Welche Sanktionslisten sind für Ihr Unternehmen wirklich relevant

Für ein in der EU ansässiges Unternehmen sind in erster Linie die EU‑Sanktionslisten relevant – sie sind unmittelbar verbindlich und setzen Vermögenssperren und das Bereitstellungsverbot durch. Ergänzend prüfen Sie UN‑Beschlüsse (die in EU‑Recht umgesetzt werden) sowie nationale Listen (z. B. UK, CH) und Drittstaatenlisten (z. B. OFAC), sofern Ihr Geschäftsmodell eine Verbindung zu diesen Rechtsräumen hat.

Welche Sanktionslisten sind für mein EU‑Unternehmen zwingend relevant?

Die unmittelbare Pflicht ergibt sich aus EU‑Recht: EU‑Verordnungen setzen Vermögenssperren und das Bereitstellungsverbot verbindlich fest; sie gelten unmittelbar für jede natürliche und juristische Person im Gebiet der Mitgliedstaaten^[1][2]. Praktisch heißt das: die konsolidierte EU‑Sanktionsliste ist der zwingende Mindestumfang Ihrer Screening‑Pflicht^[3].

Was die UN‑Liste betrifft: Staaten sind verpflichtet, Sicherheitsratsbeschlüsse umzusetzen. In der EU geschieht das durch eigene Verordnungen – deshalb enthalten EU‑Listen regelmäßig die UN‑Listungen und darüber hinausgehende Ziele^[3]. Für die operative Prüfung genügt es nicht, ausschließlich die UN‑Liste zu checken; die EU‑Liste ist umfassender und verbindlich.

Wann werden Drittstaatenlisten wie OFAC für mich relevant?

Drittstaatliche Listen wie die SDN/OFAC‑Liste der USA sind rechtlich nicht automatisch für EU‑Unternehmen bindend. Relevanz entsteht jedoch durch konkrete Verbindungen:

• Geschäfte mit US‑Gegenparteien,
• Nutzung des US‑Finanzsystems oder Abwicklung in US‑Dollar,
• Tochtergesellschaften oder Niederlassungen in den USA,
• Geschäftsbeziehungen zu US‑Personen oder US‑geführten Projekten.

In solchen Fällen drohen wirtschaftliche Konsequenzen, etwa Zugangssperren zum US‑Finanzmarkt, und die Prüfung der SDN‑Liste wird betriebswirtschaftlich notwendig^[4]. Auch UK‑ und Schweizer Listen sollten geprüft werden, wenn Sie dort Geschäftsbeziehungen oder Lieferketten haben^[6].

Welche operativen Schritte reduzieren das Risiko bei der Listenprüfung?

Ein funktionaler Prüfprozess umfasst diese Kernschritte – als kurze Checkliste für Entscheider:

• Risikoanalyse: Bestimmen Sie, welche Listen über die EU‑Liste hinaus relevant sind (Länder, Zahlungswege, Branchen).
• Aufnahmeprüfung: Screening vor Vertragsabschluss; 50‑Prozent‑Regel (verbundene Firmen) beachten.
• Re‑Screening‑Frequenz: Risikobasiert festlegen – z. B. bei Hochrisiko monatlich, sonst quartalsweise bis halbjährlich.
• Treffer‑Triage: Match‑Scoring, manuelle Verifikation, Eskalation an Rechtsabteilung.
• Audit‑Trail: Zeitstempel, Prüfergebnis, Entscheidungsbegründung und Archivierung.

Eine automatisierte Lösung wie Am I Compliant spart Zeit und erzeugt einen nachvollziehbaren Audit‑Trail. Als Praxisreferenz liefert eine Am‑I‑Compliant‑Analyse, 2026 (Stichprobe: n=120 DACH‑Mittelständler, Jan–Jun 2026) den Befund, dass viele Unternehmen zusätzlich zu EU/UN rund 60 % der Zeit auch OFAC‑Daten in ihre Prozesse einbeziehen (Methodik: standardisiertes Frageformular; n=120) [Am‑I‑Compliant‑Analyse, 2026].

Wie gehe ich mit Treffern und False Positives um?

Ein Treffer ist zunächst ein Indiz, keine automatische Sanktion. Standardisierte Schritte helfen:

1. Match‑Scoring prüfen – Namensvarianten, Übersetzungen, Transliteration bewerten.
2. Zusätzliche Identifikatoren abgleichen – Geburtsdatum, Registrierungsnummer, Adresse, IMO‑Nummer bei Schiffen.
3. Manueller Legal‑Check – Rechtsabteilung oder externer Counsel entscheidet über Sperrung, Lizenzpflicht oder Meldepflicht.
4. Dokumentation – Jede Entscheidung und die zugrundeliegenden Belege müssen revisionssicher abgelegt werden.

Diese Triage reduziert Betriebsstörungen durch False Positives und schützt vor Under‑ or Over‑Compliance.

Welche Datenschutz- und Governance‑Fragen muss ich bei Screening beachten?

Sanktionsprüfung umfasst personenbezogene Daten. Übliche Rechtsgrundlagen in der EU sind die Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) oder, nach dokumentierter Abwägung, berechtigtes Interesse mit angemessenen Schutzmaßnahmen. Führen Sie gegebenenfalls eine Datenschutz‑Folgenabschätzung (DPIA) durch, dokumentieren Sie Zweckbindung und Datensparsamkeit und klären Sie Hosting‑Standort, Verschlüsselung und Löschfristen mit dem Anbieter^[7].

Bei SaaS‑Lösungen prüfen Sie zusätzlich: EU‑Hosting oder angemessene Garantien, ISO‑27001/ISMS, Audit‑Logs und SLA zur Aktualisierung der Listen.

Welche Quellen und Behörden sollten Sie kennen?

Nutzen Sie primär die konsolidierten EU‑Verordnungen als Rechtsquelle und die offiziellen EU‑Listen als Tagesreferenz^[1][3]. Bei Unsicherheit zu Verfahren oder Ausnahmeanträgen wenden Sie sich an die zuständigen nationalen Stellen; in Deutschland sind hierfür in der Praxis verschiedene Behörden relevant – Informations‑ und Umsetzungsfragen beantwortet zudem die zuständige nationale Ausfuhr‑/Sanktionsstelle^[7]. Drittstaaten‑Risiken prüfen Sie anhand von OFAC‑Informationen und den nationalen Portalen des jeweiligen Staates^[4][6].

FAQ?

Welche Liste reicht aus, wenn ich nur in der EU tätig bin?

Die konsolidierte EU‑Sanktionsliste ist der verbindliche Mindestumfang für EU‑Unternehmen; zusätzliche Prüfungen richten sich nach Ihren Geschäftsverflechtungen^[3].

Muss ich US‑Listen prüfen, wenn ich keine US‑Niederlassung habe?

Prüfen Sie OFAC, wenn Sie USD‑Zahlungen, US‑Personen oder Geschäftsbeziehungen in den USA haben; ansonsten ist die Prüfung eine betriebswirtschaftliche Risikofrage^[4].

Welche Nachweise erwarten Behörden im Audit?

Revisionssichere Prüfprotokolle, Zeitstempel, Entscheidungsträger, verwendete Listen und die gewählte Frequenz; ein auditfähiger Export des Prüfberichts ist sinnvoll^[7].

Ersetzt eine Software die Rechtsprüfung?

Nein. Software liefert Treffer und Dokumentation; die rechtliche Bewertung und Entscheidung bleiben Aufgabe des Unternehmens.