Ein Automobilzulieferer aus Baden-Württemberg mit 180 Mitarbeitern erhält Post von der Staatsanwaltschaft: Ein früherer Einkaufsleiter soll Lieferantenentscheidungen gegen Geldzahlungen beeinflusst haben. Die Geschäftsführung hat davon nichts gewusst – und steht dennoch im Fokus der Ermittlungen, weil ein dokumentiertes Compliance-Management-System (CMS) fehlt. Dieses Szenario ist keine Ausnahme. Es ist eine strukturelle Schwachstelle, die sich quer durch die Automobilzulieferindustrie zieht.
Ein wirksames Compliance-Management-System schützt den Geschäftsführer eines mittelständischen Automobilzulieferers davor, für Pflichtverstöße seiner Mitarbeiter persönlich zu haften. Rechtsgrundlage ist das Ordnungswidrigkeitengesetz (OWiG), das bei mangelhafter Aufsicht Bußgelder gegen das Unternehmen und – in schwerwiegenden Fällen – strafrechtliche Konsequenzen für die Unternehmensleitung vorsieht. Ein gut dokumentiertes CMS ist damit kein Verwaltungsaufwand, sondern ein haftungsrechtliches Schutzinstrument.
Dieser Branchenreport zeigt, welche Pflichten die Automobilzulieferindustrie besonders treffen, wie ein CMS strukturell aufgebaut wird, welche Risiken bei einem Audit durch OEM-Kunden oder Behörden drohen, und welche Schritte die Geschäftsführung jetzt einleiten sollte.
Warum Automobilzulieferer ein besonderes Compliance-Risikoprofil tragen
Die Automobilzulieferindustrie kombiniert Merkmale, die das Compliance-Risiko strukturell erhöhen: globale Lieferketten, starke Abhängigkeit von wenigen Großkunden (OEMs), intensiver Preisdruck, Just-in-Time-Logistik und Einkaufsverantwortliche mit erheblichem Ermessensspielraum. Diese Kombination erzeugt Anreizstrukturen, in denen Regelverstöße wahrscheinlicher sind als in weniger verflochtenen Branchen.
Hinzu kommt eine regulatorische Verdichtung, die den Mittelstand zunehmend direkt erfasst. Das Lieferkettensorgfaltspflichtengesetz (LkSG), die einschlägigen Anforderungen aus dem OWiG, das Geldwäschegesetz (GWB) und – seit 2023 mit wachsender Prüfungsintensität – die Vorgaben aus Nachhaltigkeitsberichterstattung und Sorgfaltspflichtregelungen auf EU-Ebene (CSDDD) bilden einen Rahmen, der früher primär Konzerne betraf, heute aber auch Tier-2- und Tier-3-Zulieferer erreicht.
In der Mandatspraxis sehen wir regelmäßig, dass OEM-Kunden vertragliche Compliance-Anforderungen an ihre Lieferanten stellen, die über den gesetzlichen Mindeststandard hinausgehen. Fehlende Nachweise kosten im Ernstfall nicht nur Bußgelder – sie kosten Lieferantenbeziehungen.
Welche Rechtsgrundlagen das CMS im Mittelstand fundieren
Das Compliance-Management-System für den Mittelstand ist keine freiwillige Kür. Die Rechtspflicht zur Aufsicht ergibt sich aus mehreren Normen, die ineinandergreifen. Kernvorschrift ist § 130 OWiG: Wer als Inhaber oder Geschäftsführer eines Betriebs die gebotene Aufsicht unterlässt und dadurch eine betriebsbezogene Zuwiderhandlung ermöglicht, handelt selbst ordnungswidrig. Das Bußgeld gegen das Unternehmen kann dabei nach § 30 OWiG erheblich ausfallen.
Die Norm setzt keinen Vorsatz voraus – fahrlässige Aufsichtspflichtverletzung reicht aus. Das bedeutet in der Praxis: Ein Geschäftsführer, der kein strukturiertes CMS eingeführt hat, kann sich im Falle eines aufgedeckten Mitarbeiterverstoßes nicht auf Unkenntnis berufen. Unkenntnis ist dann selbst das Verschulden.
