GwG-Lieferantenprüfung: Welche Anforderungen gelten aktuell

Unternehmen, die dem Geldwäschegesetz (GwG) unterliegen, müssen Lieferanten risikobasiert auf Sanktionen, Politisch Exponierte Personen (PEP) und sonstige Risiken prüfen und die Ergebnisse revisionssicher dokumentieren, um das EU‑Bereitstellungsverbot einzuhalten und Zahlungen oder Lieferungen an sanktionierte Ziele zu verhindern.

Unternehmen, die dem Geldwäschegesetz (GwG) unterliegen, müssen Lieferanten risikobasiert auf Sanktionen, Politisch Exponierte Personen (PEP) und sonstige Risiken prüfen und die Ergebnisse revisionssicher dokumentieren – insbesondere um das EU-Bereitstellungsverbot einzuhalten und Zahlungen oder Lieferungen gegenüber sanktionierten Zielen zu verhindern.

Einkäufer tragen GwG-Sorgfaltspflichten gegenüber Lieferanten

Das GwG (Geldwäschegesetz) verpflichtet Verpflichtete zu risikobasierten Sorgfaltspflichten gegenüber Geschäftspartnern – dazu zählen in relevanten Fällen auch Lieferanten. Parallel sind EU‑Sanktionsverordnungen unmittelbar verbindlich; sie enthalten ein Bereitstellungsverbot für Gelder und wirtschaftliche Ressourcen, das jede juristische und natürliche Person in der EU trifft und das Bestellungen oder Zahlungen an sanktionierte Ziele untersagt^1[2]. Für Einkaufsteams heißt das: Prüfen, bevor Sie freigeben.

Definitionen beim ersten Vorkommen: Politically Exposed Person (PEP) bezeichnet Personen mit wichtigen öffentlichen Ämtern; die 50‑Prozent‑Regel meint, dass ein Unternehmen als sanktioniert gilt, wenn sanktionierte natürliche oder juristische Personen es zu 50 % oder mehr kontrollieren.

Welche konkreten Prüfschritte muss die Lieferantenprüfung enthalten?

Ein pragmatisches Prüfprogramm umfasst mindestens diese Bausteine:

• Abgleich gegen die EU‑ und UN‑Consolidated Lists; je nach Geschäftsbeziehung ergänzend gegen weitere Jurisdiktionen (z. B. OFAC SDN)^1[4].
• PEP‑Screening für relevante natürliche Personen.
• Überprüfung von Eigentums‑ und Kontrollstrukturen (Transparenzregister, Konzernverflechtungen) mit Blick auf die 50‑Prozent‑Regel.
• Branchen‑ und transportspezifische Risiken – bei Schiffen z. B. IMO‑Nummer, Hinweise auf Ship‑to‑Ship‑Transfers und Flaggenwechsel.
• Fuzzy‑Matching und Transliteration beachten; jeder maschinelle Treffer ist ein Risikohinweis, der eine Human‑Review‑Schleife erfordert.

Praktischer Ablaufvorschlag – in Worten: Datenerfassung (Rechnung, Vertrag, UBO‑Angaben) – automatisiertes Screening – Human‑Review bei Treffern – Eskalation an Legal/Compliance – Entscheidung und Dokumentation. Das reduziert False Positives und schafft eine nachvollziehbare Entscheidungsakte.

Prüffrequenz und Dokumentation nach Risikoklasse festlegen

Prüfhäufigkeit richtet sich nach Risiko. Konkrete Orientierung: Onboarding‑Prüfung immer, Follow‑Up jährlich bei niedrigem Risiko, halbjährlich bis quartalsweise bei mittlerem bis hohem Risiko, sowie ad hoc bei Ereignissen (z. B. Hinweis auf Sanktionierung, Fusion, UBO‑Wechsel). Legen Sie Trigger für Ad‑hoc‑Prüfungen schriftlich fest.

Dokumentationspflicht: Speichern Sie jede Prüfung als auditfestes Dokument mit Zeitstempel, Prüfername und Entscheidungsprotokoll. Auditspuren müssen Außenprüfungen standhalten. Digitale RegTech‑Tools bieten automatisierte Protokolle und Nachweis‑PDFs – als Beispiel prüfen Lösungen Namen gegen 200+ Listen und liefern ein auditfestes Prüf‑PDF in Sekunden¹. Bewahren Sie die Prüfunterlagen gemäß interner Aufbewahrungsregel auf; koppeln Sie diese Regel an rechtliche Vorgaben und unternehmensinterne Records‑Retention‑Policies.

Bei Treffern Zahlungs- und Lieferstopp sofort anordnen

Ein Treffer ist zunächst ein Risikohinweis, kein abschließender Rechtsbefund. Standardablauf:

1. Sofortiger Zahlungs‑ und Lieferstopp bis zum Abschluss des internen Clearings.
2. Human‑Review zur Disambiguierung (Transliteration, Geburtsdatum, Kontext).
3. Prüfung der Eigentums‑ und Kontrollkette (50‑Prozent‑Regel).
4. Eskalation an Legal/Compliance mit Entscheidungsdeadline.
5. Bei bestätigter Sanktion: Einfrieren, Unterlassen der Leistung und gegebenenfalls Meldung an zuständige Behörden. Dokumentieren Sie jeden Schritt.

Dieser Ablauf muss in einer klaren internen Eskalationsmatrix verankert sein – nennen Sie Verantwortlichkeiten, Entscheidungsbefugnisse und Fristen.

DSGVO-konforme Datenverarbeitung bei Sanktionsprüfungen sicherstellen

Die Verarbeitung personenbezogener Daten für Sanktions‑ und PEP‑Prüfungen kann auf Art. 6 Abs. 1 lit. c DSGVO (Erfüllung rechtlicher Verpflichtungen) und lit. f (berechtigte Interessen) gestützt werden; die Abwägung und Datensparsamkeit sind zu dokumentieren. Führen Sie eine Data‑Protection‑Impact‑Assessment (DPIA) durch, wenn Screening in großem Umfang oder systematisch erfolgt. Minimieren Sie gespeicherte personenbezogene Daten, verschlüsseln Sie Übertragungen und beschränken Sie Zugriffe.

Für die konkrete Rechtsgrundlage und Anforderungen an Verarbeitungssicherheit ziehen Sie die einschlägigen Rechtsvorschriften und Leitlinien heran; halten Sie die Entscheidung zur Rechtsgrundlage schriftlich fest.

Häufig gestellte Fragen (FAQ)

Muss ich als kleines Unternehmen Sanktionsprüfungen durchführen?
Ja – das EU‑Bereitstellungsverbot gilt ohne Größenschwelle; die Prüfpflicht richtet sich nach Risiko und konkreten Rechtsverpflichtungen.

Welche Listen sind zwingend?
Für in der EU ansässige Unternehmen sind die EU‑Sanktionsverordnungen und die daraus resultierenden Consolidated Lists verbindlich; UN‑Beschlüsse sind über EU‑Umsetzung ebenfalls bindend. Ergänzende Jurisdiktionen prüfen Sie nach Geschäftsbeziehungen.

Ersetzt ein automatisiertes Tool die Rechtsprüfung?
Nein. Automatisierte Tools liefern Rechercheergebnisse und Audit‑Spuren; die rechtliche Bewertung und Entscheidung bleiben bei Ihrer Rechts‑/Compliance‑Instanz.