Ein inhabergeführter Maschinenbauer mit 120 Mitarbeitern erhält eine Anfrage der Steuerfahndung. Parallel mahnt ein Lieferant wegen mutmaßlicher Kartellabsprachen, und ein ausgeschiedener Gesellschafter kündigt Schadensersatzforderungen gegen den Geschäftsführer persönlich an. Was auf den ersten Blick wie eine Häufung von Zufällen wirkt, folgt einem bekannten Muster: Wer die Compliance-Pflichten der Geschäftsführung nicht systematisch erfüllt, exponiert sich selbst, sein Vermögen und das Unternehmen.
Geschäftsführer einer GmbH sind nach dem GmbH-Gesetz (GmbHG) verpflichtet, die Gesellschaft so zu leiten, dass alle einschlägigen Rechtsvorschriften eingehalten werden – die sogenannte Legalitätspflicht. Verstöße begründen eine persönliche, in aller Regel unbeschränkte Schadensersatzhaftung gegenüber der Gesellschaft und können darüber hinaus strafrechtliche Konsequenzen nach sich ziehen. Wer rechtzeitig ein funktionierendes Compliance-System einrichtet und dokumentiert, schützt sein Privatvermögen und wahrt die Handlungsfähigkeit des Unternehmens.
Der folgende Beitrag erläutert die rechtlichen Grundlagen, typische Risikobereiche im Mittelstand, die wichtigsten Dokumentationsanforderungen und die Schritte, mit denen Sie Ihre Compliance-Pflichten als Geschäftsführer heute absichern.
Was bedeutet die Legalitätspflicht für Geschäftsführer konkret?
Die Legalitätspflicht ist der Kern aller Compliance-Pflichten des Geschäftsführers. Sie ergibt sich aus §§ 43 Abs. 1 und 2 GmbHG, die den Sorgfaltsmaßstab eines ordentlichen Kaufmanns vorschreiben und zugleich die Haftungsgrundlage bei Verletzung bilden. Der Geschäftsführer schuldet nicht nur eigenes rechtmäßiges Verhalten, sondern ist auch verpflichtet, rechtswidrige Handlungen der Mitarbeiter und sonstiger Unternehmensangehöriger durch geeignete Strukturen zu verhindern.
In der Mandatspraxis sehen wir häufig, dass Geschäftsführer die Legalitätspflicht auf das eigene Handeln verengen und die Organisations- und Überwachungsdimension unterschätzen. Tatsächlich hat die höchstrichterliche Rechtsprechung wiederholt betont, dass der Geschäftsführer verpflichtet ist, ein angemessenes Risikofrüherkennungs- und Überwachungssystem einzurichten. Die Frage, was „angemessen" bedeutet, richtet sich nach Größe, Branche und Risikoexposition des Unternehmens – ein Pauschalmaßstab existiert nicht.
Praktisch bedeutet das: § 43 GmbHG begründet eine unmittelbare persönliche Haftung des Geschäftsführers ohne Rücksicht auf das Gesellschaftsvermögen. Reicht das Gesellschaftsvermögen nicht aus, um einen durch Pflichtverletzung entstandenen Schaden auszugleichen, kann die Gesellschaft – oder im Insolvenzfall der Insolvenzverwalter – den Geschäftsführer aus dessen Privatvermögen in Anspruch nehmen.
Welche Haftungsrisiken drohen im Mittelstand besonders?
Mittelständische Unternehmen sind in einer besonders exponierten Lage: Sie verfügen in der Regel nicht über spezialisierte Rechts- oder Compliance-Abteilungen, ihre Entscheidungswege sind kurz, und Geschäftsführer handeln oft auch operativ. Das erhöht sowohl die Wahrscheinlichkeit von Verstößen als auch die persönliche Haftungsreichweite.
Nach unserer Erfahrung konzentrieren sich die Haftungsrisiken im Mittelstand auf folgende Bereiche:
- Steuer- und Abgabenpflichten: Der Geschäftsführer haftet persönlich für die pünktliche Abführung von Lohnsteuer, Umsatzsteuer und Sozialversicherungsbeiträgen. Bei verspäteter Abführung greift die Haftung nach § 69 Abgabenordnung (AO) ohne weiteres Verschuldenselement.
