Die Sanktionslistenprüfung von Mitarbeitern ist der Abgleich der Beschäftigtendaten mit den EU-Sanktionslisten. Kaum eine Prüfung löst intern so viel Widerstand aus. Die Personalabteilung fragt, ob man das überhaupt darf. Der Datenschutzbeauftragte warnt vor der Rasterfahndung. Und der Zollprüfer fragt später, warum nicht geprüft wurde.

Dabei ist die Rechtslage klarer als ihr Ruf. Gehalt ist eine Bereitstellung von Geldern. Wer monatlich zahlt und nur jährlich prüft, hat elf Zahlläufe ohne aktuellen Listenstand. Und seit Februar 2026 gilt eine neue Listung bereits ab dem Tag nach ihrer Veröffentlichung.

Die eigentliche Frage lautet deshalb nicht, ob Sie prüfen dürfen. Eine Prüfung, die Sie nicht belegen können, schützt Sie nicht. Am dünnsten ist der Beleg meist genau dort, wo er am meisten zählt: bei der Aufklärung eines Treffers im eigenen Haus.

Warum Gehaltszahlungen unter das Bereitstellungsverbot fallen

Das Bereitstellungsverbot ist der Kern der EU-Sanktionsverordnungen. Gelisteten Personen dürfen Gelder oder wirtschaftliche Ressourcen weder unmittelbar noch mittelbar zur Verfügung gestellt werden. Für Beschäftigte greifen vor allem die Anti-Terror-Verordnungen (EG) 2580/2001 und (EG) 881/2002.

Das betrifft den Arbeitgeber jeden Monat. Ein Gehaltslauf stellt Gelder bereit. Ein Dienstwagen, eine Spesenerstattung, ein Firmenhandy stellen wirtschaftliche Ressourcen bereit. Der Arbeitsvertrag ändert daran nichts, denn das Verbot kennt keine Ausnahme für Beschäftigte.

Nehmen Sie einen Lagerleiter, seit 2019 im Betrieb, nie auffällig. An einem Freitag erscheint sein Name im Amtsblatt der EU, wirksam ab Samstag. Am Montag läuft die Gehaltsabrechnung. Prüft das Unternehmen seine Beschäftigten nur einmal im Jahr, kann diese Zahlung bereits gegen das Verbot verstoßen.

Genau das kontrolliert die Sanktionslistenprüfung von Mitarbeitern. Sie entscheidet, wie lange eine Listung im eigenen Personal unbemerkt bleiben kann.

Woraus folgt die Pflicht zum Mitarbeiter-Screening?

Eine Pflicht mit dem Wortlaut "prüfen Sie Ihre Mitarbeiter" steht in keinem Gesetz. Sie entsteht auf demselben Weg wie bei Geschäftspartnern: Wer nicht prüft, kann das unmittelbar geltende Verbot nicht einhalten. Warum die Prüfpflicht aus dem Bereitstellungsverbot folgt, haben wir grundlegend aufgeschrieben.

Für eine Gruppe ist die Lage höchstrichterlich geklärt: Unternehmen, die den sicherheitsbezogenen AEO-Status wollen. Der Bundesfinanzhof hat mit Urteil vom 19. Juni 2012 (VII R 43/11) gebilligt, dass der Zoll die Erteilung von einer Prüfung der Beschäftigten in sicherheitsrelevanten Bereichen abhängig macht. Geprüft wird gegen die EU-Anti-Terror-Listen. Datenschutzrechtliche Bedenken hatte das Gericht nicht.

Dazu kommt die Praxis internationaler Konzerne. Viele Gruppen schreiben ihren Einheiten das Screening der Belegschaft vor, oft entlang der US-Listen. Ob diese Listen Ihr Unternehmen tatsächlich erreichen, ist eine eigene Analyse.

Kurz: Die Pflicht ist mittelbar, aber sie ist real. Beim sicherheitsbezogenen AEO-Status ist sie faktisch Zugangsvoraussetzung.

Was erlaubt die DSGVO, und wo beginnt die Rasterfahndung?

Die DSGVO verbietet das Mitarbeiter-Screening nicht. Sie verlangt eine Rechtsgrundlage, ein Maß und einen Rahmen.

Über die Rechtsgrundlage wird gestritten. Manche stützen den Abgleich auf die rechtliche Verpflichtung aus Artikel 6 Absatz 1 Buchstabe c DSGVO, andere auf das berechtigte Interesse aus Buchstabe f.

