Ein inhabergeführter Maschinenbauer mit 80 Beschäftigten erhält eine Prüfungsankündigung der Finanzbehörde – und der Geschäftsführer stellt beim Aktendurchgang fest, dass interne Kontrollprozesse seit Jahren nur auf Zuruf funktionieren. Kein Dokumentationssystem, keine klare Zuständigkeitsmatrix, keine regelmäßige Berichtslinie an die Gesellschafter. Was in ruhigen Zeiten als pragmatisch galt, wird unter dem Blickwinkel der persönlichen Haftung zur ernsthaften Gefährdung. Die Legalitätspflicht des Geschäftsführers verlangt, dass Recht und Gesetz im Unternehmen aktiv durchgesetzt werden – nicht nur passiv beachtet.
Compliance-Pflichten der Geschäftsführung ergeben sich aus der gesellschaftsrechtlichen Legalitätspflicht, die unmittelbar aus § 43 GmbHG folgt. Danach haben Geschäftsführer bei der Leitung der Gesellschaft die Sorgfalt eines ordentlichen Kaufmanns anzuwenden und für die Einhaltung aller einschlägigen gesetzlichen Anforderungen zu sorgen. Verstöße begründen eine persönliche Schadensersatzpflicht gegenüber der Gesellschaft und können – bei vorsätzlicher oder grob fahrlässiger Verletzung – auch gegenüber Dritten haftungsrelevant werden.
Dieser Beitrag erläutert die wesentlichen Compliance-Pflichten, die typischen Haftungsrisiken für Geschäftsführer im Mittelstand, die Grundzüge eines rechtssicheren Compliance-Systems sowie die nächsten anwaltlichen Schritte.
Was bedeutet die Legalitätspflicht für den Geschäftsführer einer GmbH?
Die Legalitätspflicht ist die Basis aller Compliance-Überlegungen im GmbH-Recht. Sie verpflichtet den Geschäftsführer nicht nur dazu, selbst rechtstreu zu handeln, sondern auch sicherzustellen, dass die gesamte Organisation die anwendbaren Regeln einhält. Diese Pflicht ist nicht dispositiv – sie kann weder durch Gesellschafterbeschluss noch durch Anweisung eingeschränkt werden.
Gesetzliche Grundlage ist § 43 Abs. 1 GmbHG, wonach der Geschäftsführer in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden hat. Die Rechtsprechung hat daraus eine umfassende Legalitätspflicht abgeleitet, die alle Unternehmensbereiche erfasst: Steuer- und Arbeitsrecht, Datenschutz, Kartellrecht, Produktsicherheit und gewerblicher Rechtsschutz. Für die Praxis bedeutet das: Wer als Geschäftsführer auf fehlerhafte Information der Mitarbeiter vertraut, ohne ein angemessenes Kontrollsystem etabliert zu haben, kann sich nicht darauf berufen, von den Verstößen nichts gewusst zu haben.
In der Mandatspraxis sehen wir regelmäßig, dass Geschäftsführer diese Pflicht auf das eigene Handeln beschränken. Das ist ein folgenreicher Irrtum. Die Legalitätspflicht erstreckt sich ausdrücklich auf die Legalitätskontrollpflicht – die Pflicht, Strukturen und Prozesse zu schaffen, die Gesetzesverstöße durch Mitarbeiter verhindern oder aufdecken. Fehlt ein solches System, begründet schon das Unterlassen eine haftungsrelevante Pflichtverletzung.
Welche konkreten Handlungsfelder umfasst die Compliance-Pflicht?
Die Compliance-Pflicht des Geschäftsführers erstreckt sich auf sämtliche Rechtsbereiche, die das Unternehmen berühren. Für den Mittelstand lassen sich die relevantesten Handlungsfelder in vier Kategorien bündeln, die jeweils eigene Haftungsrisiken tragen.
