DSGVO bei Sanktions- und PEP-Prüfungen: Daten, Rechtsgrundlage und Entscheidungen

Bei Sanktions- und PEP-Prüfungen werden unter Umständen Kundendaten, Angaben zu wirtschaftlich Berechtigten, öffentliche Register und Einschätzungen von Analysten zu identifizierbaren Personen verarbeitet. Gilt die EU-DSGVO, braucht das Unternehmen einen festgelegten Zweck und eine geeignete Rechtsgrundlage. Außerdem muss es Richtigkeit, Transparenz, Betroffenenrechte, Sicherheit und Aufbewahrung berücksichtigen. Ein Compliance-Ziel oder eine interne Prüfrichtlinie beantwortet diese Fragen noch nicht.¹

Dieser Leitfaden behandelt den Rahmen der EU-DSGVO. Die Quellen wurden am 21. Oktober 2026 geprüft. Welche nationalen Geldwäschevorschriften, Sanktionsmaßnahmen und Branchenvorgaben gelten, muss weiterhin für das jeweilige Unternehmen bestimmt werden. Der Praxisleitfaden zur Sanktionsprüfung erklärt den übergeordneten Kontrollprozess; hier geht es um den Umgang mit personenbezogenen Daten innerhalb dieses Prozesses.

Rechtspflicht, interne Vorgaben und Rechtsgrundlage auseinanderhalten

Am Anfang steht die Tätigkeit: die Aufnahme eines Kunden, die Prüfung eines wirtschaftlich Berechtigten oder eines Lieferanten. Wessen personenbezogene Daten werden benötigt und warum? Sanktionsbeschränkungen und geldwäscherechtliche Pflichten zur Identifizierung von PEP beruhen auf unterschiedlichen Rechtsrahmen. Ihr jeweiliger Anwendungsbereich ist getrennt zu prüfen.

Eine rechtliche Verpflichtung muss kein bestimmtes Softwareprodukt oder Abgleichverfahren vorschreiben. Es muss jedoch nachvollziehbar sein, warum die gewählte Verarbeitung zur Erfüllung der tatsächlichen Pflicht erforderlich ist. Eine Pflicht nach ausländischem Recht oder eine geschäftliche Anfrage darf nicht ohne Weiteres als unionsrechtliche oder mitgliedstaatliche Verpflichtung nach Artikel 6 Absatz 3 behandelt werden.¹

Bei Artikel 6 Absatz 1 Buchstabe f sind das Interesse, weniger eingriffsintensive Alternativen, vernünftige Erwartungen, mögliche Folgen und Schutzmaßnahmen zu dokumentieren. Eine Prüfung zur Begrenzung geschäftlicher Risiken kann auf dieser Grundlage geprüft werden; ihre Zulässigkeit steht damit noch nicht fest. Behörden können diese Grundlage nicht nutzen, soweit sie in Erfüllung ihrer Aufgaben personenbezogene Daten verarbeiten.²

Die Einwilligung ist eine mögliche Grundlage, aber keine allgemeine Voraussetzung für Screening. Sie muss die einschlägigen Bedingungen erfüllen und insbesondere freiwillig, für den bestimmten Fall, informiert und unmissverständlich sein. Kann das Unternehmen einen Widerruf tatsächlich nicht zulassen, weil die Verarbeitung gesetzlich vorgeschrieben ist, dürfte eine Einwilligung für diesen Zweck ungeeignet sein. Für eine Einwilligung nach Artikel 6 gilt nicht stets das Erfordernis einer ausdrücklichen Einwilligung, das bestimmte andere DSGVO-Vorschriften vorsehen.²

Daten auswählen, die zur Identitätsklärung beitragen

Für jeden Personenkreis ist festzulegen, welche Angaben erforderlich sind. Namen und verfügbare Geburtsdaten, Funktionen, Länder oder Eigentumsverhältnisse können helfen, mögliche Treffer zu unterscheiden. Das macht nicht jedes Datenfeld in jedem Fall erforderlich und rechtfertigt auch nicht, routinemäßig von allen Personen Ausweisdokumentnummern zu erheben.

