Ein inhabergeführtes Maschinenbauunternehmen mit 120 Mitarbeitern erhält Post von der Staatsanwaltschaft: Gegen den Geschäftsführer wird wegen Aufsichtspflichtverletzung nach dem Ordnungswidrigkeitengesetz ermittelt, weil ein Vertriebsmitarbeiter ohne Wissen der Unternehmensleitung Schmiergelder gezahlt haben soll. Das Unternehmen hatte kein dokumentiertes Compliance-Management-System. Genau diese Konstellation begegnet uns in der Mandatspraxis mit zunehmender Häufigkeit.
Ein Compliance-Management-System (CMS) ist für den Mittelstand keine freiwillige Kür, sondern ein wirksames Instrument zur Begrenzung der persönlichen Haftung von Geschäftsführern nach dem OWiG und zur Reduktion des unternehmerischen Bußgeldrisikos. Nach § 130 OWiG (Ordnungswidrigkeitengesetz zur Aufsichtspflichtverletzung) haften Leitungspersonen unmittelbar, wenn betriebliche Aufsichtsmaßnahmen fehlen und dadurch Zuwiderhandlungen ermöglicht werden. Ein strukturiertes, dokumentiertes CMS gilt in der geltenden Rechtspraxis als zentrales Entlastungsargument — vorausgesetzt, es ist gelebt, nicht nur auf dem Papier vorhanden.
Dieser Praxisleitfaden führt Sie Schritt für Schritt durch den Aufbau eines rechtssicheren Compliance-Management-Systems: von der Risikoanalyse über die Systemarchitektur bis zu Dokumentation, Schulung und laufender Überwachung.
Warum ein CMS für Geschäftsführer im Mittelstand rechtlich unverzichtbar ist
Die persönliche Haftung des Geschäftsführers ist der entscheidende Hebel, der Compliance im Mittelstand aus dem Bereich der theoretischen Unternehmenskultur in die juristische Realität überführt. Wer diese Dimension unterschätzt, riskiert Bußgelder, Regressansprüche und strafrechtliche Ermittlungen, die das Lebenswerk eines Unternehmers gefährden können.
Das OWiG kennt zwei zentrale Eingriffsnormen: § 130 OWiG sanktioniert die Verletzung der betrieblichen Aufsichtspflicht mit Geldbußen, die sich — je nach Tatvorwurf — auf erhebliche Beträge summieren können. Daneben ermöglicht § 30 OWiG die unmittelbare Verhängung einer Verbandsgeldbuße gegen das Unternehmen selbst, wenn eine Leitungsperson eine betriebsbezogene Straftat oder Ordnungswidrigkeit begangen hat. Beide Normen sind keine theoretischen Tatbestände: Sie werden von Staatsanwaltschaften und Kartellbehörden aktiv genutzt.
In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Geschäftsführer den irrtümlichen Eindruck haben, Compliance sei ein Thema für Konzerne. Das Gegenteil trifft zu. Gerade weil im Mittelstand Kontroll- und Berichtsstrukturen oft weniger formalisiert sind, besteht ein erhöhtes Aufsichtsrisiko. Behörden und Gerichte fragen nicht, ob ein Unternehmen 30 oder 30.000 Mitarbeiter hat — sie fragen, ob die vorhandene Größe und Risikolage angemessene Aufsichtsmaßnahmen erfordert hätte.
Welche Anforderungen gelten konkret für Ihr Unternehmen? Das hängt von Branche, Umsatz, Mitarbeiterzahl und dem konkreten Tätigkeitsfeld ab. Ein Exporteur, der in risikobehaftete Märkte liefert, steht vor anderen Anforderungen als ein regionaler Dienstleister. Der erste Schritt ist daher immer die Risikoanalyse.
Schritt 1: Risikoanalyse — Welche Compliance-Risiken betreffen Ihr Unternehmen?
