Ein mittelständischer Maschinenbauer erhält Post vom Bundeszentralamt für Steuern: Verdacht auf organisierte Buchführungsmängel, mögliche Einleitung eines Steuerstrafverfahrens. Der Geschäftsführer stellt fest, dass sein Unternehmen zwar ein Qualitätshandbuch besitzt, aber kein strukturiertes Regelwerk für steuerliche und ordnungsrechtliche Pflichten. Was jetzt?
Ein Compliance-Management-System (CMS) für den Mittelstand ist kein bürokratischer Überbau, sondern ein rechtlich und wirtschaftlich notwendiges Steuerungsinstrument. Nach dem Ordnungswidrigkeitengesetz (OWiG) haften Unternehmen für Pflichtverletzungen ihrer Leitungspersonen — das Bußgeldrisiko besteht unabhängig davon, ob ein CMS vorhanden war; sein Fehlen verschärft jedoch die Sanktion erheblich. Wer als Geschäftsführer ein nachweisbar funktionsfähiges CMS betreibt, kann im Verfahren auf Strafmilderung oder Verfahrenseinstellung verweisen.
Dieser Praxisleitfaden erläutert in sieben Schritten, wie inhabergeführte Unternehmen ein wirksames CMS aufbauen, dokumentieren und kontinuierlich verbessern — ohne überdimensionierten Aufwand.
Warum ist ein CMS für Mittelstandsunternehmen rechtlich geboten?
Die Pflicht zur Compliance-Organisation ergibt sich nicht aus einem einzelnen Compliance-Gesetz, sondern aus dem Zusammenspiel mehrerer Normen. Das OWiG bildet dabei das wirtschaftsrechtliche Fundament: § 130 OWiG verpflichtet Unternehmensinhaber und Geschäftsführer, die zur Verhinderung von Zuwiderhandlungen erforderlichen Aufsichtsmaßnahmen zu treffen — also Prozesse, Kontrollen und Weisungen einzurichten, die Rechtsverstöße im Betrieb verhindern. Unterlässt die Geschäftsführung dies, kann das Unternehmen selbst mit einer Geldbuße belegt werden.
Daneben wirkt § 9 OWiG: Handelt ein Beschäftigter für das Unternehmen und verwirklicht dabei einen Ordnungswidrigkeitentatbestand, trifft die Ahndung den Vertretungsberechtigten persönlich, sofern er die Aufsicht schuldhaft unterlassen hat. Die Kombination aus Unternehmens- und Organverantwortung macht eine dokumentierte Compliance-Organisation für jeden Geschäftsführer im Mittelstand unverzichtbar.
Hinzu tritt das steuerrechtliche Risiko. Steuerliche Mitwirkungspflichten (§§ 90, 93 AO) verlangen von Unternehmen, sämtliche relevanten Sachverhalte vollständig offenzulegen. Betriebsprüfer werten das Fehlen oder die mangelhafte Dokumentation interner Kontrollen regelmäßig als Indiz für ein erhöhtes Steuerrisiko — was zu Zuschätzungen, Nachzahlungszinsen und, im schlimmsten Fall, zur Einleitung eines Steuerstrafverfahrens nach §§ 369 ff. AO führen kann.
In der Mandatspraxis sehen wir immer wieder, dass mittelständische Unternehmen mit einem Jahresumsatz zwischen 20 und 150 Millionen Euro glauben, CMS-Anforderungen seien „etwas für Konzerne". Das Gegenteil ist richtig: Gerade inhabergeführte Gesellschaften, in denen Aufsicht und Geschäftsführung in einer oder wenigen Händen liegen, sind besonders exponiert.
Schritt 1: Risikoanalyse und Compliance-Landkarte
Jedes wirksame Compliance-Management beginnt mit einer strukturierten Risikoanalyse — einer systematischen Erfassung aller Bereiche, in denen das Unternehmen rechtlichen Pflichten unterliegt und in denen Verstöße wirtschaftlich oder strafrechtlich folgenreich wären. Diese Analyse bildet die Grundlage der sogenannten Compliance-Landkarte, die Risikobereiche, Verantwortliche und bestehende Kontrollmaßnahmen kartiert.
