Compliance-Management-System für den Mittelstand – Groß- und Einzelhandel: Checkliste

Ein inhabergeführtes Handelsunternehmen mit zwölf Filialen und 200 Mitarbeitenden steht vor einer Betriebsprüfung – und stellt fest, dass weder ein dokumentiertes Hinweisgebersystem noch eine Schulungshistorie für das Verkaufspersonal existieren. Was folgt, ist kein Einzelfall: Im Groß- und Einzelhandel gilt Compliance oft als Großkonzernthema. Die Ordnungswidrigkeitenpraxis der deutschen Behörden zeigt jedoch, dass inhabergeführte Handelsunternehmen zunehmend in den Fokus geraten.

Ein Compliance-Management-System für den Mittelstand im Groß- und Einzelhandel ist eine strukturierte Gesamtheit aus Regeln, Prozessen und Kontrollen, die sicherstellt, dass Unternehmen und ihre Verantwortlichen die einschlägigen gesetzlichen und unternehmensinternen Anforderungen dauerhaft einhalten. Nach dem Ordnungswidrigkeitengesetz (OWiG) haften Unternehmen für Aufsichtspflichtverletzungen, wenn Mitarbeitende Rechtsverstöße begehen und organisatorische Vorkehrungen fehlten, die diese verhindert hätten. Ein dokumentiertes Compliance-System ist daher kein freiwilliger Zusatz, sondern eine Schutzstruktur für Geschäftsführer und die Gesellschaft.

Die nachfolgende Checkliste führt Geschäftsführer im Mittelstand Schritt für Schritt durch den Aufbau eines rechtssicheren Compliance-Management-Systems – von der Risikoanalyse bis zur laufenden Dokumentation.

Warum braucht der Handel ein Compliance-Management-System?

Der Groß- und Einzelhandel ist aus Compliance-Perspektive eines der komplexesten Segmente des deutschen Mittelstands. Hier treffen arbeitsrechtliche Pflichten gegenüber Teilzeitkräften und Minijobberinnen auf steuerliche Aufzeichnungspflichten, Produktsicherheitsrecht, Lieferkettensorgfaltspflichten und – seit der jüngsten Ausbauphase des behördlichen Enforcement – ein schärfer werdendes OWiG-Sanktionsregime.

Geschäftsführer haften persönlich, wenn sie Aufsichtspflichten verletzen. Nach § 130 OWiG kann die Nichteinführung geeigneter Aufsichtsmaßnahmen als Ordnungswidrigkeit geahndet werden, die sich unmittelbar in der Geldbuße niederschlägt. Daneben droht die Einziehung wirtschaftlicher Vorteile nach § 29a OWiG – also die Abschöpfung von Gewinnen, die aus rechtswidrigen Handlungen resultieren. Für Handelsunternehmen mit Kassensystemen und Zahlungsströmen in Millionenhöhe ist dieses Instrument besonders relevant.

In der Mandatspraxis sehen wir, dass Handelsunternehmen häufig unterschätzen, wie eng Steuerrecht und Compliance zusammenhängen. Eine mangelhafte Belegorganisation oder fehlerhafte Kassenbuchführung ist nicht nur ein steuerliches Risiko – sie kann im Ernstfall den Vorwurf der leichtfertigen Steuerverkürzung begründen, für den eine verlängerte Festsetzungsverjährung von fünf Jahren gilt (§ 169 AO). Bei vorsätzlicher Steuerhinterziehung beträgt die Festsetzungsverjährung sogar zehn Jahre.

Welche organisatorischen Mindeststrukturen schützen die Geschäftsführung wirksam? Die Antwort liegt nicht im abstrakten Konzept, sondern in der gelebten, nachweisbaren Praxis.

Schritt 1: Risikoanalyse und Bestandsaufnahme

Der erste Schritt jedes funktionsfähigen Compliance-Management-Systems ist eine ehrliche, dokumentierte Bestandsaufnahme der rechtlichen Risiken im eigenen Geschäftsmodell. Ohne diese Grundlage bleibt jede weitere Maßnahme strukturlos.

