Ein Handelsunternehmen erhält Post vom Bundeskartellamt. Ein Lieferant zeigt einen Vertriebsmitarbeiter wegen Bestechlichkeit an. Die Steuerprüfung stellt Scheinrechnungen fest. In allen drei Konstellationen fragt das zuständige Amtsgericht als Erstes: Hatte das Unternehmen ein funktionierendes Compliance-Management-System? Die Antwort entscheidet darüber, ob der Geschäftsführer persönlich in Haftung genommen wird oder ob die Bußgeldkammer im Rahmen des Ordnungswidrigkeitenrechts mildernde Umstände anerkennt.
Ein wirksames Compliance-Management-System (CMS) bildet für Handelsunternehmen im Mittelstand die zentrale Grundlage, um Bußgelder nach dem Ordnungswidrigkeitengesetz (OWiG), strafrechtliche Risiken für die Geschäftsführung und Reputationsschäden systematisch zu begrenzen. Es umfasst Risikoanalyse, interne Kontrollen, Schulungsmaßnahmen und ein dokumentiertes Meldewesen. Fehlt ein solches System oder ist es nur auf dem Papier vorhanden, haften Geschäftsführer nach der einschlägigen Rechtsprechung persönlich für die Folgen betrieblicher Pflichtverletzungen.
Dieser Beitrag erklärt, welche Anforderungen für den Groß- und Einzelhandel gelten, was eine anwaltlich begleitete Implementierung leisten muss und welche Sofortmaßnahmen Sie als Geschäftsführer priorisieren sollten.
Warum der Groß- und Einzelhandel ein besonders hohes Compliance-Risiko trägt
Handelsunternehmen stehen an der Schnittstelle zwischen Lieferketten, Endverbrauchern und einer Vielzahl behördlicher Aufsichtsregime. Das ist kein abstraktes Risiko, sondern eine operative Tatsache, die täglich Haftungsfragen erzeugt.
Im Großhandel treffen regelmäßig Kartellrechtsfragen auf das Tagesgeschäft: Preisabstimmungen mit Lieferanten, Gebietsschutzklauseln, Informationsaustausch über Konditionen. Die Fusionskontrolle nach §§ 35 ff. GWB greift bereits bei überschaubaren Unternehmensumsätzen — bei einem weltweiten Umsatz der beteiligten Unternehmen von mehr als 500 Mio. € kombiniert mit bestimmten Inlandsschwellen ist eine Anmeldung beim Bundeskartellamt Pflicht. Auch unterhalb dieser Schwellen bestehen Verhaltenspflichten, deren Verletzung empfindliche Sanktionen auslösen kann.
Im Einzelhandel kommen Produkthaftung, Verbraucherschutzrecht, Preisangabenverordnung, Lieferkettensorgfaltspflichtengesetz (LkSG) und datenschutzrechtliche Anforderungen der DSGVO hinzu. Bußgelder nach Art. 83 DSGVO können bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes betragen. Für einen mittelständischen Einzelhändler mit Filialnetz ist das kein theoretisches Szenario mehr.
In der Mandatspraxis sehen wir, dass viele Handelsunternehmen zwar einzelne Compliance-Maßnahmen kennen, aber kein integriertes System betreiben. Genau diese Lücke ist es, die im Sanktionsfall den Unterschied zwischen Aufsichtsbehörde und Staatsanwaltschaft markiert.
Welche Rechtsnormen bilden die Grundlage eines CMS im Handel?
Ein Compliance-Management-System ist keine gesetzlich einheitlich definierte Pflicht aus einer einzigen Norm. Es entsteht aus dem Zusammenspiel mehrerer Rechtsgebiete, die den Geschäftsführer als Normadressaten treffen.
Das Ordnungswidrigkeitengesetz (OWiG) ist der zentrale Hebel. Nach § 30 OWiG können Geldbußen gegen das Unternehmen verhängt werden, wenn Leitungspersonen eine Straftat oder Ordnungswidrigkeit begangen haben, durch die betriebliche Pflichten verletzt wurden oder die das Unternehmen bereichert hat oder bereichern sollte. Entscheidend ist: Die Aufsichtsbehörde muss nachweisen, dass die Pflichtverletzung durch gehörige Aufsicht hätte verhindert werden können — und das ist ohne CMS strukturell schwer zu widerlegen.