Typische Risikofelder für den produzierenden Mittelstand umfassen:
- Steuerrecht: Buchführungspflichten, Umsatzsteuer (Regelsatz 19 %), Verrechnungspreisdokumentation bei verbundenen Unternehmen
- Ordnungswidrigkeitenrecht: Aufsichtspflichten nach § 130 OWiG, Geldwäscheprävention nach GwG
- Arbeitsrecht: Arbeitszeiterfassung (nach BAG-Entscheidung vom 13.09.2022 bereits geltendes Recht), Mindestlohnpflichten (13,90 €/Stunde seit 1. Januar 2026)
- Datenschutz: DSGVO-Meldepflichten bei Datenschutzverletzungen binnen 72 Stunden (Art. 33 DSGVO)
- Kartell- und Wettbewerbsrecht: Absprachen, Informationsaustausch, Marktmachtmissbrauch
Nach unserer Erfahrung ist die Risikoanalyse der Schritt, den Unternehmen am häufigsten überspringen — oder zu abstrakt anlegen. Wirksam ist sie nur, wenn sie konkrete Geschäftsprozesse benennt, nicht bloß abstrakte Rechtsgebiete auflistet. Für die Dokumentation empfehlen wir eine strukturierte Risikomatrix, die Eintrittswahrscheinlichkeit und Schadenspotenzial je Risikofeld bewertet und priorisiert.
Schritt 2: Compliance-Programm und Richtlinien verabschieden
Auf Grundlage der Risikoanalyse wird das Compliance-Programm entwickelt. Es definiert, welche Verhaltensregeln im Unternehmen gelten, wie diese kommuniziert werden und welche Konsequenzen bei Verstößen drohen. Kern des Programms ist ein Code of Conduct (Verhaltenskodex), ergänzt durch bereichsspezifische Richtlinien — etwa zum Umgang mit Geschäftspartnern, zu Spenden und Sponsoring, zu Interessenkonflikten und zur steuerlichen Compliance.
Für den Mittelstand gilt: Weniger ist oft mehr. Ein Kodex, der in der Schublade liegt, weil er für den Betriebsalltag zu komplex ist, erfüllt seinen Zweck nicht. Entscheidend ist, dass die Richtlinien verständlich, praxisnah und für die eigene Branche zugeschnitten sind. Fragt man sich, wie detailliert ein solches Regelwerk sein muss: Die Antwort hängt vom Risikograd ab, den die Risikoanalyse ergeben hat.
Rechtlich relevant ist auch die Verabschiedung durch die Geschäftsführung selbst. Nur ein durch Beschluss der Geschäftsführung oder des Aufsichtsorgans gebilligtes Programm entfaltet im Verfahren nach OWiG entlastende Wirkung — interne E-Mails oder informelle Absprachen reichen nicht. Die Dokumentation des Entscheidungsprozesses gehört daher zwingend zur Compliance-Akte.
Schritt 3: Compliance-Funktion und Verantwortlichkeiten benennen
Wer ist im Unternehmen für Compliance zuständig? Diese Frage entscheidet in der Praxis darüber, ob ein CMS funktioniert oder nicht. Im Konzern gibt es hierfür einen Chief Compliance Officer (CCO); im Mittelstand ist eine solche Vollzeitstelle selten wirtschaftlich sinnvoll. Zulässig und gebräuchlich ist die Übertragung der Compliance-Funktion auf einen Prokuristen, den kaufmännischen Leiter oder einen der Geschäftsführer selbst — sofern die Unabhängigkeit der Funktion sichergestellt ist.
Unabhängigkeit bedeutet in diesem Kontext: Die Compliance-Funktion muss Missstände ohne Nachteile melden können, und ihre Berichte müssen dokumentiert sowie aufbewahrt werden. Auch ein externer Compliance-Beauftragter, etwa ein Rechtsanwalt oder Steuerberater, kann diese Funktion übernehmen. In der Mandatspraxis sehen wir dieses Modell häufig bei Unternehmen mit 50 bis 250 Mitarbeitern, die intern nicht die personellen Ressourcen haben.
Wichtig: Die Bestellung einer Compliance-Funktion entlastet die Geschäftsführung nicht vollständig. § 130 OWiG richtet sich an den Inhaber oder die vertretungsberechtigte Person des Unternehmens persönlich — die Delegation an einen Beauftragten mindert das Haftungsrisiko, beseitigt es aber nur dann, wenn die Aufsicht über den Beauftragten ihrerseits ordnungsgemäß dokumentiert ist.
Wie schützt ein CMS den Geschäftsführer persönlich vor Haftung?
Die persönliche Haftung des Geschäftsführers im Mittelstand ist einer der häufigsten Beratungsanlässe in unserer Praxis. Das Risiko ist real: Handelt ein Mitarbeiter pflichtwidrig und ist dem Geschäftsführer eine mangelhafte Aufsicht vorzuwerfen, kann er nach § 9 OWiG wie der Täter selbst mit Bußgeld belegt werden — und nach dem Steuerrecht persönlich für Steuerschulden des Unternehmens haften, wenn er steuerliche Pflichten vorsätzlich oder grob fahrlässig verletzt hat (§ 69 AO).
