Compliance-Risiken im Unternehmen: Risikobereiche, Haftung und wirksame Maßnahmen

Die Inhalte dieses Beitrags sind nach bestem Wissen erstellt, ersetzen jedoch keine individuelle rechtliche Beratung. Für die Richtigkeit, Vollständigkeit und Aktualität der Angaben wird keine Gewähr übernommen. Für eine Bewertung Ihrer individuellen Situation wenden Sie sich bitte direkt an unsere Kanzlei.

Was sind Compliance-Risiken?

Compliance-Risiken sind die Gefahren, die einem Unternehmen und seiner Leitung drohen, wenn im Geschäftsbetrieb gesetzliche Pflichten, behördliche Auflagen oder interne Richtlinien nicht eingehalten werden. Gemeint sind nicht nur vorsätzliche Straftaten einzelner Beschäftigter. Häufig entstehen Verstöße aus unklaren Zuständigkeiten, fehlenden Prozessen oder aus Unkenntnis der Rechtslage.

Die möglichen Folgen sind erheblich:

• Geldbußen gegen das Unternehmen
• Straf- und Bußgeldverfahren gegen Verantwortliche
• Schadensersatzforderungen von Geschäftspartnern, Kunden oder der eigenen Gesellschaft
• Ausschluss von öffentlichen Vergabeverfahren (§§ 123, 124 GWB)
• Reputationsschäden gegenüber Kunden, Banken und Beschäftigten

Welche Compliance-Risiken ein Unternehmen konkret betreffen, hängt von Branche, Größe, Geschäftsmodell und internationaler Ausrichtung ab. Ein Handelsunternehmen mit hohen Barumsätzen hat ein anderes Risikoprofil als ein Zulieferer, der regelmäßig an Ausschreibungen teilnimmt.

Als Kanzlei für Compliance-Beratung unterstützen wir Unternehmen dabei, ihre individuellen Risiken zu erkennen und mit angemessenem Aufwand zu steuern. Im Folgenden erfahren Sie, welche Bereiche in der Praxis besonders relevant sind und welche Maßnahmen sich bewährt haben.

Wer haftet für Compliance-Verstöße im Unternehmen?

Compliance ist eine Leitungsaufgabe. Geschäftsführer einer GmbH haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden (§ 43 Abs. 1 GmbHG). Verletzt ein Geschäftsführer seine Pflichten, haftet er der Gesellschaft für den entstandenen Schaden. Sind mehrere Geschäftsführer verantwortlich, haften sie als Gesamtschuldner (§ 43 Abs. 2 GmbHG). Für den Vorstand einer Aktiengesellschaft gilt § 93 AktG. Börsennotierte Gesellschaften müssen zusätzlich ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einrichten (§ 91 Abs. 3 AktG).

Das LG München I hat entschieden, dass der Vorstand bei entsprechender Gefährdungslage eine auf Schadensprävention und Risikokontrolle angelegte Compliance-Organisation einrichten muss (Urteil vom 10.12.2013, 5 HK O 1387/10).

Hinzu kommt das Ordnungswidrigkeitenrecht:

• § 130 OWiG: Ordnungswidrig handelt, wer als Inhaber eines Unternehmens die erforderlichen Aufsichtsmaßnahmen unterlässt, wenn es zu einer Zuwiderhandlung kommt, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Bei juristischen Personen wird diese Aufsichtspflicht über § 9 OWiG durch die Organe wahrgenommen, also durch Geschäftsführer und Vorstände. Welche Maßnahmen erforderlich sind, richtet sich nach Größe, Struktur und konkreter Risikolage des Unternehmens. Die Geldbuße beträgt bis zu einer Million Euro, wenn die Zuwiderhandlung, die durch die Aufsicht verhindert oder wesentlich erschwert werden sollte, mit Strafe bedroht ist.
• § 30 OWiG: Gegen das Unternehmen selbst kann eine Geldbuße festgesetzt werden, bei einer vorsätzlichen Straftat einer Leitungsperson bis zu zehn Millionen Euro. Bei einer Aufsichtspflichtverletzung nach § 130 OWiG verzehnfacht sich das Höchstmaß (§ 130 Abs. 3 Satz 2 i. V. m. § 30 Abs. 2 Satz 3 OWiG).

