Automobilzulieferer im Mittelstand stehen vor einer strukturellen Verschärfung: OEM-Kunden verlangen lückenlose Compliance-Nachweise als Voraussetzung für neue Rahmenverträge, Steuerprüfungen werden umfangreicher, und das Ordnungswidrigkeitenrecht sanktioniert Aufsichtsmängel in der Geschäftsführung mit erheblichen Geldbußen. Wer ein belastbares Compliance-Management-System aufbaut, sichert nicht nur den Fortbestand des Unternehmens – er schützt auch sein eigenes Vermögen.
Ein Compliance-Management-System (CMS) ist für mittelständische Automobilzulieferer kein freiwilliges Zusatzprojekt, sondern eine rechtlich gebotene Organisationspflicht: Geschäftsführer haften nach dem Ordnungswidrigkeitengesetz (OWiG) persönlich, wenn Aufsichtsmängel Verstöße begünstigen. Dieser Praxisleitfaden zeigt Schritt für Schritt, wie ein CMS rechtssicher aufgebaut, dokumentiert und verteidigt wird.
Die folgenden sieben Schritte führen von der Risikobestandsaufnahme über die Systemimplementierung bis zur laufenden Überwachung – mit konkreten Normbezügen, branchenspezifischen Hinweisen für die Automobilzulieferkette und einem klaren Blick auf die Haftungsrisiken der Geschäftsführung.
Schritt 1: Rechtliche Grundlagen und Haftungsrahmen verstehen
Das CMS beginnt nicht mit der Software-Auswahl, sondern mit dem Verständnis des Haftungsrahmens. Geschäftsführer einer GmbH tragen die Legalitätspflicht: Sie müssen sicherstellen, dass das Unternehmen geltende Gesetze einhält. Kommt es zu Verstößen, weil Aufsichtsmaßnahmen unterblieben sind, greift § 130 OWiG – die Aufsichtspflichtverletzung – unmittelbar.
Der Regelungsrahmen des OWiG sieht bei Aufsichtspflichtverletzungen Geldbußen gegen das Unternehmen vor, die sich nach der Schwere des Verstoßes und dem Unternehmensumsatz richten. Parallel dazu droht dem Geschäftsführer die persönliche Inanspruchnahme. In der Automobilzulieferindustrie kommen branchenspezifische Normen hinzu: kartellrechtliche Meldepflichten nach dem GWB, lieferkettenbezogene Sorgfaltspflichten nach dem LkSG (Lieferkettensorgfaltspflichtengesetz) sowie datenschutzrechtliche Anforderungen nach der DSGVO, deren Verstöße Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen können.
In der Mandatspraxis sehen wir regelmäßig, dass Geschäftsführer die Reichweite ihrer persönlichen Aufsichtspflicht unterschätzen. Die bloße Delegation an einen Compliance-Beauftragten genügt nicht; erforderlich ist ein System, das Verstöße verhindert, erkennt und behebt. Ohne dokumentierte Überwachungsstruktur bleibt der Geschäftsführer im Haftungsfall schutzlos.
Für inhabergeführte Zulieferbetriebe ist dieser Punkt besonders kritisch: Wenn der Gesellschafter-Geschäftsführer gleichzeitig als operativer Leiter fungiert, verschwimmen Aufsichts- und Ausführungsebene. Das erhöht das Risiko unbemerkter Verstöße – und damit die persönliche Haftungsexposition.
Schritt 2: Risikobestandsaufnahme – Welche Compliance-Risiken bestehen konkret?
Eine strukturierte Risikobestandsaufnahme (Risk Assessment) ist das Fundament jedes wirksamen CMS. Sie beantwortet die Frage, welche Verstöße im konkreten Geschäftsmodell wahrscheinlich sind und welchen Schaden sie anrichten könnten.
Für Automobilzulieferer sind folgende Risikofelder regelmäßig relevant: Kartell- und Wettbewerbsrecht (Preisabsprachen mit Wettbewerbern, Informationsaustausch auf Branchentreffen), Exportkontrolle (Dual-Use-Güter, Sanktionsregime), Korruption und Bestechung (§§ 299, 333 ff. StGB), Arbeitnehmerüberlassung und Scheinselbständigkeit, Steuerpflichten bei internationalen Lieferbeziehungen sowie Datenschutz in der vernetzten Produktion. Hinzu kommt seit 2023 das LkSG für Unternehmen ab der gesetzlichen Schwelle.
