BaFin-Sorgfaltspflichten bei US-Geschäftspartnern: Ein Leitfaden für Compliance-Verantwortliche

Wer als deutsches oder europäisches Unternehmen Geschäftsbeziehungen mit US-amerikanischen Partnern unterhält, steht vor einer regulatorischen Doppelherausforderung: Einerseits verlangen BaFin, Geldwäschegesetz (GwG) und die europäische Anti-Geldwäscherichtlinie AMLD6 lückenlose Sorgfaltspflichten gegenüber jedem Geschäftspartner. Andererseits sind Informationen über US-Unternehmen in einer dezentralen Datenbanklandschaft verstreut – über 50 Bundesstaaten, den District of Columbia sowie Territorien wie Puerto Rico und die U.S. Virgin Islands. Compliance-Verantwortliche, die BaFin Sorgfaltspflicht US-Partner effizient erfüllen möchten, benötigen einen strukturierten Prozess – und die richtigen technischen Werkzeuge.

Dieser Leitfaden erklärt, welche regulatorischen Anforderungen konkret gelten, wie ein programmatischer Zugriff auf US-Handelsregisterdaten aussieht und wie Sie Ihre KYB-Prozesse DSGVO-konform gestalten.

Regulatorischer Rahmen: GwG, AMLD6 und BaFin-Rundschreiben

Pflichten nach dem Geldwäschegesetz (GwG)

Das deutsche GwG setzt die europäischen Anti-Geldwäsche-Richtlinien in nationales Recht um und verpflichtet Kreditinstitute, Finanzdienstleister, Rechtsanwälte, Steuerberater und zunehmend auch FinTech-Unternehmen zur Identifizierung und Überprüfung von Vertragspartnern. Gemäß § 10 GwG umfassen allgemeine Sorgfaltspflichten mindestens:

• Identifizierung des Vertragspartners (Name, Rechtsform, Sitz, Registernummer)
• Feststellung der wirtschaftlich Berechtigten (Beneficial Ownership)
• Bewertung des Risikoprofils der Geschäftsbeziehung
• Kontinuierliche Überwachung während der Geschäftsbeziehung

Bei US-amerikanischen Geschäftspartnern fehlt deutschen Compliance-Teams häufig der direkte Zugang zu verlässlichen, maschinenlesbaren Quelldaten. Eine manuelle Recherche auf 50+ staatlichen Webseiten ist weder skalierbar noch revisionssicher.

AMLD6 und erhöhte Sorgfaltspflichten

Die sechste EU-Geldwäscherichtlinie (AMLD6) hat den Katalog der Vortaten erweitert und die Haftung juristischer Personen verschärft. Für Drittstaatenbeziehungen – und die USA gelten trotz enger wirtschaftlicher Verflechtung als Drittland – sind erhöhte Sorgfaltspflichten (Enhanced Due Diligence, EDD) dann verpflichtend, wenn zusätzliche Risikofaktoren wie intransparente Eigentümerstrukturen oder Offshore-Konstruktionen vorliegen. Die BaFin hat in ihren Auslegungshinweisen zum GwG klargestellt, dass fehlende oder nicht verifizierbare Unternehmensregistrierungen als Risikofaktor zu werten sind.

BaFin-Erwartungen an die Dokumentation

Die BaFin erwartet, dass Verpflichtete ihre Sorgfaltsprüfungen nachvollziehbar dokumentieren und auf Anfrage nachweisen können. Dazu gehört bei US-Partnern insbesondere der Nachweis, dass Registrierungsstatus, Rechtsform und Registered Agent aus einer autoritativen Quelle – dem jeweiligen Secretary of State (SOS) – bezogen wurden. Screenshot-basierte Recherchen gelten regulatorisch als weniger belastbar als API-basierte, auditierbare Datenpfade.

Das US-Handelsregistersystem: Unterschiede zum deutschen Handelsregister

Diese Fragmentierung macht es für Compliance-Teams praktisch unmöglich, US-Partnerdaten manuell in akzeptabler Geschwindigkeit zu verifizieren. Eine API-Lösung, die alle Jurisdiktionen aggregiert, ist daher keine Komfortlösung – sie ist eine regulatorische Notwendigkeit.

OpenSOSData: Programmatischer Zugriff auf US-Unternehmensdaten

OpenSOSData bietet eine REST-API, die Daten aus allen 50 US-Bundesstaaten, Washington D.C., Puerto Rico und den U.S. Virgin Islands aggregiert – insgesamt über 23 Millionen Entitäten. Die Antwort eines Lookups enthält:

• Unternehmensname und Entitätstyp (LLC, Corporation, LP etc.)
• Registrierungsnummer (Entity ID)
• Aktueller Status (Active, Dissolved, Revoked etc.)
• Gründungsdatum
• Registered Agent mit vollständiger Adresse

Preismodell (Pay-as-you-go)

Live-Lookups kosten $0,10 (ca. €0,09) pro Abfrage im Standardtarif; bei hohem Volumen sinkt der Preis auf bis zu $0,0314. Gecachte Abfragen sind ab $0,01 erhältlich (bis zu $0,00314 bei Volumen) – ideal für Monitoring-Szenarien, bei denen tagesaktuelle Daten ausreichen. Es gibt keine Grundgebühr; abgerechnet wird ausschließlich nach tatsächlich getätigten Abfragen.

