Compliance-Management-Systeme

Das Compliance-Management-System im deutschen Recht

Ein Compliance-Management-System umfasst die Richtlinien, Prozesse, Zuständigkeiten und Kontrollen, mit denen ein Unternehmen sicherstellt, dass es selbst, seine Leitungspersonen und seine Beschäftigten das Recht einhalten. Das deutsche Recht schreibt nur selten ausdrücklich vor, dass ein Unternehmen ein Compliance-Management-System (CMS) haben muss, doch mehrere Gesetze machen es in der Praxis erforderlich. Der Inhaber eines Betriebs und seine Leitungspersonen handeln ordnungswidrig, wenn sie die Aufsichtsmaßnahmen unterlassen, die erforderlich sind, um Zuwiderhandlungen gegen betriebsbezogene Pflichten zu verhindern (§ 130 OWiG), und gegen das Unternehmen selbst kann eine Geldbuße festgesetzt werden, wenn eine Leitungsperson eine Tat mit Bezug zu seinem Geschäft begeht (§ 30 OWiG).

Das Gesellschaftsrecht verstärkt dies. Der Vorstand einer Aktiengesellschaft hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden, und der Vorstand einer börsennotierten Gesellschaft hat zudem ein im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten (§ 91 Abs. 2, 3 AktG).

Geschäftsführer einer GmbH haben aufgrund ihrer allgemeinen Sorgfaltspflicht vergleichbare Organisationspflichten, und Aufsichtsräte müssen überwachen, ob die Geschäftsleitung diese erfüllt hat. Gerichte haben Organmitglieder persönlich haften lassen, weil sie keine angemessene Compliance-Organisation eingerichtet hatten. Für Organmitglieder ist ein funktionierendes CMS deshalb auch ein Instrument des Selbstschutzes.

Ein CMS ist daher keine freiwillige Ergänzung, sondern der Weg, auf dem die Geschäftsleitung ihre eigenen gesetzlichen Pflichten erfüllt. Es bringt auch konkrete Vorteile: Es kann Geldbußen mindern oder vermeiden, die Selbstreinigung im Vergaberecht unterstützen, Kunden und Banken zufriedenstellen und Organmitglieder vor persönlicher Haftung schützen. Diese Seite erläutert den rechtlichen Rahmen, die Elemente eines wirksamen Systems, die besonderen Anforderungen im Kartellrecht, in der Geldwäscheprävention und in anderen Bereichen sowie die Frage, wie sich prüfen lässt, ob ein System funktioniert. Zum weiteren Zusammenhang siehe unseren Überblick zu Compliance und ESG.

Aufsichtspflichten und Verbandsgeldbußen

§ 130 OWiG ist der Kern des deutschen Compliance-Rechts. Die Vorschrift greift, wenn in dem Betrieb eine Zuwiderhandlung gegen Pflichten begangen wird, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, und diese Zuwiderhandlung durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Zu den erforderlichen Aufsichtsmaßnahmen gehören auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen. Ist die zugrunde liegende Pflichtverletzung eine Straftat, kann die Geldbuße für die Aufsichtspflichtverletzung bis zu 1 Mio. Euro betragen, und das Höchstmaß verzehnfacht sich, wenn § 30 Abs. 2 Satz 3 OWiG anwendbar ist (§ 130 Abs. 3 OWiG).

Über § 9 OWiG erstreckt sich die Pflicht auf Geschäftsführer und andere Personen, die für den Inhaber handeln.

§ 30 OWiG verknüpft dann die Tat der Einzelperson, einschließlich einer Aufsichtspflichtverletzung nach § 130, mit dem Unternehmen. Die Geldbuße gegen das Unternehmen kann bei vorsätzlichen Straftaten bis zu 10 Mio. Euro und bei fahrlässigen Straftaten bis zu 5 Mio. Euro betragen; bei Ordnungswidrigkeiten richtet sich das Höchstmaß nach der für die Ordnungswidrigkeit angedrohten Geldbuße, verzehnfacht, wenn das Gesetz auf § 30 Abs. 2 Satz 3 verweist.

