DSGVO und US-Datenschutz bei der Unternehmensverifizierung: Ein Leitfaden für deutsche Unternehmen

Die Verifizierung von US-Geschäftspartnern stellt deutsche Unternehmen vor eine komplexe Herausforderung: Einerseits verlangen deutsche und EU-Regulierungen wie das Geldwäschegesetz (GwG) und die 6. EU-Geldwäscherichtlinie (AMLD6) eine sorgfältige Know Your Business (KYB)-Prüfung, andererseits müssen dabei die strengen Datenschutzbestimmungen der DSGVO eingehalten werden. Diese Gratwanderung wird besonders relevant, wenn US-Unternehmensdaten verarbeitet werden müssen.

Für deutsche Finanzdienstleister, Compliance-Verantwortliche und Unternehmen, die Geschäftsbeziehungen mit US-amerikanischen Partnern eingehen, ist das Verständnis der rechtlichen Rahmenbedingungen essentiell. Die BaFin hat in ihren Merkblättern deutlich gemacht, dass auch bei der Prüfung ausländischer Geschäftspartner die deutschen Datenschutzstandards nicht vernachlässigt werden dürfen.

Rechtliche Grundlagen: DSGVO trifft auf US-Unternehmensdaten

Die Datenschutz-Grundverordnung (DSGVO) gilt grundsätzlich für alle personenbezogenen Daten, die von deutschen Unternehmen verarbeitet werden – unabhängig davon, ob diese Daten aus den USA oder einem anderen Drittland stammen. Bei der Verifizierung von US-Unternehmen werden jedoch häufig auch personenbezogene Daten verarbeitet, etwa wenn Geschäftsführer, Registered Agents oder andere natürliche Personen in den Secretary of State-Registern aufgeführt sind.

Anwendbarkeit der DSGVO auf US-Geschäftsdaten

Nach Art. 3 DSGVO unterliegt die Verarbeitung von Daten der DSGVO, wenn sie durch eine Niederlassung in der EU erfolgt oder wenn sie sich auf betroffene Personen in der EU bezieht. Dies bedeutet konkret:

• Territorial: Deutsche Unternehmen müssen DSGVO-Anforderungen einhalten, auch wenn sie US-Daten verarbeiten
• Personenbezug: Namen von Geschäftsführern, Registered Agents oder Eigentümern sind personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO
• Verarbeitungszweck: KYB-Prüfungen stellen eine Datenverarbeitung dar, die einer Rechtsgrundlage bedarf

Rechtsgrundlagen für die KYB-Verifizierung

Die Verarbeitung von US-Unternehmensdaten im Rahmen von KYB-Prüfungen kann sich auf verschiedene Rechtsgrundlagen nach Art. 6 DSGVO stützen:

• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung nach GwG und AMLD6
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen bei der Risikobeurteilung von Geschäftspartnern
• Art. 6 Abs. 1 lit. b DSGVO: Vertragsanbahnung oder -erfüllung mit dem US-Unternehmen

EU AMLD6 und deutsche GwG-Anforderungen

Die 6. EU-Geldwäscherichtlinie (AMLD6) und das deutsche Geldwäschegesetz (GwG) verpflichten deutsche Verpflichtete zur Durchführung von Sorgfaltspflichten gegenüber ihren Geschäftspartnern. Diese Pflichten gelten ausdrücklich auch für ausländische Geschäftspartner.

Sorgfaltspflichten nach § 10 GwG

Nach § 10 GwG müssen Verpflichtete angemessene Maßnahmen ergreifen, um die Identität des Vertragspartners zu überprüfen. Bei Unternehmen umfasst dies:

• Firmenname und Rechtsform
• Registernummer und Registergericht
• Anschrift des Sitzes
• Namen der Geschäftsführer oder vertretungsberechtigten Personen
• Wirtschaftlich Berechtigte nach § 3 GwG

BaFin-Guidance zu US-Geschäftspartnern

Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat in ihren Merkblättern und Rundschreiben klargestellt, dass auch bei ausländischen Geschäftspartnern die deutschen Standards für Sorgfaltspflichten gelten. Besonders relevant sind:

• MaRisk AT 4.3.2: Anforderungen an das Risikomanagement
• BWA: Besondere Anforderungen für Banken
• VAG: Versicherungsaufsichtsrechtliche Bestimmungen

Datenschutzkonforme Nutzung von US Secretary of State APIs

Secretary of State-Register in den USA enthalten öffentlich zugängliche Unternehmensinformationen. Die Nutzung dieser Daten über APIs wie OpenSOSData erfordert jedoch eine datenschutzrechtliche Bewertung.