Ergänzend kommt § 130 OWiG ins Spiel, der die Verletzung von Aufsichtspflichten durch Unternehmensinhaber oder Leitungsorgane selbständig unter Geldbuße stellt. Die gefestigte Senatsrechtsprechung legt dabei hohe Anforderungen an die Qualität dieser Aufsicht an: Delegation ohne Monitoring, ohne klare Zuständigkeiten und ohne Schulungsnachweis genügt nicht.
Daneben sind für den Handel relevant: das GWB (Kartellrecht), das LkSG (Sorgfaltspflichten in der Lieferkette), die DSGVO (Datenschutz), das HGB (kaufmännische Buchführungspflichten) und das StGB (Bestechlichkeit, Untreue, Steuerhinterziehung). Ein belastbares CMS muss alle diese Regelungsbereiche systematisch adressieren.
Nach unserer Erfahrung unterschätzen Geschäftsführer im Groß- und Einzelhandel vor allem die Wechselwirkung zwischen OWiG-Sanktion und persönlicher strafrechtlicher Verantwortlichkeit: Wird ein Mitarbeiter wegen Bestechlichkeit verurteilt, eröffnet das automatisch eine Prüfung, ob der Geschäftsführer als Aufsichtspflichtiger nach § 130 OWiG ebenfalls haftet.
Was muss ein wirksames CMS für Handelsunternehmen konkret enthalten?
Die Wirksamkeit eines Compliance-Management-Systems bemisst sich nicht nach seiner formalen Existenz, sondern nach seiner praktischen Funktionsfähigkeit. Ein Ordner mit Richtlinien im Schrank ist kein CMS.
Sieben Elemente gelten nach dem IDW PS 980 (Prüfungsstandard für CMS-Prüfungen) und nach dem Stand der Rechtspraxis als unabdingbar:
- Compliance-Kultur: Klares Bekenntnis der Leitungsebene zu regelkonformem Verhalten, kommuniziert und vorgelebt.
- Compliance-Ziele: Konkrete Beschreibung, welche Risiken das Unternehmen durch das CMS beherrschen will — spezifisch für die Handelsbranche (Kartell, Korruption, Datenschutz, Lieferkette).
- Risikoanalyse: Systematische Identifikation und Bewertung der unternehmensindividuellen Risiken. Im Einzelhandel: Point-of-Sale-Daten, Kundenkartenprogramme, Lieferantenbeziehungen. Im Großhandel: Konditionenabsprachen, Exklusivvereinbarungen, Einkaufskooperationen.
- Compliance-Programm: Konkrete Maßnahmen je Risikobereich — interne Richtlinien, Vier-Augen-Prinzip, Zahlungsfreigaben, Lieferantenaudits.
- Compliance-Organisation: Klare Zuständigkeiten, dedizierter Compliance-Beauftragter (intern oder extern), Berichtslinie zur Geschäftsführung.
- Kommunikation und Schulung: Dokumentierte, regelmäßige Schulungen — insbesondere für Einkauf, Vertrieb, Logistik und Buchhaltung.
- Monitoring und Verbesserung: Regelmäßige interne Audits, Hinweisgebersystem (seit dem HinSchG von 2023 für viele Unternehmen ab 50 Mitarbeitern gesetzlich verpflichtend), anlassbezogene Anpassung.
Welchen dieser sieben Punkte vernachlässigen inhabergeführte Handelsbetriebe am häufigsten? In der Mandatspraxis ist es die Risikoanalyse: Sie wird einmalig erstellt und dann nicht fortgeschrieben. Das reicht nicht.
Wie haftet der Geschäftsführer persönlich, wenn das CMS versagt?
Die persönliche Haftung des Geschäftsführers ist der entscheidende Grund, warum ein CMS nicht delegierbar ist. Sie entsteht auf mehreren Ebenen gleichzeitig.
Gesellschaftsrechtlich schuldet der GmbH-Geschäftsführer nach § 43 GmbHG die Sorgfalt eines ordentlichen Kaufmanns. Verletzt er diese Pflicht durch Untätigkeit beim Aufbau eines CMS und entsteht der Gesellschaft daraus ein Schaden, haftet er persönlich auf Schadensersatz — intern gegenüber der Gesellschaft, im Insolvenzfall gegenüber dem Insolvenzverwalter. Die Verjährungsfrist für solche Ansprüche beträgt nach der Regelverjährung des BGB 3 Jahre ab Kenntnis.