Ergänzend wirken strafrechtliche Normen: §§ 299, 299a StGB (Bestechung und Bestechlichkeit im geschäftlichen Verkehr), §§ 263, 266 StGB (Betrug, Untreue), §§ 370 ff. AO (Steuerdelikte im Konzernverbund) sowie das LkSG mit seinen eigenen Bußgeldtatbeständen. Bei grenzüberschreitenden Sachverhalten kommen ausländische Antikorruptionsregime hinzu – der US Foreign Corrupt Practices Act (FCPA) und der UK Bribery Act sind in der Automobilzulieferbranche mit Exportaktivitäten unmittelbar relevant.
Was bedeutet das in Zahlen? Nach § 30 OWiG kann das Bußgeld gegen eine juristische Person bis zu 10 Mio. € betragen, wenn die Aufsichtspflichtverletzung mit einer Straftat zusammenfällt. Bei reinen Ordnungswidrigkeiten ist der Rahmen enger, aber gleichfalls empfindlich. Die genauen Beträge hängen vom Einzelfall, dem Unternehmensumsatz und dem Verschuldensgrad ab – eine Prüfung im Einzelfall ist zwingend.
Wie ein wirksames CMS strukturell aufgebaut wird
Ein Compliance-Management-System besteht nicht aus einem Ordner mit Richtlinien, der im Regal steht. Gerichte und Strafverfolgungsbehörden orientieren sich an international etablierten Strukturstandards – in Deutschland insbesondere am IDW PS 980 (Prüfungsstandard des Instituts der Wirtschaftsprüfer zur Wirksamkeit von CMS). Ein nach diesem Maßstab aufgebautes System umfasst sieben Grundelemente.
Compliance-Kultur ist das erste und grundlegendste Element: Die Unternehmensleitung muss erkennbar und nachweisbar hinter dem System stehen (sog. „Tone from the Top"). Für einen mittelständischen Automobilzulieferer bedeutet das konkret: Der Geschäftsführer kommuniziert regelmäßig – intern und im Lieferantenverkehr –, dass Regelverstöße nicht toleriert werden, und belegt das durch schriftliche Dokumentation.
Es folgen Compliance-Ziele, das Compliance-Risikoprofil sowie ein Compliance-Programm mit operativen Maßnahmen (Richtlinien, Schulungen, Kontrollen, Hinweisgebersystem). Die letzten drei Elemente bilden Compliance-Organisation, Kommunikation und Überwachung/Verbesserung. Gerade das Hinweisgebersystem ist seit der Umsetzung der EU-Hinweisgeberschutzrichtlinie (HinSchG, in Kraft seit Juli 2023) für Unternehmen ab einer bestimmten Mitarbeiterzahl gesetzlich vorgeschrieben – ein Punkt, den wir in der Mandatspraxis bei mittelständischen Zulieferern häufig als nicht umgesetzt antreffen.
Entscheidungsmatrix für die Einführung: Konstellation A – Unternehmen < 50 Mitarbeiter, einfaches Produktportfolio, keine Exportgeschäfte → Basisstruktur: schriftliche Verhaltensrichtlinie, Schulung der Führungskräfte, einfaches Hinweisgebersystem, jährliche Überprüfung. Konstellation B – Unternehmen 50–250 Mitarbeiter, Lieferketten in Risikoländern, Einkaufsvolumen > 5 Mio. € p.a. → erweitertes System: Risikoklassifizierung der Geschäftspartner, dedizierter Compliance-Beauftragter (intern oder extern), vierteljährliche Risikoberichte an Geschäftsführung. Konstellation C – Unternehmen > 250 Mitarbeiter oder OEM-Direktlieferant → vollständiges CMS nach IDW PS 980 mit externer Zertifizierung, regelmäßigen internen Audits und dokumentierten Eskalationspfaden.
Welche branchenspezifischen Risikobereiche besondere Aufmerksamkeit erfordern
Die Automobilzulieferindustrie kennt bestimmte Risikobereiche, die in anderen Branchen weniger ausgeprägt sind. Ein wirksames CMS muss diese Schwerpunkte abbilden – ein generisches Standardregelwerk reicht nicht aus.
