Ein Geschäftsführer eines mittelständischen Maschinenbauunternehmens erhält Post von der Staatsanwaltschaft. Vorwurf: unzureichende Aufsicht über einen Vertriebsmitarbeiter, der in eigenem Namen Schmiergelder an ausländische Einkäufer gezahlt haben soll. Ob die Zahlung vom Unternehmen geflossen ist oder nicht, ist für die persönliche Haftung des Geschäftsführers zunächst nachrangig. Entscheidend ist, ob das Unternehmen ein wirksames Compliance-Management-System (CMS) betrieben hat – denn daran bemisst sich, ob eine Aufsichtspflichtverletzung nach dem Ordnungswidrigkeitengesetz (OWiG) vorliegt, ob Bußgelder verhängt werden und wie hoch das persönliche Haftungsrisiko ist.
Ein Compliance-Management-System für den Mittelstand ist keine freiwillige Kür: Es reduziert nachweisbar das Risiko behördlicher Bußgelder nach dem OWiG, begrenzt die persönliche Haftung von Geschäftsführern und schützt das Unternehmen vor Reputationsschäden. Welche Anforderungen das geltende Recht stellt, welche Pflichten Geschäftsführer persönlich treffen und welche konkreten Schritte zur Einführung eines CMS erforderlich sind, analysiert dieser Beitrag systematisch.
Die nachfolgende Analyse gliedert sich in den normativen Rahmen, die konkrete Haftungssituation der Geschäftsführung, die Kernelemente eines rechtstauglichen CMS, typische Implementierungsfehler im Mittelstand, die Rolle steuerlicher Compliance und praktische Handlungsempfehlungen.
Was versteht das Recht unter einem Compliance-Management-System?
Ein Compliance-Management-System ist die organisatorische Gesamtheit aller Maßnahmen, mit denen ein Unternehmen sicherstellt, dass gesetzliche Anforderungen, behördliche Vorgaben und unternehmensinterne Regeln eingehalten werden. Eine einzige gesetzliche Definition existiert nicht. Mehrere Normkomplexe bilden jedoch zusammen einen verbindlichen Anforderungsrahmen, an dem sich mittelständische Unternehmen messen lassen müssen.
Normativer Ausgangspunkt ist zunächst das OWiG: § 130 OWiG verpflichtet den Inhaber eines Unternehmens – und damit auch den Geschäftsführer einer GmbH – zu Aufsichtsmaßnahmen, die geeignet sind, in seinem Betrieb Zuwiderhandlungen gegen Vorschriften zu verhindern, die ihn als Betriebsinhaber treffen. Eine Aufsichtspflichtverletzung kann selbst dann zum Bußgeld führen, wenn der eigentliche Verstoß durch einen Mitarbeiter begangen wurde. Hinzu tritt § 30 OWiG: Begeht eine Leitungsperson einer juristischen Person eine Straftat oder Ordnungswidrigkeit, kann gegen das Unternehmen selbst eine Geldbuße verhängt werden.
Daneben enthält das Aktiengesetz in § 91 Abs. 2 AktG für den Vorstand einer AG explizit die Pflicht, ein angemessenes Risikofrüherkennungssystem einzurichten. Obwohl eine direkte Parallelnorm für die GmbH fehlt, leitet die herrschende Meinung aus § 43 GmbHG – der Sorgfaltspflicht des Geschäftsführers – eine entsprechende Pflicht zur Einrichtung eines dem Unternehmensumfang angemessenen CMS ab. Für Unternehmen, die dem Lieferkettensorgfaltspflichtengesetz (LkSG) unterliegen, normiert § 4 LkSG ergänzend ein förmliches Risikomanagementsystem. Hinzu kommt das Hinweisgeberschutzgesetz (HinSchG), das seit 2023 für Unternehmen ab einer bestimmten Mitarbeiterzahl interne Meldestellen vorschreibt.
