BaFin-Sorgfaltspflichten bei US-Geschäftspartnern: Ein Leitfaden für deutsche Unternehmen

Deutsche Unternehmen, die Geschäftsbeziehungen mit US-amerikanischen Firmen unterhalten, stehen vor einer doppelten Herausforderung: Einerseits verlangen BaFin-Regularien und das Geldwäschegesetz (GwG) umfassende Sorgfaltspflichten gegenüber Geschäftspartnern. Andererseits ist die Verifizierung von US-Unternehmen häufig mit bürokratischen Hürden verbunden, da die USA kein zentrales Unternehmensregister kennen – jeder Bundesstaat führt sein eigenes Secretary-of-State-Register. Dieser Leitfaden erklärt, was rechtlich gefordert wird, wo die Fallstricke liegen und wie moderne API-Lösungen wie OpenSOSData die Compliance-Arbeit erheblich vereinfachen.

Regulatorischer Hintergrund: Was BaFin und GwG fordern

Das deutsche Geldwäschegesetz (GwG), das die EU-Geldwäscherichtlinien – zuletzt die 6. EU-Geldwäscherichtlinie (AMLD6) – in nationales Recht umsetzt, verpflichtet sogenannte Verpflichtete (§ 2 GwG) zur Durchführung von Kundensorgfaltspflichten (Customer Due Diligence, CDD). Dazu gehören Banken, Finanzdienstleister, Versicherungen, Rechtsanwälte, Notare, Steuerberater und zunehmend auch Fintech-Unternehmen.

Gemäß § 10 GwG müssen Verpflichtete bei der Begründung einer Geschäftsbeziehung mindestens folgende Informationen erheben und verifizieren:

• Firma und Rechtsform des Vertragspartners
• Registrierungsnummer und zuständiges Register
• Sitz und Anschrift des Unternehmens
• Identität der wirtschaftlich Berechtigten (Beneficial Owners)
• Vertretungsbefugnis der handelnden Personen

Die BaFin konkretisiert diese Anforderungen in ihren Auslegungshinweisen: Gerade bei Drittstaaten-Partnern außerhalb der EU – und die USA gelten regulatorisch als Drittstaat – sind erhöhte Sorgfaltspflichten angebracht, sofern bestimmte Risikofaktoren vorliegen. Die Existenz und der Rechtsstatus eines US-Unternehmens müssen anhand öffentlich zugänglicher oder offizieller Quellen verifiziert werden.

AMLD6 und das Drittstaaten-Risiko bei US-Partnern

Die 6. EU-Geldwäscherichtlinie (AMLD6), die seit Dezember 2020 in Kraft ist, erweitert die Liste der Vortaten zur Geldwäsche erheblich und führt die strafrechtliche Haftung juristischer Personen ein. Für den praktischen Compliance-Alltag bedeutet dies: Die Prüfung, ob ein US-Geschäftspartner tatsächlich eine rechtlich existierende und aktive Gesellschaft ist, ist kein formales Beiwerk – sie ist haftungsrelevant.

Besonders relevant sind folgende Risikofaktoren bei US-Unternehmen:

• Opake Gesellschaftsstrukturen: US-amerikanische LLCs und Corporations in bestimmten Bundesstaaten (z. B. Delaware, Wyoming, Nevada) waren lange für minimale Transparenzanforderungen bekannt. Der Corporate Transparency Act (CTA), dessen Meldepflichten schrittweise in Kraft getreten sind, hat zwar Verbesserungen gebracht, doch bleibt die Überprüfung des aktuellen Registerstatus essenziell.
• Fehlende zentrale Register: Da jeder US-Bundesstaat ein eigenes Secretary-of-State-Register führt, muss die Suche im richtigen Staat erfolgen – eine Herausforderung ohne die richtigen Tools.
• Statusveränderungen: US-Gesellschaften können „Dissolved", „Revoked" oder „Suspended" sein, ohne dass dies auf den ersten Blick erkennbar ist.

DSGVO-Konformität bei der Nutzung von US-Unternehmensdaten

Ein häufig übersehener Aspekt ist die datenschutzrechtliche Dimension. Die DSGVO findet Anwendung, sobald personenbezogene Daten verarbeitet werden. Secretary-of-State-Datensätze enthalten häufig Namen und Adressen von Registered Agents oder Geschäftsführern – diese können als personenbezogene Daten eingestuft werden.

Für deutsche Compliance-Teams bedeutet das: Die API-Abfrage von US-Registerdaten muss im Rahmen eines legitimen Zwecks (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse) erfolgen und dokumentiert werden. Da die Daten aus öffentlichen US-Registern stammen und zu Compliance-Zwecken verarbeitet werden, ist dies in der Regel rechtssicher darstellbar – vorausgesetzt, ein entsprechender Eintrag im Verarbeitungsverzeichnis (Art. 30 DSGVO) wird gepflegt.

Das US-Registersystem: Handelsregister vs. Secretary of State

Um US-Sorgfaltspflichten korrekt umzusetzen, müssen deutsche Compliance-Verantwortliche das US-System verstehen:

OpenSOSData: Effiziente API-Lösung für US-Unternehmensabfragen

OpenSOSData bietet eine einheitliche REST-API für den Zugriff auf über 23 Millionen US-Geschäftsentitäten aus allen 50 Bundesstaaten sowie Washington D.C., Puerto Rico und den U.S. Virgin Islands. Für Compliance-Teams in Deutschland ist das ein erheblicher Vorteil: Statt mühsamer manueller Suchen in 50+ unterschiedlichen Portalen genügt ein einziger API-Aufruf.