Praktisch empfiehlt sich eine Risikomatrix: Eintrittswahrscheinlichkeit × Schadensausmaß. In einem aktuellen Mandat beriet die Kanzlei einen Tier-2-Zulieferer aus der Automobilbranche mit rund 200 Mitarbeitern. Ausgangslage war eine Betriebsprüfung, bei der Scheinrechnungen eines Subunternehmers aufgedeckt wurden. Das fehlende CMS hatte weder eine Lieferantenprüfung noch eine Rechnungsfreigabestruktur vorgesehen. Vorgehen: Sofortmaßnahmen zur Schadensbegrenzung, Nachaufbau eines Kontrollsystems, Kooperationsstrategie gegenüber der Behörde. Ergebnis: Die Sanktion blieb im einstelligen Prozentbereich des ursprünglich angedrohten Bußgelds – ohne jedes Versprechen und ohne Gewähr für Einzelfälle.
Mikro-Fall aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Tier-1-Automobilzulieferer mit Standorten in Deutschland und Osteuropa. Ausgangslage: Ein OEM-Audit hatte Lücken in der Lieferantenqualifizierung und fehlende Nachweise zur Exportkontrolle beanstandet; gleichzeitig lief eine steuerliche Außenprüfung zu Verrechnungspreisen. Vorgehen: Parallele Analyse der steuerlichen und ordnungswidrigkeitenrechtlichen Risiken, Aufbau eines risikobasierten CMS nach IDW PS 980, Implementierung eines internen Meldesystems und Schulungsprogramms. Ergebnis: Die Prüfung führte zu einer Nachzahlung im mittleren Bereich, das Bußgeldverfahren wurde eingestellt. Die Kanzlei weist ausdrücklich darauf hin, dass jeder Sachverhalt individuell zu beurteilen ist.
Was sind die typischen Aufsichtsmängel, die Bußgelder auslösen?
Aufsichtsmängel im Sinne des § 130 OWiG sind nicht auf schwere Delikte beschränkt. Sie entstehen bereits dann, wenn die Geschäftsführung keine angemessenen organisatorischen Vorkehrungen getroffen hat, um Verstöße zu verhindern. Die Rechtspraxis hat dabei typische Konstellationen herausgearbeitet.
Erstens: fehlende oder unklare Zuständigkeitsverteilung. Wenn niemand offiziell für Exportkontrolle verantwortlich ist, haftet die Geschäftsführung kollektiv. Zweitens: keine regelmäßigen Schulungen. Mitarbeiter, die kartellrechtlich sensible Themen nicht kennen, können Verstöße nicht vermeiden. Drittens: kein internes Meldesystem. Hinweisgeber müssen in Unternehmen ab der gesetzlichen Schwelle nach dem Hinweisgeberschutzgesetz (HinSchG) geschützte Meldekanäle vorfinden. Viertens: mangelnde Dokumentation. Ohne schriftliche Nachweise über Kontrollen, Schulungen und Risikobewertungen ist eine Verteidigung im Bußgeldverfahren erheblich erschwert.
Welche konkreten Maßnahmen im Einzelfall ausreichend sind, lässt sich nicht pauschal beantworten – das hängt von Unternehmensgröße, Branche und individuellem Risikoprofil ab. Nach unserer Erfahrung ist die Dokumentation der getätigten Schritte mindestens so wichtig wie die Schritte selbst.
Schritt 3: CMS-Struktur aufbauen – die sieben Kernelemente
Ein wirksames CMS für den mittelständischen Automobilzulieferer umfasst nach dem in der Praxis etablierten Standard IDW PS 980 sieben Kernelemente. Diese Struktur ist nicht bloß akademisch: Behörden und Gerichte orientieren sich an ihr, wenn sie beurteilen, ob ein Unternehmen hinreichende Aufsichtsmaßnahmen ergriffen hat.
1. Compliance-Kultur: Klares Bekenntnis der Geschäftsführung, schriftlich fixiert und intern kommuniziert. 2. Compliance-Ziele: Definition, welche Normbereiche abgedeckt werden (OWiG, GWB, LkSG, DSGVO, Steuerrecht). 3. Compliance-Risiken: dokumentiertes Risk Assessment (siehe Schritt 2). 4. Compliance-Programm: Richtlinien, Handlungsanweisungen, Vier-Augen-Prinzip bei kritischen Vorgängen. 5. Compliance-Organisation: Benennung eines Compliance-Beauftragten oder Bestellung eines externen Beauftragten; klare Berichtslinie direkt an die Geschäftsführung. 6. Compliance-Kommunikation: Schulungen, Intranet-Veröffentlichung, Hinweisgebersystem. 7. Compliance-Überwachung und Verbesserung: regelmäßige interne Audits, Anpassung bei Gesetzesänderungen.
