Geschäftspartnerprüfung: rechtliche Pflichten, Risiken und praktische Umsetzung

Eine Geschäftspartnerprüfung ist für viele Unternehmen kein bloßer Formalakt mehr. Wer mit Lieferanten, Handelsvertretern, Vertriebspartnern, Beratern, Joint-Venture-Partnern oder größeren Kunden zusammenarbeitet, muss einschätzen können, mit wem er rechtlich und wirtschaftlich verbunden wird. Dabei geht es nicht nur um Bonität oder Reputation, sondern auch um Sanktionsrecht, Geldwäscheprävention, Korruptionsrisiken, Datenschutz, Lieferkettenpflichten und die Frage, ob die Geschäftsleitung ihre Organisationspflichten erfüllt.

Grundsätzlich verlangt das deutsche Recht keine einheitliche, für alle Unternehmen identische Geschäftspartnerprüfung. Je nach Branche, Unternehmensgröße, Land, Produkt, Zahlungsweg und konkretem Risikoprofil können jedoch sehr konkrete Prüfpflichten entstehen. Für Finanzunternehmen gelten andere Maßstäbe als für Industrieunternehmen; ein lokaler Dienstleister ist anders zu bewerten als ein Vermittler in einem Hochrisikostaat.

Der Beitrag ordnet die rechtlichen Grundlagen ein, grenzt die Geschäftspartnerprüfung von ähnlichen Prüfungen ab und zeigt, welche Nachweise Unternehmen dokumentieren sollten. Er ersetzt keine Einzelfallprüfung, hilft aber dabei, typische Risiken zu erkennen und einen rechtlich tragfähigen Prüfprozess aufzubauen.

Inhaltsverzeichnis

1. Was bedeutet Geschäftspartnerprüfung rechtlich?
2. Gesetzliche Grundlagen: Welche Pflichten können eine Geschäftspartnerprüfung auslösen?
3. Abgrenzung: Geschäftspartnerprüfung, KYC, Bonitätsprüfung und Lieferantenprüfung
4. Wann ist eine Geschäftspartnerprüfung besonders wichtig?
5. Typische Fallkonstellationen aus der Unternehmenspraxis
6. Geschäftspartnerprüfung und Datenschutz: Welche Daten dürfen verarbeitet werden?
7. Risiken und Haftung bei fehlender oder fehlerhafter Prüfung
8. Fristen, Aktualisierung und Verjährung: Wie lange muss geprüft und dokumentiert werden?
9. Beweisfragen und Dokumentation: Was sollte nachvollziehbar festgehalten werden?
10. Geschäftspartnerprüfung in der Praxis: Schritte von der Anfrage bis zur laufenden Überwachung
11. Vertragliche Absicherung nach der Prüfung
12. Interne Organisation: Wer ist verantwortlich?
13. … und 3 weitere Abschnitte

Was bedeutet Geschäftspartnerprüfung rechtlich?

Unter einer Geschäftspartnerprüfung versteht man die strukturierte Prüfung eines bestehenden oder künftigen Vertragspartners vor Beginn und während einer Geschäftsbeziehung. International wird häufig der Begriff Business Partner Due Diligence verwendet. Gemeint ist nicht nur die Feststellung, ob ein Vertragspartner wirtschaftlich leistungsfähig ist. Die Prüfung soll vielmehr klären, ob rechtliche, regulatorische, reputationsbezogene oder tatsächliche Risiken gegen die Zusammenarbeit sprechen oder besondere Sicherungsmaßnahmen erforderlich machen.

Rechtlich ist die Geschäftspartnerprüfung kein einzelnes Gesetzesinstitut mit festem Ablauf. Sie ergibt sich aus mehreren Normen und Pflichtenbereichen. Dazu gehören insbesondere allgemeine Geschäftsleiterpflichten, Compliance-Organisationspflichten, geldwäscherechtliche Identifizierungspflichten, Sanktions- und Exportkontrollrecht, Lieferkettenrecht, Datenschutzrecht, Kartellrecht sowie unter Umständen steuerliche und strafrechtliche Risikovorgaben.

Für Geschäftsleiter von Kapitalgesellschaften ist vor allem relevant, dass sie das Unternehmen sorgfältig organisieren müssen. Bei Aktiengesellschaften wird dies unter anderem aus § 93 AktG und der Business-Judgment-Rule hergeleitet; bei GmbH-Geschäftsführern folgen vergleichbare Sorgfaltspflichten aus § 43 GmbHG. Diese Normen sagen nicht ausdrücklich, dass jeder Geschäftspartner nach einem bestimmten Schema zu prüfen ist. Sie verlangen aber, dass Entscheidungen auf angemessener Informationsgrundlage getroffen werden. Je risikoreicher eine Geschäftsbeziehung ist, desto eher gehört eine belastbare Prüfung zur angemessenen Entscheidungsgrundlage.

Daneben können spezialgesetzliche Pflichten eingreifen. Verpflichtete nach dem Geldwäschegesetz müssen Kunden identifizieren, wirtschaftlich Berechtigte ermitteln und Verdachtsfälle prüfen. Unternehmen mit relevanten Lieferketten können nach dem Lieferkettensorgfaltspflichtengesetz risikobasierte Pflichten treffen. Geschäfte mit bestimmten Staaten, Personen oder Gütern können durch EU-Sanktionsverordnungen, das Außenwirtschaftsgesetz und die Außenwirtschaftsverordnung beschränkt oder verboten sein.

