Compliance galt im Mittelstand lange als Konzernthema – etwas für Unternehmen mit Rechtsabteilung und Ethik-Hotline. Diese Zeit ist vorbei. Geldwäschegesetz, Sanktionsrecht, Hinweisgeberschutz, Datenschutz und die Ausstrahlung der Lieferkettenregeln treffen heute auch Betriebe mit 50 oder 100 Beschäftigten. Wer die Pflichten ignoriert, riskiert nicht nur Bußgelder gegen das Unternehmen, sondern zunehmend die persönliche Haftung der Geschäftsführung. Die gute Nachricht: Verhältnismäßige Compliance ist für ein KMU kein Bürokratiemonster, sondern eine überschaubare Grundausstattung – wenn man weiß, welche Pflichten wirklich gelten.

Was Compliance im KMU wirklich bedeutet

Compliance heißt zunächst nur: Das Unternehmen organisiert sich so, dass geltendes Recht eingehalten wird – und kann das im Zweifel belegen. Für die Geschäftsführung folgt daraus eine Organisationspflicht: Sie muss die einschlägigen Risiken ihres Geschäfts kennen, Zuständigkeiten festlegen, Mitarbeitende anweisen und die Einhaltung stichprobenartig kontrollieren. Gerichte und Behörden verlangen von einem Zehn-Personen-Betrieb dabei anderes als von einem Konzern; der Maßstab ist die Verhältnismäßigkeit. Ein schlankes Compliance-Programm im KMU besteht typischerweise aus einer Risikoanalyse (welche Pflichten treffen uns?), wenigen schriftlichen Regeln, klaren Zuständigkeiten, kurzen Schulungen – und Dokumentation, denn nicht belegbare Sorgfalt gilt im Ernstfall als nicht erfolgt.

Eine Hand legt ein Dokument in eine abschließbare Aktenschublade mit Ordnerregistern in einem Büro.
Ohne dokumentierte Organisation drohen Geschäftsführern bei Verstößen persönliche Haftungsrisiken. Foto: RTB

Geldwäsche und Sanktionslisten

Das Geldwäschegesetz verpflichtet nicht nur Banken. Auch Güterhändler, Immobilienmakler, Kunsthändler und weitere Gruppen sind Verpflichtete nach § 2 GwG. Für Güterhändler gelten die Sorgfaltspflichten insbesondere bei Barzahlungen ab 10.000 Euro (bei Edelmetallen niedriger): Dann müssen Kunden identifiziert, wirtschaftlich Berechtigte festgestellt und Verdachtsfälle der Zentralstelle FIU gemeldet werden. Unabhängig davon trifft praktisch jedes Unternehmen die Pflicht, seine wirtschaftlich Berechtigten dem Transparenzregister zu melden – Verstöße werden regelmäßig mit Bußgeldern geahndet.

Hinzu kommt das Sanktionsrecht: Geschäfte mit gelisteten Personen und Organisationen sind verboten – für jedes Unternehmen, unabhängig von Größe und Branche. Wer regelmäßig Auslandsgeschäft betreibt, sollte Neukunden und Zahlungsempfänger gegen die EU-Sanktionslisten prüfen; für Exporte in kritische Länder oder von kritischen Gütern ist zusätzlich die Ausfuhrkontrolle des BAFA zu beachten. Praktisch lösen viele KMU das über eine automatische Prüfung im ERP- oder Buchhaltungssystem.

Hinweisgeberschutz: interne Meldestelle ab 50 Beschäftigten

Seit dem Hinweisgeberschutzgesetz von 2023 müssen Unternehmen mit in der Regel mindestens 50 Beschäftigten eine interne Meldestelle einrichten, über die Mitarbeitende Rechtsverstöße vertraulich melden können. Die Meldestelle muss Eingänge binnen sieben Tagen bestätigen und binnen drei Monaten Rückmeldung zu ergriffenen Maßnahmen geben; Repressalien gegen Hinweisgeber sind verboten und lösen Beweislastumkehr und Schadensersatz aus. Unternehmen mit bis zu 249 Beschäftigten dürfen sich eine Meldestelle teilen oder einen externen Dritten – etwa eine Kanzlei oder einen spezialisierten Dienstleister – beauftragen. Das Fehlen einer Meldestelle ist bußgeldbewehrt; wichtiger noch: Ohne internen Kanal landen Hinweise direkt bei den externen Meldestellen der Behörden.

Kompakt

  • Transparenzregister: Meldung der wirtschaftlich Berechtigten – gilt praktisch für alle GmbHs.
  • GwG: Güterhändler ab 10.000 Euro Barzahlung voll sorgfaltspflichtig; Verdachtsmeldungen an die FIU.
  • Sanktionslisten-Screening: für jedes Unternehmen verpflichtend, Größe egal.
  • HinSchG: interne Meldestelle ab 50 Beschäftigten, Auslagerung an Dritte zulässig.
  • DSGVO: Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, Löschkonzept als Minimum.
  • LkSG: direkt erst ab 1.000 Beschäftigten – wirkt aber über Großkunden auf KMU durch.

