EU-Sanktionen und OFAC: Koordination bei der Unternehmensprüfung

Für Compliance-Verantwortliche in Deutschland und der EU war die Prüfung amerikanischer Geschäftspartner noch nie so komplex – und so wichtig – wie heute. Wer US-Unternehmen als Lieferanten, Investoren oder Kunden aufnimmt, muss gleichzeitig zwei Sanktionsregime beachten: die EU-Verordnungen (inkl. OFAC-gespiegelter Maßnahmen) und die US-amerikanischen OFAC-Listen. Hinzu kommen die Anforderungen der sechsten EU-Geldwäscherichtlinie (AMLD6), des deutschen Geldwäschegesetzes (GwG) sowie DSGVO-konforme Datenverarbeitung. Dieser Leitfaden erklärt, wie Sie EU-Sanktionen und OFAC-Prüfung bei der Unternehmensprüfung koordinieren – und wie eine API für US-Handelsregisterauskünfte Ihren Workflow entscheidend vereinfacht.

Warum EU-Sanktionen und OFAC-Listen koordiniert geprüft werden müssen

Sanktionen der Europäischen Union und des US Office of Foreign Assets Control (OFAC) überschneiden sich in vielen Bereichen – etwa bei Russland, Iran, Nordkorea und Belarus –, sind jedoch nicht identisch. EU-Sanktionen basieren auf EU-Verordnungen (z. B. Verordnung (EU) 269/2014 zu Russland) und werden durch die Bundesbank sowie das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) überwacht. OFAC-Sanktionen sind US-Bundesrecht und können extraterritorial wirken: Auch europäische Unternehmen riskieren US-Strafen, wenn sie indirekt mit sanktionierten US-Personen oder US-dollardenominierten Transaktionen in Berührung kommen.

Für ein deutsches Kreditinstitut oder einen Finanzdienstleister bedeutet das: Vor jedem neuen US-Geschäftspartner müssen Sie prüfen, ob das Unternehmen

• in EU-Sanktionslisten (Consolidated List of the European Union) aufgeführt ist,
• auf OFAC-SDN- oder Consolidated Sanctions Lists steht,
• überhaupt rechtlich existent und in gutem Status im jeweiligen US-Bundesstaat registriert ist.

Letzterer Punkt wird oft unterschätzt: Ein Unternehmen, das im Handelsregister eines US-Bundesstaates als „dissolved" oder „revoked" geführt wird, kann ein Warnsignal für Mantelgesellschaften oder Betrugsstrukturen sein – beides klassische Risikoindikatoren im Sinne von § 5 GwG (risikobasierter Ansatz).

Regulatorischer Rahmen: AMLD6, GwG und DSGVO

AMLD6 und das GwG

Die sechste Geldwäscherichtlinie (AMLD6, Richtlinie 2018/1673/EU) wurde in Deutschland durch das GwG umgesetzt und schreibt eine verstärkte Sorgfaltspflicht (Enhanced Due Diligence, §§ 15 ff. GwG) vor, sobald erhöhte Risiken festgestellt werden. Dazu zählen ausdrücklich Geschäftsbeziehungen zu Unternehmen aus Drittländern – also auch den USA –, bei denen eine unzureichende Transparenz der wirtschaftlich Berechtigten besteht.

Konkret müssen Verpflichtete nach GwG bei US-Geschäftspartnern:

• die Identität des Unternehmens anhand verlässlicher, unabhängiger Quellen verifizieren (§ 11 GwG),
• wirtschaftlich Berechtigte (Beneficial Owners) mit mehr als 25 % Anteil identifizieren,
• den Geschäftszweck und die wirtschaftliche Plausibilität der Beziehung einschätzen,
• laufendes Monitoring durchführen.

Secretary-of-State-Daten (SOS-Daten) – also offizielle Registerdaten der US-Bundesstaaten – gelten dabei als verlässliche, behördliche Quelle im Sinne des GwG, vergleichbar mit dem deutschen Handelsregisterauszug.

DSGVO-Konformität bei US-Geschäftsdaten

Eine häufige Frage: Unterliegen US-Unternehmensdaten der DSGVO? Grundsätzlich sind Registerangaben juristischer Personen (Firmenname, Registernummer, Sitz, Registered Agent) keine personenbezogenen Daten im Sinne von Art. 4 DSGVO, sofern kein direkter Personenbezug besteht. Sobald jedoch natürliche Personen als Registered Agents oder Officers erscheinen, greift der Datenschutz. Achten Sie darauf, diese Daten nur zweckgebunden (KYB-Prüfung) zu speichern und entsprechend zu dokumentieren.

Die Rolle von US Secretary of State Records in der OFAC-Koordination

OFAC und EU-Sanktionslisten identifizieren Unternehmen häufig über ihre offizielle Registrierungsnummer oder den genauen rechtlichen Namen. Ein häufiger Fehler in der Compliance-Praxis: Man prüft nur den Handelsnamen (DBA – „doing business as"), nicht den im Bundesstaat eingetragenen Rechtsnamen. Die Folge sind False Negatives – sanktionierten Einheiten wird irrtümlich grünes Licht gegeben.

Mit Echtzeit-Abfragen an den Secretary of State des jeweiligen US-Bundesstaates erhalten Sie:

• den offiziellen Rechtsnamen (Entity Name),
• die eindeutige Entity ID,
• den aktuellen Status (Active, Dissolved, Revoked…),
• das Gründungsdatum,
• den Registered Agent mit Adresse.

