Schwarzarbeit auf der Baustelle, überhöhte Subunternehmer-Rechnungen, Kartellabsprachen bei der Ausschreibung öffentlicher Aufträge: Die Bauwirtschaft zählt zu den Branchen, in denen Compliance-Risiken besonders greifbar sind. Wer als Geschäftsführer eines mittelständischen Bauunternehmens die Organisationspflichten unterschätzt, riskiert persönliche Haftung, empfindliche Bußgelder nach dem Ordnungswidrigkeitengesetz (OWiG) und – in gravierenden Fällen – strafrechtliche Ermittlungen. Die vorstehende Einschätzung ist kein theoretisches Szenario: In der Mandatspraxis sehen wir regelmäßig Fälle, in denen fehlende oder lückenhafte Compliance-Strukturen erst im Moment einer Behördenanfrage oder Betriebsprüfung sichtbar werden.
Ein wirksames Compliance-Management-System (CMS) für den Mittelstand in der Bauwirtschaft basiert auf einer klaren Organisationspflicht der Geschäftsführung nach § 130 OWiG und § 30 OWiG: Wer als Leitungsperson Aufsichtspflichten verletzt und dadurch betriebliche Zuwiderhandlungen ermöglicht, haftet persönlich mit Geldbußen, die – je nach Verschuldensgrad und Umsatz – erhebliche Dimensionen erreichen können. Ein strukturiertes CMS dokumentiert die Erfüllung dieser Pflichten, schützt die Geschäftsführung und ist zugleich Voraussetzung für eine wirksame Bußgeldminderung im Sanktionsverfahren.
Dieser Beitrag führt Sie durch die wesentlichen Elemente eines praxistauglichen Compliance-Management-Systems in der Bauwirtschaft. Er beginnt mit dem rechtlichen Rahmen, benennt branchenspezifische Risikoherde und schließt mit einer strukturierten Checkliste, die als Ausgangspunkt für Ihre interne Bestandsaufnahme dient.
Warum braucht die Bauwirtschaft ein strukturiertes CMS?
Mittelständische Bauunternehmen operieren in einem Umfeld, das rechtliche Fallstricke auf mehreren Ebenen gleichzeitig birgt. Subunternehmerketten, Entsendungen ausländischer Arbeitnehmer, öffentliche Vergabeverfahren und die Zusammenarbeit mit Materiallieferanten schaffen eine Compliance-Dichte, die bei reinem Tagesgeschäft leicht unterschätzt wird.
§ 130 OWiG verpflichtet den Inhaber eines Unternehmens, diejenigen Aufsichtsmaßnahmen zu ergreifen, die erforderlich sind, um Zuwiderhandlungen zu verhindern. Verletzt die Geschäftsführung diese Pflicht und kommt es infolgedessen zu einem Verstoß – etwa zu Schwarzarbeit, einem Vergaberechtsverstoß oder einem Steuerdelikt durch einen nachgeordneten Mitarbeiter –, droht dem Unternehmen und der Leitungsperson selbst eine Sanktion nach § 30 OWiG. Die Geldbußen richten sich dabei nicht nur nach dem Einzelverstoß, sondern können an den betrieblichen Verhältnissen ausgerichtet werden.
Über den Sanktionsschutz hinaus gibt es einen wirtschaftlichen Grund für ein CMS: Die öffentliche Hand verlangt bei der Vergabe von Bauaufträgen zunehmend Nachweise über Compliance-Strukturen. Fehlen dokumentierte Systeme, kann die Eignung des Bieters verneint werden – mit unmittelbaren Folgen für den Auftragseingang.
Nach unserer Erfahrung in der Beratung von Bauunternehmen ist der häufigste Auslöser für Compliance-Krisen nicht der vorsätzliche Regelbruch, sondern das organisatorische Versäumnis: Keine klare Zuständigkeit, kein Berichtspfad, keine dokumentierte Schulung.
Welche Rechtsgrundlagen sind maßgeblich?