Steuerrecht und Buchführung: Der Geschäftsführer trägt nach § 34 AO die persönliche Verantwortung für die rechtzeitige und vollständige Erfüllung steuerlicher Pflichten der Gesellschaft. Werden Steuern nicht abgeführt – sei es die Lohnsteuer oder die Umsatzsteuer –, haftet er nach § 69 AO persönlich für den entstandenen Schaden. Die Einspruchsfrist gegen Steuerbescheide beträgt nach § 355 AO einen Monat; wer diese Frist versäumt, verliert wesentliche Verteidigungsoptionen.
Arbeitsrecht und Arbeitnehmerschutz: Die ordnungsgemäße Lohnabrechnung, die Einhaltung des gesetzlichen Mindestlohns von 13,90 € pro Stunde (seit 1. Januar 2026) sowie die Dokumentation der Arbeitszeiten sind unmittelbare Compliance-Anforderungen. Das Bundesarbeitsgericht hat mit Beschluss vom 13. September 2022 klargestellt, dass eine Pflicht zur Arbeitszeiterfassung bereits nach geltendem Recht besteht.
Datenschutz: Der Geschäftsführer verantwortet die Einhaltung der Datenschutz-Grundverordnung (DSGVO) als „Verantwortlicher" im Sinne von Art. 4 Nr. 7 DSGVO. Bei Datenschutzverletzungen ist die Aufsichtsbehörde binnen 72 Stunden zu informieren (Art. 33 DSGVO). Bußgelder können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes erreichen, wobei die persönliche Haftung des Geschäftsführers gegenüber der Gesellschaft für entstehende Schäden separat zu bewerten ist.
Insolvenzrechtliche Pflichten: Die zeitkritischste Compliance-Pflicht ist die Antragspflicht nach § 15a InsO. Bei Zahlungsunfähigkeit muss der Geschäftsführer spätestens innerhalb von drei Wochen Insolvenzantrag stellen; bei Überschuldung beträgt die Frist sechs Wochen. Wer diese Frist verstreichen lässt, riskiert strafrechtliche Verfolgung und die persönliche Haftung für alle nach Insolvenzreife vorgenommenen Zahlungen.
Wie entsteht die persönliche Haftung des Geschäftsführers bei Compliance-Verstößen?
Persönliche Haftung des Geschäftsführers im Compliance-Kontext entsteht auf mehreren rechtlichen Wegen gleichzeitig. Das ist ein Aspekt, den viele Geschäftsführer im Mittelstand unterschätzen: Die Haftungstatbestände kumulieren, sie schließen sich nicht gegenseitig aus.
Gegenüber der Gesellschaft haftet der Geschäftsführer nach § 43 Abs. 2 GmbHG für Schäden, die er durch Verletzung seiner Obliegenheiten verursacht hat. Die Beweislastumkehr ist dabei entscheidend: Hat die Gesellschaft oder ihr Insolvenzverwalter nachgewiesen, dass eine Pflichtverletzung vorliegt und ein Schaden entstanden ist, muss der Geschäftsführer beweisen, dass ihn kein Verschulden trifft. Dieser Beweis gelingt in der Praxis selten, wenn Dokumentation und Kontrollprozesse fehlen.
Gegenüber Dritten – Gläubigern, Arbeitnehmern, Behörden – bestehen eigenständige Haftungstatbestände. Nach § 69 AO haftet der Geschäftsführer persönlich für schuldhaft nicht abgeführte Steuern. Nach § 823 Abs. 2 BGB in Verbindung mit Schutzgesetzen haftet er für Schäden, die durch Verletzung gesetzlicher Verbote entstehen. Nach § 15a InsO droht Strafbarkeit und die Haftung für sämtliche Zahlungen, die nach Eintritt der Insolvenzreife noch vorgenommen wurden.
Nach unserer Erfahrung wird die Haftung im Mittelstand häufig erst dann zum Problem, wenn die Gesellschaft in Schieflage gerät und ein Insolvenzverwalter die Geschäftsführerentscheidungen retrospektiv prüft. Zu diesem Zeitpunkt sind Dokumentationslücken kaum noch zu schließen. Die Konsequenz: Ein funktionierendes Compliance-System ist keine Frage der Unternehmensgröße, sondern eine persönliche Schutzmaßnahme des Geschäftsführers.