Ein funktionsfähiges CMS wirkt dabei auf zwei Ebenen schützend. Erstens präventiv: Es reduziert die Wahrscheinlichkeit, dass Verstöße überhaupt entstehen, weil Prozesse und Kontrollen eingerichtet sind. Zweitens defensiv: Im laufenden Verfahren kann der Geschäftsführer auf eine dokumentierte Compliance-Struktur verweisen und damit die vorwerfbare Aufsichtspflichtverletzung bestreiten oder mildern.
Welche Nachweise sind entscheidend? Behörden und Staatsanwaltschaften verlangen im Regelfall:
- Dokumentierten Beschluss zur Einrichtung des CMS
- Unterschriebene Empfangsbestätigungen der Mitarbeiter für den Verhaltenskodex
- Schulungsnachweise (Datum, Teilnehmer, Inhalt)
- Berichte der Compliance-Funktion an die Geschäftsführung (mit Datum und Reaktion)
- Aufzeichnungen über geprüfte Hinweise (Hinweisgebersystem) und ergriffene Maßnahmen
Ohne diese Dokumentation ist ein CMS im Verfahren nahezu wertlos — selbst wenn intern tatsächlich Kontrollen stattgefunden haben. Das bloße Behaupten genügt nicht; der Nachweis zählt.
Schritt 4: Schulungen und Kommunikation im Unternehmen
Ein Compliance-Programm entfaltet nur dann Wirkung, wenn die Mitarbeiter es kennen, verstehen und im Arbeitsalltag anwenden. Schulungen sind deshalb kein optionales Zusatzangebot, sondern integraler Bestandteil eines wirksamen CMS. Wann muss geschult werden? Mindestens bei Einführung des CMS sowie bei wesentlichen Änderungen der Rechtslage oder der Unternehmensorganisation — und für Neubeschäftigte zum Einstellungszeitpunkt.
Für den Mittelstand empfehlen sich kompakte, praxisorientierte Formate: ein zweistündiges Workshop-Format für Führungskräfte, ergänzt durch eine Online-Pflichtunterweisung für alle Mitarbeiter. Entscheidend ist die lückenlose Dokumentation der Schulungsteilnahme — Name, Funktion, Datum, Schulungsinhalt und Unterschrift bzw. digitale Bestätigung. Diese Nachweise sind im Verfahren belastbar.
Kommunikation ist darüber hinaus ein dauerhafter Prozess. Der Verhaltenskodex sollte im Intranet zugänglich sein, Compliance-Themen in Teambesprechungen wiederkehren und die Geschäftsführung durch ihr eigenes Verhalten („tone from the top") signalisieren, dass Regelverletzungen keine Toleranz finden. Gerade in Familienunternehmen, wo informelle Kultur dominiert, ist dieses Signal oft wirkungsvoller als jede schriftliche Richtlinie.
Schritt 5: Hinweisgebersystem und Reaktion auf Verstöße
Seit dem Inkrafttreten des Hinweisgeberschutzgesetzes (HinSchG) im Jahr 2023 sind Unternehmen ab einer bestimmten Mitarbeiterzahl gesetzlich verpflichtet, interne Meldestellen einzurichten. Für den Mittelstand bedeutet das: Wer mehr als 50 Beschäftigte hat, muss eine Meldestelle betreiben, über die Beschäftigte potenzielle Rechtsverstöße anonym oder vertraulich melden können — ohne Repressalien befürchten zu müssen.
Das HinSchG schützt Hinweisgeber, die in gutem Glauben melden, vor Kündigung, Versetzung und anderen Benachteiligungen. Verstöße gegen diese Schutzpflichten können mit Bußgeldern geahndet werden; zusätzlich riskiert das Unternehmen zivilrechtliche Schadensersatzansprüche des betroffenen Hinweisgebers. Die Einrichtung eines Hinweisgebersystems ist damit kein freiwilliges Zusatzinstrument, sondern für viele Mittelstandsunternehmen rechtsverbindliche Pflicht.
Eingehende Hinweise müssen innerhalb gesetzlicher Fristen bearbeitet und dokumentiert werden. Der Umgang mit einem Hinweis folgt idealerweise einem festgelegten Prozess: Eingangsbestätigung, Vorprüfung, Untersuchung, Maßnahmen und Rückmeldung an den Hinweisgeber. In der Mandatspraxis sehen wir, dass Unternehmen, die diesen Prozess vorab strukturiert haben, im Ernstfall erheblich ruhiger und geordneter reagieren als solche, die ad hoc handeln müssen.