Das Compliance-Recht für Bauunternehmen im Mittelstand speist sich aus mehreren Normbündeln. Einen einheitlichen Kodex gibt es nicht; die Pflichten ergeben sich aus dem Zusammenspiel von Ordnungswidrigkeitenrecht, Steuerrecht, Arbeitsrecht und bereichsspezifischem Baurecht.
§ 130 OWiG bildet das Fundament der Leitungshaftung: Aufsichtspflichtverletzung durch die Unternehmensleitung als eigenständiger Ordnungswidrigkeitentatbestand. Dazu tritt § 30 OWiG, der die Geldbuße gegen die juristische Person oder Personenvereinigung selbst begründet. Beide Normen wirken im Zusammenspiel und machen eine klar dokumentierte Compliance-Organisation zur praktischen Notwendigkeit.
Im steuerrechtlichen Bereich ist § 370 AO (Steuerhinterziehung) relevant, insbesondere bei Bargeschäften, nicht erklärten Subunternehmerleistungen und unrichtigen Voranmeldungen. Die Festsetzungsverjährung beträgt nach § 169 AO im Regelfall vier Jahre, bei leichtfertiger Steuerverkürzung fünf Jahre und bei Steuerhinterziehung zehn Jahre. Das bedeutet: Compliance-Dokumentation muss entsprechend langfristig angelegt sein.
Arbeitsrechtlich steht das Schwarzarbeitsbekämpfungsgesetz (SchwarzArbG) im Vordergrund, flankiert von den Vorschriften zur Mindestlohnkontrolle (Mindestlohngesetz, MiLoG). Seit dem 1. Januar 2026 gilt ein gesetzlicher Mindestlohn von 13,90 € pro Stunde, ab dem 1. Januar 2027 sind es 14,60 €. Für die Bauwirtschaft kommen tarifliche Mindestlöhne nach dem Arbeitnehmer-Entsendegesetz (AEntG) hinzu, die regelmäßig über dem gesetzlichen Mindestlohn liegen und gesondert zu prüfen sind.
Vergaberechtlich gelten das Gesetz gegen Wettbewerbsbeschränkungen (GWB) und die VOB/A. Kartellabsprachen bei Ausschreibungen sind ein klassisches Risiko im Bausektor; die zuständigen Kartellbehörden gehen in diesem Bereich besonders konsequent vor. Der Vollzug ist intensiv – und die Bußgelddrohung nach § 81 GWB erheblich.
Die Checkliste: Elemente eines wirksamen CMS in der Bauwirtschaft
Ein wirksames Compliance-Management-System besteht nicht aus einem einmaligen Organisationsakt, sondern aus ineinandergreifenden Dauerprozessen. Die folgende Checkliste orientiert sich an dem IDW-Prüfungsstandard PS 980 als Referenzrahmen für mittelständische Compliance-Systeme und ist auf die Spezifika der Bauwirtschaft zugeschnitten.
1. Compliance-Kultur und Führungsverantwortung
- Hat die Geschäftsführung eine schriftliche Compliance-Erklärung verabschiedet und intern kommuniziert?
- Ist die Leitungsebene durch Schulungen und dokumentierte Unterweisungen nachweisbar in die Compliance-Pflichten eingewiesen?
- Gibt es eine namentlich benannte Compliance-Verantwortliche oder einen Compliance-Beauftragten – auch in der Funktion eines internen Beauftragten ohne gesonderte Stelle?
- Werden Compliance-Themen regelmäßig in Geschäftsführungs- und Leitungsbesprechungen behandelt und protokolliert?
2. Risikoanalyse und Risikoinventar
- Existiert eine schriftliche Risikoanalyse, die branchenspezifische Risiken der Bauwirtschaft erfasst (Subunternehmerketten, Schwarzarbeit, Bestechung bei Vergabeverfahren, Kartellabsprachen)?
- Wird das Risikoinventar mindestens jährlich aktualisiert und an veränderte Geschäftstätigkeit angepasst?
- Sind die Risiken nach Eintrittswahrscheinlichkeit und Schadensausmaß priorisiert und dokumentiert?
