Welche Sanktionslisten sind für Ihr Unternehmen wirklich relevant

Für ein in der EU ansässiges Unternehmen sind in erster Linie die EU‑Sanktionslisten relevant – sie sind unmittelbar verbindlich und setzen Vermögenssperren und das Bereitstellungsverbot durch. Ergänzend prüfen Sie UN‑Beschlüsse (die in EU‑Recht umgesetzt werden) sowie nationale Listen (z. B. UK, CH) und Drittstaatenlisten (z. B. OFAC), sofern Ihr Geschäftsmodell eine Verbindung zu diesen Rechtsräumen hat.

Zwingend relevante Sanktionslisten für EU‑Unternehmen

Die unmittelbare Pflicht ergibt sich aus EU‑Recht: EU‑Verordnungen setzen Vermögenssperren und das Bereitstellungsverbot verbindlich fest; sie gelten unmittelbar für jede natürliche und juristische Person im Gebiet der Mitgliedstaaten^[1][2]. Praktisch heißt das: die konsolidierte EU‑Sanktionsliste ist der zwingende Mindestumfang Ihrer Screening‑Pflicht^[3].

Was die UN‑Liste betrifft: Staaten sind verpflichtet, Sicherheitsratsbeschlüsse umzusetzen. In der EU geschieht das durch eigene Verordnungen – deshalb enthalten EU‑Listen regelmäßig die UN‑Listungen und darüber hinausgehende Ziele^[3]. Für die operative Prüfung genügt es nicht, ausschließlich die UN‑Liste zu checken; die EU‑Liste ist umfassender und verbindlich.

Relevanz von Drittstaatenlisten wie OFAC für EU‑Unternehmen

Drittstaatliche Listen wie die SDN/OFAC‑Liste der USA sind rechtlich nicht automatisch für EU‑Unternehmen bindend. Relevanz entsteht jedoch durch konkrete Verbindungen:

• Geschäfte mit US‑Gegenparteien,
• Nutzung des US‑Finanzsystems oder Abwicklung in US‑Dollar,
• Tochtergesellschaften oder Niederlassungen in den USA,
• Geschäftsbeziehungen zu US‑Personen oder US‑geführten Projekten.

In solchen Fällen drohen wirtschaftliche Konsequenzen, etwa Zugangssperren zum US‑Finanzmarkt, und die Prüfung der SDN‑Liste wird betriebswirtschaftlich notwendig^[4]. Auch UK‑ und Schweizer Listen sollten geprüft werden, wenn Sie dort Geschäftsbeziehungen oder Lieferketten haben^[6].

Operative Schritte zur Risikoreduzierung bei Listenprüfung

Ein funktionaler Prüfprozess umfasst diese Kernschritte – als kurze Checkliste für Entscheider:

• Risikoanalyse: Bestimmen Sie, welche Listen über die EU‑Liste hinaus relevant sind (Länder, Zahlungswege, Branchen).
• Aufnahmeprüfung: Screening vor Vertragsabschluss; 50‑Prozent‑Regel (verbundene Firmen) beachten.
• Re‑Screening‑Frequenz: Risikobasiert festlegen – z. B. bei Hochrisiko monatlich, sonst quartalsweise bis halbjährlich.
• Treffer‑Triage: Match‑Scoring, manuelle Verifikation, Eskalation an Rechtsabteilung.
• Audit‑Trail: Zeitstempel, Prüfergebnis, Entscheidungsbegründung und Archivierung.

Eine automatisierte Lösung wie Am I Compliant spart Zeit und erzeugt einen nachvollziehbaren Audit‑Trail. In der Praxis beziehen Unternehmen mit US‑Bezug zusätzlich zu EU‑ und UN‑Listen regelmäßig auch OFAC‑Daten in ihre Prozesse ein – ob das für Sie gilt, entscheidet Ihre konkrete Geschäftsverflechtung und nicht eine Faustregel^[4].

Treffer und False Positives im Screening richtig handhaben

Ein Treffer ist zunächst ein Indiz, keine automatische Sanktion. Standardisierte Schritte helfen:

1. Match‑Scoring prüfen – Namensvarianten, Übersetzungen, Transliteration bewerten.
2. Zusätzliche Identifikatoren abgleichen – Geburtsdatum, Registrierungsnummer, Adresse, IMO‑Nummer bei Schiffen.
3. Manueller Legal‑Check – Rechtsabteilung oder externer Counsel entscheidet über Sperrung, Lizenzpflicht oder Meldepflicht.
4. Dokumentation – Jede Entscheidung und die zugrundeliegenden Belege müssen revisionssicher abgelegt werden.

Diese Triage reduziert Betriebsstörungen durch False Positives und schützt vor Under‑ or Over‑Compliance.

Datenschutz- und Governance-Anforderungen bei Screening

Sanktionsprüfung umfasst personenbezogene Daten. Übliche Rechtsgrundlagen in der EU sind die Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) oder, nach dokumentierter Abwägung, berechtigtes Interesse mit angemessenen Schutzmaßnahmen. Führen Sie gegebenenfalls eine Datenschutz‑Folgenabschätzung (DPIA) durch, dokumentieren Sie Zweckbindung und Datensparsamkeit und klären Sie Hosting‑Standort, Verschlüsselung und Löschfristen mit dem Anbieter^[7].

Bei SaaS‑Lösungen prüfen Sie zusätzlich: EU‑Hosting oder angemessene Garantien, ISO‑27001/ISMS, Audit‑Logs und SLA zur Aktualisierung der Listen.

Wichtige Quellen und zuständige Behörden für Sanktionen

Nutzen Sie primär die konsolidierten EU‑Verordnungen als Rechtsquelle und die offiziellen EU‑Listen als Tagesreferenz^[1][3]. Bei Unsicherheit zu Verfahren oder Ausnahmeanträgen wenden Sie sich an die zuständigen nationalen Stellen; in Deutschland sind hierfür in der Praxis verschiedene Behörden relevant – Informations‑ und Umsetzungsfragen beantwortet zudem die zuständige nationale Ausfuhr‑/Sanktionsstelle^[7]. Drittstaaten‑Risiken prüfen Sie anhand von OFAC‑Informationen und den nationalen Portalen des jeweiligen Staates^[4][6].

FAQ?

Welche Liste reicht aus, wenn ich nur in der EU tätig bin?

Die konsolidierte EU‑Sanktionsliste ist der verbindliche Mindestumfang für EU‑Unternehmen; zusätzliche Prüfungen richten sich nach Ihren Geschäftsverflechtungen^[3].

Muss ich US‑Listen prüfen, wenn ich keine US‑Niederlassung habe?

Prüfen Sie OFAC, wenn Sie USD‑Zahlungen, US‑Personen oder Geschäftsbeziehungen in den USA haben; ansonsten ist die Prüfung eine betriebswirtschaftliche Risikofrage^[4].

Welche Nachweise erwarten Behörden im Audit?

Revisionssichere Prüfprotokolle, Zeitstempel, Entscheidungsträger, verwendete Listen und die gewählte Frequenz; ein auditfähiger Export des Prüfberichts ist sinnvoll^[7].

Ersetzt eine Software die Rechtsprüfung?

Nein. Software liefert Treffer und Dokumentation; die rechtliche Bewertung und Entscheidung bleiben Aufgabe des Unternehmens.