Entscheidend ist daher nicht die Frage, ob es eine „eine“ gesetzliche Pflicht zur Geschäftspartnerprüfung gibt. Entscheidend ist, welches Risikoprofil die konkrete Beziehung hat und welche gesetzlichen, vertraglichen und internen Anforderungen daraus folgen.

Gesetzliche Grundlagen: Welche Pflichten können eine Geschäftspartnerprüfung auslösen?

Die rechtlichen Grundlagen der Geschäftspartnerprüfung sind vielschichtig. Unternehmen sollten zunächst prüfen, ob sie einer ausdrücklich geregelten Identifizierungs-, Sorgfalts- oder Überwachungspflicht unterliegen. Danach ist zu bewerten, ob sich aus allgemeinen Organisationspflichten ein risikobasierter Prüfbedarf ergibt. Gerade international tätige Unternehmen in Hamburg, München oder Frankfurt am Main treffen häufig mehrere Pflichtenkreise gleichzeitig, etwa bei Exportgeschäften, Finanzierungsstrukturen, Vertriebspartnern und komplexen Lieferketten.

Das Geldwäschegesetz verpflichtet bestimmte Unternehmen und Berufsgruppen zu allgemeinen, vereinfachten oder verstärkten Sorgfaltspflichten. Verpflichtete müssen unter anderem den Vertragspartner identifizieren, wirtschaftlich Berechtigte feststellen, den Zweck der Geschäftsbeziehung verstehen und die Beziehung fortlaufend überwachen. Nicht jedes Unternehmen ist Verpflichteter nach dem Geldwäschegesetz. Allerdings können geldwäscherechtliche Risiken auch außerhalb des unmittelbaren Anwendungsbereichs relevant werden, etwa bei ungewöhnlichen Zahlungsstrukturen, Treuhandmodellen oder Drittzahlungen.

Das Sanktionsrecht ist besonders strikt. EU-Verordnungen können unmittelbar verbieten, gelisteten Personen oder Organisationen Gelder oder wirtschaftliche Ressourcen zur Verfügung zu stellen. Hier hilft der Einwand, man habe den Geschäftspartner nicht gekannt, nur begrenzt. Unternehmen müssen organisatorisch sicherstellen, dass relevante Sanktionslisten angemessen geprüft werden. Umfang und Frequenz hängen vom Geschäft ab; bei internationalem Handel oder Finanztransaktionen sind engmaschigere Kontrollen regelmäßig naheliegend.

Im Lieferkettenrecht geht es um menschenrechtliche und umweltbezogene Risiken. Das deutsche Lieferkettensorgfaltspflichtengesetz verpflichtet größere Unternehmen zu einem Risikomanagement, Risikoanalysen, Präventions- und Abhilfemaßnahmen sowie Beschwerdeverfahren. Auch kleinere Unternehmen können mittelbar betroffen sein, wenn größere Auftraggeber entsprechende Nachweise vertraglich verlangen. Die europäische Lieferkettenrichtlinie wird diese Anforderungen in den kommenden Jahren weiter prägen, wobei die konkrete Umsetzung und Anwendbarkeit sorgfältig zu prüfen ist.

Weitere Grundlagen ergeben sich aus dem Außenwirtschaftsrecht, Korruptionsstrafrecht, Steuerrecht, Datenschutzrecht und Kartellrecht. Zahlungen an Vermittler können Bestechungs- oder Untreuerisiken auslösen. Unklare Rechnungsstrukturen können steuerliche Risiken begründen. Die Verarbeitung von Prüfungsdaten muss mit der DSGVO vereinbar sein. Wettbewerbsrelevante Informationen dürfen nicht unzulässig ausgetauscht werden. Eine rechtssichere Geschäftspartnerprüfung betrachtet diese Bereiche nicht isoliert, sondern ordnet sie anhand des konkreten Geschäftsmodells zusammen.

Abgrenzung: Geschäftspartnerprüfung, KYC, Bonitätsprüfung und Lieferantenprüfung

In der Praxis werden Begriffe wie Geschäftspartnerprüfung, KYC, Bonitätsprüfung, Lieferantenprüfung und Compliance Due Diligence häufig vermischt. Das ist nachvollziehbar, kann aber zu falschen Erwartungen führen. Eine Bonitätsauskunft beantwortet beispielsweise nicht, ob ein Geschäftspartner sanktionsrechtlich gelistet ist oder ob ein Vermittler für Korruptionsrisiken steht. Umgekehrt ersetzt eine Sanktionslistenprüfung nicht die wirtschaftliche Bewertung, ob ein Lieferant leistungsfähig ist.

Die Abgrenzung ist rechtlich relevant, weil unterschiedliche Prüfungen unterschiedliche Zwecke, Datenquellen, Verantwortlichkeiten und Dokumentationspflichten haben. Unternehmen sollten daher nicht nur ein Formular verwenden, sondern den Prüfzweck klar definieren. Andernfalls entsteht das Risiko, dass zwar „irgendetwas“ geprüft wurde, die tatsächlich naheliegenden Risiken aber unbeachtet bleiben.

Die Geschäftspartnerprüfung ist damit der übergeordnete risikobasierte Ansatz. Sie kann Elemente einer KYC-Prüfung, Bonitätsprüfung oder Lieferantenprüfung enthalten, muss aber nicht immer alle Bereiche in gleicher Tiefe abdecken. Ein kleiner Dienstleistungsvertrag im Inland verlangt regelmäßig weniger Prüfung als ein Provisionsvertrag mit einem Vermittler, der für öffentliche Auftraggeber in einem Drittstaat tätig wird.