Diese Daten dienen als Grundlage für den Abgleich mit EU- und OFAC-Listen. Nur wer den korrekten Rechtsnamen kennt, kann zuverlässig screenen. OpenSOSData bietet genau diese Daten per REST-API für alle 50 US-Bundesstaaten plus Washington D.C., Puerto Rico und die U.S. Virgin Islands (über 23 Millionen Entitäten).

OpenSOSData API: Praktische Integration in den Compliance-Workflow

Die Integration in bestehende KYB-Systeme ist unkompliziert. Die API ist unter OpenAPI-Spezifikation dokumentiert und erfordert nur einen einfachen POST-Request.

Beispiel: Python-Abfrage mit anschließendem Sanktions-Screening

import requests
import json

# --- Konfiguration ---
API_KEY = "IHR_API_KEY"          # Registrierung unter https://app.opensosdata.com
ENDPOINT = "https://api.opensosdata.com/v1/lookup"

# --- Zu prüfendes US-Unternehmen ---
payload = {
    "state": "DE",               # Delaware – häufigster Gründungsort für US-Gesellschaften
    "name": "Acme Holdings LLC"  # Rechtlicher Unternehmensname (nicht Handelsname)
}

headers = {
    "Authorization": f"Bearer {API_KEY}",
    "Content-Type": "application/json"
}

# --- SOS-Abfrage (Live-Lookup: $0.10 pro Anfrage) ---
response = requests.post(ENDPOINT, headers=headers, json=payload)
response.raise_for_status()
sos_data = response.json()

# --- Ergebnis auslesen ---
entity = sos_data.get("entity", {})
rechtlicher_name = entity.get("name", "Unbekannt")
entity_id        = entity.get("id", "–")
status           = entity.get("status", "–")
gruendungsdatum  = entity.get("formation_date", "–")
reg_agent        = entity.get("registered_agent", {}).get("name", "–")

print(f"Rechtlicher Name : {rechtlicher_name}")
print(f"Entity-ID        : {entity_id}")
print(f"Status           : {status}")
print(f"Gründungsdatum   : {gruendungsdatum}")
print(f"Registered Agent : {reg_agent}")

# --- Sanktions-Screening-Vorbereitung ---
# Den verifizierten Rechtsnamen an Ihre Sanctions-Screening-Lösung übergeben
# (z. B. Dow Jones, Refinitiv World-Check, eigene OFAC/EU-List-Integration)
if status.lower() != "active":
    print("\n⚠  WARNUNG: Unternehmen ist nicht aktiv – erhöhte Sorgfalt erforderlich!")
else:
    print(f"\n✓ Rechtsnamen '{rechtlicher_name}' für EU/OFAC-Screening freigegeben.")

Die Preisstruktur ist transparent und pay-as-you-go: Live-Lookups kosten $ 0,10 pro Abfrage (ca. 0,09 €), bei hohem Volumen ab $ 0,0314. Gecachte Abfragen sind bereits ab $ 0,01 erhältlich – ideal für Batch-Prüfungen großer Portfolios. Eine Registrierung ist unter app.opensosdata.com möglich.

Vergleichstabelle: EU-Sanktionen vs. OFAC – wichtige Unterschiede

Best Practices für die koordinierte EU/OFAC-Prüfung

1. Reihenfolge: Erst verifizieren, dann screenen

Holen Sie zuerst die SOS-Daten ein, um den korrekten Rechtsnamen zu ermitteln. Erst danach übergeben Sie diesen verifizierten Namen an Ihr Sanctions-Screening-Tool. Dieser Schritt eliminiert die häufigste Fehlerquelle – falsch geschriebene oder unvollständige Firmennamen.

2. Status-Check als Risikosignal

Ein US-Unternehmen mit Status „Dissolved" oder „Revoked" ist ein eigenständiger Risikoindikator nach § 5 GwG. Solche Entitäten sollten automatisch in die Enhanced-Due-Diligence-Queue eingereiht werden, unabhängig vom Sanctions-Screening-Ergebnis.

3. Registered Agent als Indikator für Mantelgesellschaften

Wenn der Registered Agent eine bekannte Massenadress-Firma ist (z. B. Delaware-typische Registered-Agent-Dienstleister mit Tausenden Clients), erhöht das die Prüfintensität – besonders relevant für die Beneficial-Owner-Ermittlung nach § 13 GwG.

4. Dokumentation für BaFin und interne Revision

Speichern Sie die API-Antworten (JSON-Rohdaten) zusammen mit dem Zeitstempel der Abfrage als Nachweis der durchgeführten Identifizierung. Dies entspricht der Dokumentationspflicht nach § 8 GwG und erleichtert die Vorlage bei BaFin-Prüfungen.

FAQ: EU-Sanktionen, OFAC und US-Unternehmensprüfung

Fazit

Die koordinierte Prüfung von EU-Sanktionen und OFAC-Listen bei der Unternehmensprüfung ist für deutsche und europäische Compliance-Teams keine Kür, sondern Pflicht. Der Schlüssel zum Erfolg liegt in einem klaren Prozess: zuerst den korrekten Rechtsnamen via US Secretary of State Records verifizieren, dann gegen beide Sanktionslisten screenen, Ergebnisse dokumentieren und regelmäßig wiederholen. OpenSOSData stellt die dafür benötigte Datenbasis per API bereit – zuverlässig, kostengünstig und vollständig für alle 50 US-Bundesstaaten. Starten Sie noch heute mit der API-Dokumentation oder registrieren Sie sich direkt unter app.opensosdata.com.