In der Mandatspraxis sehen wir häufig, dass mittelständische Unternehmen den normativen Rahmen unterschätzen: Sie halten einzelne gesetzliche Vorgaben isoliert ein, ohne diese in ein kohärentes System zu integrieren. Gerade diese systemische Lücke begründet im Ernstfall die Aufsichtspflichtverletzung nach § 130 OWiG.
Welche persönliche Haftung trifft den Geschäftsführer im Mittelstand?
Die Haftungsfrage ist für Geschäftsführer mittelständischer Unternehmen existenziell. Ein fehlendes oder unzureichendes CMS kann zu einer Aufsichtspflichtverletzung nach § 130 OWiG führen, die den Geschäftsführer persönlich mit Bußgeldern belastet – und darüber hinaus zivilrechtliche Schadensersatzansprüche der Gesellschaft gegen ihn begründet.
Nach § 130 OWiG wird die Aufsichtspflichtverletzung bereits dann angenommen, wenn die gebotenen Aufsichtsmaßnahmen unterlassen wurden, selbst wenn der konkrete Mitarbeiterverstoß im Ergebnis nicht zurechenbar beweisbar ist. Das Gesetz formuliert eine Gefährdungshaftung bei organisatorischem Versagen. Im Rahmen des § 30 OWiG kann gegen das Unternehmen zudem eine Geldbuße verhängt werden, die nach Maßgabe des OWiG und anknüpfend an die zugrundeliegende Strafnorm berechnet wird. In der Praxis handelt es sich regelmäßig um erhebliche Beträge, die den Geschäftsbetrieb empfindlich beeinträchtigen können.
Parallel greift die zivilrechtliche Innenhaftung: § 43 Abs. 2 GmbHG gibt der Gesellschaft einen Schadensersatzanspruch gegen den Geschäftsführer, wenn dieser seine Sorgfaltspflicht verletzt und dadurch einen Schaden verursacht hat. Unterlässt der Geschäftsführer systematisch den Aufbau eines dem Unternehmensumfang angemessenen CMS und entsteht dadurch ein Vermögensschaden – etwa durch ein Bußgeld, einen entzogenen Auftrag oder eine Betriebsunterbrechung –, kann dieser Schaden unmittelbar beim Geschäftsführer geltend gemacht werden.
Wer glaubt, die Komplexität eines CMS sei allein für Konzerne relevant, irrt. Nach unserer Erfahrung geraten gerade inhabergeführte Unternehmen mit 50 bis 500 Mitarbeitern in den Fokus der Strafverfolgungsbehörden, weil Compliance-Strukturen fehlen oder nur auf dem Papier existieren. Behörden und Gerichte messen die Angemessenheit eines CMS stets am Unternehmensumfang – kleine Unternehmen müssen kein Konzern-CMS errichten, aber ein dem Risikoprofil entsprechendes System aufweisen.
Welche Aufsichtsmaßnahmen konkret erforderlich sind, hängt von Art, Größe und Risikoprofil des Unternehmens ab. Eine inhabergeführte GmbH mit überschaubarem Produktsortiment und regionalem Vertrieb benötigt ein anderes CMS als ein international tätiges Unternehmen mit komplexen Lieferketten und öffentlichen Aufträgen. Diese Verhältnismäßigkeit schützt den Mittelstand vor Überregulierung, entbindet ihn aber nicht von der Einrichtung eines angemessenen Systems.
Kernelemente eines rechtstauglichen Compliance-Management-Systems
Ein rechtlich tragfähiges CMS für den Mittelstand besteht nicht aus einer Sammlung von Richtlinien in einem Ordner, der im Regal verstaubt. Es ist ein lebendiges, integriertes System mit mehreren aufeinander abgestimmten Elementen, die zusammen eine nachweisbare Wirkung entfalten müssen.
Das erste Kernelement ist die Risikoanalyse: Das Unternehmen muss systematisch erfassen, welchen Compliance-Risiken es ausgesetzt ist. Typische Risiken im Mittelstand umfassen Korruption im Vertrieb, kartellrechtswidriges Verhalten im Einkauf, steuerliche Pflichtverletzungen, datenschutzrechtliche Verstöße gegen die DSGVO sowie arbeitsrechtliche Verstöße im Bereich der Mindestlohnpflichten. Die Risikoanalyse ist Ausgangspunkt aller weiteren CMS-Maßnahmen und muss dokumentiert, regelmäßig aktualisiert und der Geschäftsleitung vorgelegt werden.