Zudem soll der aus der Tat gezogene wirtschaftliche Vorteil abgeschöpft werden, sodass der Gesamtbetrag diese Höchstmaße weit übersteigen kann. Besondere Gesetze erhöhen das Risiko weiter: Kartellbußen können 10 % des Konzernumsatzes erreichen, Datenschutzbußen 4 % des weltweiten Umsatzes und Geldbußen für vorsätzliche Sanktionsdelikte 40 Mio. Euro.

Die Qualität eines Compliance-Management-Systems ist in mehreren Phasen rechtlich relevant. Behörden und Gerichte berücksichtigen sie bei der Entscheidung, ob gegen das Unternehmen vorgegangen wird, bei der Bemessung einer Geldbuße und bei der Entscheidung über die Einziehung. Für Kartellbußen nennt das Gesetz gegen Wettbewerbsbeschränkungen ausdrücklich „angemessene und wirksame Vorkehrungen“ vor der Zuwiderhandlung sowie Bemühungen danach, sie aufzudecken und den Schaden zu beheben, als Faktoren der Bußgeldbemessung (§ 81d Abs. 1 GWB), und der Bundesgerichtshof (BGH) hat im Bußgeldverfahren anerkannt, dass ein wirksames Compliance-System eine Verbandsgeldbuße mindern kann.

Elemente eines wirksamen Compliance-Management-Systems

Es gibt keinen einheitlichen gesetzlichen Bauplan. Die deutsche Praxis stützt sich auf den Prüfungsstandard IDW PS 980 des Instituts der Wirtschaftsprüfer und auf die internationale Norm ISO 37301, die beide ähnliche Bausteine beschreiben. Für die Behörden kommt es darauf an, dass das System die tatsächlichen Risiken des Unternehmens abbildet und tatsächlich gelebt wird, nicht darauf, dass es einer bestimmten Vorlage folgt. Ein System, das auf dem Papier vollständig ist, im Alltag aber nicht beachtet wird, bietet im Ernstfall kaum Schutz.

• Tone from the Top und Kultur: sichtbares Bekenntnis der Geschäftsleitung, konsequente Folgen bei Verstößen und Anreizsysteme, die kein Fehlverhalten belohnen.
• Risikoanalyse: eine dokumentierte Bewertung, welche Gesetze am wichtigsten sind, nach Geschäftsbereich, Land, Produkt und Vertriebsweg, regelmäßig und nach Vorfällen aktualisiert.
• Richtlinien und Prozesse: ein Verhaltenskodex und besondere Regeln für die wichtigsten Risikobereiche, etwa Geschenke und Einladungen, Kontakte mit Wettbewerbern, Prüfung von Geschäftspartnern, Sanktionslistenprüfung und Datenschutz.
• Organisation: eine Compliance-Funktion mit klaren Berichtslinien, ausreichenden Ressourcen und direktem Zugang zur Geschäftsleitung und zum Aufsichtsrat oder Prüfungsausschuss.
• Kommunikation und Schulung: risikobasierte Schulungen, Hilfestellungen für Führungskräfte und eine leicht erreichbare Beratungsstelle.
• Meldung und Reaktion: ein Hinweisgebersystem, das dem HinSchG entspricht, ein festgelegter Prozess für Untersuchungen und Abhilfe und die Dokumentation von Entscheidungen.
• Überwachung und Verbesserung: Kontrollen, Prüfungen, Kennzahlen und regelmäßige Berichte an Geschäftsleitung und Aufsichtsorgane.

Die Risikoanalyse sollte von den Geschäftsbereichen mitgetragen werden, denn nur dort sind die tatsächlichen Abläufe und Schwachstellen bekannt. Workshops mit Vertrieb, Einkauf, Finanzen und Produktion liefern in der Regel ein realistischeres Bild als eine Analyse, die allein in der Rechts- oder Compliance-Abteilung entsteht.

