Ein Automobilzulieferer mit 180 Beschäftigten erhält eine Anforderungsliste seines Tier-1-Abnehmers: Innerhalb von 90 Tagen soll er ein dokumentiertes Compliance-Management-System (CMS) vorweisen – andernfalls steht die Rahmenvertragsvereinbarung auf dem Spiel. Gleichzeitig ermittelt die Staatsanwaltschaft wegen eines vermeintlichen Kartellverstoßes in einer benachbarten Vertriebsregion. Der Geschäftsführer fragt sich: Wo beginnt die persönliche Haftung, und was schützt ihn tatsächlich?
Ein strukturiertes Compliance-Management-System für den Mittelstand in der Automobilzulieferindustrie ist keine freiwillige Kür, sondern ein rechtlich und wirtschaftlich gebotenes Steuerungsinstrument. Es begrenzt die persönliche Haftung des Geschäftsführers nach dem Ordnungswidrigkeitengesetz (OWiG) und dem GmbHG, reduziert das Bußgeldrisiko des Unternehmens und erfüllt wachsende vertragliche Lieferkettenanforderungen. Die anwaltliche Begleitung setzt an der Risikoanalyse an, gestaltet die CMS-Architektur rechtskonform und sichert die Dokumentation für den Ernstfall.
Der vorliegende Beitrag erläutert den normativen Rahmen, die spezifischen Risiken der Automobilzulieferbranche, die Kernelemente eines belastbaren CMS und die konkrete anwaltliche Begleitung durch BRANDT & FALK – Schritt für Schritt.
Warum ein CMS für Geschäftsführer in der Automobilzulieferindustrie keine Option, sondern Pflicht ist
Geschäftsführer einer GmbH haften gegenüber der Gesellschaft persönlich für Organisationsverschulden – das ist die Grundaussage des § 43 Abs. 1 GmbHG. Kommt es zu einer Pflichtverletzung, die auf fehlende Aufsicht oder unzureichende interne Kontrollprozesse zurückgeht, droht die persönliche Schadensersatzpflicht. Parallel dazu öffnet § 130 OWiG die Tür zur Unternehmensverantwortlichkeit: Verletzt ein Mitarbeiter betriebsbezogene Pflichten, weil die Unternehmensleitung keine zumutbaren Aufsichtsmaßnahmen getroffen hat, kann das Unternehmen mit einem Bußgeld belegt werden.
In der Automobilzulieferindustrie sind die Risikokategorien besonders dicht gestreut. Preisabsprachen mit anderen Zulieferern, Korruption beim Einkauf von Vorprodukten, Verstöße gegen das Lieferkettensorgfaltspflichtengesetz (LkSG) und unzureichende Exportkontrolle bei Dual-Use-Gütern sind keine theoretischen Szenarien, sondern Gegenstände laufender Ermittlungsverfahren in der Branche. Das Bußgeld nach § 30 OWiG kann bis zu zehnmal den gesetzlichen Höchstbetrag übersteigen, wenn die Anknüpfungstat eine Straftat ist – die genaue Höhe ist einzelfallabhängig und im konkreten Mandat anwaltlich zu prüfen.
Hinzu kommt der Druck aus der Lieferkette selbst. OEMs und Tier-1-Hersteller verlangen in ihren Allgemeinen Einkaufsbedingungen und Rahmenverträgen zunehmend den Nachweis eines funktionierenden CMS. Fehlt dieser Nachweis, droht nicht nur Vertragsstrafe, sondern auch die Nichtbewerbung neuer Plattformen. Nach unserer Erfahrung unterschätzen mittelständische Zulieferer systematisch, wie schnell eine fehlende CMS-Dokumentation zur handfesten Vertragsgefährdung wird.
Normativer Rahmen: OWiG, GmbHG und branchenspezifische Regelwerke
Das Ordnungswidrigkeitengesetz bildet das zentrale Haftungsgerüst. § 9 OWiG erstreckt die Verantwortlichkeit auf Organmitglieder, die im Namen des Unternehmens handeln; § 130 OWiG adressiert die Aufsichtspflichtverletzung; § 30 OWiG ermöglicht die Bebußung der juristischen Person selbst. Diese Normen wirken zusammen: Ein unterlassenes CMS ist in der Prüfung der Aufsichtspflichtverletzung ein zentrales Indiz für mangelnde Vorsorge.