Korruption: Wo beginnt die Strafbarkeit im geschäftlichen Verkehr?

Korruption ist nicht auf die Bestechung von Behördenmitarbeitern beschränkt. Nach § 299 StGB ist auch die Bestechung im geschäftlichen Verkehr strafbar. Das Gesetz erfasst zwei Konstellationen:

• Ein Vorteil wird als Gegenleistung für eine unlautere Bevorzugung im Wettbewerb beim Bezug von Waren oder Dienstleistungen gefordert, versprochen oder gewährt.
• Ein Vorteil wird ohne Einwilligung des Unternehmens als Gegenleistung dafür gewährt, dass ein Angestellter oder Beauftragter beim Bezug von Waren oder Dienstleistungen seine Pflichten gegenüber dem Unternehmen verletzt.

Strafbar sind sowohl der Nehmende als auch der Gebende. Es droht Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. In besonders schweren Fällen, etwa bei einem Vorteil großen Ausmaßes, sieht § 300 StGB Freiheitsstrafe von drei Monaten bis zu fünf Jahren vor. Für Vorteile an Amtsträger gelten die strengen Vorschriften der §§ 331 ff. StGB.

Typische Risikofelder in der Praxis sind Einladungen und Geschenke, Provisionen an Vermittler, Beraterverträge ohne erkennbare Gegenleistung und Sponsoring. Bewährt haben sich klare Regeln mit Wertgrenzen und Genehmigungsprozessen, eine sorgfältige Prüfung von Vertriebspartnern sowie das Vier-Augen-Prinzip bei Zahlungen.

Welche Compliance-Risiken entstehen im Datenschutz?

Nahezu jedes Unternehmen verarbeitet personenbezogene Daten von Kunden, Beschäftigten oder Geschäftspartnern. Die Datenschutz-Grundverordnung (DSGVO) verlangt nicht nur die Einhaltung der Verarbeitungsgrundsätze. Der Verantwortliche muss deren Einhaltung auch nachweisen können (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Häufige Schwachstellen sind:

• fehlende oder veraltete Verzeichnisse von Verarbeitungstätigkeiten (Art. 30 DSGVO)
• unzureichende Verträge mit Dienstleistern, die Daten im Auftrag verarbeiten (Art. 28 DSGVO)
• verspätete Meldungen von Datenpannen: Führt eine Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, ist sie der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden. Eine spätere Meldung ist zu begründen (Art. 33 Abs. 1 DSGVO).
• unzulässige Kontrolle von E-Mails und Internetnutzung der Beschäftigten

Die Sanktionen sind deutlich. Für bestimmte Verstöße sind Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres möglich, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Zusätzlich können Betroffene Ersatz materieller und immaterieller Schäden verlangen (Art. 82 DSGVO).

Geldwäsche: Welche Unternehmen treffen Pflichten nach dem GwG?

Geldwäsche nach § 261 StGB setzt voraus, dass ein Gegenstand aus einer rechtswidrigen Tat herrührt. Einen Katalog bestimmter Vortaten gibt es nicht mehr. Strafbar kann auch sein, wer leichtfertig nicht erkennt, dass ein Gegenstand aus einer solchen Tat stammt (§ 261 Abs. 6 StGB). § 261 StGB kann deshalb auch außerhalb der Finanzbranche relevant werden, wenn Beschäftigte oder Leitungspersonen mit Vermögensgegenständen aus rechtswidrigen Taten umgehen. Ob ein Unternehmen darüber hinaus konkrete Präventions-, Identifizierungs- und Meldeflichten erfüllen muss, richtet sich nach dem Geldwäschegesetz.

