Sanktionslistenprüfung im B2B-Shop automatisieren

Die Novelle setzt die Richtlinie (EU) 2024/1226 um, die EU-weit Mindestvorgaben für die strafrechtliche Ahndung von Sanktionsverstößen festlegt. Der Gesetzgeber hat dabei nicht nur nachjustiert, sondern die Struktur des § 18 AWG umgebaut. Neu erfasst sind unter anderem Verstöße gegen Verbote im Finanzsektor, gegen sektorale Transaktionsverbote wie Miet- und Leasingverträge sowie gegen Investitionsverbote (Außenwirtschaftsgesetz, Bundesgesetzblatt). Für besonders schwere Fälle sieht § 18 Absatz 6a AWG einen Strafrahmen von sechs Monaten bis zu zehn Jahren vor (Außenwirtschaftsgesetz, Bundesgesetzblatt). Der Grundtatbestand des § 18 Absatz 1 AWG bleibt bei drei Monaten bis fünf Jahren Freiheitsstrafe (Außenwirtschaftsgesetz, Bundesgesetzblatt). Das ist kein Randthema des Exportbüros mehr, sondern eine Frage der Geschäftsführungshaftung.

Drei Änderungen treffen den Shop-Betrieb unmittelbar. Erstens senkt § 18 Absatz 8a AWG die subjektive Schwelle: Wer leichtfertig gegen bestimmte Verbote und Genehmigungspflichten verstößt, macht sich strafbar, sobald Dual-Use-Güter aus Anhang I oder Anhang IV der Verordnung (EU) 2021/821 betroffen sind -- Freiheitsstrafe bis zu drei Jahren oder Geldstrafe (Außenwirtschaftsgesetz, Bundesgesetzblatt). Vorsatz muss dafür nicht nachgewiesen werden; grobe Nachlässigkeit im Prozess genügt. Zweitens ist das Höchstmaß der Geldbuße gegen juristische Personen nach § 19 Absatz 7 und 8 AWG auf 40 Millionen Euro gestiegen (Außenwirtschaftsgesetz, Bundesgesetzblatt); daneben bleiben Ordnungswidrigkeiten nach § 19 Absatz 6 AWG mit bis zu 500.000 Euro bewehrt (Außenwirtschaftsgesetz, Bundesgesetzblatt). Drittens ist der frühere § 18 Absatz 11 AWG gestrichen. Er wirkte als Strafaufhebungsgrund, wenn die Tat bis zum Ablauf des zweiten Werktages nach Veröffentlichung im Amtsblatt begangen wurde und der Handelnde das Verbot nicht kannte (Außenwirtschaftsgesetz, Bundesgesetzblatt). Diese Schonfrist gibt es nicht mehr.

Exportkontrolle stellt vier Fragen: an wen wird geliefert, wohin, was genau, und wofür. Unternehmen müssen selbst prüfen, ob ihre Ausfuhren von einer oder mehreren dieser Maßnahmen betroffen sind (IHK München). Der Shop ist dabei kein Prüfsystem, sondern der Kanal, in dem die Antworten auf die ersten beiden Fragen entstehen und sich ändern. Deshalb reicht ein einzelner Prüfaufruf im Checkout nicht aus. Vier Stellen im Prozess erzeugen oder verändern prüfungsrelevante Daten -- und an jeder davon muss der Abgleich ansetzen.

Der vierte Punkt hat eine harte Begründung. Das BAFA verlangt: Wenn der Zeitraum zwischen Abschluss der exportkontrollrechtlichen Prüfung -- in der Regel mit Druck der Versandpapiere -- und der Auslieferung der Ware mehr als fünf Arbeitstage beträgt, ist eine erneute Prüfung aller Beteiligten zwingend erforderlich, und es empfiehlt sich, eine entsprechende Prüfroutine in die Exportkontrollabläufe zu implementieren (BAFA). Im B2B ist das der Regelfall, nicht die Ausnahme: Streckengeschäfte, Rückstände, Sammellieferungen und Termine auf Abruf sprengen die Fünf-Tage-Marke mühelos. Eine Prüfung, die nur im Checkout stattfindet, erfüllt diese Anforderung bei Lieferzeiten von drei Wochen nicht.

Der berechtigte Einwand aus dem Vertrieb lautet: Eine Prüfung, die den Checkout blockiert, kostet Umsatz. Der Einwand ist richtig, aber die daraus gezogene Schlussfolgerung meist falsch. Die Alternative zur harten Blockade ist nicht der Verzicht auf die Prüfung, sondern ein anderer Umgang mit dem Ergebnis. Ein Vorgang, der geprüft wird, muss nicht synchron im Checkout warten. Er kann angenommen und mit dem Status pending versehen werden -- die Bestellung ist erfasst, der Kunde hat eine Bestätigung, aber die Freigabe zur Auslieferung ist noch nicht erteilt. Im B2B ist das ohnehin der Normalfall: Zwischen Bestelleingang und Versand liegen Bonitätsprüfung, Verfügbarkeit und Kommissionierung.