Für inhabergeführte Betriebe mit begrenzten Ressourcen empfiehlt sich ein modularer Aufbau: zunächst die drei Kernrisikobereiche (Kartellrecht, Steuer, Korruption) absichern, dann schrittweise erweitern. Ein CMS muss nicht sofort vollständig sein – entscheidend ist, dass der Aufbauprozess dokumentiert und konsequent verfolgt wird.
Beachten Sie dabei: Externe Compliance-Beauftragte können sinnvoll sein, entbinden die Geschäftsführung aber nicht von der Legalitätsaufsicht. Die Verantwortung bleibt intern.
Schritt 4: Branchenspezifische Anforderungen der Automobilzulieferkette integrieren
Die Automobilzulieferindustrie unterliegt einem dichten Netz branchenspezifischer Anforderungen, die über das allgemeine Ordnungswidrigkeitenrecht hinausgehen. Ein CMS, das diese Besonderheiten nicht abbildet, ist unvollständig.
Exportkontrolle: Zulieferer, die Bauteile mit Dual-Use-Potenzial fertigen oder in Drittländer liefern, unterliegen der EG-Dual-Use-Verordnung und dem Außenwirtschaftsgesetz (AWG). Verstöße können strafrechtlich verfolgt werden. Das CMS muss eine Güterklassifizierung und eine Endverbleibskontrolle vorsehen.
Lieferkettensorgfaltspflichten: Das LkSG verpflichtet Unternehmen ab der gesetzlichen Mitarbeiterschwelle zu Risikoanalysen, Präventions- und Abhilfemaßnahmen entlang der Lieferkette. Für Zulieferer, die an größere OEM-Gruppen liefern, entstehen faktische Pflichten auch unterhalb der gesetzlichen Schwelle, weil Abnehmer die Anforderungen vertraglich weitergeben.
Kartellrechtliche Sensibilität: In der Automobilzulieferkette hat die Europäische Kommission und das Bundeskartellamt wiederholt Preisabsprachen unter Zulieferern verfolgt. Das GWB sieht bei Kartellverstößen Bußgelder bis zu 10 % des weltweiten Konzernumsatzes vor. Ein CMS ohne kartellrechtliches Schulungsprogramm und ein Verbot informeller Wettbewerberkontakte ist in dieser Branche nicht ausreichend.
Verrechnungspreise: Zulieferer mit internationalen Konzernstrukturen oder Schwestergesellschaften müssen Verrechnungspreisdokumentationen vorhalten. Fehlen diese, droht bei Betriebsprüfungen eine Schätzung zuungunsten des Unternehmens – mit entsprechenden Steuernachzahlungen und möglichen Strafzinsbelastungen.
Schritt 5: Internes Kontrollsystem und Hinweisgebersystem einrichten
Das interne Kontrollsystem (IKS) ist das operative Herzstück des CMS. Es besteht aus präventiven, aufdeckenden und korrigierenden Kontrollen, die in die Geschäftsprozesse eingebettet sind – nicht neben ihnen.
Präventive Kontrollen umfassen das Vier-Augen-Prinzip bei Zahlungsfreigaben, Lieferantenqualifizierungsprozesse mit Integritätsprüfung sowie Unterschriftenvollmachten (Kompetenzmatrix). Aufdeckende Kontrollen sind regelmäßige Datenanalysen (z. B. Zahlungen an neue Empfänger, ungewöhnliche Rechnungsbeträge), interne Audits und Stichprobenkontrollen durch den Compliance-Beauftragten. Korrigierende Kontrollen betreffen das dokumentierte Eskalations- und Disziplinarverfahren bei Verstößen.
Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab der gesetzlichen Mitarbeiterschwelle, interne Meldekanäle einzurichten, über die Hinweisgeber geschützt Verstöße melden können. Die Meldung einer Datenschutzverletzung muss binnen 72 Stunden an die zuständige Aufsichtsbehörde erfolgen (Art. 33 DSGVO) – ein Hinweisgebersystem, das Meldungen verzögert, ist daher kontraproduktiv. Das System muss so gestaltet sein, dass eingehende Hinweise sofort an die richtige Stelle weitergeleitet werden.
Für kleinere Zulieferbetriebe, die noch keine interne Compliance-Funktion haben, bietet ein extern betriebener Meldekanal eine pragmatische Lösung – vorausgesetzt, die Vertraulichkeit und der Schutz des Hinweisgebers sind gewährleistet.
Welche Dokumentationspflichten muss der Geschäftsführer erfüllen?