Das GmbH-Gesetz ergänzt die öffentlich-rechtliche Ebene um zivilrechtliche Ansprüche. § 43 Abs. 2 GmbHG gewährt der Gesellschaft gegen den Geschäftsführer Schadensersatzansprüche, die einer regelmäßigen Verjährungsfrist von drei Jahren unterliegen (§ 195 BGB, Beginn zum Schluss des Jahres, in dem der Anspruch entstanden ist). Im Insolvenzfall oder bei einem Gesellschafterwechsel – etwa nach einem Unternehmensverkauf – können diese Ansprüche gegen den früheren Geschäftsführer geltend gemacht werden.
Branchenspezifisch kommen hinzu: das Lieferkettensorgfaltspflichtengesetz mit seinen Sorgfaltspflichten entlang der Lieferkette, das GWB (Gesetz gegen Wettbewerbsbeschränkungen) für Kartellsachverhalte, das Außenwirtschaftsgesetz (AWG) für Exportkontrollfragen sowie die ISO-Norm 37301:2021 als anerkannter internationaler Standard für Compliance-Management-Systeme. In der Automobilzulieferindustrie haben sich daneben Anforderungsrahmen etabliert, die OEM-seitig in Lieferantenbewertungssysteme eingeflossen sind. Die anwaltliche Aufgabe besteht darin, diesen vielschichtigen normativen Rahmen in ein kohärentes internes Regelwerk zu übersetzen.
Was macht ein belastbares CMS in der Automobilzulieferkette aus?
Ein CMS, das im Ernstfall – also bei Behördenanfragen, Durchsuchungen oder Zivilklagen – standhält, muss mehr sein als ein Ordner mit Richtlinien. Es gliedert sich in sieben Kernelemente, die in der Prüfungspraxis von Behörden und Gerichten regelmäßig herangezogen werden.
Erstens: Risikoanalyse. Welche Geschäftsbereiche und Prozesse erzeugen welche Compliance-Risiken? Für einen Tier-2-Zulieferer mit Entwicklungsstandorten im Ausland und inländischen Fertigungswerken sind Exportkontrolle, Korruptionsprävention im Vertrieb und kartellrechtliche Sensibilität bei Branchenverbandstreffen die typischen Schwerpunkte. Die Risikolandkarte muss regelmäßig aktualisiert werden – mindestens jährlich oder bei wesentlichen Geschäftsveränderungen.
Zweitens: Tone from the Top. Die Unternehmensleitung muss Compliance nicht nur fordern, sondern sichtbar vorleben. Protokollierte Gesellschafterbeschlüsse, Geschäftsführungsrundschreiben und Klauseln im Arbeitsvertrag sind Belege, die im Nachhinein nachweisbar sind.
Drittens: Interne Richtlinien und Verhaltenskodex. Der Code of Conduct muss rechtsverbindlich in das Arbeitsverhältnis integriert sein. Bei bestehenden Arbeitsverhältnissen ist ein Änderungsvertrag oder – bei Mitbestimmung – eine Betriebsvereinbarung erforderlich.
Viertens: Schulung und Kommunikation. Nachweise über durchgeführte Schulungen sind dokumentarisch zu sichern. E-Learning-Systeme mit Prüfungsprotokoll genügen; bei sensiblen Funktionen – Einkauf, Vertrieb, Buchhaltung – sind Präsenzformate mit Teilnahmelisten vorzuziehen.
Fünftens: Hinweisgebersystem. Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab einer bestimmten Beschäftigtenzahl zur Einrichtung interner Meldestellen. Die genaue Schwelle und die Übergangsfrist sind im Einzelfall anwaltlich zu prüfen; die grundsätzliche Pflicht zur Einrichtung gilt für den Regelfall bei Zulieferern mit mehr als 50 Beschäftigten bereits.