Datenschutz und Lieferkette

Die DSGVO gilt seit 2018 für jedes Unternehmen, das personenbezogene Daten verarbeitet – also für alle. Das KMU-Minimum: ein Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge mit Dienstleistern (vom Lohnbüro bis zum Cloud-Anbieter), technische Basissicherheit, ein Löschkonzept und ein geübter Ablauf für Datenpannen, die binnen 72 Stunden meldepflichtig sein können. Ein Datenschutzbeauftragter ist in der Regel zu benennen, wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind.

Das Lieferkettensorgfaltspflichtengesetz gilt unmittelbar erst für Unternehmen ab 1.000 Beschäftigten – doch seine Wirkung reicht weiter: Große Kunden reichen ihre Sorgfaltspflichten vertraglich an Zulieferer durch. Wer Selbstauskünfte zu Menschenrechten, Arbeitsschutz und Umweltstandards nicht beantworten kann, fällt aus Lieferantenpools heraus. KMU sollten die gängigen Fragebögen deshalb einmal sauber beantworten und intern pflegen – derselbe Mechanismus, der auch bei der Nachhaltigkeitsberichterstattung wirkt, wie unser Beitrag zur CSRD und ihren Folgen für den Mittelstand zeigt.

Im Bußgeldverfahren zählt nicht, was der Geschäftsführer gewusst hat, sondern was er hätte organisieren müssen. Unwissenheit ist keine Verteidigung, sondern das Eingeständnis fehlender Organisation.

Ein Wirtschaftsstrafverteidiger über Organisationsverschulden

Persönliche Haftung der Geschäftsführung

Für Geschäftsführer ist Compliance auch Selbstschutz. Nach § 43 GmbHG haften sie der Gesellschaft für Schäden aus Sorgfaltspflichtverletzungen – dazu zählt nach der Rechtsprechung ausdrücklich das Unterlassen einer angemessenen Compliance-Organisation, wenn daraus Bußgelder oder Schäden entstehen. Nach §§ 30, 130 OWiG können zudem Bußgelder gegen Unternehmen und Leitungspersonen verhängt werden, wenn Aufsichtsmaßnahmen unterlassen wurden, die Zuwiderhandlungen verhindert hätten. Delegation entlastet nur bei sorgfältiger Auswahl, klarer Aufgabenzuweisung und laufender Überwachung des Beauftragten – „dafür war der Kollege zuständig“ trägt nicht.

Praktisch heißt das: Die Geschäftsführung sollte einmal jährlich die Compliance-Risikoanalyse aktualisieren, Zuständigkeiten schriftlich fixieren und sich über Vorfälle berichten lassen. Eine D&O-Versicherung ergänzt den Schutz, ersetzt aber keine Organisation – bei vorsätzlichen Verstößen zahlt sie nicht. Vertiefende Beiträge zu rechtlichen Pflichten von Unternehmen bündelt unser Ressort Treuhand & Recht.

Häufige Fragen

Braucht ein KMU einen eigenen Compliance-Beauftragten?

Nein, keine Rechtsnorm verlangt diese Position im klassischen KMU. Nötig ist aber eine klar benannte Zuständigkeit – häufig übernimmt sie die kaufmännische Leitung, unterstützt durch externe Berater für Spezialfragen wie Datenschutz oder Außenwirtschaftsrecht. Entscheidend ist, dass die Aufgabe ausdrücklich zugewiesen und mit Zeit hinterlegt ist.

Was kostet die Compliance-Grundausstattung eines Unternehmens mit 80 Beschäftigten?

Überschaubar: Eine ausgelagerte Hinweisgeber-Meldestelle ist ab niedrigen dreistelligen Beträgen pro Jahr zu haben, ein externer Datenschutzbeauftragter je nach Komplexität ab einigen tausend Euro jährlich, Sanktionslisten-Screening ist in vielen ERP-Systemen enthalten. Der größte Posten ist einmalig: die Risikoanalyse und das Aufsetzen der Regeln, meist mit anwaltlicher Unterstützung.

Gilt das Hinweisgeberschutzgesetz auch für Meldungen über das eigene Unternehmen hinaus?

Geschützt sind Personen, die im beruflichen Kontext Informationen über Verstöße erlangt haben – also auch Beschäftigte von Dienstleistern oder Lieferanten, die Verstöße bei ihrem Auftraggeber melden. Für Unternehmen ein Grund mehr, den internen Kanal attraktiv und vertrauenswürdig zu gestalten, damit Hinweise zuerst intern ankommen.