Das zweite Element sind Verhaltensrichtlinien und Schulungsmaßnahmen. Richtlinien zu Interessenkonflikten, Geschenken und Bewirtung, Kartellrecht und Datenschutz müssen nicht nur existieren, sondern aktiv vermittelt werden. Mitarbeiter in risikorelevanten Positionen – Vertrieb, Einkauf, Finanzen, HR – sollten in regelmäßigen Abständen geschult werden. Ungültig ist eine Richtlinie, die Mitarbeiter zwar unterzeichnen, aber nie inhaltlich kennengelernt haben.
Das dritte Element ist das interne Meldewesen. Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab einer bestimmten Mitarbeiterzahl zur Einrichtung interner Meldestellen. Unabhängig von der gesetzlichen Pflicht ist ein vertraulicher Meldekanal ein wesentlicher Baustein eines CMS: Er erlaubt es, Compliance-Verstöße frühzeitig zu erkennen, bevor externe Behörden eingeschaltet werden. In der Mandatspraxis beraten wir regelmäßig Unternehmen, die durch einen internen Hinweis erheblichen Schaden abgewendet haben.
Das vierte Element ist die Überwachung und Kontrolle: Stichprobenartige Prüfungen, interne Audits und der Abgleich mit Finanzdaten sichern die Wirksamkeit des CMS im laufenden Betrieb. Dabei empfiehlt sich eine Differenzierung zwischen routinemäßigen Kontrollen und anlassbezogenen Untersuchungen (internen Ermittlungen bei konkretem Verdacht). Das fünfte Element schließlich ist die Dokumentation: Ein CMS, das nicht dokumentiert ist, existiert im Ernstfall rechtlich nicht. Behörden und Gerichte prüfen, ob Maßnahmen nachweisbar ergriffen wurden – mündliche Anweisungen und informelle Absprachen genügen nicht.
Wo scheitert die CMS-Implementierung im Mittelstand typischerweise?
Mittelständische Unternehmen, die ein CMS einführen, begehen in der Praxis charakteristische Fehler. Deren Kenntnis hilft, bei der eigenen Implementierung dieselben Fallstricke zu vermeiden.
Der häufigste Fehler ist die Papierkomplianz: Richtlinien werden erstellt, Schulungen formal dokumentiert, ein Hinweiskanal eingerichtet – aber das System ist nicht operativ. Niemand ist verantwortlich, Meldungen werden nicht bearbeitet, Audits finden nicht statt. Im Ermittlungsverfahren lässt sich leicht nachweisen, dass das System zwar formal existierte, aber keine Wirksamkeit entfaltete. Das verschlimmert die Situation gegenüber dem vollständigen Fehlen eines CMS, weil es auf Vorsatz oder grobe Fahrlässigkeit hindeutet.
Der zweite typische Fehler ist die Konzernimitation: Manche Mittelständler kopieren Konzern-CMS-Vorlagen und überfordern damit ihre Organisation. Ein kleines produzierendes Unternehmen mit 80 Mitarbeitern benötigt keine zentralisierte Compliance-Abteilung mit eigenem Budget und Berichtslinie an den Aufsichtsrat, wohl aber eine klare Zuständigkeit, eine schlanke Risikoanalyse und ein funktionsfähiges Meldesystem.
Dritter Fehler: die fehlende Verzahnung mit der steuerlichen Compliance. Viele Unternehmen trennen ihre Compliance-Strukturen streng nach Themenfeldern. Die steuerliche Compliance wird als Aufgabe der Buchführung betrachtet, nicht als Bestandteil des übergreifenden CMS. Das ist riskant: Steuerliche Pflichtverletzungen sind nach §§ 370 ff. AO strafbewehrt, und ein Unternehmen, das kein Tax-Compliance-Management-System (Tax-CMS) betreibt, kann im Steuerstreit oder bei einer Betriebsprüfung nicht nachweisen, dass eine festgestellte Unregelmäßigkeit nicht vorsätzlich begangen wurde. Nach unserer Erfahrung ist die Verzahnung von Tax-CMS und allgemeinem CMS einer der wirkungsvollsten Hebel zur Risikominimierung im Mittelstand.
