Ein Lieferant liefert bewusst zu gering berechnete Rechnungen, ein Vertriebsmitarbeiter gewährt einem Kunden einen nicht genehmigten Sonderrabatt, und der Steuerberater warnt vor einer drohenden Betriebsprüfung: Drei Vorgänge, die auf den ersten Blick nichts miteinander verbinden. Auf den zweiten Blick sind es drei Symptome desselben organisatorischen Defizits — eines fehlenden oder lückenhaften Compliance-Management-Systems (CMS). Für Geschäftsführer im Mittelstand ist das kein theoretisches Problem.
Ein Compliance-Management-System für den Mittelstand ist die strukturierte Gesamtheit von Grundsätzen, Verfahren und Kontrollmechanismen, mit der ein Unternehmen die Einhaltung geltender Rechtspflichten sicherstellt und dokumentiert. Auf Basis des Ordnungswidrigkeitengesetzes (OWiG) können Unternehmen und ihre Leitungsorgane mit Bußgeldern belegt werden, wenn Verstöße auf mangelnde Aufsicht zurückgehen; ein funktionierendes CMS ist das zentrale Instrument, dieses Risiko zu begrenzen. Fehlt eine solche Struktur, trifft die persönliche Haftung den Geschäftsführer direkt — unabhängig davon, ob er von dem Verstoß wusste.
Dieser Beitrag erläutert die Rechtsgrundlagen, die wesentlichen Elemente eines wirksamen Compliance-Management-Systems und die konkreten Schritte, mit denen mittelständische Unternehmen ihre Organisation aufbauen oder überprüfen lassen sollten.
Warum ist ein Compliance-Management-System für den Mittelstand rechtlich geboten?
Die Einrichtung eines CMS ist nicht ausdrücklich in einem einzelnen Gesetz vorgeschrieben; die Pflicht ergibt sich aus dem Zusammenspiel mehrerer Normen. Geschäftsführer einer GmbH sind nach dem GmbH-Gesetz (GmbHG) zur ordnungsgemäßen Führung der Gesellschaft verpflichtet. Dazu gehört die Einrichtung geeigneter Aufsichtsstrukturen — eine Anforderung, die durch das Aktiengesetz für den Vorstand besonders explizit formuliert ist und von der Rechtsprechung auf Geschäftsführer übertragen wird.
Der entscheidende Hebel für Bußgeldrisiken liegt in § 130 OWiG: Danach handelt ordnungswidrig, wer als Inhaber eines Unternehmens vorsätzlich oder fahrlässig Aufsichtsmaßnahmen unterlässt, die erforderlich wären, um einen Verstoß zu verhindern. Das Bußgeld kann bis zu 10 Mio. € betragen, und bei vorsätzlichen Verstößen durch untergeordnete Mitarbeiter tritt die Haftung des Unternehmens nach § 30 OWiG hinzu. In der Mandatspraxis sehen wir regelmäßig Fälle, in denen mittelständische Unternehmen diese Normen unterschätzt haben — erst dann, wenn die Ermittlungsbehörde auf dem Plan ist, wird das Fehlen eines dokumentierten CMS zur unmittelbaren Belastung.
Hinzu kommen sektorspezifische Anforderungen: Lieferkettensorgfaltspflichtengesetz (LkSG), Geldwäschegesetz (GwG), steuerliche Mitwirkungspflichten nach der Abgabenordnung (AO) und datenschutzrechtliche Anforderungen der DSGVO — diese Regelwerke setzen jeweils eigene Compliance-Strukturen voraus, die sich sinnvoll unter einem einheitlichen CMS bündeln lassen.
Welche konkreten Risiken drohen dem Geschäftsführer ohne strukturiertes Compliance-System?
Die persönliche Haftung des Geschäftsführers ist die drängendste Konsequenz. Wer im Sinne des OWiG die erforderliche Aufsicht unterlässt, haftet als Aufsichtspflichtverletzender — selbst wenn der eigentliche Verstoß durch einen Mitarbeiter begangen wurde. Das ist für Inhaber-Geschäftsführer im Mittelstand von besonderer Bedeutung: Die Verantwortung lässt sich nicht einfach an die nächste Hierarchieebene delegieren, ohne dass gleichzeitig Überwachungspflichten installiert und überprüft werden.