Sechstens: Überwachung und Audits. Regelmäßige interne Audits – idealerweise durch eine vom operativen Geschäft unabhängige Funktion – dokumentieren den Systemzustand und ermöglichen frühzeitige Korrekturen.
Siebtens: Reaktion und Sanktionierung. Ein CMS ist nur glaubwürdig, wenn festgestellte Verstöße konsequent geahndet werden. Die Sanktionierungspraxis muss dokumentiert und konsistent sein – ein selektiver Umgang mit Verstößen kann die gesamte CMS-Glaubwürdigkeit in einer Behördenprüfung untergraben.
Wie haftet der Geschäftsführer persönlich, und was begrenzt das Risiko?
Die persönliche Haftung des Geschäftsführers im Compliance-Kontext entsteht auf drei Ebenen: zivilrechtlich gegenüber der GmbH (§ 43 GmbHG), ordnungswidrigkeitenrechtlich gegenüber der Behörde (§§ 9, 130 OWiG) sowie – im strafrechtlichen Extremfall – nach dem Strafgesetzbuch (Untreue, Beihilfe). Wann tritt welche Ebene ein?
Zivilrechtlich genügt bereits ein Organisationsverschulden: Der Geschäftsführer hat es unterlassen, zumutbare Maßnahmen zu ergreifen, die den Schaden verhindert hätten. Das Gericht prüft eine objektivierte Sorgfalt. Ob ein funktionierendes CMS als entlastendes Moment gewertet wird, hängt davon ab, wie konkret und nachweisbar die Maßnahmen waren. Eine Richtlinie ohne nachweisbare Implementierung ist kein Schutzschild.
Ordnungswidrigkeitenrechtlich ist § 130 OWiG das zentrale Instrument. Die Norm setzt voraus, dass die Aufsichtspflichtverletzung kausal für den Verstoß war. Ein nachweislich implementiertes, regelmäßig auditiertes CMS kann die Kausalität unterbrechen oder zumindest das Bußgeld mindern – als Milderungsgrund in der Ermessensausübung. In der Praxis der Bußgeldbehörden wird ein dokumentiertes CMS als Faktor in der Sanktionsbemessung berücksichtigt.
In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Automobilzulieferer (ca. 220 Beschäftigte, Entwicklung und Fertigung von Sensorbaugruppen), gegen dessen Vertriebsleiter staatsanwaltschaftliche Vorermittlungen wegen möglicher Preisabsprachen eingeleitet worden waren.
Mikro-Fall (anonymisiert): Ein mittelständischer Automobilzulieferer (ca. 220 Beschäftigte, Sensorbaugruppen) stand im Fokus staatsanwaltschaftlicher Vorermittlungen wegen möglicher Preisabsprachen seines Vertriebsleiters. Ausgangslage: Das Unternehmen verfügte über keine dokumentierte Compliance-Richtlinie; der Geschäftsführer hatte von den fraglichen Absprachen keine Kenntnis. Vorgehen der Kanzlei: Zunächst Sicherstellung der internen Kommunikation und anwaltliche Prüfung des Sachverhalts. Parallel dazu Erarbeitung eines rückwirkend dokumentierten Risikoprofils und Entwurf eines CMS-Grundgerüsts – noch vor Abschluss der Vorermittlungen, um im Gespräch mit der Staatsanwaltschaft die Eigeninitiative des Geschäftsführers darzulegen. Ergebnis: Die Vorermittlungen wurden auf den Vertriebsleiter konzentriert; eine Verbandsgeldbuße gegen das Unternehmen nach § 30 OWiG konnte vermieden werden. Keine Erfolgsgarantie – der Ausgang hätte bei anderen Sachverhalten abweichen können.
Anwaltliche Begleitung durch BRANDT & FALK: Leistungsumfang und Ablauf
Die anwaltliche Begleitung beim Aufbau eines CMS für Automobilzulieferer gliedert sich in drei Phasen, die je nach Ausgangsstand des Unternehmens sequenziell oder parallel durchlaufen werden.
