Sanktionslistenprüfung: Rechtliche Anforderungen für Unternehmen in der EU

Unternehmen in der EU müssen Geschäftspartner spätestens zwei Werktage nach jeder neuen EU-Veröffentlichung gegen Sanktions-, PEP- und Risikolisten prüfen. Diese Pflicht ergibt sich aus § 18 Abs. 11 AWG und gilt größenunabhängig. Die Prüfung muss DSGVO-konform nach Art. 6 Abs. 1 lit. c DSGVO erfolgen und bei automatisierten Systemen eine menschliche Kontrolle nach Art. 22 DSGVO sowie die Transparenzanforderungen des EU AI Act einhalten. Verstöße können nach § 19 AWG Bußgelder bis 40 Millionen Euro oder 5 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Prüfprotokolle müssen nach § 257 HGB mindestens fünf Jahre aufbewahrt werden.

Welche Rechtsgrundlagen verpflichten zur Sanktionslistenprüfung?

Die Prüfpflicht ergibt sich aus mehreren EU-Verordnungen und nationalem Recht. Die EU-Verordnungen 2580/2001 (Anti-Terror-Sanktionen gegen Al-Qaida), 753/2011 (Syrien) und 553/2007 (Libanon) bilden die Grundlage für Anti-Terror-Sanktionen und verpflichten Unternehmen, ihre Geschäftspartner zu prüfen^[6]. Die Verordnung (EU) 269/2014 regelt das Einfrieren von Geldern und wirtschaftlichen Ressourcen sowie das Bereitstellungsverbot – beide Maßnahmen wirken unmittelbar ab Veröffentlichung im EU-Amtsblatt^[7].

Das deutsche Außenwirtschaftsgesetz konkretisiert in § 18 die Prüfpflicht und setzt die Frist auf zwei Werktage nach einer EU-Veröffentlichung^[8]. Wer dagegen verstößt, begeht eine Ordnungswidrigkeit oder – bei Vorsatz – eine Straftat. Die Verordnung (EU) 2021/821 (Dual-Use) verlangt bei Exporten in bestimmte Länder eine Prüfung gegen Embargomaßnahmen. Sie gilt für Güter mit ziviler und militärischer Anwendung und schreibt vor, dass Exporteure vor jeder Ausfuhr prüfen, ob der Empfänger gelistet ist oder in einem Embargoland sitzt.

Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) betont in seinem Leitfaden zur Außenwirtschaftsprüfung, dass Unternehmen sicherstellen müssen, dass ihre Prüfsoftware aktuelle und vollständige Sanktionslisten der EU, der UN und des US-amerikanischen Office of Foreign Assets Control (OFAC) abdeckt^[9]. Die Schweiz führt eigene Verordnungen und vollzieht EU-Pakete zeitversetzt nach: Die Listungen des 20. EU-Pakets vom 23. April 2026 übernahm das Staatssekretariat für Wirtschaft (SECO) erst am 22. Mai 2026^[10].

Risikobasierte Prüfungshäufigkeit und Fristen einhalten

Die Prüfhäufigkeit hängt vom Risiko ab. Das BAFA empfiehlt eine risikobasierte Prüfung: Hohe Risikokunden – etwa Geschäftspartner aus Krisenregionen oder mit unklaren Eigentumsverhältnissen – sollten monatlich geprüft werden, Niedrigrisiko-Kunden wie EU-Inlandsgeschäfte quartalsweise^[9]. Bei jeder neuen EU-Veröffentlichung beginnt die Zwei-Werktage-Frist neu.

Manuelle Prüfungen stoßen schnell an Grenzen: Die EU-Consolidated-Financial-Sanctions-List umfasst rund 5.900 Sanktionsziele, darunter 4.348 Personen und 1.545 Organisationen. Die US-amerikanische SDN-Liste führt rund 19.800 Sanktionsziele, darunter 7.475 Personen, 9.701 Organisationen, 1.494 Schiffe, 344 Luftfahrzeuge und 797 Krypto-Wallets. Die UN Consolidated List enthält 730 Personen und 272 Einrichtungen^[2]. Hinzu kommen nationale Listen, PEP-Verzeichnisse und Schiffslisten.

Die Prüfung muss auch verbundene Unternehmen erfassen. Nach der 50-Prozent-Regel gelten Firmen, die zu mehr als 50 Prozent von einer gelisteten Person oder Organisation kontrolliert werden, ebenfalls als Sanktionsziel – selbst wenn sie nicht namentlich auf der Liste stehen. Diese Regel ist in der Verordnung (EU) 269/2014 verankert und wird regelmäßig in Gerichtsverfahren bestätigt^[7]. Unternehmen müssen also nicht nur den direkten Geschäftspartner prüfen, sondern auch dessen Eigentümerstruktur.

Welche datenschutzrechtlichen Anforderungen gelten?