- Insolvenzantragspflicht: Bei Zahlungsunfähigkeit ist der Antrag spätestens innerhalb von drei Wochen zu stellen, bei Überschuldung binnen sechs Wochen (§ 15a InsO). Wer diese Frist versäumt, haftet persönlich für alle nach diesem Zeitpunkt entstandenen Verbindlichkeiten der Gesellschaft.
- Datenschutz (DSGVO): Verstöße können Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 DSGVO). Datenschutzverletzungen sind binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden (Art. 33 DSGVO).
- Arbeitsrechtliche Pflichten: Die korrekte Erfassung von Arbeitszeiten ist nach der gefestigten Rechtsprechung des Bundesarbeitsgerichts bereits heute verpflichtend. Der gesetzliche Mindestlohn beträgt seit dem 1. Januar 2026 13,90 Euro pro Stunde; ab dem 1. Januar 2027 steigt er auf 14,60 Euro. Verstöße lösen persönliche Bußgeld- und Haftungsrisiken aus.
- Kartell- und Wettbewerbsrecht: Absprachen über Preise oder Marktaufteilung, auch informelle, begründen Bußgeldrisiken und zivilrechtliche Schadensersatzansprüche – gelegentlich auch gegen den Geschäftsführer persönlich nach § 130 Ordnungswidrigkeitengesetz (OWiG).
- Arbeitssicherheit und Umweltrecht: Pflichtverletzungen in diesen Bereichen führen zunehmend zu behördlichen Ermittlungen und können strafrechtliche Relevanz erlangen.
Entscheidend ist: Für alle genannten Bereiche gilt, dass eine gut dokumentierte Compliance-Struktur im Streitfall als Entlastungsbeweis dient. Wer nachweisen kann, dass er geeignete Systeme eingerichtet, regelmäßig überprüft und anlassbezogen angepasst hat, begegnet einer Haftungsklage mit deutlich besserer Ausgangslage.
Wie funktioniert ein angemessenes Compliance-System für den Mittelstand?
Ein Compliance-System muss nicht dem Aufwand eines DAX-Konzerns entsprechen, um seinen Zweck zu erfüllen. Entscheidend ist, dass es zum Unternehmen passt, tatsächlich gelebt wird und sich im Streitfall rekonstruieren lässt. Drei Elemente sind aus rechtlicher Sicht unverzichtbar.
Risikoidentifikation und -bewertung: Zunächst ist eine strukturierte Analyse der rechtlichen Risikobereiche erforderlich, die das Unternehmen in seiner konkreten Tätigkeit betreffen. Ein mittelständischer Pharmazulieferer trägt andere Risiken als ein Handelsunternehmen. Die Risikolandkarte bildet die Grundlage für alle weiteren Maßnahmen. In der Praxis empfehlen wir, diese Analyse mindestens einmal jährlich und bei wesentlichen Veränderungen des Geschäftsmodells anlassbezogen zu wiederholen.
Interne Richtlinien, Schulung und Kontrolle: Auf Basis der Risikobewertung sind interne Vorgaben zu entwickeln, schriftlich zu fixieren und an die betroffenen Mitarbeiter zu kommunizieren. Schulungen dokumentieren, dass Regelungen nicht nur auf dem Papier existieren. Kontrollmechanismen – etwa Vier-Augen-Prinzip bei Zahlungsvorgängen, regelmäßige Stichproben, klare Eskalationskanäle – stellen sicher, dass Verstöße frühzeitig erkannt werden.
Dokumentation und Berichtswesen: Was nicht dokumentiert ist, hat im Streitfall nicht stattgefunden. Geschäftsführer sollten sicherstellen, dass Entscheidungen, Risikoabwägungen und Schulungsmaßnahmen so dokumentiert werden, dass sie Jahre später nachvollzogen werden können. Die Regelverjährung beträgt nach § 195 BGB drei Jahre, Ansprüche aus gesellschaftsrechtlicher Haftung können jedoch deutlich länger zurückreichen.
Welches Compliance-System „angemessen" ist, lässt sich nicht abstrakt beantworten – es hängt von Umsatz, Mitarbeiterzahl, Branche, Internationalität und der konkreten Risikoexposition ab. Eine anwaltliche Bestandsaufnahme schafft hier rasch Klarheit.
Wie verhält sich die Compliance-Pflicht zu Weisungen der Gesellschafter?