Vierter Fehler: die Vernachlässigung des Lieferkettenrisikos. Für Unternehmen, die dem LkSG unterliegen, sind Compliance-Pflichten in der Lieferkette gesetzlich normiert. Aber auch unterhalb der gesetzlichen Schwellenwerte des LkSG ist das Lieferkettenrisiko relevant – etwa im Bereich der Korruptionsprävention, wenn Vertriebspartner oder Handelsvertreter im Ausland tätig sind, oder im Arbeitsrecht, wenn Subunternehmer eingesetzt werden.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet BRANDT & FALK ein mittelständisches Pharmaunternehmen mit rund 150 Mitarbeitern. Ausgangslage: Infolge einer Betriebsprüfung stellte das Finanzamt Unregelmäßigkeiten bei der steuerlichen Behandlung von Bewirtungskosten und Repräsentationsaufwendungen fest, die ein Außendienstmitarbeiter über mehrere Jahre fehlerhaft verbucht hatte. Die Staatsanwaltschaft leitete ein Ermittlungsverfahren wegen des Verdachts der Beihilfe zur Steuerhinterziehung gegen den Kaufmännischen Leiter ein. Vorgehen: Wir analysierten die bestehenden Compliance-Strukturen des Unternehmens, führten eine interne Untersuchung durch, kooptierten die relevanten Buchhaltungsunterlagen und erarbeiteten eine strukturierte Selbstauskunft gegenüber der Behörde. Parallel wurde ein Tax-CMS implementiert, das klare Zeichnungsberechtigungen, Plausibilitätsprüfungen und eine regelmäßige interne Revision vorsah. Ergebnis: Das Ermittlungsverfahren wurde ohne Anklage eingestellt; das Unternehmen verfügte im Abschluss über ein nachweisbar wirksames CMS, das bei künftigen Prüfungen schützend wirkt.
Steuerliche Compliance als integrativer Bestandteil des CMS
Steuerliche Compliance ist kein separates Thema, sondern ein Kernbestandteil jedes vollständigen CMS. Die Finanzverwaltung hat mit dem BMF-Schreiben zum Tax-CMS einen Rahmen geschaffen, innerhalb dessen Unternehmen ihre steuerlichen Compliance-Strukturen dokumentieren und gegenüber dem Finanzamt nachweisen können. Ein anerkanntes Tax-CMS kann im Steuerstreit erhebliche Bedeutung entfalten: Es kann als Indiz gegen Vorsatz und leichtfertige Steuerverkürzung gewertet werden und damit den Tatvorwurf nach §§ 370, 378 AO abmildern oder entkräften.
Die reguläre Festsetzungsverjährung beträgt vier Jahre; bei leichtfertiger Steuerverkürzung verlängert sie sich auf fünf Jahre, bei Steuerhinterziehung auf zehn Jahre (§ 169 AO). Wer ein wirksames Tax-CMS betreibt und dokumentiert, dass Verstöße nicht vorsätzlich oder leichtfertig begangen wurden, kann im günstigsten Fall eine Einordnung in den schwereren Verjährungsrahmen vermeiden.
Zum Tax-CMS gehören im Mittelstand typischerweise: klare Zuständigkeiten für steuerliche Pflichten (Körperschaftsteuer, Gewerbesteuer, Umsatzsteuer, Lohnsteuer), ein dokumentierter Prüfprozess für Steuererklärungen und -anmeldungen, regelmäßige Schulungen für Mitarbeiter mit steuerrelevanten Aufgaben sowie eine dokumentierte Eskalationsstruktur bei unklaren steuerlichen Sachverhalten. Die Einspruchsfrist nach § 355 AO beträgt einen Monat ab Bekanntgabe des Steuerbescheids – diese Frist muss organisatorisch abgesichert sein, damit sie nicht versehentlich versäumt wird.