Gerade diese Abstufung ist wichtig. Zu geringe Prüfung kann Haftungsrisiken schaffen; übermäßige Prüfung kann unverhältnismäßig, datenschutzrechtlich problematisch oder wirtschaftlich kaum praktikabel sein. Sinnvoll ist deshalb ein risikobasierter Prüfrahmen mit Schwellenwerten, Eskalationsstufen und klarer Zuständigkeit. So lässt sich im Nachhinein nachvollziehen, warum eine Prüfung kurz gehalten oder vertieft durchgeführt wurde.

Wann ist eine Geschäftspartnerprüfung besonders wichtig?

Nicht jede Geschäftsbeziehung verlangt dieselbe Intensität. Eine Geschäftspartnerprüfung wird besonders relevant, wenn objektive Risikofaktoren hinzutreten. Dazu zählen unter anderem Auslandsgeschäfte, Bargeldnähe, ungewöhnliche Zahlungswege, hohe Provisionszahlungen, Beteiligung staatlicher Stellen, politisch exponierte Personen, komplexe Eigentümerstrukturen oder Geschäfte mit regulierten Gütern. Auch Zeitdruck, fehlende Transparenz oder widersprüchliche Angaben sind Warnsignale.

Ein typischer Fall ist der Einsatz eines Handelsvertreters oder Beraters in einem neuen Markt. Das Unternehmen möchte schnell Zugang zu Kunden erhalten. Der Vermittler verlangt eine hohe erfolgsabhängige Provision, nennt aber keine klaren Leistungsbeiträge. Zusätzlich sollen Zahlungen auf ein Konto in einem Drittstaat erfolgen. Hier reicht eine einfache Handelsregisterprüfung regelmäßig nicht aus. Zu prüfen sind Identität, wirtschaftlich Berechtigte, Referenzen, Leistungsbeschreibung, Vergütungsangemessenheit, Antikorruptionsklauseln, Sanktionslisten und steuerliche Plausibilität.

Ein weiterer Praxisfall betrifft Lieferanten in komplexen Lieferketten. Ein deutsches Unternehmen bezieht Vorprodukte über mehrere Zwischenhändler. Der unmittelbare Lieferant sitzt in der EU, verweist aber auf Produktionsstätten außerhalb Europas. Wenn Hinweise auf menschenrechtliche Risiken, Umweltverstöße oder Embargorisiken bestehen, kann eine vertiefte Lieferantenprüfung erforderlich werden. Dabei ist zu unterscheiden, ob das Unternehmen unmittelbar gesetzlich verpflichtet ist oder ob Anforderungen über Verträge mit größeren Kunden weitergegeben werden.

Auch bei Großkunden kann eine Prüfung erforderlich sein. Das gilt etwa, wenn ungewöhnlich hohe Vorauszahlungen angeboten werden, der Kunde eine abweichende Lieferadresse verlangt oder die wirtschaftlich Berechtigten unklar bleiben. Unternehmen denken häufig zuerst an Lieferantenrisiken, übersehen aber, dass auch Kundenbeziehungen Sanktions-, Geldwäsche-, Exportkontroll- und Betrugsrisiken enthalten können.

Besonders sorgfältig sollte geprüft werden, wenn mehrere Risikofaktoren zusammentreffen. Ein einzelnes Indiz muss nicht zwangsläufig gegen die Geschäftsbeziehung sprechen. Eine Häufung ungeklärter Punkte kann jedoch bedeuten, dass der Vertrag erst nach Freigabe durch Compliance, Rechtsabteilung oder Geschäftsleitung geschlossen werden sollte.

Typische Fallkonstellationen aus der Unternehmenspraxis

Die rechtlichen Anforderungen werden greifbarer, wenn man sie an wiederkehrenden Konstellationen betrachtet. Eine Geschäftspartnerprüfung ist kein Selbstzweck. Sie soll konkrete Fehlentscheidungen vermeiden: den Vertrag mit einem gelisteten Unternehmen, die Zahlung an einen Strohmann, die Beauftragung eines korruptionsnahen Vermittlers oder die Lieferung von Gütern, die exportkontrollrechtlich problematisch sind.

In der Praxis treten insbesondere folgende Konstellationen auf:

• Vertriebspartner im Ausland: Ein deutscher Hersteller möchte Produkte über einen lokalen Distributor vertreiben. Zu prüfen sind Eigentümerstruktur, Sanktionsbezug, kartellrechtliche Exklusivitätsregelungen, Antikorruptionsrisiken und Exportbeschränkungen.
• Berater mit Nähe zu Behörden: Ein Consultant bietet Unterstützung bei Ausschreibungen oder Genehmigungen an. Hier sind Leistung, Vergütung, Interessenkonflikte und mögliche Nähe zu Amtsträgern genau zu dokumentieren.
• Lieferant mit Unterauftragnehmern: Der direkte Lieferant wirkt zuverlässig, verweist aber auf Subunternehmer in Risikoregionen. Relevanz haben Lieferkettenpflichten, Herkunftsnachweise, Audit-Rechte und vertragliche Informationspflichten.
• Kunde mit ungewöhnlichem Zahlungsmodell: Der Vertragspartner möchte durch Dritte zahlen lassen oder mehrere kleine Teilzahlungen vornehmen. Das kann geldwäscherechtliche, steuerliche oder betrugsbezogene Fragen aufwerfen.
• Joint Venture oder strategische Kooperation: Eine langfristige Partnerschaft mit gemeinsamer Marktpräsenz erfordert regelmäßig eine breitere Prüfung, weil Verhalten des Partners dem eigenen Unternehmen wirtschaftlich und reputationsbezogen zugerechnet werden kann.
• Unternehmensnahe Dienstleister: IT-Dienstleister, Personalvermittler oder ausgelagerte Buchhaltungsstellen können Datenschutz-, Geheimhaltungs- und arbeitsrechtliche Risiken begründen.