Eine im Mittelstand besonders praxisrelevante Frage lautet: Darf der Geschäftsführer eine Weisung der Gesellschafterversammlung ausführen, die ihn rechtlich in eine Grauzone führt? Die Antwort ist eindeutig: Nein.
Die Legalitätspflicht ist gegenüber Gesellschafterweisungen nicht abdingbar. Der Geschäftsführer hat eine eigenständige Pflicht zur Rechtmäßigkeitsprüfung. Weist die Gesellschafterversammlung ihn an, eine rechtswidrige Handlung vorzunehmen – etwa eine Zahlung vorzunehmen, die eine verdeckte Gewinnausschüttung oder eine Gläubigerbenachteiligung darstellt –, darf und muss er diese Weisung verweigern. Führt er sie dennoch aus, schützt ihn die Gesellschafterweisung nicht vor persönlicher Haftung.
Nach unserer Erfahrung entstehen in dieser Konstellation besonders schwierige Situationen in inhabergeführten Unternehmen, in denen Gesellschafter und Geschäftsführer nicht identisch sind. Der angestellte Fremdgeschäftsführer steht dann vor der Herausforderung, gegenüber dem Mehrheitsgesellschafter auf Rechtswidrigkeit hinzuweisen – mit allen arbeitsrechtlichen und persönlichen Konsequenzen. Wer in dieser Situation frühzeitig anwaltlichen Rat einholt, schützt sowohl seine Haftungsposition als auch sein Arbeitsverhältnis.
Für den Fall, dass eine Gesellschafterweisung die Grenzen des rechtlich Zulässigen berührt, empfehlen wir einen klar dokumentierten Widerspruch, idealerweise schriftlich und unter Beifügung der rechtlichen Begründung. Das schützt den Geschäftsführer im Innenverhältnis zur Gesellschaft und dokumentiert die Wahrnehmung seiner Legalitätspflicht.
Aus der Mandatspraxis: Die Kanzlei beriet einen Fremdgeschäftsführer eines mittelständischen Handelsunternehmens, dessen Mehrheitsgesellschafter auf die Auszahlung eines erheblichen Darlehens an eine nahestehende Person drängte. Ausgangslage: Der Geschäftsführer hatte begründete Zweifel an der Werthaltigkeit der Gegenleistung und befürchtete eine Haftungssituation nach dem GmbH-Gesetz. Vorgehen: Wir analysierten die gesellschaftsrechtliche und steuerliche Lage, formulierten einen schriftlichen Widerspruch mit Rechtsbegründung und begleiteten die anschließende Gesellschafterversammlung. Ergebnis: Die Zahlung wurde in ein ordnungsgemäß besichertes und marktüblich verzinstes Darlehen umstrukturiert; der Geschäftsführer konnte seine Pflichten erfüllen, ohne das Arbeitsverhältnis zu gefährden.
Welche Rolle spielen D&O-Versicherung und Enthaftungsklauseln?
Wer als Geschäftsführer persönlich haftet, fragt zu Recht, ob eine D&O-Versicherung (Directors-and-Officers-Haftpflichtversicherung) den Schutz übernimmt. Die Antwort ist differenziert.
Eine gut ausgestaltete D&O-Versicherung deckt Schadensersatzansprüche Dritter und der Gesellschaft gegen den Geschäftsführer wegen schuldhafter Pflichtverletzung bis zur vereinbarten Deckungssumme. Sie ist für mittelständische Unternehmen regelmäßig empfehlenswert. Allerdings enthält nahezu jede Police erhebliche Ausschlussklauseln: Wissentliche Pflichtverletzungen, Bußgelder, Geldstrafen und Ansprüche wegen vorsätzlicher Schädigung sind typischerweise nicht versichert.
Enthaftungsklauseln im Anstellungsvertrag – etwa Begrenzungen des Regressanspruchs der Gesellschaft – sind gesellschaftsrechtlich nur eingeschränkt zulässig und schützen nicht gegenüber Gesellschaftsgläubigern oder dem Insolvenzverwalter. Kein Vertrag und keine Versicherung ersetzt ein funktionierendes Compliance-System.
In der Mandatspraxis beobachten wir, dass Geschäftsführer die D&O-Versicherung oft abschließen, ohne die Deckungsausschlüsse genau zu kennen. Im Schadenfall führt das zu bösen Überraschungen. Wir empfehlen, die Police mindestens einmal jährlich mit einem spezialisierten Anwalt auf Aktualität und Deckungslücken zu prüfen – insbesondere nach wesentlichen Veränderungen im Geschäftsbetrieb.
