Prüfereignis bestimmen
Beispielsweise Neuanlage eines Kunden oder Lieferanten, Freigabe eines Auftrags, Änderung relevanter Stammdaten oder ein geplanter Wiederholungslauf. Der Anlass wird mit der internen Vorgangsnummer verknüpft.
Arbeitsanweisung für Fachabteilungen, Compliance und IT
Sanktionslistenprüfung sicher in den Arbeitsalltag einbauen
Dieser Leitfaden zeigt, wie eine Prüfung vorbereitet, durchgeführt, bewertet und dokumentiert werden kann – manuell für Einzelfälle oder automatisiert per API. Er beschreibt einen belastbaren Arbeitsprozess, ersetzt aber weder die unternehmenseigene Risikoanalyse noch eine rechtliche Einzelfallprüfung.
Geltungsbereich dieses Leitfadens
Die Anwendung gleicht übermittelte Personendaten mit der konsolidierten Liste der Personen, Gruppen und Organisationen ab, die EU-Finanzsanktionen unterliegen. Der technische Abgleich unterstützt die Identitätsprüfung. Er deckt insbesondere keine vollständige Prüfung anderer nationaler oder ausländischer Listen, keine PEP-Prüfung und keine systematische Eigentums- oder Kontrollanalyse ab. Maßgeblich bleiben die einschlägigen Rechtsakte und der im Unternehmen definierte Freigabeprozess.
Verantwortung vor Technik
Rollen und Übergaben eindeutig festlegen
Ein Prüfwerkzeug entscheidet nicht, wer einen Vorgang freigeben darf. Diese Zuständigkeit muss vor dem ersten produktiven Einsatz feststehen.
| Rolle | Aufgabe | Erwartete Übergabe |
|---|---|---|
| Prozessverantwortung | Legt Prüfanlässe, Eskalationsstufen, Wiederholungsintervalle und Dokumentationsumfang fest. | Freigegebene Arbeitsanweisung und benannte Vertretung. |
| Fachabteilung | Erfasst vollständige, belastbare Personendaten und hält den Geschäftsvorgang bei unklarem Ergebnis an. | Interne Referenz, Datenquelle und Geschäftskontext. |
| Fachprüfung / Compliance | Vergleicht mögliche Treffer anhand weiterer Identifikatoren und dokumentiert die Bewertung. | Begründete Freigabe, Eskalation oder weitere Klärung. |
| IT / Integration | Sichert Token, Datenübertragung, Fehlerbehandlung, technische Protokolle und Versionswechsel ab. | Eindeutige Statuswerte; technische Fehler dürfen nicht als „kein Treffer“ gelten. |
| Datenschutz / Recht | Prüft Rechtsgrundlage, Rollenverteilung, Datenminimierung, Löschfristen und rechtlich schwierige Fälle. | Vorgaben für Verarbeitung und Aufbewahrung; fallbezogene Entscheidung, soweit erforderlich. |
Standardprozess
Sechs Schritte für eine nachvollziehbare Prüfung
Eingabedaten prüfen
Vorname, Nachname und Geburtsdatum werden aus einer belastbaren Quelle übernommen. Für den aktuellen API-Endpunkt ist das Geburtsdatum im Format YYYY-MM-DD erforderlich. Fehlende Werte werden nicht erfunden.
Abgleich ausführen
Einzelfälle können über die manuelle Oberfläche geprüft werden. Wiederkehrende Prozesse nutzen den API-Endpunkt. Die interne Referenz customer_id verbindet das Ergebnis mit dem eigenen Vorgang, ohne unnötige Zusatzdaten zu übertragen.
Technisches Ergebnis klassifizieren
found=No, found=Yes und eine fehlgeschlagene oder unvollständige Antwort sind drei unterschiedliche Zustände. Nur eine fachlich und technisch gültige Antwort darf in den Entscheidungsprozess eingehen.
Möglichen Treffer fachlich prüfen
Name, Aliasnamen, Geburtsangaben, Staatsangehörigkeit, Anschrift und weitere verfügbare Merkmale werden verglichen. Bei Zweifeln wird der Vorgang angehalten und an die festgelegte Stelle eskaliert.
Entscheidung dokumentieren
Mindestens Prüfanlass, Zeitpunkt, interne Referenz, verwendete Datenversion, Ergebnis, Prüfer und Begründung werden nach der eigenen Aufbewahrungsregel festgehalten. Bei fortbestehender Beziehung wird der nächste Prüfanlass bestimmt.