Die Risikoanalyse ist das Fundament jedes wirksamen Compliance-Management-Systems. Ohne eine strukturierte Bestandsaufnahme der unternehmensspezifischen Risiken bleibt jedes CMS ein Organisationshandbuch ohne rechtliche Entlastungswirkung. Die höchstrichterliche Rechtsprechung sowie die einschlägigen Standards — insbesondere IDW PS 980 — verlangen eine risikoadäquate Ausgestaltung: Je höher das Risikopotenzial, desto intensiver müssen die Aufsichtsmaßnahmen sein.
Praktisch empfiehlt sich eine systematische Begehung der Risikofelder entlang der Wertschöpfungskette. Typische Cluster für den Mittelstand umfassen: Korruptions- und Bestechungsrisiken im Vertrieb, kartellrechtliche Risiken bei Preisabsprachen, steuerliche Compliance-Risiken (insbesondere Verrechnungspreise bei grenzüberschreitenden Konzernstrukturen), Datenschutzverstöße nach der DSGVO, arbeitsrechtliche Verstöße sowie Risiken im Außenwirtschaftsrecht bei Exporttätigkeit.
Für jedes identifizierte Risikofeld sind zwei Dimensionen zu bewerten: die Eintrittswahrscheinlichkeit und das potenzielle Schadensausmaß — rechtlich, finanziell und reputationsbezogen. Das Ergebnis der Risikoanalyse ist zu dokumentieren und regelmäßig zu aktualisieren, mindestens einmal jährlich oder bei wesentlichen Änderungen der Geschäftstätigkeit. Diese Dokumentation ist im Ernstfall das erste Dokument, das Staatsanwaltschaft oder Aufsichtsbehörden verlangen.
Nach unserer Erfahrung neigen Mittelstandsunternehmen dazu, Korruptionsrisiken in etablierten Geschäftsbeziehungen zu unterschätzen, weil man „die Leute kennt". Genau dort entstehen jedoch strukturelle blinde Flecken, die § 130 OWiG adressiert: Der Geschäftsführer muss gerade dort besonders hinschauen, wo persönliche Vertrauensverhältnisse formale Kontrollmechanismen ersetzen.
Schritt 2: Systemarchitektur — Wie strukturieren Sie das CMS rechtssicher?
Nach der Risikoanalyse folgt der Aufbau der eigentlichen Systemarchitektur. Ein rechtssicheres CMS besteht aus mindestens fünf Bausteinen, die aufeinander abgestimmt sein müssen: Verhaltenskodex (Code of Conduct), Richtlinienwerk, Zuständigkeiten und Verantwortlichkeiten, Hinweisgebersystem sowie ein internes Kontrollsystem (IKS).
Der Verhaltenskodex ist das sichtbare Fundament des CMS. Er formuliert verbindliche Verhaltensstandards für alle Mitarbeiter und Führungskräfte — von der Annahme von Geschenken bis zum Umgang mit Interessenkonflikten. Entscheidend ist, dass der Kodex keine Proklamation ohne Konsequenz bleibt: Er muss in den Arbeitsverträgen oder Betriebsvereinbarungen verankert sein und bei Verstößen arbeitsrechtliche Folgen nach sich ziehen.
Das Richtlinienwerk konkretisiert den Kodex für die relevanten Risikobereiche. Eine Antikorruptionsrichtlinie regelt zum Beispiel, ab welchem Wert Geschenke und Einladungen genehmigungspflichtig sind, welche Dokumentationspflichten bestehen und wer im Zweifelsfall anzusprechen ist. Das Hinweisgebersystem — im Unternehmensumfeld oft als Whistleblowing-Hotline bezeichnet — ist seit der Umsetzung der EU-Hinweisgeberrichtlinie in deutsches Recht für eine Vielzahl von Unternehmen gesetzlich vorgeschrieben; die genaue Schwelle richtet sich nach der Mitarbeiterzahl und ist im Einzelfall anwaltlich zu prüfen.