Parallel dazu stehen steuerrechtliche Folgen. Stellt eine Betriebsprüfung fest, dass ein Unternehmen keine dokumentierten internen Kontrollsysteme für steuerrelevante Prozesse hat, kann dies als Indiz für grob fahrlässige Steuerverkürzung gewertet werden. Die Festsetzungsverjährung verlängert sich bei leichtfertiger Steuerverkürzung auf fünf Jahre, bei Steuerhinterziehung auf zehn Jahre (§ 169 AO). Ein CMS, das steuerliche Kontrollprozesse nachvollziehbar dokumentiert, ist also auch ein Instrument zur Verjährungssteuerung und zur Abwehr straferschwerender Vorwürfe.
Reputationsrisiken kommen hinzu. Öffentliche Ermittlungsverfahren, auch wenn sie ohne Verurteilung enden, beschädigen das Vertrauen von Banken, Geschäftspartnern und Kunden. Für den Mittelstand, dessen Kreditlinien und Lieferantenbeziehungen häufig auf persönlichem Vertrauen aufgebaut sind, kann dies existenzbedrohend sein.
Welche Elemente muss ein wirksames Compliance-Management-System umfassen?
Ein rechtlich belastbares CMS besteht nicht aus einem Handbuch im Ordner. Es erfordert eine durchgängig gelebte Struktur, die sich an den Anforderungen der einschlägigen Normen sowie an anerkannten Standards — insbesondere dem IDW PS 980 des Instituts der Wirtschaftsprüfer — orientiert.
Zu den Kernelementen gehören:
- Compliance-Kultur (Tone from the Top): Die Unternehmensleitung bekennt sich sichtbar und dokumentiert zu regelkonformem Verhalten. Ohne dieses Bekenntnis scheitern alle weiteren Maßnahmen.
- Risikoinventur: Systematische Erfassung und Bewertung aller compliance-relevanten Risiken — von kartellrechtlichen Preisabsprachen über korruptionsbegünstigte Vertriebsstrukturen bis hin zu steuerlichen Gestaltungen mit Missbrauchspotenzial.
- Compliance-Programm: Richtlinien, Handlungsanweisungen und Prozesse, die aus der Risikoinventur abgeleitet werden. Darunter fallen Zeichnungsregelungen, Einkaufsrichtlinien, Spesen- und Geschenkregelungen sowie Whistleblower-Systeme.
- Organisation und Zuständigkeiten: Benennung eines Compliance-Beauftragten oder zumindest einer klaren Zuständigkeit innerhalb der Geschäftsführung; bei größeren Unternehmen eine Compliance-Funktion mit Berichtslinie direkt an die Geschäftsleitung.
- Kommunikation und Schulung: Regelmäßige, dokumentierte Schulungsmaßnahmen für alle Mitarbeiter in compliance-kritischen Funktionen — Vertrieb, Einkauf, Buchhaltung, Logistik.
- Monitoring und Verbesserung: Laufende Überwachung der Wirksamkeit des Systems durch interne Kontrollen, regelmäßige Audits und eine strukturierte Auswertung gemeldeter Verstöße.
- Sanktionssystem und Reaktionsplanung: Festgelegte Maßnahmen bei Verstößen — von der internen Disziplinarmaßnahme bis zur Selbstanzeige gegenüber Behörden, wenn gesetzliche Meldepflichten greifen.
Nach unserer Erfahrung beginnen mittelständische Unternehmen häufig mit der dritten Stufe — dem Compliance-Programm — ohne die Risikoinventur abgeschlossen zu haben. Das führt zu Richtlinien, die an den tatsächlichen Risiken vorbeigehen. Die Risikoinventur muss zwingend am Anfang stehen.
Wie baut man ein Compliance-Management-System im Mittelstand strukturiert auf?
Der Aufbau eines CMS folgt idealtypisch einem Phasenmodell; die Geschwindigkeit und der Ressourceneinsatz sind proportional zur Unternehmensgröße und zur Risikoexponierung zu dimensionieren.
Phase 1 — Bestandsaufnahme und Risikobewertung: Zunächst wird ermittelt, welche gesetzlichen Pflichten das Unternehmen treffen. Dabei spielen Branche, Umsatz, internationale Geschäftsbeziehungen und die Art der Geschäftspartner eine entscheidende Rolle. Das Ergebnis ist eine priorisierte Risikolandkarte.
