Ein inhabergeführter Maschinenbauer mit 85 Mitarbeitern erhält eine Nachricht der Staatsanwaltschaft: Ein ehemaliger Vertriebsmitarbeiter soll Schmiergeldzahlungen an Einkäufer eines Großkunden geleistet haben. Der Geschäftsführer wusste nichts davon – doch das schützt ihn nicht automatisch vor persönlicher Haftung. Denn nach dem GmbH-Gesetz (GmbHG) trägt die Geschäftsführung eine eigenständige Legalitätspflicht: Sie muss nicht nur selbst rechtskonform handeln, sondern auch organisatorisch sicherstellen, dass das Unternehmen als Ganzes rechtmäßig agiert.
Die Compliance-Pflichten der Geschäftsführung wurzeln in der Legalitätspflicht des § 43 GmbHG. Ein Geschäftsführer, der kein funktionsfähiges Compliance-System einrichtet und Verstöße ermöglicht, haftet der Gesellschaft gegenüber persönlich – und im Außenverhältnis unter Umständen auch Gläubigern und Dritten. Für den Mittelstand bedeutet das: Compliance ist keine Großkonzern-Disziplin, sondern eine Geschäftsführerpflicht, deren Verletzung existenzielle Konsequenzen haben kann.
Dieser Beitrag erläutert den normativen Rahmen, benennt typische Haftungsfallen, zeigt praxiserprobte Gestaltungsansätze und gibt Ihnen eine klare Grundlage für die nächsten Schritte.
Was bedeutet die Legalitätspflicht konkret?
Die Legalitätspflicht ist der normative Kern aller Compliance-Pflichten eines Geschäftsführers. Sie folgt unmittelbar aus § 43 Abs. 1 GmbHG, der den Maßstab der „Sorgfalt eines ordentlichen Geschäftsmannes" vorschreibt. Dabei geht es nicht allein um das persönliche Verhalten des Geschäftsführers, sondern um eine umfassende Organisationspflicht.
Die Legalitätspflicht gliedert sich in zwei Ebenen. Erstens die Legalitätspflicht im engeren Sinne: Der Geschäftsführer darf die Gesellschaft nicht zu rechtswidrigem Verhalten anleiten oder dabei mitwirken. Zweitens die Legalitätskontrollpflicht: Er muss durch geeignete organisatorische Maßnahmen sicherstellen, dass auch Mitarbeiter und nachgeordnete Führungskräfte nicht gegen geltendes Recht verstoßen. Diese zweite Ebene ist in der Praxis die haftungsrelevantere – denn hier liegen die meisten Versäumnisse.
Welche konkreten Maßnahmen erforderlich sind, hängt von Unternehmensgröße, Branche und Risikolage ab. Ein allgemeingültiges gesetzlich vorgeschriebenes Compliance-System gibt es für die GmbH nicht. In der Mandatspraxis sehen wir jedoch, dass Gerichte bei der Haftungsprüfung zunehmend auf das Vorhandensein grundlegender Strukturen abstellen: dokumentierte Arbeitsanweisungen, Vier-Augen-Prinzip bei kritischen Transaktionen, ein funktionsfähiger Hinweisgebermechanismus.
Wichtig für den Mittelstand: Die Legalitätspflicht gilt auch in der Einpersonen-GmbH – und auch dann, wenn der Gesellschafter gleichzeitig Geschäftsführer ist. Der Gesellschaftsmantel schützt das Privatvermögen nur, solange die Pflichten sorgfältig erfüllt werden.
Welche Haftungsfolgen drohen bei Compliance-Verstößen?
Verletzt ein Geschäftsführer seine Compliance-Pflichten, eröffnet dies eine Haftungskaskade, die in der Praxis häufig unterschätzt wird. Die wichtigsten Haftungsstränge im Überblick:
Innenhaftung gegenüber der Gesellschaft (§ 43 Abs. 2 GmbHG): Entsteht der GmbH durch einen Compliance-Verstoß ein Schaden – etwa Bußgelder, Schadensersatzzahlungen an Dritte oder Umsatzverluste – kann die Gesellschaft den Geschäftsführer auf Erstattung in Anspruch nehmen. Die Beweislastverteilung ist dabei geschäftsführerfeindlich: Die Gesellschaft muss nur den Schaden und die Pflichtwidrigkeit darlegen; der Geschäftsführer muss beweisen, dass er die Sorgfaltspflichten eingehalten hat.
Nach unserer Erfahrung werden Innenhaftungsansprüche besonders häufig in Insolvenzsituationen durchgesetzt, wenn ein Insolvenzverwalter das Unternehmen übernimmt und die Geschäftsführung der Vorperiode prüft. Das macht frühzeitige Dokumentation so wichtig.