Angaben des Kunden, Informationen aus Quellen und Schlussfolgerungen von Analysten müssen unterscheidbar bleiben. Herkunft und Prüfzeitpunkt sollten festgehalten werden. Fehlende Identifikationsmerkmale sind als Unsicherheit kenntlich zu machen. Sie dürfen nicht durch die Annahme ersetzt werden, dass ein ähnlicher Name dieselbe Person bezeichnet.

Zweckbindung, Datenminimierung und Richtigkeit gelten sowohl für verwendete als auch für neu erzeugte Informationen. Eine falsche Zuordnung zu einer sanktionierten Person ist selbst ein Problem der Datenqualität. Auch ein Unternehmensdatensatz kann personenbezogene Angaben zu Geschäftsleitern oder Eigentümern enthalten. Der Firmenname allein beschreibt daher nicht den gesamten Verarbeitungsvorgang.¹

Sensible und strafrechtlich relevante Informationen bewerten

Die Datenkategorie lässt sich nicht allein aus der Bezeichnung „PEP“ ableiten. Eine öffentliche Funktion belegt nicht automatisch eine politische Meinung. Eine Parteifunktion, Kontextinformationen oder eine Schlussfolgerung können jedoch politische Meinungen oder andere besondere Kategorien personenbezogener Daten nach Artikel 9 offenbaren. Maßgeblich ist, was die Angaben tatsächlich erkennen lassen. Greift Artikel 9, reicht eine Rechtsgrundlage nach Artikel 6 nicht aus; zusätzlich muss eine einschlägige Voraussetzung nach Artikel 9 Absatz 2 erfüllt sein.¹³

Ebenso ist ein Sanktionseintrag nicht automatisch eine Angabe zu einer strafrechtlichen Verurteilung. Sein Inhalt kann sich aber auf Straftaten, Verurteilungen oder damit zusammenhängende Sicherungsmaßregeln beziehen. Artikel 10 ist nicht auf förmliche Strafregister beschränkt. Soweit er anwendbar ist, muss die Verarbeitung zusätzlich zur Rechtsgrundlage nach Artikel 6 unter behördlicher Aufsicht erfolgen oder durch Unionsrecht beziehungsweise mitgliedstaatliches Recht mit geeigneten Garantien erlaubt sein. Berechtigte Interessen allein lösen diese Frage nicht.¹³

Die öffentliche Verfügbarkeit ist keine allgemeine Ausnahme. Auch eine öffentliche Listung, ein politisches Profil oder ein Suchergebnis erfordert einen rechtmäßigen Zweck, die einschlägigen Voraussetzungen und die übrigen anwendbaren Schutzmaßnahmen der DSGVO.

Die Information betroffener Personen planen

Artikel 13 betrifft Daten, die bei der betroffenen Person erhoben werden; die Information erfolgt grundsätzlich zum Zeitpunkt der Erhebung. Artikel 14 betrifft anderweitig beschaffte Daten. Erhält eine Kontaktperson des Kunden einen Datenschutzhinweis, ist damit die Informationspflicht gegenüber allen wirtschaftlich Berechtigten oder Geschäftsleitern eines Lieferanten noch nicht geklärt.

Nach Artikel 14 ist die Information grundsätzlich innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats nach Erlangung der Daten, bereitzustellen. Frühere Zeitpunkte können maßgeblich sein: spätestens bei der ersten Mitteilung an die Person oder bei der ersten Offenlegung gegenüber einem anderen Empfänger, je nach Verarbeitung. Der Hinweis muss die jeweils erforderlichen Angaben zu Zwecken, Rechtsgrundlage, Kategorien, Quellen, Empfängern, Aufbewahrung und Rechten enthalten.¹⁴

Nicht jede wiederholte Prüfung erfordert zwingend eine neue Nachricht, wenn die Verarbeitung bereits ordnungsgemäß erläutert wurde. Ein vager Website-Hinweis, dass „Hintergrundprüfungen stattfinden können“, genügt aber nicht automatisch. Entscheidend ist, welche Informationen tatsächlich wem und wann bereitgestellt werden.