- Sind bau- und projektspezifische Risiken (z. B. Exportkontrolle bei internationalen Projekten, DSGVO bei Baustellenüberwachung) berücksichtigt?
3. Compliance-Programm: Richtlinien und Regelwerke
- Liegen schriftliche interne Richtlinien zu den zentralen Risikobereichen vor: Vergaberecht und Angebotsabgabe, Subunternehmer-Management, Schwarzarbeitsprävention, Geldwäscheprävention (GwG), Datenschutz (DSGVO)?
- Ist ein Verhaltenskodex vorhanden, der für alle Mitarbeiter und – soweit vertraglich möglich – für Subunternehmer gilt?
- Werden Subunternehmerverträge auf Compliance-Klauseln (Mindestlohngarantie, Sozialversicherung, Nachweispflichten) geprüft?
- Gibt es klare Regelungen zu Geschenken, Einladungen und sonstigen Zuwendungen an Auftraggeber und Vergabeentscheider?
- Werden diese Richtlinien bei Einstellung und anlassbezogen durch nachweisbare Schulungen unterlegt?
4. Subunternehmer-Compliance: Besonderes Risikofeld Bauwirtschaft
- Gibt es ein strukturiertes Subunternehmer-Screening (Prüfung von Gewerbeanmeldung, Sozialversicherungsnachweis, steuerlicher Registrierung, Freistellungsbescheinigung nach § 48b EStG)?
- Werden Subunternehmer regelmäßig – mindestens einmal pro Projekt – erneut überprüft, nicht nur bei Erstbeauftragung?
- Ist der Beizug von Nachunternehmern vertraglich geregelt und unterliegt er einer Genehmigungspflicht durch die Projektleitung?
- Werden Nachunternehmerverträge vor Aufnahme der Leistungen auf Schriftlichkeit, Mindestlohn und Arbeitnehmer-Entsendebedingungen geprüft?
- Dokumentiert das Unternehmen den tatsächlichen Personaleinsatz auf Baustellen (wer ist von welchem Subunternehmer, mit welchem Stundenvolumen tätig)?
5. Hinweisgebersystem und internes Meldewesen
- Besteht ein interner Meldekanal für Compliance-Hinweise – schriftlich, vertraulich oder anonym nutzbar (Hinweisgeberschutzgesetz beachten)?
- Ist der Umgang mit eingehenden Meldungen in einer Verfahrensordnung geregelt (Eingangsbescheinigung, Bearbeitungsfrist, Folgeprozess)?
- Sind Mitarbeiter über die Existenz und Nutzung des Meldekanals informiert und durch Schulungen sensibilisiert?
- Schützt das Unternehmen Hinweisgeber nachweislich vor Repressalien?
6. Schulung und Kommunikation
- Gibt es einen dokumentierten Schulungsplan, der alle Mitarbeiter – einschließlich Polier-Ebene und Bauleitung – in mindestens jährlichem Abstand erfasst?
- Werden Schulungsteilnahmen individuell dokumentiert (Datum, Inhalt, Teilnehmer, Bestätigung)?
- Sind Schulungen auf branchenspezifische Risiken ausgerichtet (Schwarzarbeit, Mindestlohn, Vergabe, Antikorruption)?
- Erhalten neue Mitarbeiter unmittelbar nach Eintritt eine Compliance-Einweisung?
7. Überwachung, Kontrolle und Dokumentation
- Gibt es interne Kontrollen (z. B. Stichprobenkontrollen auf Baustellen zur Prüfung von Arbeitszeiterfassung und Mindestlohnnachweis)?
- Werden Compliance-Verstöße und Hinweise in einem Vorfallsregister dokumentiert?
- Ist ein Eskalationspfad für schwerwiegende Verstöße festgelegt (Compliance-Beauftragter → Geschäftsführung → ggf. externe Beratung)?
- Gibt es eine Verfahrensregelung für den Umgang mit Betriebsprüfungen, Ermittlungsbesuchen und Auskunftsersuchen von Behörden?
- Ist sichergestellt, dass Unterlagen im Prüfungsfall vollständig und geordnet vorgelegt werden können?