Ein Beispiel: Ein mittelständisches Maschinenbauunternehmen aus Bayern erhält über einen Vermittler eine Anfrage aus dem Ausland. Die Lieferung betrifft keine offensichtlich militärischen Güter, aber einzelne Komponenten können technisch auch anderweitig verwendet werden. Der Vermittler drängt auf schnelle Vertragsunterzeichnung und möchte die Provision an eine Gesellschaft zahlen lassen, die nicht Vertragspartei ist. In einem solchen Fall sollten Sanktionslisten, Endverwendungsangaben, Exportkontrollklassifizierung, wirtschaftlich Berechtigte und Zahlungswege geprüft werden. Ohne diese Prüfung kann das Unternehmen später Schwierigkeiten haben, die Sorgfalt seiner Entscheidung nachzuweisen.

Ein anderes Beispiel betrifft ein Start-up in Hamburg, das einen großen Vertriebspartner gewinnt. Der Partner verlangt Zugriff auf Kundendaten und nutzt eigene Subdienstleister. Neben der wirtschaftlichen Prüfung sind hier Datenschutzvereinbarungen, technische und organisatorische Maßnahmen, Auftragsverarbeitung oder gemeinsame Verantwortlichkeit sowie Geheimhaltungspflichten zu klären. Die Geschäftspartnerprüfung berührt damit nicht nur Compliance, sondern auch Vertragsgestaltung und operative Umsetzung.

Geschäftspartnerprüfung und Datenschutz: Welche Daten dürfen verarbeitet werden?

Eine Geschäftspartnerprüfung verarbeitet regelmäßig personenbezogene Daten. Das betrifft Geschäftsführer, Gesellschafter, wirtschaftlich Berechtigte, Ansprechpartner, politisch exponierte Personen, Referenzgeber oder Personen, die in Medienberichten genannt werden. Daher muss die Prüfung mit der Datenschutz-Grundverordnung vereinbar sein. Der Zweck Compliance rechtfertigt nicht jede Datenerhebung in beliebiger Tiefe.

Rechtsgrundlage kann je nach Konstellation Art. 6 Abs. 1 lit. c DSGVO sein, wenn eine gesetzliche Pflicht besteht, etwa geldwäscherechtliche Identifizierungspflichten. In anderen Fällen kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht, wenn das Unternehmen ein berechtigtes Interesse an der Risikoprüfung hat und die Interessen der betroffenen Personen nicht überwiegen. Bei besonderen Kategorien personenbezogener Daten oder strafrechtlich relevanten Informationen sind erhöhte Anforderungen zu beachten.

Praktisch wichtig ist der Grundsatz der Datenminimierung. Unternehmen sollten nur solche Informationen erheben, die für den konkreten Prüfzweck erforderlich sind. Eine pauschale Internetrecherche ohne Kriterien, unbegrenzte Speicherung von Medienberichten oder das ungeprüfte Sammeln sensibler Informationen kann datenschutzrechtlich problematisch sein. Ebenso sollte geklärt werden, wer Zugriff auf die Prüfdaten hat und wie lange diese aufbewahrt werden.

Informationspflichten nach Art. 13 und 14 DSGVO sind zu berücksichtigen. Allerdings können im Einzelfall Ausnahmen oder abgestufte Informationskonzepte in Betracht kommen, etwa wenn Informationen nicht direkt bei der betroffenen Person erhoben werden und überwiegende Interessen entgegenstehen. Dies ist jedoch sorgfältig zu prüfen und zu dokumentieren.

Auch Dienstleister, die Screening-Tools, Datenbanken oder Auskunfteien bereitstellen, müssen datenschutzrechtlich eingeordnet werden. Je nach Ausgestaltung kann eine Auftragsverarbeitung, eine gemeinsame Verantwortlichkeit oder eine eigenständige Verantwortlichkeit vorliegen. Verträge, Löschkonzepte und Zugriffskontrollen sollten daher Bestandteil des Prüfprozesses sein.

Risiken und Haftung bei fehlender oder fehlerhafter Prüfung

Eine unterlassene oder unzureichende Geschäftspartnerprüfung kann erhebliche Folgen haben. Dabei geht es nicht nur um Bußgelder. Risiken können strafrechtlicher, zivilrechtlicher, aufsichtsrechtlicher, steuerlicher und reputationsbezogener Natur sein. Welche Folgen konkret drohen, hängt vom Pflichtenkreis des Unternehmens, vom Verschulden, vom Umfang des Verstoßes und vom eingetretenen Schaden ab.