Ergebnis richtig lesen
Was die Rückgabe bedeutet – und was nicht
found = No
Kein technischer Treffer
Für die übermittelten Daten wurde in der verwendeten Datenversion kein passender Datensatz zurückgegeben. Der Vorgang kann nach der internen Regel weiterlaufen.
Nicht ableiten: rechtliche Unbedenklichkeit, Prüfung anderer Listen oder eine Aussage zu Eigentum und Kontrolle.
found = Yes
Möglicher Treffer
Die Antwort enthält mindestens einen Datensatz zur fachlichen Bewertung. Der Geschäftsvorgang bleibt bis zur vorgesehenen Prüfung offen oder angehalten.
Nicht ableiten: Identitätsgleichheit allein aus einem ähnlichen Namen oder eine automatische Ablehnung.
Technikfall
Keine verwertbare Entscheidung
Ungültiges Datum, Authentifizierungs- oder Limitfehler, Timeout und nicht parsebare Antworten sind weder No noch eine Freigabe. Der Client wiederholt kontrolliert oder leitet an den manuellen Prozess weiter.
Nicht zulässig: „Fail open“, also Freigabe nur deshalb, weil die Prüfung technisch nicht abgeschlossen wurde.
Optionale Beziehungen sind Kontext, keine Eigentumsprüfung
Mit include=relations kann die API Hinweise auf Beziehungen ergänzen, die konservativ aus Textfeldern der EU-Quelldaten abgeleitet und anderen bereits gelisteten Entitäten zugeordnet werden. Ein solcher Hinweis erweitert die manuelle Prüfung, beweist aber weder die Beziehung noch Eigentum, Kontrolle oder die Erfüllung einer 50-Prozent-Regel. Mehrdeutige und nicht auflösbare Hinweise müssen als solche behandelt werden.
Training mit realistischen Arbeitssituationen
Vier Fallbeispiele für die betriebliche Praxis
Die Namen und Referenzen in den Beispielen sind frei erfunden. Entscheidend ist der Arbeitsablauf, nicht das Beispielergebnis.
Neukunde vor Vertragsfreigabe
Ausgangslage
Ein Vertriebsmitarbeiter legt eine natürliche Person als neuen Vertragspartner an. Vor Vertragsfreigabe verlangt die interne Richtlinie eine Prüfung.
Vorgehen
- Datenquelle und Geburtsdatum prüfen.
- Manuelle Suche mit interner Vorgangsnummer ausführen.
- Bei
NoErgebnis, Datenversion und Zeitpunkt dokumentieren. - Freigabe nur nach der vorgesehenen Vertriebsregel erteilen.
Lernpunkt
No dokumentiert den technischen Abgleich zu diesem Zeitpunkt. Es ist keine allgemeine Bescheinigung über den Kunden.
Möglicher Treffer bei einem Lieferantenkontakt
Ausgangslage
Beim Anlegen eines neuen Lieferantenkontakts liefert die API found=Yes und Datensätze mit ähnlichem Namen.
Vorgehen
- Bestell- oder Zahlungsfreigabe nach interner Regel anhalten.
- Geburtsdatum, Aliasnamen und weitere Identifikatoren vergleichen.
- Bei fehlenden Daten gezielt nachfordern, ohne eine Identität zu unterstellen.
- Bewertung und Begründung durch die zuständige Fachstelle dokumentieren.
Lernpunkt
Ein möglicher Treffer ist eine Prüfaufgabe. Automatische Ablehnung allein aufgrund des Namens kann zu einem Falschpositiv führen.
Timeout kurz vor dem Versand
Ausgangslage
Die automatisierte Prüfung vor Versand erhält innerhalb des definierten Timeouts keine verwertbare XML-Antwort.
Vorgehen
- Ergebnis als Technikfall markieren, nicht als
No. - Kontrollierten Wiederholungsversuch mit derselben Referenz ausführen.
- Bei erneutem Fehler Auftrag in eine manuelle Warteschlange geben.
- Störung und spätere Entscheidung nachvollziehbar verknüpfen.
Lernpunkt
Die sichere Fehlerstrategie ist Teil des Compliance-Prozesses. Verfügbarkeit und fachliches Ergebnis dürfen nicht vermischt werden.
Periodischer Lauf mit neuem Treffer
Ausgangslage
Ein geplanter Lauf prüft aktive Ansprechpartner erneut. Für einen zuvor unauffälligen Datensatz wird nun Yes zurückgegeben.
Vorgehen
- Neue operative Schritte nach der internen Regel pausieren.