Öffentliche Daten und DSGVO-Compliance

Auch öffentlich zugängliche Daten unterliegen der DSGVO, wenn sie personenbezogene Informationen enthalten. Bei US-Unternehmensdaten sind dies typischerweise:

• Namen von Registered Agents (natürliche Personen)
• Namen von Officers und Directors
• Adressen, die Rückschlüsse auf natürliche Personen zulassen

Privacy by Design bei API-Nutzung

Deutsche Unternehmen sollten bei der Nutzung von US-Daten-APIs folgende Grundsätze beachten:

• Datenminimierung: Nur erforderliche Datenfelder abfragen
• Zweckbindung: Daten nur für KYB-Zwecke verwenden
• Speicherbegrenzung: Aufbewahrungsfristen nach GwG beachten (5 Jahre nach § 8 Abs. 1 GwG)
• Technische Sicherheit: Verschlüsselte Übertragung und sichere Speicherung

Praktische Implementierung mit OpenSOSData API

Die OpenSOSData API bietet eine DSGVO-konforme Lösung für die Abfrage von US-Unternehmensdaten aus über alle 50 US-Bundesstaaten plus DC, Puerto Rico und USVI. Mit einem Preis von $0.10 Standard / $0.0314 Pi pro Abfrage (ca. €0.029) und ohne Abonnementpflicht ist sie besonders für deutsche Unternehmen geeignet, die gelegentlich US-Unternehmen verifizieren müssen.

Beispiel-Implementation in Python

import requests
import json
from datetime import datetime

def verify_us_company_gdpr_compliant(company_name, state):
    """
    DSGVO-konforme Abfrage von US-Unternehmensdaten
    Minimiert Datenverarbeitung auf KYB-relevante Felder
    """
    
    # API-Konfiguration
    api_url = "https://api.opensosdata.com/v1/lookup"
    headers = {
        "Authorization": "Bearer YOUR_API_KEY",
        "Content-Type": "application/json"
    }
    
    # Minimale Datenanfrage für KYB-Zwecke
    payload = {
        "name": company_name,
        "state": state,
        "fields": [  # Nur erforderliche Felder für GwG-Compliance
            "entity_name",
            "entity_type", 
            "entity_status",
            "entity_id",
            "formation_date",
            "registered_agent_name",
            "registered_agent_address"
        ]
    }
    
    try:
        # API-Abfrage mit Logging für Compliance
        response = requests.post(api_url, headers=headers, json=payload)
        
        if response.status_code == 200:
            company_data = response.json()
            
            # Dokumentation der Datenverarbeitung (DSGVO Art. 30)
            log_entry = {
                "timestamp": datetime.now().isoformat(),
                "purpose": "KYB verification according to GwG §10",
                "data_subject_category": "Business entity officers",
                "retention_period": "5 years as per GwG §8",
                "legal_basis": "GDPR Art. 6(1)(c) - Legal obligation"
            }
            
            return {
                "success": True,
                "data": company_data,
                "compliance_log": log_entry
            }
        else:
            return {"success": False, "error": response.text}
            
    except Exception as e:
        return {"success": False, "error": str(e)}

# Verwendungsbeispiel
result = verify_us_company_gdpr_compliant("MICROSOFT CORPORATION", "WA")

if result["success"]:
    company_info = result["data"]
    print(f"Firmenname: {company_info.get('entity_name')}")
    print(f"Status: {company_info.get('entity_status')}")
    print(f"Gründungsdatum: {company_info.get('formation_date')}")
    
    # DSGVO-konforme Aufbewahrung der Compliance-Dokumentation
    compliance_record = result["compliance_log"]
    # Hier würde die Dokumentation im Compliance-System gespeichert
else:
    print(f"Fehler bei der Abfrage: {result['error']}")

cURL-Beispiel für Systemintegration

# DSGVO-konforme Abfrage mit minimalen Datenfeldern
curl -X POST https://api.opensosdata.com/v1/lookup \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "APPLE INC",
    "state": "CA",
    "fields": [
      "entity_name",
      "entity_type",
      "entity_status",
      "entity_id",
      "formation_date"
    ]
  }'

# Antwort für Compliance-Dokumentation loggen
# Aufbewahrungszeit: 5 Jahre gemäß GwG §8
# Rechtsgrundlage: DSGVO Art. 6 Abs. 1 lit. c

Vergleich: Handelsregister vs. US Secretary of State

Deutsche Unternehmen sind mit dem Handelsregister vertraut, aber US Secretary of State-Register funktionieren anders:

EU-Sanktionen und OFAC-Koordination

Bei der Verifizierung von US-Unternehmen müssen deutsche Unternehmen sowohl EU-Sanktionsverordnungen als auch OFAC-Listen (Office of Foreign Assets Control) berücksichtigen.

Doppelte Compliance-Anforderungen

• EU-Sanktionsregime: Verordnung (EU) 833/2014 und nachfolgende
• OFAC-Listen: SDN List, Sectoral Sanctions
• Deutsche AWG: Außenwirtschaftsgesetz als nationales Ausführungsgesetz
• BaFin-Guidance: Merkblätter zu Sanktionsprüfungen

Automatisierte Sanktionsprüfung

Deutsche Unternehmen sollten automatisierte Systeme implementieren, die sowohl EU- als auch US-Sanktionslisten abgleichen. Die Kombination von OpenSOSData zur Unternehmensverifizierung mit spezialisierten Sanktions-APIs bietet hier einen umfassenden Ansatz.