Wer ist für das CMS zuständig? Im Mittelstand sollte ein benannter Compliance-Beauftragter (oder eine entsprechend beauftragte externe Stelle) die Systemverantwortung tragen. Die Zuständigkeit des Geschäftsführers selbst bleibt davon unberührt — Delegation entbindet nicht von der Letztverantwortung, sie ist aber ein wesentliches Element der gelebten Compliance-Kultur.
Welche Dokumentationsanforderungen muss ein CMS erfüllen?
Dokumentation ist die Schnittstelle zwischen gelebter Compliance und rechtlicher Entlastungswirkung. Ein CMS, das nicht dokumentiert ist, existiert aus Sicht von Ermittlungsbehörden und Gerichten nicht. Dies klingt hart, entspricht aber der Praxis: Im Verfahren nach § 130 OWiG trägt die Unternehmensseite die faktische Darlegungslast für das Vorhandensein und die Wirksamkeit von Aufsichtsmaßnahmen.
Folgende Dokumente sollten in jedem mittelständischen CMS vorhanden und aktuell sein: der Verhaltenskodex mit Versionierungshistorie, alle Compliance-Richtlinien nebst Genehmigungsvermerken, Schulungsnachweise (Teilnehmerlisten, Präsentationsunterlagen, Testprotokolle), Risikoanalysen mit Datum und Verfasser, Protokolle der Compliance-Committees oder Jour-fixe-Termine sowie Berichte des Compliance-Beauftragten an die Geschäftsleitung.
Besonders wichtig: die schriftliche Dokumentation von Compliance-Vorfällen und deren Aufarbeitung. Wer nachweisen kann, dass ein Verstoß intern aufgedeckt, untersucht und abgestellt wurde, steht in einem späteren Verfahren grundlegend anders da als ein Unternehmen, bei dem der Vorfall extern aufgedeckt wurde und keine Reaktion folgte. In der Mandatspraxis sehen wir, wie erheblich diese Dokumentationslage den Spielraum in Bußgeldverhandlungen beeinflusst.
Für die Aufbewahrung gelten handels- und steuerrechtliche Fristen, die je nach Dokumententyp variieren; im Zweifel empfiehlt sich eine einheitliche Aufbewahrungsfrist von zehn Jahren für compliance-relevante Unterlagen — die genaue Frist ist im Einzelfall anwaltlich zu prüfen.
Schritt 3: Schulung und Kommunikation — Wie wird Compliance im Unternehmen gelebt?
Ein schriftliches Regelwerk allein erzeugt keine Compliance-Kultur. Entscheidend ist, dass Mitarbeiter die Regeln kennen, verstehen und im Alltag anwenden können. Fehlende Schulungsnachweise sind in Bußgeldverfahren nach § 130 OWiG regelmäßig ein belastendes Indiz dafür, dass die Aufsichtspflicht nicht ernsthaft wahrgenommen wurde.
Schulungen sollten risikoadäquat und zielgruppenspezifisch gestaltet sein. Vertriebsmitarbeiter, die internationale Kunden betreuen, benötigen andere Inhalte als das Buchhaltungsteam, das inländische Lieferantenbeziehungen verwaltet. Mindestens einmal jährlich sollten verpflichtende Compliance-Schulungen für alle Mitarbeiter stattfinden; bei Risikobereichen mit erhöhtem Gefährdungspotenzial empfehlen sich kürzere Intervalle.
Der Ton wird von oben gesetzt. Was in der Compliance-Literatur als „Tone from the Top" bezeichnet wird, meint schlicht: Wenn die Geschäftsführung Compliance aktiv vorlebt — bei Entscheidungen zitiert, Regeln selbst einhält und Verstöße konsequent sanktioniert —, dann sinkt die Hemmungslosigkeit auf operativer Ebene erheblich. Ein Kodex, von dem der Geschäftsführer selbst abweicht, hat keine abschreckende Wirkung.