Das Geldwäschegesetz (GwG) verpflichtet einen weiten Kreis von Unternehmen, darunter Kredit- und Finanzinstitute, bestimmte Versicherungsunternehmen, Immobilienmakler und Güterhändler (§ 2 Abs. 1 GwG). Verpflichtete müssen unter anderem

• ein wirksames Risikomanagement mit Risikoanalyse und internen Sicherungsmaßnahmen einrichten (§§ 4 bis 6 GwG),
• ihre Vertragspartner und den wirtschaftlich Berechtigten identifizieren (§ 10 GwG),
• Verdachtsfälle unverzüglich an die Zentralstelle für Finanztransaktionsuntersuchungen melden (§ 43 GwG).

Für Händler sonstiger Güter knüpfen Risikomanagement und Sorgfaltspflichten grundsätzlich an Barzahlungen von mindestens 10.000 Euro an. Beim Handel mit Edelmetallen wie Gold, Silber und Platin gilt eine Schwelle von mindestens 2.000 Euro (§ 4 Abs. 5, § 10 Abs. 6a GwG). Die Pflicht zur Verdachtsmeldung besteht unabhängig von diesen Schwellen. Zudem muss jede GmbH und jede andere juristische Person des Privatrechts ihre wirtschaftlich Berechtigten dem Transparenzregister mitteilen (§ 20 GwG). Verstöße gegen das GwG können nach § 56 GwG mit empfindlichen Geldbußen geahndet werden.

Kartellrecht: Warum schon ein Gespräch mit Wettbewerbern riskant sein kann

§ 1 GWB und Art. 101 AEUV verbieten Vereinbarungen und abgestimmte Verhaltensweisen, die den Wettbewerb beschränken. Das betrifft nicht nur klassische Preisabsprachen oder die Aufteilung von Kunden und Gebieten. Bereits der Austausch wettbewerbssensibler Informationen, etwa über geplante Preise, Kapazitäten oder Konditionen, kann unzulässig sein. Solche Gespräche entstehen oft informell, zum Beispieel am Rande von Verbandstreffen oder Messen.

Die Sanktionen gehören zu den höchsten im Wirtschaftsrecht. Gegen Unternehmen kann das Bundeskartellamt Geldbußen von bis zu 10 Prozent des Gesamtumsatzes verhängen, den das Unternehmen in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr erzielt hat (§ 81c Abs. 2 GWB). Maßgeblich ist der weltweite Umsatz aller Gesellschaften, die als wirtschaftliche Einheit operieren (§ 81c Abs. 5 GWB). Geschädigte können zudem Schadensersatz verlangen (§ 33a GWB).

Bei Absprachen im Rahmen von Ausschreibungen droht den handelnden Personen außerdem eine Strafbarkeit nach § 298 StGB mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe.

Vorbeugend wirken regelmäßige Schulungen für Vertrieb und Einkauf, klare Regeln für Kontakte mit Wettbewerbern und die kartellrechtliche Prüfung von Vertriebsverträgen.

Was verlangt das Hinweisgeberschutzgesetz von Arbeitgebern?

Das Hinweisgeberschutzgesetz (HinSchG) gilt seit dem 2. Juli 2023. Heute müssen Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten müssen eine interne Meldestelle einrichten und betreiben (§ 12 Abs. 1 und 2 HinSchG). Die Aufgaben der Meldestelle können auch einem Dritten übertragen werden, zum Beispieel einer externen Ombudsperson (§ 14 Abs. 1 HinSchG). Die Pflicht, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen, bleibt aber beim Beschäftigungsgeber.

Für das Verfaren gelten feste Fristen. Die Meldestelle muss den Eingang einer Meldung spätestens nach sieben Tagen bestätigen und der hinweisgebenden Person innerhalb von drei Monaten nach der Eingangsbestätigung eine Rückmeldung zu den Folgemaßnahmen geben (§ 17 HinSchG). Ohne Eingangsbestätigung gilt eine Frist von drei Monaten und sieben Tagen ab Eingang. Die Identität der hinweisgebenden Person ist vertraulich zu behandeln (§ 8 HinSchG).

