BaFin-Sorgfaltspflichten bei US-Geschäftspartnern: Ein Leitfaden für deutsche Unternehmen

Deutsche Unternehmen, die Geschäftsbeziehungen mit amerikanischen Partnern unterhalten, stehen vor einer doppelten Herausforderung: Einerseits verlangen BaFin und das Geldwäschegesetz (GwG) eine lückenlose Identifizierung und Überprüfung von Geschäftspartnern. Andererseits ist die Beschaffung verlässlicher Unternehmensdaten aus den USA aufgrund der fragmentierten Registerstruktur über 50 Bundesstaaten hinweg zeitaufwändig und fehleranfällig. Dieser Leitfaden zeigt, wie deutsche Compliance-Teams die regulatorischen Anforderungen effizient erfüllen – und wie moderne API-Lösungen dabei helfen, den manuellen Aufwand drastisch zu reduzieren.

Regulatorischer Rahmen: Was BaFin und GwG von Ihnen verlangen

Das deutsche Geldwäschegesetz (GwG) setzt die EU-Geldwäscherichtlinien in nationales Recht um und verpflichtet alle regulierten Unternehmen – Banken, Finanzdienstleister, Versicherungen, aber auch Rechtsanwälte, Steuerberater und bestimmte Gewerbetreibende – zur Durchführung von Sorgfaltspflichten (Customer Due Diligence, CDD) gegenüber ihren Geschäftspartnern.

Mit der sechsten EU-Geldwäscherichtlinie (AMLD6), die seit Dezember 2020 in Kraft ist, wurden die Anforderungen an die Identifizierung juristischer Personen weiter verschärft. Konkret bedeutet das für US-amerikanische Geschäftspartner:

• Identifizierung der juristischen Person: Name, Rechtsform, Registernummer, Sitz und gesetzliche Vertreter müssen zweifelsfrei festgestellt werden (§ 11 Abs. 4 GwG).
• Überprüfung der Angaben: Die Daten müssen anhand geeigneter Dokumente oder öffentlicher Register verifiziert werden – nicht nur auf Basis von Selbstauskünften des Partners.
• Feststellung der wirtschaftlich Berechtigten (UBO): Gemäß § 19 GwG sind wirtschaftlich Berechtigte zu ermitteln, was bei US-Unternehmen besondere Sorgfalt erfordert.
• Risikobasierter Ansatz: Je höher das Risiko (Drittstaaten, komplexe Strukturen, bargeldintensive Branchen), desto intensiver müssen die Prüfungen ausfallen.

Die BaFin hat in ihrer Auslegungspraxis klargestellt, dass öffentliche Handelsregister – auch ausländische – als geeignete Verifizierungsquellen gelten, sofern deren Zuverlässigkeit nachgewiesen werden kann. US-amerikanische Secretary-of-State-Register erfüllen diese Anforderung grundsätzlich, da sie staatlich geführt und öffentlich zugänglich sind.

Die Besonderheit des US-Registersystems

Während in Deutschland das Handelsregister zentral über das Unternehmensregister (www.unternehmensregister.de) abrufbar ist, existiert in den USA kein vergleichbares nationales Zentralregister. Jeder der 50 Bundesstaaten sowie Washington D.C., Puerto Rico und die U.S. Virgin Islands führt ein eigenes Register beim jeweiligen Secretary of State. Ein US-Unternehmen kann in jedem dieser Bundesstaaten gegründet worden sein – und zusätzlich in weiteren Bundesstaaten als „Foreign Entity" registriert sein.

Das stellt deutsche Compliance-Teams vor praktische Herausforderungen:

• Unterschiedliche Datenformate und Terminologien je nach Bundesstaat
• Verschiedene Rechtsstatus-Bezeichnungen (Active, Good Standing, Dissolved, Revoked etc.)
• Uneinheitliche Angaben zu Registered Agents und Unternehmensadressen
• Manuelle Recherche auf bis zu 53 verschiedenen Websites

DSGVO-Konformität bei der Verarbeitung von US-Unternehmensdaten

Ein häufig übersehener Aspekt: Auch bei der Verarbeitung von Daten über US-Unternehmen können DSGVO-Pflichten entstehen, nämlich dann, wenn personenbezogene Daten natürlicher Personen (z.B. Geschäftsführer, Registered Agents) verarbeitet werden. Folgende Grundsätze sollten beachtet werden:

• Zweckbindung: Daten dürfen nur für den definierten Compliance-Zweck (GwG-Prüfung) verwendet werden.
• Datenminimierung: Nur die für die Sorgfaltspflicht tatsächlich notwendigen Daten erheben.
• Auftragsverarbeitung: Bei Nutzung externer API-Anbieter ist zu prüfen, ob ein Auftragsverarbeitungsvertrag (AVV) erforderlich ist.
• Drittlandtransfer: Der Abruf von Daten über US-amerikanische APIs kann einen Drittlandtransfer darstellen; geeignete Garantien (z.B. Standardvertragsklauseln) sind sicherzustellen.