Einkauf und Lieferantenauswahl sind der klassische Korruptionsvektor in der Zulieferindustrie. Einkaufsleiter verhandeln mit erheblichem Ermessensspielraum über Volumina, Lieferkonditionen und Vorzugslieferantenstatus. Das CMS muss hier konkrete Vier-Augen-Prinzipien, dokumentierte Auswahlentscheidungen und periodische Rotation in sensiblen Positionen vorsehen.
Preisabsprachen und Marktinformationsaustausch sind ein zweiter Schwerpunkt. Die Kartellrechtshistorie der Automobilindustrie zeigt, dass Preiskoordinationen zwischen Zulieferern ein reales Risiko darstellen. Mitarbeiter in Vertrieb und Einkauf müssen die Grenzen des zulässigen Informationsaustauschs auf Messen, in Verbänden und bei Branchentreffen kennen.
Exportkontrolle und Zollrecht sind für technologieintensive Zulieferer ein häufig unterschätzter Bereich: Doppelverwendungsgüter (sog. Dual-Use-Güter) unterliegen Genehmigungspflichten; Verstöße können zur strafrechtlichen Verantwortung führen. Auch das LkSG verlangt von Unternehmen ab einer bestimmten Mitarbeiterzahl die Einführung von Risikoanalysen entlang der gesamten Lieferkette – ein Prozess, der in ein funktionierendes CMS integriert werden muss.
Daten- und IT-Compliance gewinnt in der Automobilzulieferindustrie durch die zunehmende Vernetzung (Stichwort: „connected supply chain") erhebliche Bedeutung. Verstöße gegen die DSGVO – etwa bei der Weitergabe von Entwicklungsunterlagen an ausländische Muttergesellschaften oder bei der Nutzung cloudbasierter Entwicklungsumgebungen – können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 DSGVO). Datenschutzverstöße müssen der zuständigen Datenschutzbehörde binnen 72 Stunden gemeldet werden (Art. 33 DSGVO).
Praxisfall (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Tier-2-Zulieferer aus der metallverarbeitenden Industrie, der als OEM-Direktlieferant qualifiziert werden sollte. Ausgangslage: Der Zulieferer verfügte über einzelne Richtlinien, jedoch kein strukturiertes CMS. Im Rahmen des Lieferanten-Audits durch den OEM wurden fehlende Dokumentation eines Hinweisgebersystems und fehlende Nachweise über Geschäftspartner-Screenings beanstandet. Vorgehen: Die Kanzlei unterstützte die Geschäftsführung dabei, das bestehende Regelwerk zu einer IDW-PS-980-kompatiblen Struktur auszubauen, eine externe Compliance-Beauftragten-Funktion zu installieren und die Risikoklassifizierung für die 40 wichtigsten Lieferanten zu dokumentieren. Ergebnis: Das Audit wurde nach sechs Monaten positiv abgeschlossen; das Unternehmen erhielt den Direktlieferantenstatus. Die genauen wirtschaftlichen Parameter unterliegen der Vertraulichkeit.
Wie die Geschäftsführerhaftung im Ernstfall aussieht
Für den Geschäftsführer eines mittelständischen Automobilzulieferers ist die persönliche Haftungsexposition das entscheidende Argument für ein funktionsfähiges CMS. Die Rechtsordnung unterscheidet dabei mehrere Haftungsebenen, die gleichzeitig entstehen können.
Im Innenverhältnis haftet der Geschäftsführer der GmbH gegenüber nach § 43 GmbHG für die Sorgfalt eines ordentlichen Kaufmanns. Ein Verstoß gegen die Aufsichtspflicht nach § 130 OWiG kann vom Gesellschafterkreis zum Anlass genommen werden, Schadensersatzansprüche geltend zu machen – insbesondere dann, wenn Bußgelder, Schadensersatzzahlungen an Dritte oder Imageschäden entstanden sind.
