DSGVO und US-Datenschutz bei der Unternehmensverifizierung: Was EU-Unternehmen wissen müssen

Wer als deutsches oder europäisches Unternehmen Geschäftsbeziehungen mit US-amerikanischen Partnern eingeht, steht vor einer doppelten Herausforderung: Einerseits schreiben EU-Recht und deutsches Geldwäschegesetz (GwG) eine gründliche Geschäftspartnerprüfung vor. Andererseits wirft jede Abfrage von Unternehmensdaten aus dem Ausland datenschutzrechtliche Fragen auf. Dieser Leitfaden erklärt, wie beide Anforderungen in Einklang gebracht werden können – und wie die OpenSOSData API dabei eine datenschutzkonforme, kosteneffiziente Lösung bietet.

Warum DSGVO US-Unternehmensdaten für EU-Compliance-Teams relevant sind

Die sechste EU-Geldwäscherichtlinie (AMLD6) sowie das deutsche GwG verpflichten Unternehmen dazu, ihre Geschäftspartner systematisch zu identifizieren und zu verifizieren. Das gilt ausdrücklich auch für ausländische Vertragsparteien, einschließlich US-amerikanischer LLC, Corporations und Partnerships. Wer diese Prüfung unterlässt, riskiert nicht nur Bußgelder der BaFin, sondern auch strafrechtliche Konsequenzen nach § 261 StGB.

Gleichzeitig unterliegt jede Verarbeitung personenbezogener Daten – auch Daten über juristische Personen, soweit sie Rückschlüsse auf natürliche Personen zulassen – den Vorschriften der DSGVO. Die Frage lautet also: Dürfen EU-Unternehmen US-Handelsregisterdaten abrufen, speichern und verarbeiten, ohne gegen die DSGVO zu verstoßen?

Was sind Secretary-of-State-Daten – und sind sie personenbezogen?

In den USA führt jeder Bundesstaat ein eigenes Unternehmensregister beim sogenannten Secretary of State (SoS). Dieses Register enthält unter anderem:

• Unternehmensname und Rechtsform (LLC, Corporation, LP usw.)
• Registrierungsstatus (Active, Inactive, Dissolved)
• Gründungsdatum und Entity-ID
• Name und Adresse des Registered Agent

Diese Daten sind in den USA grundsätzlich öffentlich zugänglich – vergleichbar mit dem deutschen Handelsregister. Der entscheidende Unterschied: Beim Registered Agent handelt es sich oft um eine natürliche Person oder ein kleineres Serviceunternehmen. Sobald deren Name und Adresse verarbeitet werden, können DSGVO-Pflichten greifen.

Handelsregister vs. Secretary of State: Ein kurzer Vergleich

Rechtliche Grundlagen: AMLD6, GwG und DSGVO im Zusammenspiel

AMLD6 und deutsches GwG

Die AMLD6 (Richtlinie EU 2018/1673) erweitert den Katalog der Vortaten zur Geldwäsche erheblich und verschärft die Sorgfaltspflichten für Verpflichtete nach GwG. § 10 GwG schreibt vor, dass die Identität des Vertragspartners und – bei juristischen Personen – der wirtschaftlich Berechtigten festzustellen und zu verifizieren ist. Bei US-amerikanischen Gesellschaften bedeutet das: Die Existenz der Gesellschaft muss anhand verlässlicher Dokumente oder Datenquellen nachgewiesen werden.

US-Secretary-of-State-Daten gelten als geeignete primäre Quelle für diesen Nachweis, da sie von einer staatlichen Behörde geführt werden. Die BaFin empfiehlt in ihren Auslegungshinweisen ausdrücklich, offizielle Register als Referenzquelle zu nutzen.

DSGVO-Konformität beim Abruf von US-Daten

Für die DSGVO-Konformität sind drei Fragen entscheidend:

1. Rechtsgrundlage (Art. 6 DSGVO): Der Abruf von Unternehmensdaten zur Erfüllung gesetzlicher Pflichten (GwG, AMLD6) ist nach Art. 6 Abs. 1 lit. c DSGVO gerechtfertigt. Ergänzend greift Art. 6 Abs. 1 lit. f (berechtigte Interessen).
2. Drittlandübermittlung (Art. 44 ff. DSGVO): Wenn ein API-Anbieter wie OpenSOSData die Daten auf US-Servern verarbeitet, handelt es sich um eine Drittlandübermittlung. Geeignete Garantien (z. B. EU-Standardvertragsklauseln nach Art. 46 DSGVO) müssen vorliegen.
3. Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO): Es dürfen nur die Daten abgerufen werden, die für den Compliance-Zweck tatsächlich erforderlich sind.

Wichtig: Handelsregisterdaten juristischer Personen sind grundsätzlich keine personenbezogenen Daten im Sinne der DSGVO. Sobald jedoch natürliche Personen – wie Geschäftsführer oder Registered Agents – identifizierbar sind, greift der DSGVO-Schutz. Daher empfiehlt sich eine sorgfältige Datenschutz-Folgenabschätzung (DSFA) vor der Implementierung.