Der zweite Hebel ist die Qualität des Namensabgleichs. Sanktionslisten enthalten Namensvarianten, Schreibweisen aus nicht-lateinischen Alphabeten und uneinheitliche Transliterationen, weshalb ein exakter Zeichenvergleich ins Leere läuft. Ein unscharfer Abgleich löst das, erzeugt aber Fehltreffer. Das BAFA gibt hier einen praktischen Anker: Die Einstellung eines Prozentsatzes von nicht unter 80 Prozent hat sich in der Praxis bewährt, und es empfiehlt sich, die zu prüfenden Namensbestandteile mit einer Und-Funktion zu verknüpfen, sodass nur Datensätze angezeigt werden, bei denen sowohl Vor- als auch Nachname übereinstimmen (BAFA). Damit sinkt die Zahl zeitaufwendiger manueller Nachprüfungen, bei denen etwa lediglich der Vorname in den Listen auftaucht (BAFA).

Der dritte Hebel ist die Behandlung eines Treffers. Ein Treffer ist kein Urteil, sondern ein Verdacht. Eine automatische Ablehnung produziert genau das, was niemand will: verlorene Aufträge bei Namensgleichheit und ein Kunde, der nicht versteht, warum sein Konto gesperrt ist. Das BAFA verlangt deshalb schriftlich festgelegte Verfahrensregeln, die im Einzelnen angeben, wie Treffer verifiziert werden und wie mit wahrscheinlichen Übereinstimmungen umzugehen ist -- etwa die Meldung an die zuständige Behörde, wenn eine Übereinstimmung gefunden wurde (BAFA). Und für gelistete Güter gilt: Systemseitig müssen Stopp- und Freigabefunktionen installiert sein, die ein ungewolltes Versenden verhindern, und Freigaben dürfen nur durch autorisiertes und geschultes Personal erfolgen (BAFA). Genau das ist eine Vier-Augen-Freigabe, kein Auto-Reject -- technisch dasselbe Muster, das auch hinter Freigabeprozessen für Budgets und Genehmigungen steht, nur mit einer anderen Begründung.

Aus Behördensicht existiert eine Prüfung, die nicht dokumentiert ist, nicht. Das BAFA formuliert die Anforderung an zwei Stellen deckungsgleich: Die Prüfung sollte in geeigneter Weise dokumentiert und dem Exportvorgang beigefügt werden -- sowohl beim Abgleich mit Sanktionslisten als auch bei der Überprüfung von Embargoregelungen (BAFA). Die einzelnen Prüfschritte sind in sämtlichen Stadien der Abwicklung eines Vorhabens genau zu dokumentieren, und eine Dokumentation sollte auch dann erfolgen, wenn die Exportkontrollstelle zu dem Ergebnis kommt, dass kein Antrag beim BAFA gestellt werden muss; festzuhalten sind insbesondere die Gründe, die zu diesem Ergebnis geführt haben (BAFA). Das Negativergebnis ist also genauso protokollpflichtig wie der Treffer.

Für die Aufbewahrung gelten § 22 Absatz 3 AWV und Artikel 27 der Dual-Use-Verordnung; das BAFA empfiehlt darüber hinaus, die relevanten Unterlagen mindestens zehn Jahre aufzubewahren (BAFA). Die Aufzeichnungen müssen den zuständigen Behörden zugänglich gemacht werden können, und es sollte möglich sein, sie elektronisch bereitzustellen (BAFA). Für die Systemarchitektur folgt daraus eine klare Anforderung: Das Prüfprotokoll gehört nicht in eine Log-Datei, die nach 30 Tagen rotiert, sondern in einen unveränderbaren Datensatz am Vorgang. Es muss rekonstruierbar sein, gegen welchen Listenstand mit welcher Schwelle geprüft wurde -- Jahre später, wenn die Liste sich zwanzigmal geändert hat.

Der Abgleich verarbeitet personenbezogene Daten und braucht deshalb eine Rechtsgrundlage. Für den Abgleich gegen Sanktionslisten der EU stützt sich die Verarbeitung auf die jeweiligen gesetzlichen Regelungen in Verbindung mit Artikel 6 Absatz 1 Buchstabe c DSGVO -- Erfüllung einer rechtlichen Verpflichtung (Datenschutz-Grundverordnung). Für Abgleiche gegen Listen von Staaten außerhalb von EU und EWR fehlt diese unmittelbare Pflicht; hier kommt regelmäßig das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO in Betracht, was eine dokumentierte Interessenabwägung voraussetzt (Datenschutz-Grundverordnung). Diese Unterscheidung ist kein Formalismus: Sie entscheidet, ob ein Abgleich pauschal zulässig ist oder begründet werden muss.

Dazu kommen die Pflichten, die jede Verarbeitung mitbringt. Betroffene sind nach Artikel 13 und 14 DSGVO über die Verarbeitung zu informieren -- der Abgleich gehört also in die Datenschutzerklärung und in die Informationen bei der Registrierung, nicht in eine interne Verfahrensnotiz (Datenschutz-Grundverordnung). Der Grundsatz der Datenminimierung nach Artikel 5 DSGVO verlangt, nur die für den Abgleich erforderlichen Felder zu übergeben (Datenschutz-Grundverordnung). Und beim Löschen entsteht ein echter Zielkonflikt: Das Prüfprotokoll soll nach BAFA-Empfehlung mindestens zehn Jahre vorliegen (BAFA), während Datenminimierung und Speicherbegrenzung in die andere Richtung ziehen. Aufzulösen ist das über eine begründete Aufbewahrungsregel, nicht über stillschweigendes Behalten.