Rhetorisch stellt sich die Frage: Reicht es, einen guten Steuerberater zu beauftragen? Die Antwort ist nein. Ein Steuerberater kann das Tax-CMS fachlich begleiten und prüfen, aber die organisatorische Verantwortung für die steuerliche Compliance liegt beim Geschäftsführer. Dieser kann die Pflicht nicht vollständig delegieren; er muss sicherstellen, dass im Unternehmen Strukturen existieren, die eine ordnungsmäßige Erfüllung der steuerlichen Pflichten gewährleisten.
Welche regulatorischen Entwicklungen sollte der Mittelstand im Blick behalten?
Das regulatorische Umfeld für Compliance ist nicht statisch. Mehrere aktuelle und geplante Regelungsvorhaben können die Anforderungen an mittelständische CMS in den nächsten Jahren verändern.
Das Hinweisgeberschutzgesetz (HinSchG) ist 2023 in Kraft getreten. Es verpflichtet Unternehmen ab einer bestimmten Mitarbeiterzahl, interne Meldestellen einzurichten und Hinweisgebern einen gesetzlich definierten Schutz zu gewähren. Die Konformität mit dem HinSchG sollte in das bestehende CMS integriert werden, statt ein separates Meldesystem aufzubauen, das isoliert von den übrigen Compliance-Prozessen operiert.
Das Lieferkettensorgfaltspflichtengesetz (LkSG) gilt seit 2023 und erfasst ab bestimmten Schwellenwerten Unternehmen mit Sitz in Deutschland. Es normiert explizit Risikoanalyse-, Präventions- und Abhilfepflichten in Bezug auf Menschenrechts- und Umweltstandards in der Lieferkette. Mittelständische Unternehmen, die Zulieferer oder Dienstleister größerer Konzerne sind, werden durch vertragliche Weitergabeklauseln zunehmend mittelbar in den LkSG-Anwendungsbereich einbezogen, auch wenn sie die gesetzlichen Schwellenwerte selbst nicht überschreiten.
Auf europäischer Ebene tritt die Corporate Sustainability Due Diligence Directive (CSDDD) der EU schrittweise in Kraft. Sie wird die Sorgfaltspflichten in der Lieferkette erheblich ausweiten und mittelbar auch Zulieferer und Geschäftspartner großer europäischer Unternehmen treffen. Wer heute ein robustes CMS mit Lieferketten-Modul aufbaut, positioniert sich günstig für die kommenden Anforderungen.
Fragt man, ob diese regulatorischen Entwicklungen den Mittelstand überfordern, lautet die ehrliche Antwort: Sie erhöhen den Aufwand, sind aber mit angemessenen, zielgenauen Strukturen bewältigbar. Entscheidend ist, dass das CMS nicht als Selbstzweck, sondern als integrierter Bestandteil der Unternehmensführung verstanden wird.
Entscheidungsrahmen: Welches CMS-Modell ist für welchen Mittelständler geeignet?
Nicht jeder Mittelständler benötigt dasselbe CMS. Die Angemessenheit des Systems bestimmt sich nach Unternehmensgröße, Branchenrisiken, geographischer Präsenz und Unternehmensstruktur. Der folgende Entscheidungsrahmen orientiert sich an charakteristischen Konstellationen.
Konstellation A – Kleines, regional tätiges Unternehmen (unter 50 Mitarbeiter): Instrument: schlankes CMS mit dokumentierter Risikoanalyse, zwei bis drei zentralen Verhaltensrichtlinien (Korruption, Datenschutz, Arbeitsrecht), einer klar benannten Compliance-Zuständigkeit (i. d. R. Geschäftsführer selbst oder ein Prokurist) und einem einfachen, dokumentierten Meldeprozess. Frist für die Überprüfung: mindestens jährlich. Folge der Unterlassung: Bußgeldrisiko nach § 130 OWiG bei Mitarbeiterverstoß, zivilrechtliche Innenhaftung nach § 43 GmbHG.