8. Verbesserung und jährliche Überprüfung des CMS
- Wird das CMS mindestens einmal jährlich durch die Geschäftsführung oder einen externen Berater auf Wirksamkeit geprüft?
- Werden Erkenntnisse aus Vorfällen, Prüfungen und externen Entwicklungen systematisch in das CMS rückgekoppelt?
- Ist die Weiterentwicklung des CMS in der Unternehmensplanung budgetiert und personell verankert?
Persönliche Haftung der Geschäftsführung: Was gilt konkret?
Für Geschäftsführer eines mittelständischen Bauunternehmens ist die Haftungsfrage entscheidend – und in der Praxis oft unzureichend verstanden. Der Gesetzgeber verlangt keine Garantie für den absoluten Ausschluss von Verstößen. Er verlangt, dass die Geschäftsführung die erforderlichen und zumutbaren Aufsichtsmaßnahmen ergreift.
Kommt es zu einem Verstoß – etwa weil ein Polier Schwarzarbeiter einsetzt oder ein Einkäufer bei der Materialbestellung Schmiergelder annimmt –, ist die entscheidende Frage: Hätte ein ordnungsgemäß eingerichtetes Compliance-System diesen Verstoß mit überwiegender Wahrscheinlichkeit verhindert oder aufgedeckt? Lautet die Antwort ja, ist das Fehlen des Systems der Geschäftsführung persönlich zurechenbar.
§ 130 OWiG begnügt sich mit Fahrlässigkeit; grobe Fahrlässigkeit genügt ebenfalls, um eine Bußgeldhaftung zu begründen. Das bedeutet: Unkenntnis schützt nicht, wenn die Pflicht zur Kenntnis bestand. Wer als Geschäftsführer die Einhaltung der Mindestlohnvorschriften bei Subunternehmern nicht strukturiert überwacht, handelt typischerweise fahrlässig – auch wenn er persönlich keine Kenntnis vom Verstoß hatte.
Positiv formuliert: Ein nachgewiesenes, dokumentiertes und gelebtes CMS ist das wirksamste Argument gegen eine persönliche Bußgeldhaftung. In der Praxis führt es zudem regelmäßig zu einer deutlichen Reduzierung einer etwaigen Geldbuße, sofern das CMS vor dem Verstoß implementiert war und wirksam betrieben wurde.
Welche Konsequenzen zieht ein Compliance-Versagen nach sich, wenn ein Bauunternehmen im laufenden Vergabeverfahren steht? Die öffentliche Auftraggeberin kann die Zuverlässigkeit des Bieters gemäß § 124 GWB verneinen und das Unternehmen von der Teilnahme am Verfahren ausschließen. Dieser Reputationsschaden wiegt in vielen Fällen schwerer als die unmittelbare Bußgeldsanktion.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Generalunternehmen aus der Bauwirtschaft mit rund 80 Mitarbeitern und einem intensiven Subunternehmernetzwerk. Ausgangslage: Bei einer Prüfung durch den Zoll wurden auf einer Baustelle mehrere Nachunternehmer-Arbeitnehmer ohne ordnungsgemäße Mindestlohnnachweise angetroffen; die zuständige Finanzkontrolle Schwarzarbeit leitete ein Bußgeldverfahren ein. Vorgehen: Wir analysierten die bestehenden Subunternehmerverträge, dokumentierten die vorhandenen – wenn auch lückenhaften – Kontrollmaßnahmen und arbeiteten ein strukturiertes CMS aus, das rückwirkend die tatsächlich ergriffenen Maßnahmen belegte und prospektiv klare Prüfroutinen etablierte. Ergebnis: Das Verfahren wurde mit einer deutlich reduzierten Sanktion abgeschlossen, die Vergabefähigkeit des Unternehmens blieb erhalten. Eine Erfolgsgarantie für vergleichbare Fälle kann nicht abgegeben werden; der Ausgang hängt immer von den Umständen des Einzelfalls ab.