Besonders praxisrelevant ist das Verbot von Repressalien (§ 36 HinSchG). Erleidet eine hinweisgebende Person nach einer Meldung eine Benachteiligung, etwa eine Kündigung oder eine Versetzung, wird vermutet, dass es sich um eine Repressalie handelt. Die Person, die die Benachteiligung vorgenommen hat, muss dann beweisen, dass diese auf hinreichend gerechtfertigten Gründen beruhte. Im Arbeitsverhältnis ist das regelmäßig der Arbeitgeber.

Verstöße sind bußgeldbewehrt (§ 40 HinSchG). Wer keine interne Meldestelle einrichtet, riskiert eine Geldbuße bis zu 20.000 Euro. Für das Behindern von Meldungen oder das Ergreifen von Repressalien drohen bis zu 50.000 Euro. Gegenüber Unternehmen kann sich das Höchstmaß bei Behinderung von Meldungen, Repressalien und bestimmten Vertraulichkeitsverstößen nach § 30 Abs. 2 Satz 3 OWiG verzehnfachen (§ 40 Abs. 6 Satz 2 HinSchG). Für das bloße Nichteinrichten einer internen Meldestelle gilt diese Verzehnfachung nicht.

Wie gefährlich sind Interessenkonflikte im Geschäftsalltag?

Interessenkonflikte entstehen, wenn private Interessen von Geschäftsführern oder Beschäftigten mit den Interessen des Unternehmens kollidieren. Typische Beispieele sind Beteiligungen an Lieferanten, die Vergabe von Aufträgen an Angehörige oder Nebentätigkeiten für Wettbewerber.

Geschäftsführer unterliegen gegenüber der Gesellschaft einer Treuepflicht. Sie dürfen Geschäftschancen der Gesellschaft nicht für eigene Zwecke nutzen. Verträge, die ein Geschäftsführer im Namen der Gesellschaft mit sich selbst abschließt, sind nach § 181 BGB grundsätzlich unzulässig, wenn ihm dies nicht gestattet ist.

Die Risiken sind vielfältig:

• Schadensersatzansprüche der Gesellschaft, etwa nach § 43 Abs. 2 GmbHG
• Strafbarkeit wegen Untreue (§ 266 StGB), wenn eine Vermögensbetreuungspflicht verletzt oder eine Befugnis missbraucht wird und dem Unternehmen dadurch ein Vermögensnachteil entsteht
• Überschneidungen mit der Bestechlichkeit im geschäftlichen Verkehr nach § 299 StGB

In der Praxis helfen klare Offenlegungspflichten, Genehmigungsvorbehalte für Nebentätigkeiten und die Regel, dass befangene Personen an bestimmten Entscheidungen nicht mitwirken. Wichtig ist eine nachvollziehbare Dokumentation, damit Entscheidungen später belegbar bleiben.

Wie lassen sich Compliance-Risiken systematisch vermeiden?

Ausgangspunkt jeder wirksamen Compliance ist eine Risikoanalyse. Sie klärt, welche Rechtsverstöße im konkreten Unternehmen wahrscheinlich sind und welche Schäden sie verursachen würden. Darauf aufbauend entsteht ein Compliance-Management-System, das zur Größe und Tätigkeit des Unternehmens passt.

Bewährte Bausteine sind:

• Risikoanalyse: Bewertung der Risikobereiche nach Eintrittswahrscheinlichkeit und Schadenshöhe
• Richtlinien: Verhaltenskodex und konkrete Regeln, etwa zu Geschenken, Datenschutz und Kontakten mit Wettbewerbern
• Zuständigkeiten: Benennung eines Compliance-Verantwortlichen mit ausreichenden Befugnissen
• Schulungen: zielgruppengerechte Unterweisung der Beschäftigten in besonders exponierten Bereichen
• Hinweisgebersystem: vertrauliche Meldewege nach den Vorgaben des HinSchG
• Kontrolle und Reaktion: regelmäßige Überprüfung, Aufklärung von Hinweisen und konsequente Reaktion auf Verstöße

Ein solches System hat auch im Sanktionsfall Gewicht. Der BGH hat entschieden, dass bei der Bemessung einer Geldbuße nach § 30 OWiG berücksichtigt werden kann, ob das Unternehmen ein effizientes, auf die Vermeidung von Rechtsverstößen ausgelegtes Compliance-Management installiert hat (Urteil vom 09.05.2017, 1 StR 265/16).