Kommunikationskanäle für Compliance-Themen müssen niedrigschwellig sein. Wer einen Regelverstoß meldet, muss wissen, wohin er sich wenden kann — und muss darauf vertrauen können, dass die Meldung vertraulich behandelt wird. An dieser Stelle greift das Hinweisgebersystem unmittelbar in das Schulungskonzept ein: Die Existenz und Erreichbarkeit des Meldewegs muss aktiv kommuniziert werden.
Schritt 4: Internes Kontrollsystem und laufende Überwachung
Das interne Kontrollsystem (IKS) ist das operative Rückgrat des CMS. Es umfasst die Gesamtheit der Kontrollen, die sicherstellen, dass Prozesse regelkonform ablaufen und Verstöße frühzeitig erkannt werden. Im Mittelstand bedeutet das in der Regel keine aufwändige Konzernstruktur, sondern durchdachte Vier-Augen-Prinzipien, Zugriffsbeschränkungen und Plausibilitätsprüfungen in den relevanten Prozessen.
Konkrete Kontrollmaßnahmen für typische Risikofelder: Im Einkauf verhindert eine konsequente Trennung von Bestellberechtigung, Warenannahme und Zahlungsfreigabe klassische Kollusionsrisiken. Im Vertrieb begrenzen Genehmigungsvorbehalte für außergewöhnliche Rabatte oder Sonderkonditionen das Korruptionsrisiko. Im Bereich der Finanzbuchhaltung schützt die konsequente Anwendung des Vier-Augen-Prinzips bei Zahlungen oberhalb definierter Schwellen vor unberechtigten Abflüssen.
Die Wirksamkeit dieser Kontrollen ist regelmäßig zu überprüfen. Interne Revision, externe Wirtschaftsprüfer oder spezialisierte Compliance-Dienstleister können diese Überwachungsfunktion übernehmen. Der IDW PS 980 — der in der Praxis als Standard für CMS-Prüfungen herangezogen wird — unterscheidet zwischen der Angemessenheit (ist das System konzeptionell richtig aufgestellt?) und der Wirksamkeit (wird es tatsächlich gelebt?). Beide Dimensionen sollten regelmäßig geprüft werden.
Darüber hinaus muss das CMS dynamisch bleiben. Gesetzesänderungen, neue Rechtsprechung, veränderte Geschäftsmodelle oder Akquisitionen erfordern eine zeitnahe Anpassung des Systems. Was heute angemessen ist, kann nach einer Unternehmensübernahme oder dem Einstieg in einen neuen Markt unzureichend sein.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen aus dem Bereich Investitionsgüter mit rund 80 Mitarbeitern, das nach einem Wechsel in der Geschäftsführung sein bestehendes CMS grundlegend überarbeiten wollte. Ausgangslage: Das Unternehmen verfügte über einen Verhaltenskodex aus dem Jahr 2018, der nie aktualisiert worden war; Schulungen hatten seit Jahren nicht stattgefunden; ein Hinweisgebersystem existierte nicht. Vorgehen: Nach einer strukturierten Risikoanalyse, die Vertrieb, Einkauf und Logistik umfasste, wurden ein aktualisiertes Richtlinienwerk sowie ein vertrauliches digitales Meldesystem eingeführt; alle Führungskräfte durchliefen eine zweitägige Compliance-Schulung. Ergebnis: Das Unternehmen verfügt seither über ein dokumentiertes, gelebtes CMS, das die Anforderungen nach § 130 OWiG adressiert und den neuen Geschäftsführern eine klare Entlastungsgrundlage bietet — ohne dass es im Nachgang zu behördlichen Maßnahmen gekommen wäre.
Wie wirkt ein CMS als Entlastungsargument im Bußgeldverfahren?
Die zentrale Frage in jedem Bußgeldverfahren nach §§ 130, 30 OWiG lautet: Hat das Unternehmen die nach den Umständen gebotene Aufsicht eingesetzt? Ein gut dokumentiertes CMS ist das stärkste prozessuale Argument, diese Frage zugunsten des Unternehmens zu beantworten — es kann die Geldbuße erheblich reduzieren oder den Vorwurf der Aufsichtspflichtverletzung entfallen lassen.