Dokumentation ist im Compliance-Kontext kein bürokratischer Selbstzweck. Sie ist der einzige verlässliche Nachweis dafür, dass die Geschäftsführung ihrer Aufsichtspflicht nachgekommen ist. Ohne Dokumentation gibt es im Verfahren keine Entlastung.
Folgende Dokumente müssen vorliegen und aktuell gehalten werden: das Risk Assessment (mindestens jährlich aktualisiert), alle Compliance-Richtlinien mit Versionierung und Freigabehistorie, Schulungsnachweise (Datum, Teilnehmer, Inhalt), Auditberichte mit Feststellungen und Maßnahmenplan sowie Nachweise über die Behandlung eingehender Hinweise. Im Steuerrecht kommt die Verrechnungspreisdokumentation hinzu, die bei wesentlichen Änderungen der Geschäftsbeziehungen zeitnah anzupassen ist.
Die Aufbewahrungsfristen richten sich nach dem jeweiligen Rechtsgebiet. Im Steuerrecht gelten handels- und steuerrechtliche Aufbewahrungsfristen; im Rahmen des OWiG ist die Dokumentation für den Zeitraum der möglichen Verfolgungsverjährung vorzuhalten. Die genaue Frist ist im Einzelfall anwaltlich zu prüfen.
Nach unserer Erfahrung scheitern Verteidigungsstrategien im Bußgeldverfahren häufig nicht an fehlenden Maßnahmen, sondern an fehlenden Nachweisen. Ein gut gemeintes, aber undokumentiertes CMS ist in der Auseinandersetzung mit Behörden wertlos.
Schritt 6: CMS laufend überwachen und an neue Rechtslagen anpassen
Ein CMS ist keine einmalige Investition, sondern ein kontinuierlicher Prozess. Rechtslagen ändern sich – neue Normen treten in Kraft, die höchstrichterliche Rechtsprechung präzisiert bestehende Pflichten, und das eigene Geschäftsmodell entwickelt sich weiter. Ein statisches CMS verliert schnell seine Schutzwirkung.
Für Automobilzulieferer sind aktuell folgende Entwicklungen zu beobachten: Die geplante Reform des GWB im Rahmen der zwölften Novelle könnte Schwellenwerte in der Fusionskontrolle anpassen – wer Unternehmenskäufe plant, sollte die Entwicklung verfolgen. Das LkSG wird auf europäischer Ebene durch die CSDDD (Corporate Sustainability Due Diligence Directive) ergänzt, deren nationale Umsetzung ansteht. Im Bereich Arbeitszeiterfassung gilt nach der Entscheidung des Bundesarbeitsgerichts vom September 2022 bereits eine Erfassungspflicht; ein gesondertes Arbeitszeitgesetz mit elektronischer Erfassungspflicht befindet sich noch im Referentenstadium und ist derzeit nicht in Kraft.
Praktisch empfiehlt sich ein jährlicher CMS-Review mit Einbindung des Rechtsberaters. Quartalsweise sollten wesentliche Gesetzgebungsvorhaben und Rechtsprechungsänderungen in einer Kurzmitteilung an die Geschäftsführung kommuniziert werden. Bei wesentlichen Geschäftsveränderungen – neue Märkte, neue Produkte, Übernahmen – ist eine sofortige Anpassung des Risk Assessments erforderlich.
Die vorstehende Darstellung betrifft die Regelfälle eines etablierten Zulieferbetriebs. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, bestehenden Richtlinien und der aktuellen Rechtsprechung durch einen Rechtsanwalt. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Die vorstehende Darstellung betrifft die typischen Strukturfragen beim Aufbau eines mittelständischen CMS. Ob Ihr bestehendes System den rechtlichen Anforderungen standhält oder wo konkrete Lücken bestehen, lässt sich nur nach Prüfung Ihrer individuellen Dokumentation beurteilen. Für eine erste Durchsicht Ihrer Unterlagen wenden Sie sich an info@brandtfalk.com.
Schritt 7: Verhalten im Bußgeldverfahren – was tun, wenn es zu einem Verfahren kommt?
Trotz eines funktionierenden CMS kann es zu behördlichen Ermittlungen kommen – sei es durch eine Außenprüfung, einen Hinweis oder ein Kartellverfahren. Das richtige Verhalten in den ersten Stunden und Tagen ist entscheidend.
Sofortmaßnahmen: Eingehende Behördenanschreiben, Durchsuchungsbeschlüsse oder Auskunftsersuchen dürfen nicht ohne anwaltliche Begleitung beantwortet werden. Das Schweigerecht gilt auch für juristische Personen in dem Sinne, dass die Geschäftsführung keine Angaben machen muss, die das Unternehmen belasten. Gleichzeitig kann Kooperation strafmildernd wirken – hier ist eine sorgfältige Abwägung im Einzelfall erforderlich.
