Sanktionslisten: Wie oft Unternehmen prüfen müssen

Unternehmen müssen Sanktionslisten ereignisbezogen prüfen – immer bevor Gelder, Waren oder wirtschaftliche Ressourcen bereitgestellt werden. Ergänzend sind risikobasierte Re‑Screenings für Bestandskunden Pflicht, dokumentiert und nachvollziehbar; eine feste gesetzliche Prüffrist (z. B. wöchentlich) existiert nicht^[2][1].

Ihr Unternehmen muss Prüfungen vor kritischen Geschäftsvorfällen durchführen.

Prüfungen müssen vor jedem kritischen Geschäftsvorfall erfolgen, der eine Bereitstellung von Vermögenswerten oder Dienstleistungen auslöst. Typische Zeitpunkte sind: Anlage eines neuen Geschäftspartners, Abschluss eines Vertrages mit Leistungspflicht, Auslösung einer Zahlung, Freigabe einer Lieferung oder bei Änderung wesentlicher Stammdaten (Name, UBO, Bankverbindung). Diese Prüfungen sollen vor dem jeweiligen Akt abgeschlossen sein – nicht erst retrospektiv.

Wie oft sollte ich laufende Geschäftspartner neu prüfen?

Es gibt keine gesetzliche Pauschalvorgabe. Als praktikabler, risikobasierter Orientierungsrahmen empfehlen wir diese Mindestfrequenzen – als Organisationsstandard, nicht als rechtliche Vorgabe:

• High‑Risk – kontinuierliche Überwachung / tägliche Alerts (politisch exponierte Personen, Geschäftsbeziehungen zu Hochrisiko‑Ländern, große Einzelaufträge).
• Medium‑Risk – monatliche bis vierteljährliche Re‑Screenings (regelmäßige Lieferanten mit Auslandsbeziehung).
• Low‑Risk – jährliche Re‑Screenings (kleinere, inländische Lieferanten ohne Risikoindikatoren).

Dieser Rahmen reduziert falsche Sicherheit durch „einmaliges Screening" und ist anpassbar an Geschäftsmodell, Branche und Aufsehenerwartungen der Aufsichtsbehörden^[1].

Erstellen Sie eine Treffer‑SOP mit klaren Reaktionszeiten und SLAs.

Ein verbindlicher Treffer‑SOP (Standard Operating Procedure) muss diese Schritte enthalten: automatische Transaktionssperre, Benachrichtigung der verantwortlichen Stelle, forensische Identitätsprüfung (z. B. Abgleich Adresse, Geburtsdatum, UBO), Eskalation an Compliance‑Leitung/Rechtsabteilung und Entscheidung über Sperre oder Freigabe. Empfohlene SLAs: Erstcheck innerhalb von 2 Stunden; abschließende Entscheidung oder Weiterleitung an Behörden innerhalb von 48 Stunden. Dokumentieren Sie jede Entscheidung revisionssicher.

Achten Sie auf Datenschutz und regulatorische Anforderungen beim Screening.

Screening verarbeitet personenbezogene Daten; daher brauchen Sie eine klare Rechtsgrundlage (Vertragserfüllung oder berechtigtes Interesse), Datenminimierung, Löschfristen und einen Auftragsverarbeitungsvertrag mit jedem Anbieter. Bei algorithmischen Scorings prüfen Sie zusätzlich die Anforderungen des EU‑AI‑Act für Transparenz und Dokumentation (Europäische Kommission – Sanctions (restrictive measures)). Halten Sie die technischen und organisatorischen Maßnahmen fest, um DSGVO‑Kontrollen zu bestehen.

Prüfen Sie Screening‑Lösungen nach definierten Kriterien und Compliance.