Was gehört zu einem rechtssicheren Compliance-System für mittelständische Unternehmen?
Ein angemessenes Compliance-System im Sinne des § 43 GmbHG muss nicht die Komplexität eines DAX-Konzernprogramms aufweisen. Entscheidend ist die Verhältnismäßigkeit: Das System muss dem Risikoprofil, der Größe und der Branche des Unternehmens entsprechen. Vier Grundelemente sind für nahezu jeden Mittelständler zwingend.
Risikoanalyse: Am Anfang steht die systematische Identifikation der für das Unternehmen relevanten Rechtspflichten – steuerliche Meldepflichten, arbeitsrechtliche Dokumentationsanforderungen, produktrechtliche Vorgaben, datenschutzrechtliche Verarbeitungsverzeichnisse. Ohne diese Bestandsaufnahme ist kein zielgerichtetes System aufbaubar.
Zuständigkeitsmatrix und Berichtslinie: Für jeden identifizierten Pflichtbereich muss klar geregelt sein, wer zuständig ist, wer kontrolliert und wer den Geschäftsführer informiert, wenn Probleme auftreten. Die Berichtslinie zum Geschäftsführer ist dabei nicht delegierbar: Er bleibt Adressat aller compliance-relevanten Informationen.
Dokumentation: Was nicht dokumentiert ist, hat im Streitfall nicht stattgefunden. Diese Formel klingt überspitzt, trifft aber den Kern der Beweislastproblematik nach § 43 Abs. 2 GmbHG. Entscheidungen, Prüfungen, Schulungen und Kontrollmaßnahmen sind schriftlich festzuhalten – idealerweise datums- und personenbezogen.
Regelmäßige Überprüfung: Ein einmal eingerichtetes System verliert seinen Schutzwert, wenn es nicht gepflegt wird. Jährliche Überprüfungen – zumindest bei wesentlichen Rechtsänderungen, Unternehmensumstrukturierungen oder Personalwechseln in Schlüsselpositionen – sind nach unserer Erfahrung das Minimum, das Gerichte und Aufsichtsbehörden als „ordnungsgemäß" akzeptieren.
Welche typischen Fehler führen zur Haftung – und wie werden sie vermieden?
In der anwaltlichen Praxis treten immer wieder dieselben Schwachstellen auf, die Haftungsrisiken für Geschäftsführer erzeugen. Ihre Kenntnis ist der erste Schritt zur Vermeidung.
Der häufigste Fehler ist das Fehlen schriftlicher Geschäftsführeranweisungen. Wenn der Geschäftsführer mündlich anordnet, dass bestimmte Prozesse einzuhalten sind, aber keine schriftliche Weisung existiert, kann er im Streitfall nicht nachweisen, dass er seinen Organisationspflichten nachgekommen ist. Die Folge: Er haftet für das Fehlverhalten der Mitarbeiter wie für eigenes Verschulden.
Ein weiterer verbreiteter Fehler ist die Delegation von Compliance-Aufgaben ohne Kontrollvorbehalt. Wer Compliance-Verantwortung an einen Mitarbeiter oder externen Berater überträgt, ohne klare Kontroll- und Berichtsmechanismen einzurichten, trägt das volle Haftungsrisiko weiter. Die Delegation entlastet nur dann, wenn sie dokumentiert ist, die delegierte Person qualifiziert ist und eine Kontrollstruktur existiert.
Besonders kritisch ist die verzögerte Reaktion auf Hinweise. Erhalten Geschäftsführer interne oder externe Signale auf potenzielle Rechtsverstöße – ob durch Mitarbeitermeldungen, Prüfungsankündigungen oder Brancheninformationen – und handeln nicht zeitnah, verlieren sie den Schutz des Business-Judgment-Rule-Gedankens. Nach § 93 AktG analog und der einschlägigen GmbH-Rechtsprechung schützt die unternehmerische Entscheidungsfreiheit nur denjenigen, der auf ausreichender Informationsbasis gehandelt hat.