Phase 1 – Compliance-Audit und Risikoanalyse. Im ersten Schritt analysieren wir den Ist-Zustand: Welche Risikobereiche existieren, welche Richtlinien sind bereits vorhanden, wie ist die CMS-Dokumentation? Das Ergebnis ist ein schriftliches Risikoprofil mit priorisierten Handlungsfeldern. Nach unserer Erfahrung offenbart dieses Audit regelmäßig blinde Flecken – besonders in den Bereichen Exportkontrolle und Lieferkettensorgfalt, die im klassischen Mittelstand oft als Großunternehmensproblem eingeordnet werden.
Phase 2 – CMS-Architektur und Dokumentation. Auf Grundlage des Risikoprofils entwerfen wir die CMS-Architektur: Verhaltenskodex, Richtlinien für kartellrechtlich sensible Bereiche, Hinweisgebersystem, Schulungskonzept und Auditplan. Die Dokumente werden arbeitsrechtlich integriert – d. h. in bestehende Arbeitsverträge eingebettet oder per Betriebsvereinbarung flankiert. Dabei achten wir darauf, dass die Lösung für ein Unternehmen Ihrer Größe handhabbar bleibt; ein überdimensioniertes CMS, das im Alltag nicht gelebt wird, bietet weniger Schutz als ein schlankes, nachweisbar implementiertes System.
Phase 3 – Laufende Beratung, Schulungen und Krisenreaktion. Nach der Implementierung begleiten wir die laufende Pflege: jährliche Risikoüberprüfung, rechtliche Aktualisierung bei Gesetzesänderungen (etwa LkSG-Novellierungen, GWB-Novelle) und Schulungen für Schlüsselfunktionen. Für den Krisenfall – Hausdurchsuchung, Behördenanfrage, interne Meldung über das Hinweisgebersystem – steht ein definiiertes Reaktionsprotokoll bereit.
Welche Vergütungsform am besten passt, hängt vom Projektumfang ab. Wir bieten Pauschalhonorar für die Erstanalyse und CMS-Einrichtung sowie Stundenhonorar oder Vergütungsvereinbarung nach § 3a RVG für die laufende Beratung. Konkrete Anfragen beantwortet info@brandtfalk.com.
Typische Risikoprofile: Welche Konstellationen kommen in der Automobilzulieferkette vor?
Nicht jeder Zulieferer trägt die gleichen Compliance-Risiken. Die Risikostruktur hängt von Produktkategorie, Marktstellung und Lieferkettenstufe ab. Die folgende Einordnung zeigt, welche Instrumente je nach Konstellation im Vordergrund stehen.
Konstellation A – Tier-2-Zulieferer, Standardbauteile, nationaler Vertrieb: Hauptrisiken sind Preisabsprachen bei Branchenverbandstreffen und Lieferverzugshaftung. Instrument: kartellrechtliche Schulung des Vertriebsteams, kartellrechtliches Richtlinienmodul, Dokumentation von Verbandsteilnahmen. Frist: jährliche Schulungswiederholung empfohlen.
Konstellation B – Tier-1-Zulieferer, Entwicklungspartner, internationaler Vertrieb mit Drittlandkomponenten: Exportkontrolle (AWG/Dual-Use-VO) und Bestechungsverbote im Auslandsgeschäft treten in den Vordergrund. Instrument: Exportkontroll-Compliance-Programm, Korruptionspräventions-Richtlinie mit Genehmigungsvorbehalt für Provisionen. Frist: Exportkontrollprüfung vor jeder Transaktion in sensible Märkte.
Konstellation C – Zulieferer mit globalisierten Vorlieferanten: LkSG-Sorgfaltspflichten (Risikoanalyse, Präventions- und Abhilfemaßnahmen) dominieren. Instrument: Lieferantenaudit-Prozess, Verhaltenskodex für Lieferanten (Supplier Code of Conduct), Beschwerdeverfahren. Frist: jährliche LkSG-Risikoanalyse, Berichtspflicht gegenüber dem BAFA (Bundesamt für Wirtschaft und Ausfuhrkontrolle); genaue Schwellenwerte und Übergangsfristen im Einzelfall prüfen.