Dokumentensicherung: Alle potenziell relevanten Unterlagen, E-Mails und Daten müssen umgehend gesichert und vor unbeabsichtigter Löschung geschützt werden. Eine „Legal Hold"-Anweisung an die IT-Abteilung ist unverzüglich auszusprechen.
Interne Untersuchung: Parallel zur behördlichen Ermittlung empfiehlt sich eine interne Untersuchung unter anwaltlicher Leitung. Sie dient dazu, den Sachverhalt vollständig zu erfassen, bevor Behörden eigene Schlussfolgerungen ziehen. Die Ergebnisse der internen Untersuchung unterliegen – soweit sie durch Rechtsanwälte geführt wird – dem anwaltlichen Berufsgeheimnis. Die genauen Voraussetzungen und Grenzen sind im Einzelfall zu prüfen.
Kooperationsstrategie: In Bußgeldverfahren nach OWiG kann ein glaubhaftes, dokumentiertes CMS bußgeldmindernd berücksichtigt werden. Wer erst im Verfahren ein CMS einführt, profitiert davon weniger als derjenige, der ein bestehendes System nachweisen kann. Das ist ein weiteres Argument, frühzeitig zu handeln.
Verwandte Leistungen
Häufige Fragen zum Compliance-Management-System für den Mittelstand
Braucht ein kleiner Automobilzulieferer mit 50 Mitarbeitern ein formelles CMS?
Ja, auch kleinere Betriebe sind an die Aufsichtspflicht des § 130 OWiG gebunden. Die Anforderungen an das CMS sind zwar nicht identisch mit denen eines Großkonzerns, aber die Grundstrukturen – dokumentiertes Risk Assessment, klare Zuständigkeiten, Schulungen – müssen vorhanden sein. OEM-Kunden verlangen zudem zunehmend Compliance-Nachweise unabhängig von der Unternehmensgröße. Ein schlankes, aber dokumentiertes CMS ist besser als gar keines.
Was kostet ein CMS-Aufbau für einen mittelständischen Zulieferer?
Der Aufwand hängt vom Ausgangszustand, der Unternehmensgröße und dem Risikoprofil ab. Pauschalaussagen zu Kosten wären unseriös. Sinnvoll ist ein schrittweiser Aufbau: zunächst die drei Kernrisikobereiche (Kartell, Korruption, Steuer), dann Erweiterung auf LkSG, Exportkontrolle und Datenschutz. Die Kanzlei berät zu Vergütungsvereinbarungen nach § 3a RVG oder gesetzlichen Gebühren nach RVG – je nach Projektstruktur.
Wie schützt ein CMS den Geschäftsführer persönlich?
Ein nachgewiesenes, funktionierendes CMS belegt, dass die Geschäftsführung ihrer Aufsichtspflicht nach § 130 OWiG nachgekommen ist. Das kann im Bußgeldverfahren bußgeldmindernd wirken und im Innenverhältnis eine Haftung gegenüber der Gesellschaft nach § 43 GmbHG erschweren. Der Schutz ist jedoch kein absoluter: Wurden Verstöße trotz CMS aktiv gefördert oder geduldet, nützt das System wenig. Entscheidend ist die gelebte, dokumentierte Praxis.
Müssen Compliance-Richtlinien auf Englisch vorliegen, wenn der Zulieferer internationale Standorte hat?
Für deutsche Standorte ist Deutsch ausreichend; international tätige Unternehmen sollten Kernrichtlinien (Code of Conduct, Antikorruptionsrichtlinie) in den Sprachen der jeweiligen Standorte vorhalten. Entscheidend ist, dass Mitarbeiter die Richtlinien verstehen und unterzeichnet haben. Für grenzüberschreitende Fragen arbeiten wir mit qualifizierten Berufsträgern in der jeweiligen Jurisdiktion zusammen.
Was passiert, wenn bei einer Steuerprüfung Compliance-Mängel entdeckt werden?
Die Einspruchsfrist gegen einen Steuerbescheid beträgt einen Monat (§ 355 AO); die Klagefrist vor dem Finanzgericht ebenfalls einen Monat (§ 47 FGO). Diese Fristen sind unverzüglich zu wahren. Darüber hinaus kann eine Betriebsprüfung den Anlass für ein OWiG-Verfahren wegen Aufsichtspflichtverletzung geben. Frühzeitige anwaltliche Begleitung der Prüfung ist daher empfehlenswert.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.