- Aktuelle Personendaten und die neue Listenversion prüfen.
- Fachentscheidung mit Bezug zur früheren Prüfung dokumentieren.
- Erforderliche Folge- oder Meldeprozesse durch die zuständige Stelle bestimmen lassen.
Lernpunkt
Eine frühere Prüfung ist keine dauerhafte Freigabe. Listendaten und Geschäftsbeziehungen können sich ändern.
Manuell und automatisiert
Den passenden Zugangsweg wählen
Manuelle Oberfläche
- Für einzelne Ad-hoc-Prüfungen und fachliche Nachprüfung.
- Bediener erfasst die Personendaten bewusst.
- Das Ergebnis wird dem eigenen Vorgang zugeordnet und bewertet.
API-Integration
- Für ERP, CRM, Onboarding, Shops und wiederkehrende Läufe.
- Mehrere Personen können im Array
personsübermittelt werden. - Client muss Authentifizierung, Limits, Timeouts, XML-Parsing und Fehlerpfade beherrschen.
- Den API-Token erhalten Sie über Navigation → API-Token anzeigen. Nach erneuter Anmeldung kann er innerhalb von 20 Sekunden kopiert und als Bearer Token eingesetzt werden.
Beispielrequest mit optionalem Beziehungskontext
Die Beispieldaten sind fiktiv. Ohne Beziehungskontext werden die Query-Parameter weggelassen.
POST /sp_CheckPerson_XML?include=relations&relation_detail=summary&max_related=20
Authorization: Bearer IHR_API_TOKEN
Content-Type: application/json
{
"persons": [{
"first_name": "Mara",
"last_name": "Hoffmann",
"birth_date": "1987-04-12",
"customer_id": "CRM-4711"
}]
}relation_detail
ids, summary oder full. Für gewöhnliche Arbeitsoberflächen ist summary der sinnvolle Ausgangspunkt.
max_related
Begrenzt die Zahl der ergänzten Beziehungen je Sanktionsentität auf 1 bis 100; Standardwert ist 20.
Antwort-Namespace
Ergänzungen stehen getrennt von den EU-Quelldaten im Namespace https://api.aaasoft.cz/schema/relations/v1.
Vor dem Produktivstart
Go-live-Checkliste
- Prüfanlässe und betroffene Prozesse sind dokumentiert.
- Verantwortliche, Vertretung und Eskalationsweg sind benannt.
- Feldmapping und Pflichtformat
YYYY-MM-DDsind getestet. Yes,No, Technikfehler und Tageslimit haben getrennte Statuswerte.- Ein technischer Fehler kann keine automatische Freigabe auslösen.
- Token werden geschützt, rotiert und nicht in fachlichen Protokollen ausgegeben.
- Protokolle enthalten nur die für Nachweis und Betrieb erforderlichen Daten.
- Aufbewahrungs- und Löschfristen sind festgelegt.
- Wiederholungsprüfungen und Reaktion auf neue Treffer sind definiert.
- Fachanwender haben mindestens je einen No-, Yes- und Technikfall durchgespielt.
Empfohlener Abnahmetest
Die Fachseite bestätigt den Entscheidungsprozess; IT weist Request, Response, Datenversion, Limit- und Fehlerbehandlung nach; Datenschutz und Recht bestätigen die unternehmensspezifischen Vorgaben. Erst danach wird die automatische Freigabe eines nachgelagerten Geschäftsprozesses aktiviert.
Verbindliche Quellen zuerst
Offizielle Orientierung für deutsche Unternehmen
Die Produktantwort ist ein technisches Hilfsmittel. Für Inhalt und Reichweite von Sanktionen sind die veröffentlichten Rechtsakte und die zuständigen Behörden maßgeblich.
Europäische Kommission
Überblick über EU-Sanktionen, konsolidierte Finanzsanktionsliste, EU Sanctions Map und weitere Ressourcen.
Offener EU-Datensatz
Download- und Metadaten der konsolidierten Liste der Personen, Gruppen und Organisationen unter EU-Finanzsanktionen.
Deutsche Bundesbank
Informationen zu Finanzsanktionen, Sanktionsregimen, Merkblättern und zuständigen Stellen in Deutschland.
Vom Leitfaden zum eigenen Prozess
Nutzen Sie diesen Ablauf als Ausgangspunkt und passen Sie Prüfanlässe, Rollen, Eskalation und Dokumentation an Ihr Unternehmen an. Für die technische Umsetzung stehen manuelle Suche und API zur Verfügung.