Im Sanktionsrecht können Verstöße gegen Bereitstellungsverbote oder Genehmigungspflichten empfindliche Konsequenzen auslösen. Im Außenwirtschaftsrecht kommen Bußgelder und in schweren Fällen strafrechtliche Risiken in Betracht. Bei geldwäscherechtlich Verpflichteten können Aufsichtsmaßnahmen und Bußgelder drohen, wenn Identifizierung, Dokumentation oder Verdachtsmeldungen fehlerhaft gehandhabt werden. Im Korruptionskontext können Zahlungen an Vermittler oder Berater strafrechtliche Ermittlungen, Vermögensabschöpfung und interne Haftungsfragen auslösen.

Zivilrechtlich kann sich die Frage stellen, ob Geschäftsleiter oder leitende Mitarbeiter interne Pflichten verletzt haben. Wenn ein Unternehmen wegen einer vermeidbaren Compliance-Verletzung Schäden erleidet, können Organhaftungsfragen entstehen. Auch vertragliche Folgen sind möglich, etwa Kündigung, Schadensersatz, Ausschluss von Ausschreibungen oder Verletzung von Compliance-Zusicherungen gegenüber Kunden.

Typische Fehler sind:

• Prüfungen werden erst nach Vertragsunterzeichnung durchgeführt.
• Die Identität des Vertragspartners wird geprüft, nicht aber der wirtschaftlich Berechtigte.
• Sanktionslisten werden nur einmal und nicht risikobasiert fortlaufend kontrolliert.
• Warnsignale wie Drittzahlungen, Briefkastenadressen oder ungewöhnliche Provisionen werden nicht eskaliert.
• Die Prüfung wird zwar durchgeführt, aber nicht nachvollziehbar dokumentiert.
• Vertrieb und Einkauf nutzen eigene informelle Prozesse ohne zentrale Freigabe.
• Datenschutzrechtliche Grenzen werden übersehen, etwa bei Medien- und Hintergrundrecherchen.
• Verträge enthalten keine Audit-, Kündigungs-, Informations- oder Compliance-Klauseln.

Zu beachten ist allerdings: Nicht jede spätere Pflichtverletzung eines Geschäftspartners bedeutet automatisch, dass die eigene Prüfung fehlerhaft war. Rechtlich kommt es darauf an, ob aus damaliger Sicht angemessene Informationen eingeholt, erkennbare Warnsignale bewertet und sachgerechte Maßnahmen getroffen wurden. Eine gute Dokumentation schützt nicht vor jeder Haftung, kann aber entscheidend sein, um die Sorgfalt der Entscheidung nachvollziehbar zu machen.

Fristen, Aktualisierung und Verjährung: Wie lange muss geprüft und dokumentiert werden?

Die Geschäftspartnerprüfung ist kein einmaliges Ereignis, das nach Vertragsabschluss endgültig erledigt ist. Viele Risiken ändern sich während der Geschäftsbeziehung. Unternehmen werden neu strukturiert, wirtschaftlich Berechtigte wechseln, Sanktionen werden erweitert, Lieferketten verlagern sich oder neue Zahlwege werden genutzt. Deshalb sollte die Prüfung risikobasiert aktualisiert werden.

Starre gesetzliche Aktualisierungsfristen bestehen nicht für alle Unternehmen. Im Geldwäschegesetz gibt es jedoch Vorgaben zur laufenden Überwachung und Aktualisierung von Kundendaten. Im Lieferkettenrecht sind regelmäßige und anlassbezogene Risikoanalysen vorgesehen. Im Sanktionsrecht ist praktisch zu beachten, dass Listungen kurzfristig erfolgen können; Unternehmen mit relevantem Außenwirtschaftsbezug sollten daher geeignete Screening-Intervalle oder automatisierte Prüfungen vorsehen.

Für die interne Praxis bieten sich Fristen nach Risikoklassen an. Niedrigrisiko-Geschäftspartner können etwa in größeren Abständen überprüft werden, während Hochrisikopartner vor jeder wesentlichen Transaktion oder bei Änderung relevanter Umstände erneut geprüft werden. Solche Intervalle sollten nicht schematisch übernommen, sondern an Branche, Transaktionsvolumen und Rechtsrisiken angepasst werden.

Dokumentations- und Aufbewahrungsfristen ergeben sich aus unterschiedlichen Vorschriften. Handels- und steuerrechtliche Unterlagen sind regelmäßig sechs oder zehn Jahre aufzubewahren, je nach Art des Dokuments. Geldwäscherechtliche Aufzeichnungen unterliegen eigenen Aufbewahrungspflichten. Vertrags- und Haftungsunterlagen sollten zudem im Blick auf zivilrechtliche Verjährungsfristen aufbewahrt werden. Die regelmäßige Verjährungsfrist beträgt grundsätzlich drei Jahre ab Jahresende, kann aber je nach Anspruchsgrundlage, Kenntnis, deliktischer Haftung oder vertraglicher Gestaltung abweichen.

Wichtig ist die Verbindung von Fristenmanagement und Datenschutz. Daten dürfen nicht unbegrenzt gespeichert werden, nur weil sie irgendwann nützlich sein könnten. Andererseits kann eine zu frühe Löschung die Verteidigung gegen Ansprüche oder Behördenvorwürfe erschweren. Unternehmen sollten daher ein Lösch- und Aufbewahrungskonzept erstellen, das gesetzliche Pflichten, Verjährung, Nachweisinteressen und Datenschutz in Einklang bringt.

Beweisfragen und Dokumentation: Was sollte nachvollziehbar festgehalten werden?