Außenhaftung gegenüber Dritten: In bestimmten Konstellationen haftet der Geschäftsführer auch direkt gegenüber Gesellschaftsgläubigern oder Behörden – etwa nach § 69 AO bei schuldhaft nicht abgeführten Steuern, nach § 823 Abs. 2 BGB i.V.m. Schutzgesetzen oder nach dem Ordnungswidrigkeitenrecht (OWiG). Bußgelder können sich – je nach Verfahren und Normlage – auf erhebliche Summen summieren; konkrete Beträge hängen vom Einzelfall ab und sind anwaltlich zu prüfen.
Strafrechtliche Risiken: Compliance-Versäumnisse können auch strafrechtliche Tatbestände erfüllen – Untreue (§ 266 StGB), Beihilfe zur Korruption oder zum Betrug, Verletzung von Schutzgesetzen im Umwelt- oder Lebensmittelrecht. Dabei gilt: Vorsatz ist nicht zwingend erforderlich. Auch grob fahrlässige Organisationsmängel können den Vorwurf der Aufsichtspflichtverletzung nach § 130 OWiG begründen.
Können Sie im Streitfall dokumentieren, welche Compliance-Maßnahmen Sie implementiert haben? Diese Frage entscheidet häufig über Erfolg oder Misserfolg einer Haftungsabwehr.
Kernbereiche einer praxistauglichen Compliance-Struktur
Ein Compliance-System muss für den Mittelstand handhabbar sein – nicht bürokratisch, sondern wirksam. In der Beratungspraxis hat sich eine Fokussierung auf die risikostärksten Bereiche bewährt. Die Priorität ergibt sich aus der Unternehmenstätigkeit, nicht aus einem abstrakten Katalog.
Antikorruption und Interessenkonflikte: Das Korruptionsstrafrecht (§§ 299, 331 ff. StGB) gilt uneingeschränkt auch für mittelständische Unternehmen. Klare Regeln zu Geschenken, Einladungen und Interessenkonflikten – dokumentiert und kommuniziert – reduzieren das Risiko erheblich. Eine interne Richtlinie, die Wertgrenzen und Genehmigungsverfahren definiert, ist eine der einfachsten und wirksamsten Maßnahmen.
Datenschutz (DSGVO): Die Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679) ist unmittelbar geltendes Recht. Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen (Art. 83 DSGVO). Eine Datenschutzverletzung muss binnen 72 Stunden gemeldet werden (Art. 33 DSGVO). Für die meisten mittelständischen GmbHs bedeutet das: Verzeichnis der Verarbeitungstätigkeiten, Datenschutzerklärungen, Verträge mit Auftragsverarbeitern und ein definiertes Meldeverfahren für Vorfälle.
Hinweisgeberschutzgesetz (HinSchG): Seit der Umsetzung der EU-Hinweisgeberrichtlinie sind Unternehmen ab einer bestimmten Mitarbeiterzahl zur Einrichtung eines internen Meldekanals verpflichtet. Die genaue Schwelle und die jeweiligen Übergangsfristen sind im Einzelfall zu prüfen – hier hat sich die Rechtslage in den letzten Jahren mehrfach geändert.
Arbeitsrecht und Mindestlohn: Der gesetzliche Mindestlohn beträgt seit dem 1. Januar 2026 13,90 Euro pro Stunde. Darüber hinaus gilt seit dem BAG-Urteil vom 13. September 2022 (Az. 1 ABR 22/21) und der Grundsatzentscheidung des EuGH aus 2019 eine Pflicht zur Arbeitszeiterfassung nach § 3 ArbSchG. Geschäftsführer, die keine geeigneten Systeme eingeführt haben, setzen sich erheblichen Haftungsrisiken aus – gegenüber der Gesellschaft und gegenüber Arbeitnehmern.
Steuerliche Compliance: Der Geschäftsführer trägt die steuerliche Verantwortung für die Gesellschaft. Werden Lohnsteuern oder Umsatzsteuer nicht rechtzeitig abgeführt, haftet er nach § 69 AO persönlich – auch für Zahlungsunfähigkeit der Gesellschaft.
Typische Fehler in der mittelständischen Praxis
In der Mandatspraxis begegnen uns immer wieder dieselben strukturellen Schwachstellen. Wer sie kennt, kann sie vermeiden – bevor sie zum Haftungsfall werden.
Fehler 1: Compliance als einmaliges Projekt verstehen. Ein Compliance-System, das einmal eingerichtet und dann nicht gepflegt wird, verliert rasch seinen Wert. Rechtliche Anforderungen ändern sich; Mitarbeiter wechseln; Risikoprofile entwickeln sich. Ein jährliches Review und eine klare Verantwortlichkeit für die Aktualisierung sind deshalb unverzichtbar.