Schritt 6: Monitoring, Prüfung und Aktualisierung des CMS
Ein einmal eingeführtes CMS verliert seinen Wert, wenn es nicht regelmäßig überprüft und an veränderte Bedingungen angepasst wird. Neue Rechtsprechung, geänderte Gesetze, Unternehmenswachstum oder der Eintritt in neue Märkte — all das verändert das Risikoprofil und erfordert eine Aktualisierung des Compliance-Programms. Fragt man, wie häufig eine Überprüfung stattfinden sollte: In der Regel mindestens einmal jährlich, darüber hinaus anlassbezogen bei wesentlichen Veränderungen.
Für die strukturierte Überprüfung empfehlen sich interne Compliance-Audits, bei denen Schlüsselprozesse stichprobenartig auf ihre Regelkonformität geprüft werden. Das Ergebnis wird schriftlich festgehalten, Mängel werden mit Fristen und Verantwortlichen für die Behebung versehen. Bei komplexen Risikobereichen — insbesondere Steuerrecht, Kartellrecht und Datenschutz — empfiehlt sich ergänzend eine externe Überprüfung durch spezialisierte Berater.
Das IDW PS 980 (Prüfungsstandard des Instituts der Wirtschaftsprüfer) definiert sieben Grundelemente eines CMS, an denen sich auch mittelständische Unternehmen orientieren können: Compliance-Kultur, Compliance-Ziele, Compliance-Organisation, Compliance-Risiken, Compliance-Programm, Compliance-Kommunikation und Compliance-Überwachung und -Verbesserung. Wer diese Elemente nachweisbar implementiert hat, kann im Verfahren auf eine international anerkannte Methodik verweisen.
Schritt 7: Dokumentation und Verteidigungsstrategie im Verfahren
Der siebte Schritt ist zugleich der strategisch wichtigste: die Vorbereitung auf den Ernstfall. Eine Betriebsprüfung, ein staatsanwaltschaftliches Ermittlungsverfahren oder eine Verbandsgeldbußenverfahren nach dem OWiG trifft Unternehmen dann besonders hart, wenn die interne Dokumentation lückenhaft ist und die erste Reaktion unkoordiniert ausfällt.
Zur Vorbereitung gehört ein schriftliches Krisenprotokoll: Wer informiert wen? Wer spricht mit Behörden? Welche Unterlagen werden gesichert und welche nicht ohne Abstimmung mit dem Anwalt herausgegeben? Dieses Protokoll ist Teil des CMS, aber es wird nur dann aufgerufen, wenn ein tatsächlicher Vorfall eingetreten ist. In der Mandatspraxis zeigt sich, dass Unternehmen mit einem solchen Protokoll in den ersten 48 Stunden nach einer Durchsuchung deutlich handlungsfähiger bleiben als solche ohne.
Die Compliance-Akte selbst — alle Beschlüsse, Richtlinien, Schulungsnachweise, Berichte, Hinweisgeberdokumentationen und Prüfungsergebnisse — sollte revisionssicher aufbewahrt werden. Empfehlenswert ist eine digitale Ablage mit Versionierung und Zugriffsprotokoll, die nachweist, wann welches Dokument in welcher Fassung vorlag. Im Verfahren zählt nicht die Aussage „wir haben das gemacht", sondern der datierte, unterschriebene Nachweis.
Mikro-Fall aus der Kanzleipraxis
In einem aktuellen Mandat beriet die Kanzlei ein familiengeführtes Handelsunternehmen aus dem Bereich technischer Großhandel mit rund 120 Mitarbeitern. Ausgangslage: Im Rahmen einer Steuerprüfung wurden Unregelmäßigkeiten bei der Verbuchung von Provisionen an ausländische Vermittler festgestellt; die Betriebsprüfer leiteten den Vorgang an die Straf- und Bußgeldsachenstelle weiter. Ein dokumentiertes CMS existierte nicht; Verhaltensrichtlinien lagen in keiner schriftlichen Form vor. Vorgehen: Die Kanzlei erstellte zunächst eine rückwirkende Risikoanalyse, um den tatsächlich gegebenen internen Kontrollstand zu rekonstruieren und für das Verfahren belastbar zu dokumentieren. Parallel wurde eine Selbstanzeige-Prüfung durchgeführt. Ergebnis: Aufgrund der nachträglich dargelegten internen Kontrollstrukturen und der kooperativen Verfahrensstrategie konnte das Verfahren in einem für das Unternehmen deutlich weniger belastenden Rahmen abgeschlossen werden — ohne die maximal mögliche Verbandsgeldbuße. Kein Erfolgsversprechen; jeder Fall ist anders.