In einem Streitfall oder bei einer behördlichen Prüfung zählt nicht nur, ob eine Geschäftspartnerprüfung tatsächlich erfolgt ist. Entscheidend ist, ob sie nachvollziehbar, zeitlich zuordenbar und inhaltlich angemessen dokumentiert wurde. Eine bloße mündliche Aussage, man habe den Partner „natürlich geprüft“, genügt meist nicht. Auch ein unsortierter E-Mail-Verlauf ersetzt kein belastbares Prüfprotokoll.

Die Dokumentation sollte erkennen lassen, welche Risiken identifiziert wurden, welche Quellen genutzt wurden, welche Warnsignale bestanden und warum die Geschäftsbeziehung freigegeben, abgelehnt oder mit Auflagen versehen wurde. Besonders wichtig ist die Dokumentation der Entscheidungsgrundlage zum Zeitpunkt der Freigabe. Spätere Erkenntnisse dürfen die damalige Bewertung nicht verfälschen, können aber Anlass für eine erneute Prüfung geben.

Benötigte Nachweise können insbesondere sein:

• Handelsregisterauszüge, Gewerbenachweise oder vergleichbare Registerdokumente.
• Angaben zu Gesellschaftern, wirtschaftlich Berechtigten und Konzernstruktur.
• Sanktionslisten- und PEP-Screening mit Datum, Quelle und Ergebnis.
• Bonitätsauskünfte, Jahresabschlüsse oder Insolvenzauskünfte, soweit relevant.
• Fragebögen zu Compliance, Lieferkette, Datenschutz oder Exportkontrolle.
• Nachweise zu Zertifizierungen, Audits, Genehmigungen oder Lizenzen.
• Vertragsentwürfe mit Compliance-, Kündigungs-, Audit- und Informationsklauseln.
• Interne Freigaben, Eskalationsentscheidungen und Risikobewertungen.
• Kommunikation zu auffälligen Punkten, etwa Erklärungen zu Drittzahlungen.

Die Qualität der Dokumentation sollte zur Risikostufe passen. Bei einfachen Inlandsgeschäften kann eine kurze Checkliste genügen. Bei Hochrisikokonstellationen sollte ein Prüfvermerk erstellt werden, der die rechtliche Bewertung und die Entscheidung begründet. Werden externe Datenbanken genutzt, sollte gespeichert werden, welche Datenbank wann abgefragt wurde und welches Ergebnis angezeigt wurde.

Beweisrechtlich ist auch die Integrität der Unterlagen relevant. Änderungen sollten nachvollziehbar sein. Zugriffe sollten beschränkt werden. Bei sensiblen Prüfergebnissen empfiehlt sich eine klare Trennung zwischen operativen Informationen und vertraulicher Rechtsbewertung. So können Unternehmen sowohl ihre Nachweispflichten erfüllen als auch interne Vertraulichkeit und Datenschutz wahren.

Geschäftspartnerprüfung in der Praxis: Schritte von der Anfrage bis zur laufenden Überwachung

Ein tragfähiger Prüfprozess muss im Alltag funktionieren. Zu komplexe Abläufe werden häufig umgangen; zu einfache Prozesse erfassen relevante Risiken nicht. Sinnvoll ist ein risikobasierter Workflow, der Einkauf, Vertrieb, Legal, Compliance, Datenschutz, Exportkontrolle und Geschäftsleitung je nach Fall angemessen einbindet.

Die folgenden Schritte bieten einen praxistauglichen Rahmen. Sie müssen an Branche, Unternehmensgröße und Risikoprofil angepasst werden:

1. Geschäftsbeziehung einordnen: Klären Sie, ob es um Lieferant, Kunde, Vermittler, Berater, Joint-Venture-Partner, Dienstleister oder Unterauftragnehmer geht. Der Prüfmaßstab hängt wesentlich von der Rolle ab.
2. Risikostufe vorläufig bestimmen: Bewerten Sie Land, Branche, Produkt, Transaktionsvolumen, Zahlungsweg, staatliche Berührungspunkte und Zeitdruck. Legen Sie fest, ob eine Basisprüfung oder vertiefte Prüfung erforderlich ist.
3. Identität und Vertretungsberechtigung prüfen: Beschaffen Sie aktuelle Registerauszüge, Vollmachten und Ansprechpartnerdaten. Dokumentieren Sie das Datum der Abfrage.
4. Wirtschaftlich Berechtigte und Eigentümerstruktur klären: Ermitteln Sie, wer den Partner tatsächlich kontrolliert. Bei komplexen Strukturen sollten Unklarheiten vor Freigabe aufgelöst werden.
5. Sanktions-, PEP- und Embargoprüfung durchführen: Prüfen Sie relevante Listen vor Vertragsschluss und bei erhöhtem Risiko regelmäßig erneut. Bei Exportgeschäften sollte dies vor Lieferung und Zahlung aktualisiert werden.
6. Bonität und wirtschaftliche Plausibilität bewerten: Prüfen Sie Ausfallrisiken, ungewöhnliche Preisgestaltung, Vorkassemodelle oder Drittzahlungen. Halten Sie fest, welche Quellen genutzt wurden.
7. Compliance- und Integritätsrisiken prüfen: Bewerten Sie Korruptionsrisiken, Interessenkonflikte, Referenzen, Medienhinweise, frühere Rechtsverstöße und die Angemessenheit von Provisionen.
8. Lieferketten-, Datenschutz- und Exportkontrollfragen klären: Erfassen Sie Herkunft, Unterauftragnehmer, Datenzugriffe, technische Güterklassifizierung und Genehmigungserfordernisse.
9. Warnsignale eskalieren: Legen Sie fest, wer bei Red Flags entscheidet. Eine Freigabe trotz Warnsignal sollte begründet, datiert und mit Auflagen versehen werden.
10. Vertragliche Sicherungen aufnehmen: Nutzen Sie Compliance-Zusicherungen, Audit-Rechte, Informationspflichten, Kündigungsrechte, Datenschutzvereinbarungen und Zahlungsregelungen.
11. Freigabe dokumentieren: Speichern Sie Prüfprotokoll, Nachweise, Risikoklasse und Entscheidung an einem zentralen Ort. Achten Sie auf Aufbewahrungs- und Löschfristen.
12. Laufende Überwachung organisieren: Definieren Sie Aktualisierungsintervalle und anlassbezogene Prüfungen, etwa bei Eigentümerwechsel, neuen Ländern, geänderten Zahlwegen oder Medienhinweisen.