Ordnungswidrigkeitenrechtlich haftet der Geschäftsführer nach § 130 OWiG persönlich, wenn er es unterlassen hat, die zur Verhinderung von Zuwiderhandlungen erforderlichen Aufsichtsmaßnahmen zu treffen. Das ist kein Fahrlässigkeitsvorwurf erster Ordnung — es ist der Vorwurf strukturellen Organisationsversagens.
Strafrechtlich kann aus unterlassenem Einschreiten eine Garantenhaftung entstehen, wenn der Geschäftsführer von einer Straftat im Betrieb wusste oder hätte wissen müssen. Die gefestigte Rechtsprechung zur sogenannten Compliance-Verantwortung des Vorstands und der Geschäftsführung ist eindeutig: Wer eine Organisation betreibt, von der Rechtsverstöße ausgehen, hat eine Pflicht zur Intervention.
Für den mittelständischen Handelsbetrieb bedeutet das konkret: Ein nicht dokumentiertes, nicht auditiertes und nicht kommuniziertes CMS ist im Ernstfall nahezu wertlos als Schutzschild.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein inhabergeführtes Großhandelsunternehmen aus der Konsumgüterbranche mit rund 120 Mitarbeitern. Ausgangslage: Im Rahmen einer Betriebsprüfung wurden Zahlungen an einen Subunternehmer beanstandet; der zuständige Einkaufsleiter stand im Verdacht der Bestechlichkeit. Eine Compliance-Dokumentation existierte nicht. Vorgehen: Zunächst wurde eine interne Untersuchung durchgeführt und der Sachverhalt gegenüber der Staatsanwaltschaft in koordinierter Form offengelegt. Parallel entwickelten wir mit dem Mandanten ein praxisorientiertes CMS-Grundgerüst, das Vier-Augen-Prinzip im Einkauf, ein internes Meldewesen und strukturierte Lieferantenprüfungen umfasste. Ergebnis: Die behördliche Würdigung des kooperativen Verhaltens und der eingeleiteten Strukturmaßnahmen führte zu einer deutlich reduzierten behördlichen Reaktion. Konkrete Beträge können und dürfen an dieser Stelle nicht beziffert werden; der qualitative Unterschied zwischen kooperativem Verhalten mit nachgewiesener Selbstkorrektur und Untätigkeit ist jedoch erheblich.
Welche branchenspezifischen Risikocluster muss ein Handels-CMS priorisieren?
Ein universelles CMS-Template ist für den Handel unzureichend. Die Risikostruktur eines Lebensmittelgroßhändlers unterscheidet sich wesentlich von der eines Elektronikhändlers mit Onlinegeschäft. Dennoch lassen sich vier Cluster benennen, die branchenübergreifend prioritär zu adressieren sind.
Erstens: Kartell- und Wettbewerbsrecht. Einkaufskooperationen, Konditionengespräche mit Lieferanten, Preisempfehlungen an Händler — all das sind kartellrechtlich sensible Bereiche. § 1 GWB verbietet Vereinbarungen, die den Wettbewerb beschränken; § 21 GWB untersagt Boykottaufrufe. Im Großhandel ist der Austausch von Preisinformationen unter Mitbewerbern eine der häufigsten Ursachen für kartellrechtliche Verfahren.
Zweitens: Korruptions- und Bestechlichkeitsprävention. Bestechlichkeit im geschäftlichen Verkehr ist nach § 299 StGB strafbar. Im Handel betrifft das besonders die Einkaufsabteilung: Lieferantenpflege, Messeeinladungen, Werbegeschenke. Eine Zuwendungsrichtlinie mit klaren Wertgrenzen und einem Genehmigungsverfahren ist zwingend.
Drittens: Datenschutz im Kundenkontakt. Kundenbindungsprogramme, Onlineshops, Cookie-Tracking, Newslettermarketing — der Einzelhandel verarbeitet massenhaft personenbezogene Daten. Datenpannen sind binnen 72 Stunden an die Datenschutzbehörde zu melden (Art. 33 DSGVO). Fehlt ein Verzeichnis der Verarbeitungstätigkeiten oder ein DSGVO-konformes Auftragsverarbeitungsmanagement, entsteht strukturell hohes Bußgeldrisiko.