Fehler 2: Keine dokumentierten Zuständigkeiten. Wer ist für welche Compliance-Aufgaben verantwortlich? Wenn diese Frage im Ernstfall nicht beantwortet werden kann, entsteht eine Beweisnot. Selbst in kleinen Unternehmen sollte schriftlich festgehalten sein, wer Datenschutzvorfälle meldet, wer Geschenke genehmigt, wer Zahlungsläufe freigibt.
Fehler 3: Hinweisgebersystem fehlt oder ist nicht vertraulich. Ein nominell vorhandener Meldekanal, der nicht anonym oder vertraulich ist, erfüllt seine Funktion nicht. Mitarbeiter werden keine Missstände melden, wenn sie Repressalien fürchten.
Fehler 4: Compliance-Richtlinien existieren, werden aber nicht kommuniziert. Richtlinien, die niemand kennt, binden niemanden und schützen den Geschäftsführer auch nicht haftungsrechtlich. Nachweisbare Schulungen und Kommunikationsmaßnahmen sind ein unverzichtbarer Teil des Systems.
Fehler 5: D&O-Versicherung als Ersatz für Compliance. Eine Vermögensschadenhaftpflichtversicherung für Organe (D&O-Versicherung) ist sinnvoll, aber kein Ersatz für ein funktionsfähiges Compliance-System. Viele Policen enthalten Ausschlüsse für vorsätzliche Pflichtverletzungen oder grobe Fahrlässigkeit. Der Versicherungsschutz greift nicht, wenn kein System bestand.
Wie begleitet BRANDT & FALK die Einrichtung und Prüfung eines Compliance-Systems?
Nach unserer Erfahrung gelingt die Implementierung eines Compliance-Systems im Mittelstand dann, wenn es nicht als regulatorische Last, sondern als unternehmerisches Steuerungsinstrument verstanden wird. Wir beraten regelmäßig inhabergeführte Unternehmen und Gesellschaften mit Familiengesellschaftern, die ihr System erstmalig strukturieren oder nach einem Vorfall nachschärfen müssen.
Unser Beratungsansatz folgt einem strukturierten Ablauf:
- Compliance-Risikoanalyse: Wir identifizieren gemeinsam mit der Geschäftsführung die rechtsgebiets- und branchenspezifischen Risikoschwerpunkte. Nicht jedes Unternehmen braucht dasselbe System – aber jedes Unternehmen braucht ein auf seine Lage zugeschnittenes System.
- Lückenanalyse (Gap-Analysis): Wir prüfen die bestehenden Prozesse, Richtlinien und Vertragswerke auf Vollständigkeit und Aktualität. Wo fehlen dokumentierte Zuständigkeiten? Welche Rechtsgebiete sind nicht abgedeckt?
- Konzept und Dokumentation: Wir entwerfen oder überarbeiten die erforderlichen Richtlinien, Prozessbeschreibungen und Musterverträge. Dabei achten wir auf Praktikabilität – ein System, das im Alltag nicht gelebt werden kann, schützt niemanden.
- Implementierungsbegleitung: Wir unterstützen bei der internen Kommunikation, der Einführung des Hinweisgebersystems und der Schulung der Führungsebene.
- Fortlaufende Überprüfung: Wir stehen für regelmäßige Reviews zur Verfügung und informieren proaktiv über relevante Rechtsänderungen.
Bei Verdacht auf einen bereits eingetretenen Compliance-Verstoß beraten wir Sie zur internen Untersuchung (Internal Investigation) und zur Frage, ob und wie eine freiwillige Offenlegung gegenüber Behörden sinnvoll ist. Solche Abwägungen sind zeitkritisch und erfordern erfahrene anwaltliche Begleitung.
Mikro-Fall aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen mit rund 120 Mitarbeitern, das nach einem Datenschutzvorfall – unbefugter Zugriff auf Kundendaten durch einen ehemaligen IT-Dienstleister – von der zuständigen Aufsichtsbehörde kontaktiert wurde. Ausgangslage: Ein Auftragsverarbeitungsvertrag existierte, wurde jedoch nach einem Dienstleisterwechsel nicht aktualisiert; die 72-Stunden-Meldefrist war bereits abgelaufen. Vorgehen: BRANDT & FALK koordinierte die unverzügliche Behördenkorrespondenz, ließ den Vorfall vollständig dokumentieren und erarbeitete ein Gegendarstellungskonzept, das die proaktiven Schutzmaßnahmen des Unternehmens in den Vordergrund stellte. Ergebnis: Das Verfahren wurde ohne förmliche Bußgeldentscheidung abgeschlossen; das Unternehmen implementierte im Anschluss ein vollständiges Datenschutz-Compliance-System.
Was kostet Compliance-Beratung – und wann lohnt sie sich?