Für Ausnahmen nach Artikel 14 gelten Voraussetzungen. Der konkrete Ausnahmegrund und etwaige erforderliche Schutzmaßnahmen sind zu prüfen und zu dokumentieren. Auch einschlägige gesetzliche Beschränkungen können die Offenlegung beeinflussen. „Geldwäscheprävention“, möglicher Aufwand oder ein großer zu prüfender Personenkreis rechtfertigen keine pauschale Zurückhaltung von Datenschutzinformationen. Die allgemeine Information über Prüfungen und die Offenlegung einer konkreten Untersuchung sind unterschiedliche Fragen.⁴

Zuständigkeiten zwischen Unternehmen und Anbieter klären

Vor der Zuordnung von Verantwortlichen- und Auftragsverarbeiterrollen sind die einzelnen Verarbeitungsvorgänge zu erfassen. Ein Dienstleister kann bei einem Vorgang nach Kundenweisung handeln und bei einem anderen eigene Zwecke festlegen. Vertragsbezeichnungen entscheiden nicht über die tatsächliche Rolle. Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) erläutern diese funktionale Unterscheidung.⁵

Bei einer Auftragsverarbeitung sind die Anforderungen des Artikels 28, Weisungen, weitere Auftragsverarbeiter und die Unterstützung bei Betroffenenrechten und Löschung zu regeln. Handeln Beteiligte als getrennte oder gemeinsam Verantwortliche, müssen stattdessen die jeweiligen Zuständigkeiten und Vereinbarungen zum Datenaustausch bewertet werden. Auch die Weitergabe innerhalb eines Konzerns ist nicht automatisch unbeschränkt zulässig.¹⁵

Bei der Beschaffung ist zu klären, wo Daten gespeichert werden und von wo auf sie zugegriffen wird, wer sie erhält, welche Sicherheitsmaßnahmen bestehen und ob internationale Übermittlungen stattfinden. Ein Vertrag nach Artikel 28 erfüllt für sich genommen keine Übermittlungsanforderung nach Kapitel V. Der einschlägige Mechanismus und die Schutzmaßnahmen müssen zur tatsächlichen Vereinbarung passen. Sie dürfen nicht aus dem Sitz des Anbieters oder der Bezeichnung „DSGVO-konform“ abgeleitet werden.¹

Automatisierung und Datenschutzrisiken vor der Einführung prüfen

Artikel 22 betrifft ausschließlich auf automatisierter Verarbeitung beruhende Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Die Ermittlung möglicher Treffer ist etwas anderes als die Entscheidung, ein Konto abzulehnen oder eine Geschäftsbeziehung zu beenden. Maßgeblich sind der tatsächliche Ablauf und seine Folgen. Klickt ein Analyst ohne inhaltliche Prüfung auf „Freigeben“, wird die Entscheidung dadurch nicht zwingend zu einer menschlichen Entscheidung.¹⁶

Artikel 22 enthält Ausnahmen und Schutzvorgaben. Die Aussage „Alle automatisierten Entscheidungen sind verboten“ wäre daher zu weitgehend. Es muss geklärt werden, ob die Vorschrift anwendbar ist und ob eine einschlägige Ausnahme samt Schutzvorgaben erfüllt wird. Die Ausnahmen betreffen die Erforderlichkeit für einen Vertrag, die Zulassung durch anwendbares Unionsrecht oder mitgliedstaatliches Recht sowie die ausdrückliche Einwilligung, jeweils unter ihren Voraussetzungen. Artikel 22 Absatz 3 sieht für die Vertrags- und Einwilligungsausnahmen besondere Schutzmaßnahmen vor; Absatz 4 begrenzt zusätzlich die Verwendung besonderer Datenkategorien. Eine Bewertungsfunktion des Anbieters beantwortet diese Fragen für den Prüfprozess des Unternehmens nicht.¹