Technische Sicherheitsmaßnahmen

Die technische Umsetzung DSGVO-konformer US-Datenabfragen erfordert spezielle Sicherheitsmaßnahmen:

Verschlüsselung und Datenübertragung

• TLS 1.3: Verschlüsselte API-Kommunikation
• End-to-End: Schutz der Daten während der gesamten Verarbeitungskette
• Zertifikatsvalidierung: Sicherstellung der API-Authentizität

Logging und Auditierbarkeit

Nach Art. 30 DSGVO müssen deutsche Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten führen. Bei US-Datenabfragen sollte dokumentiert werden:

• Zeitpunkt der Abfrage
• Abgefragte Datenfelder
• Verwendungszweck (KYB nach GwG)
• Rechtsgrundlage nach DSGVO
• Aufbewahrungszeit (5 Jahre nach GwG)

Kosten-Nutzen-Analyse für deutsche Unternehmen

Die Nutzung spezialisierter APIs wie OpenSOSData bietet deutschen Unternehmen mehrere Vorteile gegenüber manueller Recherche:

Kostenvergleich

• Manuelle Recherche: 30-60 Minuten Arbeitszeit pro Unternehmen
• API-Abfrage: $0.0314 (ca. €0.029) plus wenige Sekunden Bearbeitungszeit
• Compliance-Risiko: Reduziert durch standardisierte, dokumentierte Prozesse
• Datenqualität: Höher durch direkte Anbindung an offizielle Register

ROI-Berechnung

Bei einem durchschnittlichen Stundensatz von €75 für Compliance-Personal und einer Zeitersparnis von 45 Minuten pro Abfrage ergibt sich:

• Zeitersparnis: €56.25 pro Abfrage
• API-Kosten: €0.029 pro Abfrage
• Netto-Ersparnis: €56.22 pro Abfrage

Zukunftsaussichten und regulatorische Entwicklungen

Die regulatorische Landschaft entwickelt sich kontinuierlich weiter. Deutsche Unternehmen sollten folgende Entwicklungen im Blick behalten:

EU Digital Services Act (DSA)

Der DSA könnte künftig auch Auswirkungen auf die Nutzung von Drittland-APIs haben, insbesondere in Bezug auf Transparenz und Rechenschaftspflicht.

Transatlantisches Datenabkommen

Ein neues Privacy Shield-Abkommen könnte die rechtliche Grundlage für EU-US-Datentransfers stärken und die Compliance vereinfachen.

BaFin-Guidance Updates

Die BaFin aktualisiert regelmäßig ihre Merkblätter zu Geldwäscheprävention und Datenschutz. Deutsche Unternehmen sollten diese Entwicklungen verfolgen.

Best Practices für deutsche Unternehmen

Basierend auf den rechtlichen Anforderungen und praktischen Erfahrungen haben sich folgende Best Practices bewährt:

Organisatorische Maßnahmen

1. Datenschutz-Folgenabschätzung: Durchführung einer DSFA nach Art. 35 DSGVO vor Implementierung
2. Verarbeitungsverzeichnis: Dokumentation aller US-Datenabfragen nach Art. 30 DSGVO
3. Mitarbeiterschulung: Regelmäßige Schulungen zu DSGVO und GwG-Anforderungen
4. Incident Response: Verfahren für den Umgang mit Datenschutzverletzungen

Technische Maßnahmen

1. API-Integration: Verwendung der OpenSOSData OpenAPI-Spezifikation für standardisierte Integration
2. Datenminimierung: Abfrage nur erforderlicher Datenfelder
3. Automatisierung: Automatisierte Compliance-Checks und -Dokumentation
4. Monitoring: Überwachung der API-Nutzung und Datenqualität

Fazit: Erfolgreiche DSGVO-Compliance bei US-Unternehmensverifizierung

Die Verifizierung von US-Unternehmen unter Einhaltung der DSGVO ist eine komplexe, aber durchaus lösbare Aufgabe. Deutsche Unternehmen können durch die Kombination aus rechtlich fundierten Prozessen, technischen Sicherheitsmaßnahmen und spezialisierten APIs wie OpenSOSData sowohl ihre Compliance-Anforderungen erfüllen als auch effizient arbeiten.

Der Schlüssel liegt in der sorgfältigen Balance zwischen den Sorgfaltspflichten nach GwG und AMLD6 einerseits und den Datenschutzanforderungen der DSGVO andererseits. Mit der richtigen technischen Implementierung, dokumentierten Prozessen und regelmäßiger Überprüfung der regulatorischen Entwicklungen können deutsche Unternehmen sicher und effektiv mit US-Geschäftspartnern arbeiten.

Die Investition in professionelle API-Lösungen amortisiert sich dabei nicht nur durch Zeitersparnis, sondern auch durch reduzierte Compliance-Risiken und höhere Datenqualität. Eine Registrierung bei OpenSOSData ermöglicht es deutschen Unternehmen, bereits mit einem Mindestbetrag von $3.14 für 100 Abfragen zu starten und so schrittweise Erfahrungen mit automatisierter US-Unternehmensverifizierung zu sammeln.