In der Praxis sehen wir häufig, dass Zulieferer mit gemischtem Risikoprofil – also gleichzeitig in Konstellationen A und B – die Schwerpunkte falsch gewichten. Kartellrechtliche Schulungen sind sichtbar und leicht erklärbar; Exportkontrollverstöße hingegen werden unterschätzt, obwohl die Sanktionsfolgen gravierend sein können.
Wann ist akuter Handlungsbedarf gegeben? Checkliste für Geschäftsführer
Wie erkennen Sie, ob Ihr Unternehmen kurzfristig handeln muss? Die folgenden Indikatoren markieren erhöhten Handlungsdruck:
- Ihr Abnehmer fordert schriftlich den Nachweis eines CMS innerhalb einer gesetzten Frist.
- Sie haben eine Anfrage von Kartellbehörde, Staatsanwaltschaft oder Zoll erhalten – auch wenn sie nur vorläufig ist.
- Ein Mitarbeiter hat intern oder über externe Kanäle einen Compliance-Verdacht gemeldet.
- Ihr Unternehmen hat in den letzten zwölf Monaten eine Akquisition oder einen Gesellschafterwechsel vollzogen, ohne eine Compliance-Due-Diligence durchgeführt zu haben.
- Ihre bestehenden Richtlinien wurden seit mehr als zwei Jahren nicht aktualisiert.
- Sie haben keine dokumentierte Risikoanalyse, die kartellrechtliche und exportkontrollrechtliche Risiken erfasst.
- Ihre Mitarbeiter im Vertrieb oder Einkauf haben in den letzten zwölf Monaten keine Compliance-Schulung erhalten.
Treffen drei oder mehr dieser Punkte zu, empfehlen wir eine anwaltliche Compliance-Erstprüfung ohne weiteren Aufschub. Die dreijährige Verjährungsfrist für Schadensersatzansprüche nach § 43 GmbHG i. V. m. § 195 BGB beginnt mit Schluss des Jahres, in dem der Anspruch entsteht – und kann im Nachhinein nicht durch nachträgliche CMS-Einrichtung rückwirkend geheilt werden.
Schnittstelle Steuerstreit und Wirtschaftsstrafrecht: Wenn Compliance auf Strafverfolgung trifft
In der Praxis der Automobilzulieferindustrie verschwimmen die Grenzen zwischen Compliance-Verstoß, steuerlichem Fehlverhalten und Wirtschaftsstrafrecht. Schwarze Kassen zur Finanzierung von Vertriebsprovisionen im Ausland, nicht verbuchte Rückstellungen für Bußgelder und verdeckte Preisabsprachen haben steuerliche Auswirkungen, die das Finanzamt aufgreifen kann – parallel zu laufenden staatsanwaltschaftlichen Ermittlungen.
Gerät ein Geschäftsführer in dieses Spannungsfeld, ist eine koordinierte Verteidigungsstrategie entscheidend. Einsprüche gegen Steuerbescheide (Frist: ein Monat nach § 355 AO) und Stellungnahmen gegenüber der Staatsanwaltschaft müssen inhaltlich aufeinander abgestimmt sein, um Widersprüche zu vermeiden, die das strafrechtliche Verfahren belasten könnten. Die Kanzlei verbindet Expertise im Steuerrecht und im Wirtschaftsstrafrecht und kann diese Koordination aus einer Hand übernehmen.
Die Festsetzungsverjährung beträgt nach § 169 AO im Regelfall vier Jahre, bei leichtfertiger Steuerverkürzung fünf Jahre und bei Steuerhinterziehung zehn Jahre. Diese Fristen markieren das Zeitfenster, in dem Betriebsprüfungen und strafrechtliche Ermittlungen gleichzeitig aktiv sein können.