Nach Artikel 35 ist zu beurteilen, ob die Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt. Dabei zählen Art, Umfang, Umstände und Zwecke sowie einschlägige Listen und Leitlinien der Aufsichtsbehörden. Umfang, Profiling, sensible Angaben und Auswirkungen auf Personen können relevant sein. Der Einsatz von Software oder KI allein entscheidet nicht darüber, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Eine vorgeschriebene Folgenabschätzung muss vor Beginn der Verarbeitung abgeschlossen sein. Lässt sich ein hohes Restrisiko nicht ausreichend mindern, ist vor dem weiteren Vorgehen die Pflicht zur vorherigen Konsultation nach Artikel 36 zu prüfen.¹

Einwände klären, ohne eine falsche Verdächtigung fortzuschreiben

Für Auskunfts-, Berichtigungs-, Einschränkungs-, Widerspruchs- und Löschungsanträge muss ein Verfahren bestehen. Welche Rechte und Ausnahmen gelten, hängt von der Verarbeitung und ihrer Rechtsgrundlage ab. Widerspricht eine Person nach Artikel 21 einer auf berechtigte Interessen gestützten Verarbeitung aus Gründen ihrer besonderen Situation, ist die Verarbeitung einzustellen. Sie darf fortgesetzt werden, wenn das Unternehmen zwingende schutzwürdige Gründe nachweist, die die Interessen, Rechte und Freiheiten der Person überwiegen, oder wenn die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Ein Widerspruch ist nicht dasselbe wie ein Löschungsantrag. Die Antwortvorgaben des Artikels 12 und etwaige geltende gesetzliche Beschränkungen sind zu beachten.⁷

Bestreitet eine Person einen Treffer, sind Identität und Richtigkeit der Zuordnung zu prüfen. Eine fehlerhafte Verknüpfung zwischen Kunde und möglichem Treffer ist zu berichtigen; darauf beruhende Entscheidungen oder Offenlegungen müssen ebenfalls überprüft werden. Soweit anwendbar, verlangt Artikel 19 unter seinen Voraussetzungen, Empfängern die Berichtigung, Löschung oder Einschränkung mitzuteilen.¹

Die Klärung eines falsch positiven Treffers bedeutet nicht, dass nie personenbezogene Daten vorlagen. Sie verlangt auch nicht automatisch, jede Spur der Prüfung zu löschen. Zu entscheiden ist, welche Berichtigung und welche minimierten Entscheidungsnachweise erforderlich und rechtmäßig sind, welche Verarbeitung während der Richtigkeitsprüfung einzuschränken ist und was entfernt werden muss. Liegt der Fehler in der eigenen Trefferentscheidung des Unternehmens, darf es nicht die Löschung des Listeneintrags einer externen Behörde versprechen.

Für jede Datenkategorie eine eigene Aufbewahrungsregel festlegen

Eine einzige Frist für alles, was „Screening-Daten“ heißt, greift zu kurz. Zweck, geltende Regel, Fristbeginn, Überprüfungszeitpunkt und Löschverfahren sind für die einzelnen Kategorien zu unterscheiden.

Artikel 5 verlangt Speicherbegrenzung. Geltende gesetzliche Aufbewahrungspflichten oder hinreichend begründete Erfordernisse für Rechtsansprüche können die Löschung beeinflussen. „Audit“ ist aber keine unbegrenzte Aufbewahrungsgrundlage. Jede Ausnahme und ihr Umfang müssen geprüft werden. Der Leitfaden zur PEP-Prüfung in Deutschland enthält ein nationales Beispiel zur Aufbewahrung. Dessen Fristen dürfen nicht auf jeden EU-Prüfprozess oder jedes Anbieterprotokoll übertragen werden.¹

Drei fiktive Prüfsituationen

Ein Verpflichteter prüft einen wirtschaftlich Berechtigten

Das Team bestimmt die einschlägige geldwäscherechtliche Pflicht, die betroffene Person und die erforderlichen Daten. Anschließend bewertet es die Verarbeitung nach Artikel 6. Informationen nach Artikel 9 oder 10 werden gesondert geprüft. Die Akte verbindet Trefferklärung, Ergebnis, Informationsverfahren und geltende Aufbewahrungsregel. Es wird nicht angenommen, dass der Hinweis an den Unternehmenskunden automatisch auch den wirtschaftlich Berechtigten abdeckt.