Für Groß- und Einzelhandelsunternehmen umfasst die Risikolandkarte typischerweise folgende Bereiche:

• Steuerrecht und Kassenpflichten: Korrekte Kassenführung nach den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form (GoBD); Belegausgabepflicht; Kassenmanipulationsschutz (§ 146a AO).
• Arbeitsrecht: Einhaltung des gesetzlichen Mindestlohns (13,90 €/Stunde seit dem 1. Januar 2026); korrekte Erfassung von Arbeitszeiten; Minijob-Grenzen (603 €/Monat in 2026); Dokumentationspflichten für geringfügig Beschäftigte.
• Produktsicherheit und Kennzeichnungspflichten: CE-Kennzeichnung, Lebensmittelkennzeichnung, Herkunftsangaben, Verbraucherinformationspflichten.
• Lieferkettensorgfaltspflichtengesetz (LkSG): Ab bestimmten Schwellen (aktuell für Unternehmen ab 1.000 Mitarbeitenden) Pflicht zur Risikoanalyse, Sorgfaltsprozessen und Berichterstattung.
• Datenschutz (DSGVO): Kundendatenverarbeitung, Videoüberwachung in Filialen, Kundenbindungsprogramme. Bei Datenschutzverletzungen besteht eine Meldepflicht binnen 72 Stunden (Art. 33 DSGVO); Bußgelder reichen bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO).
• Wettbewerbsrecht und UWG: Preisauszeichnung, Werbepraktiken, Rabattaktionen; bei Ketten mit Marktbedeutung kartellrechtliche Fragen.
• Geldwäscheprävention (GwG): Für bestimmte Handelsunternehmen mit Barzahlungen bestehen Identifizierungspflichten bei Transaktionen ab einem gesetzlich geregelten Schwellenwert.

Nach unserer Erfahrung empfiehlt es sich, die Risikoanalyse in Workshopformat mit den Leitungskräften der relevanten Funktionsbereiche – Einkauf, Vertrieb, Personal, Rechnungswesen – durchzuführen und die Ergebnisse schriftlich zu fixieren. Das Dokument bildet später die Nachweisbasis gegenüber Behörden.

Schritt 2: Compliance-Organisation und Verantwortlichkeiten – wer trägt die Pflicht?

Eine Compliance-Struktur ist nur so belastbar wie die Klarheit der Verantwortlichkeiten. Im Mittelstand übernimmt die Geschäftsführung typischerweise die Compliance-Gesamtverantwortung; die operative Durchführung kann delegiert werden – die Letztverantwortung bleibt.

Zentrales Element ist die schriftliche Delegation. Wer eine Compliance-Funktion intern oder extern (etwa an eine Wirtschaftskanzlei oder einen Compliance-Berater) überträgt, muss die Aufgaben konkret beschreiben, den Beauftragten mit den nötigen Kompetenzen ausstatten und regelmäßige Berichtspflichten verankern. Ohne Nachweise über Delegation und Kontrolle schützt die organisatorische Maßnahme im Ernstfall nicht.

Typische Aufgaben der Compliance-Funktion im Handel umfassen:

1. Laufende Überwachung gesetzlicher Änderungen (Mindestlohn, Kassenpflichten, Datenschutz).
2. Schulung von Filialleiterinnen und -leitern sowie Kassierpersonal in einschlägigen Pflichten.
3. Bearbeitung und interne Eskalation von Hinweisen auf mögliche Verstöße.
4. Koordination mit Steuerberatern, Wirtschaftsprüfern und Rechtsanwälten bei kritischen Sachverhalten.
5. Dokumentation aller Compliance-Aktivitäten für den Nachweisfall.

Ist das Unternehmen nach dem Hinweisgeberschutzgesetz (HinSchG) verpflichtet, einen internen Meldekanal einzurichten, muss dieser ebenfalls in die Compliance-Organisation eingebettet werden. Für welche Unternehmen eine solche Pflicht gilt und wie sie ausgestaltet wird, ist im Einzelfall anwaltlich zu prüfen.

Schritt 3: Richtlinien und Verhaltenskodex – Normbasis für den Alltag

Interne Richtlinien übersetzen abstrakte gesetzliche Anforderungen in konkrete Handlungsanweisungen für das Verkaufs-, Lager- und Verwaltungspersonal. Sie sind das Herzstück des Compliance-Management-Systems und zugleich der wichtigste Entlastungsbeweis im Verfahren nach § 130 OWiG.