Diese Frage stellt sich jeder Geschäftsführer zu Recht. Die Antwort hängt von Umfang, Komplexität und dem bereits vorhandenen Reifegrad des Systems ab. BRANDT & FALK bietet Compliance-Beratung auf Basis von Stundenhonorar, Pauschalhonorar für definierte Leistungspakete (etwa Compliance-Audit + Richtlinienpaket) und individueller Vergütungsvereinbarung nach § 3a RVG.
Eine Verhältnismäßigkeitsprüfung lohnt sich: Was kostet ein Compliance-Audit? Und was kostet ein Bußgeldverfahren, eine Innenhaftungsklage oder ein strafrechtliches Ermittlungsverfahren – in Zeit, Geld und Reputation? In der Praxis erleben wir, dass frühzeitig aufgebaute Strukturen Verfahren häufig vermeiden oder deren Ausgang maßgeblich verbessern.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der Fristen und der einschlägigen Rechtsprechung.
Für eine fachliche Einschätzung Ihrer Compliance-Situation – ob als Erstaufnahme, nach einem konkreten Vorfall oder zur Vorbereitung auf eine behördliche Prüfung – schreiben Sie uns an info@brandtfalk.com. Wir melden uns innerhalb eines Werktages.
Verwandte Leistungen
Häufige Fragen zur Compliance-Pflicht der Geschäftsführung
Muss jede GmbH ein förmliches Compliance-System einrichten?
Das GmbHG schreibt kein formal vorgeschriebenes Compliance-System vor. Die Legalitätspflicht aus § 43 GmbHG verpflichtet den Geschäftsführer jedoch organisatorisch sicherzustellen, dass die Gesellschaft rechtmäßig agiert. Welche konkreten Maßnahmen erforderlich sind, richtet sich nach Unternehmensgröße, Branche und Risikolage. Im Streitfall prüfen Gerichte, ob die getroffenen Maßnahmen der Risikosituation angemessen waren. Fehlt jegliche Struktur, ist eine Haftung schwer abzuwehren.
Haftet der Geschäftsführer persönlich, wenn er von einem Verstoß nichts wusste?
Ja – unter Umständen. Die Legalitätskontrollpflicht bedeutet, dass der Geschäftsführer nicht nur selbst rechtmäßig handeln, sondern auch Verstöße durch Mitarbeiter organisatorisch verhindern muss. Wer keine geeigneten Kontroll- und Überwachungsstrukturen einrichtet, kann sich im Haftungsfall nicht allein auf fehlende Kenntnis berufen. Entscheidend ist, ob die ergriffenen Maßnahmen nach dem Risikograd des Unternehmens angemessen waren – das ist stets eine Einzelfallbewertung.
Was ist der Unterschied zwischen Compliance-Pflicht und D&O-Versicherung?
Die Compliance-Pflicht ist eine gesetzliche Organisationspflicht; die D&O-Versicherung (Vermögensschadenhaftpflicht für Organe) ist ein vertragliches Haftungsauffangnetz. Beides schließt sich nicht aus, aber eine D&O-Versicherung ersetzt kein funktionsfähiges Compliance-System. Viele Policen enthalten Ausschlüsse für grobe Fahrlässigkeit oder vorsätzliche Pflichtverletzungen. Ohne nachweisbares Compliance-System kann die Versicherungsleistung im Schadenfall verweigert werden. Die genauen Deckungsvoraussetzungen sind im Einzelfall anwaltlich zu prüfen.
Ab wann greift das Hinweisgeberschutzgesetz?
Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab einer bestimmten Mitarbeiterzahl zur Einrichtung eines internen Meldekanals. Die Schwellenwerte und Übergangszeiträume haben sich seit Inkrafttreten des Gesetzes mehrfach verändert; maßgeblich ist die aktuell geltende Fassung. Wir empfehlen, die konkrete Pflichtenlage anwaltlich prüfen zu lassen – die Folgen fehlender Umsetzung können erheblich sein.
Wie schnell muss eine Datenschutzverletzung gemeldet werden?
Nach Art. 33 DSGVO muss eine Datenschutzverletzung, die ein Risiko für die Rechte und Freiheiten natürlicher Personen begründet, binnen 72 Stunden nach Bekanntwerden bei der zuständigen Datenschutzaufsichtsbehörde gemeldet werden. Diese Frist ist kurz und beginnt ab dem Zeitpunkt, zu dem der Verantwortliche Kenntnis erlangt. Ein funktionierendes internes Meldeverfahren ist deshalb nicht nur regulatorische Pflicht, sondern praktische Notwendigkeit.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der einschlägigen Fristen und der aktuellen Rechtsprechung. Zur Klärung, wie die Compliance-Pflichten der Geschäftsführung auf Ihr Unternehmen wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.