Ein Unternehmen erweitert Lieferantenprüfungen durch interne Vorgaben

Das Unternehmen möchte Personen prüfen, die mit Lieferanten verbunden sind. Es trennt etwaige Sanktionspflichten von zusätzlichen internen Prüfungen, bestimmt den Zweck und prüft, ob berechtigte Interessen oder eine andere Rechtsgrundlage die zusätzliche Verarbeitung tragen können. Es erwägt einen engeren Personenkreis und weniger eingriffsintensive Daten. Fällt die Bewertung negativ aus, muss die interne Richtlinie geändert werden; sie kann nicht selbst die Erlaubnis ersetzen.

Eine Person beanstandet einen Treffer mit ähnlichem Namen

Das zuständige Team prüft die bestrittene Identität, berichtigt die falsche Zuordnung und bearbeitet die Betroffenenrechte. Das Unternehmen bewertet Empfänger, Folgewirkungen und die Frage, ob die Verarbeitung während der Richtigkeitsprüfung einzuschränken ist. Für weiterhin aufbewahrte Prüfnachweise muss eine konkrete Begründung bestehen. Informationen dürfen nicht allein deshalb verweigert werden, weil die Person nie Kunde war.

Software danach bewerten, welche Entscheidungen das Team erklären muss

Checklynx führt Quellenergebnisse in Profilen zusammen und stellt angereicherte, strukturierte Informationen zur Prüfung bereit. Dieser Kontext kann Teams beim Vergleich möglicher Treffer unterstützen. Er begründet jedoch weder die Rechtsgrundlage des Unternehmens noch eine Ausnahme von Informationspflichten und entscheidet auch nicht über die Aufbewahrungsdauer jeder Aufzeichnung.

Bei der Bewertung von Software für Sanktionsprüfungen oder PEP-Prüfsoftware ist zu klären, wie die vorgesehene Konfiguration erforderliche Daten, Herkunftsnachweise, Analystenentscheidungen, Auskunft und Berichtigung unterstützt. Aufbewahrung, Löschung, Sicherheit, weitere Auftragsverarbeiter und Übermittlungen sind anhand aktueller Unterlagen und Verträge zu prüfen. Der Software-Kaufleitfaden behandelt die Beschaffung insgesamt. Die Datenschutzerklärung von Checklynx beschreibt dessen Verfahren; dieser Leitfaden ändert diese Bedingungen nicht.

Häufig gestellte Fragen

Entfallen DSGVO-Pflichten bei einer öffentlichen Sanktionsliste?

Nein. Die öffentliche Verfügbarkeit begründet weder die Rechtsgrundlage noch beseitigt sie Transparenzpflichten oder klärt die Voraussetzungen für sensible oder strafrechtlich relevante Angaben. Entscheidend sind die tatsächliche Verarbeitung und die verwendeten Informationen.

Können interne Vorgaben weitergehende Prüfungen als das Gesetz verlangen?

Ein Unternehmen kann zusätzliche Risikokontrollen vorsehen. Die Verarbeitung personenbezogener Daten braucht jedoch weiterhin eine eigene gültige Grundlage und muss die übrigen anwendbaren Anforderungen erfüllen. Eine interne Richtlinie schafft diese Grundlage nicht dadurch, dass sie die Prüfung für verpflichtend erklärt.

Muss jedes Prüfergebnis nach einer Nichtübereinstimmung gelöscht werden?

Nicht automatisch. Fehlerhafte Zuordnungen müssen berichtigt und nicht erforderliche Daten entfernt werden. Für einen begrenzten, zutreffenden Entscheidungsnachweis ist zu prüfen, ob ein fortbestehender rechtmäßiger Zweck oder eine Aufbewahrungspflicht besteht. Auch eine Nichtübereinstimmung rechtfertigt keine unbegrenzte Speicherung.

Macht der Kauf von Prüfsoftware den Prozess DSGVO-konform?

Nein. Software, Verträge und technische Kontrollen sind Teile der Verarbeitung. Das Unternehmen muss für seinen Einsatz weiterhin Zweck, Umfang, Rechtsgrundlage, einschlägige Datenvoraussetzungen und operative Zuständigkeiten bestimmen.