Konstellation B – Mittelständisches Unternehmen mit internationalem Vertrieb (50–250 Mitarbeiter): Instrument: vollständiges CMS mit Risikoanalyse, Richtlinienwerk, Schulungssystem, internem Meldekanal (ggf. HinSchG-Pflicht), Tax-CMS-Modul und jährlichem internem Audit. Die Vertriebsorganisation – insbesondere internationale Handelsvertreter und Distributoren – ist einer erhöhten Kontrolle zu unterziehen. Frist: Risikoprofile sollten nach wesentlichen Unternehmensveränderungen (M&A, neue Märkte, neue Produktlinien) anlassbezogen aktualisiert werden.
Konstellation C – LkSG-pflichtige Unternehmensgruppe: Instrument: CMS mit förmlichem LkSG-Risikoanalyse-Modul, Beschwerdeverfahren nach § 8 LkSG, Lieferantenmonitoring und Vertragsklauseln zur Sicherstellung von Verhaltensstandards in der Lieferkette. Folge bei Verstoß: LkSG sieht eigene Bußgeldtatbestände vor; zudem drohen Ausschlüsse von öffentlichen Vergaben.
Welche anwaltliche Begleitung ist bei der CMS-Einführung erforderlich?
Die Einführung eines CMS ist primär eine Managementaufgabe. Gleichwohl sind anwaltliche Expertise und strukturierte anwaltliche Begleitung in mehreren Phasen nicht nur nützlich, sondern aus Sicht der Rechtssicherheit geboten.
Zunächst bei der Risikoanalyse: Eine rechtlich belastbare Risikoanalyse erfordert die Kenntnis der für das jeweilige Unternehmen einschlägigen Normkomplexe. Welche kartellrechtlichen Risiken bestehen? Welche steuerlichen Pflichten sind besonders fehleranfällig? Welche Arbeitnehmerschutzvorschriften sind in der konkreten Branche relevant? Diese Fragen beantwortet eine anwaltliche Risikoanalyse präziser als eine generische Checkliste.
Dann beim Richtlinienwerk: Compliance-Richtlinien entfalten ihre Schutzwirkung nur, wenn sie rechtlich korrekt formuliert und auf das konkrete Unternehmen zugeschnitten sind. Generische Vorlagen aus dem Internet erfüllen diese Anforderung regelmäßig nicht. Anwaltlich erstellte Richtlinien berücksichtigen die einschlägigen Normen, aktuelle Rechtsprechung und die spezifischen Risiken des Unternehmens.
Schließlich bei internen Untersuchungen: Wenn ein konkreter Compliance-Verdacht vorliegt, ist eine strukturierte interne Untersuchung unter anwaltlicher Leitung erforderlich. Diese sichert Beweismittel rechtskonform, wahrt das Anwaltsgeheimnis soweit rechtlich möglich und bereitet die Behördenkommunikation vor. Eine interne Untersuchung ohne anwaltliche Struktur riskiert Beweisverluste und kann die Verteidigungsposition des Unternehmens verschlechtern.
Die vorstehende Darstellung betrifft die Regelfälle des CMS-Rechts im Mittelstand. Ihr konkretes Unternehmen erfordert die Prüfung Ihrer spezifischen Risikokonstellation, bestehender Richtlinien und der einschlägigen Normen. Für eine erste Durchsicht Ihrer Unterlagen und eine fachliche Einschätzung Ihrer Situation erreichen Sie uns unter info@brandtfalk.com.
Handlungsempfehlung und nächste Schritte
Auf Grundlage der vorstehenden Analyse lassen sich klare Handlungsempfehlungen ableiten, die für den Mittelstand praktisch umsetzbar sind.
Als erster Schritt sollte der Geschäftsführer eine ehrliche Bestandsaufnahme vornehmen: Existiert ein CMS? Ist es dokumentiert? Ist es operativ – werden Schulungen tatsächlich durchgeführt, Meldungen tatsächlich bearbeitet, Audits tatsächlich durchgeführt? Ergibt die Bestandsaufnahme Lücken, sollte die Schließung dieser Lücken priorisiert werden, bevor weitere Aufbaumaßnahmen ergriffen werden.