Die API liefert für jede Entität:

• Firmenname und Rechtsform (Entity Type)
• Eindeutige Registernummer (Entity ID)
• Aktueller Status (Active, Dissolved etc.)
• Gründungsdatum
• Registered Agent mit vollständiger Adresse

Die Preisstruktur ist transparent und volumenbasiert: Live-Abfragen kosten $0,10 (ca. 0,09 €) pro Anfrage, bei hohem Volumen bis zu $0,0314. Gecachte Abfragen kosten $0,01 pro Anfrage, bei hohem Volumen bis zu $0,00314 – ideal für die Massenverarbeitung von Partnerdaten. Es gibt kein Abonnement, die Abrechnung erfolgt nutzungsbasiert (Pay as you go). Details finden Sie in der offiziellen Dokumentation.

Praktisches Code-Beispiel: US-Unternehmensverifizierung per Python

Das folgende Python-Beispiel zeigt, wie ein Compliance-Team die Verifizierung eines US-Partners automatisieren kann:

import requests
import json

# API-Endpunkt von OpenSOSData
API_URL = "https://api.opensosdata.com/v1/lookup"

# Ihr API-Schlüssel (nach Registrierung unter https://app.opensosdata.com)
API_KEY = "IHR_API_SCHLUESSEL"

# Beispiel: Verifizierung eines US-Geschäftspartners aus Delaware
payload = {
    "state": "DE",          # Bundesstaat: Delaware (Kürzel nach US-Standard)
    "name": "Acme Corp"     # Firmenname des zu prüfenden US-Partners
}

headers = {
    "x-api-key": API_KEY,
    "Content-Type": "application/json"
}

# API-Anfrage senden
response = requests.post(API_URL, headers=headers, json=payload)

# Antwort auswerten
if response.status_code == 200:
    daten = response.json()
    
    # Für jede gefundene Entität die Kerndaten ausgeben
    for entitaet in daten.get("results", []):
        print(f"Firmenname:     {entitaet.get('name')}")
        print(f"Rechtsform:     {entitaet.get('entity_type')}")
        print(f"Register-ID:    {entitaet.get('entity_id')}")
        print(f"Status:         {entitaet.get('status')}")
        print(f"Gründungsdatum: {entitaet.get('formation_date')}")
        print(f"Reg. Agent:     {entitaet.get('registered_agent')}")
        print(f"Adresse:        {entitaet.get('registered_address')}")
        print("-" * 50)
        
        # Compliance-Prüfung: Ist das Unternehmen aktiv?
        if entitaet.get("status", "").lower() != "active":
            print("⚠️  WARNUNG: Unternehmen ist NICHT aktiv – erhöhte Prüfpflicht!")
else:
    print(f"Fehler bei der Anfrage: {response.status_code} – {response.text}")

Dieses Skript kann in bestehende KYB-Workflows integriert werden, etwa als Teil eines Onboarding-Prozesses für neue US-Geschäftspartner. Die vollständige API-Referenz finden Sie unter opensosdata.com/docs/.

Praktische Empfehlungen für deutsche Compliance-Teams

Aus der regulatorischen Praxis lassen sich folgende Empfehlungen ableiten:

1. Risikoeinstufung vor dem Onboarding: Klassifizieren Sie US-Partner nach Risiko (Standard, erhöht). Gesellschaften aus Delaware, Wyoming oder Nevada erfordern häufig eine vertiefte Prüfung.
2. Automatisierung der Erstprüfung: Nutzen Sie die OpenSOSData-API für die automatische Statusprüfung im Onboarding-Prozess. So reduzieren Sie manuelle Aufwände erheblich.
3. Dokumentation nach § 8 GwG: Halten Sie alle Prüfergebnisse – inklusive API-Responses – revisionssicher fest. Timestamps und Quellenangaben sind essenziell.
4. Regelmäßige Wiederholung: Statusveränderungen können jederzeit eintreten. Planen Sie periodische Re-Checks ein, insbesondere bei langfristigen Geschäftsbeziehungen.
5. Beneficial-Owner-Prüfung ergänzen: Die SOS-Abfrage liefert die Unternehmensexistenz – für die Prüfung wirtschaftlich Berechtigter sind zusätzliche Quellen (FinCEN Beneficial Ownership Database, OFAC-Listen) notwendig.

Häufig gestellte Fragen (FAQ)

Fazit

Die Sorgfaltspflichten gegenüber US-Geschäftspartnern sind für deutsche Unternehmen kein optionaler Mehraufwand – sie sind gesetzlich vorgeschrieben und haftungsrelevant. Das fragmentierte US-Registersystem macht die Prüfung ohne technische Unterstützung ineffizient und fehleranfällig. Mit der OpenSOSData-API steht deutschen Compliance-Teams ein leistungsfähiges, kosteneffizientes Werkzeug zur Verfügung, das die Verifizierung von US-Unternehmen in bestehende KYB-Prozesse integrierbar macht. Starten Sie jetzt unter app.opensosdata.com und lesen Sie die technische Dokumentation unter opensosdata.com/docs/.