In vielen Unternehmen scheitert die Umsetzung weniger an fehlendem Wissen als an unklaren Zuständigkeiten. Deshalb sollten Prozesse verbindlich geregelt werden: Wer darf einen Geschäftspartner anlegen? Wer prüft Sanktionslisten? Wer entscheidet bei Hochrisiko? Wer kontrolliert die Aktualisierung? Ohne solche Verantwortlichkeiten bleibt die Geschäftspartnerprüfung leicht eine papierhafte Compliance-Maßnahme.

Ebenso wichtig ist die Schulung der operativen Bereiche. Vertrieb, Einkauf und Projektmanagement erkennen Warnsignale häufig zuerst. Sie sollten wissen, wann eine Zahlung, eine Vertragsklausel oder eine ungewöhnliche Kommunikationsstruktur eskaliert werden muss. Eine praxistaugliche Checkliste kann dabei mehr bewirken als ein umfangreiches Handbuch, das im Tagesgeschäft nicht genutzt wird.

Vertragliche Absicherung nach der Prüfung

Die Geschäftspartnerprüfung endet nicht mit der Entscheidung, ob ein Vertrag geschlossen wird. Häufig besteht das sachgerechte Ergebnis darin, die Zusammenarbeit zuzulassen, aber rechtlich abzusichern. Verträge sollten die identifizierten Risiken aufnehmen und konkrete Pflichten des Partners formulieren. Allgemeine Compliance-Bekenntnisse sind hilfreich, ersetzen aber keine präzisen Regelungen.

Je nach Risikoprofil kommen Zusicherungen in Betracht, dass der Vertragspartner nicht sanktionsgelistet ist, keine gelisteten Personen kontrollierend beteiligt sind und keine verbotenen Bereitstellungen erfolgen. Bei Vertriebspartnern und Beratern sollten Antikorruptionsklauseln, Dokumentationspflichten für Leistungen, Verbot unangemessener Vorteile und klare Provisionsregelungen vorgesehen werden. Bei Lieferanten können Herkunftsnachweise, Weitergabepflichten an Subunternehmer, Audit-Rechte und Abhilfemaßnahmen wichtig sein.

Datenschutzrechtlich sind Auftragsverarbeitungsverträge, gemeinsame Verantwortlichkeitsvereinbarungen oder Vertraulichkeitsregelungen zu prüfen. IT-Dienstleister sollten technische und organisatorische Maßnahmen nachweisen. Bei exportkontrollrelevanten Gütern können Endverbleibserklärungen, Genehmigungsvorbehalte und Kündigungsrechte erforderlich sein.

Auch Zahlungsregelungen verdienen besondere Aufmerksamkeit. Zahlungen sollten grundsätzlich an den Vertragspartner auf ein nachvollziehbares Konto erfolgen. Drittzahlungen, Offshore-Konten oder Barzahlungen sind nicht stets unzulässig, müssen aber erklärt und dokumentiert werden. Bei Provisionen sollte die Vergütung in einem angemessenen Verhältnis zur nachweisbaren Leistung stehen.

Wichtig ist außerdem ein vertraglicher Mechanismus für Veränderungen. Der Partner sollte verpflichtet werden, Änderungen bei Eigentümerstruktur, wirtschaftlich Berechtigten, Sanktionsbezug, Unterauftragnehmern oder relevanten Genehmigungen mitzuteilen. Ohne solche Informationspflichten kann ein ursprünglich akzeptables Risiko während der Vertragslaufzeit unbemerkt wachsen.

Interne Organisation: Wer ist verantwortlich?

Eine rechtlich belastbare Geschäftspartnerprüfung setzt klare interne Verantwortlichkeiten voraus. Die Geschäftsleitung trägt die Gesamtverantwortung für eine angemessene Compliance-Organisation. Sie muss nicht jede Prüfung selbst durchführen, muss aber Strukturen schaffen, die Risiken erfassen, Zuständigkeiten definieren und Eskalationen ermöglichen. Was angemessen ist, hängt von Größe, Branche, Internationalität und Risikoprofil des Unternehmens ab.

In kleineren Unternehmen kann ein schlanker Prozess ausreichend sein, bei dem Geschäftsführung, Buchhaltung und Einkauf definierte Prüfschritte durchführen. In größeren Unternehmen sind häufig getrennte Rollen sinnvoll: Einkauf oder Vertrieb initiieren die Prüfung, Compliance bewertet Integritätsrisiken, Legal prüft Vertrags- und Haftungsfragen, Datenschutz beurteilt Datenverarbeitungen, Exportkontrolle bewertet Güter und Länder, Finance prüft Zahlungs- und Bonitätsrisiken.