Die vorstehende Darstellung betrifft die Regelfälle des Compliance-Aufbaus in der Automobilzulieferindustrie. Ihr konkreter Fall erfordert die Prüfung Ihrer Unternehmensstruktur, bestehender Richtlinien, offener Fristen und der einschlägigen behördlichen Praxis. Für eine fachliche Einschätzung Ihrer Situation wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufig gestellte Fragen zum Compliance-Management-System für Automobilzulieferer
Ab welcher Unternehmensgröße ist ein formales CMS für Automobilzulieferer erforderlich?
Eine gesetzliche Mindestgröße für ein vollständiges CMS existiert nicht; die Pflicht zur Aufsicht nach § 130 OWiG gilt unabhängig von der Beschäftigtenzahl. In der Praxis verlangen Abnehmer ab einer gewissen Liefervolumenschwelle einen Nachweis. Das Hinweisgeberschutzgesetz sieht für Unternehmen ab 50 Beschäftigten eine Meldestellenpflicht vor. Je größer das Unternehmen und je komplexer die Lieferkette, desto formalisierter muss das System ausgestaltet sein. Für inhabergeführte Zulieferer mit 50 bis 250 Beschäftigten empfehlen wir ein schlankes, aber lückenlos dokumentiertes Grundgerüst.
Schützt ein bestehendes CMS den Geschäftsführer automatisch vor persönlicher Haftung?
Nein – ein CMS schützt nur dann, wenn es tatsächlich implementiert, gelebt und dokumentiert ist. Eine Richtlinie im Schrank entlastet nicht. Behörden und Gerichte prüfen Schulungsnachweise, Auditprotokolle, Sanktionierungspraxis und den tatsächlichen „Tone from the Top". Ein nachweislich funktionierendes CMS kann den Geschäftsführer in der Bußgeldbemessung entlasten und zivilrechtliche Ansprüche der Gesellschaft mindern, aber es ist kein absoluter Haftungsausschluss.
Was passiert, wenn bei einer Hausdurchsuchung Compliance-Dokumente sichergestellt werden?
Werden Compliance-Dokumente im Rahmen einer Durchsuchung sichergestellt, kommt es entscheidend auf deren Inhalt und Konsistenz an. Widersprüche zwischen schriftlichen Richtlinien und tatsächlich gelebter Praxis können belastend wirken. Sofort nach Bekanntwerden einer Durchsuchungsmaßnahme sollte anwaltlicher Beistand hinzugezogen werden. Mitarbeiter dürfen nicht zur Auskunft gegenüber Ermittlern verpflichtet werden, bevor ihnen die Rechtslage erläutert wurde. Kontakt: info@brandtfalk.com.
Wie lange dauert der Aufbau eines CMS für einen mittelständischen Zulieferer?
Für ein Unternehmen mit 100 bis 300 Beschäftigten und überschaubarer Risikostruktur ist ein arbeitsfähiges CMS-Grundgerüst erfahrungsgemäß in acht bis zwölf Wochen errichtbar. Der Zeitplan hängt von der internen Mitwirkungskapazität, dem Bestand vorhandener Dokumente und dem Umfang erforderlicher Betriebsvereinbarungen ab. Eilfälle – etwa bei konkreter Abnehmerforderung mit gesetzter Frist – können priorisiert bearbeitet werden.
Deckt ein einmaliges CMS alle künftigen Änderungen ab?
Nein. Ein CMS ist kein Einmalprodukt, sondern ein lebendes System. Gesetzesänderungen – etwa die geplante 12. GWB-Novelle oder Anpassungen des LkSG – erfordern regelmäßige rechtliche Überprüfung. Wir empfehlen eine jährliche Risikorevision sowie eine anlassbezogene Aktualisierung bei wesentlichen Geschäftsveränderungen (Akquisitionen, neue Exportmärkte, Personalwechsel in Schlüsselfunktionen).
Die vorstehende Darstellung betrifft die Regelfälle des Compliance-Aufbaus. Ihr konkreter Fall erfordert die Prüfung Ihrer Vertragsbeziehungen, behördlichen Schreiben und offenen Fristen. Zur Klärung, wie ein CMS auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com – für eine erste Durchsicht Ihrer Unterlagen stehen wir kurzfristig zur Verfügung.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.