Wie dokumentiere ich als Geschäftsführer meine Compliance-Maßnahmen rechtssicher?
Dokumentation ist der entscheidende Unterschied zwischen einer abstrakten Compliance-Absicht und einem belastbaren Haftungsschutz. Im Streitfall – sei es eine Klage der Gesellschaft, ein Insolvenzverwalter oder eine Behörde – trägt der Geschäftsführer die Darlegungs- und Beweislast für die Erfüllung seiner Sorgfaltspflichten nach § 43 GmbHG.
Folgende Dokumente sollten dauerhaft und sicher aufbewahrt werden:
- Risikoanalysen mit Datum, Ergebnis und den beauftragten Personen oder Beratern
- Richtlinien und Dienstanweisungen einschließlich Versionierung und Verteiler
- Schulungsnachweise mit Teilnehmerlisten, Datum und Inhalt
- Protokolle der Gesellschafterversammlung und Beiratssitzungen zu compliance-relevanten Tagesordnungspunkten
- Korrespondenz mit Behörden (Steuerbehörden, Datenschutzbehörden, Berufsgenossenschaften) vollständig und chronologisch
- Schriftliche Weisungswidersprüche und deren Begründung
Wie lange diese Unterlagen aufzubewahren sind, richtet sich nach dem einschlägigen Recht. Steuerrechtlich relevante Dokumente unterliegen regelmäßig der handels- und steuerrechtlichen Aufbewahrungspflicht. Für haftungsrechtliche Zwecke ist zu beachten, dass die Verjährung bei vorsätzlichen Pflichtverletzungen erheblich verlängert sein kann. Im Zweifel empfehlen wir eine Aufbewahrungsdauer, die über die reguläre Regelverjährung von drei Jahren hinausgeht.
Welche nächsten Schritte sind für Geschäftsführer jetzt geboten?
Compliance-Pflichten entstehen nicht durch Gesetz allein – sie werden durch konkretes Handeln oder Unterlassen real. Für Geschäftsführer im Mittelstand empfehlen wir einen Dreischritt:
Bestandsaufnahme: Zunächst ist zu klären, welche Pflichten für das konkrete Unternehmen gelten und welche derzeit nicht oder nicht vollständig erfüllt werden. Diese Bestandsaufnahme ist Ausgangspunkt jeder sinnvollen Compliance-Beratung und lässt sich in aller Regel in einem strukturierten Gespräch mit qualifizierten Unterlagen eingrenzen.
Priorisierung und Umsetzung: Nicht alle Risiken haben dieselbe Dringlichkeit. Haftungsrisiken mit unmittelbarem persönlichem Durchgriff – etwa die Insolvenzantragspflicht, steuerliche Abführungspflichten und Datenschutzverstöße – sind zuerst zu adressieren. Danach folgen strukturelle Maßnahmen wie interne Richtlinien, Schulungsprogramme und Kontrollmechanismen.
Regelmäßige Überprüfung: Ein Compliance-System, das einmal eingerichtet wurde, verliert seinen Schutzwert, wenn es nicht gepflegt wird. Wir empfehlen eine jährliche Überprüfung sowie eine anlassbezogene Anpassung bei wesentlichen Veränderungen im Unternehmen, bei Rechtsänderungen oder nach internen Vorfällen.
Welche Maßnahmen in Ihrer konkreten Situation Priorität haben, lässt sich nur nach Prüfung Ihrer Unterlagen, Ihrer Gesellschaftsstruktur und des einschlägigen Rechtsrahmens sagen. Pauschalempfehlungen führen hier häufig an den eigentlichen Risiken vorbei.
Die vorstehende Darstellung betrifft die Regelfälle der Geschäftsführer-Compliance nach dem GmbH-Gesetz. Ihr konkreter Fall erfordert die Prüfung Ihrer Gesellschaftsstruktur, bestehender Richtlinien, offener Fristen und der einschlägigen Rechtsprechung. Zur Klärung, welche Compliance-Maßnahmen für Ihr Unternehmen prioritär sind, wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu Compliance-Pflichten der Geschäftsführung
Welche Rechtsgrundlage begründet die Compliance-Pflicht des GmbH-Geschäftsführers?