Häufige Fehler in der CMS-Praxis der Bauwirtschaft
Nach unserer Erfahrung wiederholen sich in der Bauwirtschaft bestimmte Organisationsversäumnisse. Sie entstehen nicht aus böser Absicht, sondern aus dem operativen Druck des Tagesgeschäfts – und lassen sich bei frühzeitiger Identifikation beheben.
Der klassische Fehler ist die fehlende Schriftlichkeit: Mündliche Anweisungen, nicht dokumentierte Schulungen, Subunternehmerprüfungen ohne Aktennotiz. Im Sanktionsverfahren zählt nur, was nachgewiesen werden kann. Was nicht dokumentiert ist, gilt als nicht geschehen.
Eng damit verbunden ist die punktuelle statt kontinuierliche Überprüfung: Viele Unternehmen prüfen Subunternehmer nur bei der Erstbeauftragung. Steuerliche Freistellungsbescheinigungen nach § 48b EStG, Gewerbeanmeldungen und Sozialversicherungsnachweise können im Projektverlauf erlöschen oder ihre Gültigkeit verlieren. Regelmäßige Wiederholungsprüfungen sind daher Pflicht, nicht Option.
Ein weiterer kritischer Punkt ist das Fehlen eines internen Meldekanals. Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab einer bestimmten Beschäftigtenzahl zur Einrichtung interner Meldestellen. Unabhängig von der konkreten Schwelle gilt: Ein wirksames CMS ohne Hinweisgeber-Mechanismus ist unvollständig und in seiner Wirkung erheblich eingeschränkt.
Schließlich beobachten wir häufig eine mangelnde Integration der Subunternehmerebene. Compliance-Richtlinien werden für eigene Mitarbeiter formuliert, aber nicht vertraglich auf Nachunternehmer erstreckt. Die zivilrechtliche und ordnungswidrigkeitenrechtliche Verantwortung des Hauptunternehmers reicht jedoch in die Subunternehmerkette hinein.
Nächste Schritte: Wie Sie das CMS aufbauen oder prüfen lassen
Ein CMS-Aufbau oder eine Bestandsaufnahme folgt einem strukturierten Fahrplan. Die Schritte lassen sich schematisch wie folgt darstellen:
- Bestandsaufnahme (Gap-Analyse): Vorhandene Strukturen, Richtlinien und Dokumentationen erfassen und mit dem Soll-Zustand abgleichen. Ergebnis: priorisiertes Maßnahmenverzeichnis.
- Risikoanalyse: Branchenspezifische Risiken der Bauwirtschaft identifizieren, gewichten und in ein Risikoinventar überführen. Einbindung der Projektleitung und des Einkaufs ist zwingend.
- Richtlinienentwicklung: Schriftliche interne Regelwerke für die identifizierten Risikobereiche. Klare Sprache, klare Zuständigkeiten, klare Handlungsfolgen bei Verstößen.
- Schulungskonzept: Rollenspezifische Schulungspläne für Geschäftsführung, Bauleitung, Einkauf und gewerbliche Mitarbeiter. Dokumentationsstandard festlegen.
- Kontroll- und Überwachungsroutinen: Stichprobenkontrollen, Subunternehmer-Monitoring, Meldeprozesse und ein Vorfallsregister einrichten.
- Regelmäßige Überprüfung: Mindestens jährlicher Wirksamkeitscheck durch die Geschäftsführung oder externe Beratung; Anpassung an Rechts- und Geschäftsentwicklungen.
Dieser Fahrplan lässt sich für mittelständische Bauunternehmen regelmäßig in einem überschaubaren Zeitrahmen umsetzen. Entscheidend ist der dokumentierte Start und das erkennbare Bekenntnis der Leitungsebene.
Die vorstehende Darstellung betrifft die Regelfälle eines strukturierten CMS-Aufbaus. Ihr konkretes Unternehmen erfordert die Prüfung Ihrer vorhandenen Dokumentation, der spezifischen Risikolage und der einschlägigen Behördenpraxis. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Compliance-Management-System in der Bauwirtschaft
Muss jedes Bauunternehmen ein formales CMS einrichten?