Die Verarbeitung personenbezogener Daten im Rahmen der Sanktionslistenprüfung unterliegt der DSGVO. Das European Data Protection Board (EDPB) stellt in seinen Leitlinien 4/2022 klar, dass Unternehmen eine Rechtsgrundlage nach Art. 6 Abs. 1 lit. c (rechtliche Verpflichtung) oder lit. f (berechtigtes Interesse) benötigen^[3]. Die Prüfung gegen Sanktionslisten fällt unter die rechtliche Verpflichtung, da sie zur Einhaltung des AWG und der EU-Verordnungen erforderlich ist. Bei der Prüfung gegen PEP-Listen greift das berechtigte Interesse, sofern das Unternehmen nachweisen kann, dass die Prüfung zur Vermeidung von Compliance-Risiken notwendig ist.

Automatisierte Prüfungen dürfen nach Art. 22 DSGVO keine ausschließlich automatisierten Entscheidungen ohne menschliche Prüfung treffen^[3]. Ein System darf einen Treffer melden, aber ein Mitarbeiter muss prüfen, ob es sich um einen echten Treffer (True Positive) oder einen Falschalarm (False Positive) handelt. Der EU AI Act verschärft diese Anforderung: KI-gestützte Prüftools müssen transparent, nachvollziehbar und mit den EU-Grundrechten vereinbar sein^[4]. Unternehmen müssen dokumentieren, nach welchen Kriterien das System Treffer meldet und wie die menschliche Prüfung erfolgt.

Die DSGVO verlangt außerdem technische und organisatorische Maßnahmen nach Art. 32, um personenbezogene Daten zu schützen. Dazu gehören Verschlüsselung, Zugangskontrollen und regelmäßige Tests der Sicherheitsmaßnahmen. Prüfprotokolle müssen nach § 257 HGB mindestens fünf Jahre aufbewahrt werden, um bei Audits die Sorgfaltspflicht nachweisen zu können^[5]. Gleichzeitig müssen Unternehmen DSGVO-konforme Löschfristen für nicht benötigte Daten definieren.

Prüfpflicht gilt für alle Unternehmen unabhängig von der Größe

Die Prüfpflicht gilt größenunabhängig. Ein Handwerksbetrieb mit drei Mitarbeitern unterliegt denselben Fristen und Anforderungen wie ein Konzern mit 10.000 Beschäftigten. In einer Studie der Europäischen Kommission beklagen 78 Prozent der kleinen und mittleren Unternehmen (KMU) die bürokratische Belastung als Hauptproblem bei Sanktionsprüfungen^[11]. Der Deutsche Industrie- und Handelskammertag (DIHK) fordert vereinfachte Verfahren, insbesondere für KMU, da die manuelle Prüfung bürokratisch und fehleranfällig sei^[12].

Großunternehmen setzen meist auf integrierte Compliance-Management-Systeme mit Schnittstellen zu ERP-Systemen wie SAP oder DATEV. KMU fehlen oft die Ressourcen für solche Lösungen. Gleichzeitig sind die Strafen bei Verstößen proportional zum Umsatz: Nach § 19 AWG drohen Geldbußen bis 40 Millionen Euro oder 5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist^[13]. Für ein mittelständisches Unternehmen mit 20 Millionen Euro Umsatz kann eine Strafe von einer Million Euro existenzbedrohend sein.

Die Lösung liegt in automatisierten, aber bezahlbaren Werkzeugen. Dienste wie Am I Compliant gleichen Geschäftspartner in Sekunden gegen über 200 offizielle Listen ab und erstellen auditfeste PDF-Protokolle. Die Prüfung ist verschlüsselt, DSGVO-konform und erfüllt die Zwei-Werktage-Frist. Für KMU bedeutet das: Die rechtlichen Anforderungen sind erfüllbar, ohne eine eigene Compliance-Abteilung aufzubauen.

Regelmäßige Aktualisierung der Prüfung vermeiden Fallstricke

Der häufigste Fehler ist die Annahme, eine einmalige Prüfung reiche aus. Sanktionslisten ändern sich wöchentlich. Allein die EU hat 2025 und 2026 drei große Russland-Pakete verabschiedet, die jeweils über 100 neue Listungen enthielten^[1]. Wer nur bei Vertragsabschluss prüft, übersieht Listungen, die während der Vertragslaufzeit erfolgen. Die Zwei-Werktage-Frist gilt für jede neue Veröffentlichung.

Ein weiterer Fallstrick sind falsch-positive Treffer. Automatisierte Systeme melden oft Treffer, die bei genauerer Prüfung keine echten Übereinstimmungen sind – etwa weil der Name häufig ist oder die Schreibweise abweicht. Das EDPB warnt, dass unnötige Datenverarbeitungen gegen Art. 5 Abs. 1 lit. c DSGVO verstoßen^[3]. Unternehmen müssen dokumentieren, wie sie Falschalarme behandeln und wann sie einen Treffer als echt einstufen.