Im Außenverhältnis droht das behördliche Bußgeldverfahren nach §§ 30, 130 OWiG. Strafverfolgungsbehörden sind in den vergangenen Jahren dazu übergegangen, neben dem Unternehmen selbst auch die verantwortlichen Personen – Geschäftsführer, Compliance-Beauftragten, leitende Angestellte – in das Ermittlungsverfahren einzubeziehen. Hinzu kommt die Möglichkeit der zivilrechtlichen Inanspruchnahme durch geschädigte Dritte und die strafrechtliche Eigenhaftung bei nachweisbarer Kenntnis oder grob fahrlässiger Unkenntnis.
Welchen Unterschied ein funktionsfähiges CMS in diesem Zusammenhang macht? Die Rechtsprechung hat in verschiedenen Entscheidungen anerkannt, dass ein nachgewiesenes und gelebtes CMS bei der Bemessung des Bußgelds strafmildernd wirkt. Der Nachweis – und daran scheitert es häufig – setzt voraus, dass das System nicht nur auf dem Papier existiert, sondern dokumentiert gelebt und regelmäßig überprüft wird. Ein CMS-Ordner im Regal, der seit drei Jahren nicht aktualisiert wurde, schützt niemanden.
Aus der Mandatspraxis: Wir beraten regelmäßig Geschäftsführer, die nach einer behördlichen Durchsuchung erkennen, dass der Aufwand für ein frühzeitig eingeführtes CMS erheblich geringer gewesen wäre als die Kosten des laufenden Ermittlungsverfahrens – zuzüglich der Belastung für das operative Geschäft.
Was bei einer Behördenprüfung oder einem OEM-Audit zu tun ist
Ein Behördenverfahren oder ein OEM-Compliance-Audit ist keine abstrakte Bedrohung – es ist ein Ereignis, auf das die Geschäftsführung vorbereitet sein muss. Das Verhalten in den ersten 48 Stunden nach einer Durchsuchung oder der Ankündigung eines Audits hat maßgeblichen Einfluss auf den weiteren Verfahrensverlauf.
Bei einer Durchsuchung durch Staatsanwaltschaft oder Steuerfahndung gilt zunächst: Keine spontanen Aussagen ohne anwaltlichen Beistand. Das Schweigerecht gilt für natürliche Personen uneingeschränkt; eine voreilige Erklärung – auch wenn sie der Wahrheit entspricht – kann den Verfahrensrahmen zu Ungunsten des Betroffenen verengen. Die Geschäftsführung sollte einen klaren internen Protokollpfad definieren: Wer informiert wen? Wer ist für die Kommunikation mit den Behörden zuständig? Wer zieht anwaltlichen Beistand hinzu?
Bei einem OEM-Audit oder einem Lieferanten-Compliance-Assessment gelten andere, aber ähnlich wichtige Grundsätze. Geforderte Nachweise sollten vollständig und konsistent sein. Lücken in der Dokumentation sollten nicht kaschiert, sondern aktiv als Verbesserungspotenzial benannt werden – das schafft Vertrauen. Widersprüchliche Aussagen verschiedener Mitarbeiter in einem Audit sind ein häufiger und vermeidbarer Fehler, der sich durch gezielte Vorbereitung verhindern lässt.
Nach unserer Erfahrung entscheidet die Qualität der Compliance-Dokumentation darüber, ob ein OEM-Audit in drei Stunden abgeschlossen wird oder sich zu einem mehrmonatigen Eskalationsverfahren entwickelt. Die Investition in ein gut geführtes CMS zahlt sich in diesem Moment unmittelbar aus.
Steuerliche Compliance als integraler Bestandteil des CMS
Für mittelständische Automobilzulieferer wird die Steuer-Compliance häufig als separates Thema behandelt – das ist ein systematischer Fehler. Steuerliche Risiken sind integraler Bestandteil des unternehmensweiten Compliance-Risikoprofils und müssen im CMS abgebildet werden.
Relevante Felder umfassen die Verrechnungspreisdokumentation bei international agierenden Zulieferern (§§ 1 ff. AStG), die umsatzsteuerliche Behandlung grenzüberschreitender Lieferungen, die lohnsteuerliche Einordnung geldwerter Vorteile (Firmenfahrzeuge, Prämien, Sachbezüge), sowie die ordnungsgemäße Buchführung nach § 140 AO i.V.m. § 238 HGB als Grundvoraussetzung für die Abwehr einer Schätzung durch das Finanzamt.