Als zweiter Schritt ist eine schriftliche Risikoanalyse zu erstellen oder zu aktualisieren. Diese muss nicht umfangreich sein, aber die wesentlichen Compliance-Risiken des Unternehmens systematisch erfassen und priorisieren. Die Risikoanalyse bildet das Fundament aller nachfolgenden CMS-Maßnahmen.
Dritter Schritt: Zuständigkeiten klären. Wer ist im Unternehmen für Compliance verantwortlich? Diese Funktion muss klar benannt, mit ausreichenden Ressourcen ausgestattet und gegenüber der Geschäftsleitung berichtspflichtig sein. In kleineren Unternehmen kann dies der Geschäftsführer selbst übernehmen; ab einer gewissen Unternehmensgröße empfiehlt sich die Benennung eines Compliance-Beauftragten.
Vierter Schritt: Kritische Schnittstellen absichern. Vertrieb, Einkauf und Finanzfunktion sind im Mittelstand die statistisch risikobehaftetsten Bereiche. Spezifische Richtlinien, Schulungen und Kontrollmechanismen sollten zuerst für diese Funktionen implementiert werden.
Fünfter Schritt: CMS dokumentieren und regelmäßig überprüfen. Ein CMS, das nicht dokumentiert und regelmäßig auf Wirksamkeit überprüft wird, erfüllt seine rechtliche Schutzfunktion nicht. Jährliche interne Audits und anlassbezogene Überprüfungen bei wesentlichen Unternehmensveränderungen sind Mindeststandard.
Nach unserer Erfahrung ist der entscheidende Unterschied zwischen einem wirksamen und einem nur formalen CMS der Rückhalt der Unternehmensführung: Ein CMS, das der Geschäftsführer als eigenes Führungsinstrument versteht und aktiv kommuniziert, entfaltet eine substantiell höhere Präventionswirkung als eines, das von der Compliance-Abteilung im Hintergrund verwaltet wird.
Die vorstehende Darstellung skizziert den normativen Rahmen und typische Handlungsfelder. Ob und in welchem Umfang Ihr Unternehmen eines erweiterten oder neu strukturierten CMS bedarf, lässt sich nur auf Grundlage einer Prüfung Ihrer konkreten Situation beurteilen. Für eine erste Durchsicht Ihrer bestehenden Compliance-Dokumentation und eine rechtliche Einschätzung schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Compliance-Management-System für den Mittelstand
Ist ein Compliance-Management-System für mittelständische GmbHs gesetzlich vorgeschrieben?
Eine explizite, dem § 91 Abs. 2 AktG vergleichbare Norm fehlt für die GmbH. Die herrschende Meinung und die Behördenpraxis leiten jedoch aus § 43 GmbHG (Sorgfaltspflicht des Geschäftsführers) und § 130 OWiG eine Pflicht zur Einrichtung angemessener Aufsichtsstrukturen ab. Ein dem Unternehmensumfang entsprechendes CMS ist damit faktisch obligatorisch, will der Geschäftsführer Bußgeld- und Haftungsrisiken begrenzen. Der Umfang richtet sich nach Unternehmensgröße und Risikoprofil.
Was droht dem Geschäftsführer persönlich, wenn kein CMS besteht?
Begeht ein Mitarbeiter eine Straftat oder Ordnungswidrigkeit, die der Geschäftsführer durch hinreichende Aufsichtsmaßnahmen hätte verhindern können, droht nach § 130 OWiG ein persönliches Bußgeld. Zusätzlich kann die Gesellschaft nach § 43 Abs. 2 GmbHG Schadensersatz vom Geschäftsführer verlangen, wenn das fehlende CMS einen nachweisbaren Unternehmensschaden verursacht hat. Diese zivilrechtliche Innenhaftung kann erheblich sein.
Welche Bestandteile muss ein CMS im Mittelstand mindestens haben?
