Ein Automobilzulieferer mit 180 Mitarbeitern, vier Produktionsstandorten und einem Jahresumsatz im mittleren zweistelligen Millionenbereich erhält eines Morgens Post von der Staatsanwaltschaft. Der Vorwurf: Aufsichtspflichtverletzung nach dem Gesetz über Ordnungswidrigkeiten (OWiG), weil ein Vertriebsmitarbeiter über Monate hinweg Provisionsabreden getroffen haben soll, die als verdeckte Schmiergeldzahlungen an Einkäufer eines Tier-1-Herstellers zu werten sind. Die Geschäftsführung wusste nichts davon – oder behauptet zumindest, nichts gewusst zu haben.
Ein wirksames Compliance-Management-System (CMS) für den Mittelstand ist nach der gefestigten deutschen Rechtsprechung keine freiwillige Unternehmenstugend, sondern eine unmittelbare Anforderung aus dem Ordnungswidrigkeitenrecht. Fehlt ein angemessenes CMS, können Verstöße von Mitarbeitern dem Unternehmen und seiner Geschäftsführung persönlich zugerechnet werden – mit erheblichen Sanktionsfolgen nach dem OWiG. Für Automobilzulieferer ist diese Anforderung besonders scharf, weil die branchenspezifischen Lieferkettenverpflichtungen, Preisabsprachrisiken und die Abhängigkeit von wenigen Großabnehmern die Compliance-Exposition deutlich erhöhen.
Dieser Beitrag ordnet die wesentlichen Linien der deutschen Rechtsprechung zum CMS ein, benennt die daraus resultierenden Pflichten für Geschäftsführer mittelständischer Automobilzulieferer und zeigt, welche Schritte jetzt zu prüfen sind.
Warum die Rechtsprechung zum OWiG das CMS zum Pflichtprogramm macht
Die zentrale Rechtsgrundlage ist § 130 OWiG: Danach begeht eine Ordnungswidrigkeit, wer als Inhaber oder Leiter eines Betriebs vorsätzlich oder fahrlässig Aufsichtsmaßnahmen unterlässt, die erforderlich wären, um Zuwiderhandlungen gegen betriebsbezogene Pflichten zu verhindern. Die Sanktion ist eine Geldbuße. Hinzu tritt § 30 OWiG, der eine selbständige Unternehmensgeldbuße gegen juristische Personen ermöglicht, wenn eine Leitungsperson eine Straftat oder Ordnungswidrigkeit begeht, durch die betriebliche Pflichten verletzt werden.
Die höchstrichterliche und obergerichtliche Rechtsprechung hat in den vergangenen Jahren klargemacht, dass das Vorhandensein eines angemessenen CMS im Bußgeldverfahren bußgeldmildernd wirkt – und sein Fehlen entsprechend erschwerend gewertet werden kann. Dieser Grundsatz, den die Praxis verbreitet mit der Entscheidungsreihe der Instanzgerichte zur Verbandsgeldbußenpraxis verbindet, findet sich sinngemäß auch in den Leitlinien des Deutschen Corporate Governance Kodex und der IDW-Stellungnahme PS 980 (Grundsätze ordnungsmäßiger Prüfung von Compliance-Management-Systemen). Die gefestigte Senatsrechtsprechung hält daran fest: Wer nachweist, dass sein CMS funktional war und dennoch kein Verstoß verhindert werden konnte, steht deutlich besser da als ein Unternehmen ohne jede Compliance-Infrastruktur.
Für den mittelständischen Automobilzulieferer ergibt sich daraus eine klare Handlungslogik: Das CMS ist der entscheidende Hebel zur Begrenzung persönlicher Haftungsrisiken der Geschäftsführung und zur Reduzierung des Sanktionsrisikos für das Unternehmen.