Schließlich unterschätzen viele Geschäftsführer die Wirkung von Gesellschafterbeschlüssen. Ein Gesellschafterbeschluss, der eine rechtswidrige Handlung anordnet, entlastet den Geschäftsführer nicht. Die Legalitätspflicht ist, wie die höchstrichterliche Rechtsprechung vielfach betont hat, gegenüber dem Gesellschafterwillen vorrangig – nur wenn keine Legalitätspflichtverletzung vorliegt, kann ein Gesellschafterbeschluss enthaftend wirken.
Aus der Mandatspraxis: Die Kanzlei beriet einen Geschäftsführer eines mittelständischen Handelsunternehmens, gegen den nach der Eröffnung eines Insolvenzverfahrens Ansprüche nach § 43 Abs. 2 GmbHG geltend gemacht wurden. Ausgangslage: Der Insolvenzverwalter hatte festgestellt, dass in den letzten Monaten vor Insolvenzreife weiterhin Zahlungen an verbundene Unternehmen geflossen waren, ohne dass die Liquiditätslage dokumentiert oder geprüft worden war. Vorgehen: Wir erarbeiteten gemeinsam mit dem Mandanten eine umfassende Dokumentation der damaligen Entscheidungsprozesse, analysierten die zeitliche Abfolge der Liquiditätsverschlechterung und erstellten eine rechtliche Stellungnahme zur Frage des Eintritts der Insolvenzreife. Ergebnis: Die Auseinandersetzung mit dem Insolvenzverwalter konnte auf Basis der erarbeiteten Unterlagen strukturiert geführt werden; der geltend gemachte Haftungsumfang wurde im Verhandlungsweg erheblich eingegrenzt. Keine Erfolgsgarantie – jeder Fall hängt von seinen konkreten Umständen ab.
Wie gestaltet BRANDT & FALK die anwaltliche Begleitung im Compliance-Mandat?
Compliance-Beratung für Geschäftsführer ist aus unserer Sicht keine Standardaufgabe, die sich mit vorgefertigten Musterdokumenten erledigen lässt. Jedes Unternehmen hat ein individuelles Risikoprofil – bestimmt durch Branche, Gesellschafterstruktur, Unternehmensphase und die konkreten regulatorischen Umfelder, in denen es tätig ist.
Unser Ansatz beginnt mit einer strukturierten Bestandsaufnahme: Welche Compliance-Pflichten sind für das Unternehmen einschlägig? Welche davon sind aktuell nicht oder nicht ausreichend abgebildet? Wo bestehen akute Haftungsrisiken? Auf dieser Grundlage erarbeiten wir mit dem Geschäftsführer und, soweit sinnvoll, mit dem Gesellschafterkreis eine praxisgerechte Compliance-Struktur – einschließlich Zuständigkeitsmatrix, Dokumentationsstandards und Eskalationsverfahren.
Wir beraten regelmäßig Unternehmen, die nach einem Gesellschafterwechsel, einer Unternehmensnachfolge oder einer externen Prüfung erstmals systematisch an ihre Compliance-Strukturen herantreten. Dabei begleiten wir nicht nur die Einrichtung, sondern auch die laufende Anpassung der Systeme an geänderte Rechtslagen und unternehmerische Entwicklungen.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der einschlägigen Fristen und der auf Ihr Unternehmen anwendbaren Rechtsbereiche.
Für eine fachliche Einschätzung Ihrer Compliance-Situation als Geschäftsführer schreiben Sie an info@brandtfalk.com. Wir prüfen, welche Pflichten in Ihrem Unternehmen aktuell zu beachten sind und wo Handlungsbedarf besteht.