Phase 2 — Konzeption: Aus der Risikolandkarte werden konkrete Richtlinien, Kontrollprozesse und Zuständigkeiten entwickelt. Für Unternehmen mit weniger als fünfzig Mitarbeitern genügt in der Regel ein überschaubares Set von Kernrichtlinien; komplexere Strukturen erfordern ein umfassenderes Regelwerk.
Phase 3 — Implementierung: Richtlinien werden kommuniziert, Schulungen durchgeführt, Kontrollprozesse in bestehende IT-Systeme integriert. Entscheidend ist die Dokumentation — jede Schulung, jede Kontrolle, jede Meldung muss nachweisbar sein.
Phase 4 — Laufende Überwachung und Weiterentwicklung: Das CMS ist kein statisches Dokument. Gesetzliche Änderungen — etwa durch das LkSG oder neue steuerrechtliche Anforderungen — müssen zeitnah eingearbeitet werden. Jährliche Überprüfungszyklen haben sich in der Praxis bewährt.
Welche Konstellation erfordert welche Intensität? Unternehmen mit intensivem Außenvertrieb und internationalen Geschäftspartnern → erhöhtes Korruptions- und Kartellrisiko → schwerpunktmäßig Anti-Korruptions-Programm und Kartell-Compliance. Unternehmen mit komplexen steuerlichen Strukturen → erhöhtes Risiko der Betriebsprüfung → steuerliches internes Kontrollsystem (IKS-S) als Kernelement. Unternehmen mit mehr als fünfzig Arbeitnehmern und Lieferketten außerhalb der EU → LkSG-Pflichten → Sorgfaltspflichtenprogramm zwingend.
Aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein inhabergeführtes Produktionsunternehmen aus dem verarbeitenden Gewerbe mit rund achtzig Mitarbeitern. Ausgangslage: Das Unternehmen hatte trotz intensiver Vertriebsaktivitäten in Osteuropa und Teilen Asiens keinerlei Anti-Korruptions-Richtlinien dokumentiert; Spesen wurden ohne definierten Genehmigungsprozess erstattet, Geschenke ohne Wertgrenze gewährt. Vorgehen: Die Kanzlei begleitete zunächst eine strukturierte Risikoinventur, die die kritischsten Einfallstore identifizierte. Anschließend wurden Kernrichtlinien zu Spesen, Geschenken und Interessenkonflikten entwickelt und in zwei Schulungseinheiten mit dem Vertriebsteam eingeführt. Ein schlankes internes Meldesystem ermöglicht seitdem die anonyme Erstattung von Hinweisen. Ergebnis: Das Unternehmen hat seinen Organisationspflichten nach § 130 OWiG nunmehr nachvollziehbar entsprochen und ist im Fall einer behördlichen Überprüfung in der Lage, die Wirksamkeit seiner Aufsichtsmaßnahmen zu belegen.
Welche Rolle spielen Steuerstreit und Wirtschaftsstrafrecht im Compliance-Kontext?
Compliance-Praxis und steuerrechtliche Verteidigung sind im Mittelstand enger verknüpft, als es auf den ersten Blick erscheinen mag. Eine Betriebsprüfung ist häufig der Auslöser, der Compliance-Defizite offenbart. Stellt der Prüfer Unregelmäßigkeiten fest, die über bloße Rechenfehler hinausgehen, kann das Verfahren an die Steuerfahndung abgegeben werden — und aus einer Betriebsprüfung wird ein strafrechtliches Ermittlungsverfahren.
In diesem Szenario ist die Dokumentationslage des Unternehmens entscheidend. Ein Unternehmen, das nachweisen kann, dass es ein funktionierendes CMS mit steuerlichem internem Kontrollsystem betreibt, kann im Verfahren glaubhaft darlegen, dass der Verstoß trotz angemessener Aufsicht nicht verhindert werden konnte — das ist ein wesentlicher Strafmilderungsgrund. Die Einspruchsfrist gegen Steuerbescheide beträgt einen Monat (§ 355 AO); in dieser Zeit muss die verteidigungsstrategische Entscheidung fallen, ob ein Einspruch eingelegt oder eine andere Reaktion gewählt wird.