Ein rechtlich tragfähiges CMS besteht mindestens aus einer dokumentierten Risikoanalyse, relevanten Verhaltensrichtlinien, einem nachweisbaren Schulungssystem, einem internen Meldekanal und einem Kontrollmechanismus (regelmäßige Audits oder Stichproben). Alle Maßnahmen müssen schriftlich dokumentiert sein. Fehlt die Dokumentation, kann das System im Ernstfall seine rechtliche Schutzwirkung nicht entfalten.
Wie verhält sich das Tax-CMS zum allgemeinen Compliance-Management-System?
Das Tax-CMS ist ein Teilmodul des übergreifenden CMS und befasst sich speziell mit der steuerlichen Compliance. Ein anerkanntes Tax-CMS kann im Steuerstreit oder bei einer Betriebsprüfung als Indiz gegen Vorsatz und damit gegen den Tatvorwurf der Steuerhinterziehung nach § 370 AO dienen. Die Festsetzungsverjährung beträgt bei einfachen Fällen vier Jahre, bei leichtfertiger Steuerverkürzung fünf Jahre und bei Steuerhinterziehung zehn Jahre (§ 169 AO) – ein wirksames Tax-CMS kann die Einordnung in schwerere Verjährungsrahmen erschweren.
Ab welcher Unternehmensgröße muss eine interne Meldestelle nach dem HinSchG eingerichtet werden?
Das Hinweisgeberschutzgesetz (HinSchG) normiert gesonderte Schwellenwerte für die Pflicht zur Einrichtung interner Meldestellen. Die genauen Schwellenwerte hängen von der Mitarbeiterzahl des Unternehmens ab. Unabhängig von der gesetzlichen Pflicht empfiehlt sich für alle mittelständischen Unternehmen ein vertraulicher interner Meldekanal als Frühwarninstrument, da er die Erkennung von Compliance-Verstößen vor behördlicher Kenntnisnahme ermöglicht. Im Einzelfall sollte die konkrete Pflicht anwaltlich geprüft werden.
Kann ein Unternehmen die Compliance-Verantwortung vollständig an externe Berater delegieren?
Nein. Die organisatorische Verantwortung für ein wirksames CMS verbleibt beim Geschäftsführer. Externe Berater – Rechtsanwälte, Steuerberater, Compliance-Spezialisten – können den Aufbau begleiten, Risikoanalysen durchführen und Richtlinien erstellen. Die Verantwortung dafür, dass das CMS im laufenden Betrieb wirksam ist, Mitarbeiter geschult werden und Meldungen bearbeitet werden, liegt jedoch beim Geschäftsführer. Vollständige Delegation ist rechtlich nicht möglich und entlastet nicht von Aufsichtspflichten nach § 130 OWiG.
Was ist der Unterschied zwischen einer Compliance-Richtlinie und einem Compliance-Management-System?
Eine Compliance-Richtlinie ist ein Einzeldokument, das Verhaltenserwartungen in einem bestimmten Bereich (z. B. Antikorruption, Datenschutz, Kartellrecht) beschreibt. Ein Compliance-Management-System ist das übergreifende, integrierte System, das Risikoanalyse, Richtlinien, Schulungen, Meldewesen, Kontrollen und Dokumentation zusammenführt. Eine einzelne Richtlinie ersetzt kein CMS. Behörden und Gerichte beurteilen im Ernstfall das System insgesamt, nicht einzelne Dokumente.
Wie oft muss das CMS überprüft und aktualisiert werden?
Mindestens jährlich sollte eine formelle Überprüfung des CMS auf Wirksamkeit und Aktualität erfolgen. Darüber hinaus sind anlassbezogene Überprüfungen erforderlich, insbesondere bei wesentlichen Unternehmensveränderungen wie Akquisitionen, dem Eintritt in neue Märkte, der Einführung neuer Produkte oder wesentlichen Veränderungen in der Belegschaft. Gesetzliche Änderungen – etwa neue Schwellenwerte im LkSG oder Änderungen im Steuerrecht – können ebenfalls eine Aktualisierung der Risikoanalyse und der Richtlinien erforderlich machen.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.