Eine Entscheidung des Europäischen Gerichtshofs dazu fehlt bislang. Ein Restrisiko bleibt. Es lässt sich durch saubere Gestaltung klein halten, nicht wegdiskutieren.

Der Rahmen ist dafür umso klarer. Geprüft werden nur die Daten, die der Abgleich braucht: Name und wenige Identifikatoren, nicht die Personalakte. Ergebnisse ohne Treffer werden nicht auf Vorrat gehalten, sondern gelöscht. Die Beschäftigten werden nach Artikel 13 und 14 DSGVO informiert, soweit das die Prüfung nicht entwertet. Und der Zugriff auf Treffer bleibt auf wenige Berechtigte beschränkt.

Verboten ist die Rasterfahndung: das anlasslose, breite Durchsuchen der Belegschaft nach Auffälligkeiten. Ein Sanktionslistenabgleich ist das Gegenteil davon, wenn er richtig gebaut ist. Er vergleicht Namen mit einer amtlichen Liste, zu einem definierten Anlass, mit definierter Löschung. Gerade der Abgleich bei Listenänderung ist die datensparsamste Form, denn geprüft wird nur gegen das, was sich geändert hat.

Wer alle prüft, prüft nicht anlasslos. Wer ohne Konzept prüft, schon.

Muss der Betriebsrat zustimmen?

Der Betriebsrat muss beim automatisierten Namensabgleich nicht zustimmen. Das Bundesarbeitsgericht hat das mit Beschluss vom 19. Dezember 2017 entschieden (1 ABR 32/16). Der automatisierte Abgleich von Vor- und Nachnamen mit den EU-Anti-Terror-Listen löst kein Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 6 BetrVG aus.

Die Begründung des Gerichts: Der Abgleich sagt nichts über Verhalten oder Leistung der Beschäftigten aus. Er überwacht nicht, er vergleicht.

Damit fällt das Veto weg. Das Gespräch fällt nicht weg.

Denn je nach Ausgestaltung können andere Beteiligungsrechte berührt sein, und der Betriebsrat bleibt die Stelle, bei der Beschäftigte zuerst nachfragen. Die belastbare Antwort ist eine schriftliche Verfahrensbeschreibung: wer geprüft wird, gegen welche Listen, zu welchem Anlass, was bei einem Treffer geschieht, wann gelöscht wird. Dieselbe Beschreibung beantwortet die Fragen des Datenschutzbeauftragten und später die der Aufsichtsbehörde.

Das Urteil nimmt dem Betriebsrat das Veto. Die Verfahrensbeschreibung nimmt dem Thema den Konflikt.

Wen Sie prüfen, ab wann und wie oft

Der Kreis beginnt bei den eigenen Beschäftigten und reicht je nach Risiko weiter: Leiharbeitnehmer, freie Mitarbeiter, regelmäßige Dienstleister auf dem Gelände. Maßstab ist wieder das Verbot. Wer vom Unternehmen Geld oder Ressourcen erhält, gehört in den Abgleich.

Bei Bewerbern gilt ein späterer Zeitpunkt. Ein Screening ab Bewerbungseingang prüft Menschen, denen das Unternehmen noch nichts bereitstellt. Das ist unverhältnismäßig. Der richtige Zeitpunkt ist das konkrete Vertragsangebot, unmittelbar vor der ersten Bereitstellung.

Für den Bestand zählen zwei Anlässe: die Einstellung und jede Listenänderung. Seit dem 6. Februar 2026 ist die AWG-Novelle in Kraft (Bundesgesetzblatt 2026 I Nummer 27). Neue Listungen gelten ab dem Tag nach der Veröffentlichung, die frühere Karenzzeit ist gestrichen.

Verstöße kosten Unternehmen seither bis zu 40 Millionen Euro oder 5 Prozent des weltweiten Jahresumsatzes. Ein Jahresrhythmus ist unter diesen Bedingungen kein Rhythmus, sondern eine Lücke. Wie Sie einen vertretbaren Prüfrhythmus herleiten, gilt für Beschäftigte genauso wie für Geschäftspartner.

Der Aufwand bleibt überschaubar, wenn der Abgleich als Delta läuft. Die Erstprüfung erzeugt einmal Arbeit: Bei 800 Beschäftigten liefert schon 1 Prozent Ähnlichkeitstreffer acht Fälle, bei 30 Minuten je Aufklärung ist das ein halber Arbeitstag. Danach prüft der Delta-Abgleich dieselben 800 Namen nur noch gegen die Neuzugänge der Listen. Das Ergebnis ist fast immer: kein Treffer. Das Protokoll darüber bleibt, die Nichttreffer-Daten werden gelöscht.