Entscheidend ist dabei die Gesamtschau: Behörden prüfen nicht einzelne Richtlinien, sondern das Zusammenspiel aus Risikoanalyse, Regelwerk, Schulungsnachweis, Kontrollmechanismen und der Reaktion auf bekannte Vorfälle. Ein Unternehmen, das einen internen Verstoß selbst aufgedeckt, unverzüglich untersucht und konsequent abgestellt hat, wird von Verfolgungsbehörden regelmäßig anders behandelt als eines, bei dem der Vorfall extern an die Öffentlichkeit gelangt ist.
Kooperationsbereitschaft, Transparenz und die nachgewiesene Systemreaktion sind in der Praxis wesentliche Faktoren der Bußgeldbemessung. Für den Geschäftsführer persönlich kommt hinzu, dass ein funktionierendes CMS im Regressverfahren — etwa wenn Gesellschafter nach § 43 GmbHG auf Schadensersatz klagen — als Beleg organisatorischer Sorgfalt dienen kann.
Was bedeutet das für die Praxis? Ein CMS sollte nicht erst aufgebaut werden, wenn sich Behörden ankündigen. Der Aufbau im laufenden Betrieb ist möglich und sinnvoll — aber die präventive Investition ist stets günstiger als die reaktive Schadensbegrenzung nach einem Vorfall.
Die vorstehende Darstellung betrifft die Regelfälle eines Compliance-Management-Systems im Mittelstand. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Unterlagen, Ihrer spezifischen Risikolage und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer vorhandenen Compliance-Dokumentation und eine individuelle Risikoeinschätzung erreichen Sie uns unter info@brandtfalk.com.
Schritt 5: Kontinuierliche Verbesserung und externe Prüfung
Ein CMS ist kein Einmalprojekt. Die kontinuierliche Verbesserung — in der internationalen Norm ISO 37301 als „Continual Improvement" bezeichnet, sinngemäß: laufende Weiterentwicklung — ist konzeptionell ein eigener Bestandteil eines reifen Compliance-Systems. Im Mittelstand bedeutet das konkret: regelmäßige Überprüfungszyklen, klare Verantwortlichkeiten für die Systempflege und der Mut, unbequeme Prüfungsbefunde anzunehmen.
Eine externe Überprüfung des CMS durch eine Wirtschaftsprüfungsgesellschaft oder eine spezialisierte Anwaltskanzlei bietet zwei wesentliche Vorteile: Sie liefert eine unabhängige Bewertung der Systemqualität, und sie erzeugt ein Prüfungsdokument, das in einem späteren Verfahren als Entlastungsbeleg vorgelegt werden kann. Der IDW PS 980 sieht drei Prüfungsebenen vor — von der reinen Konzeptprüfung bis zur Wirksamkeitsprüfung im laufenden Betrieb. Welche Ebene für Ihr Unternehmen angemessen ist, hängt von der Größe, dem Risikoprofil und den Anforderungen etwaiger Vertragspartner oder Kreditgeber ab.
Nach unserer Erfahrung nutzen mittelständische Unternehmen, die Fremdkapitalgeber oder öffentliche Auftraggeber bedienen, externe CMS-Zertifizierungen zunehmend als wettbewerbliches Differenzierungsmerkmal: Lieferantenseitige Compliance-Anforderungen großer Konzerne machen ein dokumentiertes CMS nicht selten zur Voraussetzung für die Geschäftsbeziehung.
Verwandte Leistungen
Häufige Fragen zum Compliance-Management-System im Mittelstand
Ab welcher Unternehmensgröße ist ein CMS im Mittelstand sinnvoll?