Schließlich unterschätzen viele Unternehmen die Bedeutung der 50-Prozent-Regel. Wer nur den direkten Geschäftspartner prüft, übersieht gelistete Eigentümer oder Kontrollinhaber. Die Prüfung der Eigentümerstruktur ist aufwendig, aber rechtlich zwingend. Dienste, die diese Prüfung automatisiert abbilden, sparen nicht nur Zeit, sondern schließen eine der größten Compliance-Lücken.

Schnellere Sanktionspakete und internationale Zeitversätze beachten

Das Tempo der Sanktionspakete hat sich seit 2022 deutlich erhöht. Die EU hat zwischen Februar 2022 und April 2026 zwanzig Russland-Pakete verabschiedet – im Durchschnitt eines alle zwei Monate^[1]. Parallel laufen Sanktionsregime gegen Iran, Nordkorea, Belarus und weitere Länder. Die Schweiz übernahm die Listungen des 20. EU-Pakets erst einen Monat später, am 22. Mai 2026 – ein Zeitversatz, der für international tätige Unternehmen zusätzliche Komplexität schafft^[10].

Der EU AI Act wird ab 2027 schrittweise wirksam und verschärft die Anforderungen an automatisierte Prüftools^[4]. Unternehmen müssen sicherstellen, dass ihre Software transparent dokumentiert, wie sie Treffer ermittelt, und dass eine menschliche Prüfung jederzeit möglich ist. Anbieter, die diese Anforderungen nicht erfüllen, dürfen ihre Systeme in der EU nicht mehr einsetzen.

Für Unternehmen bedeutet das: Die rechtlichen Anforderungen werden nicht sinken. Wer heute in eine auditfeste, DSGVO-konforme Prüfinfrastruktur investiert, sichert sich gegen künftige Verschärfungen ab. Manuelle Prüfungen sind angesichts der Geschwindigkeit, mit der neue Listungen erfolgen, keine tragfähige Lösung mehr.

Häufig gestellte Fragen

Müssen auch KMU eine automatisierte Sanktionsprüfung durchführen?

Die Prüfpflicht gilt größenunabhängig. KMU können jedoch kostengünstige Tools nutzen, die innerhalb von 48 Stunden prüfen. Der EU AI Act verlangt, dass auch kleine Tools transparent dokumentiert sein müssen.

Welche Listen müssen Unternehmen abgleichen?

Unternehmen müssen folgende Listen prüfen: EU-Konsolidierte Liste (rund 5.900 Einträge), US-SDN-Liste (rund 19.800), UN-Listen (730 Personen, 272 Einrichtungen), nationale Listen (z. B. OFAC für US-Geschäfte) und PEP-Listen. Eine globale Einheitsliste gibt es nicht^[2].

Wie lange müssen Prüfprotokolle gespeichert werden?

Nach § 257 HGB mindestens fünf Jahre. Zusätzlich verlangt die DSGVO Löschfristen für nicht benötigte Daten – ein Spannungsfeld, das eine klare Datenmanagement-Strategie erfordert^[5].

Was passiert, wenn ein False Positive gemeldet wird?

Das System darf einen Treffer melden, aber ein Mitarbeiter muss prüfen, ob es sich um einen echten Treffer handelt. Unternehmen müssen dokumentieren, wie sie Falschalarme behandeln und wann sie einen Treffer als echt einstufen^[3].

Welche Strafen drohen bei Verstößen?

Nach § 19 AWG drohen Geldbußen bis 40 Millionen Euro oder 5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist^[13].

Fazit

Die rechtlichen Anforderungen an die Sanktionslistenprüfung sind klar, streng und größenunabhängig. Zwei Werktage nach einer EU-Veröffentlichung, risikobasierte Prüfhäufigkeit, DSGVO-konforme Datenverarbeitung, auditfeste Dokumentation – die Liste der Pflichten ist lang. Gleichzeitig zeigen die 78 Prozent der KMU, die über bürokratische Belastung klagen, dass die Umsetzung in der Praxis schwerfällt^[11]. Automatisierte, aber bezahlbare Werkzeuge schließen diese Lücke. Wer heute handelt, vermeidet nicht nur Strafen, sondern sichert seine Geschäftsgrundlage in einem Rechtsraum, der Sanktionsverstöße zunehmend konsequent verfolgt. Weitere Informationen zu den Prüffristen finden Sie in unserem Artikel Wann ist eine Sanktionslistenprüfung erforderlich. Für KMU, die den Einstieg in die Automatisierung suchen, bietet der Beitrag Automatisierte Sanktionslistenprüfung für kleine und mittelständische Unternehmen konkrete Handlungsschritte.