Was die Gerichte konkret prüfen: Angemessenheit des CMS als Kernelement
Die Rechtsprechung arbeitet mit dem Merkmal der „Angemessenheit". Ein CMS ist dann angemessen, wenn es systematisch auf die spezifischen Compliance-Risiken des Unternehmens zugeschnitten ist. Eine Einheitslösung, die für einen Finanzdienstleister entwickelt wurde und unverändert auf einen Automobilzulieferer übertragen wird, genügt dieser Anforderung regelmäßig nicht.
In der Automobilzulieferindustrie sind die Risikofelder branchentypisch: Preisabsprachen zwischen Lieferanten, Schmiergeldzahlungen an Einkäufer von OEMs und Tier-1-Herstellern, fehlerhafte Wareneingangsbescheinigungen zur Manipulierung von Kennzahlensystemen sowie – zunehmend relevant – Lieferkettensorgfaltspflichtverletzungen nach dem Lieferkettensorgfaltspflichtengesetz (LkSG). Wer diese Risiken in seiner CMS-Risikoanalyse nicht als Schwerpunkte ausgewiesen hat, riskiert, dass ein Gericht oder eine Behörde das CMS als formal, aber nicht materiell wirksam einstuft.
Die Gerichte prüfen insbesondere: Risikoanalyse, Richtlinienwerk, Schulungsnachweis, Hinweisgebersystem und Sanktionspraxis. Wer in allen fünf Bereichen nachvollziehbare Dokumentation vorweisen kann, setzt sich in eine wesentlich günstigere Verteidigungsposition. In der Mandatspraxis sehen wir häufig, dass vor allem kleine und mittlere Zulieferer das Hinweisgebersystem und die Schulungsdokumentation vernachlässigen – Schwachstellen, die im Verfahren unmittelbar zu Lasten der Geschäftsführung gehen können.
Welche persönlichen Pflichten treffen die Geschäftsführer im Mittelstand?
Geschäftsführer einer GmbH sind nach § 43 GmbHG zur ordnungsgemäßen Führung der Gesellschaft verpflichtet. In Verbindung mit § 130 OWiG ergibt sich daraus eine persönliche Pflicht zur Einrichtung und Überwachung eines angemessenen CMS. Das ist keine bloße Empfehlung. Wird ein Mitarbeiter im Vertrieb wegen Bestechung verurteilt, und lässt sich nachweisen, dass die Geschäftsführung keine erkennbaren Aufsichtsmaßnahmen ergriffen hat, droht eine persönliche Geldbuße nach § 130 OWiG.
Die Höhe solcher Geldbußen richtet sich nach dem OWiG und ist im Einzelfall zu prüfen. Was die höchstrichterliche Rechtsprechung jedoch eindeutig klarstellt: Die Aufsichtspflichtverletzung setzt keine Kenntnis des konkreten Verstoßes voraus. Wer als Geschäftsführer keinen Versuch unternimmt, Risiken zu strukturieren und zu überwachen, handelt bereits fahrlässig im Sinne des Gesetzes.
In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Automobilzulieferer aus dem Bereich Kunststoff-Formteile mit rund 220 Beschäftigten. Ausgangslage: Der Außendienst hatte über mehrere Jahre Kundenbewirtungskosten als Fahrtkosten gebucht; ein Hinweisgeberhinweis hatte die Compliance-Problematik erst nach einem Betriebsprüfungsverfahren ans Licht gebracht. Vorgehen: Die Kanzlei begleitete die interne Untersuchung, strukturierte die Dokumentation des vorhandenen – aber weitgehend informellen – CMS und koordinierte die Kommunikation mit der Finanzbehörde. Ergebnis: Das Unternehmen konnte nachweisen, dass eine rudimentäre Compliance-Praxis vorhanden war; das Bußgeldrisiko ließ sich gegenüber einer vollständig unregulierten Ausgangslage spürbar reduzieren.
Wie funktioniert die Zurechnung von Mitarbeiterverhalten nach dem OWiG?