Praktisches Codebeispiel: KYB-Abfrage per Python

import requests
import json

# --- Konfiguration ---
API_KEY = "IHR_API_SCHLÜSSEL"  # Schlüssel unter https://app.opensosdata.com generieren
BASE_URL = "https://api.opensosdata.com/v1/lookup"

def kyb_abfrage(unternehmensname: str, staat: str) -> dict:
    """
    Führt eine KYB-Abfrage beim US Secretary of State durch.
    Gibt Registrierungsdaten zurück, die für GwG-Dokumentation verwendet werden können.
    """
    headers = {
        "x-api-key": API_KEY,
        "Content-Type": "application/json"
    }

    # Anfrage-Payload: Unternehmensname + US-Bundesstaat (z. B. "DE" für Delaware)
    payload = {
        "name": unternehmensname,
        "state": staat
    }

    antwort = requests.post(BASE_URL, headers=headers, json=payload, timeout=15)
    antwort.raise_for_status()

    daten = antwort.json()

    # Relevante Felder für die GwG-Dokumentationsakte extrahieren
    ergebnis = {
        "unternehmensname": daten.get("name"),
        "rechtsform": daten.get("entity_type"),
        "registrierungsnummer": daten.get("entity_id"),
        "status": daten.get("status"),          # z. B. "Active" oder "Dissolved"
        "gruendungsdatum": daten.get("formation_date"),
        "registered_agent": daten.get("registered_agent"),
        "agent_adresse": daten.get("registered_agent_address"),
        "abfrage_zeitstempel": daten.get("retrieved_at")  # Für Audit-Trail
    }

    return ergebnis


# Beispielaufruf: Delaware-LLC prüfen
if __name__ == "__main__":
    ergebnis = kyb_abfrage("Acme Technologies LLC", "DE")

    # Ausgabe zur Prüfung (in Produktion: in Compliance-Datenbank schreiben)
    print(json.dumps(ergebnis, ensure_ascii=False, indent=2))

    # Ampellogik: Warnung wenn Status nicht aktiv
    if ergebnis["status"] and ergebnis["status"].lower() != "active":
        print(f"⚠️  WARNUNG: Unternehmen hat Status '{ergebnis['status']}' – erhöhte Prüfung erforderlich!")

Die vollständige API-Dokumentation mit allen Parametern und Antwortfeldern finden Sie unter opensosdata.com/docs/.

DSGVO-Konformität bei der Verarbeitung von US-Unternehmensdaten

Ein häufiger Einwand von Compliance-Verantwortlichen betrifft die DSGVO-Konformität: Darf man US-Daten über eine US-API abfragen? Hier ist eine wichtige Differenzierung notwendig:

Öffentliche Registerdaten über juristische Personen unterliegen in der Regel nicht dem Schutzniveau der DSGVO, da die DSGVO primär natürliche Personen schützt. Die Secretary-of-State-Daten beziehen sich auf Unternehmen als juristische Personen. Lediglich die Daten des Registered Agent – sofern es sich um eine natürliche Person handelt – könnten personenbezogen sein. In der Praxis sind Registered Agents jedoch überwiegend Kanzleien oder spezialisierte Dienstleister.

Für den Datentransfer in die USA gilt seit dem EU-U.S. Data Privacy Framework (DPF, 2023) eine erleichterte Transferbasis, sofern der jeweilige Anbieter zertifiziert ist. Unabhängig davon empfiehlt es sich, in der internen Datenschutzdokumentation festzuhalten, dass die abgerufenen Daten ausschließlich zur Erfüllung gesetzlicher Sorgfaltspflichten nach GwG § 10 verwendet werden – dies stellt einen legitimen Verarbeitungszweck gemäß Art. 6 Abs. 1 lit. c DSGVO dar.

Integration in bestehende Compliance-Workflows

Die OpenSOSData-API lässt sich nahtlos in gängige Compliance-Plattformen integrieren. Typische Anwendungsszenarien für Compliance-Verantwortliche in Deutschland und der EU sind:

• Onboarding-Automatisierung: Automatische SOS-Abfrage beim Anlegen eines neuen US-Geschäftspartners im CRM oder ERP
• Periodisches Monitoring: Gecachte Abfragen (ab $0,01) zur regelmäßigen Statusprüfung bestehender Partner
• Risikoklassifizierung: Automatische Eskalation bei Status "Dissolved", "Revoked" oder fehlenden Treffern
• Audit-Trail-Dokumentation: Speicherung von Zeitstempel und API-Antwort in der Compliance-Akte für BaFin-Prüfungen

Starten Sie noch heute mit einer kostenlosen Registrierung unter app.opensosdata.com und testen Sie erste Abfragen ohne Mindestabnahmemenge.

FAQ: BaFin Sorgfaltspflicht bei US-Geschäftspartnern

Fazit

Die Erfüllung der BaFin Sorgfaltspflicht bei US-Partnern ist kein optionaler Compliance-Baustein – sie ist eine gesetzliche Pflicht mit erheblichen Konsequenzen bei Verstößen. Die dezentrale Struktur des US-Handelsregistersystems macht eine manuelle Recherche unpraktikabel. Mit der OpenSOSData-API steht Compliance-Verantwortlichen ein kostengünstiges, skalierbares und auditkonformes Werkzeug zur Verfügung, das alle 50 Staaten plus Territorien abdeckt, nahtlos in bestehende Prozesse integriert werden kann und einen lückenlosen Audit-Trail für BaFin-Prüfungen sicherstellt.

Registrieren Sie sich kostenlos unter app.opensosdata.com und starten Sie Ihre erste Abfrage in Minuten.