OpenSOSData API: DSGVO-konformer Zugang zu US-Unternehmensdaten

Die OpenSOSData API bietet Zugang zu über 34 Millionen US-Unternehmensdatensätzen aus allen 50 Bundesstaaten sowie Washington D.C., Puerto Rico und den US Virgin Islands. Für EU-Compliance-Teams besonders relevant: Der Zugriff erfolgt strukturiert über eine REST-API, was eine automatisierte, dokumentierbare und damit DSGVO-konforme Verarbeitung ermöglicht.

Technische Eckdaten

• Endpoint: POST https://api.opensosdata.com/v1/lookup
• Parameter cache_preference: live_only, cache_first, cache_only
• Live-Abfrage: ab $0,10 (ca. 0,09 €) pro Abfrage, bei Volumen ab $0,0314
• Cached-Abfrage: ab $0,01 (ca. 0,009 €), bei Volumen ab $0,00314
• Dokumentation: opensosdata.com/docs/

Praxisbeispiel: Python-Abfrage mit DSGVO-Kommentar

import requests
import json

# API-Konfiguration – Zugangsdaten sicher in Umgebungsvariablen speichern (DSGVO-Grundsatz Datensicherheit)
API_KEY = "DEIN_API_SCHLUESSEL"
ENDPOINT = "https://api.opensosdata.com/v1/lookup"

# Abfrageparameter: Unternehmensname und Bundesstaat
# cache_preference="live_only" stellt sicher, dass aktuelle Registerdaten abgerufen werden
payload = {
    "company_name": "Acme Logistics LLC",
    "state": "DE",  # Delaware – häufiger Gründungsstaat für US-Unternehmen
    "cache_preference": "live_only"
}

headers = {
    "x-api-key": API_KEY,
    "Content-Type": "application/json"
}

# API-Anfrage senden
response = requests.post(ENDPOINT, headers=headers, json=payload)

# Antwort verarbeiten – nur benötigte Felder speichern (Datensparsamkeit nach Art. 5 DSGVO)
if response.status_code == 200:
    data = response.json()
    relevante_felder = {
        "entity_name": data.get("entity_name"),
        "entity_type": data.get("entity_type"),
        "entity_id": data.get("entity_id"),
        "status": data.get("status"),
        "formation_date": data.get("formation_date"),
        "registered_agent": data.get("registered_agent"),
        "registered_agent_address": data.get("registered_agent_address")
    }
    # Ergebnis für Compliance-Dokumentation protokollieren
    print(json.dumps(relevante_felder, indent=2, ensure_ascii=False))
else:
    print(f"Fehler bei der Abfrage: {response.status_code} – {response.text}")

Das obige Beispiel zeigt, wie gezielt nur die compliance-relevanten Felder extrahiert und gespeichert werden – ein wesentlicher Baustein für die DSGVO-konforme Implementierung. Mehr technische Details finden Sie in der offiziellen Dokumentation.

Praktische Empfehlungen für EU-Compliance-Teams

1. Datenschutz-Folgenabschätzung durchführen

Vor dem produktiven Einsatz einer US-Datenabfrage-API sollten Sie gemäß Art. 35 DSGVO prüfen, ob eine DSFA erforderlich ist – insbesondere wenn personenbezogene Daten natürlicher Personen (Registered Agents) systematisch verarbeitet werden.

2. Auftragsverarbeitungsvertrag (AVV) abschließen

Falls OpenSOSData als Auftragsverarbeiter im Sinne des Art. 28 DSGVO tätig wird, ist ein entsprechender Vertrag abzuschließen. Prüfen Sie, ob Standardvertragsklauseln (SCCs) für die Drittlandübermittlung in die USA vorliegen.

3. Zweckbindung dokumentieren

Halten Sie intern fest, dass die Abfragen ausschließlich zur Erfüllung von KYB/KYC-Pflichten nach GwG und AMLD6 erfolgen. Dies stärkt die Rechtsgrundlage nach Art. 6 Abs. 1 lit. c DSGVO und erleichtert eine eventuelle Aufsichtsbehördenprüfung.

4. Datensparsamkeit technisch umsetzen

Speichern Sie nur die Datenfelder, die für den Compliance-Nachweis tatsächlich benötigt werden – wie im obigen Code-Beispiel gezeigt. Löschen Sie Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen (§ 8 GwG: 5 Jahre).

FAQ: DSGVO US-Unternehmensdaten

Fazit: Compliance und Datenschutz sind kein Widerspruch

Die Verifikation US-amerikanischer Geschäftspartner ist für EU-Unternehmen eine gesetzliche Pflicht – und mit den richtigen Tools lässt sie sich DSGVO-konform umsetzen. Entscheidend sind eine saubere Rechtsgrundlage, ein dokumentierter Verwendungszweck, technische Datensparsamkeit und – wo erforderlich – geeignete Garantien für die Drittlandübermittlung.

Die OpenSOSData API bietet hierfür eine kosteneffiziente und skalierbare Infrastruktur. Starten Sie noch heute mit einem kostenlosen Account unter app.opensosdata.com und überprüfen Sie Ihre US-Geschäftspartner rechtskonform – direkt aus den offiziellen Staatsregistern.