§ 30 OWiG schafft einen eigenständigen Zurechnungstatbestand: Begeht eine Leitungsperson eine Zuwiderhandlung, durch die Pflichten des Unternehmens verletzt werden, kann gegen das Unternehmen selbst eine Geldbuße verhängt werden. Leitungspersonen in diesem Sinne sind nicht nur Geschäftsführer, sondern auch bevollmächtigte Personen, Prokuristen und – nach gefestigter Rechtsprechung – Personen, die faktisch unternehmerische Leitungsfunktionen wahrnehmen.
Für den Automobilzulieferer bedeutet dies: Auch der Vertriebsleiter, der formal keine Prokura hat, aber eigenverantwortlich Preisverhandlungen führt und Provisionszusagen macht, kann eine Leitungsperson im Sinne des § 30 OWiG sein. Die Grenze zwischen Leitungsperson und ausführendem Mitarbeiter ist fließend. Wer diese Grenze nicht aktiv durch klare Kompetenzdokumentationen zieht, öffnet das Unternehmen einer weitreichenden Zurechnung.
Hinzu tritt § 130 OWiG für das Verhalten einfacher Mitarbeiter: Wenn ein Sachbearbeiter Einkäufer eines Kunden mit geldwerten Vorteilen bedenkt und dies auf eine unzureichende Aufsicht zurückgeführt werden kann, haftet die Geschäftsführung persönlich. Die gefestigte Senatsrechtsprechung formuliert es so: Aufsicht bedeutet nicht, jeden Schritt zu kontrollieren, wohl aber, erkennbare Risikobereiche systematisch abzusichern.
Branchenspezifische Rechtsprechungslinien: Was für Automobilzulieferer besonders gilt
Die Automobilzulieferindustrie hat durch die Kartellrechtsdurchsetzung der vergangenen anderthalb Jahrzehnte eine besondere Sensibilisierung erfahren. Mehrere Verfahren der Europäischen Kommission und des Bundeskartellamts haben gezeigt, dass horizontale Preisabsprachen zwischen Zulieferern für OEM-Ausschreibungen in der Branche ein strukturelles Risiko darstellen. Die Rechtsprechung der Kartellsenate hat in diesem Zusammenhang klargestellt, dass ein CMS, das dieses Risiko nicht explizit adressiert, schon im Ausgangspunkt unzureichend ist.
Für den deutschen Mittelstand in der Zulieferbranche gilt darüber hinaus: Das Lieferkettensorgfaltspflichtengesetz (LkSG), das seit dem 1. Januar 2023 für Unternehmen mit mehr als 3.000 Mitarbeitern und seit dem 1. Januar 2024 für Unternehmen ab 1.000 Mitarbeitern gilt, stellt eigene Anforderungen an ein Risikomanagementsystem. Auch kleinere Zulieferer, die als Lieferanten von LkSG-pflichtigen Unternehmen auftreten, werden über vertragliche Anforderungen und Lieferantenselbstauskünfte faktisch in die Compliance-Pflicht genommen. Wer als mittelständischer Tier-2- oder Tier-3-Zulieferer keinen Nachweis seiner Compliance-Strukturen erbringen kann, riskiert, aus Lieferantenlisten gestrichen zu werden – eine wirtschaftliche Konsequenz, die mitunter schwerer wiegt als eine behördliche Sanktion.
Nach unserer Erfahrung sind es gerade mittelständische Zulieferer im Umsatzbereich zwischen 20 und 80 Millionen Euro, die sich in einem rechtlichen Graubereich bewegen: zu groß, um als „Klein-KMU ohne Systematik" durchzugehen, zu klein, um die Compliance-Ressourcen eines Konzernzulieferers vorzuhalten. Für diese Gruppe ist ein schlankes, aber nachweislich wirksames CMS die entscheidende Investition.
Welche Dokumentationspflichten folgen aus der Rechtsprechung?