Betriebsrat, Beschäftigte und Dritte

Die Einführung eines CMS in Deutschland erfordert in der Regel die Einbindung des Betriebsrats. Regeln zum Verhalten der Beschäftigten, etwa ein Verhaltenskodex mit Meldepflichten oder eine Geschenkerichtlinie, können als Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer mitbestimmungspflichtig sein, und die Einführung technischer Einrichtungen, die geeignet sind, das Verhalten oder die Leistung zu überwachen, etwa Screening-Software oder E-Discovery-Werkzeuge, bedarf der Zustimmung des Betriebsrats (§ 87 Abs. 1 Nr. 1 und 6 BetrVG). Eine Rahmenbetriebsvereinbarung zu Compliance und Untersuchungen spart Zeit, wenn ein Fall eintritt. Zugleich schafft sie Transparenz gegenüber den Beschäftigten und stärkt das Vertrauen in einen fairen Umgang mit Hinweisen und Verdachtsfällen. Arbeitsverträge und Richtlinien sollten zudem klarstellen, dass Compliance-Verstöße zu Abmahnungen, Kündigungen und Schadensersatzansprüchen führen können.

Viele Compliance-Risiken entstehen über Dritte. Handelsvertreter, Vertriebshändler, Berater, Joint-Venture-Partner und Lieferanten sollten risikobasiert geprüft, vertraglich zur Einhaltung des Rechts verpflichtet und überwacht werden. Zahlungen an Vermittler sollten durch dokumentierte Leistungen gerechtfertigt sein und auf Konten in dem Land gezahlt werden, in dem die Leistungen erbracht werden. Bei M&A-Transaktionen verringern eine Compliance-Due-Diligence und die Integration des Zielunternehmens in das System des Käufers nach dem Vollzug das Risiko, fortlaufendes Fehlverhalten zu übernehmen. Gerade in den ersten Monaten nach einer Übernahme ist es wichtig, klare Regeln zu setzen und die neuen Beschäftigten frühzeitig zu schulen.

Konzerne und Mittelstand

Ein Compliance-Management-System muss verhältnismäßig sein. Ein Familienunternehmen mit einigen hundert Beschäftigten braucht nicht dieselben Strukturen wie ein börsennotierter Konzern, wohl aber eine dokumentierte Risikoanalyse, klare Zuständigkeiten, grundlegende Richtlinien für seine wichtigsten Risiken, einen Hinweisgeberkanal und einen Weg, auf Vorfälle zu reagieren. In Konzernen sollte die Geschäftsleitung der Muttergesellschaft Mindeststandards festlegen, deren Umsetzung in den Tochtergesellschaften sicherstellen und regelmäßige Berichte erhalten, ohne die eigenen gesetzlichen Pflichten der Geschäftsleitungen der Tochtergesellschaften außer Acht zu lassen. Der Aufsichtsrat oder sein Prüfungsausschuss sollte regelmäßig Compliance-Berichte erhalten und die Geschäftsleitung zu wesentlichen Vorfällen und zur Ausstattung der Compliance-Funktion befragen.

Besondere Compliance-Bereiche: Kartellrecht, Geldwäsche, Sanktionen und Daten

Die meisten Compliance-Management-Systeme bestehen aus einem allgemeinen Rahmen und mehreren spezialisierten Modulen. Die kartellrechtliche Compliance konzentriert sich auf Kontakte mit Wettbewerbern, Verbandssitzungen, Informationsaustausch, Vertrieb und Preisgestaltung sowie die Vorbereitung auf Durchsuchungen; sie ist eng mit unserem Leitfaden zu Kartellverfahren verknüpft. Die Korruptionsprävention erfasst die Bestechung von Amtsträgern und die Bestechung im geschäftlichen Verkehr nach § 299 StGB, Geschenke, Einladungen, Spenden, Sponsoring und den Einsatz von Vermittlern und Beratern.