Für Groß- und Einzelhändler sollten folgende Richtlinien schriftlich vorliegen und regelmäßig aktualisiert werden:

• Kassenordnung: Regelung von Stornierungen, Barzahlungen, Trinkgeldern und Schichtabschlüssen; Verweis auf die technischen Anforderungen der Kassensicherungsverordnung (KassenSichV).
• Arbeitszeitdokumentation: Vorgaben zur täglichen Erfassung der Arbeitszeiten; Umgang mit Überstunden; Verantwortlichkeiten der Filialleiterinnen und -leiter. Die Pflicht zur Arbeitszeiterfassung gilt bereits auf Basis der Rechtsprechung des Bundesarbeitsgerichts (Beschluss vom 13. September 2022) und des § 3 Arbeitsschutzgesetz.
• Antikorruptionsrichtlinie: Verbot der Annahme von Zuwendungen durch Einkäufer und Leitungspersonal; Genehmigungsprozess für Geschäftsessen und Geschenke.
• Datenschutzrichtlinie: Umgang mit Kundendaten, Videoüberwachung, Kundenbindungsprogrammen, Beschäftigtendaten.
• Produktsicherheit und Warenprüfung: Eingangskontrollen, Rückrufprozesse, Verantwortlichkeiten im Reklamationsfall.
• Verhaltenskodex (Code of Conduct): Grundsatzdokument, das Werte, Regeln und Eskalationswege zusammenfasst und von allen Beschäftigten unterzeichnet wird.

Richtlinien entfalten ihre Schutzwirkung nur dann, wenn sie nachweislich kommuniziert, in Schulungen besprochen und bei Verstößen konsequent angewendet werden. Ein Dokument im Ordner genügt nicht.

Schritt 4: Schulungen und Kommunikation – Compliance sichtbar machen

Kennt das Kassenpersonal die internen Richtlinien? Wissen Filialleiterinnen und -leiter, was bei einem Verdacht auf Arbeitszeitbetrug zu tun ist? Im Ernstfall – etwa bei einer Prüfung durch die Finanzkontrolle Schwarzarbeit oder das Finanzamt – wird die Behörde diese Fragen stellen. Die Antwort muss nicht nur stimmen, sie muss auch belegbar sein.

Jede Schulungsmaßnahme ist zu dokumentieren: Datum, Teilnehmende, Inhalt, verwendete Unterlagen. Digitale Lernmanagementsysteme erleichtern diese Aufgabe, sind aber keine zwingende Voraussetzung – auch eine unterschriebene Teilnehmerliste mit Schulungsprotokoll ist beweisgeeignet.

Empfohlene Schulungsrhythmen im Handel:

• Einführungsschulung für alle neuen Beschäftigten bei Arbeitsantritt (inkl. Kassenordnung, Datenschutz, Verhaltenskodex).
• Jährliche Auffrischungsschulung für Bestandspersonal zu Kernthemen.
• Anlassbezogene Sofortschulung bei wesentlichen Rechtsänderungen (z. B. Mindestlohnanpassung, neue Kassenpflichten).
• Vertiefungsschulung für Führungspersonal zu Aufsichtspflichten, Eskalationsmanagement und persönlicher Haftung.

Nach unserer Erfahrung ist die Schulung der mittleren Führungsebene – also Filialleiterinnen, Abteilungsleiter, Lagerverantwortliche – der wirksamste Hebel. Diese Personengruppe trägt im Arbeitsalltag die meisten operativen Compliance-Entscheidungen und ist zugleich im Haftungsfall die erste Eskalationsstufe.

Schritt 5: Monitoring, interne Kontrollen und Hinweisgebersystem

Ein Compliance-Management-System ohne Kontrollmechanismen ist eine Absichtserklärung, kein Schutzsystem. Wirksame Überwachung erkennt Abweichungen frühzeitig – bevor aus einem internen Problem ein behördliches Verfahren wird.

Typische Kontrollinstrumente für Handelsunternehmen:

• Kassenprüfungen: Regelmäßige, unangekündigte Kassenreviews durch die Geschäftsführung oder eine interne Revisionsfunktion; Abgleich von Tagesabschlüssen, Stornierungsquoten und Kassendifferenzen.
• Arbeitszeitauswertungen: Auswertung von Zeiterfassungsdaten auf Plausibilität; Prüfung auf unzulässige Überschreitung von Höchstarbeitszeiten.
• Lieferantenaudits: Bei Unternehmen, die unter das LkSG fallen oder sich freiwillig zu Lieferkettensorgfalt verpflichtet haben, regelmäßige Überprüfung kritischer Lieferanten.
• Datenschutz-Audits: Jährliche Überprüfung der eingesetzten Datenverarbeitungen, Auftragsverarbeitungsverträge und technisch-organisatorischer Maßnahmen.
• Interne Meldewege (Hinweisgebersystem): Einrichtung eines niedrigschwelligen Meldekanals für Beschäftigte und – soweit rechtlich verpflichtet – Dritte; Regelung des Umgangs mit eingehenden Meldungen und Schutz vor Repressalien.

Wichtig: Kontrollhandlungen müssen protokolliert werden. Nur was dokumentiert ist, kann im Verfahren als Nachweis dienen, dass das Unternehmen seiner Aufsichtspflicht nach § 130 OWiG nachgekommen ist.