Die Verbindung von Compliance-Beratung und steuerrechtlicher Verteidigung ist daher kein Zufall. Unternehmen, die in beide Bereiche vorausschauend investieren, sind in einer deutlich günstigeren Verhandlungsposition — sowohl gegenüber der Finanzbehörde als auch gegenüber der Staatsanwaltschaft. Lässt sich eine Pflichtverletzung trotzdem nicht vermeiden, stellt sich die Frage: Wann und wie ist eine Selbstanzeige zu prüfen? Das ist eine Entscheidung, die ausschließlich nach sorgfältiger anwaltlicher Prüfung getroffen werden darf.
Wie wirkt sich das Lieferkettensorgfaltspflichtengesetz auf das Compliance-Management aus?
Das LkSG hat seit seinem Inkrafttreten den Compliance-Aufwand für einen wachsenden Kreis mittelständischer Unternehmen erhöht. Ab einer bestimmten Unternehmensgröße — die gesetzlichen Schwellenwerte wurden schrittweise abgesenkt — sind Unternehmen verpflichtet, Sorgfaltspflichten entlang ihrer Lieferkette einzuhalten, zu dokumentieren und darüber zu berichten. Auch Unternehmen, die selbst noch nicht unmittelbar in den Anwendungsbereich fallen, werden häufig von ihren Abnehmern zur Erfüllung gleichwertiger Standards verpflichtet.
Für das CMS bedeutet das: Ein sorgfältig aufgebautes System muss die LkSG-Anforderungen als eigenen Themenblock integrieren. Risikoanalysen, Präventionsmaßnahmen, Beschwerdeverfahren und Berichtspflichten sind keine optionalen Zusätze — sie sind Pflichtbestandteile für betroffene Unternehmen. Unternehmen, die ihren Lieferanten bereits detaillierte Fragebögen zur menschenrechtlichen Sorgfalt schicken, aber selbst kein dokumentiertes CMS haben, befinden sich in einer schwer erklärbaren Widerspruchslage. In unserer Beratungspraxis empfehlen wir, LkSG-Anforderungen von Beginn an in das Gesamtsystem zu integrieren — nicht als Parallelprojekt.
Was kostet ein Compliance-Management-System, und lohnt sich die Investition?
Die Frage nach dem wirtschaftlichen Kalkül ist für Geschäftsführer im Mittelstand berechtigt. Ressourcen für Compliance binden Kapital, das andernorts eingesetzt werden könnte. Die Gegenfrage lautet: Was kostet das Fehlen eines CMS im Ernstfall?
Ein behördliches Ermittlungsverfahren nach § 30 OWiG, das aus einem vermeidbaren Organisationsmangel resultiert, belastet das Unternehmen nicht nur mit einem möglichen Bußgeld. Es bindet Management-Kapazitäten über Monate, verursacht Anwalts- und Beratungskosten, gefährdet Kreditlinien und kann Vertragsbeziehungen in Frage stellen. Die Gesamtbelastung übersteigt regelmäßig den Aufwand eines gut dimensionierten CMS erheblich.
Hinsichtlich der Vergütungsformen für die anwaltliche Begleitung kommen je nach Projektphase und Unternehmensstruktur ein Pauschalhonorar für die Konzeptionsphase, ein Stundenhonorar für die Implementierungsbegleitung oder eine Vergütungsvereinbarung nach § 3a RVG in Betracht. Die genaue Ausgestaltung richtet sich nach dem Umfang des Mandats und wird transparent vor Mandatsbeginn vereinbart.
Nach unserer Erfahrung lässt sich für viele mittelständische Unternehmen ein funktionsfähiges Basis-CMS mit überschaubarem Aufwand aufbauen, wenn die Risikoinventur präzise und die Richtlinienarchitektur schlank gehalten wird. Der häufigste Fehler ist die Überambitiosität: ein umfangreiches Regelwerk, das im Alltag nicht gelebt wird, ist schlechter als ein schlankes System, das konsequent angewendet und dokumentiert wird.
Die vorstehende Darstellung betrifft die wesentlichen Strukturfragen eines Compliance-Management-Systems. Ihr konkreter Fall erfordert die Prüfung Ihrer Unternehmensstruktur, Ihrer Risikoexponierung und der für Ihre Branche einschlägigen Normen. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Compliance-Management-System im Mittelstand
Ab welcher Unternehmensgröße ist ein Compliance-Management-System erforderlich?