Was ein Treffer beim eigenen Mitarbeiter auslöst

Ein Treffer ist zunächst nur eine Namensähnlichkeit. Die Listen sind voll mit häufigen Namen, und die meisten Meldungen aus einem Mitarbeiter-Abgleich sind Ähnlichkeitstreffer ohne Substanz. Ein Treffer ist deshalb kein Verdacht gegen die Person, sondern ein Prüfauftrag an das Unternehmen.

Diese Aufklärung, die Trefferbearbeitung, das, was wir Sanctions Resolution nennen, entscheidet über alles Weitere. Geburtsdatum, Anschrift, weitere Identifikatoren aus dem Listeneintrag: Passt es zusammen oder nicht? In fast allen Fällen endet die Prüfung als False Positive, und genau diese Entscheidung muss mit Begründung in die Akte.

Bleibt der Verdacht bestehen, ändert sich die Lage grundlegend. Bei einem echten Treffer sind weitere Bereitstellungen verboten, der nächste Gehaltslauf eingeschlossen, und die zuständigen Behörden sind einzuschalten. Was ein echter Treffer im Einzelnen auslöst, welche Fristen gelten und warum nicht jeder echte Treffer dieselbe Maßnahme verlangt, steht hier.

Erst danach beginnt die arbeitsrechtliche Frage. Sie beginnt nicht mit einer Kündigung, sondern mit rechtlicher Beratung im Einzelfall.

Ein Treffer beim Lieferanten ist ein Compliance-Fall. Ein Treffer beim Mitarbeiter ist ein Compliance-Fall mit Arbeitsvertrag. Die Aufklärung läuft gleich, die Wirkung nicht. Deshalb braucht gerade dieser seltene Fall den klarsten dokumentierten Weg.

Was Sie dokumentieren und was Sie löschen müssen

Die Dokumentation trägt beim Mitarbeiter-Screening doppelt. Der Zollprüfer will sehen, dass geprüft wurde. Die Datenschutzaufsicht will sehen, dass maßvoll geprüft wurde. Beide sehen dieselbe Akte.

Für den Prüfer zählen zwei Dinge: das Prüfprotokoll mit Datum, Listenstand und Ergebnis, und die Begründung jeder Trefferentscheidung. Wer hat den Ähnlichkeitstreffer geschlossen, anhand welcher Merkmale, mit welchen Quellen? "Geprüft, kein Treffer" ist eine Behauptung. Ein Protokoll mit Begründung ist ein Beleg.

Für die Datenschutzseite kommen vier Punkte dazu. Die Prüfung steht im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Nichttreffer-Ergebnisse haben eine definierte Löschfrist. Der Zugriff auf Trefferfälle ist dokumentiert beschränkt. Und bei systematischem Screening größerer Belegschaften kann eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich sein.

Das klingt nach Aufwand. Tatsächlich ist es ein Konzept aus einem Guss. Die Verfahrensbeschreibung aus dem Betriebsratskapitel, das Löschkonzept und das Prüfprotokoll beantworten zusammen die Fragen aller drei Stellen: Betriebsrat, Datenschutzaufsicht, Zollprüfer.

Womit Sie vor Zollprüfer und Datenschutzbehörde bestehen

Vor beiden Stellen bestehen Sie mit denselben zwei Größen. Die erste ist die Erlaubnis, und die ist geklärt genug. Das Bereitstellungsverbot macht den Abgleich unvermeidlich, der Bundesfinanzhof hat ihn für den AEO-Status gebilligt, das Bundesarbeitsgericht hat das Mitbestimmungsrecht verneint. Die zweite Größe ist der Beleg, und der ist Ihre Arbeit: Konzept, Protokoll, begründete Entscheidungen, Löschung.

Messbar wird das an einer Zahl: der Zeit von der Listenänderung bis zur dokumentierten Entscheidung, gemessen am nächsten Gehaltslauf. Seit Februar 2026 ist diese Spanne keine Komfortfrage mehr.

Eine Prüfung, die Sie nicht belegen können, schützt Sie nicht. Und ein Beleg ohne Begründung ist keiner.

Ob Sie prüfen dürfen, steht im Gesetz. Ob Ihre Prüfung standhält, steht in Ihrer Akte.