Die Geldwäsche-Compliance ist für Verpflichtete nach dem Geldwäschegesetz (GwG) zwingend. Sie müssen über ein wirksames, der Art und dem Umfang ihrer Geschäftstätigkeit angemessenes Risikomanagement verfügen, das eine Risikoanalyse und interne Sicherungsmaßnahmen umfasst (§ 4 GwG), Kunden und wirtschaftlich Berechtigte identifizieren und verdächtige Transaktionen an die Zentralstelle für Finanztransaktionsuntersuchungen melden. Zu den Verpflichteten gehören nicht nur Finanzinstitute, sondern unter anderem auch Güterhändler, Immobilienmakler, Wirtschaftsprüfer, Steuerberater und bei bestimmten Geschäften Rechtsanwälte und Notare. Ab dem 10. Juli 2027 wird die EU-Geldwäscheverordnung (EU) 2024/1624 große Teile des GwG durch unmittelbar geltende Vorschriften ersetzen.

Exportkontrolle und Sanktionen, Datenschutz nach der DSGVO, Produktsicherheit, Umweltrecht, Arbeitsschutz und steuerliche Compliance (Tax-CMS) vervollständigen das Bild, je nach Geschäftstätigkeit. Seit 2024 haben viele Unternehmen zudem die Sorgfaltspflichten in der Lieferkette nach dem LkSG in ihr CMS integriert und nutzen dafür dieselbe Risikoanalyse, dieselbe Lieferantenprüfung und dieselben Beschwerdekanäle. Unsere Seiten zu Exportkontrolle und Sanktionen und zu den Sorgfaltspflichten in der Lieferkette beschreiben diese Module.

Compliance und das Wettbewerbsregister

Für Unternehmen, die sich um öffentliche Aufträge bewerben, hat ein Compliance-Management-System einen unmittelbaren wirtschaftlichen Wert. Das Bundeskartellamt führt das Wettbewerbsregister, in das rechtskräftige Verurteilungen und Bußgeldentscheidungen wegen Delikten wie Bestechung, Betrug und Subventionsbetrug zulasten öffentlicher Haushalte, Steuerhinterziehung, Vorenthalten von Sozialversicherungsbeiträgen und Submissionsabsprachen sowie wegen bestimmter Verstöße gegen arbeitsrechtliche Vorschriften eingetragen werden, zusammen mit darauf beruhenden Verbandsgeldbußen (§ 2 WRegG). Öffentliche Auftraggeber müssen das Register vor der Vergabe von Aufträgen oberhalb bestimmter Werte abfragen und über einen Ausschluss entscheiden.

Eintragungen werden grundsätzlich nach drei oder fünf Jahren gelöscht. Ein Unternehmen kann eine vorzeitige Löschung beantragen, wenn es eine Selbstreinigung nach den vergaberechtlichen Vorschriften nachweist (§ 8 WRegG), also einen Schaden ausgleicht, aktiv an der Aufklärung des Sachverhalts mitwirkt und konkrete technische, organisatorische und personelle Maßnahmen zur Vermeidung weiteren Fehlverhaltens ergreift. Ein gut dokumentiertes Programm zur Verbesserung des CMS, einschließlich Änderungen an Prozessen, Kontrollen und verantwortlichen Personen, ist der Kern eines Antrags auf Selbstreinigung. Je konkreter die Maßnahmen beschrieben und belegt werden, desto größer sind die Erfolgsaussichten eines solchen Antrags.