Eine gesetzliche Mindestgröße, ab der ein CMS zwingend vorgeschrieben ist, existiert nicht. Die Pflicht zur Einrichtung angemessener Aufsichtsmaßnahmen ergibt sich jedoch bereits für kleinste Unternehmen aus § 130 OWiG. Je größer das Unternehmen und je komplexer seine Geschäftsbeziehungen, desto umfangreicher muss das System ausgestaltet sein. Für Unternehmen ab zehn Mitarbeitern empfehlen wir zumindest ein dokumentiertes Basis-CMS mit schriftlichen Kernrichtlinien und nachweisbaren Schulungsmaßnahmen.
Schützt ein Compliance-Management-System vor persönlicher Haftung des Geschäftsführers?
Ein wirksames und gelebtes CMS kann die persönliche Haftung des Geschäftsführers nach § 130 OWiG erheblich reduzieren. Es belegt, dass die gesetzlich geforderten Aufsichtsmaßnahmen getroffen wurden. Vollständige Haftungsfreiheit lässt sich damit allerdings nicht garantieren — entscheidend ist, dass das System tatsächlich funktioniert und nicht nur auf dem Papier existiert. Die genaue Haftungsfrage ist im Einzelfall anwaltlich zu prüfen.
Was ist der Unterschied zwischen einem Compliance-Beauftragten und einem Compliance-Management-System?
Der Compliance-Beauftragte ist eine Person oder Funktion innerhalb des Unternehmens, die für die Überwachung und Weiterentwicklung des CMS verantwortlich ist. Das Compliance-Management-System ist das übergeordnete Regelungssystem — Grundsätze, Prozesse, Richtlinien und Kontrollstrukturen — in das der Compliance-Beauftragte eingebettet ist. Ein Beauftragter ohne funktionierendes System erfüllt die rechtlichen Anforderungen nicht; umgekehrt braucht jedes System eine klare personelle Verantwortung.
Muss ein Compliance-Management-System extern zertifiziert werden?
Eine gesetzliche Zertifizierungspflicht besteht nicht. Freiwillige Prüfungen nach IDW PS 980 durch Wirtschaftsprüfer können jedoch die Glaubwürdigkeit des Systems gegenüber Behörden, Geschäftspartnern und Banken stärken. In bestimmten Branchen — etwa bei Lieferanten großer Automobilhersteller oder im öffentlichen Auftragswesen — wird eine externe Bestätigung de facto vorausgesetzt. Die genaue Frage, ob eine Zertifizierung sinnvoll ist, hängt von der Branche und der konkreten Situation ab.
Wie verhält sich das Compliance-Management-System zur Pflicht zur Arbeitszeiterfassung?
Die Arbeitszeiterfassung ist eine eigenständige gesetzliche Pflicht, die bereits auf Basis des Arbeitsschutzgesetzes und der höchstrichterlichen Rechtsprechung gilt. Ein gut strukturiertes CMS integriert diese Anforderung als eines von mehreren arbeitsrechtlichen Compliance-Elementen. Die konkrete Ausgestaltung — insbesondere im Hinblick auf geplante gesetzliche Regelungen zur elektronischen Erfassung, die zum Stand Juni 2026 noch nicht in Kraft getreten sind — ist im Einzelfall anwaltlich zu prüfen.
Welche Rolle spielt das CMS bei einer steuerlichen Betriebsprüfung?
Ein nachvollziehbar dokumentiertes steuerliches internes Kontrollsystem (IKS-S) als Bestandteil des CMS kann im Rahmen einer Betriebsprüfung als Nachweis dienen, dass das Unternehmen steuerliche Pflichten ernst nimmt. Es reduziert das Risiko, dass Fehler als grob fahrlässig oder vorsätzlich eingestuft werden — was unmittelbar auf die Festsetzungsverjährung wirkt. Die Einspruchsfrist gegen einen Steuerbescheid beträgt einen Monat; innerhalb dieser Frist muss die weitere Strategie zwingend mit einem Anwalt abgestimmt werden.
Die vorstehende Darstellung betrifft die Regelfälle der Compliance-Organisation. Ihr konkreter Sachverhalt — Unternehmensgröße, Branchenexponierung, bestehende Strukturen — erfordert eine individuelle Prüfung. Zur Klärung, wie ein Compliance-Management-System auf Ihr Unternehmen wirkt und welche Sofortmaßnahmen sinnvoll sind, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.