Bewerten Sie Anbieter nach folgenden, kurz beschriebenen Merkmalen: Abdeckung und Herkunft der Quellen (EU‑konsolidierte Listen, UN), Update‑Frequenz und Zeitstempel, Nachvollziehbarkeit der Prüfberichte (auditfeste PDF mit Prüf‑URL), Konfigurierbarkeit der Matching‑Toleranzen, nachgewiesene Falsch‑Positiv‑Raten, API‑Schnittstellen für Integrationen, SLA‑Verfügbarkeit, DSGVO‑Konformität (AVV, Datenstandort) und Exit‑Strategie. Dienste wie Am I Compliant dokumentieren beispielsweise jede Prüfung als PDF mit Prüf‑URL und decken über 200 offizielle Listen ab. Vermeiden Sie Vendor‑Bias; dokumentieren Sie die Entscheidung sachlich.

Dokumentieren Sie Prüfungen revisionssicher mit unveränderlichen Zeitstempeln.

Jeder Check benötigt: Prüfdatum und -uhrzeit, geprüfte Identität(en), verwendete Liste(n), Ergebnis & Entscheidungsgrundlage, Prüfer/Verantwortliche und Prüfbericht mit unveränderlichem Zeitstempel. Auditfeste Reports sind in Prüfungen durch Behörden oder interne Audits das wichtigste Evidenzstück. Speichern Sie Berichte unveränderbar und getrennt von operativen Stammdaten.

Wann muss ich zusätzlich Listen außerhalb der EU prüfen?

Reine EU‑Rechtsfolgen ergeben sich aus EU‑Verordnungen; zusätzliche Listen (z. B. UN, UK, OFAC) sind wirtschaftlich relevant, wenn Sie Geschäftsbeziehungen in diese Rechtsräume oder mit dortigen Geschäftspartnern haben. Eine ergänzende Prüfung ist ein Geschäftsrisiko‑Entscheid; kennzeichnen Sie solche Prüfungen intern als „strategisch" und dokumentieren Sie die Rechtsgrundlage der jeweiligen Maßnahme^[1].

Vermeiden Sie Compliance‑Lücken durch klare Prozesse und Datenqualität.

Häufige Ursachen sind: nur Neukunden prüfen, fehlende Bestands‑Re‑Screenings, manuelle Einzelprüfungen ohne Audittrail, unklare Zuständigkeiten und unvollständige Stammdaten (fehlende UBO‑Angaben). Technische Fallstricke umfassen falsche Transliteration, Namensvarianten und unsaubere Matching‑Regeln. Korrigieren Sie diese Punkte mit eindeutigen Prozessen, Datenqualitäts‑Initiativen und automatisierten Tools.

Beachten Sie, dass fehlende Dokumentation Haftungsrisiken erhöht.

Die Verpflichtung trifft „jedermann" – Unternehmensgröße ist keine Entschuldigung. Fehlende Dokumentation ist oft gravierender als ein einziger Fehlalarm, weil sie Behörden den Eindruck von Organisationsverschulden vermittelt und Haftungsrisiken erhöht^[2].

Häufig gestellte Fragen (FAQ)

Muss jedes Unternehmen in der EU Sanktionslisten prüfen?
Ja. EU‑Verordnungen gelten unmittelbar und binden jede natürliche und juristische Person in der EU; Prüfpflicht besteht unabhängig von Unternehmensgröße^[2].

Reicht das Screening gegen die EU‑Liste allein?
Für die rechtliche Verpflichtung in der EU ist die konsolidierte EU‑Liste zentral; zusätzliche Listen (UN, UK, USA) sind bei internationalen Geschäftsbeziehungen wirtschaftlich ratsam, aber nicht automatisch rechtlich erforderlich^[1][3].

Welche Strafen drohen bei Verstößen in Deutschland?
Verstöße gegen Bereitstellungs‑ und Einfrierverbote können straf‑ und ordnungswidrigkeitsrechtliche Folgen haben; interne Haftungsrisiken für Geschäftsführung bestehen. Die EU-Sanktionen gegen Russland sehen umfassende Durchsetzungsmechanismen vor. Dokumentation und proaktives Risikomanagement mindern das Haftungsrisiko^[2].

Wie belege ich gegenüber BAFA oder Zoll, dass ich geprüft habe?
Legen Sie die auditfesten Prüfberichte vor, inklusive Zeitstempel, verwendeter Listen und Entscheidungsprotokoll; diese Nachweise sind der Standardnachweis bei Kontrollen durch Behörden^[4].