Ein häufiger Fehler besteht darin, Verantwortung ausschließlich an die Fachabteilung auszulagern, die den Vertrag abschließen möchte. Diese Abteilung hat naturgemäß ein Interesse am Geschäft. Das bedeutet nicht, dass sie ungeeignet ist, Informationen zu beschaffen. Die finale Freigabe bei erhöhtem Risiko sollte aber von einer unabhängigen oder zumindest kontrollierenden Stelle begleitet werden.

Richtlinien sollten verständlich und handhabbar sein. Sie können insbesondere regeln:

• welche Geschäftspartner vor Vertragsbeginn geprüft werden müssen,
• welche Risikofaktoren eine vertiefte Prüfung auslösen,
• welche Datenquellen und Formulare zu nutzen sind,
• wer bei Red Flags entscheidet,
• welche Mindestklauseln vertraglich aufzunehmen sind,
• wie Prüfungen aufzubewahren und zu aktualisieren sind,
• welche Schulungen operative Bereiche erhalten.

Interne Audits oder Stichproben können zeigen, ob der Prozess tatsächlich angewandt wird. Entscheidend ist nicht, dass jedes Unternehmen ein umfangreiches Compliance-System nach Konzernstandard einführt. Entscheidend ist, dass der Prüfprozess zum Risiko passt und im Ernstfall nachvollziehbar belegt werden kann.

Besonderheiten bei internationalen Geschäftspartnern

Internationale Geschäftsbeziehungen erhöhen nicht automatisch das rechtliche Risiko, sie machen die Prüfung aber regelmäßig komplexer. Registerdaten können schwerer zugänglich sein, Eigentümerstrukturen sind mitunter verschachtelt, lokale Geschäftspraktiken unterscheiden sich, und rechtliche Begriffe sind nicht immer deckungsgleich. Zudem können deutsche, europäische und ausländische Vorgaben gleichzeitig relevant werden.

Bei internationalen Geschäftspartnern sollte zunächst geklärt werden, welches Recht auf den Vertrag anwendbar ist und welcher Gerichtsstand vereinbart wird. Das ist keine reine Formalie. Rechtswahl, Gerichtsstand, Schiedsklauseln, Vollstreckbarkeit und Sprache der Vertragsdokumente können bestimmen, wie wirksam Ansprüche später durchgesetzt werden können. Bei Partnern außerhalb der EU ist außerdem zu prüfen, ob Urteile oder Schiedssprüche praktisch vollstreckbar sind.

Sanktions- und Exportkontrollfragen verdienen besondere Aufmerksamkeit. EU-Sanktionen gelten unmittelbar und können nicht durch ausländische Vertragsgestaltung umgangen werden. Daneben können US-Sanktionen oder andere ausländische Regelwerke mittelbar relevant sein, etwa bei US-Produkten, US-Dollar-Zahlungen oder Konzernbezug. Ob und in welchem Umfang solche Regeln anwendbar sind, ist im Einzelfall zu prüfen.

Auch Antikorruptionsrisiken werden bei internationalen Vermittlern und staatlich geprägten Märkten bedeutsam. Zahlungen an Personen mit Nähe zu Behörden, unklare Beratungsleistungen oder ungewöhnliche Erfolgsprovisionen sollten nicht allein mit lokalen Gepflogenheiten erklärt werden. Erforderlich sind nachvollziehbare Leistungsbeschreibungen, angemessene Vergütung und dokumentierte Freigaben.

Praktisch hilfreich ist ein Länder- und Branchenrisikomodell. Es sollte jedoch nicht mechanisch angewandt werden. Ein Geschäftspartner in einem vermeintlich risikoarmen Land kann wegen Eigentümerstruktur, Produkt oder Zahlungsweg problematisch sein. Umgekehrt kann ein Partner in einem Hochrisikoland unter strengen Auflagen vertretbar sein, wenn die rechtlichen Risiken geprüft und beherrschbar sind.

FAQ zur Geschäftspartnerprüfung

Fazit: Geschäftspartnerprüfung als risikobasierte Organisationsaufgabe

Die Geschäftspartnerprüfung ist ein zentrales Instrument, um rechtliche, wirtschaftliche und reputationsbezogene Risiken vor und während einer Geschäftsbeziehung zu steuern. Sie ist keine starre Formalie und auch kein Ersatz für eine rechtliche Einzelfallbewertung. Entscheidend sind ein klarer Prüfzweck, eine angemessene Risikoeinstufung, nachvollziehbare Nachweise und eine dokumentierte Entscheidung.

Priorität haben Identität, wirtschaftlich Berechtigte, Sanktions- und Exportkontrollfragen, Zahlungswege, Korruptionsrisiken sowie vertragliche Sicherungen. Bei Lieferketten-, Datenschutz- oder Geldwäscherisiken sind zusätzliche Anforderungen zu beachten. Unternehmen sollten Prozesse so gestalten, dass operative Bereiche Warnsignale erkennen und eskalieren können.

Ob eine konkrete Geschäftsbeziehung zulässig, vertretbar oder nur mit Auflagen möglich ist, hängt vom Einzelfall ab. Eine sorgfältige Geschäftspartnerprüfung schafft keine vollständige Risikofreiheit, verbessert aber die Entscheidungsgrundlage und die Nachweisbarkeit unternehmerischer Sorgfalt.