Schritt 6: Reaktion auf Verstöße – Eskalation, Dokumentation, Sanktionierung

Wie reagiert das Unternehmen, wenn ein Verstoß entdeckt wird? Diese Frage entscheidet oft darüber, ob ein internes Problem zur externen Sanktion wird. Ein konsequentes Reaktionssystem signalisiert Behörden, dass die Unternehmensführung Compliance ernst nimmt – und kann im Bußgeldverfahren strafmildernd berücksichtigt werden.

Empfohlene Eskalationsstufen:

1. Sofortreaktion: Sicherung aller relevanten Unterlagen und Daten; keine Löschung oder Vernichtung potenziell beweisrelevanter Dokumente.
2. Interne Sachverhaltsaufklärung: Befragung Betroffener unter Beachtung des Datenschutzes und der Arbeitnehmerrechte; Dokumentation der Erkenntnisse.
3. Einschaltung anwaltlicher Begleitung: Spätestens bei strafrechtlichem oder steuerrechtlichem Verdacht; das anwaltliche Mandat begründet zugleich das Zeugnisverweigerungsrecht und den Schutz privilegierter Kommunikation.
4. Entscheidung über Sanktionierung und Meldung: Disziplinarmaßnahmen gegenüber Beschäftigten; Prüfung, ob behördliche Meldungen geboten sind (z. B. Datenschutzverletzung binnen 72 Stunden an die zuständige Aufsichtsbehörde, Art. 33 DSGVO).
5. Remediation: Systemische Ursache analysieren und beheben; Richtlinien und Schulungen anpassen; Kontrollen verschärfen.

Zu beachten: Bei Verdacht auf Steuerhinterziehung im eigenen Unternehmen kann eine freiwillige Selbstanzeige nach § 371 AO unter engen Voraussetzungen Straffreiheit begründen. Die Voraussetzungen sind komplex und zeitkritisch – anwaltliche Begleitung ist hier zwingend, nicht optional.

Schritt 7: Dokumentation und laufende Pflege – das System am Leben erhalten

Ein Compliance-Management-System ist kein Projekt mit Abschlusstermin, sondern ein laufender Betrieb. Gesetzliche Anforderungen ändern sich – der Mindestlohn steigt zum 1. Januar 2027 auf 14,60 €/Stunde, neue Kassenpflichten treten schrittweise in Kraft, das Datenschutzrecht wird durch Entscheidungen der Aufsichtsbehörden weiterentwickelt. Das System muss diese Veränderungen aufnehmen.

Kernelemente der laufenden Dokumentation:

• Gepflegtes Risikoregister: mindestens jährliche Aktualisierung, anlassbezogen bei wesentlichen Rechtsänderungen.
• Schulungshistorie: vollständige Liste aller durchgeführten Schulungen mit Teilnehmenden und Inhalten.
• Kontrollprotokolle: Kassenreviews, Audits, Lieferantenprüfungen mit Datum, Prüfer und Ergebnis.
• Richtlinienänderungen: Versionshistorie jeder internen Richtlinie mit Datum der Änderung und Freigabe.
• Fallakten: Dokumentation aller gemeldeten Hinweise und der getroffenen Maßnahmen.
• Jährlicher Compliance-Bericht an die Geschäftsführung: Zusammenfassung der Aktivitäten, identifizierten Risiken und offenen Punkte.

Nach unserer Erfahrung entscheidet die Qualität der Dokumentation in behördlichen Verfahren oft mehr als die tatsächlich getroffenen Maßnahmen. Was nicht dokumentiert ist, existiert im Prüfungsfall nicht.

Die vorstehende Darstellung betrifft die Regelfälle des Compliance-Management-Systems im Groß- und Einzelhandel. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Unterlagen, der relevanten Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Compliance-Dokumentation erreichen Sie uns unter info@brandtfalk.com.

Verwandte Leistungen

• Compliance für die Automobilzulieferindustrie – Rechtslage und Gestaltungsoptionen für Zulieferer
• Compliance in der Bauwirtschaft – Aufsichtspflichten, Subunternehmer und Dokumentation
• Compliance im Groß- und Einzelhandel – Rechtslage – Vertiefende Analyse der gesetzlichen Anforderungen

Die vorstehende Checkliste stellt die wesentlichen Strukturelemente eines Compliance-Management-Systems dar. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Unterlagen, bestehender Fristen und der Entwicklung Ihrer Branche. Für eine erste Durchsicht Ihrer Compliance-Dokumentation schreiben Sie an info@brandtfalk.com.

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.

Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.