Viertens: Lieferkettensorgfaltspflichten. Das LkSG verpflichtet Unternehmen ab einer bestimmten Mitarbeiterzahl zur Risikoanalyse und Sorgfalt entlang der Lieferkette. Diese Anforderungen greifen auch in die Einkaufspolitik von Handelsunternehmen hinein und sind im CMS zu operationalisieren.
Wie läuft eine anwaltlich begleitete CMS-Implementierung ab?
Die anwaltliche Begleitung eines CMS-Projekts ist keine bloße Dokumentenerstellung. Sie folgt einem strukturierten Prozess, der die Rechtsverbindlichkeit der Maßnahmen sichert und den Geschäftsführer im Ernstfall verteidigungsfähig macht.
Phase 1 — Bestandsaufnahme und rechtliche Risikoanalyse: Zunächst erheben wir gemeinsam mit der Unternehmensführung, welche internen Prozesse, Vertragswerke und Organisationsstrukturen bereits bestehen. Wir identifizieren die relevanten Rechtsnormen für das konkrete Handelsunternehmen und bewerten die Risikodichte je Bereich.
Phase 2 — Konzeption des CMS-Rahmens: Auf Basis der Risikoanalyse entwickeln wir ein schriftliches Compliance-Programm, das die sieben IDW-PS-980-Elemente operationalisiert. Das umfasst Richtlinien, Verantwortlichkeitszuweisungen und interne Meldewege.
Phase 3 — Implementierung und Schulung: Die Richtlinien werden in die operativen Prozesse eingebettet. Einkauf, Vertrieb und Geschäftsführung erhalten dokumentierte Schulungen. Das ist kein einmaliger Workshop, sondern ein wiederkehrender Zyklus.
Phase 4 — Auditierung und Fortschreibung: Regelmäßige interne Prüfungen — mindestens jährlich — stellen sicher, dass das CMS aktuell bleibt. Rechtsänderungen (neue DSGVO-Auslegungspraxis, GWB-Novellen, LkSG-Konkretisierungen) werden eingearbeitet.
Was unterscheidet eine anwaltlich begleitete Implementierung von einer reinen Unternehmensberaterlösung? Anwälte können das CMS im Sanktionsfall verteidigungsfähig machen, weil die rechtliche Würdigung von Anfang an integriert ist — nicht nachträglich eingearbeitet werden muss.
Die vorstehende Darstellung betrifft die Regelkonstellationen eines Compliance-Management-Systems im Handel. Ihr konkretes Unternehmen bringt eigene Strukturen, Vertragswerke und Risikoprofile mit, die eine individuelle Prüfung erfordern. Für eine erste Einschätzung, welche CMS-Elemente in Ihrem Betrieb prioritär sind, schreiben Sie an info@brandtfalk.com.
Selbsteinschätzung: Wann ist Ihr CMS wirklich belastbar?
Eine ehrliche Selbstprüfung ist der erste Schritt. Die folgenden Konstellationen zeigen, wann Handlungsbedarf besteht und welches Instrument jeweils greift.
Konstellation A: Das Unternehmen hat interne Richtlinien, aber keine dokumentierten Schulungen → Instrument: Schulungsprogramm mit Nachweis und Verpflichtungserklärung → Folge ohne Nachbesserung: § 130 OWiG-Haftung des Geschäftsführers bei Mitarbeiterverstößen → Empfehlung: sofortige Schulungsrunde und Dokumentation.
Konstellation B: Es existiert kein internes Meldewesen → Instrument: Hinweisgebersystem nach HinSchG → Folge ohne Umsetzung (ab 50 Mitarbeiter): gesetzlicher Verstoß und erhöhtes Entdeckungsrisiko für Fehlverhalten → Empfehlung: Implementierung eines internen Meldekanals, ggf. extern administriert.
Konstellation C: Das CMS wurde einmalig aufgebaut, seither aber nicht fortgeschrieben → Instrument: jährliches Compliance-Audit → Folge: veraltetes CMS hat vor Behörden keinen Entlastungswert → Empfehlung: strukturierter Auditkalender mit rechtlicher Begleitung.
Konstellation D: Das Unternehmen wächst durch Zukauf → Instrument: Compliance Due Diligence (rechtliche Sorgfaltsprüfung) des Zielunternehmens vor Abschluss → Folge ohne Prüfung: Übernahme von CMS-Lücken und potenziellen Altverbindlichkeiten → Empfehlung: CMS-Integration als Teil der Post-Merger-Integration.