Vergleich: Deutsches Handelsregister vs. US Secretary of State Register

Automatisierte Verifizierung mit der OpenSOSData API

Um den manuellen Rechercheaufwand zu eliminieren und gleichzeitig eine lückenlose Dokumentation für die BaFin-Compliance sicherzustellen, bietet sich der Einsatz der OpenSOSData API an. Die REST-API ermöglicht den programmatischen Zugriff auf mehr als 23 Millionen US-Unternehmenseinträge aus allen 50 Bundesstaaten sowie Washington D.C., Puerto Rico und den U.S. Virgin Islands.

Die API liefert für jeden Treffer folgende Daten, die für die GwG-Sorgfaltspflicht relevant sind:

• Offizieller Unternehmensname und Namenshistorie
• Rechtsform (LLC, Corporation, LP etc.)
• Eindeutige Registernummer (Entity ID)
• Aktueller Rechtsstatus (Active, Dissolved, Revoked etc.)
• Gründungsdatum
• Registered Agent mit vollständiger Adresse

Praktisches Codebeispiel: US-Partner per API verifizieren

Das folgende Python-Beispiel zeigt, wie ein deutsches Compliance-System eine automatisierte BaFin-Sorgfaltsprüfung für einen US-Geschäftspartner durchführen kann:

import requests
import json

# API-Konfiguration
API_URL = "https://api.opensosdata.com/v1/lookup"
API_KEY = "IHR_API_KEY"  # Registrierung unter https://app.opensosdata.com

# Suchparameter für den US-Geschäftspartner
payload = {
    "name": "Acme Technologies Inc",   # Unternehmensname des US-Partners
    "state": "DE",                     # US-Bundesstaat Delaware (häufiger Gründungsort)
}

# HTTP-Header mit Authentifizierung
headers = {
    "x-api-key": API_KEY,
    "Content-Type": "application/json"
}

# API-Anfrage senden
response = requests.post(API_URL, json=payload, headers=headers)

# Antwort verarbeiten
if response.status_code == 200:
    data = response.json()

    # Für jeden Treffer die compliance-relevanten Daten ausgeben
    for entity in data.get("results", []):
        print(f"Unternehmensname:  {entity.get('name')}")
        print(f"Rechtsform:        {entity.get('type')}")
        print(f"Registernummer:    {entity.get('entity_id')}")
        print(f"Status:            {entity.get('status')}")
        print(f"Gründungsdatum:    {entity.get('formation_date')}")
        print(f"Registered Agent:  {entity.get('registered_agent')}")
        print(f"Agent-Adresse:     {entity.get('registered_agent_address')}")
        print("-" * 50)

        # Statusprüfung für Compliance-Dokumentation
        if entity.get("status") == "Active":
            print("✓ ERGEBNIS: Unternehmen ist aktiv – Sorgfaltspflicht erfüllt")
        else:
            print("⚠ WARNUNG: Unternehmen nicht aktiv – erhöhte Prüfung erforderlich")
else:
    print(f"Fehler bei der API-Anfrage: {response.status_code}")
    print(response.text)

Alternativ lässt sich die API auch direkt per cURL aufrufen, beispielsweise für Tests oder Shell-Skripte:

# cURL-Beispiel für die Kommandozeile
curl -X POST https://api.opensosdata.com/v1/lookup \
  -H "x-api-key: IHR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"name": "Acme Technologies Inc", "state": "DE"}'

Kosten und Skalierbarkeit

Die OpenSOSData API arbeitet nach einem nutzungsbasierten Preismodell ohne Grundgebühr oder Mindestabnahme:

• Live-Abfragen: $0,10 pro Abfrage (ca. 0,09 €); bei hohem Volumen ab $0,0314 pro Abfrage
• Cached-Abfragen: $0,01 pro Abfrage (ca. 0,009 €); bei hohem Volumen ab $0,00314 pro Abfrage

Für ein mittelständisches Unternehmen, das monatlich 500 US-Partner prüft, entstehen damit Kosten von ca. $5 bis $50 – ein Bruchteil des manuellen Rechercheaufwands. Die vollständige Preisübersicht und technische Dokumentation finden Sie unter opensosdata.com/docs/.

Integration in bestehende Compliance-Workflows

Die API lässt sich nahtlos in gängige Compliance-Systeme integrieren, etwa in:

• KYB-Onboarding-Plattformen (z.B. im Rahmen des Vertragspartner-Onboardings)
• ERP-Systeme (SAP, Microsoft Dynamics) für automatische Lieferantenprüfungen
• GRC-Software für laufende Monitoring-Prozesse
• Interne Compliance-Dashboards mit automatisierten Alerting-Funktionen

Starten Sie noch heute mit einem kostenlosen Account unter app.opensosdata.com und testen Sie die API mit Ihren realen Use Cases.

Häufig gestellte Fragen (FAQ)