Häufige Fragen zu Compliance-Pflichten der Geschäftsführung
Welche gesetzliche Grundlage regelt die Compliance-Pflichten des GmbH-Geschäftsführers?
Die Compliance-Pflichten des GmbH-Geschäftsführers ergeben sich primär aus § 43 Abs. 1 GmbHG, der die allgemeine Sorgfaltspflicht des ordentlichen Geschäftsmannes normiert. Die höchstrichterliche Rechtsprechung hat daraus eine umfassende Legalitätspflicht abgeleitet, die sowohl das eigene Handeln als auch die organisatorische Sicherstellung der Gesetzestreue im gesamten Unternehmen umfasst. Daneben bestehen bereichsspezifische Pflichten im Steuerrecht (§ 34 AO), im Insolvenzrecht (§ 15a InsO) und im Datenschutzrecht (Art. 4 Nr. 7 DSGVO).
Haftet der Geschäftsführer persönlich, wenn Mitarbeiter Compliance-Vorgaben verletzen?
Ja, unter bestimmten Voraussetzungen. Wenn der Geschäftsführer keine angemessenen Kontrollstrukturen eingerichtet hat und Mitarbeiter deshalb Rechtspflichten verletzen, kann dies als eigene Pflichtverletzung des Geschäftsführers gewertet werden. Die Beweislastumkehr des § 43 Abs. 2 GmbHG verlangt, dass der Geschäftsführer sein fehlendes Verschulden beweist. Gelingt dieser Nachweis nicht – weil Dokumentation und Kontrollprotokolle fehlen –, droht die persönliche Schadensersatzpflicht gegenüber der Gesellschaft.
Kann ein Gesellschafterbeschluss den Geschäftsführer von Compliance-Pflichten entbinden?
Nein. Die Legalitätspflicht des Geschäftsführers ist gegenüber dem Gesellschafterwillen vorrangig. Ein Gesellschafterbeschluss, der eine rechtswidrige Handlung anordnet, entlastet den Geschäftsführer nicht. Er ist verpflichtet, rechtswidrige Weisungen abzulehnen – auch wenn dies bedeutet, in Konflikt mit den Gesellschaftern zu geraten. Im Zweifel muss der Geschäftsführer den Weg der Niederlegung seines Amtes wählen, bevor er eine gesetzeswidrige Weisung ausführt.
Ab welcher Unternehmensgröße ist ein förmliches Compliance-System erforderlich?
Die Pflicht zur Einrichtung eines angemessenen Compliance-Systems trifft jeden GmbH-Geschäftsführer unabhängig von der Unternehmensgröße. Maßstab ist die Verhältnismäßigkeit: Ein kleines Handelsunternehmen benötigt keine Konzernstruktur, wohl aber klare Zuständigkeiten, schriftliche Weisungen und Dokumentationsstandards. Entscheidend ist, dass das System dem konkreten Risikoprofil des Unternehmens entspricht. Im Einzelfall ist anwaltlich zu prüfen, welcher Umfang als „angemessen" gilt.
Welche Frist gilt für den Insolvenzantrag bei Zahlungsunfähigkeit?
Bei Eintritt der Zahlungsunfähigkeit im Sinne des § 17 InsO ist der Geschäftsführer verpflichtet, unverzüglich, spätestens aber innerhalb von drei Wochen Insolvenzantrag zu stellen (§ 15a InsO). Bei Überschuldung im Sinne des § 19 InsO verlängert sich diese Frist auf sechs Wochen. Die Nichteinhaltung dieser Fristen ist strafbar und begründet die persönliche Haftung des Geschäftsführers für alle nach Insolvenzreife vorgenommenen Zahlungen.
Verwandte Leistungen
BRANDT & FALK Rechtsanwälte – Compliance-Beratung für den Mittelstand
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der einschlägigen Fristen und der auf Ihr Unternehmen anwendbaren Rechtsbereiche. Zur Klärung, wie die Compliance-Pflichten der Geschäftsführung auf Ihre Situation wirken, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.