Ein CMS ist grundsätzlich für jedes Unternehmen sinnvoll, das betriebliche Risiken in den Bereichen Korruption, Kartellrecht, Datenschutz oder Steuerrecht trägt — unabhängig von der Mitarbeiterzahl. Die Anforderungen nach § 130 OWiG gelten nicht erst ab einer bestimmten Unternehmensgröße, sondern stets dann, wenn Aufsichtspflichten bestehen. Umfang und Komplexität des CMS müssen der tatsächlichen Risikolage entsprechen; kleinere Unternehmen benötigen kein Konzern-Compliance-System, aber klare Regeln, Schulungen und Dokumentation. Die konkrete Ausgestaltung sollte anwaltlich begleitet werden.
Was droht Geschäftsführern bei fehlender Compliance-Organisation nach § 130 OWiG?
§ 130 OWiG sankioniert die Verletzung der betrieblichen Aufsichtspflicht als Ordnungswidrigkeit. Ergänzend ermöglicht § 30 OWiG die Verhängung einer Verbandsgeldbuße gegen das Unternehmen selbst. Die Höhe richtet sich nach dem Tatvorwurf und dem Unternehmensumsatz; bei schwerwiegenden Verstößen können die Beträge erheblich sein. Hinzu treten zivilrechtliche Regressansprüche der Gesellschaft gegen den Geschäftsführer sowie strafrechtliche Ermittlungsrisiken bei deliktischen Handlungen. Die genauen Konsequenzen sind stets im Einzelfall zu prüfen.
Muss ein mittelständisches Unternehmen ein Hinweisgebersystem einrichten?
Seit der Umsetzung der EU-Hinweisgeberrichtlinie in deutsches Recht (Hinweisgeberschutzgesetz) sind Unternehmen ab einer bestimmten Mitarbeiterzahl zur Einrichtung interner Meldekanäle verpflichtet. Ob und in welcher Form diese Pflicht Ihr Unternehmen trifft, hängt von der konkreten Mitarbeiterzahl und Unternehmensstruktur ab. Ein fehlendes Hinweisgebersystem kann Bußgeldrisiken begründen und ist zugleich ein strukturelles Defizit im Rahmen von § 130 OWiG. Die Einrichtung sollte anwaltlich begleitet werden, um Vertraulichkeit und Verfahrensanforderungen korrekt abzubilden.
Wie häufig muss ein CMS aktualisiert werden?
Die Risikoanalyse als Kern des CMS sollte mindestens einmal jährlich sowie bei wesentlichen Änderungen der Geschäftstätigkeit — Akquisitionen, neue Märkte, Personalwechsel in Schlüsselpositionen — aktualisiert werden. Richtlinien sind anlassbezogen zu überarbeiten, wenn Gesetzesänderungen oder neue Rechtsprechung dies erfordern. Schulungsnachweise sollten mindestens einmal jährlich erneuert werden. Die Systemüberwachung ist eine Daueraufgabe; externe Prüfungen empfehlen sich in ein- bis dreijährigem Rhythmus, je nach Risikolage.
Kann ein CMS im Bußgeldverfahren die Geldbuße tatsächlich reduzieren?
Ein dokumentiertes, gelebtes CMS ist nach der Rechtspraxis ein anerkanntes Entlastungsargument in Verfahren nach §§ 130, 30 OWiG. Behörden berücksichtigen das Vorhandensein wirksamer Aufsichtsmaßnahmen bei der Bußgeldbemessung. Entscheidend ist dabei nicht das bloße Vorhandensein von Richtlinien, sondern die nachweisliche Implementierung, Schulung und Systemreaktion auf Vorfälle. Eine Garantie für eine bestimmte Bußgeldreduktion gibt es nicht; die Auswirkungen hängen vom Einzelfall, der Schwere des Vorwurfs und der Qualität des CMS ab.
Die vorstehende Darstellung betrifft die Regelfälle der Compliance-Systemgestaltung im Mittelstand. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, bestehender Richtlinien, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer vorhandenen Compliance-Dokumentation wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.