Ist Ihr bestehendes CMS dokumentiert, auditiert und auf aktuelle Rechtslage fortgeschrieben? Wenn Sie diese Frage nicht mit Sicherheit bejahen können, besteht Handlungsbedarf.
Verwandte Leistungen
Häufige Fragen zum Compliance-Management-System im Handel
Ist ein Compliance-Management-System für mittelständische Handelsunternehmen gesetzlich vorgeschrieben?
Eine einheitliche gesetzliche Pflicht zum Aufbau eines vollständigen CMS gibt es im deutschen Recht nicht aus einer einzigen Norm. Die Verpflichtung ergibt sich jedoch aus dem Zusammenspiel von § 130 OWiG (Aufsichtspflicht), § 43 GmbHG (Sorgfaltspflicht des Geschäftsführers), dem HinSchG (Hinweisgebersystem ab 50 Mitarbeitern) und sektorspezifischen Anforderungen wie DSGVO und LkSG. Wer diese Pflichten ohne dokumentiertes System erfüllen will, trägt im Sanktionsfall die volle Beweislast für gelebte Aufsicht.
Welche Sofortmaßnahmen sind sinnvoll, wenn bisher kein CMS besteht?
Priorität haben drei Elemente: erstens eine schriftliche Risikoanalyse der drei relevantesten Compliance-Bereiche des Unternehmens (typischerweise Kartellrecht, Korruption, Datenschutz), zweitens eine dokumentierte Schulung der Führungskräfte in Einkauf und Vertrieb, drittens ein internes Meldeverfahren. Diese Grundstruktur lässt sich in überschaubarer Zeit aufbauen und begründet bereits eine nachweisbare Aufsichtsmaßnahme im Sinne des § 130 OWiG. Eine anwaltliche Begleitung stellt sicher, dass diese Maßnahmen rechtlich belastbar dokumentiert sind.
Wie wirkt sich ein bestehendes CMS im Bußgeldverfahren aus?
Ein nachweislich gelebtes CMS ist nach der gefestigten Senatsrechtsprechung und behördlicher Bußgeldpraxis ein wesentlicher Milderungsgrund. Behörden wie das Bundeskartellamt oder die Datenschutzbehörden berücksichtigen bei der Sanktionsbemessung, ob das Unternehmen strukturelle Vorsorge getroffen hat. Entscheidend ist nicht die bloße Existenz von Dokumenten, sondern der Nachweis, dass das System tatsächlich gelebt wurde — durch Schulungsnachweise, Auditberichte und dokumentierte Reaktionen auf interne Hinweise.
Was kostet die anwaltliche Begleitung eines CMS-Projekts?
Die Vergütung richtet sich nach Umfang und Komplexität des Projekts sowie nach der Unternehmensgröße. Möglich sind Pauschalhonorar, Stundenhonorar oder eine Vergütungsvereinbarung nach § 3a RVG. Für eine erste Einschätzung des zu erwartenden Aufwands stehen wir Ihnen unter info@brandtfalk.com zur Verfügung. Eine seriöse Kostenschätzung setzt die Kenntnis Ihrer Unternehmensstruktur und der bereits vorhandenen Compliance-Maßnahmen voraus.
Müssen auch kleine Handelsunternehmen mit weniger als 50 Mitarbeitern ein CMS aufbauen?
Das HinSchG sieht für Unternehmen unter 50 Mitarbeitern keine Pflicht zur Einrichtung eines internen Hinweisgebersystems vor. Die Pflichten nach § 130 OWiG, § 43 GmbHG und sektorspezifischen Normen wie der DSGVO gelten jedoch unabhängig von der Unternehmensgröße. Auch ein kleinerer Handelsbetrieb sollte mindestens eine dokumentierte Risikoanalyse, klare Zuständigkeiten und nachweisbare Schulungsmaßnahmen vorweisen können, um im Ernstfall die Erfüllung der Aufsichtspflicht glaubhaft zu machen.
Die vorstehende Darstellung betrifft die Regelfälle der Compliance-Pflichten im Handel. Ihr konkreter Fall erfordert die Prüfung Ihrer Unternehmensstruktur, bestehender Vertragswerke und der einschlägigen Fristen. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.