Eine gesetzliche Pflicht zur Einrichtung eines förmlichen Compliance-Management-Systems nach einem bestimmten Standard besteht für mittelständische Bauunternehmen nicht generell. Allerdings ergibt sich aus § 130 OWiG die Pflicht der Unternehmensleitung, durch geeignete Aufsichtsmaßnahmen Rechtsverstöße zu verhindern. Was als „geeignet" gilt, orientiert sich an Größe, Risikolage und Branche des Unternehmens. Für Bauunternehmen mit Subunternehmern, öffentlichen Aufträgen oder internationalen Baustelleneinsätzen ist ein strukturiertes CMS in der Regel unumgänglich, um dieser Pflicht nachzukommen.
Was droht, wenn kein CMS vorhanden ist und ein Verstoß eintritt?
Fehlt eine nachweisbare Compliance-Organisation und kommt es zu einem betrieblichen Verstoß – etwa Schwarzarbeit, einem Mindestlohnverstoß oder einer Vergabeabsprache –, haftet das Unternehmen nach § 30 OWiG und die Geschäftsführung nach § 130 OWiG. Die Geldbuße richtet sich nach dem Verschuldensgrad und kann erhebliche Höhe erreichen. Darüber hinaus drohen Ausschluss von Vergabeverfahren sowie reputationsbezogene Folgen. Ein vorhandenes, gelebtes CMS wirkt dagegen bußgeldmindernd.
Welche besonderen Risiken bestehen bei Subunternehmern in der Bauwirtschaft?
Subunternehmerketten sind das zentrale Compliance-Risikofeld im Baugewerbe. Verstöße eines Nachunternehmers gegen Mindestlohnvorschriften, das Schwarzarbeitsbekämpfungsgesetz oder das Arbeitnehmer-Entsendegesetz können dem Hauptunternehmen als Organisationspflichtverletzung zugerechnet werden, wenn es keine angemessenen Prüf- und Überwachungsroutinen eingerichtet hat. Die Freistellungsbescheinigung nach § 48b EStG ist ein Mindestbaustein – kein vollständiger Schutz. Regelmäßige Vertragskontrollen, Stichprobenprüfungen auf Baustellen und Schulungen der Projektleitung sind erforderlich.
Wie oft muss das CMS überprüft werden?
Ein CMS, das einmalig aufgebaut und dann nicht weiterentwickelt wird, verliert rasch seine Wirksamkeit – und damit seine Schutzwirkung für die Geschäftsführung. Anerkannte Standards sehen mindestens eine jährliche Überprüfung auf Wirksamkeit vor. Anlassbezogen – bei wesentlichen Änderungen des Geschäftsmodells, neuen Rechtsvorschriften oder aufgetretenen Vorfällen – ist eine außerordentliche Aktualisierung erforderlich. Die Überprüfung sollte dokumentiert und deren Ergebnisse der Geschäftsführung vorgelegt werden.
Gilt das Hinweisgeberschutzgesetz auch für kleinere Bauunternehmen?
Das Hinweisgeberschutzgesetz (HinSchG) sieht nach aktuellem Stand unterschiedliche Schwellenwerte vor. Unabhängig davon, ob das Unternehmen formell zur Einrichtung einer Meldestelle verpflichtet ist: Ein vertraulicher interner Meldekanal ist Bestandteil jedes wirksamen CMS und dient zugleich dem Schutz des Unternehmens. Fehlt er, können Hinweisgeber direkt externe Meldestellen einschalten – mit potenziell weitreichenden Folgen für das Unternehmen. Die konkrete Pflichtlage sollte anwaltlich geprüft werden, da der genaue Anwendungsbereich von den Umständen des Einzelfalls abhängt.
Die vorstehende Checkliste bietet einen strukturierten Ausgangspunkt, ersetzt jedoch nicht die individuelle Prüfung Ihrer Unterlagen und Ihrer konkreten Risikolage. Für eine erste Durchsicht Ihrer vorhandenen Compliance-Dokumentation wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.