Die Compliance-Pflicht ergibt sich primär aus § 43 GmbHG, der den Geschäftsführer zur Anwendung der Sorgfalt eines ordentlichen Geschäftsmanns verpflichtet. Daraus leitet die gefestigte Rechtsprechung die Pflicht ab, sowohl selbst rechtmäßig zu handeln als auch durch geeignete organisatorische Maßnahmen rechtswidrige Handlungen im Unternehmen zu verhindern. Daneben greifen bereichsspezifische Vorschriften aus dem Steuer-, Datenschutz-, Arbeits- und Insolvenzrecht mit eigenen Haftungsfolgen.
Haftet der Geschäftsführer auch, wenn er von einem Verstoß nichts wusste?
Ja, unter Umständen. § 43 GmbHG begründet nicht nur Haftung für vorsätzliche Pflichtverletzungen, sondern auch für fahrlässige. Wer keine angemessenen Überwachungs- und Kontrollstrukturen einrichtet, kann sich im Schadensfall nicht darauf berufen, er habe den Verstoß nicht gekannt. Die Organisations- und Überwachungspflicht ist eigenständig und von der eigenen Kenntnis unabhängig. Entlastung ist möglich, wenn nachgewiesen wird, dass ein funktionierendes Compliance-System bestand und der Verstoß trotzdem nicht verhindert werden konnte.
Schützt eine Weisung der Gesellschafterversammlung den Geschäftsführer vor Haftung?
Nein. Die Legalitätspflicht ist gegenüber Gesellschafterweisungen nicht abdingbar. Führt der Geschäftsführer eine rechtswidrige Weisung aus, haftet er persönlich – auch wenn er auf ausdrückliche Anordnung der Gesellschafterversammlung gehandelt hat. Rechtlich zulässige Weisungen der Gesellschafter entbinden ihn von eigenem Ermessen, nicht aber von der Pflicht zur Rechtmäßigkeitsprüfung. Im Zweifel ist der Widerspruch schriftlich zu dokumentieren.
Ab welcher Unternehmensgröße ist ein formales Compliance-Management erforderlich?
Eine gesetzliche Schwelle, ab der ein formales Compliance-Management-System verpflichtend ist, existiert für die GmbH nicht. Der erforderliche Umfang richtet sich nach der konkreten Risikoexposition: Branche, Mitarbeiterzahl, internationale Tätigkeit und Haftungsumfeld bestimmen, was „angemessen" ist. Auch ein kleines Unternehmen kann ein erhebliches Haftungsrisiko tragen, wenn es in regulierten Bereichen tätig ist. Die genaue Anforderung ist im Einzelfall anwaltlich zu klären.
Was passiert, wenn die Insolvenzantragspflicht versäumt wird?
Wird der Insolvenzantrag bei Zahlungsunfähigkeit nicht innerhalb von drei Wochen gestellt (§ 15a InsO), haftet der Geschäftsführer persönlich für alle nach Eintritt der Insolvenzreife eingegangenen Verbindlichkeiten. Hinzu treten strafrechtliche Risiken wegen Insolvenzverschleppung. Die Drei-Wochen-Frist ist eine Höchstfrist, keine Handlungsfrist – sobald Anzeichen für Zahlungsunfähigkeit vorliegen, ist unverzüglich anwaltlicher Rat einzuholen.
Kann die D&O-Versicherung alle Haftungsrisiken des Geschäftsführers abdecken?
Nein, eine vollständige Deckung ist nicht möglich. D&O-Versicherungen schließen typischerweise wissentliche Pflichtverletzungen, Bußgelder und Geldstrafen aus. Auch die Deckungssumme ist begrenzt. Eine D&O-Versicherung ergänzt ein funktionierendes Compliance-System – sie ersetzt es nicht. Policeninhalte sollten regelmäßig auf Aktualität und Deckungslücken geprüft werden, insbesondere nach wesentlichen Veränderungen im Unternehmen.
Die vorstehende Darstellung gibt einen Überblick über die wesentlichen Compliance-Pflichten der Geschäftsführung nach dem GmbH-Gesetz. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, bestehender Strukturen und der auf Ihr Unternehmen anwendbaren Normen. Für eine erste Durchsicht Ihrer Compliance-Situation erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.