Ein Background-Check ist eine Momentaufnahme: Er belegt den Befund zum Prüfdatum — nicht mehr. Sanktionslisten ändern sich täglich, Adverse Media entsteht laufend, und wirtschaftliche Verhältnisse einer Person können sich binnen Monaten drehen. Für GwG-Verpflichtete ist die kontinuierliche Überwachung der Geschäftsbeziehung ohnehin Pflicht (§ 10 Abs. 1 Nr. 5 GwG); beim eigenen Personal setzen die Grundsätze der DSGVO einem anlasslosen Dauer-Screening dagegen Grenzen. Die richtige Antwort ist deshalb kein Entweder-oder, sondern eine Entscheidungsmatrix: einmalig, anlassbezogen oder laufend — je nach Rolle und Rechtsregime.
Warum die Momentaufnahme altert
Der Point-in-Time-Check beantwortet die Frage „War zum Stichtag etwas bekannt?“ — nicht die Frage „Ist heute etwas bekannt?“. Drei Beispiele zeigen, wie schnell ein Prüfergebnis veraltet:
- Sanktionslisten: Die EU-Sanktionsverordnungen (u. a. VO (EU) Nr. 269/2014) werden fortlaufend um Personen und Organisationen ergänzt — ein Treffer kann einen Tag nach dem Check entstehen.
- Adverse Media: Berichterstattung über Ermittlungen, Insolvenzen oder Interessenkonflikte entsteht laufend und ist naturgemäß nicht vorhersehbar.
- Persönliche Verhältnisse: Nebentätigkeiten, Beteiligungen und wirtschaftliche Schieflagen entwickeln sich nach der Einstellung — also nach dem einzigen Prüfzeitpunkt vieler Unternehmen.
Was das Gesetz verlangt — und wo es differenziert
Bei Geschäftsbeziehungen ist die Rechtslage für Verpflichtete eindeutig: § 10 Abs. 1 Nr. 5 GwG verlangt die kontinuierliche Überwachung einschließlich der Aktualisierung der zugrunde liegenden Dokumente und Informationen. Wer Kunden und Geschäftspartner nur beim Onboarding prüft, erfüllt die Sorgfaltspflichten nicht.
Beim Personal ist das Bild differenzierter: Die Zuverlässigkeit von Mitarbeitern ist bei Verpflichteten nicht nur bei Einstellung, sondern laufend sicherzustellen — wie das inhaltlich aussieht, erläutert unser Beitrag zur Mitarbeiterprüfung nach GwG. Zugleich gibt es keine allgemeine Pflicht, jeden Beschäftigten permanent zu durchleuchten — und datenschutzrechtlich wäre das auch nicht haltbar. Für Revision und Aufsicht zählt dabei weniger der einzelne Treffer als der Nachweis, dass Ihr Prüfmodell bewusst gewählt, schriftlich begründet und konsistent angewendet wurde.
Wo die DSGVO Grenzen setzt
Anlassloses Dauer-Screening der gesamten Belegschaft kollidiert mit den Grundsätzen des Art. 5 Abs. 1 DSGVO: Zweckbindung (lit. b), Datenminimierung (lit. c) und Speicherbegrenzung (lit. e) verlangen, dass Wiederholungsprüfungen einen definierten Zweck, einen begrenzten Umfang und ein Löschkonzept haben. Als Rechtsgrundlage kommen Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Prüfpflichten der Verpflichteten) und lit. f (berechtigtes Interesse mit Abwägung) in Betracht — je risikoreicher die Rolle, desto eher trägt die Abwägung auch einen kürzeren Turnus. Die Systematik dahinter haben wir im Beitrag zu den DSGVO-Rechtsgrundlagen des Screenings aufbereitet.
Entscheidungsmatrix: einmalig, anlassbezogen, laufend
In der Praxis bewährt sich ein dreistufiges Modell:
- Einmalig (Einstellung): Alle Positionen — Identität, Lebenslauf, positionsrelevante Register. Der Basis-Check bleibt die Grundlage jeder Personalentscheidung.
- Anlassbezogen: Rollenwechsel in sensible Funktionen, konkrete Hinweise, regulatorische Anlässe (etwa eine anstehende Bestellungsanzeige). Auch Externe gehören hierher — warum, zeigt unser Beitrag zum Screening von Interim-Managern und Dienstleistern.
- Laufend: Schlüsselrollen mit Zugriff auf Geld, Kundendaten oder kritische Systeme sowie Konstellationen mit gesetzlicher Überwachungspflicht — hier vor allem Sanktionslisten- und Adverse-Media-Monitoring, also die Kategorien, die sich täglich ändern können.
Entscheidend ist die dokumentierte Zuordnung: Welche Rolle fällt in welche Stufe, mit welcher Begründung und welchem Turnus? Auch der Turnus selbst gehört begründet — ein jährlicher Rhythmus für Schlüsselrollen lässt sich regelmäßig gut vertreten, ein engmaschigerer nur bei täglich veränderlichen Quellen wie Sanktionslisten.
Handlungsempfehlung
Klassifizieren Sie Ihre Rollen entlang der drei Stufen, begründen Sie die Zuordnung schriftlich und legen Sie je Stufe Prüfumfang, Turnus und Löschfristen fest. Starten Sie mit den Schlüsselrollen — dort ist die Lücke zwischen Einmalprüfung und Realität am teuersten. Indicium liefert prüffeste Reports mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO) von €79 pro Report; das 6-Monats-Zufriedenheitsversprechen schlägt dabei die Brücke zwischen beiden Welten — Sie starten mit Einzelprüfungen und entwickeln daraus ein wiederkehrendes Programm, ohne sich vorab zu binden. Details zu den Modellen finden Sie unter Preise, den Prüfumfang im Software-Report.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.