Die Festsetzungsverjährung beträgt im Regelfall vier Jahre (§ 169 AO), verlängert sich auf fünf Jahre bei leichtfertiger Steuerverkürzung und auf zehn Jahre bei Steuerhinterziehung. Das bedeutet: Ein Compliance-Verstoß im Bereich Steuer kann noch nach Jahren zu erheblichen Nachzahlungen, Zinsen und Strafzahlungen führen. Das Tax CMS – ein dokumentiertes System zur Vermeidung steuerlicher Pflichtverletzungen, das sich an den Grundsätzen des IDW PS 980 orientiert – reduziert im Rahmen einer Betriebsprüfung die Wahrscheinlichkeit strafrechtlicher Qualifikation erheblich.
Die Einspruchsfrist gegen Steuerbescheide beträgt einen Monat ab Bekanntgabe (§ 355 AO); die Klagefrist vor dem Finanzgericht ebenfalls einen Monat (§ 47 FGO). Diese Fristen sind nicht verlängerbar und beginnen mit Zugang des Bescheids – eine Dokumentationslücke im Postein- und -ausgang kann hier existenzielle Folgen haben.
Handlungsempfehlungen und nächste Schritte für die Geschäftsführung
Die vorstehenden Ausführungen zeigen: Ein wirksames Compliance-Management-System ist für mittelständische Automobilzulieferer keine optionale Maßnahme. Es ist eine rechtliche Pflicht, ein haftungsrechtliches Schutzinstrument und – im Wettbewerb um OEM-Direktlieferantenstatus – ein wirtschaftlicher Faktor.
Der Einstieg in den Aufbau oder die Überprüfung eines bestehenden CMS folgt einer klaren Logik. Erste Priorität: Durchführung einer Risikobestandsaufnahme. Welche Geschäftsbereiche, Funktionen und Märkte sind exponiert? Wo fehlen schriftliche Richtlinien, Vier-Augen-Prinzipien oder Dokumentationsnachweise? Diese Bestandsaufnahme bildet die Grundlage für alle weiteren Maßnahmen.
Zweite Priorität: Abgleich der bestehenden Strukturen mit den Anforderungen des HinSchG (Hinweisgeberschutzgesetz). Ob das Unternehmen zur Einrichtung eines internen Meldekanals verpflichtet ist, hängt von der Mitarbeiterzahl ab – die genaue Schwelle ist im Einzelfall anwaltlich zu prüfen. Ein fehlendes Hinweisgebersystem ist nicht nur ein Compliance-Defizit, sondern kann selbst eine Ordnungswidrigkeit darstellen.
Dritte Priorität: Schulung der Führungskräfte. Die effektivste Compliance-Maßnahme bleibt eine informierte Belegschaft, die Risiken erkennt und meldet, bevor sie eskalieren. Schulungen müssen dokumentiert sein – Teilnahmelisten, Inhalte, Prüfungsnachweise – weil genau diese Dokumentation im Ernstfall den Unterschied macht.
Vierte Priorität: Regelmäßige Überprüfung und Aktualisierung. Ein CMS, das 2019 eingeführt und seitdem nicht angepasst wurde, bildet das heutige Risikoprofil nicht mehr ab. LkSG, HinSchG und die geplante CSDDD haben das regulatorische Umfeld erheblich verändert. Die Überprüfung sollte mindestens jährlich, besser anlassbezogen erfolgen.
Die vorstehende Darstellung betrifft die Regelfälle und die strukturellen Anforderungen. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, Ihrer bestehenden Richtlinien, der relevanten Fristen und der auf Ihr Unternehmen anwendbaren Normen. Für eine erste Durchsicht Ihrer Unterlagen und eine fachliche Einschätzung Ihres Compliance-Risikoprofils erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufig gestellte Fragen zum Compliance-Management-System in der Automobilzulieferindustrie
Was ist ein Compliance-Management-System und warum braucht es der Mittelstand?