Prüfung eines Compliance-Management-Systems

Geschäftsleitungen sollten regelmäßig überprüfen, ob ihr Compliance-Management-System angemessen und wirksam ist. Übliche Instrumente sind Prüfungen durch die Interne Revision, Compliance-Risikobewertungen mit den Geschäftsbereichen, simulierte Durchsuchungen, Tests von Screening-Werkzeugen, Auswertungen von Hinweisgebermeldungen und Untersuchungsergebnissen sowie Umfragen zur Compliance-Kultur. Externe Prüfungen nach IDW PS 980 unterscheiden zwischen der Angemessenheit der Ausgestaltung des Systems, seiner Implementierung zu einem Stichtag und seiner Wirksamkeit über einen Zeitraum und können Nachweise für den Aufsichtsrat und für Behörden liefern, auch wenn sie keine gesetzliche Pflicht sind und nicht garantieren, dass kein Verstoß vorkommt.

Die Dokumentation ist entscheidend. Die Geschäftsleitung sollte die Risikoanalyse, die Entscheidungen über Ressourcen und Prioritäten, die erhaltenen Berichte und die nach Vorfällen ergriffenen Maßnahmen festhalten. Geht etwas schief, ermöglicht diese Dokumentation den Organmitgliedern den Nachweis, dass sie auf informierter Grundlage und im Interesse der Gesellschaft gehandelt haben, was Voraussetzung für die Business Judgment Rule in § 93 Abs. 1 Satz 2 AktG ist. In Konzernen sollte die Muttergesellschaft Mindeststandards für Tochtergesellschaften festlegen und deren Umsetzung überwachen und dabei die rechtlichen Anforderungen vor Ort beachten.

Wirksamkeitsprüfungen sollten auch betrachten, wie sich das System unter Druck bewährt: wie schnell Meldungen eingeordnet werden, ob Untersuchungen zu einheitlichen Sanktionen führen, ob Ursachen behoben werden und ob die gewonnenen Erkenntnisse in Risikoanalyse und Schulungen zurückfließen. Kennzahlen wie Zahl und Art der Meldungen, Schulungsquoten, Treffer im Screening und offene Prüfungsfeststellungen helfen der Geschäftsleitung, Entwicklungen statt einzelner Ereignisse zu erkennen. Die Ergebnisse solcher Prüfungen sollten in einen konkreten Maßnahmenplan münden, dessen Umsetzung die Geschäftsleitung nachverfolgt.

Beispiel

Beispiel: Ein mittelständischer Maschinenbauer mit Handelsvertretern in mehreren Ländern führt eine Risikoanalyse durch und identifiziert Provisionen an Vertreter in Hochrisikomärkten als sein wichtigstes Korruptionsrisiko und Wiederausfuhren in sanktionierte Bestimmungsländer als sein wichtigstes Außenhandelsrisiko. Er führt eine Prüfung der Vertreter und Obergrenzen für Provisionen ein, ergänzt Endverbleibsprüfungen und „No Russia“-Klauseln für Händler, schult das Vertriebsteam und beauftragt die Interne Revision, jedes Jahr eine Stichprobe von Geschäften zu prüfen. Als später ein Hinweisgeber eine auffällige Provision meldet, kann das Unternehmen schnell untersuchen und den Behörden ein funktionierendes System vorweisen.

So unterstützt TRW & Co

Wir beraten Vorstände, Aufsichtsräte, Rechtsabteilungen und Compliance-Verantwortliche zum Compliance-Management-System in Deutschland. Wir führen Compliance-Risikoanalysen durch, entwerfen Verhaltenskodizes und Richtlinien, gestalten Compliance-Organisationen und Berichtslinien und bauen besondere Module für Kartellrecht, Korruptionsprävention, Geldwäsche, Sanktionen, Datenschutz und Sorgfaltspflichten in der Lieferkette auf. Wir bereiten Unternehmen auf Prüfungen nach IDW PS 980 vor, überprüfen die Wirksamkeit bestehender Systeme, schulen Organe und Beschäftigte und begleiten Anträge auf Selbstreinigung beim Wettbewerbsregister. Bei Vorfällen verbinden wir Abhilfemaßnahmen mit Untersuchung und Verteidigung. Um Ihr Compliance-Programm zu besprechen, nehmen Sie bitte Kontakt mit uns auf.