46 DSGVO bestehen oder eine der Ausnahmen nach Art. 49 DSGVO greift. Öffentlich zugängliche Secretary-of-State-Daten gelten in der Regel als zulässige Verarbeitung im Rahmen der gesetzlichen Sorgfaltspflichten.

Das US-Unternehmensregister: Secretary of State vs. Handelsregister

Deutsche Compliance-Experten sind mit dem zentralisierten Handelsregister vertraut. Das US-amerikanische System unterscheidet sich fundamental:

Angesichts dieser Fragmentierung ist es für deutsche Compliance-Teams praktisch unmöglich, effizient über 23 Millionen US-Entitäten manuell zu recherchieren. Hier setzt OpenSOSData an: eine einheitliche REST-API, die alle 50 US-Bundesstaaten, Washington D.C., Puerto Rico und die U.S. Virgin Islands abdeckt.

Praktische Umsetzung: US-Unternehmen per API verifizieren

Was die OpenSOSData API zurückgibt

Die API liefert alle für die GwG-Sorgfaltspflicht relevanten Grunddaten einer US-Entität:

• Unternehmensname (wie registriert)
• Rechtsform (LLC, Corporation, LP etc.)
• Eingetragene ID (staatliche Registernummer)
• Status (Active, Inactive, Dissolved etc.)
• Gründungsdatum
• Registered Agent inkl. Adresse

Codebeispiel: Lookup per Python

import requests

# API-Endpunkt und Authentifizierung
API_URL = "https://api.opensosdata.com/v1/lookup"
API_KEY = "IHR_API_KEY"  # Registrierung unter https://app.opensosdata.com

# Suchanfrage für einen US-Geschäftspartner
payload = {
    "name": "Acme Technologies LLC",
    "state": "DE"  # Delaware – häufigster Inkorporierungsort in den USA
}

headers = {
    "x-api-key": API_KEY,
    "Content-Type": "application/json"
}

# Anfrage senden
response = requests.post(API_URL, json=payload, headers=headers)

if response.status_code == 200:
    daten = response.json()

    # Relevante Felder für die GwG-Dokumentation extrahieren
    print(f"Unternehmensname:  {daten.get('entity_name')}")
    print(f"Rechtsform:        {daten.get('entity_type')}")
    print(f"Register-ID:       {daten.get('entity_id')}")
    print(f"Status:            {daten.get('status')}")
    print(f"Gründungsdatum:    {daten.get('formation_date')}")
    print(f"Registered Agent:  {daten.get('registered_agent')}")
    print(f"Agent-Adresse:     {daten.get('registered_agent_address')}")
else:
    print(f"Fehler: {response.status_code} – {response.text}")

Codebeispiel: Lookup per cURL

# Einfacher API-Aufruf zur Unternehmensverifizierung (BaFin-Sorgfaltspflicht)
curl -X POST https://api.opensosdata.com/v1/lookup \
  -H "x-api-key: IHR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Acme Technologies LLC",
    "state": "DE"
  }'
# Vollständige API-Dokumentation: https://opensosdata.com/openapi.yaml

Preismodell und Kostenplanung

Das Pay-as-you-go-Modell von OpenSOSData ist ideal für Compliance-Teams, die keine pauschalen Abonnementgebühren zahlen möchten:

• Live-Lookup: $0,10 pro Abfrage (ca. €0,09); ab hohem Volumen ab $0,0314 pro Abfrage
• Cached Lookup: $0,01 pro Abfrage (ca. €0,009); ab hohem Volumen ab $0,00314 pro Abfrage

Für ein Compliance-Team, das monatlich 500 Neukunden-Prüfungen durchführt, entstehen bei Live-Lookups Kosten von ca. $50 – ein vernachlässigbarer Betrag im Vergleich zu manuellen Recherchestunden oder regulatorischen Bußgeldern.

Integration in den GwG-Compliance-Workflow

Schritt 1: Risikobasierter Ansatz

Gemäß § 10 GwG ist ein risikobasierter Ansatz anzuwenden. Für US-Partner empfiehlt sich folgende Risikoeinstufung: Unternehmen aus Delaware, Nevada oder Wyoming gelten häufig als höheres Risiko, da diese Bundesstaaten besonders niedrige Transparenzanforderungen haben. Für solche Partner sollten verstärkte Sorgfaltspflichten nach § 15 GwG angewendet werden.

Schritt 2: Erstverifikation mit SOS-Daten

Der Secretary-of-State-Lookup liefert die Basisdaten für die Identifizierung nach § 11 Abs. 4 GwG. Der API-Response dokumentiert Existenz, Rechtsstatus und Registernummer – vergleichbar mit einem Handelsregisterauszug. Diese Daten sind für die Compliance-Akte zu sichern.

Schritt 3: Ergänzende Prüfungen

Die SOS-Daten sind Ausgangspunkt, nicht Endpunkt. Ergänzend sind zu prüfen: Sanktionslisten (OFAC SDN List, EU-Konsolidierte Liste), Transparenzregister-Äquivalente (FinCEN Beneficial Ownership Database seit 2024) und branchenspezifische US-Lizenzen.

Schritt 4: Dokumentation und Monitoring

Die BaFin erwartet lückenlose Dokumentation. API-Responses sollten unveränderlich gespeichert (z.B. mit Timestamp und API-Version) und in die interne KYC-Plattform integriert werden. Bei laufenden Geschäftsbeziehungen sind regelmäßige Re-Verifikationen empfehlenswert – die günstige Preisstruktur von OpenSOSData macht periodische Refreshes wirtschaftlich.

Häufig gestellte Fragen (FAQ)

Fazit: Systematische Compliance bei US-Geschäftspartnern

Die BaFin-Sorgfaltspflicht bei US-amerikanischen Geschäftspartnern ist keine optionale Best Practice, sondern eine klare gesetzliche Pflicht mit erheblichen Sanktionsrisiken bei Verstößen. Die Fragmentierung der US-Unternehmensregister war lange ein praktisches Hindernis – heute gibt es keine Ausrede mehr. Mit einer einheitlichen API wie OpenSOSData, die über 23 Millionen US-Entitäten in allen Bundesstaaten abdeckt, können Compliance-Teams US-Partner schnell, kosteneffizient und dokumentationssicher verifizieren.

Für den Einstieg empfiehlt sich folgendes Vorgehen: API-Dokumentation unter opensosdata.com/openapi.yaml prüfen, Testzugang unter app.opensosdata.com einrichten und die Integration in bestehende KYC-Workflows pilotieren. Die Investition – wenige Cent pro Abfrage – steht in keinem Verhältnis zu den regulatorischen Risiken eines lückenhaften US-Counterparty-Screenings.