Was tun, wenn ein Compliance-Verstoß bereits vorliegt?

Erhält die Geschäftsleitung Hinweise auf einen Verstoß, kommt es auf ein strukturiertes Vorgehen an. Übereilte Maßnahmen können die Aufklärung erschweren und eigene Pflichtverletzungen begründen.

Diese Schritte haben sich bewährt:

• Sachverhalt sichern: Relevante Unterlagen und Daten vor Löschung schützen, dabei den Datenschutz beachten.
• Meldepflichten prüfen: Manche Pflichten laufen sehr kurz, etwa die Meldung einer risikobehafteten Datenpanne unverzüglich und möglichst binnen 72 Stunden nach Art. 33 DSGVO oder die unverzügliche Verdachtsmeldung nach § 43 GwG.
• Arbeitsrechtliche Fristen beachten: Eine außerordentliche Kündigung muss innerhalb von zwei Wochen ab dem Zeitpunkt erklärt werden, in dem der Kündigungsberechtigte von den maßgebenden Tatsachen Kenntnis erlangt (§ 626 Abs. 2 BGB).
• Interne Untersuchung planen: Umfang, Beteiligte und die Einbindung des Betriebsrats frühzeitig klären.
• Ursachen beseitigen: Prozesse anpassen, damit sich der Verstoß nicht wiederholt.

Gerade die Verbindung von Arbeitsrecht, Gesellschaftsrecht und Compliance ist in dieser Phase entscheidend. Eine frühe anwaltliche Begleitung hilft, Haftungsrisiken für das Unternehmen und die Geschäftsleitung zu begrenzen.

Wie wir Sie bei Compliance-Risiken unterstützen

Die Kanzlei Manz berät Unternehmen seit 1997 im Arbeitsrecht, im Handels- und Gesellschaftsrecht sowie in Fragen der Compliance. Unsere Kanzleiinhaberin ist Fachanwältin für Arbeitsrecht, Fachanwältin für Handels- und Gesellschaftsrecht und zertifizierter Compliance Officer.

Wir entwickeln und implementieren Compliance-Systeme, die zur Größe Ihres Unternehmens passen, insbesondere für kleine und mittelständische Unternehmen. Dazu gehören die Risikoanalyse, die Erstellung von Richtlinien, die Einrichtung von Hinweisgebersystemen und die Begleitung bei internen Untersuchungen.

Bei grenzüberschreitenden Sachverhalten profitieren Sie von unserer internationalen Ausrichtung mit einem Standort in Istanbul. Wir beraten auf Deutsch, Englisch, Spanisch und Rumänisch. Termine sind an unseren Standorten in Frankfurt am Main und Darmstadt oder per Videokonferenz möglich.

Fazit: Compliance-Risiken erkennen, bevor sie teuer werden

Compliance-Risiken betreffen jedes Unternehmen, unabhängig von seiner Größe. Korruption, Datenschutz, Geldwäsche, Kartellrecht, Hinweisgeberschutz und Interessenkonflikte gehören zu den Bereichen, in denen Verstöße besonders hohe Bußgelder und persönliche Haftungsrisiken für die Geschäftsleitung auslösen können. Wer seine Risiken kennt und ein passendes Compliance-System etabliert, schützt das Unternehmen und die Verantwortlichen gleichermaßen.

Lassen Sie Ihre individuellen Compliance-Risiken anwaltlich prüfen. Wir besprechen mit Ihnen die nächsten Schritte. Beratungstermin vereinbaren