Verwandte Leistungen
Häufige Fragen zum Compliance-Management-System im Mittelstand
Ab welcher Unternehmensgröße ist ein CMS rechtlich erforderlich?
Eine gesetzliche Pflicht zum Aufbau eines vollständigen CMS besteht nicht pauschal ab einer bestimmten Mitarbeiterzahl. Das OWiG verpflichtet jedoch jeden Unternehmensinhaber und Geschäftsführer unabhängig von der Betriebsgröße, erforderliche Aufsichtsmaßnahmen zu treffen. Ab 50 Beschäftigten kommt die Pflicht zur Einrichtung einer internen Meldestelle nach dem Hinweisgeberschutzgesetz hinzu. In der Praxis empfehlen wir auch kleineren Unternehmen eine dokumentierte Grundstruktur, sobald mehr als zehn Personen beschäftigt sind und das Risikoprofil wesentliche Steuer-, Datenschutz- oder ordnungsrechtliche Bereiche umfasst.
Was kostet ein CMS für ein mittelständisches Unternehmen?
Die Kosten hängen von Unternehmensgröße, Risikostruktur und gewähltem Umsetzungsmodell ab. Ein schlankes CMS für ein Unternehmen mit 50 bis 150 Mitarbeitern ist in der Regel als Pauschal- oder Stundenhonorarprojekt zu strukturieren; die laufende Betreuung kann auf Basis einer Vergütungsvereinbarung nach § 3a RVG vereinbart werden. Konkrete Beträge hängen vom Umfang des Mandats ab und werden im ersten Gespräch transparent besprochen — wir machen keine pauschalen Versprechungen ohne Kenntnis Ihrer Situation.
Was passiert, wenn ein CMS fehlt und ein Verstoß festgestellt wird?
Fehlt ein CMS vollständig, wird dies im Ordnungswidrigkeiten- oder Strafverfahren regelmäßig straferschwerend gewertet. Das Unternehmen kann nach § 30 OWiG mit einer Verbandsgeldbuße belegt werden; der Geschäftsführer persönlich haftet nach § 9 OWiG. Im steuerrechtlichen Bereich kann die fehlende interne Kontrolldokumentation Schätzungsbefugnisse der Behörde begründen und Nachzahlungszinsen auslösen. Ein nachträglich errichtetes CMS kann die Situation verbessern, heilt aber keine bereits abgeschlossenen Verstöße.
Kann die Compliance-Funktion extern vergeben werden?
Ja, das ist sowohl rechtlich zulässig als auch in der Praxis verbreitet. Ein externer Compliance-Beauftragter — etwa ein auf Wirtschaftsstrafrecht und Compliance spezialisierter Rechtsanwalt — kann die interne Compliance-Funktion übernehmen oder ergänzen. Voraussetzung ist eine klare schriftliche Beauftragung, die Aufgaben, Befugnisse, Berichtswege und Vertraulichkeitsregelungen festlegt. Die Letztverantwortung der Geschäftsführung für die Einrichtung ausreichender Aufsichtsmaßnahmen bleibt davon unberührt.
Wie verhält sich ein CMS zur Selbstanzeige im Steuerrecht?
CMS und steuerliche Selbstanzeige (§ 371 AO) sind zwei verschiedene Instrumente, die sich sinnvoll ergänzen. Ein funktionsfähiges CMS erhöht die Wahrscheinlichkeit, steuerliche Fehler intern frühzeitig zu erkennen, bevor sie behördlich entdeckt werden — und schafft so das Zeitfenster, in dem eine strafbefreiende Selbstanzeige noch möglich ist. Ist dieser Zeitpunkt verpasst, kann das CMS im Verfahren strafmildernd wirken. Die Prüfung, ob eine Selbstanzeige sinnvoll und rechtlich noch möglich ist, muss im Einzelfall anwaltlich bewertet werden.
Die vorstehende Darstellung betrifft die Regelfälle eines Compliance-Management-Systems im deutschen Mittelstand. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der einschlägigen Fristen und der aktuellen Rechtsprechung.
Für eine erste Durchsicht Ihrer Unterlagen und eine Einschätzung, ob Ihr bestehendes CMS den rechtlichen Anforderungen nach OWiG und Steuerrecht standhält, erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.