Die Rechtsprechung hat die Beweislastverteilung für das CMS nicht vollständig umgekehrt – im Ordnungswidrigkeitenverfahren trägt grundsätzlich die Behörde die Nachweislast für den Verstoß. In der Praxis wirkt sich jedoch eine lückenhafte Dokumentation des CMS faktisch belastend aus: Wenn das Unternehmen ein funktionsfähiges CMS als Entlastungsargument einbringen will, muss es dies nachweisen. Ohne Dokumentation gibt es nichts nachzuweisen.
Konkret empfiehlt die Kanzlei auf Basis der Rechtsprechungsanalyse die Dokumentation folgender Elemente: erstens eine schriftliche Risikoanalyse mit branchenspezifischem Zuschnitt; zweitens ein Richtlinienwerk (Code of Conduct, Antikorruptionsrichtlinie, Kartellrechts-Compliance-Richtlinie); drittens Schulungsnachweise mit Datum, Inhalt und Teilnehmerliste; viertens Nachweise über die Funktion und Inanspruchnahme des Hinweisgebersystems (seit dem Hinweisgeberschutzgesetz, das am 2. Juli 2023 in Kraft getreten ist, für Unternehmen ab 50 Mitarbeitern verpflichtend); fünftens eine Dokumentation interner Sanktionen bei bekannt gewordenen Verstößen.
Das Hinweisgeberschutzgesetz (HinSchG) ist seit dem 2. Juli 2023 für Unternehmen ab 50 Beschäftigten verbindlich – ein Element, das unmittelbar in das CMS integriert werden muss. In der Mandatspraxis sehen wir, dass ein Großteil der mittelständischen Zulieferer entweder kein formales Hinweisgebersystem hat oder ein System, das nicht den Vertraulichkeitsanforderungen des Gesetzes genügt. Dieser Zustand ist unmittelbar haftungsrelevant.
Was bedeutet die Rechtsprechung konkret für die nächsten Schritte?
Aus der Zusammenschau der Rechtsprechung zu § 130 OWiG, § 30 OWiG und den branchenspezifischen Anforderungen ergibt sich eine klare Prüfungsreihenfolge für Geschäftsführer mittelständischer Automobilzulieferer:
- Bestandsaufnahme des bestehenden CMS: Welche schriftlich dokumentierten Elemente gibt es tatsächlich? Wo bestehen Lücken gegenüber dem Standard, den die Rechtsprechung als angemessen einordnet?
- Risikoanalyse mit Branchenfokus: Sind die branchentypischen Risiken – Preisabsprachen, Korruption, LkSG-Pflichtverletzungen – explizit erfasst?
- Hinweisgebersystem prüfen: Erfüllt das bestehende System (sofern vorhanden) die Anforderungen des HinSchG? Ist die Vertraulichkeit der Meldungen gesichert?
- Schulungsdokumentation vervollständigen: Liegen Teilnehmerlisten mit Datum und Inhalten vor?
- Sanktionspraxis dokumentieren: Wurden bekannte Verstöße schriftlich festgehalten und Konsequenzen gezogen?
Diese Prüfungsreihenfolge ist keine akademische Übung. Fragt ein Staatsanwalt oder ein Kartellbehörden-Ermittler nach, welche Maßnahmen die Geschäftsführung ergriffen hat, um Verstöße zu verhindern, entscheidet die Antwort auf diese fünf Punkte über die Weichenstellung im Verfahren. Nach unserer Erfahrung lässt sich ein Großteil der häufigsten Compliance-Lücken in mittelständischen Zulieferunternehmen mit überschaubarem Aufwand schließen – wenn man weiß, wo zu suchen ist.
Stellen Sie sich die Frage: Könnte Ihr Unternehmen heute, in diesem Moment, einem Behördenvertreter plausibel darlegen, welche Maßnahmen Sie ergriffen haben, um Korruption und Preisabsprachen im Vertrieb zu verhindern? Wenn diese Frage Unbehagen erzeugt, besteht Handlungsbedarf.