Ein Compliance-Management-System (CMS) ist die Gesamtheit der Grundsätze, Verfahren und Maßnahmen, die ein Unternehmen einführt, um regelkonformes Verhalten aller Mitarbeiter und Führungskräfte sicherzustellen. Für den Mittelstand ist es aus zwei Gründen unverzichtbar: Erstens schützt § 130 OWiG Geschäftsführer nur dann vor persönlicher Verantwortung, wenn nachgewiesene Aufsichtsmaßnahmen getroffen wurden. Zweitens verlangen OEM-Kunden zunehmend vertraglich den Nachweis eines funktionsfähigen CMS als Voraussetzung für den Lieferantenstatus.
Welche Bußgelder drohen bei Verletzung der Aufsichtspflicht nach § 130 OWiG?
Die Bußgeldhöhe nach §§ 30, 130 OWiG hängt davon ab, ob die zugrunde liegende Zuwiderhandlung eine Ordnungswidrigkeit oder eine Straftat darstellt. Handelt es sich um eine mit Strafe bedrohte Pflichtverletzung, kann das Unternehmensbußgeld nach § 30 OWiG bis zu 10 Mio. € erreichen. Bei reinen Ordnungswidrigkeiten ist der Rahmen enger. Daneben sind Einziehung wirtschaftlicher Vorteile und zivilrechtliche Schadensersatzansprüche Dritter zu berücksichtigen. Die genaue Bemessung hängt vom Einzelfall ab und ist anwaltlich zu prüfen.
Gilt das Hinweisgeberschutzgesetz (HinSchG) auch für kleinere Zulieferer?
Das HinSchG schreibt interne Meldekanäle ab einer bestimmten Mitarbeiterzahl vor. Die genaue Schwelle und die Übergangsfristen für verschiedene Unternehmensgrößen sind im konkreten Fall zu prüfen. Kleinstunternehmen sind unter Umständen ausgenommen; viele mittelständische Automobilzulieferer fallen jedoch unter die Verpflichtung. Ein fehlendes Hinweisgebersystem kann als Indiz für eine mangelhafte Compliance-Organisation gewertet werden – sowohl durch Behörden als auch durch OEM-Auditoren.
Wie unterscheidet sich ein branchenspezifisches CMS für Automobilzulieferer von einem allgemeinen CMS?
Ein allgemeines CMS nach IDW PS 980 bildet die strukturelle Grundlage. Ein branchenspezifisches CMS für Automobilzulieferer ergänzt diese Grundlage um die besonderen Risikobereiche der Branche: Korruptionsrisiken im Einkauf, kartellrechtliche Risiken beim Informationsaustausch, exportkontrollrechtliche Anforderungen bei Dual-Use-Gütern, LkSG-Anforderungen für internationale Lieferketten sowie die spezifischen Compliance-Anforderungen aus OEM-Verträgen. Die Risikoklassifizierung muss diese Branchenschwerpunkte explizit abbilden.
Was sollte die Geschäftsführung bei einer Behördendurchsuchung sofort tun?
Bei einer Durchsuchung durch Staatsanwaltschaft oder Steuerfahndung gilt als erster Grundsatz: keine spontanen Aussagen ohne anwaltlichen Beistand. Das Schweigerecht für natürliche Personen ist uneingeschränkt. Gleichzeitig sollten Unterlagen nicht zurückgehalten werden, wenn ein richterlicher Durchsuchungsbeschluss vorliegt. Die Geschäftsführung sollte unverzüglich anwaltlichen Beistand hinzuziehen und interne Kommunikation auf das Notwendige beschränken. Voreilige Erklärungen – auch wenn sie der Wahrheit entsprechen – können den Verfahrensverlauf nachteilig beeinflussen.
Die vorstehende Darstellung betrifft strukturelle Anforderungen und Regelfälle. Ihr konkreter Sachverhalt erfordert die individuelle Prüfung Ihrer Unterlagen, der auf Ihr Unternehmen anwendbaren Normen und der einschlägigen Fristen. Zur Klärung, wie ein Compliance-Management-System auf Ihr Unternehmen und Ihre Lieferantenbeziehungen wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.