Die vorstehende Darstellung betrifft die Regelfälle, die die Rechtsprechung zur CMS-Angemessenheit im mittelständischen Kontext geprägt haben. Ihr konkretes Compliance-System erfordert die Prüfung Ihrer Branchensituation, Ihrer bestehenden Dokumentation und der einschlägigen Rechtsprechung in Ihrem Risikoumfeld. Für eine erste fachliche Einschätzung Ihrer CMS-Struktur wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Compliance-Management-System in der Automobilzulieferindustrie
Was ist ein Compliance-Management-System, und warum ist es für Automobilzulieferer relevant?
Ein Compliance-Management-System (CMS) ist die Gesamtheit der organisatorischen Maßnahmen, Richtlinien und Prozesse, die ein Unternehmen einrichtet, um regelwidriges Verhalten zu verhindern und zu erkennen. Für Automobilzulieferer ist es besonders relevant, weil die Branche einem erhöhten Kartellrechts- und Korruptionsrisiko ausgesetzt ist und Großabnehmer die Lieferantenzulassung zunehmend an den Nachweis eines funktionsfähigen CMS knüpfen.
Welche Rechtsgrundlagen verpflichten den Geschäftsführer zur Einrichtung eines CMS?
Die zentralen Grundlagen sind § 130 OWiG (Aufsichtspflichtverletzung), § 30 OWiG (Unternehmensgeldbuße) sowie § 43 GmbHG (Sorgfaltspflicht des Geschäftsführers). Hinzu treten branchenspezifische Anforderungen aus dem Lieferkettensorgfaltspflichtengesetz (LkSG) und – seit dem 2. Juli 2023 – das Hinweisgeberschutzgesetz (HinSchG) für Unternehmen ab 50 Beschäftigten. Die genaue Pflichtenlage ist im Einzelfall anwaltlich zu prüfen.
Wie wirkt sich das Fehlen eines CMS im Ordnungswidrigkeitenverfahren aus?
Das Fehlen eines angemessenen CMS kann nach der gefestigten deutschen Rechtsprechung als erschwerender Umstand gewertet werden, weil es auf eine strukturelle Aufsichtspflichtverletzung hindeutet. Ein nachweislich funktionsfähiges CMS hingegen kann bußgeldmildernd wirken. Die genaue Gewichtung hängt vom Einzelfall und vom zuständigen Gericht ab; eine allgemeine Garantie für eine bestimmte Sanktionshöhe gibt es nicht.
Ab welcher Unternehmensgröße ist ein formales CMS in der Automobilzulieferindustrie zwingend?
Eine starre Größenschwelle sieht das OWiG nicht vor. Die Rechtsprechung prüft die Angemessenheit der Aufsichtsmaßnahmen in Relation zu den konkreten Risiken des Unternehmens. Für Automobilzulieferer mit direktem Kundenkontakt zu OEMs und Tier-1-Herstellern sowie Außendienststrukturen ist ein schriftlich dokumentiertes CMS bereits bei kleinen und mittleren Betriebsgrößen als angemessen anzusehen. Die genaue Anforderung ist im Einzelfall zu prüfen.
Welche Rolle spielt das Hinweisgeberschutzgesetz für das CMS?
Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab 50 Beschäftigten seit dem 2. Juli 2023 zur Einrichtung einer internen Meldestelle. Dieses Hinweisgebersystem ist ein wesentliches Element eines angemessenen CMS: Es ermöglicht die frühzeitige Erkennung von Compliance-Verstößen im Innenverhältnis, bevor externe Behörden tätig werden. Betriebe, die kein oder ein unzulängliches System vorhalten, riskieren sowohl eine Ordnungswidrigkeit als auch eine verschlechterte Position im Bußgeldverfahren.
Die vorstehende Rechtsprechungsanalyse gibt einen Überblick über die maßgeblichen Grundsätze. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der aktuellen Verfahrenslage und der einschlägigen Rechtsprechung in Ihrer Branche. Für eine erste Orientierung zu Ihrem Compliance-Management-System schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.